A autoescola e a DGT son responsables conxuntos ou hai un encargo entre elas?

Nin unha cousa nin a outra. A autoescola e a DGT (Dirección Xeral de Tráfico española) son responsables do tratamento independentes, cada un no seu ámbito, con bases xurídicas distintas. A autoescola é responsable sobre o expediente do alumno mentres está baixo a súa xestión: matrícula, documentación, formación teórica e práctica, presentación a exame. A DGT é responsable do rexistro de condutores e do proceso administrativo de obtención do permiso, conforme ao RD español 818/2009. A comunicación entre ambas non é un encargo do art. 28 RGPD: é unha comunicación entre responsables, amparada en obriga legal por parte da autoescola e no cumprimento da súa función administrativa por parte da DGT. A cláusula informativa que entrega a autoescola debe explicitar este fluxo con claridade para que o alumno entenda que dato circula onde e por que.

Que información debe conter a cláusula que se entrega no momento da matrícula?

A cláusula informativa do art. 13 RGPD (Regulamento UE 2016/679) que se entrega na matrícula debe incluír: identidade e datos de contacto do responsable (a autoescola, con CIF e enderezo) e do Delegado de Protección de Datos se foi designado, finalidades concretas (xestión do expediente formativo, tramitación ante a DGT, facturación, comunicacións do servizo, no seu caso cámaras en vehículos de prácticas), bases xurídicas de cada tratamento (execución do contrato de ensinanza, obriga legal derivada do RD español 818/2009 e da normativa fiscal, interese lexítimo para seguridade cando proceda), destinatarios habituais (DGT, centro de psicotécnico, xestoría externa, provedores tecnolóxicos que tratan datos por conta da autoescola, autoridades fiscais cando aplique), transferencias internacionais se as ferramentas operan fóra do EEE, prazos de conservación diferenciados por bloque, dereitos do alumno e mención ao dereito a reclamar ante a AEPD. Para tratamentos opcionais (imaxe, marketing, cesións), folla de consentimentos separada.

RGPD en autoescolas: información básica e documentación obrigatoria desde o primeiro alumno

Q: Que documentación mínima de protección de datos necesita unha autoescola?

Unha autoescola é responsable do tratamento desde o primeiro alumno matriculado e debe dispoñer de: Rexistro de Actividades do Tratamento cos tratamentos identificados (matrícula e expediente do alumno, tramitación ante a DGT (Dirección Xeral de Tráfico española), facturación, marketing e comunicacións, persoal docente, cámaras en vehículos se as hai), cláusula informativa do art. 13 RGPD (Regulamento UE 2016/679) entregada no momento da matrícula con mención expresa á DGT como destinataria do expediente, folla de consentimentos diferenciados para usos opcionais (imaxe do alumno, comunicacións comerciais, cesións), contratos do art. 28 RGPD cos provedores tecnolóxicos relevantes (plataforma de xestión, pasarela de pago, simulador, sistema de cámaras, xestoría externa), política de seguridade operativa adaptada ao tamaño, protocolo de quebras con modelo de notificación á AEPD (Axencia Española de Protección de Datos) e política de cookies na web. Se a autoescola traballa con menores en convocatorias específicas, caixiñas separadas de consentimento parental.

Q: Que contratos con provedores necesita asinar a autoescola?

Calquera provedor que trate datos persoais por conta da autoescola actúa como encargado do tratamento e require contrato do art. 28 RGPD co contido mínimo (obxecto, finalidade, tipo de datos, categorías de interesados, deber de confidencialidade, medidas de seguridade, subcontratación, dereitos dos interesados, asistencia ao responsable, devolución de datos ao peche do servizo, auditoría). Provedores típicos: plataforma integrada de xestión da autoescola (CRM/ERP), pasarela de pago, sistema do simulador, sistema de cámaras en vehículos cando o almacenamento é externalizado ou na nube, ferramenta de comunicación co alumno (email marketing, SMS), xestoría externa que leva a contabilidade, asesoría laboral do persoal docente. En todos os casos hai que verificar transferencias internacionais (Data Privacy Framework para provedores estadounidenses), gardar o DPA asinado e dispoñer de procedemento de devolución dos datos cando finaliza o servizo do provedor, antes de que este proceda á destrución.

Unha autoescola é responsable do tratamento de datos persoais desde o primeiro alumno matriculado. Identificativos, datos económicos, datos académicos do proceso, expediente que se tramita ante a Dirección Xeral de Tráfico española, en moitos casos gravacións de cámaras nos vehículos de prácticas. Sobre todo iso aplícase o RGPD (Regulamento UE 2016/679), con independencia do tamaño do centro ou do número de alumnos ao ano.

