Nota: este artículo tiene carácter divulgativo y no sustituye el asesoramiento del delegado de protección de datos (DPD) de tu centro ni de un profesional jurídico.

Qué datos maneja la orientación

Las evaluaciones psicosociales generan datos de categoría especial (relativos a la salud) y afectan a menores de edad. El RGPD otorga a ambos una protección reforzada, lo que exige más cuidado en la base legal, la seguridad y la transparencia.

En la práctica, un departamento de orientación acumula información de niveles de sensibilidad muy distintos, y conviene no tratarlos igual:

  • Datos identificativos y académicos: matrícula, calificaciones, asistencia.
  • Datos de categoría especial: diagnósticos, informes clínicos, medicación, discapacidad, resultados de cuestionarios de salud emocional.
  • Información sobre el entorno familiar y social, que suele incluir datos de terceros (hermanos, progenitores) con sus propios derechos.
  • Notas de trabajo del propio orientador, que aunque sean provisionales también son datos personales en cuanto identifican a un alumno.

El malentendido más extendido en los centros es creer que todo se arregla pidiendo el consentimiento de la familia. No es así, y en muchos casos el consentimiento ni siquiera es la base adecuada.

Los tratamientos que un centro realiza para cumplir su función educativa se apoyan en el cumplimiento de una obligación legal y en el ejercicio de la función docente y orientadora, no en el consentimiento. Cuando existe esa base, pedir consentimiento induce a error, porque sugiere a la familia que puede negarse a algo que en realidad forma parte de la tarea del centro.

El consentimiento sí es la base correcta para tratamientos que van más allá de esa función: publicar imágenes del alumnado, ceder datos a terceros no previstos legalmente o participar en actividades voluntarias. Y aquí, cuando se pide, debe ser libre, informado y revocable.

Regla práctica: antes de recoger un dato, escribe en una línea para qué lo necesitas y qué te habilita a tratarlo. Si la respuesta es «por si acaso» o «siempre se ha hecho», no tienes base legal, tienes una costumbre.

A partir de qué edad decide el alumno

En España, el artículo 7 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales establece que el tratamiento de datos de un menor puede fundarse en su propio consentimiento a partir de los catorce años. Por debajo de esa edad se requiere el consentimiento de quien ostente la patria potestad o la tutela.

Esto tiene consecuencias prácticas que conviene tener claras: un alumno de 3.º de ESO puede consentir por sí mismo determinados tratamientos, y a la vez sus progenitores conservan el derecho a estar informados sobre su educación. Cuando ambos planos entran en tensión, sobre todo en cuestiones de salud emocional, es exactamente el momento de consultar al DPD del centro antes de actuar.

Los principios que debes aplicar

1. Minimización

Recoge solo los datos necesarios para la finalidad concreta. Cuantos menos datos innecesarios almacenes, menor es el riesgo y la responsabilidad. Un cuestionario con veinte preguntas que no vas a usar es un pasivo, no un activo.

2. Limitación de la finalidad

Los datos recogidos para orientar no pueden reutilizarse para fines distintos sin una nueva justificación. Un cribado de bienestar emocional no puede acabar sirviendo para agrupar alumnos por nivel ni para justificar una decisión disciplinaria.

3. Confidencialidad y acceso restringido

Solo deben acceder a la información las personas que la necesitan para su función. El historial psicosocial de un alumno no es un documento de libre circulación en la sala de profesores. Al equipo docente se le traslada lo que necesita para enseñar mejor a ese alumno, que casi nunca es el diagnóstico completo, sino las orientaciones prácticas.

4. Exactitud

Un dato desactualizado puede hacer tanto daño como uno filtrado. Las medidas y los informes deben revisarse, y lo que deja de ser cierto debe corregirse.

5. Seguridad

Cifrado, control de accesos, copias de seguridad y registro de quién accede a qué. La seguridad técnica es la que convierte los principios en realidad.

Transparencia: las familias tienen derecho a saber qué datos se recogen, con qué finalidad, quién accede a ellos y durante cuánto tiempo se conservan. Una información clara es la mejor base de confianza.

