RXPD en escolas de música: como tratar os datos de alumnos menores sen arriscarte a sancións

O RXPD aplícase a calquera entidade que trate datos persoais, sen mínimo de tamaño: unha academia con 40 alumnos está tan obrigada como unha universidade. Nun centro musical típico trátanse, como mínimo:

• Datos identificativos de menores — nome, data de nacemento, curso, instrumento.
• Datos de contacto e bancarios das familias — necesarios para a matrícula e o cobramento de cotas.
• Datos académicos — avaliacións, asistencia, observacións do profesor no diario de clase.
• Imaxes e gravacións — audicións, concertos, fotos para redes sociais.
• Datos de saúde ocasionais — alerxias, necesidades educativas especiais — que son categoría especial e esixen protección reforzada.

A combinación «menores + datos bancarios + imaxes» converte o sector nun caso sensible: os erros que noutro negocio serían leves, con menores tenden a escalar. E as denuncias non veñen de inspeccións de oficio, senón de onde menos se espera: unha familia descontenta tras unha baixa ou unha disputa por unha foto publicada.

En España, a LOPDGDD fixa en 14 anos a idade a partir da cal un menor pode consentir por si mesmo o tratamento dos seus datos. Por debaixo desa idade, o consentimento correspóndelles aos titulares da patria potestade ou tutela. Na práctica do teu centro:

• Menores de 14 anos — todo consentimento asínano os pais ou titores. Se os proxenitores están separados con patria potestade compartida, as decisións relevantes (como a publicación de imaxes) poden requirir a conformidade de ambos os dous — un punto de fricción real que convén prever no formulario.
• De 14 a 17 anos — o alumno pode consentir o tratamento dos seus propios datos, aínda que o contrato de matrícula (obriga económica) segue asinándoo o adulto.

Igual de importante: non todo necesita consentimento. Xestionar a matrícula, os horarios, a asistencia ou o cobramento de cotas ampárase na execución do contrato — non tes que pedir permiso para o que é imprescindible para prestar o servizo. O consentimento resérvase para o accesorio: imaxes, comunicacións comerciais, cesións a terceiros. Mesturalo todo nunha única casiña de «acepto» é precisamente un dos erros clásicos, porque o consentimento debe ser específico por finalidade e tan doado de retirar como de dar.

É o punto onde máis escolas de música tropezan, porque a actividade pídeo a berros: o concerto de fin de curso existe para ser fotografado. As regras para facelo ben:

• Consentimento separado e por canle — unha cousa é usar a foto na memoria interna do centro, outra publicala na web e outra subila a Instagram. O formulario de matrícula debe permitir marcar cada uso por separado, non un «si a todo».
• O «non» dunha familia xestiónase, non se ignora — necesitas saber en cada audición que alumnos non poden aparecer. Se esa información vive nun papel de setembro, en marzo ninguén a lembra: debe estar accesible na ficha do alumno.
• As familias que gravan desde o patio de butacas — o uso doméstico é libre e o centro non responde por el, pero si convén avisar (cartel ou programa de man) de que a difusión pública de imaxes doutros menores é responsabilidade de quen a fai.
• Fotógrafos externos — se contratas un, é un encargado de tratamento e necesita o seu contrato conforme ao art. 28 do RXPD.
• Retirada do consentimento — se unha familia o revoga, hai que retirar as imaxes das canles do centro. Ter localizado onde se publicou cada foto deixa de ser opcional.

A comunicación diaria é o burato silencioso do RXPD no sector. Os patróns de risco son moi recoñecibles:

• O grupo de WhatsApp da aula — expón o teléfono persoal de todas as familias entre si (unha cesión de datos que ninguén consentiu) e saca a información académica do control do centro.
• O móbil persoal do profesor — cando un docente lles escribe ás familias desde o seu número, os datos de menores acaban nun dispositivo privado que o centro non controla. Se o profesor marcha (ou marcha anoxado), leva as conversas consigo.
• Emails con copia visible — o clásico CC con sesenta enderezos de familias é unha fenda de datos de manual, e das máis denunciadas.
• Listaxes no taboleiro — publicar notas, grupos ou impagamentos con nome e apelidos no taboleiro da entrada (ou nun PDF aberto na web) é outra fonte habitual de reclamacións.

