Diari Oficial de la Generalitat Valenciana




DOGV – Disposició
=================

Compartir

Compartir

Tornar

Guardar el document Descarregar les metadades en format XML

Sumari del DOGV 8436, del 03-12-2018 (2018/11040)

RESOLUCIÓ de 28 de juny de 2018, de la Sotssecretaria de la Conselleria d'Educació, Investigació, Cultura i Esport, per la qual es dicten instruccions per al compliment de la normativa de protecció de dades en els centres educatius públics de titularitat de la Generalitat.
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

### Dades del document

Número de DOGV
:   8436

Data del DOGV
:   03-12-2018

Secció del DOGV
:   III. ACTES ADMINISTRATIUS - C) ALTRES ASSUMPTES

Número del document
:   2018/11040

CVE


Data del document
:   28-06-2018

Organisme emissor
:   Conselleria d'Educació, Investigació, Cultura i Esport

Tipus de document
:   Resolució

Anàlisi jurídica

 Descriptors 

:   * [Conselleria d'Educació, Investigació, Cultura i Esport](javascript:void(0))

RESOLUCIÓ de 28 de juny de 2018, de la Sotssecretaria de la Conselleria d'Educació, Investigació, Cultura i Esport, per la qual es dicten instruccions per al compliment de la normativa de protecció de dades en els centres educatius públics de titularitat de la Generalitat. [2018/11040]  
La Llei orgànica 2/2006, de 3 de maig, d'educació, determina que els responsables de l'educació han de proporcionar als centres els recursos i els mitjans que necessiten per a desenvolupar la seua activitat i aconseguir aquest objectiu, mentre que aquests han d'utilitzar-los amb rigor i eficiència per a complir la seua comesa de la millor manera possible. És necessari, per tant, que la normativa combine tots dos aspectes, establint les normes comunes que tots han de respectar, així com l'espai d'autonomia que s'ha de concedir als centres docents.  
El Reglament general de protecció de dades (RGPD), publicat en maig de 2016 i aplicable des de 25 de maig de 2018, és una norma d'aplicació directa en tota la Unió Europea, relatiu a la protecció de les persones pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades. L'RGPD ha substituït, des de maig de 2018, l'actual Llei orgànica de protecció de dades i el reglament que la desplega, i introdueix una sèrie de canvis i novetats als quals és necessari adaptar els actuals tractaments.  
L'RGPD esmenta expressament el principi de responsabilitat proactiva i el descriu com la necessitat que siguen aplicades mesures tècniques i organitzatives apropiades pel responsable del tractament, amb la finalitat de garantir que el tractament és conforme al que es disposa en l'RGPD.  
La Sotssecretaria de la Conselleria d'Educació, Investigació, Cultura i Esport és l'òrgan responsable dels fitxers de dades de caràcter personal segons estableix l'article 9 del Decret 130/2012, de 24 d'agost, del Consell, pel qual s'estableix l'organització de la seguretat de la informació de la Generalitat, i ha de vetlar, dins del seu àmbit de competència, pel compliment de la legislació en matèria de protecció de dades. Per tant, és necessari dictar instruccions respecte a les mesures a dur a terme pels centres educatius públics on existisquen tractaments de dades de caràcter personal.  
El director o directora del centre educatiu haurà d'acomplir els principis i mesures de seguretat recollides en l'annex I. Aquest annex serà difós pel director o la directora en el mateix centre educatiu a la resta de l'equip directiu, al claustre de professors, al consell escolar, així com a qualsevol altre òrgan col·legiat del centre que considere oportú.  
  
Les dades personals que s'emmagatzemen (tant en suport informàtic com en paper) que no estiguen en el sistema informàtic per a la gestió del centre educatiu proporcionat per la conselleria competent en matèria d'educació, seran les estrictament necessàries per a contactar amb l'alumnat o el seu representant legal en cas de fallada puntual del sistema d'informació.  
Per tot això, i en virtut de les competències establides en el Decret 186/2017, de 24 de novembre, del Consell, pel qual aprova el Reglament orgànic i funcional de la Conselleria d'Educació, Investigació, Cultura i Esport, resolc:  
  
Primer  
Aprovar el manual informatiu inclòs en l'annex I, al qual haurà d'ajustar-se l'organització i els tractaments d'informació dels centres educatius públics de la Generalitat.  
2. Establir el marc normatiu que figura en l'annex II.  
3. Establir plantilles i models de referència per a l'aplicació de les matèries i procediments descrits en el manual informatiu en l'annex III.  
  
  
València, 28 de juny de 2018.- El sotssecretari: José Vicente Villar Rivera.  
  
  
ANNEX I  
Manual informatiu en matèria de protecció de dades per als centres educatius públics de titularitat de la Generalitat  
  
1. Conceptes bàsics  
1.1. Una dada de caràcter personal és qualsevol informació alfanumèrica, gràfica, fotogràfica, acústica o de qualsevol altre tipus referida a persones físiques identificades o identificables.  
1.2. Les categories especials de dades es refereixen a aquelles que revelen circumstàncies o informació de les persones sobre la seua esfera més íntima i personal; s'inclouen de manera específica en aquestes categories les dades biomètriques i les dades genètiques. Requereixen que se'ls preste una especial atenció i s'adopten les mesures tècniques i organitzatives necessàries per a evitar que el seu tractament origine lesions en els drets i llibertats dels titulars de les dades.  
Formen part d'aquesta categoria de dades personals aquelles que:  
- Siguen relatives a la salut.  
- Revelen ideologia, afiliació sindical, religió i creences.  
- Fan referència a l'origen racial i a la vida sexual.  
- Es refereixen a la comissió d'infraccions penals o administratives.  
  
En l'àmbit educatiu és freqüent, sobretot, el tractament de dades relatives a la salut física o mental de l'alumnat, inclosa la prestació de serveis d'atenció sanitària que revelen informació sobre el seu estat de salut.  
1.3. Les dades de caràcter personal són de les persones interessades: alumnat, mares i pares, tutores i tutors, professorat o personal d'administració i serveis.  
Cada persona és titular de les seues respectives dades de caràcter personal.  
1.4. Un fitxer és tot conjunt estructurat de dades personals, accessibles segons uns criteris determinats, ja siga centralitzat, descentralitzat, repartit de forma funcional o geogràfica.  
El Reglament general de protecció de dades, des d'ara i endavant RGPD, suprimeix l'obligació de notificar els fitxers a l'Agència Espanyola de Protecció de Dades i a les autonòmiques, i se centra en les activitats del tractament.  
1.5. Qualsevol activitat en què estiguen presents dades de caràcter personal constituirà un tractament de dades, ja es realitze de manera manual o automatitzada, totalment o parcialment, com la recollida, registre, organització, estructuració, conservació, adaptació o modificació, extracció, consulta, utilització, comunicació per transmissió, difusió o qualsevol altra forma d'habilitació d'accés, acarament o interconnexió, limitació, supressió o destrucció.  
1.6. El responsable del tractament és la persona física que decideix sobre la finalitat, contingut i ús d'aquest, bé per decisió directa o perquè així li ve imposat per una norma legal. És per això que la responsabilitat del tractament de dades és la persona titular de la sotssecretaria de la conselleria competent en matèria d'educació.  
1.7. L'encarregat del tractament és la persona física o jurídica, autoritat pública, servei o organisme que tracta dades personals per compte del responsable del tractament.  
En determinats casos, els centres educatius, per a complir les seues funcions, necessiten comptar amb la col·laboració d'altres persones o entitats que no formen part de la seua organització; per exemple per al servei de menjador, servei mèdic, transport o per a la realització d'activitats extraescolars.  
Aquestes persones i entitats, per a prestar els seus serveis, també tracten les dades de caràcter personal de l'alumnat i dels seus familiars o tutors, però ho fan per encàrrec del responsable del tractament, és a dir, del centre o de l'Administració educativa.  
Les empreses que realitzen aquest tipus de serveis tenen, en relació amb el tractament de dades personals que realitzen, la consideració d'encarregats de tractament.  
És necessari que el tractament de dades que implica la prestació del servei es regisca per un contracte que haurà d'incloure les garanties adequades.  
No es consideren encarregats del tractament les persones físiques que tinguen accés a les dades personals per la seua condició d'empleats del centre o de l'Administració educativa, que són els responsables del tractament.  
1.8. La cessió de dades suposa que són revelades a una persona diferent del seu titular.  
Els destinataris de les dades seran les persones físiques o jurídiques, autoritats públiques, serveis o altres organismes als quals se'ls comuniquen.  
No obstant això, no es consideren cessions de dades les comunicacions de les dades de l'alumnat a les empreses que tinguen la condició d'encarregats del tractament, d'acord amb el que s'indica en l'apartat anterior.  
1.9. Sempre que les dades personals s'envien fora de l'àmbit de l'Espai Econòmic Europeu (EEE, constituït per tots els estats membres de la Unió Europea, més Noruega, Islàndia i Liechtenstein), es produeix una transferència internacional de dades, ja es realitze perquè el destinatari de les dades preste un servei al centre educatiu o ja perquè les tracte per a una finalitat pròpia.  
  
2. Principis de protecció de dades  
2.1. Legitimació per al tractament de dades  
El tractament de dades personals ha d'estar legitimat. Per tant, es poden tractar les dades si els seus titulars presten el consentiment previ. Quan el titular de les dades és un menor d'edat, o menor d'una determinada edat establida per llei, el consentiment l'hauran de prestar els seus familiars o tutors.  
El consentiment per a tractar dades personals es pot revocar en qualsevol moment, però la revocació no tindrà efecte retroactiu i se n'ha d'informar els interessats.  
Però, a més del consentiment, hi ha altres possibles bases que legitimen el tractament de dades sense necessitat de comptar amb l'autorització del seu titular. La principal és la referida als supòsits en què una norma amb rang de llei autoritze el tractament o fins i tot obligue el responsable a dur-lo a terme.  
També serà legítim el tractament de dades quan siga necessari per al desenvolupament i execució d'una relació jurídica entre la persona responsable i l'afectada, o per a la satisfacció d'un interés legítim del responsable sempre que aquest interés no prevalga sobre els drets i llibertats dels afectats, en particular quan aquests siguen menors.  
  
Els centres docents estan legitimats per la Llei orgànica 2/2006, d'educació (LOE), per al tractament de les dades en l'exercici de la funció educativa. També estan legitimats per al desenvolupament i execució de la relació jurídica que es produeix amb la matriculació de l'alumne en un centre, així com pel consentiment de les persones interessades, o dels seus familiars o tutors si són menors.  
2.2. Principi de qualitat de les dades  
Les dades han de ser tractades de manera lícita, lleial i transparent envers el seu titular. No es poden recollir ni tractar més dades personals que les estrictament necessàries per a la finalitat perseguida en cada cas (com l'educació i orientació dels alumnes o el compliment de relacions jurídiques o, si escau, la divulgació i difusió dels centres i de les seues activitats). És a dir, han de respondre a una finalitat legítima, no es poden recollir de manera fraudulenta i la seua utilització ha de ser coneguda per les persones que en són titulars.  
Les dades hauran de ser exactes i estar actualitzades. S'hauran de suprimir o actualitzar les dades que no siguen correctes.  
2.3. Transparència i informació  
Quan es recapten o s'obtenen les dades de les persones interessades, tot i que no calga el seu consentiment, els centres educatius han de facilitar-los informació dels aspectes següents:  
- de l'existència d'un fitxer o tractament de dades personals,  
- de la finalitat per a la qual es recapten les dades i la seua licitud; per exemple per a l'exercici de la funció educativa o per a difondre i donar a conéixer les activitats del centre,  
- de l'obligatorietat o no de facilitar les dades i de les conseqüències de negar-s'hi,  
- dels destinataris de les dades,  
- dels drets dels interessats i d'on exercitar-los,  
- de la identitat del responsable del tractament: el centre o l'Administració educativa,  
- de les dades de contacte del delegat de protecció de dades,  
- del termini de conservació de la informació.  
2.4. Mesures de seguretat  
Tant la conselleria competent en matèria d'educació, com a responsable dels tractaments de dades personals, com els centres educatius han d'adoptar una sèrie de mesures de seguretat, de caràcter tècnic i organitzatiu, que garantisquen la seguretat de les dades esmentades.  
L'RGPD parteix de les premisses següents:  
- En primer lloc, relacionat amb el principi de responsabilitat activa, les persones responsables han de fer una valoració del risc dels tractaments que realitzen, a fi d'establir quines mesures s'han d'aplicar i com fer-ho.  
- En segon lloc, i en funció dels riscos detectats en l'anàlisi realitzada anteriorment, les persones responsables i encarregades han d'adoptar les mesures de seguretat tenint en compte:  
· el cost de la tècnica  
· els costos d'aplicació  
· la naturalesa, abast, context i finalitats del tractament  
· els riscos per als drets i llibertats  
Els centres i la conselleria competent en matèria d'educació prendran mesures per a garantir que qualsevol persona que actue sota la seua autoritat i tinga accés a dades personals només puga tractar aquestes dades en l'exercici de les funcions que tinga assignades.  
A més, la conselleria competent en matèria d'educació haurà de complir, si escau, els principis bàsics i requisits mínims que permeten una protecció adequada de la informació de conformitat amb el que s'estableix en l'Esquema nacional de seguretat (Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema nacional de seguretat en l'àmbit de l'administració electrònica), així com la normativa autonòmica vigent.  
2.5. Deure de secret  
Totes les persones del centre que tinguen accés a dades de caràcter personal estan obligades a guardar secret sobre aquestes.  
Aquest deure de secret és essencial per a garantir el dret fonamental a la protecció de dades i és d'obligat compliment per a totes les persones que presten els seus serveis en els centres i conselleria competent en matèria d'educació ?personal docent, personal administratiu o de serveis auxiliars?, en relació amb les dades de caràcter personal a què accedisquen.  
A més, el deure de secret subsisteix fins i tot una vegada finalitza la relació amb el responsable o amb l'encarregat del tractament.  
2.6. Cancel·lació de dades  
El temps que s'han de conservar les dades serà el que establisquen les disposicions aplicables o, si escau, les relacions contractuals entre les persones interessades i els centres educatius. Atesa la pluralitat de fitxers i finalitats per a les quals es recapten i tracten les dades, no es pot establir un determinat termini, si bé hauran de mantindre's mentre puguen ser necessàries per a l'exercici d'alguna acció per part de l'alumnat, per la qual cosa caldria definir l'abast de les responsabilitats dels centres educatius en relació amb el contingut i custòdia de les dades.  
  
3. Tractament de dades pels centres educatius  
La LOE legitima els centres a recollir dades de caràcter personal per a la funció docent i orientadora de l'alumnat en referència a:  
- L'origen i ambient familiar i social.  
- Les característiques o condicions personals.  
- El desenvolupament i els resultats de la seua escolarització.  
- Les circumstàncies el coneixement de les quals siga necessari per a educar i orientar els alumnes.  
Per tant, la LOE legitima els centres educatius per a recollir i tractar les dades de l'alumnat i dels seus pares o tutors, incloent-hi també les categories especials de dades, com les de salut o de religió, quan siguen necessàries per al compliment de la funció docent i orientadora.  
  
3.1. Tipologia de dades  
3.1.1. Tractament de dades familiars de l'alumnat  
Els centres educatius poden recollir la informació sobre la situació familiar de l'alumnat. Aquesta informació ha d'estar actualitzada i els progenitors han d'informar els centres sobre qualsevol modificació.  
  
3.1.2. Recollida de dades de salut  
Les dades de salut de l'alumnat han de ser sol·licitades en la mesura en què siguen necessàries per a l'exercici de la funció educativa. Es poden distingir els moments següents:  
- En la matriculació de l'alumnat: discapacitats, malalties cròniques, TDAH, intoleràncies alimentàries o al·lèrgies.  
- Durant el curs escolar: el tractament mèdic que reba un alumne o alumna a través del servei mèdic o d'infermeria que corresponga o els informes de centres sanitaris als quals se l'haja traslladat com a conseqüència d'accidents o indisposicions patides en el centre o els informes dels equips d'orientació psicopedagògica.  
  
