Protecció de dades personals

El Reglament (UE) 2016/679 del Parlament i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades, RGPD), és la norma que regula de manera principal i preferent el dret fonamental a la protecció de dades. Aquest Reglament europeu ha comportat canvis significatius en la protecció de dades de caràcter personal, tant des del punt de vista dels drets de les persones com de les obligacions de les persones i les entitats que tracten dades de caràcter personal. En l'àmbit estatal, la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals (LOPDGDD), complementa el Reglament general de protecció de dades.

Els centres i els serveis educatius, mitjançant la direcció o la titularitat d'aquests, són responsables del tractament de les dades de l'alumnat i del personal del centre. Per gestionar l'acció educativa i orientadora dels centres, les dades personals que es tracten tenen la base legal en la missió d'interès públic, d'acord amb la Llei orgànica 8/2013, de 9 de desembre, per a la millora de la qualitat educativa, la Llei 12/2009, del 10 de juliol, d'educació, i la Llei orgànica 2/2006, de 3 de maig, d'educació. Aquesta és la base jurídica que permet, amb caràcter general, el tractament de les dades en els centres educatius.

En els casos en què la finalitat del tractament de les dades personals no queda inclosa dins de la seva funció educativa i orientadora, com ara difusió d'imatges i/o veu, publicació de dades personals i de material elaborat, ús de serveis i recursos d'Internet per treballar a l'aula, aportacions econòmiques de serveis escolars que presta el centre, etc., el tractament de dades personals s'ha de basar en una altra base jurídica establerta en la normativa (article 6 RGPD).

El responsable de tots els tractaments de dades que es facin en un centre educatiu és el director o directora del centre o la persona titular del centre. Com a responsable, ha de garantir i poder demostrar que el tractament és conforme a la normativa de protecció de dades i que ha adoptat les mesures més adequades per garantir els drets i les llibertats de les persones de qui tracta les dades.

El centre ha d'analitzar quines dades personals tracta, amb quines finalitats ho fa i quin tipus d'operacions de tractament porta a terme. A partir d'aquesta anàlisi ha de valorar el risc que pot generar aquest tractament i, d'acord amb aquesta valoració, adoptar les mesures tècniques i organitzatives pertinents per garantir els drets i llibertats de les persones. Quan aquest nivell de risc sigui alt, pot ser necessari fer una avaluació d'impacte del tractament de dades personals (Guia de l'Autoritat Catalana de Protecció de Dades, APDCAT, d'avaluació d'impacte i la plantilla).

S'ha de poder demostrar el compliment de la normativa sobre protecció de dades davant les persones interessades i davant l'APDCAT, que és l'organisme que té per objecte garantir, en l'àmbit de les competències de la Generalitat, els drets a la protecció de dades personals i d'accés a la informació que hi està vinculada.

Cal que el centre tingui una actitud conscient, diligent i proactiva davant de tots els tractaments de dades personals que duu a terme. Tractar aquesta informació de forma adequada esdevé un objectiu d'una importància cabdal, no només pel paper dels centres o serveis educatius com a eix transmissor dels valors que, com la privacitat, estan lligats als drets i llibertats de les persones, tal com recull la disposició addicional catorzena de la llei 12/2009, del 10 de juliol, d'educació, sinó també perquè el tractament de la informació dels menors requereix una cura especial; un tractament inadequat de la seva informació en aquesta fase de la vida, en què encara s'estan formant, pot afectar el desenvolupament de la seva personalitat en aquesta etapa i en etapes posteriors.

De conformitat amb l'article 92 de la LOPDGDD, els centres educatius i qualsevol persona física o jurídica que dugui a terme activitats en què participin menors d'edat han de garantir la protecció de l'interès superior del menor i els seus drets fonamentals, especialment el dret a la protecció de dades personals, en la publicació o difusió de les seves dades personals a través de serveis de la societat de la informació. Quan aquesta publicació o difusió s'hagi de dur a terme en xarxes socials o serveis equivalents, han de tenir el consentiment del menor, si és més gran de 14 anys, o dels seus representants legals, de conformitat amb el que estableix l'article 7 d'aquesta Llei orgànica.

Són dades personals tota informació que identifica, directament o indirectament, una persona física. En l'àmbit educatiu sobretot es tracten dades personals com ara nom, cognoms, adreça postal, telèfon, adreça electrònica de l'alumnat, pares i mares, personal docent, personal dels centres, etc., però també el DNI, la veu, una fotografia, el número de compte corrent, la professió dels pares i mares o el contingut i el resultat dels treballs i proves de l'alumnat, entre d'altres.

Dins de les dades personals, trobem les categories especials de dades, les quals revelen l'origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, dades de salut, vida sexual o orientació sexual, dades genètiques i dades biomètriques dirigides a identificar la persona. En l'àmbit educatiu són categories especials de dades les relatives a les necessitats educatives especials; dades de salut de l'alumnat, com ara discapacitat, al·lèrgies i intoleràncies; dades psicopedagògiques; dades de lesions, malalties, discapacitats psíquiques, altes capacitats i trastorns que afecten l'aprenentatge, i dades biomètriques, com ara empremtes dactilars, entre d'altres.

El tractament d'aquest tipus d'informació requereix un rigor especial en el compliment dels principis de la protecció de dades i està sotmès a unes condicions especials, tant pel que fa a la forma com s'ha d'obtenir el consentiment, com a les mesures de seguretat aplicables.

Aquesta informació pot ser de qualsevol persona que s'hi relacioni però, molt especialment de l'alumnat, famílies i professorat, professionals que hi presten els serveis, monitors, exalumnes i altres persones amb les quals es relaciona l'escola.

Les dades de caràcter personal que les escoles tracten per dur a terme les seves funcions no pertanyen al centre, sinó a l'alumnat, als seus familiars, al seu personal o a altres persones físiques amb qui es relacionen. Aquests en són els autèntics titulars.

Per al tractament de qualsevol dada personal, s'exigeix que concorri una base jurídica que el permeti i que, per tant, sigui lícit.

Una de les bases jurídiques és la missió realitzada en interès públic o en l'exercici de poders públics. La normativa legitima els centres i serveis educatius a tractar dades de caràcter personal per exercir-ne la funció educativa i orientadora (disposició addicional 23 de la Llei orgànica 2/2006, de 3 de maig, d'educació).

Quan sigui necessari per exercir la funció educativa i orientadora, es poden tractar dades sobre:

• l'origen i ambient familiar i social;

• les característiques o condicions personals;

• el desenvolupament i resultats de l'escolarització;

• les circumstàncies que siguin necessàries conèixer, per educar i orientar l'alumnat, i assessorar-ne els pares o mares o tutors legals, que en tinguin la pàtria potestat o tutela, i

• categories especials de dades, com les de salut o de religió, quan sigui estrictament necessari.

Les dades personals no es poden utilitzar per a cap fi diferent de l'educatiu (funció educativa i orientadora). Els centres disposen d'autonomia en els àmbits pedagògic, organitzatiu i de gestió de recursos humans i materials, i per elaborar, aprovar i executar normes d'organització i funcionament del centre.

Per tant, cal que el conjunt de mesures organitzatives i tècniques que garanteixen el tractament adequat de les dades personals, per part de tot el personal autoritzat, estigui inclòs en les normes d'organització i funcionament del centre o serveis educatius. La direcció o titularitat dels centres o serveis educatius és la responsable de difondre les normes d'organització i funcionament del centre i de comprovar i assegurar que es compleixin.

Per facilitar als centres o serveis educatius el compliment de les obligacions que estableix la normativa vigent en aquesta matèria, l'Autoritat Catalana de Protecció de Dades (APDCAT) va publicar les Pautes de protecció de dades per als centres educatius, que s'adreça especialment a les persones responsables dels centres educatius i a tothom qui tracta dades personals als centres.

Quan el tractament de les dades no s'emmarca en la missió d'interès públic, és a dir, la funció educativa i orientadora que defineix la Llei, la base legal del tractament pot ser, entre d'altres, el consentiment de la persona interessada o del seu representant legal.

El consentiment ha de ser una manifestació de voluntat per la qual la persona interessada accepta el tractament de les seves dades personals, mitjançant una declaració o una clara acció afirmativa. Aquesta manifestació de voluntat ha de ser:

• Lliure: la persona interessada pot decidir lliurement si consent o no el tractament de les seves dades personals.

• Específica: el consentiment es refereix a tractaments concrets i per a una finalitat determinada, explícita i legítima del responsable del tractament, sense que es puguin fer habilitacions genèriques.

• Informada: cal informar les persones interessades perquè amb antelació al tractament en puguin conèixer l'existència i les finalitats.

• Inequívoca: la sol·licitud i l'atorgament del consentiment s'han de produir de forma clara.

Així, les caselles ja marcades o el consentiment tàcit no constitueixen un consentiment vàlid.

Correspon al responsable del tractament la prova de l'obtenció del consentiment de la persona interessada per a un tractament específic. La persona afectada pot revocar el consentiment atorgat en qualsevol moment, sense efectes retroactius. Abans de donar el seu consentiment, s'ha d'informar la persona interessada d'aquesta possibilitat. Ha de ser tan fàcil retirar el consentiment com donar-lo.

Quan es refereixi al tractament de dades de categories especials o per a transferències internacionals de dades, el consentiment, a més, ha de ser explícit. Es tracta d'un requisit més estricte, ja que el consentiment no es pot entendre que s'ha concedit implícitament mitjançant algun tipus de declaració o d'acció positiva, sinó que ha de ser exprés.

Pel que fa al consentiment de menors d'edat, un alumne o alumna més gran de 14 anys pot consentir per si mateix, amb l'excepció dels supòsits en què la llei exigeixi l'assistència dels titulars de la pàtria potestat o tutela.

En el cas de dades d'un alumne o alumna menor de 14 anys, quan el tractament requereixi el seu consentiment, l'ha de prestar el o la titular de la pàtria potestat o tutela.

El llenguatge que s'utilitza per informar els menors i per demanar-los el consentiment ha de ser clar i comprensible.

