La AEPD pone el foco en las plataformas de formación

Los 10 principios básicos, explicados para proveedores de formación online

1. Pleno respeto a los derechos y libertades fundamentales

Todo tratamiento de datos en una plataforma de formación debe partir de una premisa irrenunciable: el interés superior del alumno es la consideración primordial, especialmente cuando hablamos de menores. Ningún interés comercial puede superponerse a sus derechos fundamentales. 

Para los proveedores LMS, esto significa diseñar la plataforma pensando primero en el usuario, no en los datos que se pueden extraer de él. 

2. Determinación clara de la responsabilidad del tratamiento

Las administraciones y centros docentes deben asumir de forma proactiva su condición de responsables del tratamiento. No pueden delegar esa responsabilidad en el proveedor tecnológico. 

Cuando una empresa contrata un LMS para formar a sus empleados o un centro de FP externaliza su plataforma, la responsabilidad sobre el tratamiento de datos sigue recayendo sobre ellos. El proveedor actúa como encargado del tratamiento, no como responsable. Esta distinción tiene consecuencias legales muy concretas. 

3. Bases de legitimación y estricta limitación de finalidades

Cada tratamiento de datos necesita una base legal válida. Para centros educativos y administraciones, esa base es habitualmente la misión en interés público (art. 6.1.e RGPD). Pero esta base solo ampara los tratamientos directamente vinculados a la función educativa o formativa. 

Aquí viene uno de los puntos más importantes del documento: los servicios adicionales que no guarden relación directa con la formación deben estar desactivados por defecto y no pueden activarse en entornos institucionales dirigidos a menores sin una justificación explícita y una evaluación de impacto. 

Además, la AEPD es muy clara respecto al interés legítimo del proveedor (art. 6.1.f RGPD): en un contexto educativo con menores, difícilmente puede ser base suficiente para tratamientos con finalidades comerciales, de perfilado, publicidad o analítica para fines propios. La ponderación debe ser especialmente rigurosa y, por regla general, no puede resolverse a favor del interés comercial del proveedor. 

4. Evaluación de impacto y participación del DPO

Con carácter previo a la implantación de cualquier plataforma, el responsable debe realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD). El tratamiento a gran escala de datos de menores mediante tecnologías en la nube hace que esta evaluación sea obligatoria. 

El Delegado de Protección de Datos (DPO) debe participar desde las fases iniciales: selección de la plataforma, revisión del contrato de encargo, configuración del servicio. No es algo que se gestione al final del proceso de implantación. 

Y la evaluación de impacto no es un trámite puntual: debe actualizarse cuando se produzcan cambios significativos, como la incorporación de nuevos servicios o modificaciones en las condiciones contractuales del proveedor. 

5. Transparencia e información

El alumnado, sus familias y el profesorado tienen derecho a recibir información completa, accesible y comprensible sobre todos los tratamientos derivados del uso de la plataforma. Esto incluye tanto los tratamientos del responsable como los que el proveedor pueda realizar para fines propios. 

La AEPD es contundente: no basta con remitir a políticas de privacidad genéricas, dispersas en múltiples documentos o redactadas de forma que no permitan conocer con precisión las finalidades, los plazos de conservación o los destinatarios. Cuando la información se dirija a menores, el lenguaje debe ser especialmente claro y sencillo. 

6. Contrato de encargo de tratamiento y control desubencargados

El uso de la plataforma debe regirse por un contrato de encargo que cumpla íntegramente con el artículo 28 del RGPD. El contrato debe ser por escrito, accesible y comprensible, y regular con precisión el objeto, la duración, la naturaleza y la finalidad del tratamiento. 

Puntos clave que destaca la AEPD: 

• El responsable debe conservar la capacidad real de dar instrucciones al encargado. Las cláusulas que permiten al proveedor modificar unilateralmente elementos esenciales del tratamiento (finalidades, condiciones de seguridad, transferencias internacionales) no son admisibles. 
   

