¿Cómo seleccionar un delegado de protección de datos en un centro educativo?
Desde la publicación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en diciembre de 2018, es una obligación legal que haya un Delegado de Protección de Datos (DPD) en un centro educativo.
Los retos de la posición del DPD (DPO, en inglés), que luego analizaremos, han aumentado de manera considerable, con la crisis de la Covid-19 que ha lanzado a muchos Coelgios, Universidades e Institutos a explorar múltiples herramientas tecnológicas para seguir con su actividad «normal» con los alumnos en sus casas: plataformas de videoconferencias, aplicaciones o extensiones para pasar lista, exámenes a distancia mediante reconocimiento facial o publicación de trabajos de los alumnos en línea, etc…
Respuestas de los delegados de protección de datos frente a las nuevas soluciones tecnológicas
Como digo, esto ha hecho que los DPD de los Centros Educativos debieran actuar de manera rápida ante las necesidades crecientes del Centro y ante la demanda de respuestas por su parte.
Ante cualquier nueva tecnología es necesario realizar una evaluación a fondo de sus políticas de privacidad y seguridad:
- ¿Qué datos recogen?
- ¿Para qué fin?
- ¿Dónde los alojan?
- ¿Subcontratan alguno de sus servicios?
A los retos ya habituales del uso de una nueva tecnología, se añade en el sector educativo que los datos tratados son habitualmente de menores, por lo que el reto es doble.
El rol del delegado de protección de datos en un centro educativo
Todo esto me lleva a escribir unas líneas sobre la posición o rol del DPD en un sector tan especial como el educativo.
Como decía, además de ser una obligación legal, el propio sector tiene unas características especiales: tratamiento de datos de menores, en ocasiones categorías especiales de datos, un alto uso de tecnologías de la información, progresiva ampliación del tipo de contratistas del Centro con acceso a datos, servicios en la nube, etc….
Por todo ello en la búsqueda del DPD, especialmente si éste o ésta es externa, los Centros deberían hacerse cuatro preguntas clave ante la gran oferta disponible:
¿Dispone el DPD de algún tipo de certificación?
Actualmente existen múltiples certificaciones para acreditar conocimientos en materia de privacidad y protección de datos. En mi opinión no tienen por qué significar nada a priori en relación a quien las presente, pero sí que puede ser una pista inicial de conocimientos, que deberán ser confirmados a posteriori.
¿Tiene experiencia acreditable en el sector educativo?
Es un sector muy especial y un Delegado de Protección de Datos sin experiencia puede ser un problema hasta que se «forme», igual que lo sería un DPD sólo con experiencia en el sector educativo, para otros sectores.
¿Es realmente independiente el Delegado de Protección de Datos en un centro educativo?
La autonomía del Delegado de Protección de Datos en un Centro Educativo es otra obligación legal ya que en sus funciones no debe caer en posibles conflictos de intereses.
En ocasiones, el servicio de DPD es ofrecido, directa o indirectamente, por otros proveedores del Colegio, Universidad o Instituto, que a su vez ofrecen productos o servicios que implican un gran tratamiento de datos.
En estos casos, la independencia del DPD es cuanto menos discutible pues difícilmente pondrán de manifiesto carencias de estos otros servicios o productos contratados por el Centro.
Compromisos del DPD en un centro educativo
El día a día de un Centro es dinámico y cambiante. Un Delegado de Protección de Datos, especialmente cuando es externo, debe tener la capacidad organizativa para estar presente en este día a día y que no deba ser el Centro quien se «acuerde» que tiene un DPD.
Un correcto desarrollo de la función de DPD, implica establecer una estructura formal, en la que el DPD tome parte para ser conocedor de cualquier acción del Centro que implique tratamiento de datos, así como implementar un sistema de reporte al Equipo Directivo para que éste, conociendo la opinión del DPD, sea quien tome las decisiones.
El uso de las tecnologías debe ser, sin duda, una herramienta para prestar ese servicio, pero el DPD debe tener «presencia» en el Centro Educativo y no limitarse a dar instrucciones generales y despersonalizadas.
Externalización del delegado de protección de datos en centro educativo
Muchas Universidades, Institutos o Colegios optan por externalizar la figura del DPD, en cualquier caso la decisión de contratar un Delegado de Protección de Datos en un Centro Educativo es fundamental en el sector, y no solo por ser una obligación legal.
La correcta función del DPD y su participación activa en las decisiones del Centro, debe lanzar un «mensaje» a la comunidad educativa que no es otro que la privacidad es un valor de ese Centro, como lo debe ser de cualquier sociedad democrática.
Espero que la respuesta a estas cuatro preguntas clave, pueda servir para tomar una correcta decisión.
Podéis obtener más información sobre nuestro servicio de DPD y recordad que si tenéis cualquier duda estamos a vuestra disposición para resolverlas y ayudaros a implementar correctamente la figura del Delegado de Protección de Datos en vuestro Instituto, Colegio o Universidad. Nos podéis contactar aquí.
Esta obra está bajo una licencia de Reconocimiento-NoComercial-SinObraDerivada 4.0 Internacional de Creative Commons.
