RGPD para academias y centros de formación

En una frase. Una academia o centro de formación trata expedientes de alumnos, a menudo menores, en plataformas LMS y con cesiones a empresas y a la Administración por las bonificaciones FUNDAE; cada una de esas actividades necesita su base jurídica y su documentación bajo el RGPD.

El RGPD academias es más complejo de lo que parece. Una academia de idiomas, una autoescuela de refuerzo o una plataforma de e-learning maneja datos de alumnos, de menores, grabaciones de clases y comunicaciones con empresas que financian la formación. Esta guía ordena las obligaciones y señala los errores que la Agencia Española de Protección de Datos sanciona con más frecuencia.

Puntos clave

• El expediente del alumno se trata sobre la base de la ejecución del contrato (art. 6.1.b RGPD).
• Con menores de 14 años, el consentimiento lo prestan los progenitores (art. 7 LOPDGDD).
• La plataforma LMS y las herramientas de videollamada son encargados del tratamiento.
• Las bonificaciones FUNDAE implican cesión de datos a la empresa y a la Fundación/SEPE.
• El marketing a antiguos alumnos exige base válida y opción de baja.

1. Qué datos trata una academia

• Datos identificativos y de contacto del alumno y, si es menor, de sus progenitores.
• Datos académicos: matrícula, calificaciones, asistencia, evolución.
• Datos económicos: pagos, financiación, domiciliaciones.
• Datos laborales cuando la formación es bonificada (empresa, puesto, grupo de cotización).
• Imágenes y voz si se graban las clases online.

La base jurídica principal para gestionar la relación formativa es la ejecución del contrato (art. 6.1.b del Reglamento (UE) 2016/679). No necesitas consentimiento para tratar el expediente de un alumno que se ha matriculado: lo necesitas para lo que va más allá, como el marketing o la publicación de aprobados. Como cualquier pyme sujeta al RGPD, la academia debe cumplir los principios del art. 5 y acreditarlo.

Este matiz sobre la base jurídica evita uno de los errores más comunes del sector: pedir el consentimiento para todo. Si una academia funda el tratamiento del expediente en el consentimiento y el alumno lo retira a mitad de curso, la academia se queda sin base para gestionar su propia matrícula, lo cual es absurdo. Por eso la relación formativa se apoya en el contrato, no en un consentimiento revocable. El consentimiento se reserva, con casillas separadas y nunca premarcadas, para las finalidades verdaderamente opcionales: recibir ofertas comerciales, aparecer en fotografías promocionales o figurar en un listado público de aprobados. Distinguir con claridad qué es contractual y qué es opcional es la base de una información transparente.

2. Menores: consentimiento y comunicaciones

Muchas academias trabajan con clases particulares y extraescolares para niños. El art. 7 LOPDGDD fija en 14 años la edad a partir de la cual el menor puede consentir por sí mismo en servicios digitales; por debajo, el consentimiento lo prestan quienes ejerzan la patria potestad. Esto afecta a:

• La matrícula y el tratamiento del expediente.
• La publicación de fotos o vídeos del menor (consentimiento específico de los progenitores).
• Las comunicaciones: deben dirigirse a los progenitores, no directamente al menor cuando es de corta edad.

Comparte los criterios de los centros que trabajan con menores en la guía de RGPD para centros educativos.

3. Plataformas LMS y grabación de clases online

El e-learning multiplica los tratamientos:

1. La plataforma LMS es un encargado. Firma el contrato del art. 28 RGPD y verifica dónde se alojan los datos. Si están fuera del EEE, revisa las transferencias internacionales.
2. Grabar una clase capta la imagen y la voz de alumnos y profesores. Necesita base jurídica e información previa. Si se publica o reutiliza, exige consentimiento específico.
3. El proctoring (supervisión remota de exámenes) es un tratamiento de alto riesgo: valora una evaluación de impacto antes de implantarlo.

El principio rector es la transparencia: el alumno debe saber, antes de conectarse, si la sesión se graba, quién accede a la grabación y cuánto tiempo se conserva. Cuando la academia atiende a menores de edad, esta transparencia se dirige además a los progenitores, que deben conocer con detalle qué plataforma se usa, qué datos capta y dónde se almacenan antes de que el menor empiece las clases online. La Agencia Española de Protección de Datos ha sido especialmente crítica con los sistemas de supervisión remota que captan el entorno doméstico del alumno sin alternativas ni límites claros. Una academia que quiera grabar sus clases para que los alumnos las revisen después debería, como mínimo, ofrecer la posibilidad de desactivar la cámara del asistente, difuminar los fondos y fijar un plazo corto de conservación de las grabaciones.

4. Bonificaciones FUNDAE: cesiones de datos

La formación programada bonificada implica un flujo de datos entre la academia, la empresa cliente, la Fundación Estatal para la Formación en el Empleo (FUNDAE) y el SEPE. Cada comunicación es una cesión que debe tener cobertura:

• La academia actúa como encargado de la empresa para gestionar la formación de sus trabajadores, o como responsable de su propia relación con el alumno, según el caso.
• Los datos que se remiten a FUNDAE y al SEPE se amparan en el cumplimiento de una obligación legal derivada de la normativa de formación para el empleo.
• No deben remitirse más datos de los estrictamente exigidos (minimización).

Documenta cada rol y cada flujo en el registro de actividades de tratamiento y respáldalo con el modelo de contrato de encargado cuando actúes por cuenta de la empresa.

5. Marketing a antiguos alumnos y cumplimiento

Reactivar a antiguos alumnos con ofertas es habitual, pero la publicidad exige base válida. El marketing a clientes propios sobre productos o servicios similares puede ampararse en interés legítimo con derecho de oposición; para el resto, hace falta consentimiento. En ambos casos, cada comunicación debe incluir una vía de baja sencilla. Revisa ejemplos en la guía de consentimiento RGPD y comprueba tu situación con el checklist de cumplimiento en España.

Mantener registro, contratos, información y política de conservación al día en una academia con rotación de alumnos es laborioso. Plataformas como Legiscope automatizan buena parte de esa documentación, aunque un centro pequeño puede arrancar con plantillas rigurosas y un procedimiento claro de atención a derechos.

Véase también, para sectores con obligaciones de protección de datos similares: RGPD para universidades, RGPD para autoescuelas y RGPD para guarderías y escuelas infantiles.

FAQ

¿Necesito consentimiento para tratar el expediente de un alumno?

No para la relación formativa. La base es la ejecución del contrato de matrícula (art. 6.1.b RGPD). El consentimiento se reserva para usos que van más allá, como el marketing o la publicación de imágenes y calificaciones.

¿Puedo grabar las clases online?

Sí, informando previamente a los alumnos de que la sesión se graba, con qué finalidad, quién accede y cuánto se conserva. Si vas a publicar o reutilizar la grabación fuera de la clase, necesitas consentimiento específico.

¿Qué pasa con los datos de menores en clases extraescolares?

Con menores de 14 años, el consentimiento y las comunicaciones se canalizan a través de los progenitores. La publicación de imágenes del menor exige su consentimiento específico.

¿La bonificación FUNDAE me obliga a algo especial en protección de datos?

Sí. Genera cesiones de datos entre la academia, la empresa, FUNDAE y el SEPE. Cada flujo debe tener su base jurídica, remitir solo los datos imprescindibles y quedar reflejado en el registro de actividades de tratamiento.