RGPD en academias de idiomas e formación: documentación mínima desde o primeiro alumno

Q: Que documentación mínima de protección de datos necesita unha academia desde o primeiro alumno?

Unha academia de idiomas, formación ou reforzo escolar é responsable do tratamento desde o primeiro alumno e debe dispoñer de: Rexistro de Actividades do Tratamento cos tratamentos identificados (xestión de alumnos, facturación, comunicación, marketing se o hai), cláusula informativa do art. 13 RGPD entregada no momento da matrícula ao alumno ou aos seus pais se é menor, contratos do art. 28 RGPD cos provedores tecnolóxicos (plataforma de xestión, ferramenta de pago, software de videoclases se o utiliza), política básica de seguridade operativa adaptada ao tamaño (contrasinais individuais, dobre factor, copia de seguridade cifrada), protocolo de violacións con plantilla de notificación á AEPD, e política de cookies na web se a academia ten presenza en liña. Para alumnos menores de 14 anos, ademais, as casas separadas de consentimento parental para imaxe e comunicacións.

Q: Necesita unha academia pequena con poucos alumnos cumprir o RGPD igual que unha grande?

Si, coa única diferenza do alcance documental proporcional. O RGPD aplícase a calquera responsable que trate datos persoais con independencia do tamaño. O que varía é a extensión da documentación: unha academia pequena pode ter un RAT dunha páxina con tres entradas (alumnos, facturación, marketing se o hai), unha política de seguridade dunha páxina e unhas cláusulas curtas e claras. Os principios (licitude, transparencia, minimización, conservación, integridade, responsabilidade proactiva) aplícanse igual a unha academia de cinco alumnos que a unha de cincocentos. A AEPD sancionou en varias ocasións a academias pequenas precisamente por entender que o RGPD non se lles aplicaba: bases sen información, cesión de datos a comerciais externos sen consentimento, fotos de alumnos en redes sen autorización.

Q: A academia é responsable ou encargada do tratamento se imparte cursos para empresas?

Depende do fluxo concreto. Cando a academia presta formación a empregados dunha empresa cliente e a empresa proporciona os datos dos empregados (lista de inscritos, datos de contacto, eventualmente certificados de aproveitamento), a academia actúa tipicamente como encargada do tratamento por conta da empresa-cliente: trata os datos do persoal por encarga, devólveos ao peche do curso e non os usa para finalidades propias distintas. A empresa-cliente segue sendo responsable do tratamento dos datos dos seus empregados. A academia é responsable independente sobre os datos dos seus propios contactos comerciais coa empresa (responsable do proxecto, persoa de contacto, facturación), sobre o seu propio cadro de persoal docente e sobre os seus prospectos. A relación coa empresa-cliente require un contrato do art. 28 RGPD co contido mínimo, especialmente sobre devolución dos datos ao peche do curso e prohibición de reutilización.

Q: Pode a academia conservar os datos do alumno tras a finalización do curso?

Si, pero só durante os prazos xustificados polas distintas obrigas legais aplicables. Os datos vinculados á facturación deben conservarse durante os prazos do Código de Comercio (seis anos desde o último asento) e da Lei Xeral Tributaria (catro anos de prescrición xeral, ampliable segundo o caso). Os datos académicos (cualificacións, certificados de aproveitamento, expediente do alumno) teñen prazos propios segundo a natureza da formación (formación regrada, formación bonificada por FUNDAE, certificados de profesionalidade). Os datos para uso comercial (newsletter, ofertas, comunicacións de novos cursos) requiren consentimento vixente do alumno e deben suprimirse cando se dá de baixa. A academia profesional documenta prazos diferenciados por bloque na súa política de conservación, separa arquivo activo de arquivo histórico e procede á destrución segura cando vencen todos os prazos relevantes.

Unha academia de idiomas, formación profesional ou reforzo escolar é responsable do tratamento de datos persoais desde o primeiro alumno matriculado. Identificativos, datos de contacto, datos económicos, en moitos casos datos de saúde (alerxias do menor en clases presenciais), datos académicos e, cando a oferta inclúe plataformas dixitais, tamén datos de comportamento en liña. Sobre todo iso aplícase o RGPD, con independencia do tamaño do centro.

Esta guía explica a documentación mínima proporcional que calquera academia debería ter dispoñible desde o primeiro día, conforme ao RGPD (Regulamento UE 2016/679), a LOPDGDD (Lei Orgánica 3/2018) e a LSSICE (Lei 34/2002) cando a academia ten web ou canle dixital.

