RGPD a les escoles de música: com tractar les dades d’alumnes menors sense arriscar-te a sancions

El RGPD s’aplica a qualsevol entitat que tracte dades personals, sense mínim de grandària: una acadèmia amb 40 alumnes està tan obligada com una universitat. En un centre musical típic es tracten, com a mínim:

• Dades identificatives de menors — nom, data de naixement, curs, instrument.
• Dades de contacte i bancàries de les famílies — necessàries per a la matrícula i el cobrament de quotes.
• Dades acadèmiques — avaluacions, assistència, observacions del professor en el diari de classe.
• Imatges i gravacions — audicions, concerts, fotos per a xarxes socials.
• Dades de salut ocasionals — al·lèrgies, necessitats educatives especials — que són categoria especial i exigixen protecció reforçada.

La combinació «menors + dades bancàries + imatges» convertix el sector en un cas sensible: els errors que en un altre negoci serien lleus, amb menors tendixen a escalar. I les denúncies no venen d’inspeccions d’ofici, sinó d’on menys s’espera: una família descontenta després d’una baixa o una disputa per una foto publicada.

A Espanya, la LOPDGDD fixa en 14 anys l’edat a partir de la qual un menor pot consentir per si mateix el tractament de les seues dades. Per davall d’eixa edat, el consentiment correspon als titulars de la pàtria potestat o tutela. En la pràctica del teu centre:

• Menors de 14 anys — tot consentiment el firmen pares o tutors. Si els progenitors estan separats amb pàtria potestat compartida, les decisions rellevants (com la publicació d’imatges) poden requerir la conformitat de tots dos — un punt de fricció real que convé preveure en el formulari.
• De 14 a 17 anys — l’alumne pot consentir el tractament de les seues pròpies dades, encara que el contracte de matrícula (obligació econòmica) el continua firmant l’adult.

Igual d’important: no tot necessita consentiment. Gestionar la matrícula, els horaris, l’assistència o el cobrament de quotes s’empara en l’execució del contracte — no has de demanar permís per al que és imprescindible per a prestar el servici. El consentiment es reserva per a l’accessori: imatges, comunicacions comercials, cessions a tercers. Mesclar-ho tot en una única casella d’«accepte» és precisament un dels errors clàssics, perquè el consentiment ha de ser específic per finalitat i tan fàcil de retirar com de donar.

És el punt on més escoles de música entropessen, perquè l’activitat ho demana a crits: el concert de fi de curs existix per a ser fotografiat. Les regles per a fer-ho bé:

• Consentiment separat i per canal — una cosa és usar la foto en la memòria interna del centre, una altra publicar-la en el web i una altra pujar-la a Instagram. El formulari de matrícula ha de permetre marcar cada ús per separat, no un «sí a tot».
• El «no» d’una família es gestiona, no s’ignora — necessites saber en cada audició quins alumnes no poden aparéixer. Si eixa informació viu en un paper de setembre, al març ningú la recorda: ha d’estar accessible en la fitxa de l’alumne.
• Les famílies que graven des del pati de butaques — l’ús domèstic és lliure i el centre no en respon, però sí que convé avisar (cartell o programa de mà) que la difusió pública d’imatges d’altres menors és responsabilitat de qui la fa.
• Fotògrafs externs — si en contractes un, és un encarregat de tractament i necessita el seu contracte conforme a l’art. 28 del RGPD.
• Retirada del consentiment — si una família el revoca, cal retirar les imatges dels canals del centre. Tindre localitzat on es va publicar cada foto deixa de ser opcional.

La comunicació diària és el forat silenciós del RGPD en el sector. Els patrons de risc són molt fàcils de reconéixer:

• El grup de WhatsApp de l’aula — exposa el telèfon personal de totes les famílies entre si (una cessió de dades que ningú va consentir) i trau la informació acadèmica del control del centre.
• El mòbil personal del professor — quan un docent escriu a les famílies des del seu número, les dades de menors acaben en un dispositiu privat que el centre no controla. Si el professor se’n va (o se’n va enfadat), s’emporta les converses amb ell.
• Correus amb còpia visible — el clàssic CC amb seixanta adreces de famílies és una bretxa de dades de manual, i de les més denunciades.
• Llistats al tauler d’anuncis — publicar notes, grups o impagaments amb nom i cognoms al suro de l’entrada (o en un PDF obert en el web) és una altra font habitual de reclamacions.