El delegado de protección de datos

No es opcional. La Ley Orgánica 3/2018 incluye expresamente entre las entidades obligadas a designar un delegado de protección de datos a los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación educativa, sean públicos, concertados o privados, así como a las universidades. Su designación debe comunicarse a la Agencia Española de Protección de Datos.

Para orientación, el DPD es el interlocutor natural ante cualquier duda: qué base legal aplica, si procede una evaluación de impacto, cómo responder a la petición de un progenitor o qué hacer si se pierde un documento. Conviene saber quién es y tener su contacto a mano antes de necesitarlo.

Casos prácticos del día a día

Las dudas reales rara vez son teóricas. Estas son las que más se repiten:

  • Grupos de WhatsApp con el móvil personal. Comentar por ahí la situación de un alumno mezcla datos sensibles con un canal sin control del centro. Para lo que exija confidencialidad, usa los canales oficiales.
  • Informes en la nube personal. Guardar evaluaciones en una cuenta particular saca los datos del ámbito de control del centro. Deben residir donde el centro pueda garantizar seguridad y trazabilidad.
  • Progenitores separados. Salvo privación de la patria potestad acreditada, ambos tienen derecho a la información escolar de su hijo. Ante una situación judicializada, consulta antes de responder.
  • Peticiones del profesorado. Un docente no tiene derecho a acceder al informe completo por el hecho de dar clase al alumno: tiene derecho a las orientaciones que necesita para su función.
  • Cuestionarios con herramientas gratuitas. Antes de pasar un cribado emocional con un formulario en línea, comprueba dónde se alojan las respuestas y quién es el responsable del tratamiento.
  • Traslado de expediente a otro centro: se transfiere lo que la normativa establece, no la carpeta completa del departamento.

Cuánto tiempo se conservan

Los datos no pueden guardarse indefinidamente «por si acaso». El criterio es conservarlos mientras sean necesarios para la finalidad que los justificó y, después, durante los plazos que impongan las obligaciones legales de conservación del expediente académico, que fija la normativa educativa de cada administración.

Lo que suele fallar no es el expediente oficial, sino todo lo demás: borradores, copias en ordenadores personales, correos con adjuntos y carpetas heredadas de orientadores anteriores. Una revisión anual de qué se guarda y dónde es la medida más rentable que puede tomar un departamento.

Qué hacer ante una brecha de seguridad

Un portátil perdido, un correo con datos enviado a quien no debía o una carpeta compartida por error son brechas de seguridad. La reacción correcta tiene un orden:

  1. Contener: revocar accesos, solicitar la eliminación del envío, aislar el equipo.
  2. Avisar de inmediato al DPD y a la dirección. No es algo que se resuelva en silencio.
  3. Documentar qué ha pasado, qué datos afecta y a cuántas personas.
  4. Notificar a la autoridad de control cuando proceda. El RGPD fija un plazo de referencia de 72 horas desde que se tiene constancia, salvo que sea improbable que la brecha suponga un riesgo para los derechos de los afectados. Esa valoración la hace el DPD, no el docente que la detecta.
  5. Informar a los afectados si el riesgo es alto.

Ocultar una brecha agrava siempre las consecuencias. Detectarla y comunicarla rápido es lo que protege al alumnado y al centro.

Qué exigir a una plataforma de orientación

Si vas a apoyarte en un software, comprueba que:

  • Cumple el RGPD y firma el correspondiente contrato de encargado de tratamiento con el centro.
  • Aplica control de accesos por rol y registra la actividad.
  • Informa de dónde se alojan los datos y si hay transferencias internacionales.
  • Detalla qué subencargados intervienen, por ejemplo el proveedor de alojamiento.
  • No comparte los datos con terceros ni los usa para fines ajenos, incluido el entrenamiento de modelos.
  • Facilita el ejercicio de derechos, la exportación y la eliminación de datos cuando procede.

En Aulametrics tratamos la información del alumnado con estas garantías. Puedes consultar los detalles en nuestra política de privacidad.

Y si buscas una alternativa que no implique enviar datos a ningún servidor, nuestras herramientas gratuitas funcionan íntegramente en el navegador: el generador de sociograma y el generador de PTI calculan y generan los documentos en local, sin que la información salga de tu ordenador.