En casos de potestat parental compartida, amb independència de qui tingui la custòdia, qualsevol dels dos progenitors pot donar el consentiment o exercir els drets com a representant legal del fill o filla en comú. En tot cas, el dret d'informació s'ha de garantir a ambdós progenitors que tinguin la potestat parental. En cas de conflicte entre els progenitors, l'han de resoldre les autoritats competents en matèria de família.

Qualsevol persona de la qual es tractin les dades personals té dret a accedir a les seves dades, sol·licitar-ne la rectificació, si escau, sol·licitar-ne la supressió, l'oposició o la limitació del tractament de les seves dades amb les condicions que s'estableixen al Reglament (UE) 2016/679 del Parlament i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (RGPD), i en determinades circumstàncies, quan el tractament es basa en una missió d'interès públic o l'exercici de poders públics, oposar- se al tractament, mitjançant una sol·licitud motivada i relativa a la seva situació personal. També té dret a no veure's sotmesa a avaluacions d'aspectes de la persona o que pretenguin analitzar o predir algun dels aspectes següents: rendiment professional, situació econòmica, localització o moviments, estat de salut, preferències o interessos personals, etc.

Així mateix, amb relació als drets de la persona interessada, cal tenir present el següent:

Són drets independents entre si, i per tant, no s'exigeix exercir-ne un com a requisit previ per a l'exercici d'un altre.

S'ha de concedir a l'interessat un mitjà senzill i gratuït per dur a terme l'exercici dels drets.

Pel que fa al termini de resposta, el responsable del tractament ha de facilitar a la persona interessada informació de les seves actuacions sobre la base d'una sol·licitud en el termini d'un mes a partir de la recepció de la sol·licitud, que es pot prorrogar a dos mesos en cas necessari, tenint en compte la complexitat i el nombre de sol·licituds.

Els centres i serveis educatius de titularitat del Departament tenen disponibles els formularis per a l'exercici de drets de les persones interessades o dels representants legals en el web del Departament.

Un tractament de dades personals és qualsevol operació o conjunt d'operacions dutes a terme sobre dades personals o conjunts de dades personals, sigui per procediments automatitzats o no, com la recollida, el registre, l'organització, l'estructuració, la conservació, l'adaptació o la modificació, l'extracció, la consulta, la utilització, la comunicació per transmissió, difusió o qualsevol altra forma d'habilitació d'accés, acarament o interconnexió, limitació, supressió o destrucció.

La normativa obliga els centres i serveis educatius a tenir un registre d'activitats de tractament (RAT). Aquest registre s'ha de publicar per mitjans electrònics.

A aquest efecte el Departament d'Educació fa públic el Registre d'activitats de tractament al seu web. Aquest Registre és únic per a totes les activitats de tractament del Departament, i inclou les activitats de tractament identificades, de manera global o específica, als centres o serveis educatius de titularitat del Departament.

Els centres i serveis educatius han de revisar si totes les seves activitats són incloses en aquest Registre. En cas que no ho siguin, cal notificar als serveis territorials corresponents o, en el cas de la ciutat de Barcelona, al Consorci d'Educació de Barcelona, l'activitat no inclosa per revisar-ne l'adequació i, si escau, publicar-la al Registre.

La normativa obliga els centres i serveis educatius a tenir un registre d'activitats de tractament (RAT). Aquest registre l'ha d'elaborar cada centre i l'ha de publicar per mitjans electrònics.

El registre es pot organitzar al voltant d'operacions de tractament concretes, vinculades a una finalitat bàsica comuna (per exemple gestió acadèmica o gestió de recursos humans i nòmines), o bé d'acord amb altres criteris.

El Reglament (UE) 2016/679, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (RGPD), configura la informació com un dret de les persones afectades. Així mateix, amplia les qüestions sobre les quals cal informar les persones afectades, que són les següents:

• La identitat i les dades de contacte del responsable i, si escau, del seu representant.

• Les dades de contacte del delegat o delegada de protecció de dades.

• La base jurídica del tractament.

• Les finalitats del tractament a què es destinen les dades personals.

• Els destinataris o les categories de destinataris de les dades personals, si escau.

• Si la base jurídica és l'interès legítim del responsable o un tercer, cal identificar quins són aquests interessos legítims.

• La intenció de transferir les dades a un tercer país o a una organització internacional (transferències internacionals).

• El termini durant el qual es conservaran les dades personals o, quan no és possible, els criteris utilitzats per determinar-ho.

• La possibilitat d'exercir els drets d'accés, de rectificació, de supressió (dret a l'oblit), de limitació del tractament, d'oposició, a la portabilitat de les dades, a no ser objecte de decisions individuals automatitzades.

• El dret a retirar en qualsevol moment el consentiment que s'hagi prestat, quan aquesta és la base jurídica del tractament.

• Si la comunicació de dades és un requisit legal o contractual, o un requisit per subscriure un contracte; i també si la persona interessada està obligada a facilitar les dades personals i està informada de les possibles conseqüències de no fer-ho.

• El dret a presentar una reclamació davant una autoritat de control.

• L'existència de decisions automatitzades, incloent-hi l'elaboració de perfils. Si produeix efectes jurídics en la persona interessada o l'afecta significativament, o afecten categories especials de dades, ha de contenir informació significativa sobre la lògica aplicada, així com la importància i les conseqüències previstes d'aquest tractament per a la persona interessada.

Si les dades personals que es tracten no s'obtenen directament de la persona interessada, a més, s'ha d'informar de:

• les categories de dades personals que es tracten, i

• les fonts d'on procedeixen les dades personals.

La informació s'ha de proporcionar de forma concisa, transparent, intel·ligible i de fàcil accés, en un llenguatge clar i senzill. Aquesta informació es pot mostrar en dues capes. A l'apartat Departament > Protecció de dades personals de la intranet- Portal de centre hi ha tota la informació sobre com cal informar per capes del tractament de dades personals.

L'obligació d'informar les persones interessades sobre les circumstàncies relatives al tractament de les seves dades recau sobre el responsable del tractament, i s'ha de complir sense necessitat de cap requeriment. El responsable del tractament ha de poder acreditar amb posterioritat que ho ha complert.

Si les dades es recullen de la mateixa persona interessada, la informació s'ha de facilitar en el moment de la recollida de les dades. Si, per contra, les dades no s'obtenen de la persona interessada sinó d'altres fonts, la informació s'ha de facilitar en un termini raonable però, en qualsevol cas, en el termini d'un mes.

Per tant, els centres i serveis educatius (mitjançant la direcció o, si escau, la titularitat) han de revisar les seves clàusules informatives per tal que s'adaptin als nous requeriments de la normativa aplicable.

Per a més informació es pot consultar la Guia per al compliment del deure d'informar l'RGPD i a l'apartat Departament > Protecció de dades personals de la intranet- Portal de centre hi ha els models de clàusules informatives.

Un encarregat del tractament és la persona física o jurídica, autoritat pública, servei o altre organisme que tracti dades personals per compte del responsable del tractament.

Les escoles, com a responsables dels tractaments, poden encarregar a terceres persones o entitats un tractament de dades personals o una activitat que comporti el tractament de dades de caràcter personal, com ara organitzar les activitats extraescolars, el servei d'autocar, el servei de menjador o altres serveis externalitzats (natació, activitats extraescolars, assessoria comptable i laboral, destrucció de paper, etc.).

La regulació de la relació entre el responsable i l'encarregat del tractament s'ha d'establir a través d'un contracte, conveni o acord d'encàrrec per al tractament de dades personals. El contracte o l'acte jurídic ha de constar per escrit, i inclusivament en format electrònic.

Concretament, segons l'article 28 de l'RGPD, el contracte o acord ha d'establir com a mínim l'objecte, la durada, la naturalesa i la finalitat del tractament, el tipus de dades personals i les categories de persones interessades, així com les obligacions i els drets del responsable. El contracte també ha de disposar si, un cop finalitzada la prestació dels serveis, les dades es tornaran al responsable o es destruiran.

Alguns aspectes del Reglament (UE) 2016/679, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (RGPD), són directament aplicables als encarregats del tractament, com són mantenir un registre d'activitats de tractament i determinar les mesures de seguretat aplicables als tractaments.

El responsable del tractament, és a dir, el director o directora del centre o el o la titular, ha d'escollir únicament encarregats del tractament que ofereixin garanties suficients per aplicar les mesures tècniques apropiades, conforme amb els requisits de l'RGPD. Per tant, hi ha un deure de diligència a l'hora d'escollir l'encarregat.

Per demostrar que l'encarregat ofereix prou garanties, l'RGPD estableix l'adhesió a codis de conducta o la possessió de certificats de compliment de la normativa de protecció de dades que serveixen com a mecanismes d'acreditació de compliment.

Els centres i serveis educatius han de revisar tots els acords, convenis i contractes per adaptar-los al que estableix l'RGPD.

Per a més informació es pot consultar la Guia sobre l'encarregat del tractament al RGPD, de l'Autoritat Catalana de Protecció de Dades.

El Reglament (UE) 2016/679, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (RGPD), estableix la designació d'un delegat o delegada de protecció de dades. Aquesta figura és obligatòria per al Departament i també per als centres docents i té, entre d'altres, les funcions següents: informar i assessorar el centre o l'encarregat i els treballadors sobre les obligacions que imposa la normativa de protecció de dades, supervisar el compliment de la normativa, assessorar respecte de l'avaluació d'impacte relativa a la protecció de dades i ser l'interlocutor del centre escolar amb l'autoritat de protecció de dades (APDCAT).

El Departament d'Educació té assignat un delegat o delegada de protecció de dades que s'encarrega de vetllar pel dret fonamental a la protecció de dades personals

en l'àmbit del Departament (en què s'inclouen els centres i serveis educatius de titularitat del Departament) i de supervisar el compliment de la normativa reguladora. L'adreça de contacte és dpd.educacio@gencat.cat.

L'article 34.1.b de la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals (LOPDGDD), estableix que els centres concertats i privats tenen l'obligació de designar un delegat o delegada de protecció de dades.

El delegat o delegada de protecció de dades podrà formar part de la plantilla o bé actuar en el marc d'un contracte. Una mateixa persona o empresa contractada pot ser delegat o delegada de protecció de dades de diferents centres.