Os tratamentos típicos dunha academia

Case calquera academia resúmese en catro ou cinco tratamentos:

Tratamento	Datos típicos	Base xurídica
Matrícula e xestión do alumno	Nome, DNI/NIE, contacto, cualificacións, asistencia, titor en menores.	Execución de contrato (6.1.b)
Facturación e obrigas fiscais	Datos para emisión de facturas, IBAN, retencións.	Obriga legal (6.1.c)
Comunicación con familias (menores)	Datos dos titores legais, comunicación de progreso, autorización de saídas.	Execución de contrato (6.1.b)
Marketing e prospección	Subscritores de newsletter, leads de formularios, antigos alumnos.	Consentimento ou interese lexítimo (6.1.a/6.1.f) + art. 21 LSSICE
Persoal docente	Datos laborais, nómina, formación, cualificación.	Contrato laboral + obriga legal (6.1.b + 6.1.c)

Documentación mínima proporcional

Unha academia pequena ou mediana cumpre razoablemente con estes bloques documentais, sen sobredimensionar:

Rexistro de Actividades do Tratamento (RAT): unha páxina, catro ou cinco entradas, coa información do art. 30.1 RGPD.
Cláusulas informativas: unha para alumno maior de idade, outra para alumno menor (entregada aos pais ou titores), unha para candidatos a persoal docente e a política de privacidade da web.
Folla de consentimentos diferenciados na matrícula para tratamentos opcionais: imaxe do alumno en redes e web, comunicacións comerciais futuras, plataformas dixitais optativas, cesión a comerciais aliados (recomendable evitala, pero se existe hai que documentala).
Contratos do art. 28 RGPD con provedores tecnolóxicos relevantes: software de xestión (CRM/ERP de academia), pasarela de pago, ferramenta de videoclases se a academia imparte en liña, plataforma de email marketing, xestoría externa.
Política de seguridade operativa: unha ou dúas páxinas coas medidas reais (contrasinais individuais, dobre factor, copia de seguridade cifrada, xestión de altas e baixas de persoal con acceso a sistemas).
Protocolo de violacións: dous parágrafos con quen avalía, en que casos hai que notificar á AEPD en menos de 72 horas e como.
Política de cookies na web, se a academia ten presenza en liña.

Cláusula informativa para alumnos: o que debe conter

A cláusula do art. 13 RGPD entrégase no momento da matrícula, idealmente integrada no documento de inscrición ou como anexo asinado. Contido mínimo:

Identidade do responsable (a academia, con CIF e enderezo) e datos de contacto do Delegado de Protección de Datos se se designou.
Finalidades concretas: xestión académica do alumno, facturación, comunicación coa familia en menores, comunicacións administrativas do curso, no seu caso avaliación e emisión de certificados.
Bases xurídicas: execución do contrato de formación para a xestión académica, obriga legal para facturación, consentimento expreso para marketing.
Destinatarios habituais: xestoría externa, plataforma de xestión, no seu caso FUNDAE se a formación é bonificada, autoridades fiscais cando aplique.
Transferencias internacionais se as ferramentas usadas operan fóra do EEE (tipicamente si cando se usa Google Workspace, Microsoft 365, Mailchimp, Zoom).
Prazos de conservación por bloque (académicos, fiscais, civís).
Dereitos do alumno (ou dos pais se é menor) e vía para exercelos.
Mención ao dereito a reclamar ante a AEPD.

Menores en academias: o réxime específico

A academia que traballa con alumnos menores activa un réxime adicional. Aspectos críticos:

Idade para consentir: o art. 7 LOPDGDD fixa os 14 anos. Por debaixo, consenten os pais ou titores; por encima, en moitos tratamentos pode consentir o menor.
Consentimento parental para a matrícula do menor de 14 anos (no que non estea amparado en execución de contrato), comunicación coa familia, autorización de imaxe, autorización para uso de plataformas optativas.
Custodia e separación: a academia debe dispoñer dun protocolo claro para casos onde os proxenitores non conviven (matrícula, comunicación coa familia, recollida do menor, decisións puntuais). Réxese polo réxime de patria potestade e garda e custodia.
Datos de saúde do menor (alerxias, medicación, necesidades especiais) cando son relevantes para a actividade: comunicación obrigatoria por seguridade, custodia restrinxida ao persoal con función directa.
Imaxe do menor: aplícase o réxime do dereito á propia imaxe (LO 1/1982). Consentimento por escrito, específico, revogable.

