En una frase. Una autoescuela trata el expediente del alumno para gestionar su formación y presentarlo a examen (contrato y obligación legal frente a la DGT), maneja datos de salud del psicotécnico que son categorías especiales, y con frecuencia comete tres errores sancionables: publicar fotos de aprobados sin consentimiento, instalar cámaras sin información y guardar los datos indefinidamente.
Puntos clave
- La gestión del expediente y la relación con la DGT se amparan en el contrato y la obligación legal (art. 6.1.b y 6.1.c RGPD), no en el consentimiento.
- Los datos del informe psicotécnico son categorías especiales del art. 9 RGPD y exigen minimización y confidencialidad reforzada.
- Publicar el nombre y la foto de un aprobado en redes o escaparate necesita consentimiento expreso.
- Los menores (permiso AM a los 15 años) requieren consideración específica sobre el consentimiento parental.
- Las cámaras en aula, oficina o vehículos de prácticas obligan a cartel informativo y conservación máxima de un mes (art. 22 LOPDGDD).
1. El expediente del alumno: qué base jurídica aplica
La autoescuela recoge datos identificativos, fotografía, permisos previos y el resultado del reconocimiento médico para gestionar la formación y tramitar la presentación a examen. La base no es el consentimiento sino la ejecución del contrato de enseñanza y la obligación legal de comunicar datos a la Jefatura Provincial de Tráfico. Pedir consentimiento para lo que ya ampara el contrato es un error clásico: si el alumno lo retira, la autoescuela seguiría obligada a tramitar su expediente, con lo que el consentimiento nunca fue la base real.
Todas estas finalidades deben quedar reflejadas en el registro de actividades del tratamiento, con su base, su plazo de conservación y las cesiones a la DGT.
2. Datos de salud: el informe psicotécnico
El certificado de aptitud psicofísica contiene datos de salud, que son categorías especiales del art. 9 RGPD. Aunque suele emitirlo un centro de reconocimiento independiente, la autoescuela accede a información sensible y debe tratarla con especial cautela: acceso restringido al personal necesario, no incorporarla a bases de marketing y conservarla solo mientras sea necesaria para el trámite. Cuando el volumen es alto y el tratamiento sistemático, conviene valorar una evaluación de impacto en protección de datos.
3. Menores y consentimiento
El permiso AM (ciclomotor) puede obtenerse a los 15 años, de modo que la autoescuela trata datos de menores. En España, a partir de los 14 años el menor puede consentir por sí mismo los tratamientos ordinarios (art. 7 LOPDGDD), pero la difusión de su imagen y los tratamientos de mayor impacto exigen prudencia y, en la práctica, autorización de los progenitores. Los modelos de recogida deben seguir los ejemplos de consentimiento conforme al RGPD.
4. La foto del aprobado: el error más frecuente
Publicar en Instagram, Facebook o en el escaparate el nombre y la foto de un alumno que acaba de aprobar es un tratamiento con finalidad publicitaria que necesita consentimiento expreso, específico y documentado. No vale el consentimiento genérico de la matrícula ni una casilla enterrada en las condiciones. La AEPD ha sancionado publicaciones de imágenes sin base, y la solución es sencilla: una autorización separada, revocable, para uso promocional de la imagen.
5. Cámaras de videovigilancia
Muchas autoescuelas instalan cámaras en la oficina, el aula o incluso los vehículos de prácticas. Las reglas son las generales del art. 22 LOPDGDD: cartel informativo homologado, información por capas, conservación máxima de un mes salvo que las imágenes documenten una infracción, y prohibición de captar la vía pública más allá de lo imprescindible. En los vehículos, grabar al alumno durante la práctica es un tratamiento intenso que debe justificarse y comunicarse previamente. El régimen completo se detalla en la guía de videovigilancia y RGPD en España.