Els centres educatius hauran de publicar les dades de contacte del delegat de protecció de dades i comunicar a l'Autoritat catalana de protecció de dades (APDCAT) les designacions, els nomenaments i els cessaments del delegat de protecció de dades en un termini de deu dies.

Per a més informació podeu consultar els tràmits de comunicació a l'Autoritat Catalana de protecció de dades 

Comunicar o cedir dades és facilitar a un tercer, diferent de la persona interessada o dels seus representants legals, dades relatives a la seva persona.

La comunicació de dades requereix, amb caràcter general, el consentiment de les persones interessades o dels representants legals, llevat que aquesta comunicació estigui, per exemple, legitimada per una norma amb rang de llei, un motiu d'urgència vital, garantir la salut pública (infeccions, pandèmies, etc.), estar en situació de desemparament o risc de menors (interès superior del menor) o en el marc d'una relació contractual establerta. Per tant, també la comunicació de dades a tercers ha d'estar sustentada en alguna base jurídica.

No obstant això, no es consideren comunicacions de dades la seva transmissió a empreses que tinguin la condició d'encarregats de tractament.

En aquests casos, els centres poden actuar com a intermediaris entre els serveis de salut i les famílies.

El responsable del tractament de les dades que es comuniquen a través del centre

és l'organisme o entitat de salut pública corresponent, amb la qual cosa l'entitat de salut ha de subministrar el formulari per recollir el consentiment explícit de les famílies.

El centre ha de traslladar tota la informació disponible a les famílies sobre el programa o actuació concreta que li hagi subministrat l'organisme o entitat de salut pública corresponent, incloent-hi la recollida del consentiment explícit.

Les associacions de mares i pares d'alumnes d'un centre són entitats amb personalitat jurídica pròpia i, per tant, són responsables de les activitats de tractament que duguin a terme i que es determini en els seus estatuts. Els és aplicable la normativa vigent en matèria de protecció de dades.

Les seves activitats de tractament no formen part de les activitats de tractament del centre educatiu, ni a l'inrevés.

El centre no pot facilitar cap dada personal (alumne o alumna, famílies, etc.) que estigui inclosa en les activitats de tractament del centre, llevat que compti amb el consentiment lliure, informat i inequívoc de les famílies interessades.

Les AMPA són responsables d'atendre les peticions d'exercici de drets que els puguin adreçar les famílies de les quals tractin dades i d'aplicar les mesures de seguretat que considerin adequades a l'activitat de tractament que duguin a terme.

Existeix el deure de comunicar als serveis socials bàsics, especialitzats o al departament competent en matèria de protecció dels infants i els adolescents (Departament de Treball, Afers Socials i Famílies), la situació de risc o de desemparament en què es troba un infant o adolescent al més aviat possible, garantint la confidencialitat de la identitat de la persona que fa la comunicació. 

El centre educatiu, com a responsable del tractament de les dades de l'alumnat, ha d'atendre la petició d'informació de la policia amb la motivació deguda, que acrediti la relació amb els supòsits exposats, i deixar constància de la petició, sempre que es faci de forma concreta i específica per prevenir un perill real per a la seguretat pública, o per a la repressió d'infraccions penals. Si es demana informació de categories especials de dades, només s'ha de facilitar si es requereix en el marc d'una investigació concreta i aquesta informació és absolutament necessària per assolir la finalitat esmentada.

Es considera admissible un requeriment judicial o de la fiscalia i també una ordre o un ofici expedit per la mateixa autoritat policial que estigui al càrrec de les actuacions.

En tot cas, la petició que faci, en exercici de les seves competències, ha de ser concreta, específica i motivada, de manera que no hi hagi una comunicació de dades indiscriminada.

Convé evitar facilitar les dades de l'alumnat, llevat que resultin estrictament necessàries per dur a terme l'activitat en la institució, entitat o empresa. En aquest cas, es pot utilitzar el formulari en què es demana l'autorització al pare o mare o tutor o tutora per participar en la sortida i també el consentiment per comunicar les dades de l'alumne o alumna.

Els serveis educatius que depenen orgànicament i funcionalment de l'Administració educativa de la Generalitat, els quals proporcionen suport i assessorament presencial i telemàtic als centres que presten el Servei d'Educació de Catalunya, al seu professorat i al seu alumnat i famílies (articles 86.1 i 86.2 de la Llei 12/2009, d'educació), han de tractar dades personals per dur a terme les seves funcions.

Concretament, l'habilitació legal que permet aquest tractament de dades personals és la disposició addicional 23 de la Llei orgànica 2/2006, de 3 de maig, d'educació, atès que tracten dades per a una finalitat educativa i orientadora. Per tant, la legitimació del tractament de dades personals troba l'empara en la missió realitzada en interès públic, de conformitat amb l'article 6.1.e del Reglament (UE) 2016/679 del Parlament i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE (RGPD).

Així doncs, per a la seva intervenció no requereixen el consentiment de les persones interessades ni dels seus representants legals (si són menors de 14 anys). Si bé abans de produir-se la seva intervenció s'ha de comunicar a les famílies que es durà a terme i també s'ha d'informar del tractament de les dades personals, de conformitat amb el que disposa el capítol 7 aquest document d'inici de curs sobre protecció de dades personals, relatiu al dret d'informació.

Atès que el tractament es basa en una missió d'interès públic, la persona interessada i/o el seu representant legal poden exercir els seus drets en matèria de protecció de dades.

Qualsevol persona de la qual es tractin les dades personals té dret a accedir a les seves dades, sol·licitar-ne la rectificació, si escau, sol·licitar-ne la supressió o la limitació del tractament de les seves dades amb les condicions que s'estableixen al RGPD, i en determinades circumstàncies, quan el tractament es basa en una missió d'interès públic o l'exercici de poders públics, oposar-se al tractament, mitjançant una sol·licitud motivada i relativa a la seva situació personal. També té dret a no veure's sotmesa a avaluacions d'aspectes de la persona o que pretenguin analitzar o predir algun dels aspectes següents: rendiment professional, situació econòmica, localització o moviments, estat de salut, preferències o interessos personals, etc.

Així mateix, amb relació als drets de la persona interessada, cal tenir present el següent:

• Són drets independents entre si i, per tant, l'exercici d'un dret no és un requisit previ per a l'exercici d'un altre.

• S'ha de concedir a la persona interessada un mitjà senzill i gratuït per dur a terme l'exercici dels drets.

• Pel que fa al termini de resposta, el responsable del tractament ha de facilitar a la persona interessada informació de les seves actuacions sobre la base d'una sol·licitud en el termini d'un mes a partir de la recepció de la sol·licitud, que es pot prorrogar a dos mesos en cas necessari, tenint en compte la complexitat i el nombre de sol·licituds.

Els centres i serveis educatius de titularitat del Departament tenen disponibles els formularis per a l'exercici de drets de les persones interessades o dels representants legals en el web del Departament.

En tant que el tractament de dades personals per part dels serveis educatius està fonamentat en una missió realitzada en interès públic per a la seva funció educativa i orientadora, si es formula aquest dret d'oposició sobre la base d'una situació personal justificada, el responsable del tractament (director o directora de cada servei educatiu)

ha d'atendre aquest exercici del dret d'oposició i revisar els motius que al·lega la persona interessada i, un cop analitzats, resoldre en un sentit estimatori o desestimatori. Si com a resultat d'aquesta valoració es conclou que, malgrat l'oposició formulada, s'han de tractar les dades personals per motius legítims imperiosos per al tractament, com podria ser l'interès superior de l'infant o l'adolescent, de conformitat amb el que disposa la Llei 14/2010, del 27 de maig, dels drets i les oportunitats en la infància i l'adolescència, sempre que prevalguin sobre els interessos, drets i llibertats de la persona interessada, aleshores es pot fer el tractament de dades corresponent.

Això es disposa sense perjudici de la necessitat de signar el corresponent compromís de corresponsabilitat amb relació als serveis i recursos que es posen a disposició de les famílies en el procés educatiu de l'alumnat, mitjançant la carta de compromís de cada centre educatiu.

Les dades personals que tracten els serveis educatius per a la finalitat educativa i orientadora amb caràcter general només es poden compartir amb la família de l'alumne o alumna i el personal docent vinculat: tutors, orientadors, mestres d'audició i llenguatge (MALL) i mestres d'educació especial (MEE). Només es poden tractar les dades que siguin estrictament necessàries per atendre adequadament l'alumnat.

Fora d'aquest supòsit, per comunicar dades personals, per exemple, a altres administracions (ajuntaments, consells comarcals), entitats o altres professionals, cal que existeixi una base legal que habiliti aquesta comunicació de dades, entre les que disposa l'article 6 de l'RGPD. Amb caràcter general, l'habilitació es podria donar perquè existeix una norma que l'exigeix (article 6.1.c) per exercir una missió realitzada en interès públic o poder públic, establerta en una norma amb rang de llei (article 6.1.e) o bé es demani el consentiment de la persona interessada i/o representant legal

(article 6.1.a).

En qualsevol cas, i abans de produir-se qualsevol intervenció o comunicació de dades personals, les famílies han d'estar informades sobre quines dades se cediran i a qui.

El dret a la pròpia imatge està reconegut en l'article 18.1 de la Constitució espanyola i regulat per la Llei orgànica 1/1982, de 5 de maig, sobre el dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge. L'article 3 d'aquesta Llei admet la validesa del consentiment atorgat pels menors i incapaços si les seves condicions de maduresa ho permeten, d'acord amb la legislació civil. En conseqüència, és necessari haver obtingut el consentiment pertinent abans de captar, publicar o difondre imatges d'alumnes on aquests alumnes siguin clarament identificables, en els webs dels centres educatius, en revistes o publicacions d'àmbit educatiu editades pel centre, blogs o xarxes socials, entre altres mitjans.

No cal demanar el consentiment quan en un esdeveniment públic la imatge d'una persona apareix merament com accessòria dintre de l'esdeveniment o quan les persones que hi apareixen no es poden identificar. Tampoc no cal demanar el consentiment si les imatges estan difuminades o es tracta d'una fotografia col·lectiva en què els alumnes no són identificables.