Esta guía explica a documentación mínima proporcional que calquera autoescola debería ter dispoñible, conforme ao RGPD (Regulamento UE 2016/679), a LOPDGDD (Lei Orgánica española 3/2018), a LSSICE (Lei española 34/2002) cando hai presenza online e o RD español 818/2009, Regulamento Xeral de Condutores, no relativo á tramitación do expediente ante a DGT.

Os tratamentos típicos dunha autoescola

Case calquera autoescola resúmese en cinco ou seis tratamentos perfectamente identificables:

Tratamento	Datos típicos	Base xurídica
Matrícula e expediente	Identificativos, contacto, fotos oficiais, datos académicos.	Execución de contrato (6.1.b)
Tramitación DGT	Solicitude de permiso, psicotécnico, presentación a exame.	Obriga legal (6.1.c) + RD español 818/2009
Facturación e financiamento	Datos de pago, financiamento, bonificacións.	Obriga legal (6.1.c) + contrato
Cámaras en vehículos	Imaxe do alumno e profesor durante a práctica.	Interese lexítimo (6.1.f) + seguridade
Marketing e antigos alumnos	Subscritores, leads, antigos alumnos.	Consentimento ou interese lexítimo + art. 21 LSSICE
Persoal docente	Datos laborais, nómina, formación, cualificación.	Contrato laboral + obriga legal

Documentación mínima proporcional

Unha autoescola pequena ou mediana cumpre razoablemente con estes bloques documentais, sen sobredimensionar:

Rexistro de Actividades do Tratamento (RAT): unha páxina, cinco ou seis entradas, coa información do art. 30.1 RGPD.
Cláusulas informativas: unha para alumno maior de idade, outra para alumno menor (entregada aos pais ou titores), unha para candidatos a persoal docente e a política de privacidade da web.
Folla de consentimentos diferenciados na matrícula para tratamentos opcionais: imaxe do alumno en redes e web, comunicacións comerciais futuras, cesións a terceiros (recomendable evitalas; se existen, hai que documentalas).
Contratos do art. 28 RGPD con provedores tecnolóxicos relevantes: plataforma de xestión da autoescola, pasarela de pago, sistema do simulador, sistema de cámaras do vehículo cando aplique, xestoría externa.
Política de seguridade operativa: unha ou dúas páxinas coas medidas reais (contrasinais individuais, dobre factor, copia de seguridade cifrada, xestión de altas e baixas de persoal con acceso a sistemas, bloqueo de pantallas, arquivado físico baixo chave).
Protocolo de quebras: dous parágrafos con quen avalía, en que casos hai que notificar á AEPD en menos de 72 horas e como.
Política de cookies na web, se a autoescola ten presenza online, con banner conforme á LSSICE.

Cláusula informativa na matrícula: o documento que máis se descoida

A cláusula do art. 13 RGPD entrégase no momento da matrícula, idealmente integrada no propio documento de inscrición ou como anexo asinado polo alumno (ou polos pais ou titores en menores). Contido mínimo:

Identidade do responsable (a autoescola, con CIF e enderezo) e datos de contacto do Delegado de Protección de Datos se foi designado.
Finalidades concretas: xestión do expediente formativo do alumno, tramitación ante a DGT, facturación, comunicacións administrativas do curso, no seu caso cámaras no vehículo de prácticas.
Bases xurídicas: execución do contrato de ensinanza para a xestión académica, obriga legal do RD español 818/2009 para a comunicación coa DGT, obriga legal fiscal para a facturación, interese lexítimo para as cámaras do vehículo, consentimento para usos opcionais.
Destinatarios habituais: DGT (Dirección Xeral de Tráfico española), centro de psicotécnico (cando a autoescola colabora cun concreto), xestoría externa, plataforma de xestión, autoridades fiscais cando aplique.
Transferencias internacionais se as ferramentas usadas operan fóra do EEE (tipicamente si cando se usa Google Workspace, Microsoft 365, plataformas de pago internacionais).
Prazos de conservación por bloque (administrativo do expediente, fiscal, civil).
Dereitos do alumno (ou dos pais en menores) e vía para exercelos.
Mención ao dereito a reclamar ante a AEPD (Axencia Española de Protección de Datos).

Relación coa DGT: dous responsables, non un encargo

Un punto que con frecuencia xera confusión: a autoescola e a DGT non asinan entre si un contrato do art. 28 RGPD. Son dous responsables do tratamento independentes:

A autoescola é responsable do expediente do alumno mentres está baixo a súa xestión.
A DGT é responsable do rexistro de condutores e do proceso administrativo de obtención do permiso, conforme ao RD español 818/2009.
A comunicación entre ambas ampárase en obriga legal por parte da autoescola: non fai falla consentimento do alumno para o fluxo administrativo do expediente.
A cláusula informativa debe explicitar o fluxo con claridade: que dato circula á DGT, con que finalidade, en que momento do proceso.