3.1.3. Recollida de dades biomètriques  
Tenint en compte la intromissió en la intimitat de les persones que el tractament d'aquest tipus de dades pot ocasionar, l'Agència Espanyola de Protecció de Dades ha admés la utilització de l'empremta dactilar per a finalitats com el control d'accés al servei de menjador en centres escolars amb un gran nombre d'alumnes, sempre que s'adopten mesures que reforcen la confidencialitat de les dades com la conversió de l'empremta en un algorisme, el xifratge de la informació, la vinculació a una dada diferent de la identificació directa de l'alumnat o la limitació dels protocols d'accés a les dades.  
Les dades biomètriques entrarien dins de les categories especials de dades.  
3.1.4. Recollida de dades de l'alumnat per a l'expedient acadèmic  
  
Entre les dades que poden recollir els centres educatius per a l'exercici de la funció docent i orientadora sense consentiment dels alumnes es poden incloure les seues fotografies a l'efecte d'identificar cada alumne en relació amb el seu expedient.  
3.1.5. Recollida de dades per a altres finalitats  
Els centres poden recollir dades per a altres finalitats legítimes, com pot ser la gestió de la relació jurídica derivada de la matriculació de l'alumnat, o donar a conéixer l'oferta acadèmica, participar amb l'alumnat en concursos educatius o oferir serveis esportius, d'oci o culturals. En aquests casos, es podran recollir bé com a conseqüència de la relació jurídica establida amb la matrícula o bé si hi ha consentiment previ de l'alumne o dels seus familiars.  
A més, amb caràcter previ a l'obtenció del consentiment, s'ha de complir amb el dret d'informació de l'alumnat o dels seus pares, mares o tutors, quan calga.  
3.2. Procediment de recollida  
3.2.1. Informació a les persones interessades  
Sempre s'ha d'informar les persones interessades quan s'arrepleguen les seues dades en formularis de qualsevol tipus, tal com indica l'apartat 2.3 sobre transparència i informació, mitjançant una clàusula al peu del document o formulari.  
3.2.2. Comunicació de dades dels familiars al centre  
La LOE estableix que els alumnes i els seus familiars hauran de col·laborar en l'obtenció de la informació necessària sense la qual no seria possible el desenvolupament de la funció educativa, i els centres estaran exempts de sol·licitar el consentiment previ en relació amb aquelles dades de caràcter personal que siguen necessàries per a aquesta finalitat.  
També han de facilitar les dades necessàries per al compliment de la relació jurídica que s'estableix amb la matrícula.  
3.2.3 Consentiment en la recollida de dades  
El consentiment es pot incloure en el mateix imprés o formulari en què s'arrepleguen les dades.  
Per a les dades que facen referència a l'origen racial, a la salut i a la vida sexual, el consentiment ha de ser exprés. Per exemple, si és un formulari en format PDF, mitjançant un camp que cal activar i que marque la persona sol·licitant, interessada o representant legal. I si les dades revelen ideologia, afiliació sindical, religió o creences, el consentiment ha de prestar-se per escrit.  
3.2.4. Recollida de dades de l'alumnat per part del professorat  
Sense perjudici de les dades personals recollides pels centres o la conselleria competent en matèria d'educació en matricular-se l'alumnat, i que són facilitades al professorat per a l'exercici de la funció docent, quan aquest reculla altres dades de caràcter personal ?com enregistraments d'imatges o so amb la finalitat d'avaluar els seus coneixements o altres dades relacionades amb la realització d'aquests exercicis, o els resultats de la seua avaluació- podrien fer-ho legalment, en el marc de les instruccions, protocols o règim intern que el centre o la conselleria competent en matèria d'educació haja adoptat.  
3.2.5. Recollida de dades familiars de l'alumnat per part del professorat  
Les dades dels familiars dels alumnes les recapten els centres en estar legitimats per a això per la LOE. A aquesta informació podrà tindre accés el professorat si la necessita per a l'exercici de la docència.  
  
No obstant això, si es donara alguna circumstància en la qual el professorat necessitara conéixer les dades dels familiars dels alumnes, com podria ser davant de situacions de risc, i no les tinguera, estaria igualment habilitat per a recollir-les de l'alumnat.  
3.2.6. Accés al contingut de dispositius electrònics  
Atesa la informació que es conté en els dispositius amb accés a internet, així com la traçabilitat que es pot realitzar de la navegació efectuada pels usuaris, l'accés al contingut d'aquests dispositius de l'alumnat, incloent-hi la seua clau, implica un accés a dades de caràcter personal que requereix el consentiment dels interessats o dels seus familiars si es tracta de menors.  
No obstant això, en situacions en què puga estar present l'interés públic, com quan es pose en risc la integritat d'alguna alumna o alumne (situacions de ciberassetjament, sèxting, ciberassetjament pedòfil o violència de gènere) el centre educatiu podria, prèvia ponderació del cas i conforme al protocol que tinga establit, accedir a aquests continguts sense el consentiment de les persones implicades.  
3.2.7. Utilització d'aplicacions de missatgeria per part del professorat per a comunicació amb l'alumnat  
Amb caràcter general, les comunicacions entre el professorat i l'alumnat han de tindre lloc dins de l'àmbit de la funció educativa i no s'han de dur a terme a través d'aplicacions de missatgeria instantània.  
Si calguera establir canals específics de comunicació, hauran d'emprar-se les eines i els mitjans establits per la conselleria competent en matèria d'educació i posats a la disposició d'alumnat i professorat o per mitjà del correu electrònic.  
3.2.8. Utilització d'aplicacions de missatgeria per part del professorat per a comunicació amb familiars d'alumnes  
Les comunicacions entre el professorat i els familiars d'alumnes han de dur-se a terme a través dels mitjans posats a la disposició de tots dos pel centre educatiu o la conselleria competent en matèria d'educació.  
  
3.2.9. Enregistrament d'imatges de l'alumnat i difusió a través d'aplicacions de missatgeria instantània als familiars  
No es permet l'enregistrament d'imatges com a part de l'exercici de la funció educativa de la qual és responsable el centre docent. No obstant això, en aquells casos en què l'interés superior del menor puga estar compromés, com en cas d'accidents o indisposicions en una excursió escolar, i amb la finalitat d'informar i tranquil·litzar les mares i els pares, titulars de la pàtria potestat, es podrien captar les imatges i enviar-los-les.  
3.3. Publicació de dades  
3.3.1. Llistats d'admesos  
El centre necessita informar sobre els alumnes que han sigut admesos en la mesura en què l'admissió es realitza mitjançant un procediment de concurrència competitiva en el qual es valoren i puntuen determinades circumstàncies.  
No obstant això, la publicitat haurà de fer-se de manera que no supose un accés indiscriminat a la informació; per exemple publicant la relació d'alumnes admesos en els taulers d'anuncis en l'interior del centre o en una pàgina web d'accés restringit als qui hagen sol·licitat l'admissió.  
Aquesta publicació haurà de recollir només el resultat final del barem, no resultats parcials que puguen respondre a dades o informació sensible o posar de manifest la capacitat econòmica de la família.  
Aquesta informació, no obstant això, estarà disponible per als interessats que exerciten el seu dret a reclamar.  
Quan ja no siguen necessaris aquests llistats, cal retirar-los, sense perjudici que el centre els conserve a fi d'atendre les reclamacions que puguen plantejar-se.  
3.3.2. Oposició a aparéixer publicat en un llistat d'admissió  
La norma específica sobre mesures de protecció integral de violència de gènere estableix que en actuacions i procediments relacionats amb la violència de gènere es protegirà la intimitat de les víctimes; especialment les seues dades personals, les dels seus descendents i les de qualsevol altra persona que estiga sota la seua guarda o custòdia. En conseqüència, els centres educatius hauran de procedir amb especial cautela en tractar les dades dels menors que es vegen afectats per aquestes situacions.  
De conformitat amb l'article 6.4 de la LOPD, un alumne o alumna, o els seus familiars, es poden oposar a la publicació de la seua admissió en un centre educatiu si s'al·leguen motius fonamentats i legítims relatius a la seua concreta situació personal, com, per exemple, raons de seguretat per ser víctima de violència de gènere o patir algun tipus d'amenaça, etc. Si és un menor, el dret l'ha d'exercir el seu tutor legal. El centre educatiu l'ha d'excloure del llistat d'admesos que es publique.  
  
3.3.3. Publicació de beneficiaris de beques, subvencions i ajudes  
La Llei de transparència i accés a la informació pública i bon govern determina l'obligació de fer pública, com a mínim, la informació relativa a les subvencions i ajudes públiques concedides per les administracions públiques amb indicació de l'import, objectiu o finalitat i dels beneficiaris.  
Sense perjudici de la publicació per part de l'administració convocant, els centres escolars també podran publicar aquesta informació a l'efecte informatiu de les persones afectades.  
Quan es tracte de beques i ajudes fundades en la situació de discapacitat dels beneficiaris, serà suficient amb publicar un llistat amb un número d'identificació dels beneficiaris, com el del DNI o un número identificador que s'haguera facilitat als interessats amb la sol·licitud.  
  
Així mateix, si foren diversos els requisits a valorar, es podria donar el resultat total i no el parcial de cada un dels requisits.  
Si els criteris de les ajudes no es basen en circumstàncies que impliquen el coneixement de categories especials de dades, cal valorar si, no obstant això, podrien afectar l'esfera íntima de la persona; per exemple en posar-se de manifest la seua capacitat econòmica o la seua situació de risc d'exclusió social.  
En aquests casos caldria analitzar en cada cas si és necessari fer pública aquesta informació per a garantir la transparència de l'activitat relacionada amb el funcionament i control de l'actuació pública.  
  
Igualment, quan ja no siguen necessaris aquests llistats, caldrà retirar-los.  
3.3.4. Publicació en taulers d'anuncis de l'alumnat per classes i/o activitats  
Per a l'organització de l'activitat docent a l'inici de cada curs els centres distribueixen l'alumnat per classes, matèries, activitats i serveis.  
  
Per a donar a conéixer als alumnes i als seus familiars aquesta distribució, es poden col·locar aquestes relacions en els taulers d'anuncis o en les entrades de les aules durant un temps raonable per a permetre que totes les persones interessades se n'assabenten o bé a través del sistema ITACA.  
3.3.5. Publicació de menús en el menjador del centre  
En el menjador dels centres educatius es poden publicar els diferents menús, ja que hi pot haver alumnes amb necessitats alimentàries especials, siga per raons de salut o de religió, però no cal que hi haja un llistat amb nom i cognoms dels alumnes en relació amb el menú que correspon a cada un d'ells.  
Lògicament, el centre sí que podrà disposar d'aquests llistats per a ús del servei de menjador, però sense donar-los publicitat.  
3.4. Qualificacions  
3.4.1. Publicació de qualificacions escolars  
Les qualificacions de l'alumnat s'han de facilitar a cada alumne i als seus familiars.  
En el cas de comunicar a través de plataformes educatives les qualificacions, aquestes només hauran de ser accessibles per al mateix alumne, els seus familiars o tutors, sense que puguen tindre-hi accés persones diferents.  
No obstant això, sí que seria possible comunicar la situació de l'alumne en l'entorn de la seua classe; per exemple mostrant la seua qualificació respecte a la mitjana dels seus companys i companyes.  
3.4.2. Comunicació oral de qualificacions a l'alumnat  
Ja que no hi ha una regulació respecte de la forma de comunicar les qualificacions, seria preferible que es notificaren com s'ha indicat en el punt anterior. No obstant això, seria possible dir-les oralment, evitant comentaris addicionals que puguen afectar personalment l'alumne.  
  
3.5. Accés a la informació de l'alumnat  
3.5.1. Accés del professorat als expedients acadèmics de l'alumnat matriculat en el centre  
Amb caràcter general i llevat que hi haja alguna causa degudament justificada, el professorat ha de tindre accés a l'expedient acadèmic dels alumnes als quals imparteix la docència, sense que estiga justificat accedir als expedients de la resta de l'alumnat del centre.  
3.5.2. Accés del professorat a dades de salut de l'alumnat matriculat en el centre  
El professorat ha de conéixer i, per tant, accedir a la informació sobre la salut dels seus alumnes que siga necessària per a la impartició de la docència, o per a garantir l'adequada atenció a l'alumnat; per exemple respecte a discapacitats auditives, físiques o psíquiques, trastorns d'atenció, TDAH o malalties cròniques.  
Igualment, ha de conéixer la informació relativa a les al·lèrgies, intoleràncies alimentàries o la medicació que puguen requerir per a poder prestar l'adequada atenció a l'alumne tant en el mateix centre com en ocasió d'activitats fora del centre, com ara visites, excursions o convivències guiades per professors.  
3.5.3. Sol·licitud per part dels familiars dels exàmens dels seus descendents  
La sol·licitud dels familiars per a endur-se a casa els exàmens dels seus descendents i repassar-los no depén de la normativa de protecció de dades, perquè no es tracta d'un dret d'accés a les dades, sinó d'accés a documentació que, si escau, haurà de ser resolta pel centre o la conselleria competent en matèria d'educació conformement a la seua normativa interna i la legislació sectorial que hi siga aplicable.  
3.5.4. Accés dels familiars a informació sobre absències escolars dels seus descendents  
Les mares i pares, com a subjectes que ostenten la pàtria potestat, entre les obligacions dels quals està la d'educar-los i procurar-los una formació integral, tenen accés a la informació sobre l'absentisme escolar dels seus fills.  
Si els fills són majors d'edat, igual que ocorre amb les qualificacions escolars, les mares i els pares podran ser informats de l'absentisme escolar dels seus fills majors d'edat quan es facen càrrec de les seues despeses educatives o d'alimentació, en haver-hi un interés legítim derivat del seu manteniment.  
3.5.5. Sol·licitud, per part dels familiars, d'informació sobre dades de salut dels seus fills als equips d'orientació  
Els familiars poden sol·licitar informació sobre dades de salut dels seus fills als equips d'orientació quan els seus fills són menors d'edat en l'exercici de la pàtria potestat, que es realitza sempre en el seu benefici.  
  
L'accés a aquesta informació es regeix per la legislació sectorial sanitària, en concret per la Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica, o de la normativa que dispose la conselleria competent en matèria de salut pública.  
3.5.6. Comunicació d'informació escolar de l'alumnat als seus familiars  
Es pot facilitar la informació escolar d'alumnes només als familiars que n'ostenten la pàtria potestat o als tutors, mai a altres familiars, llevat que estiguen autoritzats per aquells i conste clarament aquesta autorització.  
3.5.7. Accés a la informació acadèmica per pares separats  
En els supòsits de pàtria potestat compartida, amb independència de qui tinga la custòdia, tots dos progenitors tenen dret a rebre la mateixa informació sobre les circumstàncies que concórreguen en el procés educatiu del menor, la qual cosa obliga els centres a garantir la duplicitat de la informació relativa al procés educatiu dels seus fills, llevat que s'aporte una resolució judicial que establisca la privació de la pàtria potestat a algun dels progenitors o algun tipus de mesura penal de prohibició de comunicació amb el menor o la seua família.  
En cas de conflicte entre els progenitors sobre l'accés a la informació acadèmica dels seus fills, aquests hauran de dirimir la qüestió davant del poder judicial competent en matèria de família, no davant del centre educatiu.  
3.6. Comunicacions de dades d'alumnes  
La comunicació de dades requereix, amb caràcter general, el consentiment de les persones interessades, de l'alumnat o dels seus familiars o tutors si són menors, llevat que estiga legitimada per altres circumstàncies, com el fet que ho permeta o hi obligue una llei, com és cas de solucionar una urgència mèdica, o es produïsca en el marc d'una relació jurídica acceptada lliurement per ambdues parts. En aquests últims supòsits es poden comunicar les dades sense necessitat d'obtindre el consentiment de les persones afectades.  
3.6.1. Comunicació de dades d'alumnes a un altre centre educatiu  
En cas de trasllat, la LOE empara la comunicació de dades al nou centre educatiu en què es matricule l'alumne sense necessitat de recollir el seu consentiment o el dels seus familiars o tutors.  
3.6.2. Comunicació de dades a altres centres situats en altres països  
  
Es poden facilitar dades de l'alumnat d'un centre a un altre centre en l'estranger per a intercanvis d'alumnes o estades temporals atés que l'accés a les dades de l'alumnat seria necessari perquè el centre amb què es faça l'intercanvi puga realitzar adequadament la seua funció educativa, tenint en compte que la participació de l'alumnat en el programa haurà d'haver comptat amb la sol·licitud o autorització dels titulars de la pàtria potestat. La comunicació respondrà a l'adequat desenvolupament de la relació jurídica sol·licitada pels representants legals dels alumnes.  
La transmissió haurà de limitar-se a les dades necessàries per a l'adequat desenvolupament d'aquesta acció educativa i per a la cura del menor que el centre de destinació poguera requerir.  
  
Quan el centre destinatari de les dades es trobe en un país fora de l'Espai Econòmic Europeu, la comunicació constitueix una transferència internacional de dades.  
3.6.3. Comunicació de dades a l'Administració educativa  
Els centres educatius comunicaran les dades personals de l'alumnat necessàries per a l'exercici de les competències que tenen atribuïdes les administracions educatives.  
3.6.4. Comunicació de dades a les forces i cossos de seguretat  
Les comunicacions de dades a les forces i cossos de seguretat són obligatòries sempre que siguen necessàries per a la prevenció d'un perill real per a la seguretat pública o per a la repressió d'infraccions penals.  
  
En tot cas, la petició que realitzen les forces i cossos de seguretat, en l'exercici de les seues competències, ha de ser concreta, específica i motivada, de manera que no hi haja una comunicació de dades indiscriminada.  
Encara que es complisquen els requisits per a la comunicació de dades a les forces i cossos de seguretat, és aconsellable que el centre documente la comunicació de les dades.  
Quan es tinga coneixement d'una possible situació de desprotecció d'un menor: de maltractament, de risc o de possible desemparament, s'ha de comunicar a l'autoritat o als seus agents més pròxims.  
També quan es tinga coneixement de la falta d'assistència d'un menor al centre de manera habitual i sense justificació, durant el període lectiu, caldrà traslladar-ho a l'autoritat competent.  
En aquests casos no cal que hi haja sol·licitud de cap autoritat o institució.  
3.6.5. Comunicació de dades a serveis socials  
Es poden comunicar les dades als serveis socials sempre que siga per a la determinació o tractament de situacions de risc o desemparament que siguen competència dels serveis socials. La comunicació estaria emparada en l'interés superior del menor, recollit en la Llei orgànica de protecció jurídica del menor. En aquests supòsits no cal el consentiment de les persones interessades.  
3.6.6. Comunicació de dades a centres sanitaris  
Es poden facilitar les dades sense consentiment de les persones interessades als centres sanitaris quan el motiu siga la prevenció o el diagnòstic mèdic, la prestació d'assistència sanitària o tractaments mèdics, o la gestió de serveis sanitaris, sempre que es realitzen per professionals sanitaris subjectes al secret professional o per altres persones subjectes a la mateixa obligació.  
El centre educatiu podrà sol·licitar informació sobre l'assistència sanitària prestada si la informació és necessària per a respondre de les lesions causades com a conseqüència del normal desenvolupament de l'activitat escolar.  
3.6.7. Comunicació de dades a serveis sanitaris autonòmics o ajuntaments per a campanyes de salut o vacunació  
En aquests casos, els centres solen actuar com a intermediaris entre els serveis de salut i les famílies, per la qual cosa hauran de traslladar a les famílies la informació de què disposen perquè siguen elles les que presten el consentiment o faciliten les dades a aquests serveis.  
No obstant això, es poden facilitar les dades de l'alumnat als serveis de salut que els requerisquen sense necessitat de disposar del consentiment dels interessats en resposta a una petició de les autoritats sanitàries quan siguen estrictament necessàries per a garantir la salut pública o si té per finalitat la realització d'actuacions de salut pública que tinguen encomanades. Com poguera ser un cas d'infecció en un centre educatiu, per a la realització d'estudis que permeten descartar la presència de la malaltia en l'entorn del centre educatiu.  
  
