Guía práctica del RGPD para docentes: qué puedes y no puedes hacer

Haces una foto del mural que han hecho tus alumnos y la subes al grupo de WhatsApp de familias. Usas una plataforma online para que los niños practiquen matemáticas. Escribes el nombre completo de un alumno en un documento de Google Drive. Mandas las notas por correo electrónico a los padres.

Cualquiera de estas situaciones cotidianas puede suponer una infracción del RGPD si no se hace correctamente. El problema no es la buena intención del docente, que nadie pone en duda. El problema es que nadie nos explicó de forma clara qué se puede hacer, qué está prohibido y qué simplemente requiere un paso previo que casi siempre se omite.

Esta guía práctica de RGPD para docentes responde exactamente a eso: los escenarios reales del aula, sin tecnicismos legales y con las respuestas concretas que necesitas para trabajar tranquilo.

Qué es el RGPD y por qué afecta directamente al aula

El Reglamento General de Protección de Datos es el marco legal europeo que regula cómo se recogen, almacenan y usan los datos personales de cualquier persona. Entró en vigor en mayo de 2018 y en España se complementa con la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).

Un dato personal es cualquier información que permite identificar a una persona: nombre, foto, DNI, dirección, voz, imagen grabada en vídeo o incluso el número de matrícula de un vehículo. En el contexto educativo, los datos de los alumnos son especialmente sensibles porque se trata de menores de edad, lo que añade una capa de protección adicional.

El centro educativo actúa como responsable del tratamiento de esos datos. El docente, en su actividad diaria, actúa como encargado de tratamiento. Eso significa que aunque no seas tú quien firma los contratos con las plataformas digitales, sí tienes responsabilidad sobre el uso que haces de los datos en tu práctica docente.

Los seis principios que todo docente debe conocer

• Licitud: solo puedes tratar datos si tienes una base legal para hacerlo (consentimiento, obligación legal o interés legítimo)
• Limitación de finalidad: los datos recogidos para una cosa no pueden usarse para otra distinta
• Minimización: solo recoge los datos estrictamente necesarios, nada más
• Exactitud: mantén los datos actualizados y corrige los errores cuando los detectes
• Limitación del plazo: los datos no pueden guardarse indefinidamente; hay plazos legales de conservación
• Integridad y confidencialidad: protege los datos frente a accesos no autorizados, pérdidas o destrucción

Las 10 situaciones del aula que más dudas generan

Olvidemos la teoría por un momento. Estas son las situaciones concretas que los docentes españoles se encuentran cada semana y las respuestas directas a cada una:

Fotografías y vídeos del alumnado

¿Puedo hacer fotos en clase y subirlas al blog del centro? Solo si el centro tiene autorización expresa y por escrito de los tutores legales. Esa autorización debe especificar para qué se usarán las imágenes (blog del centro, redes sociales, prensa local) y puede revocarse en cualquier momento. Una autorización genérica firmada a principio de curso que no especifique los usos no es suficiente.

¿Puedo subir fotos al grupo de WhatsApp de familias? No sin autorización individualizada. WhatsApp es un servicio de una empresa privada cuyos servidores están fuera de la Unión Europea. Subir fotos de menores a ese entorno sin consentimiento específico es una infracción, aunque el grupo sea «solo de padres».

¿Y si el alumno sale de espaldas o no se le reconoce? En ese caso no es un dato personal y no aplica el RGPD. La imagen tiene que permitir identificar a la persona para estar regulada.

Plataformas digitales y aplicaciones

¿Puedo usar cualquier aplicación educativa con mis alumnos? No. Solo puedes usar plataformas que hayan sido previamente autorizadas por el centro y que cuenten con un contrato de encargado de tratamiento con la institución. Si usas una app de terceros sin ese respaldo institucional, estás tratando datos de menores de forma no autorizada.

Antes de introducir cualquier herramienta digital en tu aula, pregunta a la dirección o al delegado de protección de datos del centro si esa plataforma está en el listado de herramientas autorizadas. Si no lo está, solicita que se tramite su aprobación.

¿Puedo usar Google Classroom, Microsoft Teams o plataformas similares? Depende del acuerdo que tenga tu centro con esas empresas. Muchos centros tienen contratos institucionales con Google o Microsoft que incluyen cláusulas de protección de datos adecuadas al RGPD. Si tu centro tiene ese acuerdo, puedes usarlas. Si no lo sabes con certeza, pregunta antes de crear cuentas con los datos de tus alumnos.