La solució de fons és que la comunicació oficial del centre passe per un canal propi amb control d’accés, on cada usuari veu només el que li correspon i el centre conserva la traçabilitat — no per l’agenda personal de cada professor.

1. Registre d’activitats de tractament — el document intern que descriu quines dades tractes, per a què, amb quina base jurídica i quant de temps les conserves (art. 30 del RGPD). És el primer que demana l’AEPD.
2. Deure d’informació — clàusules clares en matrícula, formularis i web: qui és el responsable, finalitats, drets i com exercir-los.
3. Contractes amb els encarregats de tractament — gestoria, proveïdor de programari, hosting, fotògraf: tot tercer que accedix a dades per compte del centre necessita contracte de l’art. 28. Demana’l als teus proveïdors; els seriosos el tenen preparat.
4. Mesures de seguretat proporcionals — control d’accés per usuari i rol, còpies de seguretat, xifratge. L’Excel d’alumnes en un portàtil sense contrasenya compartit per tot el claustre incomplix això per si sol.
5. Atenció de drets — accés, rectificació, supressió, oposició. Has de poder respondre en el termini d’un mes, cosa que exigix saber on està cada dada.
6. Notificació de bretxes — si perds dades (robatori de portàtil, accés indegut, correu massiu amb CC), tens 72 hores per a valorar i, si és el cas, notificar-ho a l’AEPD, a més de documentar-ho internament.

Els conservatoris i centres autoritzats que impartixen ensenyaments reglats han de valorar a més la designació d’un delegat de protecció de dades (DPD), obligatòria per als centres docents en el marc de la LOPDGDD; per a acadèmies no reglades dependrà del volum i tipus de tractament — consulta-ho amb el teu assessor.

Les resolucions de l’AEPD contra centres educatius i d’oci infantil es repetixen sobre els mateixos patrons:

• Publicar imatges de menors sense consentiment (o amb consentiment genèric que no cobria xarxes socials).
• Enviar comunicacions massives amb les adreces en còpia visible.
• Continuar usant dades després de la baixa de l’alumne (felicitacions, publicitat de matrícula) sense base per a fer-ho.
• No atendre una sol·licitud de supressió d’una família — el silenci convertix una gestió de dos dies en un expedient.
• Videovigilància mal senyalitzada o càmeres orientades a zones que no ho justifiquen.

Encara que les multes del RGPD poden arribar en teoria a xifres milionàries, per a una pime el rang habitual va dels centenars a les desenes de milers d’euros — prou per a comprometre el curs d’una acadèmia. I el dany reputacional davant de les famílies, en un negoci basat en la confiança amb menors, sol costar més que la mateixa multa.

El RGPD no es complix amb una ferramenta, sinó amb processos — però la ferramenta correcta fa que els processos correctes siguen el camí fàcil. Amadeus Magister està dissenyat per a centres que tracten dades de menors:

• Rols i permisos per tipus d’usuari — cada professor veu només els seus alumnes; administració veu les dades econòmiques; les famílies, únicament el que és seu. La minimització d’accés ve de sèrie.
• Comunicació dins de la plataforma — anuncis, xat i correus ixen del canal oficial del centre, sense exposar telèfons personals ni usar el mòbil del professor.
• Emmagatzematge cloud xifrat a la UE — els expedients deixen de viure en portàtils i memòries USB, amb còpies de seguretat i control d’accés traçat.
• Fitxa de l’alumne amb les seues autoritzacions — els consentiments (imatges, comunicacions) es consulten on es necessiten: en la fitxa que el professor obri abans de l’audició.
• Contracte d’encarregat de tractament inclòs — com a proveïdor, Amadeus firma amb el teu centre el contracte de l’art. 28 i t’acompanya en la part tècnica del compliment. Pots veure l’enfocament complet en la nostra pàgina de gestió legal.

Si vols revisar com quedaria el circuit de dades del teu centre —de la matrícula a la foto de l’audició— sol·licita una demo gratuïta i ho revisem junts sobre el teu cas real.