3.6.8. Comunicació de dades a altres entitats externes per a activitats extraescolars  
Es poden comunicar les dades a institucions, entitats o empreses que seran visitades per alumnes en una activitat extraescolar, per exemple una exposició, un museu, una fàbrica o un club esportiu; però s'ha de comptar amb el consentiment previ i inequívoc dels interessats o de les seues mares, pares o tutors quan les dades siguen comunicades per a les finalitats pròpies del teatre, museu, exposició o de la fàbrica; per exemple, el control d'entrada, d'aforament o per a les seues programacions futures.  
La informació que sobre aquests esdeveniments es facilita a les mares, pares o tutors perquè els autoritzen ha d'incloure la relativa a la comunicació de dades a aquestes entitats, a més de l'autorització pròpiament dita. La comunicació, si és autoritzada, implicaria la possibilitat del tractament de les dades exclusivament per a les finalitats que s'hi han indicat, en ser aquesta necessària perquè l'alumnat puga participar en l'activitat.  
3.6.9. Comunicació de dades de l'alumnat i els seus familiars a les associacions de mares i pares d'alumnes (AMPA).  
No es poden comunicar dades de l'alumnat ni dels seus familiars a les AMPA sense el consentiment previ dels interessats. Les AMPA són responsables del tractament de les dades de caràcter personal que hagen recaptat i han de complir la normativa de protecció de dades en el seu tractament.  
No obstant això, en el cas que les AMPA siguen contractades per a prestar un servei al centre educatiu per al qual hagen de tractar les dades de l'alumnat i de les seues mares, pares o tutors, sí que tindrien accés a les dades però en la condició d'encarregades del tractament.  
  
4. Tractament de les imatges dels alumnes  
En ocasió de la celebració d'actes escolars o d'esdeveniments en centres educatius en els quals l'alumnat i el professorat són els protagonistes, tant els familiars com el mateix centre prenen fotografies i graven vídeos en els quals es recullen les seues imatges. Aquests fets, comuns en els esdeveniments escolars, fan que es plantegen moltes qüestions sobre qui i com es poden captar les imatges, quins requisits s'han de complir, amb quina finalitat i a qui es poden comunicar.  
  
Segons qui grave les imatges i la finalitat per a la qual es graven, caldrà observar uns requisits determinats.  
- Si l'enregistrament de les imatges el fa el centre escolar amb finalitats educatives, com treballs escolars o avaluacions, el centre o la conselleria competent en matèria d'educació estan legitimats per a aquest tractament sense necessitat del consentiment de l'alumnat o dels seus familiars o tutors.  
- Quan l'enregistrament de les imatges no es correspon amb aquesta funció educativa, sinó que es tracta d'imatges d'esdeveniments o esdeveniments que es graven habitualment amb finalitats de difusió en la revista escolar o en la web del centre, és necessari comptar amb el consentiment de les persones interessades, als quals s'haurà hagut d'informar amb anterioritat de la finalitat de l'enregistrament, especialment de si les imatges estaran accessibles de manera indiscriminada o de manera limitada a la comunitat escolar.  
En cas de conflicte entre els progenitors sobre l'enregistrament de les imatges de les seues filles i fills, aquest hauran de dirimir la qüestió davant del poder judicial competent en matèria de família perquè resolga, no davant del centre docent.  
D'altra banda, és molt freqüent que familiars d'alumnes prenguen fotografies i graven vídeos en esdeveniments festius, commemoratius, esportius o d'una altra índole, en els quals participa l'alumnat.  
En aquests casos, l'enregistrament de les imatges sol correspondre a una activitat exclusivament personal i domèstica, és a dir, aquelles que s'inscriuen en el marc de la vida privada, familiar i d'amistat, que estan excloses de l'aplicació de la normativa de protecció de dades.  
  
En altres ocasions no és el centre escolar el que pren les fotografies o vídeos d'alumnes ni tampoc els seus familiars, sinó que són tercers, ja siga l'empresa que presta un determinat servei, per exemple la celebració d'activitats extraescolars, o un club esportiu.  
De nou cal distingir: si l'enregistrament d'imatges es realitza per encàrrec del centre educatiu, aquest haurà d'obtindre el consentiment dels alumnes o dels seus familiars o tutors; si és un tercer qui pren la fotografies o grava els vídeos per a les seues pròpies finalitats, cosa que haurà de comptar amb el consentiment previ de les persones implicades, ja l'obtinga ell mateix o a través del centre, en aquest cas s'haurà d'especificar que el tercer és el responsable del tractament.  
  
4.1. Enregistrament d'imatges durant activitats escolars  
Caldria distingir entre la presa d'imatges com a part de la funció educativa ?en aquest cas els centres estarien legitimats a fer-ho- dels enregistraments que no respondrien a aquesta funció ?per exemple, la difusió del centre i de les seues activitats, per a la qual cosa s'haurà de disposar del consentiment de les persones implicades o dels seus pares o tutors.  
També seria possible la presa d'imatges de l'alumnat en determinats esdeveniments realitzats en l'entorn escolar amb l'única finalitat que les mares, pares o tutors hi puguen tindre accés. Aquest accés a les imatges s'hauria de fer en un entorn segur que exigira la identificació i autenticació prèvies dels alumnes o dels seus familiars ?per exemple, en una àrea restringida de la intranet del centre- i s'hauria de limitar a les imatges corresponents a esdeveniments en els quals l'alumne concret haja participat. En tot cas, caldria recordar als qui accedeixen a les imatges que no poden, al seu torn, divulgar-les de forma oberta.  
El professorat, en el desenvolupament de la programació i ensenyament de les àrees, matèries i mòduls que tinguen encomanats, poden disposar la realització d'exercicis que impliquen l'enregistrament d'imatges, normalment del mateix alumnat, que només hauran d'estar accessibles per a l'alumnat involucrat en aquesta activitat, els seus familiars o tutors i el professorat corresponent.  
És a dir, en cap cas el simple fet de realitzar l'enregistrament representa que es puga difondre de forma oberta en internet i que s'hi puga accedir de manera indiscriminada. En aquests casos, el responsable del tractament és el mateix centre o la conselleria competent en matèria d'educació.  
4.2. Enregistrament i difusió d'imatges en esdeveniments organitzats i celebrats en els centres educatius  
- Els familiars de l'alumnat que participe en un esdeveniment obert a les famílies poden gravar imatges de l'esdeveniment sempre que es tracte d'imatges captades exclusivament per al seu ús personal i domèstic, perquè en aquest cas l'activitat està exclosa de l'aplicació de la normativa de protecció de dades.  
Si les imatges captades pels familiars es volgueren difondre fora de l'àmbit privat, familiar i d'amistat, per exemple mitjançant la seua publicació en internet accessible en obert, els familiars assumirien la responsabilitat per la comunicació de les imatges a tercers i no ho podrien fer llevat que hagueren obtingut el consentiment previ dels interessats.  
Seria convenient que el centre informara els familiars de la seua responsabilitat en cas que les imatges foren divulgades en els entorns oberts que s'acaben d'indicar.  
- Encara que uns familiars es neguen al fet que es prenguen imatges del seu fill o filla en un esdeveniment en el centre educatiu, no s'ha de cancel·lar l'esdeveniment ni prohibir-lo. S'ha d'informar els pares, mares o tutors que la presa de fotografies i vídeos és possible com a activitat familiar, exclusivament per a ús personal i domèstic, i que està exclosa de l'aplicació de la normativa de protecció de dades.  
4.3. Enregistrament d'imatges d'activitats dutes a terme fora del centre escolar  
L'enregistrament d'imatges fora del recinte escolar pels centres requereix el consentiment de les persones implicades, o dels pares o tutors, sempre que no es realitze en l'exercici de la funció educativa.  
Si l'enregistrament el realitzen tercers, per exemple els responsables de l'empresa, museu, exposició o club esportiu que s'estiga visitant, o en el qual es desenvolupe una activitat esportiva, serà obligació d'aquests tercers disposar del consentiment de les persones implicades, que podran haver-lo obtingut a través del centre.  
  
5. Tractament de dades en internet  
5.1. Utilització de plataformes educatives  
D'acord amb l'Ordre 19/2013 sobre normes sobre l'ús segur de mitjans tecnològics en l'Administració de la Generalitat, queda prohibit transmetre o allotjar informació pròpia de l'Administració de la Generalitat en sistemes d'informació externs (per exemple, en el núvol), excepte autorització expressa de la conselleria competent en matèria d'educació, que verificarà el corresponent acord de confidencialitat, i sempre amb l'anàlisi prèvia dels riscos associats a aquesta externalització.  
Per tant, hauran d'emprar-se les eines educatives que pose a la disposició dels centres la conselleria competent en matèria d'educació.  
  
5.2. Publicació de dades en la web dels centres  
Habitualment, les webs dels centres educatius contenen informació referida a les seues característiques, la seua organització, les matèries que imparteix, les activitats que du a terme, els serveis que ofereix, les relacions amb altres centres, i per a això, de vegades, inclouen informació de caràcter personal sobre la direcció, el professorat i l'alumnat.  
  
5.2.1. Publicació en la web de les dades del professorat, tutors i altres responsables del centre  
Cal distingir dos supòsits:  
- Si es tracta d'una web en obert, caldria comptar amb el seu consentiment previ atés que es tracta d'una comunicació de dades a les quals pot accedir qualsevol persona de manera indiscriminada i no és necessària per a l'exercici de la funció educativa encomanada als centres.  
- Si la informació està restringida a l'alumnat del centre i als seus familiars o tutors, es pot publicar, si bé caldria informar els docents i, en cas d'incloure l'adreça de correu electrònic per a contacte, que siguen les corporatives i no les adreces personals que tinga el professorat en l'àmbit educatiu.  
5.2.2. Publicació en la web de dades de l'alumnat  
El centre pot publicar informació relativa a l'alumnat, com fotografies o vídeos, sempre que es dispose del consentiment de l'alumnat implicat o dels seus pares, mares o tutors.  
La pàgina web del centre ha d'estar allotjada en servidors de la Generalitat Valenciana.  
També podria dur-se a terme de manera que no es poguera identificar els alumnes, per exemple pixelant les imatges.  
Seria possible la seua publicació quan responga a determinats esdeveniments realitzats en l'entorn escolar, amb l'única finalitat que els familiars puguen tindre-hi accés. Aquest accés hauria de dur-se a terme sempre en un entorn segur que exigisca la identificació i autenticació prèvies de l'alumnat, mares, pares o tutors ?per exemple en una àrea restringida de la intranet del centre?, i s'hauria de limitar a la informació corresponent a esdeveniments en els quals la persona concreta haja participat. En tot cas, caldria recordar als qui accedeixen a la informació que no poden, al seu torn, divulgar-la de forma oberta.  
  
5.2.3. Publicació en el blog de dades de l'alumnat  
Com en el cas de la web, si el contingut del blog en obert del centre educatiu inclou dades que permeten la identificació de l'alumnat, es requerirà el seu consentiment o el dels seus pares, mares o tutors.  
  
En aquests casos s'aconsella dissociar o anonimitzar les dades de l'alumnat, de manera que no se'ls puga identificar.  
5.2.4 Publicació d'informació acadèmica i/o de l'alumnat en blogs del professorat  
El blog del professorat és un mitjà d'informació i comunicació al marge de la funció docent que desenvolupa en els centres educatius. Del seu contingut serà responsable el docent, que haurà d'observar la normativa de protecció de dades si inclou informació de caràcter personal.  
  
Per tant, llevat que es compte amb el consentiment de les persones afectades, o dels seus pares, mares o tutors, no es poden publicar en el blog d'un docent dades de caràcter personal que permeten identificar l'alumnat.  
Igual que amb els blogs dels centres educatius, es podria publicar la informació prèvia dissociació o anonimització de les dades de l'alumnat, de manera que no se'ls puga arribar a identificar.  
5.3. Publicació de dades en xarxes socials  
La publicació de dades personals en xarxes socials per part dels centres educatius requereix comptar amb el consentiment inequívoc de les persones implicades, a les quals caldrà informar prèviament de manera clara de les dades que es publicaran, en quines xarxes socials, amb quina finalitat, qui pot accedir a les dades, així com de la possibilitat d'exercitar els seus drets d'accés, rectificació, cancel·lació i oposició.  
  
L'RGPD inclou l'obligació d'informar sobre el termini durant el qual es conservaran les imatges o, si no fora possible, dels criteris per a determinar-lo.  
  
6. Certificats del Registre central de delinqüents sexuals  
Per a exercir i accedir a les professions, oficis i activitats que impliquen contacte habitual amb menors, és requisit no haver sigut condemnat per sentència ferma per algun delicte contra la llibertat i indemnitat sexual, que inclou l'agressió i abús sexual, assetjament sexual, exhibicionisme i provocació sexual, prostitució i explotació sexual i corrupció de menors, així com per tràfic d'éssers humans. A aquest efecte, qui pretenga l'accés a aquestes professions, oficis o activitats haurà d'acreditar aquesta circumstància mitjançant l'aportació d'una certificació negativa del Registre central de delinqüents sexuals.  
Una vegada iniciada la relació o aportat el certificat negatiu no caldria una nova aportació o renovació periòdica d'aquest, a pesar que aquest certificat puga ser de data molt anterior.  
En aquest cas, donada l'existència i permanència de la relació, podrà considerar-se que les dades objecte de conservació i tractament mantenen la seua certesa llevat que es tinga coneixement de la concurrència de noves circumstàncies que exigisquen la seua actualització, la qual cosa podrà implicar l'exigència a la persona empleada d'un nou certificat del Registre central de delinqüents sexuals per a comprovar l'exactitud de les dades.  
  
7. Videovigilància  
La instal·lació de sistemes de videovigilància amb la finalitat de garantir la seguretat de persones i instal·lacions en els centres educatius és una realitat en un important nombre de centres, i la tendència és que vaja en augment.  
La implantació de càmeres de videovigilància que responga a l'interés legítim dels centres i de la conselleria competent en matèria d'educació a mantindre la seguretat i integritat de persones i instal·lacions, ha d'observar la normativa de protecció de dades personals en la mesura que implica el tractament de les dades d'alumnes, professors, familiars, etc.  
Donat el caràcter intrusiu d'aquests sistemes en la intimitat de les persones, la seua instal·lació ha de respondre als criteris de necessitat, idoneïtat per a les finalitats preteses, ?que no es puguen aconseguir amb una mesura menys invasiva de la intimitat- i proporcionalitat ?que oferisca més beneficis que perjudicis. Per exemple, quan el motiu per a la instal·lació d'aquests sistemes siga evitar danys materials, robatoris i furts que es poden arribar a produir, es podria limitar el seu funcionament a les hores no lectives, de manera que es minimitzara l'impacte en la privacitat de les persones.  
En l'annex II es pot consultar la normativa específica sobre videovigilància.  
7.1. Instal·lació de càmeres de videovigilància en totes les instal·lacions del col·legi  
Donada la intromissió que suposa en la intimitat de les persones, tant de l'alumnat com del professorat i altres persones la imatge de les quals pot ser captada per les càmeres, els sistemes de videovigilància no podran instal·lar-se en lavabos, vestuaris o zones de descans de personal docent o d'altres treballadors.  
7.2. Instal·lació de càmeres de videovigilància en les aules per motius de conflictivitat  
La instal·lació de càmeres de videovigilància en les aules per motius de conflictivitat seria desproporcionat, perquè durant les classes ja està present un professor o professora. A més d'una intromissió en la privacitat de l'alumnat, podria suposar un control laboral desproporcionat del professorat.  
Hi hauria la possibilitat que, fora de l'horari lectiu i en els supòsits de desocupació de les aules, es pogueren activar mecanismes de videovigilància amb la finalitat de protecció de l'alumnat i d'evitar danys en les instal·lacions i materials.  
7.3. Instal·lació de càmeres de videovigilància als patis d'esbarjo i menjadors  
Quan la instal·lació responga a la protecció de l'interés superior de les persones menors, atés que, sense perjudici d'altres actuacions com el control presencial per persones adultes, es tracta d'espais en els quals es poden produir accions que posen en risc la seua integritat física, psicològica i emocional.  
7.4. Informació de l'existència d'un sistema de videovigilància  
El centre ha d'informar de l'existència d'un sistema de videovigilància col·locant un distintiu en lloc prou visible en aquells espais on s'hagen instal·lat les càmeres.  
També s'haurà de disposar d'una clàusula informativa que incloga els aspectes exigits per la normativa.  
  
