L'autoescola i la DGT són responsables conjunts o hi ha un encàrrec entre elles?

Ni una cosa ni l'altra. L'autoescola i la DGT són responsables del tractament independents, cadascun en el seu àmbit, amb bases jurídiques distintes. L'autoescola és responsable sobre l'expedient de l'alumne mentre està sota la seva gestió: matrícula, documentació, formació teòrica i pràctica, presentació a examen. La DGT és responsable del registre de conductors i del procés administratiu d'obtenció del permís, conforme al RD espanyol 818/2009. La comunicació entre ambdues no és un encàrrec de l'art. 28 RGPD: és una comunicació entre responsables, emparada en obligació legal per part de l'autoescola i en el compliment de la seva funció administrativa per part de la DGT. La clàusula informativa que lliura l'autoescola ha d'explicitar aquest flux amb claredat perquè l'alumne entengui quina dada circula on i per què.

Quina informació ha de contenir la clàusula que es lliura en el moment de la matrícula?

La clàusula informativa de l'art. 13 RGPD que es lliura a la matrícula ha d'incloure: identitat i dades de contacte del responsable (l'autoescola, amb CIF i adreça) i del Delegat de Protecció de Dades si s'ha designat, finalitats concretes (gestió de l'expedient formatiu, tramitació davant la DGT, facturació, comunicacions del servei, si escau càmeres a vehicles de pràctiques), bases jurídiques de cada tractament (execució del contracte d'ensenyament, obligació legal derivada del RD espanyol 818/2009 i de la normativa fiscal, interès legítim per a seguretat quan escaigui), destinataris habituals (DGT, centre de psicotècnic, gestoria externa, proveïdors tecnològics que tracten dades per compte de l'autoescola, autoritats fiscals quan apliqui), transferències internacionals si les eines operen fora de l'EEE, terminis de conservació diferenciats per bloc, drets de l'alumne i menció al dret a reclamar davant l'AEPD. Per a tractaments opcionals (imatge, màrqueting, cessions), full de consentiments separat.

RGPD a autoescoles: informació bàsica i documentació obligatòria des del primer alumne

Q: Quina documentació mínima de protecció de dades necessita una autoescola?

Una autoescola és responsable del tractament des del primer alumne matriculat i ha de disposar de: Registre d'Activitats del Tractament amb els tractaments identificats (matrícula i expedient de l'alumne, tramitació davant la DGT, facturació, màrqueting i comunicacions, personal docent, càmeres a vehicles si n'hi ha), clàusula informativa de l'art. 13 RGPD lliurada en el moment de la matrícula amb menció expressa a la DGT com a destinatària de l'expedient, full de consentiments diferenciats per a usos opcionals (imatge de l'alumne, comunicacions comercials, cessions), contractes de l'art. 28 RGPD amb els proveïdors tecnològics rellevants (plataforma de gestió, passarel·la de pagament, simulador, sistema de càmeres, gestoria externa), política de seguretat operativa adaptada a la mida, protocol de bretxes amb plantilla de notificació a l'AEPD i política de cookies al web. Si l'autoescola treballa amb menors en convocatòries específiques, caselles separades de consentiment parental.

Q: Quins contractes amb proveïdors necessita signar l'autoescola?

Qualsevol proveïdor que tracti dades personals per compte de l'autoescola actua com a encarregat del tractament i requereix contracte de l'art. 28 RGPD amb el contingut mínim (objecte, finalitat, tipus de dades, categories d'interessats, deure de confidencialitat, mesures de seguretat, subcontractació, drets dels interessats, assistència al responsable, devolució de dades al tancament del servei, auditoria). Proveïdors típics: plataforma integrada de gestió de l'autoescola (CRM/ERP), passarel·la de pagament, sistema del simulador, sistema de càmeres a vehicles quan l'emmagatzematge és externalitzat o al núvol, eina de comunicació amb l'alumne (email màrqueting, SMS), gestoria externa que porta la comptabilitat, assessoria laboral del personal docent. En tots els casos cal verificar transferències internacionals (Data Privacy Framework per a proveïdors estatunidencs), guardar el DPA signat i disposar de procediment de devolució de les dades quan finalitza el servei del proveïdor, abans que aquest procedeixi a la destrucció.

Una autoescola és responsable del tractament de dades personals des del primer alumne matriculat. Identificatius, dades econòmiques, dades acadèmiques del procés, expedient que es tramita davant la DGT (Direcció General de Trànsit espanyola), en molts casos gravacions de càmeres als vehicles de pràctiques. Sobre tot això s'aplica el RGPD, amb independència de la mida del centre o del nombre d'alumnes l'any.