Comunicaciones con familias

¿Puedo mandar las notas por correo electrónico? Solo si usas el correo corporativo del centro, nunca tu cuenta personal de Gmail u Hotmail. El correo personal no tiene las garantías de seguridad y confidencialidad que exige el tratamiento de datos de menores.

¿Puedo compartir información sobre un alumno con otro docente del centro? Sí, dentro del equipo educativo existe lo que se llama interés legítimo para compartir información necesaria para la atención educativa del alumno. No puedes, en cambio, comentar datos de un alumno con un docente que no esté en su equipo educativo.

Documentos y archivos con datos del alumnado

¿Puedo guardar documentos con datos de alumnos en Google Drive o Dropbox personales? No. Los servicios de almacenamiento personal en la nube no garantizan el nivel de protección exigido para datos de menores. Usa exclusivamente las plataformas corporativas del centro o de la administración educativa de tu comunidad autónoma.

¿Puedo llevarte a casa los informes o expedientes de alumnos en papel? Legalmente existe riesgo, especialmente si se pierden o accede a ellos alguien no autorizado. Si necesitas trabajar fuera del centro con documentos que contienen datos personales, el centro debe tener un protocolo que lo regule. Ante la duda, usa documentos anonimizados sustituyendo el nombre por un código o iniciales.

El consentimiento: qué es, cuándo hace falta y cómo pedirlo bien

El consentimiento es la base legal más usada en el entorno educativo y también la más malentendida. No vale cualquier consentimiento: el RGPD exige que sea libre, específico, informado e inequívoco.

Esto significa que:

• No puede ser una casilla premarcada que la familia deje sin leer
• Debe explicar con claridad para qué se van a usar los datos
• Debe ser tan fácil retirarlo como darlo
• Un consentimiento genérico para «uso educativo» no cubre usos específicos como publicación en redes sociales o cesión a terceros
• En España, los menores de 14 años no pueden dar consentimiento por sí mismos: siempre lo dan sus tutores legales

Cuándo NO hace falta consentimiento

Hay situaciones en las que el tratamiento de datos está justificado por otras bases legales y no necesitas pedir consentimiento. La más importante en educación es el cumplimiento de una obligación legal: el centro puede tratar los datos de los alumnos para gestionar su escolarización, evaluación y expediente académico sin pedir consentimiento adicional, porque eso está regulado por ley.

Tampoco necesitas consentimiento para compartir información con el equipo de orientación, con servicios sociales en casos de protección de menores o con la inspección educativa. Esos intercambios tienen su propia cobertura legal.

Los errores más frecuentes y cómo corregirlos hoy mismo

Después de revisar los escenarios más comunes, estos son los errores que se repiten con más frecuencia en los centros españoles y los pasos concretos para corregirlos:

• Usar el móvil personal para fotografiar actividades del aula: solución inmediata, usar solo el dispositivo corporativo del centro cuando exista, o no fotografiar si no hay autorización específica.
• Grupos de WhatsApp con familias gestionados por el tutor: trasladar la comunicación al correo corporativo o a la plataforma oficial del centro. Si el grupo ya existe, no compartir en él ningún dato personal de alumnos.
• Listas de clase en documentos de Google Drive personal: mover esos documentos a la plataforma corporativa del centro o eliminarlos del Drive personal.
• Usar aplicaciones educativas sin verificar su autorización: consultar con la dirección o el delegado de protección de datos antes de introducir cualquier herramienta nueva.
• Publicar trabajos de alumnos en el blog del centro sin verificar la autorización de cada alumno: revisar el registro de autorizaciones antes de publicar y omitir o anonimizar a quienes no hayan dado consentimiento.

Como docentes sabemos que la normativa de protección de datos no está pensada para complicarnos la vida: está pensada para proteger a nuestros alumnos. Cuando entiendes el porqué de cada restricción, cumplir con el RGPD deja de parecer un obstáculo burocrático y se convierte en parte de la responsabilidad de cuidar al alumnado que tienes a tu cargo.

Si tienes dudas sobre un caso concreto que no aparece en esta guía, el primer paso siempre es el mismo: consulta al delegado de protección de datos de tu centro o de tu administración educativa. Ese es exactamente el rol para el que existe.