RGPD en acadèmies d'idiomes i formació: documentació mínima des del primer alumne

Q: Quina documentació mínima de protecció de dades necessita una acadèmia des del primer alumne?

Una acadèmia d'idiomes, formació o reforç escolar és responsable del tractament des del primer alumne i ha de disposar de: Registre d'Activitats del Tractament amb els tractaments identificats (gestió d'alumnes, facturació, comunicació, màrqueting si n'hi ha), clàusula informativa de l'art. 13 RGPD lliurada en el moment de la matrícula a l'alumne o als seus pares si és menor, contractes de l'art. 28 RGPD amb els proveïdors tecnològics (plataforma de gestió, eina de pagament, programari de videoclasses si l'utilitza), política bàsica de seguretat operativa adaptada a la mida (contrasenyes individuals, doble factor, còpia de seguretat xifrada), protocol de bretxes amb plantilla de notificació a l'AEPD, i política de galetes a la web si l'acadèmia té presència en línia. Per a alumnes menors de 14 anys, a més, les caselles separades de consentiment parental per a imatge i comunicacions.

Q: Necessita una acadèmia petita amb pocs alumnes complir el RGPD igual que una de gran?

Sí, amb l'única diferència de l'abast documental proporcional. El RGPD s'aplica a qualsevol responsable que tracti dades personals amb independència de la mida. El que varia és l'extensió de la documentació: una acadèmia petita pot tenir un RAT d'una pàgina amb tres entrades (alumnes, facturació, màrqueting si n'hi ha), una política de seguretat d'una pàgina i unes clàusules curtes i clares. Els principis (licitud, transparència, minimització, conservació, integritat, responsabilitat proactiva) s'apliquen igual a una acadèmia de cinc alumnes que a una de cinc-cents. L'AEPD ha sancionat en diverses ocasions acadèmies petites precisament per entendre que el RGPD no se'ls aplicava: bases sense informació, cessió de dades a comercials externs sense consentiment, fotos d'alumnes a xarxes sense autorització.

Q: L'acadèmia és responsable o encarregada del tractament si imparteix cursos per a empreses?

Depèn del flux concret. Quan l'acadèmia presta formació a empleats d'una empresa client i l'empresa proporciona les dades dels empleats (llista d'inscrits, dades de contacte, eventualment certificats d'aprofitament), l'acadèmia actua típicament com a encarregada del tractament per compte de l'empresa client: tracta les dades del personal per encàrrec, les retorna en tancar el curs i no les usa per a finalitats pròpies diferents. L'empresa client segueix sent responsable del tractament de les dades dels seus empleats. L'acadèmia és responsable independent sobre les dades dels seus propis contactes comercials amb l'empresa (responsable del projecte, persona de contacte, facturació), sobre la seva pròpia plantilla docent i sobre els seus prospectes. La relació amb l'empresa client requereix un contracte de l'art. 28 RGPD amb el contingut mínim, especialment sobre devolució de les dades en tancar el curs i prohibició de reutilització.

Q: Pot l'acadèmia conservar les dades de l'alumne després de la finalització del curs?

Sí, però només durant els terminis justificats per les diferents obligacions legals aplicables. Les dades vinculades a la facturació s'han de conservar durant els terminis del Codi de Comerç (sis anys des de l'últim assentament) i de la Llei General Tributària (quatre anys de prescripció general, ampliable segons el cas). Les dades acadèmiques (qualificacions, certificats d'aprofitament, expedient de l'alumne) tenen terminis propis segons la naturalesa de la formació (formació reglada, formació bonificada per FUNDAE, certificats de professionalitat). Les dades per a ús comercial (newsletter, ofertes, comunicacions de nous cursos) requereixen consentiment vigent de l'alumne i s'han de suprimir quan es dona de baixa. L'acadèmia professional documenta terminis diferenciats per bloc en la seva política de conservació, separa arxiu actiu d'arxiu històric i procedeix a la destrucció segura quan vencen tots els terminis rellevants.

Una acadèmia d'idiomes, formació professional o reforç escolar és responsable del tractament de dades personals des del primer alumne matriculat. Identificatives, dades de contacte, dades econòmiques, en molts casos dades de salut (al·lèrgies del menor en classes presencials), dades acadèmiques i, quan l'oferta inclou plataformes digitals, també dades de comportament en línia. Sobre tot això s'aplica el RGPD, amb independència de la mida del centre.

Aquesta guia explica la documentació mínima proporcional que qualsevol acadèmia hauria de tenir disponible des del primer dia, conforme al RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica 3/2018) i la LSSICE (Llei 34/2002) quan l'acadèmia té web o canal digital.