8. Tractament de dades per les AMPA  
Les associacions de mares i pares d'alumnes (AMPA) són entitats amb personalitat jurídica pròpia que formen part de la comunitat educativa i exerceixen un paper significatiu en la vida educativa en participar en el consell escolar dels centres públics.  
Per a l'exercici de les seues funcions, les AMPA solen tractar dades de caràcter personal, identificatives dels familiars d'alumnes i d'aquests, així com altres tipus de dades com poden ser les econòmiques, professionals, socials, etc.  
Com a entitats amb personalitat jurídica pròpia que decideixen sobre la finalitat, ús i contingut de les dades personals a recollir dels associats i dels seus fills, les AMPA són responsables del seu tractament, per la qual cosa han de complir amb les obligacions de la normativa de protecció de dades.  
8.1. Consentiment per al tractament de dades de les seues persones associades i d'alumnes  
Si els pares, les mares o els tutors són associats de l'AMPA, el tractament estarà emparat per la relació que vincula l'AMPA amb els seus associats, per la qual cosa no serà necessari el consentiment dels progenitors, als quals en tot cas caldrà informar sobre el tractament que es fa de les seues dades.  
Si no hi estan associats, caldria obtindre el seu consentiment.  
8.2. Comunicació d'informació sobre alumnes des dels centres a les AMPA  
Si no són associats, els centres educatius poden facilitar a les AMPA informació personal de contacte de l'alumnat i els seus familiars solament si els centres disposen del consentiment previ dels alumnes o dels seus pares o tutors si són menors.  
Els centres podran recollir el consentiment dels interessats a aquest efecte, als quals caldrà informar de la finalitat de la comunicació de dades.  
8.3. Tractament de dades de l'alumnat per part de l'AMPA  
Les AMPA poden tractar les dades de l'alumnat per compte del centre educatiu només en aquells casos en què les AMPA presten un servei al centre que requerisca el tractament d'aquestes dades.  
En aquests casos l'AMPA actua com un encarregat del tractament i aquest fet requereix l'existència d'un contracte que incloga les garanties adequades.  
8.4. Publicació de dades de l'alumnat en la web de l'AMPA o xarxes socials  
Només podran publicar continguts relatius a les dades de l'alumnat o els seus familiars en la web o xarxes socials de l'AMPA si compten amb el seu consentiment, o el dels seus pares o tutors si són menors, prèvia informació sobre la finalitat de la publicació.  
  
9. Drets en matèria de protecció de dades  
Aquests drets són els d'accés, rectificació, cancel·lació i oposició, coneguts pel seu acrònim ARCO, i es poden descriure de la manera següent:  
- El dret d'accés permet als titulars de les dades personals conéixer i obtindre gratuïtament informació sobre si les seues dades de caràcter personal estan sent objecte de tractament, amb quina finalitat, quin tipus de dades té el responsable del tractament, el seu origen, si no procedeixen dels interessats, i els destinataris de les dades.  
- El dret de rectificació permet corregir errors, modificar les dades que resulten ser inexactes o incompletes i garantir la certesa de la informació objecte de tractament.  
- El dret de cancel·lació permet que se suprimisquen les dades que resulten ser inadequades o excessives. La revocació del consentiment dona lloc a la cancel·lació de les dades quan el seu tractament hi estiga basat.  
- El dret d'oposició és el dret que té la persona interessada que, per motius relacionats amb la seua situació personal, no es duga a terme el tractament de les seues dades de caràcter personal o se cesse en aquest.  
El centre té obligació de contestar a les persones interessades sempre, encara que no es dispose de les dades sobre les quals verse el dret exercitat; en aquest cas caldrà respondre en aquest sentit, informant-los del dret a presentar, si escau, una reclamació davant de l'Agència Espanyola de Protecció de Dades o al delegat de l'Oficina de Protecció de Dades de la Generalitat.  
9.1. Dret d'accés  
9.1.1. Obligacions  
Els responsables del tractament, en el termini d'un mes, han de facilitar als interessats la informació sobre les seues dades personals o, si escau, comunicar-los que no disposen d'aquestes.  
Aquesta obligació es pot complir de diverses maneres: visualització en pantalla, escrit, còpia o fotocòpia, correu electrònic o qualsevol altre sistema de comunicacions electrònic o que resulte adequat.  
Si la sol·licitud d'accés es formula per mitjans electrònics, es facilitarà en un format electrònic d'ús comú, llevat que s'haja sol·licitat rebre-la d'una altra manera.  
9.1.2. Diferències entre dret d'accés a dades i dret d'accés a l'expedient escolar  
El dret d'accés a les dades personals és independent del dret d'accés a l'expedient, a la informació i la documentació, que es regeixen per una altra normativa. Conforme a la normativa de protecció de dades, no hi ha obligació de facilitar còpia de l'expedient escolar, sense perjudici de l'accés a la informació en el marc de la legislació sectorial.  
  
L'RGPD estableix que el responsable del tractament facilitarà una còpia de les dades personals dels interessats que, en cap cas, afectarà negativament els drets i llibertats d'altri.  
La documentació relativa a les dades de salut rep el tractament d'informació clínica, còpia de la qual s'ha de facilitar als interessats, en aplicació de la Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica i de la normativa autonòmica.  
9.1.3. Gratuïtat del dret d'accés  
La informació que es facilite ha de ser gratuïta. No obstant això, si el centre o l'Administració educativa oferira un procediment per a fer efectiu el dret d'accés i l'afectat exigira que aquest dret es materialitzara a través d'un procediment que implique un cost desproporcionat, que tinga el mateix efecte i garantisca la mateixa seguretat que el procediment oferit, les despeses derivades de la seua elecció seran per compte de l'afectat.  
9.2. Dret de rectificació  
Els alumnes o els seus representants legals, en el seu cas, poden sol·licitar la rectificació de les dades dels seus expedients escolars sempre que s'hi constate un error. El centre o l'Administració educativa hauran de corregir-lo sempre que s'acredite l'error. El dret es podrà exercitar tantes vegades com s'advertisquen errors.  
Aquest dret de rectificació no s'aplica a les qualificacions o al contingut dels informes de l'expedient escolar, que es regeixen per la seua normativa específica.  
El dret de rectificació no pot exercitar-se per a modificar un informe d'avaluació sociopsicopedagògica ja que el dret de rectificació es refereix a modificar les dades de caràcter personal que siguen inexactes o incompletes ?com pot ser el canvi d'adreça postal?, però no es pot utilitzar per a tractar de modificar l'opinió expressada per un professional a través de l'informe corresponent, que es regeix per la seua normativa específica.  
9.3. Dret de cancel·lació  
9.3.1. Cancel·lació d'informació d'expedients acadèmics a sol·licitud d'alumnes, pares, mares o tutors  
Sense perjudici del que estableix la normativa d'educació aplicable, la informació dels expedients acadèmics requereix la seua conservació en la mesura en què pot ser sol·licitada pels alumnes després de finalitzats els estudis.  
9.3.2. Cancel·lació de dades de salut obtinguts per l'equip d'orientació educativa  
Es cancel·laran quan no siguen necessàries per al desenvolupament de la funció educativa i, si escau, en finalitzar l'escolarització de l'alumne en el centre.  
9.4. Dret d'oposició  
9.4.1. Oposició a la publicitat de dades d'alumnes o els seus familiars  
Alumnes o familiars poden oposar-se a la publicitat de les seues dades quan hi haja un motiu legítim i fundat, referit a una concreta situació personal, per a oposar-se a la publicitat de la seua informació personal. Com poguera ser el cas en què una sentència judicial haja resolt l'allunyament d'un dels progenitors o se l'haja privat de la pàtria potestat i la publicitat d'informació personal puga representar un risc per a la integritat física i psíquica de l'alumne o de l'altre progenitor.  
  
  
  
ANNEX II   
Marc normatiu  
  
Estatal  
- Constitució Espanyola (articles 18.4 i 27).  
- Llei orgànica 15/1999, de 15 de desembre, de protecció de dades de caràcter personal (aplicable fins al 24.05.2018).  
- Reglament de la Llei orgànica 15/1999, de 15 de desembre, de protecció de dades de caràcter personal, aprovat pel Reial decret 1270/2007, de 23 de desembre (aplicable fins al 24.05.2018).  
- Instrucció 1/2006, de 8 de novembre, de l'Agència Espanyola de Protecció de Dades, sobre el tractament de dades personals amb finalitats de vigilància a través de sistemes de càmeres o càmeres de vídeo.  
- Llei orgànica 2/2006, de 3 de maig, d'educació.  
- Llei orgànica 1/1996, de 15 de gener, de protecció jurídica del menor.  
- Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica.  
  
Europea  
- Conveni 108 del Consell d'Europa, de 28 de gener de 1981, per a la protecció de les persones respecte al tractament automatitzat de dades de caràcter personal i el seu protocol de l'any 2001.  
- Directiva 95/46/CE del Parlament Europeu i del Consell, de 24 de desembre de 1995, relativa a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (aplicable fins al 24.05.2018).  
- Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades, aplicable a partir del 25.05.2018).  
  
  
Autonòmica  
- Decret 66/2012, de 27 d'abril, del Consell, pel qual s'estableix la política de seguretat de la informació de la Generalitat.  
- Decret 130/2012, de 24 d'agost, del Consell, pel qual s'estableix l'organització de la seguretat de la informació de la Generalitat.  
  
- Ordre 19/2013, de 3 de desembre, de la Conselleria d'Hisenda i Administració Pública, per la qual s'estableixen les normes sobre l'ús segur de mitjans tecnològics en l'Administració de la Generalitat.  
  
- Ordre de 3 de desembre de 1999, de la Conselleria de Justícia i Administracions Públiques, per la qual s'aprova el Reglament tècnic de mesures de seguretat per a l'aprovació i homologació d'aplicacions i mitjans de tractament automatitzat de la informació.  
- Resolució de 12 de març de 2013, de la Direcció General de Centres i Personal Docent, de la Conselleria d'Educació, Cultura i Esport, per la qual es dicten instruccions en matèria de seguretat dels sistemes de videovigilància dels centres educatius públics de titularitat de la Generalitat.  
  
Agència Espanyola de Protecció de Dades  
- Guia de protecció de dades en centres educatius, de l'Agència Espanyola de Protecció de Dades.  
  
  
ANNEX III  
Tractaments inscrits en l'Agència Espanyola de Protecció de Dades  
  
Relació de fitxers declarats actualment per la Conselleria d'Educació, Investigació, Cultura i Esport, que apliquen directament a centres educatius:  
- Alumnes  
- Alumnes desplegat  
- Pràctiques formatives  
- Personal docent  
- Personal docent desplegat  
- Gestió patrimonial  
- Beques  
- Videovigilància  
  
La normativa que regula la regularització dels fitxers és la següent:  
  
- Ordre de 25 d'agost de 2008, de la Conselleria d'Educació, per la qual s'inscriuen i suprimeixen fitxers de dades de caràcter personal gestionats per la Conselleria d'Educació.  
- Correcció d'errors de l'Ordre de 25 d'agost de 2008, de la Conselleria d'Educació, per la qual s'inscriuen i suprimeixen fitxers de dades de caràcter personal gestionats per la Conselleria d'Educació.  
  
- Ordre de 3 de juny de 2009, de la Conselleria d'Educació, per la qual s'aprova la modificació de fitxers amb dades de caràcter personal gestionats per la Conselleria.  
- Ordre 14/2011, de 7 d'octubre, de la Conselleria d'Educació, Formació i Ocupació, per la qual es crea el fitxer amb dades de caràcter personal de videovigilància.  
  
  
ANNEX IV  
Models amb exemples de registre de les activitats de tractament de dades  
  
Es realitzarà i mantindrà un arxiu com a Registre d'activitats de tractament de dades (RAT) a la disposició de qui manifeste interés legítim en una activitat que requerisca de tractament de dades.  
1. Model de registre d'activitat que no requereix consentiment  
S'haurà d'adaptar el contingut de cada camp a cada cas a tractar, o al centre concret:  
  
DENOMINACIÓ DE L'ACTIVITAT DE TRACTAMENT: Enregistrament de prova d'avaluació d'un exercici de dansa  
RESPONSABLE DEL TRACTAMENT: Centre educatiu (adreça, correu electrònic)  
Conselleria d'Educació, Investigació, Cultura i Esport (adreça, correu electrònic)  
EXERCICI DE DRETS DAVANT: Centre (adreça, correu electrònic)  
FINALITATS O USOS DEL TRACTAMENT Gestió dels expedients acadèmics de l'alumnat del centre: avaluacions, realització de treballs i exàmens, etc.  
BASE JURÍDICA, LICITUD O LEGITIMACIÓ - Art. 6.1.e RGPD: el tractament és necessari per al compliment d'una missió realitzada en interés públic o en l'exercici de poders públics conferits al responsable del tractament, per la qual cosa no seria necessari el consentiment.  
  
- Llei orgànica 2/2006, de 3 de maig, d'educació.  
  
- Normativa específica: decret de currículum, ordre d'avaluació.  
TERMINI DE CONSERVACIÓ Es conservaran durant el temps necessari per a complir amb la finalitat per a la qual es van recollir i per a determinar les possibles responsabilitats que es pogueren derivar d'aquesta finalitat i del tractament de les dades. Serà aplicable el que es disposa en la normativa d'arxius i documentació.  
TIPOLOGIA O CATEGORIES DE DADES DE CARÀCTER PERSONAL Caràcter identificatiu: nom i cognoms; NIA; grup; imatges.  
Altres dades: les derivades dels treballs, exàmens i activitats avaluades.  
CATEGORIES D'INTERESSATS O AFECTATS I ORIGEN DE LES DADES Alumnat del grup.  
Professorat del grup.  
CESSIÓ O COMUNICACIÓ DE DADES (Categoria de Destinataris) Administració educativa.  
En cas de trasllat d'expedient es comunicaran les dades al centre educatiu de destinació.  
En cas de programes d'intercanvi, es comunicaran les dades al centre de destinació.  
TRANSFERÈNCIES INTERNACIONALS En cas de participar en un programa internacional, es comunicaran les dades al centre de destinació situat al país o estat sol·licitat per l'interessat.  
MESURES DE SEGURETAT, TÈCNIQUES I ORGANITZATIVES Les mesures de seguretat implantades es corresponen amb les previstes en l'annex II (Mesures de seguretat) del Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema nacional de seguretat en l'àmbit de l'Administració electrònica.  
  
  
  
2. Model de registre d'activitat que sí que requereix consentiment  
S'haurà d'adaptar el contingut de cada camp a cada cas a tractar, o al centre concret:  
  
DENOMINACIÓ DE L'ACTIVITAT DE TRACTAMENT: Captació d'imatges d'activitat extraescolar amb finalitats promocionals del centre  
RESPONSABLE DEL TRACTAMENT: Centre educatiu (adreça, correu electrònic)  
EXERCICI DE DRETS DAVANT: Centre (adreça, correu electrònic)  
Nom i adreça de l'empresa que realitza l'enregistrament de l'activitat  
FINALITATS O USOS DEL TRACTAMENT Difusió per canals públics de les activitats del centre a efectes divulgatius de la seua activitat i promocionals.  
BASE JURÍDICA, LICITUD O LEGITIMACIÓ - Article 6.1.b del RGPD, el tractament és necessari per a l'execució d'un contracte en el qual l'interessat és part o per a l'aplicació a petició d'aquest de mesures precontractuals.  
- Quant a les finalitats promocionals i publicació en xarxes socials (art. 6.1.a RGPD), es requereix el consentiment de l'interessat per al tractament de les seues dades personals per a una o diverses finalitats específiques.  
TERMINI DE CONSERVACIÓ Es conservaran a la disposició de la comunitat educativa durant dos cursos acadèmics. Finalitzat aqueix període, es conservaran únicament amb finalitats d'arxiu.  
TIPOLOGIA O CATEGORIES DE DADES DE CARÀCTER PERSONAL Caràcter identificatiu: nom i cognoms; NIA; grup; imatges  
CATEGORIES D'INTERESSATS O AFECTATS I ORIGEN DE LES DADES Alumnat del grup.  
Professorat del grup.  
CESSIÓ O COMUNICACIÓ DE DADES (Categoria de Destinataris) Declaració dels comptes oficials en xarxes socials, o en la web, o en blogs.  
TRANSFERÈNCIES INTERNACIONALS No estan previstes transferències internacionals de dades.  
MESURES DE SEGURETAT, TÈCNIQUES I ORGANITZATIVES Les mesures de seguretat implantades es corresponen amb les previstes en l'annex II (Mesures de seguretat) del Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema nacional de seguretat en l'àmbit de l'Administració electrònica  
  
  
  
  
ANNEX V  
Model de sol·licitud de consentiment per a la recollida de dades  
  
Haurà de ser adaptat per a cada centre i situació, però amb la mateixa informació que continga el Registre d'activitat de tractament (RAT) que consta en l'annex IV:  
  
(Nom) ..., amb DNI ..., pare, mare o tutor legal de ..., en ... el dia ..., manifeste:  
  
1. Que se m'ha informat per part dels responsables del centre educatiu ... que:  
a) Es realitzarà una activitat que requereix el consentiment explícit per a la recollida de dades denominada «DENOMINACIÓ DE L'ACTIVITAT DE TRACTAMENT (vegeu RAT)».  
b) Que la finalitat de l'activitat o l'ús del tractament de les dades serà «FINALITATS O USOS DEL TRACTAMENT (vegeu RAT)».  
  
c) Que el responsable del tractament de les dades és «RESPONSABLE DEL TRACTAMENT (vegeu RAT)».  
d) Els drets prevists en la normativa vigent en matèria de protecció de dades personals permeten sol·licitar l'accés a aquestes dades, la seua rectificació o supressió, limitar el tractament o oposar-s'hi per mitjà d'un escrit que acredite suficientment la identitat i que vaja dirigit a (nom del centre, adreça postal i electrònica).  
e) És possible trobar més informació en el Registre de les activitats de tractament (disposar un enllaç al RAT centre i a la Conselleria, si és el cas). D'igual manera també es pot demanar una còpia del Registre d'activitats del tractament en la consergeria del centre.  
  
2. En relació amb la informació anterior, done el meu consentiment perquè el centre puga fer ús de (imatges/dades/?) del/la menor a qui represente per a:  
(Indicar l'objecte: publicació d'imatges en la web del centre, xarxes socials...)  
  
3. En qualsevol moment es podrà retirar el consentiment anterior mitjançant escrit que acredite suficientment la identitat i dirigit a l'adreça del centre (disposar l'adreça postal del centre) o a la següent adreça de correu electrònic (adreça de correu electrònic oficial del centre @gva.es). La suspensió del consentiment no tindrà caràcter retroactiu a actuacions explícitament consentides i realitzades amb anterioritat a la data de la seua recepció.  
  