Aquesta guia explica la documentació mínima proporcional que qualsevol autoescola hauria de tenir disponible, conforme al RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica 3/2018), la LSSICE (Llei 34/2002) quan hi ha presència online i el RD espanyol 818/2009, Reglament General de Conductors, pel que fa a la tramitació de l'expedient davant la DGT.

Els tractaments típics d'una autoescola

Quasi qualsevol autoescola es resumeix en cinc o sis tractaments perfectament identificables:

Tractament	Dades típiques	Base jurídica
Matrícula i expedient	Identificatius, contacte, fotos oficials, dades acadèmiques.	Execució de contracte (6.1.b)
Tramitació DGT	Sol·licitud de permís, psicotècnic, presentació a examen.	Obligació legal (6.1.c) + RD espanyol 818/2009
Facturació i finançament	Dades de pagament, finançament, bonificacions.	Obligació legal (6.1.c) + contracte
Càmeres a vehicles	Imatge de l'alumne i professor durant la pràctica.	Interès legítim (6.1.f) + seguretat
Màrqueting i antics alumnes	Subscriptors, leads, antics alumnes.	Consentiment o interès legítim + art. 21 LSSICE
Personal docent	Dades laborals, nòmina, formació, qualificació.	Contracte laboral + obligació legal

Documentació mínima proporcional

Una autoescola petita o mitjana compleix raonablement amb aquests blocs documentals, sense sobredimensionar:

Registre d'Activitats del Tractament (RAT): una pàgina, cinc o sis entrades, amb la informació de l'art. 30.1 RGPD.
Clàusules informatives: una per a alumne major d'edat, una altra per a alumne menor (lliurada als pares o tutors), una per a candidats a personal docent i la política de privacitat del web.
Full de consentiments diferenciats a la matrícula per a tractaments opcionals: imatge de l'alumne a xarxes i web, comunicacions comercials futures, cessions a tercers (recomanable evitar-les; si existeixen, cal documentar-les).
Contractes de l'art. 28 RGPD amb proveïdors tecnològics rellevants: plataforma de gestió de l'autoescola, passarel·la de pagament, sistema del simulador, sistema de càmeres del vehicle quan apliqui, gestoria externa.
Política de seguretat operativa: una o dues pàgines amb les mesures reals (contrasenyes individuals, doble factor, còpia de seguretat xifrada, gestió d'altes i baixes de personal amb accés a sistemes, bloqueig de pantalles, arxivat físic sota clau).
Protocol de bretxes: dos paràgrafs amb qui avalua, en quins casos s'ha de notificar a l'AEPD en menys de 72 hores i com.
Política de cookies al web, si l'autoescola té presència online, amb banner conforme a la LSSICE.

Clàusula informativa a la matrícula: el document que més es descuida

La clàusula de l'art. 13 RGPD es lliura en el moment de la matrícula, idealment integrada al mateix document d'inscripció o com a annex signat per l'alumne (o pels pares o tutors en menors). Contingut mínim:

Identitat del responsable (l'autoescola, amb CIF i adreça) i dades de contacte del Delegat de Protecció de Dades si s'ha designat.
Finalitats concretes: gestió de l'expedient formatiu de l'alumne, tramitació davant la DGT, facturació, comunicacions administratives del curs, si escau càmeres al vehicle de pràctiques.
Bases jurídiques: execució del contracte d'ensenyament per a la gestió acadèmica, obligació legal del RD espanyol 818/2009 per a la comunicació amb la DGT, obligació legal fiscal per a la facturació, interès legítim per a les càmeres del vehicle, consentiment per a usos opcionals.
Destinataris habituals: DGT, centre de psicotècnic (quan l'autoescola col·labora amb un de concret), gestoria externa, plataforma de gestió, autoritats fiscals quan apliqui.
Transferències internacionals si les eines usades operen fora de l'EEE (típicament sí quan s'usa Google Workspace, Microsoft 365, plataformes de pagament internacionals).
Terminis de conservació per bloc (administratiu de l'expedient, fiscal, civil).
Drets de l'alumne (o dels pares en menors) i via per exercir-los.
Menció al dret a reclamar davant l'AEPD.

Relació amb la DGT: dos responsables, no un encàrrec

Un punt que sovint genera confusió: l'autoescola i la DGT no signen entre si un contracte de l'art. 28 RGPD. Són dos responsables del tractament independents:

L'autoescola és responsable de l'expedient de l'alumne mentre està sota la seva gestió.
La DGT és responsable del registre de conductors i del procés administratiu d'obtenció del permís, conforme al RD espanyol 818/2009.
La comunicació entre totes dues s'empara en obligació legal per part de l'autoescola: no cal consentiment de l'alumne per al flux administratiu de l'expedient.
La clàusula informativa ha d'explicitar el flux amb claredat: quina dada circula a la DGT, amb quina finalitat, en quin moment del procés.