El director o directora del centre públic o el o la titular del centre privat són responsables únicament d'allò que es capti dins del recinte del centre. Així, qualsevol captació d'imatge efectuada dins del recinte del centre requereix l'autorització prèvia del director o directora o del o de la titular, autorització que s'ha d'acreditar degudament. Si les imatges identifiquen persones, cal el consentiment de les persones afectades o dels seus representants legals, i s'ha d'informar de la finalitat concreta de la captació.

El director o directora del centre públic o, si escau, el o la titular del centre privat, no és responsable de la captació d'imatges en espais públics externs al centre.

Per obtenir el consentiment quan aquest sigui necessari, el centre ha d'informar de la possibilitat de publicar al web del centre, en revistes o publicacions d'àmbit educatiu editades pel centre o en blogs o xarxes socials, imatges o dades personals de l'alumne o alumna en activitats lectives, complementàries o extraescolars.

S'ha d'informar de les finalitats específiques per les quals s'utilitzaran les imatges i s'ha de permetre que els representants legals o, si escau, els més grans de 14 anys prestin el consentiment per a cadascuna de les finalitats específiques; per exemple, si una imatge es vol publicar a diferents xarxes socials, cal especificar quines i s'ha de permetre que es pugui autoritzar per a cadascuna de les xarxes socials. Es pot utilitzar el mateix formulari per a l'autorització de les diverses finalitats.

En la difusió d'informació, cal adequar les mesures de seguretat als avenços tecnològics i a les necessitats derivades dels nous riscos que puguin aparèixer. La imatge i la veu són dades de caràcter personal i, per tant, el seu tractament ha de complir la normativa vigent en aquesta matèria.

Cal transmetre a l'alumnat els principis i els valors relatius a la privacitat de si mateix i de la resta de persones. L'alumnat ha de saber que no poden fer fotografies ni vídeos a altres alumnes o persones sense el seu consentiment ni, per tant, fer-ne difusió a les xarxes socials o a Internet.

Quan el tractament requereixi el consentiment de la persona interessada o del representant legal, l'autorització ha d'informar del tractament de les dades d'acord amb el que disposa el punt 7 d'aquest document, i en tot cas ha d'especificar, de la manera més concisa possible, el següent:

• La finalitat a què es destinaran les dades (imatges, veu o materials), especificant:

• El mitjà de difusió o entorn on es publicaran les dades (anuari del centre, web, intranet, web del Departament d'Educació, publicacions, fires, jornades, exposicions, televisió local, etc.).

• El tipus d'accés, és a dir, si l'accés serà restringit, mitjançant credencials (usuari i contrasenya o mecanismes similars) a les persones que formen part de la comunitat educativa d'acord amb el seu perfil, per exemple, o bé seran accessibles sense restriccions a través d'Internet.

• El període de validesa de l'autorització. Es recomana renovar les autoritzacions cada curs escolar o en funció del període de validesa que determini el centre, que ha de constar al formulari d'autorització. Aquest període de validesa de l'autorització determina el període en el qual es poden utilitzar les imatges i/o la veu. Es recomana conservar les autoritzacions fins que finalitzi l'escolarització de l'alumne o alumna al centre. Si es recullen en paper es poden escanejar i guardar en format digital.

La informació s'ha d'expressar sempre en un llenguatge fàcilment comprensible. El Departament ofereix models d'autorització a la intranet - Portal de centre:

• Autorització relativa als alumnes de menys de 14 anys: ús d'imatges, publicació de dades de caràcter personal i de material que elaboren

• Autorització relativa als alumnes/personal més grans de 14 anys: ús d'imatges, publicació de dades de caràcter personal i de material que elaboren

Correspon al centre, en cas de necessitar-ho, adaptar els models d'autorització i/o consentiment, si ha d'incloure de manera adequada l'especificitat relativa a cada finalitat i ús, i el període de validesa de l'autorització, i establir els procediments que garanteixen que s'ha comprovat de manera efectiva l'edat del o la menor i l'autenticitat del consentiment prestat, si escau, per tutors o representants legals.

En el marc de les activitats incloses en la programació d'activitats lectives per desenvolupar l'acció educativa i orientadora, els centres o serveis educatius poden portar a terme activitats que impliquin la captació d'imatges i/o de veu.

Els centres o serveis educatius estan legitimats per fer aquest tractament sense necessitat d'obtenir el consentiment de l'alumnat, pares o mares o tutors legals, d'acord amb la base jurídica de missió realitzada en interès públic, de conformitat amb la disposició addicional 23 de la Llei orgànica 2/2006, de 3 de maig, d'educació.

Tot i que no calgui demanar-ne el consentiment, sempre s'ha de complir l'obligació d'informar les persones interessades, alumnat, famílies i/o representats legals, de les activitats de tractament que s'inclouen en aquest marc d'actuacions, d'acord amb el que disposa el capítol 7 d'aquest document.

Els i les docents que, per desenvolupar una activitat educativa, considerin necessari captar imatges i/o veu de l'alumnat han d'informar prèviament el director o directora o el o la titular del centre per dur a terme aquest tipus d'activitats.

Les imatges i/o la veu només poden ser accessibles a l'alumnat que participa en l'activitat, professorat i representants legals afectats, per la qual cosa cal fer ús o habilitar espais segurs i privats dins el web del centre, si escau, accessibles amb usuari i contrasenya o mecanismes assimilats, que permetin definir els nivells de visibilitat adequat a cada perfil d'usuari.

No es poden difondre imatges d'activitats lectives a través de mitjans que permetin accés a un nombre indeterminat de destinataris, llevat que el o la responsable de la difusió hagi obtingut el consentiment lliure i informat dels titulars de les dades o dels representants legals.

Cal destacar que cap alumne o alumna no pot ser tractat de manera diferenciada (per exemple, apartant-lo de l'activitat) pel simple fet que el desenvolupament de l'activitat inclogui la captació d'imatge i/o de veu.

Perquè alguna activitat lectiva que inclogui captació d'imatge i/o de veu pugui ser difosa a través de mitjans accessibles a un nombre indeterminat de destinataris, per exemple Internet, blogs, xarxes socials o similars, el centre necessita, amb caràcter previ, obtenir el consentiment de les persones interessades o dels seus representants legals, si l'alumne o alumna té menys de 14 anys.

En aquests casos s'ha d'informar del tractament de dades personals i concretar la finalitat específica del tractament i els mitjans o canals concrets de difusió que s'utilitzaran, entre altra informació, tal com s'exposa en el capítol 7 d'aquest document. Cal especificar si les imatges i/o la veu seran accessibles per a un nombre indeterminat de destinataris, o bé si l'accés es limitarà a la comunitat educativa del centre (mitjançant la intranet del centre, accessible a través d'usuari i contrasenya o un altre tipus de credencials).

La recomanació és difondre aquestes imatges i/o veu a través d'espais privats en el web del centre, en els quals es requereixin credencials d'accés.

Cal destacar que cap alumne o alumna no pot ser tractat de manera diferenciada (per exemple, apartant-lo de l'activitat) pel simple fet que el desenvolupament de l'activitat inclogui la captació d'imatges o veu. Si el centre no ha obtingut l'autorització corresponent per fer la difusió de les imatges o veu d'un o més alumnes, haurà d'aplicar-hi procediments perquè la imatge o la veu d'aquests alumnes no sigui identificable (per exemple, pixelant-ne la imatge o distorsionant-ne la veu).

Les activitats o actes, oberts al públic organitzats i celebrats en els centres educatius en què participen familiars d'alumnes d'un centre o servei educatiu poden comportar la gravació d'imatges i/o veu per part de les famílies i dels assistents.

En aquests casos es considera que el tractament se circumscriu a activitats exclusivament personals o domèstiques, les quals queden excloses de l'àmbit d'aplicació de la normativa de protecció de dades.

Els familiars han de tenir en compte que no poden publicar o difondre aquest tipus de dades personals a Internet, xarxes, blogs, etc., tret que hagin obtingut el consentiment de qui apareix a la gravació o, si són menors de 14 anys, dels pares, mares o tutors legals.

La direcció o la titularitat del centre ha d'informar els assistents a aquests actes, amb caràcter previ, si podran gravar imatges o veu dels participants i, en tot cas, que les gravacions podran ser utilitzades únicament de forma personal i domèstica. Es recomana que la decisió corresponent per part de la direcció o la titularitat del centre s'inclogui en les normes d'organització i funcionament del centre.

Així, correspon a la direcció o la titularitat del centre, definir, si escau, la política en aquests casos, ja que no existeix cap normativa que prohibeixi de manera explícita aquest tipus d'activitat. En tot cas el centre ha d'avaluar amb caràcter previ les conseqüències que se'n puguin derivar.

Si la captació d'imatge i/o de veu la fa un tercer a conseqüència d'un encàrrec del centre educatiu, dintre d'actes o activitats no lectives, la direcció del centre és la responsable d'obtenir el consentiment, de l'alumnat o, si escau, dels pares, mares o tutors.

Si un tercer capta imatges o veu per a les seves finalitats, és el responsable d'obtenir el consentiment de l'alumnat o, si escau, dels pares, mares o tutors amb caràcter previ a la captació. Així mateix, aquest consentiment pot ser obtingut a través del centre, si aquest ho considera oportú. En aquest cas cal indicar qui serà el responsable d'aquest tractament, les finalitats, els canals de difusió, etc.

D'acord amb la Guia bàsica de protecció de dades per als centres educatius, de l'Autoritat Catalana de Protecció de Dades, la instal·lació de sistemes de videovigilància als centres o serveis educatius s'ha de valorar amb especial cura, atès que pot interferir en el dret de l'alumne o alumna a desenvolupar la seva personalitat aprenent i expressant-se en un entorn no sotmès a vigilància continuada, i també en la llibertat d'ensenyament.