4. Així mateix se m'ha informat sobre la possibilitat de presentar una reclamació davant l'autoritat nacional de control competent en matèria de protecció de dades (Agència Espanyola de Protecció de Dades - AEPD), especialment quan no haja obtingut resposta satisfactòria en l'exercici dels drets. I que es pot contactar amb aqueixa Agència a través del següent enllaç: www.aipd.es accedint a la pestanya «Canal del ciutadà».  
  
I en prova de conformitat, signe el present document en el lloc i la data indicats en l'encapçalament.  
  
Nom i cognoms:  
Signatura de pare, mare o tutor  
  
Nom i cognoms:  
Signatura de l'alumna o alumne major de 14 anys.  
  
(El Projecte de Llei orgànica de protecció de dades preveu que els majors de 14 anys puguen atorgar el consentiment excepte en supòsits on la llei exigisca l'assistència dels titulars de la pàtria potestat o tutela per a la celebració de l'acte o negoci jurídic en el context del qual es recapta el consentiment per al tractament, es recomana que el consentiment el preste tant l'alumnat com els seus representants legals)  
  
  
  
  
ANNEX VI  
Model de cartell d'avís per a la captació d'imatges per mares, pares o familiars  
  
AVÍS: CAPTACIÓ D'IMATGES P  
ER PARES I FAMILIARS  
  
EL CENTRE EDUCATIU INFORMA MARES, PARES I FAMILIARS QUE CONFORME A LES RECOMANACIONS DE L'AGÈNCIA ESPANYOLA DE PROTECCIÓ DE DADES:  
- ES PODEN PRENDRE FOTOGRAFIES I VÍDEOS DE LES ACTIVITATS DESENVOLUPADES EN EL CENTRE.  
- LES IMATGES ES REALITZARAN EXCLUSIVAMENT PER AL SEU ÚS PERSONAL I DOMÈSTIC.  
- QUEDA PROHIBIDA LA DIFUSIÓ DE LES IMATGES FORA DE L'ÀMBIT PRIVAT, COM BLOGS O XARXES SOCIALS (FACEBOOK, INSTAGRAM, ETC.)  
- EL CENTRE NO ES FA RESPONSABLE DE LA CAPTACIÓ I ÚS DE LES IMATGES AMB FINALITATS PERSONALS I DOMÈSTIQUES, SENT ELS PARES I FAMILIARS ELS ÚNICS RESPONSABLES EN RELACIÓ AMB AQUESTS.  
  
GRÀCIES PER LA SEUA ATENCIÓ



Descarregar el document amb format PDF

Descarregar les metadades en format XML

Diari Oficial de la Generalitat Valenciana




DOGV - Disposición
==================

Comparte

Comparte

Volver

Guardar el documento Descargar los metadatos en formato XML

Sumario DOGV 8436, del 03-12-2018 (2018/11040)

RESOLUCIÓN de 28 de junio de 2018, de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte, por la que se dictan instrucciones para el cumplimiento de la normativa de protección de datos en los centros educativos públicos de titularidad de la Generalitat.
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

### Datos del documento

Número DOGV
:   8436

Fecha DOGV
:   03-12-2018

Sección del DOGV
:   III. ACTOS ADMINISTRATIVOS - C) OTROS ASUNTOS

Número del documento
:   2018/11040

CVE


Fecha del documento
:   28-06-2018

Organismo emisor
:   Conselleria de Educación, Investigación, Cultura y Deporte

Tipo de documento
:   Resolución

Análisis jurídico

 Descriptores 

:   * [Conselleria de Educación, Investigación, Cultura y Deporte](javascript:void(0))

RESOLUCIÓN de 28 de junio de 2018, de la Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte, por la que se dictan instrucciones para el cumplimiento de la normativa de protección de datos en los centros educativos públicos de titularidad de la Generalitat. [2018/11040]  
La Ley orgánica 2/2006, de 3 de mayo, de educación, determina que los responsables de la educación deben proporcionar a los centros los recursos y los medios que necesitan para desarrollar su actividad y alcanzar tal objetivo, mientras que estos deben utilizarlos con rigor y eficiencia para cumplir su cometido del mejor modo posible. Es necesario, por tanto, que la normativa combine ambos aspectos, estableciendo las normas comunes que todos tienen que respetar, así como el espacio de autonomía que se ha de conceder a los centros docentes.  
El Reglamento general de protección de datos (RGPD), publicado en mayo de 2016 y aplicable desde 25 de mayo de 2018, es una norma de aplicación directa en toda la Unión Europea, relativo a la protección de las personas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. El RGPD ha sustituido, desde mayo de 2018, a la actual Ley orgánica de protección de datos y al reglamento que la desarrolla, e introduce una serie de cambios y novedades a los cuales es necesario adaptar los actuales tratamientos.  
El RGPD menciona expresamente el principio de responsabilidad proactiva y lo describe como la necesidad de que se apliquen medidas técnicas y organizativas apropiadas por el responsable del tratamiento, con el fin de garantizar que el tratamiento es conforme a lo dispuesto en le RGPD.  
La Subsecretaría de la Conselleria de Educación, Investigación, Cultura y Deporte es el órgano responsable de los ficheros de datos de carácter personal según establece el artículo 9 del Decreto 130/2012, de 24 de agosto, del Consell, por el que se establece la organización de la seguridad de la información de la Generalitat, y debe velar, dentro de su ámbito de competencia por el cumplimiento de la legislación en materia de protección de datos. Por tanto, resulta necesario dictar instrucciones respecto a las medidas a llevar a cabo por los centros educativos públicos donde existan tratamientos de datos de carácter personal.  
El director o directora del centro educativo deberá dar cumplimiento con los principios y medidas de seguridad recogidas en el anexo I. Dicho anexo será difundido por el director o directora en el propio centro educativo al resto del equipo directivo, al claustro de profesores, al consejo escolar, así como a cualquier otro órgano colegiado del centro que considere oportuno.  
Los datos personales que se almacenen (tanto en soporte informático como en papel) que no estén en el sistema informático para la gestión del centro educativo proporcionado por la conselleria competente en materia de educación, serán los estrictamente necesarios para contactar con el alumnado o representante legal del mismo en caso de fallo puntual del sistema de información.  
Por todo ello, y en virtud de las competencias establecidas en el Decreto 186/2017, de 24 de noviembre, del Consell, por el que aprueba el Reglamento orgánico y funcional de la Conselleria de Educación, Investigación, Cultura y Deporte, resuelvo:  
  
Primero  
Aprobar el manual informativo incluido en el anexo I, al que deberá ajustarse la organización y los tratamientos de información de los centros educativos públicos de la Generalitat.  
2. Establecer el marco normativo que figura en el anexo II.  
3. Establecer plantillas y modelos de referencia para la aplicación de las materias y procedimientos descritos en el manual informativo en el anexo III.  
  
València, 28 de junio de 2018.- El subsecretario: José Vicente Villar Rivera.  
  
  
ANEXO I  
Manual informativo en materia de protección de datos para los centros educativos públicos de titularidad de la Generalitat  
  
1. Conceptos básicos  
1.1. Un dato de carácter personal es cualquier información alfanumérica, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.  
1.2. Las categorías especiales de datos se refieren a aquellos que revelan circunstancias o información de las personas sobre su esfera más íntima y personal, incluyendo de forma específica en estas categorías los datos biométricos y los datos genéticos. Requieren que se les preste una especial atención y se adopten las medidas técnicas y organizativas necesarias para evitar que su tratamiento origine lesiones en los derechos y libertades de los titulares de los datos.  
Forman parte de esta categoría de datos personales aquellos que:  
- Sean relativos a la salud.  
- Revelen ideología, afiliación sindical, religión y creencias.  
- Hagan referencia al origen racial y a la vida sexual.  
- Se refieran a la comisión de infracciones penales o administrativas.  
En el ámbito educativo es frecuente, sobre todo, el tratamiento de datos relativos a la salud física o mental del alumnado, incluida la prestación de servicios de atención sanitaria que revelan información sobre su estado de salud.  
1.3. Los datos de carácter personal son de las personas interesadas: alumnado, madres y padres, tutores, profesorado o personal de administración y servicios.  
Cada persona es titular de sus respectivos datos de carácter personal.  
1.4. Un fichero es todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado, repartido de forma funcional o geográfica.  
El Reglamento general de protección de datos, desde ahora y en adelante RGPD, suprime la obligación de notificar los ficheros a la Agencia Española de Protección de Datos y a las autonómicas, y se centra en las actividades del tratamiento.  
1.5. Cualquier actividad en que estén presentes datos de carácter personal constituirá un tratamiento de datos, ya sea realizada de manera manual o automatizada, totalmente o parcialmente, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.  
1.6. El responsable del tratamiento es la persona física que decide sobre la finalidad, contenido y uso del mismo, bien por decisión directa o porque así le viene impuesto por una norma legal. Es lo que la responsabilidad del tratamiento de datos es la persona titular de la subsecretaría de la conselleria competente en materia de educación.  
1.7. El encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.  
En determinados casos, los centros educativos para cumplir sus funciones necesitan contar con la colaboración de otras personas o entidades que no forman parte de su organización, por ejemplo, para el servicio de comedor, servicio médico, transporte o para la realización de actividades extraescolares.  
Estas personas y entidades para prestar sus servicios también tratan los datos de carácter personal del alumnado y de sus familiares o tutores, pero lo hacen por encargo del responsable del tratamiento, es decir del centro o de la Administración educativa.  
Las empresas que realizan este tipo de servicios tienen, en relación con el tratamiento de datos personales que realizan, la consideración de encargados de tratamiento.  
Es necesario que el tratamiento de datos que implica la prestación del servicio se rija por un contrato que deberá incluir las garantías adecuadas.  
No se consideran encargados del tratamiento a las personas físicas que tengan acceso a los datos personales en su condición de empleados del centro o de la Administración educativa que son los responsables del tratamiento.  
1.8. La cesión de datos supone su revelación a una persona distinta de su titular.  
Los destinatarios de los datos serán las personas físicas o jurídicas, autoridades públicas, servicios u otros organismos a los que se les comuniquen.  
Sin embargo, no se consideran cesiones de datos las comunicaciones de los datos del alumnado a las empresas que tengan la condición de encargados del tratamiento, conforme a lo que se indica en el apartado anterior.  
1.9. Siempre que los datos personales se envían fuera del ámbito de Espacio Económico Europeo (EEE, constituido por todos los estados miembros de la Unión Europea, más Noruega, Islandia y Liechtenstein), se produce una transferencia internacional de datos, ya se realice para que el destinatario de los datos preste un servicio al centro educativo o para que los trate para una finalidad propia.  
  
2. Principios de protección de datos  
2.1. Legitimación para el tratamiento de datos  
El tratamiento de datos personales necesita estar legitimado. Por tanto, se pueden tratar los datos si sus titulares prestan su consentimiento previo. Cuando el titular de los datos es un menor de edad, o menor de una determinada edad establecida por Ley, el consentimiento deberá prestarse por sus familiares o tutores.  
El consentimiento para tratar datos personales se puede revocar en cualquier momento, pero la revocación no surtirá efectos retroactivos y se tiene que informar de ello a los interesados.  
Pero además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. La principal de ellas es la referida a los supuestos en que una norma con rango de ley autorice el tratamiento o incluso obligue al responsable a llevarlo a cabo.  
También será legítimo el tratamiento de datos cuando sea necesario para el desarrollo y ejecución de una relación jurídica entre la persona responsable y la afectada, o para la satisfacción de un interés legítimo del responsable siempre que dicho interés no prevalezca sobre los derechos y libertades de los afectados, en particular cuando estos sean menores.  
Los centros docentes están legitimados por la Ley orgánica 2/2006, de educación (LOE), para el tratamiento de los datos en el ejercicio de la función educativa. También están legitimados para el desarrollo y ejecución de la relación jurídica que se produce con la matriculación del alumno en un centro, así como por el consentimiento de los interesados, o de sus familiares o tutores si son menores.  
2.2. Principio de calidad de los datos  
Los datos han de ser tratados de manera lícita, leal y transparente en relación con su titular. No se pueden recoger ni tratar más datos personales que los estrictamente necesarios para la finalidad perseguida en cada caso (como la educación y orientación de los alumnos o el cumplimiento de relaciones jurídicas o, en su caso, la divulgación y difusión de los centros y de sus actividades). Es decir, deben responder a una finalidad legítima, no se pueden recabar de manera fraudulenta y su utilización debe ser conocida por los titulares.  
Los datos deberán ser exactos y estar actualizados. Se deberán suprimir o actualizar los datos que no son correctos.  
2.3. Transparencia e información  
Cuando se recaban o se obtienen los datos de los interesados, aun cuando no sea necesario su consentimiento, los centros educativos han de facilitarles información de los siguientes extremos:  
- de la existencia de un fichero o tratamiento de datos personales,  
- de la finalidad para la que se recaban los datos y su licitud, por ejemplo, para el ejercicio de la función educativa, o para difundir y dar a conocer las actividades del centro,  
- de la obligatoriedad o no de facilitar los datos y de las consecuencias de negarse,  
- de los destinatarios de los datos,  
- de los derechos de los interesados y dónde ejercitarlos,  
- de la identidad del responsable del tratamiento: el centro o la Administración educativa.  
- de los datos de contacto del delegado de protección de datos.  
- del plazo de conservación de la información.  
2.4. Medidas de seguridad  
Tanto la conselleria competente en materia de educación, como responsable de los tratamientos de datos personales, como los centros educativos deben adoptar una serie de medidas de seguridad, de carácter técnico y organizativo, que garanticen la seguridad de los citados datos.  
El RGPD parte de las siguientes premisas:  
- En primer lugar, relacionado con el principio de responsabilidad activa, las personas responsables deben realizar una valoración del riesgo de los tratamientos que realicen, a fin de establecer qué medidas se deben aplicar y cómo hacerlo.  
- En segundo lugar, y en función de los riesgos detectados en el análisis realizado anteriormente, las personas responsables y encargadas deben adoptar las medidas de seguridad, teniendo en cuenta:  
· el coste de la técnica  
· los costes de aplicación  
· la naturaleza, alcance, contexto y fines del tratamiento  
· los riesgos para los derechos y libertades  
Los centros y la conselleria competente en materia de educación tomarán medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratar dichos datos en el ejercicio de las funciones que tenga asignadas.  
Además, la conselleria competente en materia de educación deberá cumplir, en su caso, con los principios básicos y requisitos mínimos que permitan una protección adecuada de la información de conformidad con lo establecido en el Esquema nacional de seguridad (Real decreto 3/2010, de 8 de enero, por el que se regula el Esquema nacional de seguridad en el ámbito de la administración electrónica), así como la normativa autonómica vigente.  
2.5. Deber de secreto  
Todas las personas del centro que tengan acceso a datos de carácter personal están obligadas a guardar secreto sobre los mismos.  
Este deber de secreto es esencial para garantizar el derecho fundamental a la protección de datos y es de obligado cumplimiento para todas las personas que presten sus servicios en los centros y conselleria competente en materia de educación ?personal docente, personal administrativo o de servicios auxiliares?, en relación con los datos de carácter personal a los que accedan.  
Además, el deber de secreto subsiste incluso una vez finaliza la relación con el responsable o con el encargado de tratamiento.  
2.6. Cancelación de datos  
El tiempo que se deben conservar los datos será el que establezcan las disposiciones aplicables o, en su caso, las relaciones contractuales entre las personas interesadas y los centros educativos. Dada la pluralidad de ficheros y finalidades para las que se recaban y tratan los datos, no se puede establecer un determinado plazo, si bien deberán mantenerse en cuanto que puedan ser necesarios para el ejercicio de alguna acción por parte del alumnado, por lo que resultaría preciso definir el alcance de las responsabilidades de los centros educativos en relación con el contenido y custodia de los datos.  
  