Contractes de l'art. 28 RGPD amb proveïdors tecnològics

L'autoescola moderna depèn habitualment de diverses eines SaaS que processen dades de l'alumnat: plataforma integrada de gestió, programari del simulador, sistema de càmeres del vehicle quan s'externalitza l'emmagatzematge, plataforma de pagament, eina de comunicació amb l'alumne, emmagatzematge al núvol de materials. Cadascun és encarregat del tractament i requereix contracte de l'art. 28 RGPD.

Punts crítics en contractar:

DPA signat i arxivat.
Verificació de transferències internacionals (Data Privacy Framework per a proveïdors estatunidencs).
Procediment de devolució de les dades quan finalitza el servei del proveïdor, abans de la destrucció.
Compromís del proveïdor de no reutilitzar les dades per a finalitats pròpies.
Notificació al responsable en cas de bretxa i terminis d'avís.

"En una autoescola, la documentació de protecció de dades cap en una carpeta. Clàusula informativa lliurada a matrícula, full de consentiments per a usos opcionals, contractes amb proveïdors i una política operativa que es respecti cada dia. No cal més, però cal això. Sense això, no hi ha sistema."

Mario P. Talamillo · Soci director, Certix®

Política de seguretat operativa per a autoescola

El dia a dia d'una autoescola té components molt concrets que la política de seguretat ha d'abordar sense sobredimensionar:

Arxiu físic de l'expedient sota clau en zona no accessible a l'alumnat.
Accés digital amb contrasenyes individuals i doble factor a la plataforma de gestió.
Pantalles bloquejades quan el personal s'absenta del lloc, especialment a recepció on hi pot haver alumnes esperant.
Comunicació amb l'alumne per canals controlats (email corporatiu, plataforma, SMS des del sistema): no usar WhatsApp personal del professor per enviar resultats o documents.
Gestió d'altes i baixes de personal amb accés a sistemes: quan un professor o auxiliar deixa l'autoescola, es revoquen accessos el mateix dia.
Còpia de seguretat xifrada i procediment de restauració provat.
Destrucció segura de documentació en paper (destructora amb grau adequat) i de suports digitals al tancament de la seva vida útil.

Checklist mínim de l'autoescola

RAT amb els tractaments reals.
Clàusules informatives per a alumne major, alumne menor (a pares) i personal docent.
Full de consentiments diferenciats a la matrícula.
Contractes de l'art. 28 RGPD amb plataforma de gestió, passarel·la de pagament, simulador, sistema de càmeres, gestoria externa.
Política de seguretat operativa adaptada a la mida.
Protocol de bretxes i plantilla de notificació a l'AEPD.
Política de privacitat i de cookies al web, amb banner LSSICE correcte.
Protocol de gestió d'imatge de l'alumne amb llista d'exclosos i procediment de revocació.
Política de conservació per bloc i procediment de destrucció segura.
Procediment documentat per a exercicis de drets (accés, rectificació, supressió, oposició, limitació, portabilitat).

Preguntes freqüents

Quina documentació mínima de protecció de dades necessita una autoescola?

RAT amb els tractaments identificats, clàusula informativa de l'art. 13 RGPD lliurada a matrícula amb menció a la DGT, full de consentiments diferenciats, contractes de l'art. 28 amb proveïdors tecnològics, política de seguretat operativa, protocol de bretxes i política de cookies al web.

L'autoescola i la DGT són responsables conjunts?

No. Són responsables independents. L'autoescola és responsable de l'expedient de l'alumne mentre està sota la seva gestió; la DGT és responsable del registre de conductors i del procés administratiu conforme al RD espanyol 818/2009. La comunicació entre ambdues s'empara en obligació legal, no en un encàrrec de l'art. 28.

Què ha de contenir la clàusula informativa de la matrícula?

Responsable i DPD si n'hi ha, finalitats concretes (expedient, DGT, facturació, si escau càmeres), bases jurídiques, destinataris (especialment la DGT), transferències internacionals, terminis de conservació per bloc, drets de l'alumne i dret a reclamar davant l'AEPD.

Quins contractes amb proveïdors necessita signar l'autoescola?

Contracte de l'art. 28 RGPD amb cada proveïdor que tracti dades per compte de l'autoescola: plataforma de gestió, passarel·la de pagament, simulador, sistema de càmeres, gestoria externa, assessoria laboral. Verificació de transferències internacionals amb Data Privacy Framework quan escaigui, i devolució de dades abans de la destrucció al tancament.

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.

Vols ordenar el compliment RGPD de la teva autoescola sense sobredimensionar-lo?

A Certix t'assignem un expert en compliment del sector de la formació viària. Sense intermediaris comercials, sense plantilles genèriques.

Parlar amb un expert