La captació d'imatges de persones físiques i/o de la seva veu mitjançant càmeres o altres dispositius electrònics en què siguin identificables també constitueix un tractament de dades personals amb especificitats pròpies, i es regula a la Instrucció 1/2009, de l'Agència Catalana de Protecció de Dades, sobre el tractament de dades de caràcter personal mitjançant càmeres amb fins de videovigilància.

L'adopció d'aquest tipus de mesures ha de resultar proporcionada a la finalitat que es persegueix, que ha de ser determinada, explícita i legítima. Per raó d'aquest principi de proporcionalitat amb la finalitat del tractament i juntament amb el principi d'intervenció mínima, que cal tenir en compte a l'hora d'aplicar mesures que resultin més intrusives pel dret fonamental a la protecció de les dades personals, es recomana que els sistemes de videovigilància que posin en funcionament els centres públics no enregistrin la veu. En qualsevol cas, l'avaluació de la proporcionalitat de la mesura obliga a analitzar també els aspectes temporals de la captació d'imatges (lapses temporals de captació, període de conservació, etc.), perquè resulti adequada a la problemàtica que es pretengui afrontar.

L'article 7.2 de la Instrucció esmentada descriu el procés de ponderació, que s'ha de fer respecte dels diferents drets i béns jurídics que poden entrar en conflicte, de manera que obliga a analitzar, en relació amb els sistemes de videovigilància:

• la necessitat d'utilitzar aquests sistemes;

• la idoneïtat de la instal·lació dels sistemes de videovigilància per assolir la finalitat perseguida;

• el risc que pot comportar per als drets de les persones, ateses les característiques del sistema de videovigilància, les circumstàncies de la captació i les persones afectades, i

• l'absència de mesures de vigilància alternatives que comportin un risc menor.

A l'hora d'avaluar fins a quin punt les operacions de tractament previstes són necessàries i proporcionades, cal tenir en compte els principis següents:

• limitació de la finalitat;

• minimització de dades;

• limitació del termini de conservació.

Per tant, amb caràcter previ a la instal·lació, correspon a la direcció o, si escau, a la titularitat del centre, responsable del tractament:

• ponderar els diferents drets i béns jurídics en joc i el risc que pot comportar la instal·lació d'aquests sistemes per als drets i llibertats de les persones afectades;

• vetllar per la legitimitat del tractament, el respecte als principis de qualitat, proporcionalitat i finalitat del tractament;

• informar el consell escolar de la voluntat d'instal·lar el sistema de videovigilància (és necessari que el director o la directora, o titular, ho aprovi en sessió ordinària del consell escolar, d'acord amb el dictamen favorable d'aquest), i

• elaborar i mantenir actualitzada la memòria justificativa de la instal·lació, que ha de contenir els aspectes recollits en l'article 10 de la Instrucció 1/2009, de l'Agència Catalana de Protecció de Dades.

Si finalment s'instal·la el sistema de videovigilància, els centres han d'informar de forma clara i permanent sobre l'existència de càmeres, encara que no s'enregistrin les imatges, mitjançant la col·locació de cartells informatius, que són necessaris per garantir-ne el coneixement i facilitar la informació complementària que calgui.

Per tal que l'activitat de tractament relativa al sistema de videovigilància instal·lat al centre o servei educatiu sigui inclosa adequadament en el Registre d'activitats de tractament, que manté el Departament de forma única per a tots els tractaments de dades dels centres i serveis educatius de la seva titularitat, aquests han de fer arribar als serveis territorials o, a la ciutat de Barcelona, al Consorci d'Educació de Barcelona, la documentació que a continuació es detalla:

• Certificat de la direcció del centre amb relació a l'acta de la sessió del consell escolar del centre en què es va aprovar la proposta d'instal·lació del sistema de videovigilància.

• Memòria justificativa del sistema. Es pot utilitzar el model publicat Protecció de dades > Videovigilància > Documentació per als centres de la intranet - Portal de centre.

• Aquesta documentació s'ha de fer arribar per valisa electrònica (eValisa) al secretari o secretària dels serveis territorials o, si escau, al o a la gerent del Consorci d'Educació de Barcelona.

Si el tractament de dades personals mitjançant sistemes de videovigilància s'adequa al que disposa la Instrucció 1/2009, els serveis territorials o el Consorci d'Educació de Barcelona han d'emetre l'informe favorable. En cas contrari, si el tractament de les dades no s'adequa al que disposa la Instrucció, s'ha de comunicar als centres perquè la direcció del centre insti l'adequació de les instal·lacions i faci les esmenes pertinents a la memòria.

Un cop la instal·lació s'ajusti al que disposa la Instrucció 1/2009, els serveis territorials o el Consorci d'Educació de Barcelona ho han de comunicar tant a la Direcció General de Centres Públics com al centre. Posteriorment, la Direcció General de Centres Públics ho ha d'elevar al Gabinet Tècnic, perquè faci l'alta als sistemes d'informació i la publicació corresponent al registre de les activitats de tractament, mitjançant la inclusió en el llistat de “Centres educatius amb sistemes de videovigilància declarats”.

El centre sempre ha de tenir una còpia de la memòria a disposició de l'Autoritat Catalana de Protecció de Dades.

El sistema de videovigilància pot estar en funcionament durant un període de proves no superior a un mes abans de la recepció de l'informe favorable per part dels serveis territorials o del Consorci d'Educació de Barcelona. En cas d'emissió d'un informe desfavorable, el sistema s'ha de desconnectar.

La imatge i la veu tenen la consideració de dades personals i en docència i avaluació en línia qualsevol tractament de dades personals que es dugui a terme ha de respectar els principis i deures que estableix el Reglament general de protecció de dades, la Llei orgànica 3/2018 (LOPDGDD) i la resta de normativa de protecció de dades d’aplicació.

Cal tenir en compte que captar o enregistrar les imatges d'alumnes a les classes o als domicilis (en cas d'impartir les classes de manera remota) suposa un risc per als drets fonamentals de la pròpia imatge i/o de la intimitat de l'alumnat.

El dret a la privacitat és fonamental, però no pot ser un límit absolut, perquè el dret a l'educació també és un dret fonamental i la continuïtat del curs escolar és d'interès general. Per tant, en el marc de les activitats incloses en la programació d'activitats lectives per desplegar l'acció educativa i orientadora, els centres o serveis educatius poden portar a terme activitats que impliquin la captació d'imatges i/o de veu.

La base legal d'aquests tractaments no és el consentiment dels alumnes, o bé dels pares i mares o tutors legals en cas de menors de 14 anys, sinó el fet que l'ús de tecnologies que puguin captar la imatge o la veu pot ser necessari per dur a terme la funció educativa i orientadora dels centres, i la seva legitimació o base legal és l'execució d'una missió d'interès públic.

D'altra banda, es considera que la base de legitimació per tractar les dades personals del professorat a les escoles, sigui personal funcionari o laboral, no obeeix la regla del consentiment, sinó que se sustenta sobre la base del seu nomenament públic o de la seva contractació. En conseqüència, davant els supòsits d’ensenyaments a distància o bé quan les autoritats educatives determinin que en situacions extraordinàries, per garantir la funció educadora i el seguiment del curs de l'alumnat, sigui necessari impartir classes en línia amb presència remota del professor o professora, no s'hi pot negar, sens perjudici que el o la docent pugui exercir la resta dels seus drets en matèria de protecció de dades, com ara el de l'accés a les seves dades personals.

Això no obstant, els centres i serveis educatius sempre han d'optar pels mitjans menys intrusius i han de tenir en compte els principis següents:

• Deure d'informar les famílies, l'alumnat i el professorat dels tractaments que es duran a terme, per un principi de transparència, licitud i lleialtat en el tractament de les dades, de la finalitat i dels seus drets d'accés, rectificació, supressió o d'oposició, entre d'altres, en relació amb el tractament de les seves dades personals, en els termes que preveu la normativa, directament o a través, si escau, dels seus pares, mares o tutors (articles 15 i següents del RGPD).

• Principi de finalitat: qualsevol tractament d'imatge i veu ha de tenir una finalitat que ha de ser determinada, explícita i legítima (per exemple, garantir el seguiment de les classes a l'alumnat confinat per malaltia o en quarantena). Aquest principi també implica que les gravacions únicament s'han d'utilitzar en l'entorn de l'assignatura i el professorat i l'alumnat n'han d'estar informats.

• Principi de minimització: el tractament de les imatges ha de ser adequat, pertinent i limitat a la finalitat per a la qual es durà a terme, és a dir, proporcional. El tractament només es pot dur a terme si per aconseguir la seva finalitat no poden fer-se servir de manera raonable d'altres mitjans menys intrusius.

• La durada de la conservació de les imatges i/o veu ha de limitar-se al temps imprescindible per complir amb la finalitat per a la qual es tracten. En principi no poden anar més enllà del curs acadèmic.

• L'obligació de seguretat: el centre educatiu ha de garantir la disponibilitat, integritat i confidencialitat d'aquestes dades al llarg de tot el tractament (recollida, transmissió, emmagatzemament). Cal garantir que només podran accedir-hi el personal docent i l'alumnat als quals s'adreci.

• Col·lectius vulnerables: en el cas dels centres i serveis educatius, en tractar-se majoritàriament de col·lectius vulnerables (menors d'edat, alumnat amb necessitats especials, d'altres situacions personals) ha d'haver-hi un grau de protecció més alt. Cal seguir un criteri de màxima prudència i dotar els tractaments d'un grau de seguretat alt.

• Necessitats especials: és fonamental tenir en compte la necessitat de fer les adaptacions oportunes quan s'acudeixi a classes en línia i, si escau, a proves d'avaluacions virtuals davant les circumstàncies de diversitat funcional. Aquest coneixement ha d'estar limitat a la informació necessària per atendre les necessitats existents i únicament per part de qui ha de prestar assistència o facilitar les mesures que es decideixin sense que aquesta informació es pugui compartir o comunicar a qui no tingui competència al respecte.