3. Tratamiento de datos por los centros educativos  
La LOE legitima a los centros a recabar datos de carácter personal para la función docente y orientadora del alumnado en referencia a:  
- El origen y ambiente familiar y social.  
- Las características o condiciones personales.  
- El desarrollo y resultados de su escolarización.  
Las circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos.  
Por tanto, la LOE legitima a los centros educativos para recabar y tratar los datos del alumnado y de sus padres o tutores, incluyendo también las categorías especiales de datos, como los de salud o de religión, cuando fuesen necesarios para el desempeño de la función docente y orientadora.  
3.1. Tipología de datos  
3.1.1. Tratamiento de datos familiares del alumnado  
Los centros educativos pueden recabar la información sobre la situación familiar del alumnado. Esta información debe estar actualizada y los progenitores han de informar a los centros sobre cualquier modificación.  
3.1.2. Recogida de datos de salud  
La petición de datos de salud del alumnado deben ser solicitados en la medida en que sean necesarios para el ejercicio de la función educativa. Se pueden distinguir los siguientes momentos:  
- En la matriculación del alumnado: discapacidades, enfermedades crónicas, TDAH, intolerancias alimentarias o alergias.  
- Durante el curso escolar: el tratamiento médico que reciba un alumno o alumna a través del servicio médico o de enfermería que corresponda o los informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro o los informes de los equipos de orientación psicopedagógica.  
3.1.3. Recogida de datos biométricos  
Teniendo en cuenta la intromisión en la intimidad de las personas que el tratamiento de este tipo de datos puede ocasionar, la Agencia Española de Protección de Datos ha admitido la utilización de la huella dactilar para finalidades como el control de acceso al servicio de comedor en centros escolares con un gran número de alumnos, siempre que se adopten medidas que refuercen la confidencialidad de los datos como la conversión de la huella a un algoritmo, el cifrado de la información, la vinculación a un dato distinto de la identificación directa del alumnado o la limitación de los protocolos de acceso a los datos.  
Los datos biométricos entrarían dentro de las categorías especiales de datos.  
3.1.4. Recogida de datos del alumnado para el expediente académico  
Entre los datos que pueden recabar los centros educativos para el ejercicio de la función docente y orientadora sin consentimiento de los alumnos se pueden incluir sus fotografías a los efectos de identificar a cada alumno en relación con su expediente.  
3.1.5. Recogida de datos para otras finalidades  
Los centros pueden recabar datos para otras finalidades legítimas, como puede ser la gestión de la relación jurídica derivada de la matriculación del alumnado, o dar a conocer la oferta académica, participar con el alumnado en concursos educativos u ofrecer servicios deportivos, de ocio o culturales. En estos casos, se podrán recabar bien como consecuencia de la relación jurídica establecida con la matrícula o si media el consentimiento previo del alumnado o de sus familiares.  
Además, con carácter previo a la obtención del consentimiento, se debe cumplir con el derecho de información del alumnado o a sus padres, madres o tutores, cuando corresponda.  
3.2. Procedimiento de recogida  
3.2.1. Información a las personas interesadas  
Siempre es necesario informar a las personas interesados cuando van a recogerse sus datos en formularios de cualquier tipo, tal y como se indica en el apartado 2.3 sobre transparencia e información, mediante una cláusula en el pie del documento o formulario.  
3.2.2. Comunicación de datos de los familiares al centro  
La LOE establece que el alumnado y sus familiares deberán colaborar en la obtención de la información necesaria sin la cual no sería posible el desarrollo de la función educativa, estando los centros exceptuados de solicitar el consentimiento previo en relación con aquellos datos de carácter personal que sean necesarios para dicha finalidad.  
También deben facilitar los datos necesarios para el cumplimiento de la relación jurídica que se establece con la matrícula.  
3.2.3 Consentimiento en la recogida de datos  
El consentimiento se puede incluir en el mismo impreso o formulario en el que se recaban los datos.  
Para los datos que hagan referencia al origen racial, a la salud y a la vida sexual, el consentimiento ha de ser expreso. Por ejemplo, si es un formulario en formato PDF, mediante un campo check que marque la persona solicitante, interesada o representante legal. I si los datos revelan ideología, afiliación sindical, religión o creencias el consentimiento ha de prestarse por escrito.  
3.2.4. Recogida de datos del alumnado por parte del profesorado  
Sin perjuicio de los datos personales recabados por los centros o la conselleria competente en materia de educación al matricularse el alumnado, y que son facilitados al profesorado para el ejercicio de la función docente, cuando estos recaben otros datos de carácter personal, como grabaciones de imágenes o sonido con la finalidad de evaluar sus conocimientos u otros datos relacionados con la realización de dichos ejercicios, o los resultados de su evaluación, podrían hacerlo legalmente, en el marco de las instrucciones, protocolos o régimen interno que el centro o la conselleria competente en materia de educación haya adoptado.  
3.2.5. Recogida de datos familiares del alumnado por parte del profesorado  
Los datos de los familiares del alumnado se recaban por los centros al estar legitimados para ello por la LOE, a cuya información podrá tener acceso el profesorado si la necesita para el ejercicio de la docencia.  
No obstante, si se diera alguna circunstancia en la que el profesorado necesitara conocer los datos de los familiares del alumnado, como podría ser ante situaciones de riesgo, y no dispusieran de ellos, estarían igualmente habilitados para recabarlos del alumnado.  
3.2.6. Acceso al contenido de dispositivos electrónicos  
Dada la información que se contiene en los dispositivos con acceso a internet, así como la trazabilidad que se puede realizar de la navegación efectuada por los usuarios, el acceso al contenido de estos dispositivos del alumnado, incluyendo su clave, supone un acceso a datos de carácter personal que requiere el consentimiento de los interesados o de sus familiares si se trata de menores.  
No obstante, en situaciones en las que pudiera estar presente el interés público, como cuando se ponga en riesgo la integridad de alguna alumna o alumno (situaciones de ciberacoso, sexting, grooming o de violencia de género) el centro educativo podría, previa ponderación del caso y conforme al protocolo que tenga establecido, acceder a dichos contenidos sin el consentimiento de las personas implicadas.  
3.2.7. Utilización de aplicaciones de mensajería por parte del profesorado para comunicación con el alumnado  
Con carácter general, las comunicaciones entre el profesorado y el alumnado deben tener lugar dentro del ámbito de la función educativa y no llevarse a cabo a través de aplicaciones de mensajería instantánea.  
Si fuera preciso establecer canales específicos de comunicación, deberán emplearse los medios y herramientas establecidos por la conselleria competente en materia de educación y puestas a disposición de alumnado y profesorado o por medio del correo electrónico.  
3.2.8. Utilización de aplicaciones de mensajería por parte del profesorado para comunicación con familiares del alumnado  
Las comunicaciones entre el profesorado y los familiares del alumnado deben llevarse a cabo a través de los medios puestos a disposición de ambos por el centro educativo o la conselleria competente en materia de educación.  
3.2.9. Grabación de imágenes de alumnado y difusión a través de aplicaciones de mensajería instantánea a los familiares  
No se permite la grabación de imágenes como parte del ejercicio de la función educativa de la que es responsable el centro docente. No obstante, en aquellos casos en los que el interés superior del menor estuviera comprometido, como en caso de accidentes o indisposiciones en una excursión escolar, y con la finalidad de informar y tranquilizar a las madres y los padres, titulares de la patria potestad, se podrían captar las imágenes y enviárselas.  
3.3. Publicación de datos  
3.3.1. Listados de admitidos  
El centro necesita informar sobre el alumnado que ha sido admitido en la medida en que la admisión se realiza mediante un procedimiento de concurrencia competitiva en el que se valoran y puntúan determinadas circunstancias.  
No obstante, la publicidad deberá realizarse de manera que no suponga un acceso indiscriminado a la información, por ejemplo, publicando la relación de alumnos admitidos en los tablones de anuncios en el interior del centro o en una página web de acceso restringido a quienes hayan solicitado la admisión.  
Esta publicación deberá recoger solamente el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia.  
Esta información, no obstante, estará disponible para los interesados que ejerciten su derecho a reclamar.  
Cuando ya no sean necesarios estos listados, hay que retirarlos, sin perjuicio de su conservación por el centro a fin de atender las reclamaciones que pudieran plantearse.  
3.3.2. Oposición para aparecer publicado en un listado de admisión  
La norma específica sobre medidas de protección integral de violencia de género establece que en actuaciones y procedimientos relacionados con la violencia de género se protegerá la intimidad de las víctimas; en especial, sus datos personales, los de sus descendientes y los de cualquier otra persona que esté bajo su guarda o custodia. En consecuencia, los centros educativos deberán proceder con especial cautela a tratar los datos de los menores que se vean afectados por estas situaciones.  
De conformidad con el artículo 6.4 de la LOPD, el alumnado o sus familiares se pueden oponer a la publicación de su admisión en un centro educativo si se alegan motivos fundamentados y legítimos relativos a su concreta situación personal, como, por ejemplo, razones de seguridad por ser víctima de violencia de género o sufrir algún tipo de amenaza, etc. Si es un menor, el derecho lo tiene que ejercer su tutor legal. El centro educativo lo tiene que excluir del listado de admitidos que se publique.  
3.3.3. Publicación de beneficiarios de becas, subvenciones y ayudas  
La Ley de transparencia y acceso a la información pública y buen gobierno determina la obligación de hacer pública, como mínimo, la información relativa a las subvenciones y ayudas públicas concedidas por las administraciones públicas con indicación de su importe, objetivo o finalidad y los beneficiarios.  
Sin perjuicio de la publicación por parte de la administración convocante, los centros escolares también podrán publicar esta información a efectos informativos de las personas afectadas.  
Cuando se trate de becas y ayudas fundadas en la situación de discapacidad de los beneficiarios será suficiente con publicar un listado con un número de identificación de los beneficiarios, como el del DNI o un número identificador que se hubiera facilitado a los interesados con la solicitud.  
Asimismo, si fueran varios los requisitos a valorar, se podría dar el resultado total y no el parcial de cada uno de los requisitos.  
Si los criterios de las ayudas no se basan en circunstancias que impliquen el conocimiento de categorías especiales de datos hay que valorar si, no obstante, podrían afectar a la esfera íntima de la persona, por ejemplo al ponerse de manifiesto su capacidad económica o su situación de riesgo de exclusión social.  
En estos casos habría que analizar en cada caso si resulta necesario hacer pública dicha información para garantizar la transparencia de la actividad relacionada con el funcionamiento y control de la actuación pública.  
Igualmente, cuando ya no sean necesarios estos listados, habrá que retirarlos.  
3.3.4. Publicación en tablones del alumnado por clases y/o actividades  
Para la organización de la actividad docente los centros distribuyen al inicio de cada curso al alumnado por clases, materias, actividades y servicios.  
Para dar a conocer al alumnado y sus familiares esta distribución, se pueden colocar dichas relaciones en los tablones de anuncios o en las entradas de las aulas, durante un tiempo razonable para permitir el conocimiento por todas las personas interesadas, o bien, a través del sistema ITACA.  
3.3.5. Publicación de menús en el comedor del centro  
En el comedor de los centros educativos se pueden publicar los diferentes menús, ya que puede existir alumnado con necesidades alimentarias especiales, ya sea por razones de salud o religión, pero sin necesidad de que exista un listado con nombre y apellidos de los alumnos en relación con el menú que le corresponde a cada uno de ellos.  
Lógicamente, el centro sí podrá disponer de esos listados para el uso de los mismos por su servicio de comedor, pero sin darles publicidad.  
3.4. Calificaciones  
3.4.1. Publicación de calificaciones escolares  
Las calificaciones del alumnado se han de facilitar al propio alumnado y a sus familiares.  
En el caso de comunicar las calificaciones a través de plataformas educativas, estas solamente deberán estar accesibles para el propio alumnado, sus familiares o tutores, sin que puedan tener acceso a las mismas personas distintas.  
No obstante, sí sería posible comunicar la situación del alumnado en el entorno de su clase, por ejemplo, mostrando su calificación frente a la media de sus compañeros y compañeras.  
3.4.2. Comunicación oral de calificaciones al alumnado  
Puesto que no existe una regulación respecto de la forma de comunicar las calificaciones, sería preferible que las calificaciones se notificasen en la forma indicada en el punto anterior. No obstante, sería posible enunciarlas oralmente, evitando comentarios adicionales que pudieran afectar personalmente al alumno.  
3.5. Acceso a la información del alumnado  
3.5.1. Acceso del profesorado a los expedientes académicos del alumnado matriculado en el centro  
Con carácter general y salvo que existiese alguna causa debidamente justificada, el profesorado ha de tener acceso al expediente académico del alumnado a los que imparte la docencia, sin que esté justificado acceder a los expedientes del resto de alumnado del centro.  
3.5.2. Acceso del profesorado a datos de salud del alumnado matriculado en el centro  
El profesorado ha de conocer y, por tanto, acceder a la información de salud de su alumnado que sea necesaria para la impartición de la docencia, o para garantizar el adecuado cuidado del alumnado, por ejemplo, respecto a discapacidades auditivas, físicas o psíquicas, trastornos de atención, TDAH o enfermedades crónicas.  
Igualmente, han de conocer la información relativa a las alergias, intolerancias alimentarias o la medicación que pudieran requerir para poder prestar el adecuado cuidado al alumno tanto en el propio centro como con ocasión de actividades fuera del centro, como visitas, excursiones o convivencias guiadas por profesores.  
3.5.3. Solicitud por parte de los familiares de los exámenes de sus descendientes  
La solicitud de los familiares para llevarse a casa los exámenes de sus descendientes y repasarlos no depende de la normativa de protección de datos, pues no se trata de un derecho de acceso a los datos, sino de acceso a documentación que, en su caso, deberá ser resuelta por el centro o la conselleria competente en materia de educación con arreglo a su normativa interna y la legislación sectorial que sea de aplicación.  
3.5.4. Acceso de los familiares a información sobre ausencias escolares de sus descendientes  
Las madres y padres, como sujetos que ostentan la patria potestad, entre cuyas obligaciones está la de educarlos y procurarles una formación integral, tienen acceso a la información sobre el absentismo escolar de sus hijos.  
Si los hijos son mayores de edad, al igual que ocurre con las calificaciones escolares, las madres y los padres podrán ser informados del absentismo escolar de sus hijos mayores de edad cuando corrieran con sus gastos educativos o de alimentación, al existir un interés legítimo derivado de su mantenimiento.  
3.5.5. Solicitud, por parte de los familiares, de información sobre datos de salud de sus hijos a los equipos de orientación  
Los familiares pueden solicitar información sobre datos de saludo de sus hijos a los equipos de orientación cuando sus hijos son menores de edad en ejercicio de la patria potestad que se realiza siempre en su beneficio.  
El acceso a dicha información se rige por la legislación sectorial sanitaria, en concreto por la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, o de la normativa que disponga la conselleria competente en materia de salud pública.  
3.5.6. Comunicación de información escolar del alumnado a sus familiares  
Se puede facilitar la información escolar del alumnado solamente a los familiares que ostenten la patria potestad o a los tutores, nunca a otros familiares, salvo que estuvieren autorizados por aquellos y constase claramente esa autorización.  
3.5.7. Acceso a la información académica por padres separados  
En los supuestos de patria potestad compartida, con independencia de quién tenga la custodia, ambos progenitores tienen derecho a recibir la misma información sobre las circunstancias que concurran en el proceso educativo del menor, lo que obliga a los centros a garantizar la duplicidad de la información relativa al proceso educativo de sus hijos, salvo que se aporte una resolución judicial que establezca la privación de la patria potestad a alguno de los progenitores o algún tipo de medida penal de prohibición de comunicación con el menor o su familia.  
En caso de conflicto entre los progenitores sobre el acceso a la información académica de sus hijos, estos deberán dirimir la cuestión ante el poder judicial competente en materia de familia, no ante el centro educativo.  
3.6. Comunicaciones de datos de alumnado  
La comunicación de datos requiere, con carácter general, el consentimiento de las personas interesadas, del alumnado o de sus familiares o tutores si son menores, salvo que esté legitimada por otras circunstancias, como que permita u obligue a ella una Ley, como es el caso de solucionar una urgencia médica, o se produzca en el marco de una relación jurídica aceptada libremente por ambas partes. En estos últimos supuestos se pueden comunicar los datos sin necesidad de obtener el consentimiento de los afectados.  
3.6.1. Comunicación de datos de alumnado a otro centro educativo  
En caso de traslado, la LOE ampara la comunicación de datos al nuevo centro educativo en el que se matricule el alumnado sin necesidad de recabar su consentimiento o el de sus familiares o tutores.  
3.6.2. Comunicación de datos a otros centros situados en otros países  
Se pueden facilitar datos del alumnado de un centro a otro centro en el extranjero para intercambios de alumnado o estancias temporales dado que el acceso a los datos del alumnado sería necesario para que el centro en el que se vaya a desarrollar el intercambio pueda realizar adecuadamente su función educativa, teniendo en cuenta que la participación del alumnado en el programa deberá haber contado con la solicitud o autorización de los titulares de la patria potestad. La comunicación responderá al adecuado desarrollo de la relación jurídica solicitada por los propios representantes legales del alumnado.  
La transmisión deberá limitarse a los datos que resulten necesarios para el adecuado desarrollo de esa acción educativa y para el cuidado del menor que el centro de destino pudiera requerir.  
Cuando el centro destinatario de los datos se encuentre en un país fuera del Espacio Económico Europeo, la comunicación constituye una transferencia internacional de datos.  
3.6.3. Comunicación de datos a la Administración educativa  
Los centros educativos comunicarán los datos personales del alumnado necesarios para el ejercicio de las competencias que tienen atribuidas las administraciones educativas.  
3.6.4. Comunicación de datos a las fuerzas y cuerpos de seguridad  
Las comunicaciones de datos a las fuerzas y cuerpos de seguridad son obligatorias siempre que sean necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales.  
En todo caso, la petición que realicen las fuerzas y cuerpos de seguridad, en el ejercicio de sus competencias, debe ser concreta, específica y motivada, de manera que no haya una comunicación de datos indiscriminada.  
Aunque se cumplan los requisitos para la comunicación de datos a las fuerzas y cuerpos de seguridad, es aconsejable que el centro documente la comunicación de los datos.  
Cuando se tenga conocimiento de una posible situación de desprotección de un menor: de maltrato, de riesgo o de posible desamparo, se debe comunicar a la autoridad o a sus agentes más próximos.  
También cuando se tenga conocimiento de la falta de asistencia de un menor al centro de forma habitual y sin justificación, durante el periodo lectivo, deberá trasladarse a la autoridad competente.  
En estos casos no ha de mediar solicitud de ninguna autoridad o institución.  
3.6.5. Comunicación de datos a servicios sociales  
Se pueden comunicar los datos a los servicios sociales siempre que sea para la determinación o tratamiento de situaciones de riesgo o desamparo competencia de los servicios sociales. La comunicación estaría amparada en el interés superior del menor, recogido en la Ley orgánica de protección jurídica del menor. En estos supuestos no se necesita el consentimiento de los interesados.  
3.6.6. Comunicación de datos a centros sanitarios  
Se pueden facilitar los datos sin consentimiento de los interesados a los centros sanitarios cuando el motivo sea la prevención o el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios, siempre que se realicen por profesionales sanitarios sujetos al secreto profesional o por otras personas sujetas a la misma obligación.  
El centro educativo podrá solicitar información sobre la asistencia sanitaria prestada en caso de que fuera necesaria para responder de las lesiones causadas como consecuencia del normal desarrollo de la actividad escolar.  
3.6.7. Comunicación de datos a Servicios Sanitarios autonómicos o ayuntamientos para campañas de salud o vacunación  
En estos casos, los centros suelen actuar como intermediarios entre los servicios de salud y las familias, por lo que habrán de trasladar a las familias la información de la cual dispongan para que sean ellas las que presten el consentimiento o faciliten los datos a dichos servicios.  
No obstante, se pueden facilitar los datos del alumnado a los servicios de salud que los requieran sin necesidad de disponer del consentimiento de los interesados en respuesta a una petición de las autoridades sanitarias cuando sean estrictamente necesarios para garantizar la salud pública o si tiene por finalidad la realización de actuaciones de salud pública que tengan encomendadas. Como pudiera ser un caso de infección en un centro educativo, para la realización de estudios que permitan descartar la presencia de la enfermedad en el entorno del centro educativo.  
3.6.8. Comunicación de datos a otras entidades externas para actividades extraescolares  
Se pueden comunicar los datos a instituciones, entidades o empresas que van a ser visitadas por el alumnado en una actividad extraescolar, por ejemplo, una exposición, un museo, una fábrica o un club deportivo, pero se debe contar con el consentimiento previo e inequívoco de los interesados o de sus madres, padres o tutores, cuando los datos sean comunicados para las finalidades propias del teatro, museo, exposición o de la fábrica, por ejemplo, el control de entrada, de aforos o para sus programaciones futuras.  
La información que sobre estos eventos se facilita a las madres, padres o tutores para su autorización debe incluir la relativa a la comunicación de datos a estas entidades, así como la propia autorización. La comunicación, en caso de ser autorizada, implicaría la posibilidad del tratamiento de los datos exclusivamente para los fines que se han indicado, al ser esta necesaria para que el alumnado pueda participar en esa actividad.  
3.6.9. Comunicación de datos del alumnado y sus familiares a las asociaciones de madres y padres de alumnos (AMPA).  
No se pueden comunicar datos del alumnado ni de sus familiares a las AMPA sin el previo consentimiento de los interesados. Las AMPA son responsables del tratamiento de los datos de carácter personal que hayan recabado, debiendo cumplir con la normativa de protección de datos en su tratamiento.  
No obstante, en el caso de que las AMPA fueran contratadas para prestar un servicio al centro educativo para el que tuvieran que tratar los datos del alumnado y de sus madres, padres o tutores, sí tendrían acceso a los datos pero en la condición de encargadas del tratamiento.  
  