Els tractaments típics d'una acadèmia

Gairebé qualsevol acadèmia es resumeix en quatre o cinc tractaments:

Tractament	Dades típiques	Base jurídica
Matrícula i gestió de l'alumne	Nom, DNI/NIE, contacte, qualificacions, assistència, tutor en menors.	Execució de contracte (6.1.b)
Facturació i obligacions fiscals	Dades per a l'emissió de factures, IBAN, retencions.	Obligació legal (6.1.c)
Comunicació amb famílies (menors)	Dades dels tutors legals, comunicació de progrés, autorització de sortides.	Execució de contracte (6.1.b)
Màrqueting i prospecció	Subscriptors de newsletter, leads de formularis, antics alumnes.	Consentiment o interès legítim (6.1.a/6.1.f) + art. 21 LSSICE
Personal docent	Dades laborals, nòmina, formació, qualificació.	Contracte laboral + obligació legal (6.1.b + 6.1.c)

Documentació mínima proporcional

Una acadèmia petita o mitjana compleix raonablement amb aquests blocs documentals, sense sobredimensionar:

Registre d'Activitats del Tractament (RAT): una pàgina, quatre o cinc entrades, amb la informació de l'art. 30.1 RGPD.
Clàusules informatives: una per a alumne major d'edat, una altra per a alumne menor (lliurada als pares o tutors), una per a candidats a personal docent i la política de privacitat de la web.
Full de consentiments diferenciats a la matrícula per a tractaments opcionals: imatge de l'alumne a xarxes i web, comunicacions comercials futures, plataformes digitals optatives, cessió a comercials aliats (recomanable evitar-la, però si existeix cal documentar-la).
Contractes de l'art. 28 RGPD amb proveïdors tecnològics rellevants: programari de gestió (CRM/ERP d'acadèmia), passarel·la de pagament, eina de videoclasses si l'acadèmia imparteix en línia, plataforma d'email màrqueting, gestoria externa.
Política de seguretat operativa: una o dues pàgines amb les mesures reals (contrasenyes individuals, doble factor, còpia de seguretat xifrada, gestió d'altes i baixes de personal amb accés a sistemes).
Protocol de bretxes: dos paràgrafs amb qui avalua, en quins casos cal notificar a l'AEPD en menys de 72 hores i com.
Política de galetes a la web, si l'acadèmia té presència en línia.

Clàusula informativa per a alumnes: el que ha de contenir

La clàusula de l'art. 13 RGPD es lliura en el moment de la matrícula, idealment integrada en el document d'inscripció o com a annex signat. Contingut mínim:

Identitat del responsable (l'acadèmia, amb CIF i adreça) i dades de contacte del Delegat de Protecció de Dades si se n'ha designat.
Finalitats concretes: gestió acadèmica de l'alumne, facturació, comunicació amb la família en menors, comunicacions administratives del curs, si escau avaluació i emissió de certificats.
Bases jurídiques: execució del contracte de formació per a la gestió acadèmica, obligació legal per a facturació, consentiment exprés per a màrqueting.
Destinataris habituals: gestoria externa, plataforma de gestió, si escau FUNDAE si la formació és bonificada, autoritats fiscals quan escaigui.
Transferències internacionals si les eines usades operen fora de l'EEE (típicament sí quan s'usa Google Workspace, Microsoft 365, Mailchimp, Zoom).
Terminis de conservació per bloc (acadèmics, fiscals, civils).
Drets de l'alumne (o dels pares si és menor) i via per exercir-los.
Menció al dret a reclamar davant l'AEPD.

Menors en acadèmies: el règim específic

L'acadèmia que treballa amb alumnes menors activa un règim addicional. Aspectes crítics:

Edat per consentir: l'art. 7 LOPDGDD fixa els 14 anys. Per sota, consenten els pares o tutors; per sobre, en molts tractaments pot consentir el menor.
Consentiment parental per a la matrícula del menor de 14 anys (en allò que no estigui emparat en execució de contracte), comunicació amb la família, autorització d'imatge, autorització per a l'ús de plataformes optatives.
Custòdia i separació: l'acadèmia ha de disposar d'un protocol clar per a casos on els progenitors no conviuen (matrícula, comunicació amb la família, recollida del menor, decisions puntuals). Es regeix pel règim de pàtria potestat i guarda i custòdia.
Dades de salut del menor (al·lèrgies, medicació, necessitats especials) quan són rellevants per a l'activitat: comunicació obligatòria per seguretat, custòdia restringida al personal amb funció directa.
Imatge del menor: s'aplica el règim del dret a la pròpia imatge (LO 1/1982). Consentiment per escrit, específic, revocable.