• Publicació de les qualificacions: en el cas de donar-se pel canal electrònic, únicament l'alumnat, pares, mares o tutors han de poder accedir-hi per mitjà de credencials i claus d'accés a la intranet, aula virtual o plataforma educativa de què disposi el centre. Les mares, els pares o els tutors de l'alumnat matriculat al centre tenen dret a rebre informació sobre l'evolució educativa dels seus fills i filles, llevat que s'acreditin circumstàncies com la privació de la potestat parental a algun dels progenitors. Davant aquest supòsit el centre educatiu ha de demanar consentiment al progenitor que té atribuïda la potestat parental.

Aquests principis i criteris s'han de tenir en compte en els ensenyaments que s'imparteixen en modalitat no presencial, com és el cas de l'Institut Obert de Catalunya (IOC) i altres centres de formació professional a distància.

Altrament, cal recordar que l'ensenyament en línia a la resta dels centres educatius que imparteixen la docència en modalitat presencial només està justificat en situacions extraordinàries, com han estat les de la pandèmia per covid-19, que van comportar situacions de confinament i quarantenes domiciliàries d’alumnes i professorat.

D'acord amb el dictamen CNS 11/2021, publicat per l'APDCAT, l'activació de la càmera durant les classes en línia es pot considerar amb caràcter general un tractament lícit, sense que sigui necessari el consentiment dels afectats, per la funció educativa dels centres, el compliment d'una missió en interès públic i les previsions establertes per les autoritats sanitàries i educatives en el context de pandèmia, que va obligar a fer una part del seguiment del curs en aquesta modalitat per evitar la presencialitat a les aules.

En qualsevol cas, sempre s'ha de tenir en compte el principi de proporcionalitat. Per tant, cal optar en tots els casos pel sistema menys intrusiu. S'ha de recordar que per instal·lar una càmera ha d'haver-hi un motiu objectiu. Cal descartar-ne l'ús sempre que hi hagi una altra manera d'obtenir el mateix.

Es considera raonable i proporcionat mantenir oberta la càmera a l'inici de la classe perquè el o la docent mantingui contacte visual amb l'alumnat i en comprovi l'assistència. Si el caràcter participatiu de l'activitat lectiva o bé l'edat dels grups ho requereix per afavorir la interacció pròpia de les classes i el seguiment tutorial, es pot mantenir la càmera activada durant tota la classe.

El centre educatiu pot obligar l'alumnat a tenir la càmera activada durant la modalitat de classe en línia si resulta necessari per al seu desenvolupament, sens perjudici que les persones afectades puguin exercir el dret d'oposició en atenció a la seva situació particular. Quan no sigui imprescindible mantenir la càmera i el so actius durant tot el seu transcurs, és preferible que els alumnes puguin desactivar les pantalles i so per interactuar amb el professor o professora per mitjà del xat.

D'altra banda, quan la classe s'imparteix des del centre educatiu amb alumnes a l'aula perquè d'altres puguin seguir-la a casa en línia, la imatge i el so només s'han de referir al professor o professora.

En tots els casos s'ha d'informar les famílies, l'alumnat i el professorat del tractament que es farà i qui és el responsable del tractament, la finalitat i els seus drets i la resta d'informació sobre protecció de dades que estableix l'article 13 del Reglament general de protecció de dades (RGPD).

Si es demana que l'alumnat utilitzi els seus propis dispositius per fer el seguiment de la docència en línia, cal recomanar que es creïn perfils que preservin la intimitat dels altres usuaris si aquests dispositius són compartits.

Finalment, si es preveu que l'alumnat s'hagi d'instal·lar un programa o aplicació a l'ordinador, únicament se li pot requerir la instal·lació d'aplicacions per a les quals l'escola disposi de llicència i garanteixi la protecció de les seves dades personals.

A l'apartat Tractament d'imatges i/o de veu en activitats incloses en la funció educativa i orientadora d'aquest document es fa referència als enregistraments amb captació d'imatge i/o veu d'activitats que es produeixen a l'aula, amb presència de l'alumnat, per dur a terme determinades activitats incloses en la funció educativa i orientadora.

Una situació diferent és l'enregistrament de les classes en línia en què, en principi, s'hauria de descartar la gravació d'alumnes, ja que l'enregistrament de la seva imatge i veu representa un sistema més invasiu i, en general, no resulta necessari per al desenvolupament normal d'una classe en línia.

Tot i això, el fet d'enregistrar la classe permet assistir-hi en diferit. Així si el centre o servei educatiu, ateses les circumstàncies excepcionals que es puguin donar, ho considera imprescindible per a l'exercici de la funció educativa que es persegueix, ha de tenir en compte el següent:

• El centre ha de fer una anàlisi, des de la perspectiva de la privacitat, del disseny i per defecte, respecte de la finalitat de l'enregistrament, els casos en què la funció docent ho pot requerir, o el temps de conservació de les imatges.

• Prèviament a l'inici de la classe i abans d'enregistrar-la, cal haver informat els i les alumnes o la família, si són menors de 14 anys, que la sessió serà enregistrada (imatge, so i xat), a més de donar la resta d'informació sobre el tractament (article 13 del RGPD), la finalitat i els drets que poden exercir, entre els quals hi ha el d'oposició al tractament.

• Si l'edat i el tipus de classe ho permet, cal afavorir que els alumnes puguin desactivar la càmera o micròfon i participar a través del xat.

• De la mateixa manera que a la classe en línia sense gravació, quan se segueix amb una part de l'alumnat present a l'aula i la resta a casa, la imatge i el so només han d'estar enfocats al professor o professora.

• Preventivament també cal advertir els i les alumnes que preparin el seu espai, perquè es pugui protegir la intimitat familiar i la de tercers.

• La gravació només pot ser accessible per als alumnes i professor o professora i únicament a l'aula virtual de l'escola, durant el temps imprescindible per complir la seva finalitat.

• El professorat pot reutilitzar el material concebut per a d'altres finalitats acadèmiques exclusivament quan apareguin la seva imatge i veu i no la dels alumnes o terceres persones.

Com a norma general, la presencialitat, que es manté als centres i serveis educatius, no dona lloc a fer exàmens en línia. Això no obstant, pel que fa als ensenyaments a distància (o bé si hi ha una situació eventual extraordinària en què es plantegi la necessitat objectiva d'haver de fer algun examen virtual), des del punt de vista de la protecció de dades, cal tenir en compte el següent:

• Sempre s'ha de donar prioritat als mitjans alternatius d'avaluació contínua menys intrusius. És necessari abans de prendre aquesta mesura que hi hagi una valoració prèvia que la justifiqui perquè sigui proporcional a l'objectiu perseguit. Cal tenir en compte que per a determinats grups d'edat o d'alumnes amb necessitats especials, no es podria considerar adequada.

• Si es du a terme, sempre s'ha de captar en càmera web en temps real i no enregistrar, per bé que si l'examen és oral pot ser necessari per a l'avaluació que s'enregistri.

• Cal garantir els drets de l'alumnat, començant pel d'informació als alumnes i a pares, mares o tutors si es tracta de menors de 14 anys, sobre el tractament que es farà de les seves dades personals així com dels seus drets i de la finalitat del tractament que, en aquest cas, és el de garantir la presència de l'alumne o alumna i la realització de la prova a distància.

Una altra informació que cal oferir a alumnes i famílies en el cas que la prova sigui en remot sobre la captació d'imatges:

• Cal delimitar el camp d'acció de la càmera web, que ha de ser exclusivament l'alumne o alumna i el seu entorn de treball, per evitar que l'orientació impliqui obtenir imatges de l'estança en què l'alumne o alumna durà a terme l'activitat. S'ha de recomanar que tercers no accedeixin a l'entorn mentre duri la prova.

• Cal recordar la prohibició que no es poden captar imatges de tercers com són el professor o professora o d'altres companys durant l'examen sense la seva corresponent autorització.

D'altra banda, per a la comprovació i vigilància d'exàmens en línia no es pot dur a terme el reconeixement facial amb dades biomètriques, perquè actualment no compta amb una base legal suficient i, a més, el centre educatiu té la possibilitat d'utilitzar altres mecanismes de vigilància de proves a distància menys invasius per a l'esfera personal del o de la menor. El reconeixement facial o la plantilla del reconeixement facial constitueix una dada biomètrica de categoria especial que ha de seguir el règim específic exigit per a aquest tipus de dades. El principi de minimització també comporta que sempre han de prevaldre les opcions que no impliquin el tractament de dades especials per damunt de les que sí que l'impliquen.

Una qüestió diferent pot ser plantejar l'ús del reconeixement facial per a la vigilància d’exàmens en els ensenyaments en la modalitat a distància (com per exemple, l'IOC) en tractar-se d'un altre tipus d'entorn i tenir unes finalitats específiques respecte de l’ensenyament presencial. En tot cas, aquests tipus de tractament amb dades biomètriques requereix que la persona responsable dugui a terme prèviament una avaluació d'impacte sobre la protecció de les dades per determinar-ne la licitud i proporcionalitat.

Tampoc és possible gravar els exàmens que es fan a l'aula amb finalitats de vigilància, perquè el professorat present a l'aula pot exercir aquesta funció i, en aquest context, no es pot considerar una mesura proporcionada captar imatges a l'aula amb l'objectiu de fer el seguiment de la prova per evitar conductes inadequades.

Per complir amb la normativa de protecció de dades i evitar bretxes de seguretat de les dades personals quan es fan les videotrucades o videoconferències, cal seguir una sèrie de recomanacions bàsiques

Pel que fa a l'aplicació de la videoconferència, cal fer servir sempre l'aplicació corporativa que el centre posa a disposició del professorat.

En el cas que el centre educatiu hagi contractat pel seu compte un proveïdor cal fer el següent:

• Revisar amb atenció les condicions d'ús i les polítiques de privacitat de l'aplicació.

• Comprovar que l'aplicació disposa de xifratge d'extrem a extrem.

• Observar si l'aplicació és capaç de donar solucions a les vulnerabilitats amb oferiment regular d'actualitzacions que cobreixin buits de seguretat.

Control d'assistència

Quan hi ha molta assistència és convenient que hi hagi una persona per controlar l'entrada dels participants i la seva identitat.