4. Tratamiento de las imágenes de los alumnos  
Con ocasión de la celebración de actos escolares o de eventos en centros educativos en los que el alumnado y el profesorado son los protagonistas, tanto por los familiares como por el propio centro se toman fotografías y graban vídeos en los que se recogen sus imágenes. Estos hechos, comunes en los eventos escolares, dan lugar a que se planteen muchas cuestiones sobre quién y cómo se pueden captar las imágenes, qué requisitos se han de cumplir, con qué finalidad y a quién se pueden comunicar.  
Según quién vaya a grabar las imágenes y la finalidad para la que se graben será necesario observar unos determinados requisitos.  
- Si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos escolares o evaluaciones, el centro o la conselleria competente en materia de educación estarían legitimados para dicho tratamiento sin necesidad del consentimiento del alumnado o de sus familiares o tutores.  
- Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, se necesitará contar con el consentimiento de las personas interesadas, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar.  
En caso de conflicto entre los progenitores sobre la grabación de las imágenes de sus hijas e hijos, estos deberán dirimir la cuestión ante el poder judicial competente en materia de familia para su resolución, no ante el centro docente.  
Por otra parte, es muy frecuente que los familiares del alumnado tomen fotografías y graben vídeos en eventos festivos, conmemorativos, deportivos o de otra índole, en los que participa el alumnado.  
En estos casos la grabación de las imágenes suele corresponder a una actividad exclusivamente personal y doméstica, es decir, aquellas que se inscriben en el marco de la vida privada, familiar y de amistad, que están excluidas de la aplicación de la normativa de protección de datos.  
En otras ocasiones no es el centro escolar el que toma las fotografías o vídeos del alumnado ni tampoco sus familiares, sino que son terceros, ya sea la empresa que presta un determinado servicio, por ejemplo, la celebración de actividades extraescolares o un club deportivo.  
De nuevo hay que distinguir: si la grabación de imágenes se realiza por encargo del centro educativo, en cuyo caso este deberá obtener el consentimiento del alumnado o de sus familiares o tutores, o si es el tercero quien toma la fotografías o graba los vídeos para sus propias finalidades, que tendrá que contar con el previo consentimiento de las personas implicadas, ya lo recabe él mismo o a través del centro, en cuyo caso se deberá especificar que el tercero es el responsable del tratamiento.  
4.1. Grabación de imágenes durante actividades escolares  
Cabría distinguir entre la toma de imágenes como parte de la función educativa ?en cuyo caso los centros estarían legitimados para ello- de las grabaciones que no responderían a dicha función, por ejemplo, la difusión del centro y de sus actividades, para lo que se deberá disponer del consentimiento de las personas implicadas o de sus padres o tutores.  
También sería posible la toma de imágenes del alumnado en determinados eventos desarrollados en el entorno escolar para la única finalidad de que las madres, padres o tutores pudieran tener acceso a ellas. Este acceso a las imágenes debería siempre llevarse a cabo en un entorno seguro que exigiera la previa identificación y autenticación del alumnado o sus familiares ?por ejemplo, en un área restringida de la intranet del centro?, limitándose a las imágenes correspondientes a eventos en los que el alumnado concreto hubiera participado. En todo caso, sería preciso recordar a quienes acceden a las imágenes que no pueden, a su vez, proceder a su divulgación de forma abierta.  
El profesorado, en el desarrollo de la programación y enseñanza de las áreas, materias y módulos que tengan encomendados, pueden disponer la realización de ejercicios que impliquen la grabación de imágenes, normalmente del propio alumnado, que solamente deberán estar accesibles para el alumnado involucrado en dicha actividad, sus familiares o tutores y el profesorado correspondiente.  
Es decir, en ningún caso el mero hecho de realizar la grabación supone que la misma se pueda difundir de forma abierta en internet y que se pueda acceder de manera indiscriminada. En estos casos el responsable del tratamiento es el propio centro o la conselleria competente en materia de educación.  
4.2. Grabación y difusión de imágenes en eventos organizados y celebrados en los centros educativos  
- Los familiares del alumnado que participan en un evento abierto a las familias pueden grabar imágenes del evento siempre y cuando se trate de imágenes captadas exclusivamente para su uso personal y doméstico, pues en ese caso esta actividad está excluida de la aplicación de la normativa de protección de datos.  
Si las imágenes captadas por los familiares se difundieran fuera del ámbito privado, familiar y de amistad, por ejemplo mediante su publicación en internet accesible en abierto, los familiares asumirían la responsabilidad por la comunicación de las imágenes a terceros que no podrían realizar salvo que hubieran obtenido el consentimiento previo de los interesados.  
Sería conveniente que el centro informase a los familiares de su responsabilidad en caso de que las imágenes fueran divulgadas en los entornos abiertos que acaban de señalarse.  
- Aunque unos familiares se nieguen a que se tomen imágenes de su hijo o hija en un evento en el centro educativo, no se debe cancelar dicho evento ni prohibir. Se ha de informar a los padres, madres o tutores que la toma de fotografías y vídeos es posible como actividad familiar, exclusivamente para uso personal y doméstico, que está excluida de la aplicación de la normativa de protección de datos.  
4.3. Grabación de imágenes de actividades desarrolladas fuera del centro escolar  
La grabación de imágenes fuera del recinto escolar por los centros requiere el consentimiento de las personas implicadas, o de sus madres, padres o tutores, siempre que no se realice en ejercicio de la función educativa.  
Si la grabación se realiza por terceros, por ejemplo, por los responsables de la empresa, museo, exposición o club deportivo que se esté visitando, o en el que se desarrolle una actividad deportiva, será obligación de estos terceros disponer del consentimiento de las personas implicadas que habrán podido recabar a través del centro.  
  
5. Tratamiento de datos en internet  
5.1. Utilización de plataformas educativas  
De acuerdo con la Orden 19/2013 sobre normas sobre el uso seguro de medios tecnológicos en la Administración de la Generalitat, queda prohibido, transmitir o alojar información propia de la Administración de la Generalitat en sistemas de información externos (por ejemplo, on cloud), salvo autorización expresa de la conselleria competente en materia de educación, verificando el correspondiente acuerdo de confidencialidad, y siempre previo análisis de los riesgos asociados a tal externalización.  
Por tanto, deberán emplearse las herramientas educativas que ponga a disposición de los centros la conselleria competente en materia de educación.  
5.2. Publicación de datos en la web de los centros  
Habitualmente las webs de los centros educativos contienen información referida a sus características, su organización, las materias que imparte, las actividades que desarrolla, los servicios que ofrece, las relaciones con otros centros, para lo que en ocasiones incluyen información de carácter personal sobre la dirección, el profesorado y el alumnado.  
5.2.1. Publicación en la web de los datos del profesorado, tutores y otros responsables del centro  
Hay que distinguir dos supuestos:  
- Si se trata de una web en abierto, sería necesario contar con su consentimiento previo dado que se trata de una comunicación de datos a los que puede acceder cualquier persona de manera indiscriminada y no resulta necesaria para el ejercicio de la función educativa encomendada a los centros.  
- Si la información está restringida al alumnado del centro y a sus familiares o tutores se puede publicar, si bien se debería informar a los docentes y, en caso de incluir la dirección de correo electrónico para contacto, que sean las corporativas y no las personales que tenga el profesorado en el ámbito educativo.  
5.2.2. Publicación en la web de datos del alumnado  
El centro puede publicar información relativa al alumnado, como fotografías o vídeos, siempre que se disponga del consentimiento del alumnado implicado o de sus padres, madres o tutores.  
La página web del centro desde estar alojada en servidores de la Generalitat Valenciana.  
También podría llevarse a cabo de manera que no se pudiera identificar a los alumnos, por ejemplo, pixelando las imágenes.  
Sería posible su publicación cuando responda a determinados eventos desarrollados en el entorno escolar con la única finalidad de que los familiares pudieran tener acceso a ella. Este acceso debería llevarse a cabo siempre en un entorno seguro que exigiera la previa identificación y autenticación del alumnado, madres, padres o tutores (por ejemplo, en un área restringida de la intranet del centro), limitándose a la información correspondiente a eventos en los que la persona concreta haya participado. En todo caso, sería preciso recordar a quienes acceden a la información que no pueden, a su vez, proceder a su divulgación de forma abierta.  
5.2.3. Publicación en el blog de datos del alumnado  
Como en el caso de la web, si el contenido del blog en abierto del centro educativo incluyera datos que permitieran la identificación del alumnado, se requeriría su consentimiento o el de sus padres, madres o tutores.  
En estos casos se aconseja disociar o anonimizar los datos del alumnado, de manera que no se les pueda identificar.  
5.2.4. Publicación de información académica y/o del alumnado en blogs del profesorado  
El blog del profesorado es un medio de información y comunicación al margen de la función docente que desarrolla en los centros educativos. De su contenido será responsable el docente que deberá observar la normativa de protección de datos en cuanto que incluya información de carácter personal.  
Por tanto, salvo que se contase con el consentimiento de las personas afectadas, o de sus padres, madres o tutores, no se podrían publicar en el blog de un docente datos de carácter personal que permitan identificar al alumnado.  
Al igual que con los blogs de los centros educativos, se podría publicar la información previa disociación o anonimización de los datos del alumnado de manera que no se les pudiese llegar a identificar.  
5.3. Publicación de datos en redes sociales  
La publicación de datos personales en redes sociales por parte de los centros educativos requiere contar con el consentimiento inequívoco de las personas implicadas, a las que habrá que informar previamente de manera clara de los datos que se van a publicar, en qué redes sociales, con qué finalidad, quién puede acceder a los datos, así como de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición.  
El RGPD incluye la obligación de informar sobre el plazo durante el que se conservarán las imágenes o, si no fuera posible, de los criterios para determinarlo.  
  
6. Certificados del Registro central de delincuentes sexuales  
Para el acceso y ejercicio a las profesiones, oficios y actividades que impliquen contacto habitual con menores es requisito no haber sido condenado por sentencia firme por algún delito contra la libertad e indemnidad sexual, que incluye la agresión y abuso sexual, acoso sexual, exhibicionismo y provocación sexual, prostitución y explotación sexual y corrupción de menores, así como por trata de seres humanos. A tal efecto, quien pretenda el acceso a tales profesiones, oficios o actividades deberá acreditar esta circunstancia mediante la aportación de una certificación negativa del Registro central de delincuentes sexuales.  
Una vez iniciada la relación o aportado el certificado negativo no sería precisa una nueva aportación o renovación periódica del mismo, a pesar de que dicho certificado pueda datar de fecha muy anterior.  
En ese caso, dada la existencia y permanencia de la relación, podrá considerarse que los datos objeto de conservación y tratamiento mantienen su certeza a menos que se tenga conocimiento de la concurrencia de nuevas circunstancias que exijan su actualización, lo que podrá implicar la exigencia a la persona empleada de un nuevo certificado del Registro central de delincuentes sexuales para comprobar la exactitud de los datos.  
  
7. Videovigilancia  
La instalación de sistemas de videovigilancia con la finalidad de garantizar la seguridad de personas e instalaciones en los centros educativos es una realidad en un importante número de centros y cuya tendencia va en aumento.  
La implantación de cámaras de videovigilancia, que responda al interés legítimo de los centros y de la conselleria competente en materia de educación en mantener la seguridad e integridad de personas y las instalaciones, ha de observar la normativa de protección de datos personales, en la medida que implica el tratamiento de los datos de alumnos, profesores, familiares, etc.  
Dado el carácter intrusivo de estos sistemas en la intimidad de las personas, su instalación debe responder a los criterios de necesidad, idoneidad para los fines pretendidos, que no se puedan conseguir con una medida menos invasiva de la intimidad, y proporcionalidad, que ofrezca más beneficios que perjuicios. Por ejemplo, cuando el motivo para la instalación de estos sistemas sea el de evitar daños materiales, robos y hurtos que se pueden llegar a producir se podría limitar su funcionamiento a las horas no lectivas, de manera que se minimizara el impacto en la privacidad de las personas.  
En el anexo II puede consultar la normativa específica sobre videovigilancia.  
7.1. Instalación de cámaras de videovigilancia en todas las instalaciones del colegio  
Dada la intromisión que supone en la intimidad de las personas, tanto del alumnado como del profesorado y demás personas cuya imagen puede ser captada por las cámaras, los sistemas de videovigilancia no podrán instalarse en aseos, vestuarios o zonas de descanso de personal docente o de otros trabajadores.  
7.2. Instalación de cámaras de videovigilancia en las aulas por motivos de conflictividad  
La instalación de cámaras de videovigilancia en las aulas por motivos de conflictividad resultaría desproporcionado, pues durante las clases ya está presente un profesor o profesora. Además de una intromisión en la privacidad del alumnado, podría suponer un control laboral desproporcionado del profesorado.  
Cabría la posibilidad de que, fuera del horario lectivo y en los supuestos de desocupación de las aulas, se pudieran activar mecanismos de videovigilancia con la finalidad de protección al alumnado y de evitar daños en las instalaciones y materiales.  
7.3. Instalación de cámaras de videovigilancia en los patios de recreo y comedores  
Cuando la instalación responda a la protección del interés superior de les personas menores, toda vez que, sin perjuicio de otras actuaciones como el control presencial por personas adultas, se trata de espacios en los que se pueden producir acciones que pongan en riesgo su integridad física, psicológica y emocional.  
7.4. Información de la existencia de un sistema de videovigilancia  
El centro debe informar colocando un distintivo en lugar suficientemente visible en aquellos espacios donde se hayan instalado las cámaras.  
También se deberá disponer de una cláusula informativa que incluya los extremos exigidos por la normativa.  
  
8. Tratamiento de datos por las AMPA  
Las asociaciones de madres y padres de alumnos (AMPA) son entidades con personalidad jurídica propia que forman parte de la comunidad educativa y desempeñan un papel significativo en la vida educativa al participar en el Consejo Escolar de los centros públicos.  
Para el ejercicio de sus funciones, las AMPA suelen tratar datos de carácter personal, identificativos de los familiares del alumnado y de estos, así como otros tipos de datos como pueden ser los económicos, profesionales, sociales, etc.  
Como entidades con personalidad jurídica propia que deciden sobre la finalidad, uso y contenido de los datos personales a recabar de los asociados y de sus hijos, las AMPA son responsables de su tratamiento, por lo que deben cumplir con las obligaciones de la normativa de protección de datos.  
8.1. Consentimiento para el tratamiento de datos de sus personas asociadas y del alumnado  
Si los padres, las madres o los tutores son asociados al AMPA, el tratamiento estará amparado por la relación que vincula al AMPA con sus asociados, por lo que no será necesario el consentimiento de los progenitores, a los que en todo caso deberá informárseles acerca del tratamiento.  
Si no fueran asociados, debería obtenerse su consentimiento.  
8.2. Comunicación de información de alumnado desde los centros a las AMPA  
Si no son asociados, los centros educativos pueden facilitar a las AMPA información personal de contacto del alumnado y sus familiares solamente si los centros disponen del consentimiento previo de los alumnos o de sus padres o tutores si son menores.  
Los centros podrán recabar el consentimiento de los interesados a estos efectos, a los que habrá que informar de la finalidad de la comunicación de datos.  
8.3. Tratamiento de datos del alumnado por parte del AMPA  
Las AMPA pueden tratar los datos del alumnado por cuenta del centro educativo solo en aquellos casos en los que las AMPA prestasen un servicio al centro que requiera el tratamiento de dichos datos.  
En estos casos el AMPA actúa como un encargado del tratamiento y requiere la existencia de un contrato que incluya las garantías adecuadas.  
8.4. Publicación de datos de alumnado en la web del AMPA o redes sociales  
Únicamente podrán publicar contenidos relativos a los datos del alumnado o sus familiares en la web o redes sociales del AMPA si cuentan con su consentimiento, o el de sus padres o tutores si son menores, previa información sobre la finalidad de la publicación.  
  
9. Derechos en materia de protección de datos  
Estos derechos son los de acceso, rectificación, cancelación y oposición, conocidos por su acrónimo ARCO, y se pueden describir del siguiente modo:  
- El derecho de acceso permite a los titulares de los datos personales conocer y obtener gratuitamente información sobre si sus datos de carácter personal están siendo objeto de tratamiento, con qué finalidad, qué tipo de datos tiene el responsable del tratamiento, su origen, si no proceden de los interesados, y los destinatarios de los datos.  
- El derecho de rectificación permite corregir errores, modificar los datos que resulten ser inexactos o incompletos y garantizar la certeza de la información objeto de tratamiento.  
- El derecho de cancelación permite que se supriman los datos que resulten ser inadecuados o excesivos. La revocación del consentimiento da lugar a la cancelación de los datos cuando su tratamiento esté basado en él.  
- El derecho de oposición es el derecho del interesado a que, por motivos relacionados con su situación personal, no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo.  
El centro tiene obligación de contestar a los interesados siempre, aunque no se disponga de los datos sobre los que verse el derecho ejercitado, en cuyo caso habrá que responder en dicho sentido, informándoles del derecho a presentar, en su caso, una reclamación ante la Agencia Española de Protección de Datos o al delegado de la Oficina de Protección de Datos de la Generalitat.  
9.1. Derecho de acceso  
9.1.1. Obligaciones  
Los responsables del tratamiento, en el plazo de un mes, han de facilitar a los interesados la información sobre sus datos personales o, en su caso, respuesta de que no disponen de ellos.  
Esta obligación se puede cumplir de varias maneras: visualización en pantalla, escrito, copia o fotocopia, correo electrónico o cualquier otro sistema de comunicaciones electrónico o que resulte adecuado.  
Si la solicitud de acceso se formula por medios electrónicos, se facilitará en un formato electrónico de uso común, salvo que se hubiera solicitado recibirla de otro modo.  
9.1.2. Diferencias entre derecho de acceso a datos y derecho de acceso al expediente escolar  
El derecho de acceso a los datos personales es independiente del derecho de acceso al expediente, a la información y documentación, que se rigen por otra normativa. Conforme a la normativa de protección de datos, no hay obligación de facilitar copia del expediente escolar, sin perjuicio del acceso a la información en el marco de la legislación sectorial.  
El RGPD establece que el responsable del tratamiento facilitará una copia de los datos personales de los interesados que, en ningún caso, afectará negativamente a los derechos y libertades de otros.  
La documentación relativa a los datos de salud recibe el tratamiento de información clínica cuya copia hay que facilitar a los interesados, en aplicación de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y de la normativa autonómica.  
9.1.3. Gratuidad del derecho de acceso  
La información que se facilite tiene que ser gratuita. No obstante, si el centro o la Administración educativa ofreciera un procedimiento para hacer efectivo el derecho de acceso y el afectado exigiese que el mismo se materializase a través de un procedimiento que implique un coste desproporcionado, surtiendo el mismo efecto y garantizando la misma seguridad el procedimiento ofrecido, los gastos derivados de su elección serán por cuenta del afectado.  
9.2. Derecho de rectificación  
El alumnado o sus representantes legales, en su caso, pueden solicitar la rectificación de los datos de su expediente escolar siempre que se constate un error. El centro o la Administración educativa tendrán que corregirlo siempre que se acredite el error. Se podrá ejercitar tantas veces como se adviertan.  
Este derecho de rectificación no se aplica a las calificaciones o al contenido de los informes del expediente escolar que se rigen por su normativa específica.  
El derecho de rectificación no puede ejercitarse para modificar un informe de evaluación socio-psicopedagógica ya que el derecho de rectificación se refiere a modificar los datos de carácter personal que sean inexactos o incompletos ?como puede ser el cambio de dirección postal?, pero no se puede utilizar para tratar de modificar la opinión realizada por un profesional a través del correspondiente informe que se rige por su normativa específica.  
9.3. Derecho de cancelación  
9.3.1. Cancelación de información de expedientes académicos a solicitud del alumnado, padres, madres o tutores   
Sin perjuicio de lo establecido en la normativa de educación aplicable, la información de los expedientes académicos requiere su conservación en la medida en que puede ser solicitada por el alumnado después de finalizados los estudios.  
9.3.2. Cancelación de datos de salud obtenidos por el equipo de orientación educativa  
Se cancelarán cuando no sean necesarios para el desarrollo de la función educativa y, en su caso, al finalizar la escolarización del alumno en el centro.  
9.4. Derecho de oposición  
9.4.1. Oposición a la publicidad de datos de alumnado o sus familiares  
El alumnado o sus familiares pueden oponerse a la publicidad de sus datos cuando exista un motivo legítimo y fundado, referido a una concreta situación personal, para oponerse a la publicidad de su información personal. Como podría ser el caso en que una sentencia judicial haya resuelto el alejamiento de uno de los progenitores o se le ha privado de la patria potestad y la publicidad de información personal pueda suponer un riesgo para la integridad física y psíquica del alumno o del otro progenitor.  
  
  
ANEXO II  
Marco normativo  
  
Estatal  
- Constitución Española (art. 18.4 y 27).  
- Ley orgánica 15/1999, de 15 de diciembre, de protección de datos de carácter personal (de aplicación hasta el 24.05.2018).  
- Reglamento de la Ley orgánica 15/1999, de 15 de diciembre, de protección de datos de carácter personal, aprobado por el Real decreto 1270/2007, de 23 de diciembre (aplicable hasta el 24.05.2018).  
- Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.  
- Ley orgánica 2/2006, de 3 de mayo, de educación.  
- Ley orgánica 1/1996, de 15 de enero, de protección jurídica del menor.  
- Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.  
  
Europea  
- Convenio 108 del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal y su protocolo del año 2001.  
- Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de diciembre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos (de aplicación hasta el 24.05.2018).  
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, aplicable a partir del 25.05.2018).  
  
Autonómica  
- Decreto 66/2012, de 27 de abril, del Consell, por el que se establece la política de seguridad de la información de la Generalitat.  
- Decreto 130/2012, de 24 de agosto, del Consell, por el que se establece la organización de la seguridad de la información de la Generalitat.  
- Orden 19/2013, de 3 de diciembre, de la Conselleria de Hacienda y Administración Pública, por la que se establece las normas sobre el uso seguro de medios tecnológicos en la Administración de la Generalitat.  
- Orden de 3 de diciembre de 1999, de la Conselleria de Justicia y Administraciones Públicas, por la que se aprueba el Reglamento técnico de medidas de seguridad para la aprobación y homologación de aplicaciones y medios de tratamiento automatizado de la información.  
- Resolución de 12 de marzo de 2013, de la Dirección General de Centros y Personal Docente, de la Conselleria de Educación, Cultura y Deporte, por la que se dictan instrucciones en materia de seguridad de los sistemas de videovigilancia de los centros educativos públicos de titularidad de la Generalitat.  
  
Agencia Española de Protección de Datos  
- Guía de protección de datos en centros educativos, de la Agencia Española de Protección de Datos.  
  
  
ANEXO III  
Tratamientos inscritos en la Agencia Española de Protección de Datos  
  
Relación de ficheros declarados actualmente por la Conselleria de Educación, Investigación, Cultura y Deporte, que aplican directamente a centros educativos:  
- Alumnos  
- Alumnos extendido  
- Prácticas formativas  
- Personal docente  
- Personal docente extendido  
- Gestión patrimonial  
- Becas  
- Videovigilancia  
  
La normativa que regula la regularización de los ficheros es la siguiente:  
- Orden de 25 de agosto de 2008, de la Conselleria de Educación, por la que se inscriben y suprimen ficheros de datos de carácter personal gestionados por la Conselleria de Educación.  
- Corrección de errores de la Orden de 25 de agosto de 2008, de la Conselleria de Educación, por la que se inscriben y suprimen ficheros de datos de carácter personal gestionados por la Conselleria de Educación.  
- Orden de 3 de junio de 2009, de la Conselleria de Educación, por la que se aprueba la modificación de ficheros con datos de carácter personal gestionados por la Conselleria.  
- Orden 14/2011, de 7 de octubre, de la Conselleria de Educación, Formación y Empleo, por la que se crea el fichero con datos de carácter personal de videovigilancia.  
  
  
ANEXO IV  
Modelos con ejemplos de registro de las actividades de tratamiento de datos  
  
Se realizará y mantendrá un archivo como Registro de actividades de tratamiento de datos (RAT) a disposición de quien manifieste interés legítimo en una actividad que requiera de tratamiento de datos.  
1. Modelo de registro de actividad que no requiere consentimiento  
Se deberá adaptar el contenido de cada campo a cada caso a tratar, o al centro concreto:  
  
DENOMINACIÓN DE LA ACTIVIDAD DE TRATAMIENTO: Grabación de prueba de evaluación de un ejercicio de danza  
RESPONSABLE DEL TRATAMIENTO: Centro educativo (dirección, correo electrónico)  
Conselleria de Educación, Investigación, Cultura y Deporte (dirección, correo electrónico)  
EJERCICIO DE DERECHOS ANTE: Centro (dirección, correo electrónico)  
FINALIDADES O USOS DEL TRATAMIENTO Gestión de los expedientes académicos del alumnado del centro: evaluaciones, realización de trabajos y exámenes, etc.  
BASE JURÍDICA, LICITUD O LEGITIMACIÓN - Art. 6.1.e RGPD: el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, por lo que no sería necesario el consentimiento.  
- Ley orgánica 2/2006, de 3 de mayo, de educación.  
- Normativa específica: decreto de currículum, orden de evaluación.  
PLAZO DE CONSERVACIÓN Se conservarán durante el tiempo necesario para cumplir con la finalidad para la cual se recogieron y para determinar las posibles responsabilidades que se pudieran derivar de esta finalidad y del tratamiento de los datos. Será aplicable lo dispuesto en la normativa de archivos y documentación.  
TIPOLOGÍA O CATEGORÍAS DE DATOS DE CARÁCTER PERSONAL Carácter identificativo: nombre y apellidos; NIA; grupo; imágenes.  
Otros datos: los derivados de los trabajos, exámenes y actividades evaluadas.  
CATEGORÍAS DE INTERESADOS O AFECTADOS Y ORIGEN DE LOS DATOS Alumnado del grupo.  
Profesorado del grupo.  
CESIÓN O COMUNICACIÓN DE DATOS (Categoría de Destinatarios) Administración educativa.  
En caso de traslado de expediente se comunicarán los datos al centro educativo de destino.  
En caso de programas de intercambio, se comunicarán los datos al centro de destino.  
TRANSFERENCIAS INTERNACIONALES En caso de participar en un programa internacional, se comunicarán los datos al centro de destino ubicado en el país o estado solicitado por el interesado.  
MEDIDAS DE SEGURIDAD, TÉCNICAS Y ORGANIZATIVAS Las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real decreto 3/2010, de 8 de enero, por el cual se regula el Esquema nacional de seguridad en el ámbito de la Administración electrónica.  
  
  
  
2. Modelo de registro de actividad que sí requiere consentimiento  
Se deberá adaptar el contenido de cada campo a cada caso a tratar, o al centro concreto:  
  
DENOMINACIÓN DE LA ACTIVIDAD DE TRATAMIENTO: Captación de imágenes de actividad extraescolar con fines promocionales del centro  
RESPONSABLE DEL TRATAMIENTO: Centro educativo (dirección, correo electrónico)  
EJERCICIO DE DERECHOS ANTE: Centro (dirección, correo electrónico)  
Nombre y dirección de la empresa que realiza la grabación de la actividad  
FINALIDADES O USOS DEL TRATAMIENTO Difusión por canales públicos de las actividades del centro a efectos divulgativos de su actividad y promocionales.  
BASE JURÍDICA, LICITUD O LEGITIMACIÓN - Artículo 6.1.b del RGPD, el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.  
- En cuanto a los fines promocionales y publicación en redes sociales (art. 6.1.a RGPD), se requiere el consentimiento del interesado para el tratamiento de sus datos personales para uno o varios fines específicos  
PLAZO DE CONSERVACIÓN Se conservarán a disposición de la comunidad educativa durante dos cursos académicos. Finalizado ese período, se conservarán únicamente con fines de archivo.  
TIPOLOGÍA O CATEGORÍAS DE DATOS DE CARÁCTER PERSONAL Carácter identificativo: nombre y apellidos; NIA; grupo; imágenes  
CATEGORÍAS DE INTERESADOS O AFECTADOS Y ORIGEN DE LOS DATOS Alumnado del grupo.  
Profesorado del grupo.  
CESIÓN O COMUNICACIÓN DE DATOS (Categoría de Destinatarios) Declaración de las cuentas oficiales en redes sociales, o en la web, o en blogs.  
TRANSFERENCIAS INTERNACIONALES No están previstas transferencias internacionales de datos.  
MEDIDAS DE SEGURIDAD, TÉCNICAS Y ORGANIZATIVAS Las medidas de seguridad implantadas se corresponden con las previstas en el anexo II (Medidas de seguridad) del Real decreto 3/2010, de 8 de enero, por el cual se regula el Esquema nacional de seguridad en el ámbito de la Administración electrónica  
  
  
  
  
ANEXO V  
Modelo de solicitud de consentimiento para la recogida de datos  
  
Deberá ser adaptado para cada centro y situación, pero con la misma información que contenga el Registro de actividad de tratamiento (RAT) que consta en el anexo IV:  
  
(Nombre) ?, con DNI ..., padre, madre o tutor legal de ..., en - el día ..., manifiesto:  
  
1. Que se me ha informado por parte de los responsables del centro educativo - que:  
a) Se va a realizar una actividad que requiere el consentimiento explícito para la recogida de datos denominada «DENOMINACIÓN DE LA ACTIVIDAD DE TRATAMIENTO (ver RAT)».  
b) Que la finalidad de la actividad o el uso del tratamiento de los datos será «FINALIDADES O USOS DEL TRATAMIENTO (ver RAT)»  
c) Que el responsable del tratamiento de los datos es «RESPONSABLE DEL TRATAMIENTO (ver RAT)»  
d) Los derechos previstos en la normativa vigente en materia de protección de datos personales permiten solicitar el acceso a los mismos, su rectificación o supresión, limitar el tratamiento u oponerse al mismo por medio de un escrito que acredite suficientemente la identidad y que vaya dirigido a (nombre del centro, dirección postal y electrónica).  
e) Es posible encontrar más información en el Registro de las actividades de tratamiento (disponer un enlace al RAT centro y a la Conselleria, si es el caso). De igual manera también se puede pedir una copia del Registro de actividades del tratamiento en la conserjería del centro.  
  
2. En relación con la información anterior, doy mi consentimiento para que el centro pueda hacer uso de (imágenes/datos/?) del/la menor a quien represento para:  
(Indicar el objeto: publicación de imágenes en la web del centro, redes sociales...)  
  
3. En cualquier momento se podrá retirar el consentimiento anterior mediante escrito que acredite suficientemente la identidad y dirigido a la dirección del centro (disponer la dirección postal del centro) o a la siguiente dirección de correo electrónico (dirección de correo electrónico oficial del centro @gva.es). La suspensión del consentimiento no tendrá carácter retroactivo a actuaciones explícitamente consentidas y realizadas con anterioridad a la fecha de su recepción.  
  
4. Asimismo se me ha informado sobre la posibilidad de presentar una reclamación ante la autoridad nacional de control competente en materia de Protección de Datos (Agencia Española de Protección de Datos - AEPD), especialmente cuando no haya obtenido respuesta satisfactoria en el ejercicio de los derechos. Y de que se puede contactar con esa Agencia a través del siguiente enlace: www.aipd.es accediendo a la pestaña «Canal del ciudadano».  
  
Y en prueba de conformidad, firmo el presente documento en el lugar y la fecha indicados en el encabezamiento.  
  
Nombre y apellidos:  
Firma de padre, madre o tutor  
  
Nombre y apellidos:  
Firma de la alumna o alumno mayor de 14 años.  
  
(El Proyecto de Ley orgánica de protección de datos prevé que los mayores de 14 años puedan otorgar el consentimiento salvo en supuestos donde la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento, se recomienda que el consentimiento lo preste tanto el alumnado como sus representantes legales)  
  
  
  
ANEXO VI  
Modelo de cartel de aviso para la captación de imágenes por madres, padres o familiares  
  
AVISO: CAPTACIÓN DE IMÁGENES   
POR PADRES Y FAMILIARES  
  
EL CENTRO EDUCATIVO INFORMA A MADRES, PADRES Y FAMILIARES QUE CONFORME A LAS RECOMENDACIONES DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS:  
- SE PUEDEN TOMAR FOTOGRAFÍAS Y VÍDEOS DE LAS ACTIVIDADES DESARROLLADAS EN EL CENTRO.  
- LAS IMÁGENES SE REALIZARÁN EXCLUSIVAMENTE PARA SU USO PERSONAL Y DOMÉSTICO.  
- QUEDA PROHIBIDA LA DIFUSIÓN DE LAS IMÁGENES FUERA DEL ÁMBITO PRIVADO, COMO BLOGS O REDES SOCIALES (FACEBOOK, INSTAGRAM, ETC.).  
- EL CENTRO NO SE HACE RESPONSABLE DE LA CAPTACIÓN Y USO DE LAS IMÁGENES CON FINES PERSONALES Y DOMÉSTICOS, SIENDO LOS PADRES Y FAMILIARES LOS ÚNICOS RESPONSABLES EN RELACIÓN CON LOS MISMOS.  
  
GRACIAS POR SU ATENCIÓN



Descargar el documento en formato PDF

Descargar los metadatos en formato XML