• Si las condiciones cambian con tanta frecuencia o complejidad que el responsable no puede documentar la licitud del tratamiento de forma continua, eso puede ser motivo suficiente para cesar en el uso de la plataforma. 
   

• La contratación de subencargados debe ser autorizada por el responsable. Cuando se utiliza una autorización general, esta debe ir acompañada de requisitos estandarizados que todos los subencargados deben cumplir. El responsable tiene derecho efectivo a oponerse si un subencargado concreto no cumple los estándares. 
   

• El encargado debe permitir la realización de auditorías e inspecciones. No basta con remitir a certificaciones genéricas que no permitan verificar las condiciones concretas del tratamiento. 
   

• Al finalizar el servicio, el contrato debe contemplar la devolución íntegra de los datos al responsable y su supresión efectiva por el encargado. 

7. Garantías en transferencias internacionales

Antes de implantar cualquier plataforma, el responsable debe analizar todas las transferencias internacionales de datos que se deriven de la solución tecnológica adoptada, incluyendo las de subencargados. 

Toda transferencia a terceros países debe estar amparada por un mecanismo válido conforme al Capítulo V del RGPD: Decisión de Adecuación de la Comisión Europea o garantías adecuadas (en particular, cláusulas contractuales tipo). 

La AEPD subraya que las excepciones del artículo 49 del RGPD no son una base adecuada para transferencias sistemáticas y continuadas como las derivadas del uso habitual de una plataforma educativa. Y si los flujos de datos son indeterminados o las garantías insuficientes, eso puede ser motivo suficiente para no autorizar el uso de la plataforma. 

8. Protección de datos desde el diseño y por defecto

El principio de privacy by design and by default (art. 25 RGPD) exige que la plataforma esté configurada desde el inicio para tratar solo los datos estrictamente necesarios para la finalidad formativa. 

En la práctica, esto significa: 

• Los servicios adicionales ajenos a la función formativa deben estar desactivados por defecto. 
   

• Las funcionalidades de recogida automática de datos deben estar limitadas al mínimo imprescindible. 
   

• La plataforma no debe permitir el tratamiento de categorías especiales de datos (art. 9 RGPD) salvo que concurra una excepción legal. 
   

• El proveedor debe ofrecer opciones de configuración que permitan al responsable aplicar estos principios de forma efectiva. 

En iTopTraining, este principio está en el núcleo de nuestro desarrollo: nuestra plataforma sobre Moodle ™ en infraestructura AWS está configurada para minimizar la recogida de datos al mínimo necesario para la función formativa, y ofrecemos a nuestros clientes las herramientas de configuración para que puedan mantener esa configuración en el tiempo. 

9. Seguridad de la información

El responsable y el encargado deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD), teniendo en cuenta la especial vulnerabilidad de los interesados. 

Cuando el responsable es una administración pública, deben cumplirse las medidas del Esquema Nacional de Seguridad (ENS). El contrato de encargo debe garantizar que el proveedor notifique las brechas de seguridad sin dilación indebida y dentro del plazo que permita al responsable cumplir con su obligación de notificación a la autoridad de control. 

En iTopTraining, nuestra infraestructura sobre Amazon Web Services incluye cifrado de datos y comunicaciones, copias de seguridad automáticas y protección ante ataques externos. Además, contamos con certificaciones ISO 9001 e ISO/IEC 27001, lo que acredita nuestros estándares de calidad y seguridad de la información. 

 10. Derechos de los interesados

El responsable debe garantizar el ejercicio efectivo de los derechos de acceso, rectificación, supresión, limitación, oposición y a no ser objeto de decisiones automatizadas (arts. 15 a 22 RGPD), tanto frente a los tratamientos propios como frente a los del proveedor. 

La AEPD destaca un punto especialmente sensible: cuando la base legitimadora es la misión en interés público, deben contemplarse mecanismos efectivos para el ejercicio del derecho de oposición. Y si ese derecho se estima, los responsables deben adoptar las medidas necesarias para que la persona afectada no sufra discriminación ni agravio comparativo en su derecho fundamental a la educación o a la formación.