Així mateix, es recomana fer servir la sala d'espera per admetre els assistents i no començar fins que l'organitzador o organitzadora arribi; habilitar les notificacions per a quan s'hi incorpora algú o bé fer que els assistents es presentin o s'identifiquin; utilitzar els panells d'assistència per controlar qui és a la reunió, i bloquejar l'accés a la reunió un cop tots els participants s'han identificat.

Mesures de seguretat i privacitat

Com que s'hi tracten dades personals, com són la imatge i la veu, i també s'hi comparteixen dades personals i altra informació confidencial, les mesures de seguretat i privacitat que cal tenir en compte són les següents:

• Sempre que sigui possible, cal sol·licitar que només es facin servir dispositius proporcionats i aprovats pel centre educatiu (o pel Departament).

• No s'han de reutilitzar els codis o enllaços d'accés. Si el tema de la reunió és molt sensible, cal fer servir codis, URL o PIN d'enllaç d'un sol ús.

• S'ha de fer la convocatòria a contactes concrets, tot evitant enviar enllaços a grups o llistes de correus sense cap mena de control.

• Cal establir contrasenyes d'entrada a la reunió.

• Abans de començar la reunió, cal comprovar l'àrea visible per poder posar un fons de pantalla, si cal, i advertir a persones convivents que no interfereixin en l'activitat.

• Durant la reunió s'han de desactivar la càmera i l'àudio quan no siguin necessaris ni comprometin l'eficiència de la comunicació.

• Cal deshabilitar les funcions que no s'usaran servir (xat, compartir pantalla, intercanvi de fitxers) per evitar compartir informació o dades que poden ser sensibles i que no pertanyen a la finalitat de la reunió.

• Només s'ha de permetre compartir pantalla als organitzadors.

Informació prèvia

Abans d'iniciar la videotrucada cal facilitar als participants la informació sobre la protecció de les seves dades: cal indicar-ne el responsable, la finalitat, els drets que es poden exercir i la resta d'informació bàsica en matèria de protecció de dades que es pot consultar al web del Departament d'Educació o de l'escola, si escau.

Gravació de videoconferències

Les reunions no s'han de gravar tret que sigui imprescindible fer-ho. Si es graven sempre cal advertir de l'inici i del final de la gravació i demanar el consentiment dels participants. Si les reunions es fan amb les famílies d'alumnes, cal avisar-les que no es pot gravar la reunió si no es compta amb aquest consentiment.

Si s'ha de parlar en la reunió d'informació sensible cal consultar el responsable de seguretat TIC del centre per prendre mesures addicionals. Les gravacions cal que siguin xifrades amb un algoritme fiable i amb contrasenyes segures. Es pot valorar facilitar la informació sensible per una via alternativa (per exemple, correu electrònic xifrat).

Així mateix, cal adoptar les mesures de seguretat que siguin necessàries per garantir la privacitat, integritat i disponibilitat de l'enregistrament. Sempre que es gravi la reunió cal fer-ne còpies de seguretat i s'ha d'eliminar qualsevol gravació que hagi quedat emmagatzemada en el proveïdor.

Finalment, la gravació s'ha de conservar durant el temps exclusivament necessari per complir amb les finalitats del tractament.

Professorat i videoconferències

El professor o professora encarregat de fer la videotrucada cedeix la dada personal de la seva imatge. Per això cal informar-lo que, ateses determinades circumstàncies excepcionals, com han estat les de la pandèmia, pot ser necessari dur a terme aquesta funció entre les que desplega com a pròpies del seu lloc de treball sense que calgui demanar-li'n el consentiment. En aquest cas, si la videotrucada és necessària pel context, l'ha de fer atès que la legitimació del tractament de les seves dades personals ve donada pel compliment de la seva relació funcionarial o bé d'un contracte laboral.

Si es grava la videotrucada, a més d'informar-lo de la gravació, cal comptar amb el seu consentiment.

Les eines i els serveis que permeten el treball col·laboratiu i la comunicació entre usuaris s'han estès als centres pel treball acadèmic, ateses les grans potencialitats per desenvolupar la competència digital de l'alumnat. Per utilitzar aquests entorns, en molts casos, cal la contractació d'un servei i l'acceptació d'unes condicions de servei i un registre previ, amb la consegüent acceptació de clàusules que permeten el tractament de dades de caràcter personal.

La direcció del centre o, si escau, la titularitat és el responsable del tractament de dades de qualsevol dels serveis que decideixi contractar, en què s'inclouen plataformes o serveis a Internet.

Les plataformes o serveis contractats actuen com a encarregats del tractament. Per tant, el centre només pot escollir prestadors de serveis que reuneixin les garanties establertes en la normativa vigent. S'ha de seguir el que disposa l’apartat Encarregats del tractament d'aquest document, relatiu als encàrrecs de tractament.

Els centres han d'establir les normes que es requereixin per garantir un tractament adequat de les dades i són els responsables d'adoptar les mesures necessàries perquè tots els usuaris del sistema coneguin les polítiques del centre en matèria de seguretat.

Les plataformes o els serveis contractats han de permetre el control, per part del centre, dels continguts que es puguin publicar i, de manera molt significativa, dels que pugui publicar l'alumnat, en especial els que tinguin continguts multimèdia (fotografies, vídeos i gravacions de veu).

Els centres o serveis educatius han d'informar sempre l'alumnat, pares, mares o tutors legals de la utilització de tecnologies a l'aula, així com de les aplicacions mòbils (app) que tractin dades personals de l'alumnat: funcionalitat, finalitat i responsabilitat que pugui derivar, si escau, de possibles mals usos fora de l'àmbit educatiu.

En determinades circumstàncies, quan l'ús pugui anar més enllà de l'estrictament educatiu, el centre ha de demanar autorització per a l'ús d'aquests serveis, mitjançant aquests models:

● “Autorització relativa als alumnes de menys de 14 anys: ús de serveis i recursos digitals a Internet per treballar a l'aula”

● “Comunicació relativa als alumnes de més de 14 anys, però menors d'edat: ús de serveis i recursos digitals a Internet per treballar a l'aula”

● “Comunicació relativa als alumnes majors d'edat i per professors i personal del centre: ús de serveis i recursos digitals a Internet per treballar a l'aula”

1     Llistes als taulers d'anuncis tradicionals, electrònics o verbals

No s'han de publicar llistes que continguin dades personals si no s'ha obtingut, amb caràcter previ, el consentiment de la persona interessada, o bé hi ha una norma amb rang de llei que ho habiliti.

Procediments administratius selectius o de concurrència competitiva

Les persones interessades o participants en aquests procediments s'han d'avaluar al mateix temps, d'acord amb els mateixos criteris i amb igualtat d'oportunitats.

Competeixen en el procés per assolir un mateix objectiu: un lloc de treball, una plaça en un centre escolar, etc.

D'acord amb la disposició addiciona setena de la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, només s'han de publicar els noms i cognoms i les quatre xifres numèriques del document nacional d'identitat, el número d'identitat d'estranger, passaport o document equivalent, d'acord amb orientacions emeses per les autoritats de control.

Preinscripció

La preinscripció és un procediment administratiu de concurrència competitiva en què es valoren i puntuen determinades circumstàncies.

La publicitat s'ha de fer de manera que no comporti un accés indiscriminat a la informació i només d'aquelles llistes en format PDF que són expressament les publicacions establertes en el procediment de preinscripció. En aquest sentit, la norma que regula el procediment estableix el següent:

• Qualsevol llista o relació que contingui dades de caràcter personal no es pot publicar per mitjans electrònics, i només se'n permet la publicació dins les dependències del centre.

• En els ensenyaments en què la preinscripció es pugui sol·licitar amb formulari en suport informàtic, les llistes es poden consultar de forma individual al web del Departament.

Per tant, no es poden publicar les llistes de les diferents fases del procés en localitzacions (físiques o electròniques) que permetin l'accés d'un nombre indeterminat de destinataris:

• No es poden disposar les llistes perquè siguin accessibles des del carrer per facilitar-ne la consulta quan el centre està tancat.

• No es poden publicar directament en el web del centre sense mesures d'identificació prèvia que permetin acreditar la legitimitat necessària.

La publicació ha de ser accessible a les persones interessades perquè puguin exercir el dret de reclamació i ha d'evitar la publicitat de resultats parcials que puguin correspondre amb informació sensible o posar de manifest la capacitat econòmica de la família.

Quan aquestes llistes no siguin necessàries han de ser retirades, sens perjudici de la conservació per part del centre per atendre les reclamacions que es puguin plantejar.

En les llistes, tret que la convocatòria estableixi una altra cosa, poden constar el nom i cognoms dels alumnes sol·licitants i dels admesos al centre, així com la puntuació ordenada per barem que hagin obtingut.

D'acord amb l'article 21 del Reglament (UE) 2016/679, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades, l'alumne o alumna, els seus pares o mares o tutors legals poden oposar-se a la publicació de les seves dades personals en aquest procés, per motius relacionats amb la seva situació personal, com ara raons de seguretat pel fet de ser víctima de violència de gènere o patir algun tipus d'amenaça.

En cas de situacions de violència de gènere, la norma específica sobre protecció integral de violència de gènere estableix que en actuacions i procediments relacionats amb violència de gènere cal protegir la intimitat de les víctimes, en especial, les dades personals, les dels descendents i les de qualsevol altra persona que estigui sota la seva guarda i custòdia.

Els centres educatius han d'actuar amb especial cautela a l'hora de tractar amb dades de menors que es vegin afectats per aquestes situacions.

Procediments administratius sense concurrència competitiva

Les persones interessades o participants en aquests procediments participen en igualtat de condicions, perquè:

• No hi ha competició.

• En general només cal acreditar els criteris de valoració establerts: resultats de proves de nivell, avaluacions, títols, certificats, etc.

• La persona interessada és l'única que té un interès legítim en els resultats del procediment.

Ajuts, beques i subvencions públiques

Per publicitar la informació sobre ajuts, beques t i subvencions, cal aplicar les instruccions de les autoritats de control de l'òrgan concedent de l'ajut, beca o subvenció.

En cap cas no s'han de publicar el nom i cognoms de forma conjunta amb el número complet del DNI, número d'identitat estranger, passaport o document equivalent.

Per classes i/o activitats

Per organitzar l'activitat educativa, a l'inici del curs, generalment, el centre distribueix l'alumnat en classes, matèries, activitats o serveis.

Perquè pares, mares i alumnat coneguin aquesta distribució, es poden disposar de llistes en taulers d'anuncis, a l'interior del centre o a les portes de les aules, els primers dies de curs, i pel temps estrictament necessari per permetre el coneixement de la distribució a tots els implicats. A partir d'aleshores, si han de continuar exposades, és recomanable que estiguin penjades només a l'interior de les aules.

Si el centre disposa d'una plataforma de gestió educativa, es recomana que cada alumne o alumna, i els pares, mares o tutors, si escau, puguin consultar aquesta informació mitjançant credencials d'accés (usuari i contrasenya o sistemes equivalents).

Amb qualificacions

Les qualificacions s'han de facilitar només a l'alumnat i als pares, mares o tutors.

Si el centre disposa de plataformes educatives, han de ser accessibles exclusivament per a l'alumnat i per als pares, mares o tutors.

No és possible penjar una llista d'alumnes amb qualificacions en taulers d'anuncis del centre, atès que no hi ha cap base jurídica que ho habiliti.

Menjadors

Els centres educatius poden publicar els tipus de menús de què disposin, atès que poden tenir alumnat amb necessitats alimentàries específiques, ja sigui per raó de salut o de religió.

El centre pot disposar d'aquesta relació per donar el servei de menjador, però sense fer-ne publicitat; no es pot penjar, per tant, informació d'alumnes amb indicació del menú que els correspon.

La instal·lació d'un sistema de control d'accés i horari basat en la recollida i el tractament d'un patró de l'empremta dactilar comporta el tractament de les seves dades personals.

Pel que fa a l'empremta dactilar o al patró de l'empremta dactilar, es tracta, a més, d'una dada que ha de ser qualificada com a dada biomètrica. Per tant, cal aplicar a les dades relatives a les empremtes dactilars el règim específic que es disposa per a les categories especials de dades.

L'Estatut dels treballadors estableix la possibilitat que l'empresari o empresària adopti mesures de vigilància i control per verificar el compliment de les obligacions laborals dels seus treballadors, però no es refereix en cap moment a una autorització per a la utilització de categories especials de dades o, en concret, de dades biomètriques, amb aquesta finalitat.

Atesa la naturalesa especial d'aquestes dades, en primer lloc, sembla que cal optar per altres sistemes de control que, sense utilitzar categories de dades especialment protegides, permetin assolir la mateixa finalitat.

Les exigències derivades de la protecció de dades en el disseny i, en especial, del principi de minimització, obliguen a escollir la tecnologia que resulti menys intrusiva des del punt de vista de la protecció de dades. El principi de minimització no es manifesta només a l'hora d'optar per alternatives que no impliquin el tractament de dades personals, o de dur a terme el tractament de dades de manera que s'emprin les dades mínimes indispensables, sinó que també comporta que, si es pot assolir una determinada finalitat sense haver de tractar dades de categories especials, aquesta opció ha de prevaldre davant altres opcions que sí que impliquin el tractament d'aquests tipus de dades.

Es produeix una violació de la seguretat quan s'ocasiona la destrucció, la pèrdua o l'alteració accidental o il·lícita de dades personals transmeses, conservades o tractades d'una altra manera, o la comunicació o l'accés no autoritzats a aquestes dades.

En aquests supòsits, el centre o servei educatiu s'ha de posar en contacte de forma immediata amb el servei territorial corresponent a l'efecte informatiu i també amb el delegat o delegada de protecció de dades del Departament d'Educació, a través del qual es recomana notificar la violació de seguretat a l'APDCAT, la qual s'ha d'efectuar en el termini màxim de 72 hores.

A banda de la notificació a l'APDCAT, si és probable que la violació de seguretat de les dades comporti un risc alt per als drets i llibertats de les persones físiques, el responsable ho ha de comunicar a les persones afectades sense dilacions indegudes i en un llenguatge clar i senzill, tret que:

El responsable hagi adoptat mesures de protecció adequades, com ara que les dades no siguin intel·ligibles per a persones no autoritzades.

El responsable hagi aplicat mesures posteriors que garanteixen que ja no hi ha la possibilitat que es concreti el risc alt.

Comporti un esforç desproporcionat; en aquest cas, es pot optar per una comunicació pública o una mesura equivalent.

La disposició addicional 23 de la Llei orgànica 2/2006, de 3 de maig, d'educació, estableix que el professorat i la resta del personal que, en l'exercici de les seves funcions, accedeixi a dades personals i familiars o que afectin l'honor i la intimitat dels menors o de les seves famílies queda subjecte al deure de secret.

En conseqüència, el responsable del tractament i totes les persones que poden intervenir en qualsevol de les fases del tractament de dades de caràcter personal estan obligats a guardar secret respecte d'aquestes dades.

És important informar d'aquesta obligació i de la seva suficiència fins i tot un cop finalitzi la relació amb el responsable. Cal incorporar aquest deure en els contractes laborals, en els convenis de pràctiques, en els protocols interns, en les activitats formatives i en les regulacions específiques que recullen els drets i les obligacions de les parts.

Sovint els centres educatius reben sol·licituds d'universitats o d'altres institucions per accedir-hi i dur a terme projectes de recerca científica, estadística o d'estudis mitjançant enquestes a professors o alumnes, observacions o d'altres tècniques.

L'accés als centres educatius públics per a aquests tipus d'estudis ha de seguir el procediment establert a la Instrucció 3/2020, per la qual es regula l'accés als centres educatius amb finalitats científiques, estadístiques o d'estudis del Departament d'Educació de la Generalitat de Catalunya.

La Instrucció estableix la necessitat d'obtenir la corresponent autorització del Departament, que s'atorga sempre que la informació prèvia que es requereix sobre l'estudi presentat demostri que compleix una sèrie de principis, entre els quals té especial rellevància el de la protecció de les dades personals que s'hagin de tractar.

Tot i que aquests tipus d'estudis científics comptin amb l'autorització del Departament per accedir-hi, els centres, com a responsables de les dades personals del seu alumnat i professorat, han de tenir molt present, des de les fases més incipients o preparatòries del projecte d'investigació, la rellevància que té el principi de minimització de les dades personals que s'han de tractar. Sempre que les finalitats de l'estudi es puguin aconseguir sense tractar dades personals o mitjançant un tractament ulterior que no permeti la identificació de les persones interessades, és com s'ha de fer i, en darrer terme, si cal fer tractament de dades personals aquest s'ha de dur a terme de manera que s'emprin les dades mínimes indispensables.

Les comunicacions entre el centre educatiu, professorat, alumnat i famílies s'han de fer, preferentment, a través dels mitjans corporatius (plataformes educatives, adreça electrònica del centre, etc.).

Com a norma general es recomana evitar els sistemes de missatgeria instantània; el seu ús i la creació de grups han de tenir caràcter excepcional, acotat a circumstàncies concretes i sempre s'ha de comptar amb el consentiment dels integrants.

L'adreça electrònica, personal i professional, és una dada de caràcter personal. A l'hora d'usar-la cal tenir en compte el següent:

• Usar la còpia oculta en enviaments massius de correus electrònics dirigits a professorat, alumnat i famílies.

• No publicar en obert l'adreça electrònica personal ni professional (ja que es necessita el consentiment previ del titular). És preferible publicar l'adreça electrònica corporativa del centre educatiu.

Unió Europea

• Reglament (UE) núm. 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades RGPD)

• Reglament (UE) núm. 611/2013 de la Comissió, de 24 de juny de 2013, relatiu a les mesures aplicables a la notificació de casos de violació de dades personals, en el marc de la Directiva 2002/58/CE del Parlament Europeu i del Consell sobre la privacitat i les comunicacions electròniques

• Carta dels drets fonamentals de la Unió Europea, articles 7 i 8 (DOCE núm. C 364, de 18.12.2000)

• Dictamen 2/2009, d'11 de febrer, sobre la protecció de les dades personals dels infants (directrius especials i referència especial a les escoles)

• Dictamen 3/2012, del Grup de Treball de l'Article 29, sobre l'evolució de les tecnologies biomètriques

Estatal

• Constitució espanyola, de 27 de desembre de 1978: articles 10, 14, 16, 18, 20, 53 i 105 (BOE núm. 311, de 29.12.1978)

• Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals (LOPDGDD) (BOE núm. 294, de 6.12.2018)

• Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal; articles 23 i 24 (BOE núm. 298, de 14.12.1999)

• Llei orgànica 1/1982, de 5 de maig, de protecció civil del dret a l'honor, a la intimitat personal i familiar i a la pròpia imatge (BOE núm. 115, de 14.5.1982)

Generalitat de Catalunya

• Llei 12/2009, del 10 de juliol, d'educació (DOGC núm. 5422, de 16.7.2009)

• Decret 306/2006, de 20 de juliol, pel qual es dona publicitat a la Llei orgànica 6/2006, de 19 de juliol, de reforma de l'Estatut d'autonomia de Catalunya: articles 4.1, 15, 20, 23, 27, 28, 30, 31, 76, 78, 156 i 182.3 (DOGC núm. 4680, de 20.7.2006)

• Instrucció 3/2020, per la qual es regula l'accés als centres educatius amb finalitats científiques, estadístiques o d'estudis

• Instrucció 8/2020, sobre l'ús de les tecnologies de la informació i la comunicació a l'Administració de la Generalitat de Catalunya

• Circular 2/2000, sobre els deures i les responsabilitats del personal al servei de l'Administració de la Generalitat que intervingui en qualsevol tractament automatitzat de dades personals

Autoritat Catalana de Protecció de Dades

• Instrucció 1/2009, de 10 de febrer de 2009, sobre el tractament de dades de caràcter personal mitjançant càmeres amb fins de videovigilància

• Orientació per a l'aplicació provisional de la disposició addicional setena de la LOPDGDD

• Dictamen 11/2021, de 23 de març de 2021, sobre l'obligació dels alumnes de tenir activada la càmera durant les classes en línia