Marketing e antigos alumnos: como facelo ben

A base de antigos alumnos é un dos activos comerciais máis valiosos dunha academia. Regras operativas:

O envío comercial por email a antigos alumnos pode ampararse no art. 21.2 LSSICE se os datos se obtiveron nunha relación contractual previa e o envío se refire a cursos similares aos xa contratados.
Para envíos sobre produtos non similares (cambio de academia de idiomas a oposicións, por exemplo), cómpre consentimento expreso do antigo alumno.
O alumno menor cuxa matrícula xestionaron os pais non automaticamente consentiu comunicacións comerciais persoais ao acadar a maioría de idade: se a academia quere seguir contactando, debería refrescar o consentimento.
Cada envío comercial inclúe mecanismo de baixa simple e gratuíto.
A cesión de datos a empresas relacionadas (editoriais, academias asociadas, cursos de partners) require consentimento expreso e independente.

"Nunha academia, o RGPD ben aplicado tradúcese nunha folla de matrícula clara, unha cláusula informativa entregada e asinada, e dous ou tres consentimentos específicos para os usos que excedan da formación contratada. Non fai falta un manual de cen páxinas: fai falta un sistema que se respecte cada día."

Mario P. Talamillo · Socio director, Certix®

Plataforma de xestión e provedores tecnolóxicos

A academia moderna depende habitualmente de varias ferramentas SaaS que procesan datos do alumnado: plataforma integrada de xestión (CRM/ERP), software de videoconferencia (Zoom, Google Meet, Microsoft Teams), plataforma de pago, ferramenta de email marketing, almacenamento na nube de materiais. Cada un é encargado do tratamento e require contrato do art. 28 RGPD.

Puntos críticos ao contratar:

Versión adecuada para datos de menores cando proceda (versións educativas de Google Workspace, Microsoft 365).
DPA asinado e arquivado.
Verificación de transferencias internacionais (Data Privacy Framework para provedores estadounidenses).
Procedemento de devolución dos datos ao cesar o servizo do provedor.

Checklist mínimo da academia

RAT cos tratamentos reais.
Cláusulas informativas para alumno maior, alumno menor (a pais) e persoal docente.
Folla de consentimentos diferenciados na matrícula.
Contratos do art. 28 RGPD coa plataforma de xestión, pasarela de pago, ferramenta de videoclases, email marketing e xestoría externa.
Política de seguridade operativa adaptada ao tamaño.
Protocolo de violacións e plantilla de notificación á AEPD.
Política de privacidade e de cookies na web, con banner LSSICE correcto.
Protocolo de xestión de imaxe do alumno con lista de excluídos e procedemento de revogación.
Política de conservación por bloque e procedemento de destrución segura.

Preguntas frecuentes

Que documentación mínima de protección de datos necesita unha academia desde o primeiro alumno?

RAT cos tratamentos identificados, cláusula informativa do art. 13 RGPD na matrícula, contratos do art. 28 RGPD con provedores tecnolóxicos, política básica de seguridade, protocolo de violacións e política de cookies na web. Para menores de 14 anos, casas separadas de consentimento parental.

Necesita unha academia pequena con poucos alumnos cumprir o RGPD igual que unha grande?

Si, con alcance documental proporcional. O RGPD aplícase con independencia do tamaño; o que varía é a extensión. Os principios (licitude, transparencia, minimización, conservación) son os mesmos. A AEPD sancionou academias pequenas precisamente por descoidar este punto.

A academia é responsable ou encargada do tratamento se imparte cursos para empresas?

Cando imparte formación a empregados con datos proporcionados pola empresa-cliente, adoita ser encargada por conta da empresa. A empresa segue sendo responsable. A academia é responsable independente sobre os seus propios contactos comerciais, cadro de persoal e prospectos. A relación coa empresa-cliente require contrato do art. 28 RGPD.

Pode a academia conservar os datos do alumno tras a finalización do curso?

Si, durante os prazos xustificados: facturación (Código de Comercio 6 anos, LXT 4 anos), académicos segundo a natureza da formación, civís (5 anos art. 1964 CC). Marketing só mentres dure o consentimento. A política diferenciada por bloque é a ferramenta para xestionalo limpamente.

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizado. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.

Queres ordenar o cumprimento RGPD da túa academia sen sobredimensionalo?

En Certix asignámosche un experto en cumprimento do sector formativo. Sen intermediarios comerciais, sen plantillas xenéricas.

Falar cun experto