A solución de fondo é que a comunicación oficial do centro discorra por unha canle propia con control de acceso, onde cada usuario ve só o que lle corresponde e o centro conserva a trazabilidade — non pola axenda persoal de cada profesor.

1. Rexistro de actividades de tratamento — o documento interno que describe que datos tratas, para que, con que base xurídica e canto tempo os conservas (art. 30 do RXPD). É o primeiro que pide a AEPD.
2. Deber de información — cláusulas claras na matrícula, nos formularios e na web: quen é o responsable, finalidades, dereitos e como exercelos.
3. Contratos cos encargados de tratamento — xestoría, provedor de software, hosting, fotógrafo: todo terceiro que accede a datos por conta do centro necesita o contrato do art. 28. Pídellelo aos teus provedores; os serios téñeno preparado.
4. Medidas de seguridade proporcionais — control de acceso por usuario e rol, copias de seguridade, cifrado. O Excel de alumnos nun portátil sen contrasinal compartido por todo o claustro incumpre isto por si só.
5. Atención de dereitos — acceso, rectificación, supresión, oposición. Debes poder responder no prazo dun mes, o que esixe saber onde está cada dato.
6. Notificación de fendas de seguridade — se perdes datos (roubo de portátil, acceso indebido, email masivo con CC), tes 72 horas para valorar e, se é o caso, notificarllo á AEPD, ademais de documentalo internamente.

Os conservatorios e centros autorizados que imparten ensinanzas regradas deben valorar ademais a designación dun delegado de protección de datos (DPD), obrigatoria para os centros docentes no marco da LOPDGDD; para academias non regradas dependerá do volume e tipo de tratamento — consúltao co teu asesor.

As resolucións da AEPD contra centros educativos e de lecer infantil repítense sobre os mesmos patróns:

• Publicar imaxes de menores sen consentimento (ou con consentimento xenérico que non cubría redes sociais).
• Enviar comunicacións masivas cos enderezos en copia visible.
• Seguir usando datos despois da baixa do alumno (felicitacións, publicidade de matrícula) sen base para iso.
• Non atender unha solicitude de supresión dunha familia — o silencio converte unha xestión de dous días nun expediente.
• Videovixilancia mal sinalizada ou cámaras orientadas a zonas que non o xustifican.

Aínda que as multas do RXPD poden chegar en teoría a cifras millonarias, para unha peme o rango habitual vai dos centos ás decenas de miles de euros — suficiente para comprometer o curso dunha academia. E o dano reputacional ante as familias, nun negocio baseado na confianza con menores, adoita custar máis que a propia multa.

O RXPD non se cumpre cunha ferramenta, senón con procesos — pero a ferramenta correcta fai que os procesos correctos sexan o camiño fácil. Amadeus Magister está deseñado para centros que tratan datos de menores:

• Roles e permisos por tipo de usuario — cada profesor ve só os seus alumnos; administración ve os datos económicos; as familias, unicamente o seu. A minimización de acceso vén de serie.
• Comunicación dentro da plataforma — anuncios, chat e correos saen da canle oficial do centro, sen expoñer teléfonos persoais nin usar o móbil do profesor.
• Almacenamento cloud cifrado na UE — os expedientes deixan de vivir en portátiles e lapis USB, con copias de seguridade e control de acceso trazado.
• Ficha do alumno coas súas autorizacións — os consentimentos (imaxes, comunicacións) consúltanse onde se necesitan: na ficha que o profesor abre antes da audición.
• Contrato de encargado de tratamento incluído — como provedor, Amadeus asina co teu centro o contrato do art. 28 e acompáñate na parte técnica do cumprimento. Podes ver o enfoque completo na nosa páxina de xestión legal.

Se queres revisar como quedaría o circuíto de datos do teu centro —da matrícula á foto da audición— solicita unha demo gratuíta e vémolo xuntos sobre o teu caso real.