6. Cesiones a la DGT y plazos de conservación
La autoescuela comunica datos a la Jefatura Provincial de Tráfico para tramitar la presentación a examen y la expedición del permiso. Esa cesión no requiere consentimiento porque responde a una obligación legal derivada de la normativa de tráfico, pero sí debe estar informada en la cláusula de matrícula y reflejada como cesión en el registro de actividades. Confundir esta comunicación obligatoria con una cesión voluntaria y pedir consentimiento para ella es un error que debilita la posición del centro.
En cuanto a la conservación, el expediente del alumno debe guardarse mientras dure la formación y durante el plazo necesario para atender reclamaciones y obligaciones administrativas y fiscales (habitualmente cuatro años desde el fin de la relación, por la normativa tributaria y laboral asociada a la actividad). Superado ese plazo, los datos deben suprimirse o bloquearse. La conservación indefinida de expedientes de antiguos alumnos —una práctica muy extendida— vulnera el principio de limitación de la conservación (art. 5.1.e RGPD) y es fácilmente detectable en una inspección. El marketing a antiguos alumnos, además, exige una base propia: no puede ampararse en el contrato ya extinguido, sino en el consentimiento o, con cautela, en el interés legítimo para productos similares.
7. Kit mínimo de cumplimiento
| Elemento | Contenido | Prioridad |
|---|---|---|
| Registro de actividades | Formación, DGT, psicotécnico, marketing, cámaras | Alta |
| Política de privacidad | Bases, cesiones a DGT, conservación | Alta |
| Cláusula informativa en matrícula | Finalidades y derechos (art. 13) | Alta |
| Consentimiento de imagen | Autorización separada para fotos de aprobados | Media |
| Cartel de videovigilancia | Homologado, con datos del responsable | Media |
| Contrato de encargado | Con el software de gestión y el centro médico | Media |
Para una autoescuela pequeña, este kit es asumible con la herramienta gratuita Facilita_RGPD de la AEPD como punto de partida, tal como explicamos en el cumplimiento básico del RGPD para pymes. Cuando la gestión de alumnos, cesiones y plazos se complica, plataformas como Legiscope permiten mantener el registro y la documentación al día sin depender de hojas sueltas. Las autoescuelas comparten muchas obligaciones con los centros educativos, especialmente en materia de menores e imágenes.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para guarderías y escuelas infantiles, RGPD para academias y centros de formación y RGPD para universidades.
FAQ
¿Necesita la autoescuela el consentimiento del alumno para tramitar su expediente?
No. La gestión del expediente y la relación con la DGT se amparan en la ejecución del contrato y la obligación legal (art. 6.1.b y 6.1.c RGPD). El consentimiento solo se exige para finalidades voluntarias como la publicación de la foto de aprobados o el marketing tras finalizar la relación.
¿Puedo publicar la foto de un alumno que ha aprobado?
Solo con su consentimiento expreso y específico para uso promocional de su imagen, y de los progenitores si es menor. Debe ser una autorización separada y revocable, no una casilla incluida en la matrícula. Publicar sin ese consentimiento es un tratamiento sin base jurídica sancionable.
¿Cuánto tiempo debe conservar la autoescuela los datos del alumno?
Mientras dure la formación y el plazo necesario para responder a posibles reclamaciones y obligaciones administrativas frente a la DGT y Hacienda. Superado ese periodo, los datos deben suprimirse o bloquearse. Conservar expedientes de forma indefinida vulnera el principio de limitación de la conservación.
¿Cómo tratar el informe psicotécnico?
Como dato de salud del art. 9 RGPD: acceso restringido al personal imprescindible, sin incorporarlo a bases comerciales y con conservación limitada al trámite. La autoescuela debe reflejar este tratamiento en su registro de actividades y garantizar su confidencialidad.
Modelo de referencia para tu web: plantilla de política de privacidad conforme al RGPD.
Referencias oficiales: AEPD, Reglamento General de Protección de Datos (EUR-Lex), LOPDGDD (BOE).
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial