RGPD en escuelas de música: cómo tratar los datos de alumnos menores sin arriesgarte a sanciones

El RGPD se aplica a cualquier entidad que trate datos personales, sin mínimo de tamaño: una academia con 40 alumnos está tan obligada como una universidad. En un centro musical típico se tratan, como mínimo:

• Datos identificativos de menores — nombre, fecha de nacimiento, curso, instrumento.
• Datos de contacto y bancarios de las familias — necesarios para la matrícula y el cobro de cuotas.
• Datos académicos — evaluaciones, asistencia, observaciones del profesor en el diario de clase.
• Imágenes y grabaciones — audiciones, conciertos, fotos para redes sociales.
• Datos de salud ocasionales — alergias, necesidades educativas especiales — que son categoría especial y exigen protección reforzada.

La combinación "menores + datos bancarios + imágenes" convierte al sector en un caso sensible: los errores que en otro negocio serían leves, con menores tienden a escalar. Y las denuncias no vienen de inspecciones de oficio, sino de donde menos se espera: una familia descontenta tras una baja o una disputa por una foto publicada.

En España, la LOPDGDD fija en 14 años la edad a partir de la cual un menor puede consentir por sí mismo el tratamiento de sus datos. Por debajo de esa edad, el consentimiento corresponde a los titulares de la patria potestad o tutela. En la práctica de tu centro:

• Menores de 14 años — todo consentimiento lo firman padres o tutores. Si los progenitores están separados con patria potestad compartida, las decisiones relevantes (como la publicación de imágenes) pueden requerir la conformidad de ambos — un punto de fricción real que conviene prever en el formulario.
• De 14 a 17 años — el alumno puede consentir el tratamiento de sus propios datos, aunque el contrato de matrícula (obligación económica) sigue firmándolo el adulto.

Igual de importante: no todo necesita consentimiento. Gestionar la matrícula, los horarios, la asistencia o el cobro de cuotas se ampara en la ejecución del contrato — no tienes que pedir permiso para lo que es imprescindible para prestar el servicio. El consentimiento se reserva para lo accesorio: imágenes, comunicaciones comerciales, cesiones a terceros. Mezclarlo todo en una única casilla de "acepto" es precisamente uno de los errores clásicos, porque el consentimiento debe ser específico por finalidad y tan fácil de retirar como de dar.

Es el punto donde más escuelas de música tropiezan, porque la actividad lo pide a gritos: el concierto de fin de curso existe para ser fotografiado. Las reglas para hacerlo bien:

• Consentimiento separado y por canal — una cosa es usar la foto en la memoria interna del centro, otra publicarla en la web y otra subirla a Instagram. El formulario de matrícula debe permitir marcar cada uso por separado, no un "sí a todo".
• El "no" de una familia se gestiona, no se ignora — necesitas saber en cada audición qué alumnos no pueden aparecer. Si esa información vive en un papel de septiembre, en marzo nadie la recuerda: debe estar accesible en la ficha del alumno.
• Las familias que graban desde el patio de butacas — el uso doméstico es libre y el centro no responde por él, pero sí conviene avisar (cartel o programa de mano) de que la difusión pública de imágenes de otros menores es responsabilidad de quien la hace.
• Fotógrafos externos — si contratas uno, es un encargado de tratamiento y necesita su contrato conforme al art. 28 RGPD.
• Retirada del consentimiento — si una familia lo revoca, hay que retirar las imágenes de los canales del centro. Tener localizado dónde se publicó cada foto deja de ser opcional.

La comunicación diaria es el agujero silencioso del RGPD en el sector. Los patrones de riesgo son muy reconocibles:

• El grupo de WhatsApp del aula — expone el teléfono personal de todas las familias entre sí (una cesión de datos que nadie consintió) y saca la información académica del control del centro.
• El móvil personal del profesor — cuando un docente escribe a las familias desde su número, los datos de menores acaban en un dispositivo privado que el centro no controla. Si el profesor se marcha (o se marcha enfadado), se lleva las conversaciones consigo.
• Emails con copia visible — el clásico CC con sesenta direcciones de familias es una brecha de datos de manual, y de las más denunciadas.
• Listados en el tablón — publicar notas, grupos o impagos con nombre y apellidos en el corcho de la entrada (o en un PDF abierto en la web) es otra fuente habitual de reclamaciones.

La solución de fondo es que la comunicación oficial del centro discurra por un canal propio con control de acceso, donde cada usuario ve solo lo que le corresponde y el centro conserva la trazabilidad — no por la agenda personal de cada profesor.

1. Registro de actividades de tratamiento — el documento interno que describe qué datos tratas, para qué, con qué base jurídica y cuánto tiempo los conservas (art. 30 RGPD). Es lo primero que pide la AEPD.
2. Deber de información — cláusulas claras en matrícula, formularios y web: quién es el responsable, finalidades, derechos y cómo ejercerlos.
3. Contratos con los encargados de tratamiento — gestoría, proveedor de software, hosting, fotógrafo: todo tercero que accede a datos por cuenta del centro necesita contrato del art. 28. Pídeselo a tus proveedores; los serios lo tienen preparado.
4. Medidas de seguridad proporcionales — control de acceso por usuario y rol, copias de seguridad, cifrado. El Excel de alumnos en un portátil sin contraseña compartido por todo el claustro incumple esto por sí solo.
5. Atención de derechos — acceso, rectificación, supresión, oposición. Debes poder responder en el plazo de un mes, lo que exige saber dónde está cada dato.
6. Notificación de brechas — si pierdes datos (robo de portátil, acceso indebido, email masivo con CC), tienes 72 horas para valorar y, en su caso, notificar a la AEPD, además de documentarlo internamente.

Los conservatorios y centros autorizados que imparten enseñanzas regladas deben valorar además la designación de un delegado de protección de datos (DPD), obligatoria para los centros docentes en el marco de la LOPDGDD; para academias no regladas dependerá del volumen y tipo de tratamiento — consúltalo con tu asesor.

Las resoluciones de la AEPD contra centros educativos y de ocio infantil se repiten sobre los mismos patrones:

• Publicar imágenes de menores sin consentimiento (o con consentimiento genérico que no cubría redes sociales).
• Enviar comunicaciones masivas con las direcciones en copia visible.
• Seguir usando datos después de la baja del alumno (felicitaciones, publicidad de matrícula) sin base para ello.
• No atender una solicitud de supresión de una familia — el silencio convierte una gestión de dos días en un expediente.
• Videovigilancia mal señalizada o cámaras orientadas a zonas que no lo justifican.

Aunque las multas del RGPD pueden llegar en teoría a cifras millonarias, para una pyme el rango habitual va de los cientos a las decenas de miles de euros — suficiente para comprometer el curso de una academia. Y el daño reputacional ante las familias, en un negocio basado en la confianza con menores, suele costar más que la propia multa.

El RGPD no se cumple con una herramienta, sino con procesos — pero la herramienta correcta hace que los procesos correctos sean el camino fácil. Amadeus Magister está diseñado para centros que tratan datos de menores:

• Roles y permisos por tipo de usuario — cada profesor ve solo a sus alumnos; administración ve los datos económicos; las familias, únicamente lo suyo. La minimización de acceso viene de serie.
• Comunicación dentro de la plataforma — anuncios, chat y correos salen del canal oficial del centro, sin exponer teléfonos personales ni usar el móvil del profesor.
• Almacenamiento cloud cifrado en la UE — los expedientes dejan de vivir en portátiles y pendrives, con copias de seguridad y control de acceso trazado.
• Ficha del alumno con sus autorizaciones — los consentimientos (imágenes, comunicaciones) se consultan donde se necesitan: en la ficha que el profesor abre antes de la audición.
• Contrato de encargado de tratamiento incluido — como proveedor, Amadeus firma con tu centro el contrato del art. 28 y te acompaña en la parte técnica del cumplimiento. Puedes ver el enfoque completo en nuestra página de gestión legal.

Si quieres revisar cómo quedaría el circuito de datos de tu centro —de la matrícula a la foto de la audición— solicita una demo gratuita y lo vemos juntos sobre tu caso real.