Màrqueting i antics alumnes: com fer-ho bé

La base d'antics alumnes és un dels actius comercials més valuosos d'una acadèmia. Regles operatives:

L'enviament comercial per email a antics alumnes es pot emparar en l'art. 21.2 LSSICE si les dades es van obtenir en una relació contractual prèvia i l'enviament es refereix a cursos similars als ja contractats.
Per a enviaments sobre productes no similars (canvi d'acadèmia d'idiomes a oposicions, per exemple), cal consentiment exprés de l'antic alumne.
L'alumne menor la matrícula del qual van gestionar els pares no va consentir automàticament comunicacions comercials personals en assolir la majoria d'edat: si l'acadèmia vol seguir contactant, hauria de refrescar el consentiment.
Cada enviament comercial inclou mecanisme de baixa simple i gratuït.
La cessió de dades a empreses relacionades (editorials, acadèmies associades, cursos de partners) requereix consentiment exprés i independent.

"En una acadèmia, el RGPD ben aplicat es tradueix en un full de matrícula clar, una clàusula informativa lliurada i signada, i dos o tres consentiments específics per als usos que excedeixin de la formació contractada. No cal un manual de cent pàgines: cal un sistema que es respecti cada dia."

Mario P. Talamillo · Soci director, Certix®

Plataforma de gestió i proveïdors tecnològics

L'acadèmia moderna depèn habitualment de diverses eines SaaS que processen dades de l'alumnat: plataforma integrada de gestió (CRM/ERP), programari de videoconferència (Zoom, Google Meet, Microsoft Teams), plataforma de pagament, eina d'email màrqueting, emmagatzematge al núvol de materials. Cadascun és encarregat del tractament i requereix contracte de l'art. 28 RGPD.

Punts crítics en contractar:

Versió adequada per a dades de menors quan escaigui (versions educatives de Google Workspace, Microsoft 365).
DPA signat i arxivat.
Verificació de transferències internacionals (Data Privacy Framework per a proveïdors estatunidencs).
Procediment de devolució de les dades en cessar el servei del proveïdor.

Checklist mínim de l'acadèmia

RAT amb els tractaments reals.
Clàusules informatives per a alumne major, alumne menor (a pares) i personal docent.
Full de consentiments diferenciats a la matrícula.
Contractes de l'art. 28 RGPD amb la plataforma de gestió, passarel·la de pagament, eina de videoclasses, email màrqueting i gestoria externa.
Política de seguretat operativa adaptada a la mida.
Protocol de bretxes i plantilla de notificació a l'AEPD.
Política de privacitat i de galetes a la web, amb bàner LSSICE correcte.
Protocol de gestió d'imatge de l'alumne amb llista d'exclosos i procediment de revocació.
Política de conservació per bloc i procediment de destrucció segura.

Preguntes freqüents

Quina documentació mínima de protecció de dades necessita una acadèmia des del primer alumne?

RAT amb els tractaments identificats, clàusula informativa de l'art. 13 RGPD a la matrícula, contractes de l'art. 28 RGPD amb proveïdors tecnològics, política bàsica de seguretat, protocol de bretxes i política de galetes a la web. Per a menors de 14 anys, caselles separades de consentiment parental.

Necessita una acadèmia petita amb pocs alumnes complir el RGPD igual que una de gran?

Sí, amb abast documental proporcional. El RGPD s'aplica amb independència de la mida; el que varia és l'extensió. Els principis (licitud, transparència, minimització, conservació) són els mateixos. L'AEPD ha sancionat acadèmies petites precisament per descuidar aquest punt.

L'acadèmia és responsable o encarregada del tractament si imparteix cursos per a empreses?

Quan imparteix formació a empleats amb dades proporcionades per l'empresa client, sol ser encarregada per compte de l'empresa. L'empresa segueix sent responsable. L'acadèmia és responsable independent sobre els seus propis contactes comercials, plantilla i prospectes. La relació amb l'empresa client requereix contracte de l'art. 28 RGPD.

Pot l'acadèmia conservar les dades de l'alumne després de la finalització del curs?

Sí, durant els terminis justificats: facturació (Codi de Comerç 6 anys, LGT 4 anys), acadèmics segons la naturalesa de la formació, civils (5 anys art. 1964 CC). Màrqueting només mentre duri el consentiment. La política diferenciada per bloc és l'eina per gestionar-ho netament.

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.

Vols ordenar el compliment RGPD de la teva acadèmia sense sobredimensionar-lo?

A Certix t'assignem un expert en compliment del sector formatiu. Sense intermediaris comercials, sense plantilles genèriques.

Parlar amb un expert