Contratos do art. 28 RGPD con provedores tecnolóxicos

A autoescola moderna depende habitualmente de varias ferramentas SaaS que procesan datos do alumnado: plataforma integrada de xestión, software do simulador, sistema de cámaras do vehículo cando se externaliza o almacenamento, plataforma de pago, ferramenta de comunicación co alumno, almacenamento na nube de materiais. Cada un é encargado do tratamento e require contrato do art. 28 RGPD.

Puntos críticos ao contratar:

DPA asinado e arquivado.
Verificación de transferencias internacionais (Data Privacy Framework para provedores estadounidenses).
Procedemento de devolución dos datos cando finaliza o servizo do provedor, antes da destrución.
Compromiso do provedor de non reutilizar os datos para finalidades propias.
Notificación ao responsable en caso de quebra e prazos de aviso.

"Nunha autoescola, a documentación de protección de datos cabe nunha carpeta. Cláusula informativa entregada en matrícula, folla de consentimentos para usos opcionais, contratos con provedores e unha política operativa que se respecte cada día. Non fai falla máis, pero fai falla isto. Sen isto, non hai sistema."

Mario P. Talamillo · Socio director, Certix®

Política de seguridade operativa para autoescola

O día a día dunha autoescola ten compoñentes moi concretos que a política de seguridade debe abordar sen sobredimensionar:

Arquivo físico do expediente baixo chave en zona non accesible ao alumnado.
Acceso dixital con contrasinais individuais e dobre factor na plataforma de xestión.
Pantallas bloqueadas cando o persoal se ausenta do posto, especialmente en recepción onde pode haber alumnos esperando.
Comunicación co alumno por canles controladas (email corporativo, plataforma, SMS desde sistema): non usar WhatsApp persoal do profesor para enviar resultados ou documentos.
Xestión de altas e baixas de persoal con acceso a sistemas: cando un profesor ou auxiliar deixa a autoescola, revóganse accesos o mesmo día.
Copia de seguridade cifrada e procedemento de restauración probado.
Destrución segura de documentación en papel (destrutora con grao adecuado) e de soportes dixitais ao peche da súa vida útil.

Checklist mínimo da autoescola

RAT cos tratamentos reais.
Cláusulas informativas para alumno maior, alumno menor (a pais) e persoal docente.
Folla de consentimentos diferenciados na matrícula.
Contratos do art. 28 RGPD con plataforma de xestión, pasarela de pago, simulador, sistema de cámaras, xestoría externa.
Política de seguridade operativa adaptada ao tamaño.
Protocolo de quebras e modelo de notificación á AEPD.
Política de privacidade e de cookies na web, con banner LSSICE correcto.
Protocolo de xestión de imaxe do alumno con lista de excluídos e procedemento de revogación.
Política de conservación por bloque e procedemento de destrución segura.
Procedemento documentado para exercicios de dereitos (acceso, rectificación, supresión, oposición, limitación, portabilidade).

Preguntas frecuentes

Que documentación mínima de protección de datos necesita unha autoescola?

RAT cos tratamentos identificados, cláusula informativa do art. 13 RGPD entregada en matrícula con mención á DGT, folla de consentimentos diferenciados, contratos do art. 28 con provedores tecnolóxicos, política de seguridade operativa, protocolo de quebras e política de cookies na web.

A autoescola e a DGT son responsables conxuntos?

Non. Son responsables independentes. A autoescola é responsable do expediente do alumno mentres está baixo a súa xestión; a DGT é responsable do rexistro de condutores e do proceso administrativo conforme ao RD español 818/2009. A comunicación entre ambas ampárase en obriga legal, non nun encargo do art. 28.

Que debe conter a cláusula informativa da matrícula?

Responsable e DPD se o hai, finalidades concretas (expediente, DGT, facturación, no seu caso cámaras), bases xurídicas, destinatarios (especialmente a DGT), transferencias internacionais, prazos de conservación por bloque, dereitos do alumno e dereito a reclamar ante a AEPD.

Que contratos con provedores necesita asinar a autoescola?

Contrato do art. 28 RGPD con cada provedor que trate datos por conta da autoescola: plataforma de xestión, pasarela de pago, simulador, sistema de cámaras, xestoría externa, asesoría laboral. Verificación de transferencias internacionais con Data Privacy Framework cando proceda, e devolución de datos antes da destrución ao peche.

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.

Queres ordenar o cumprimento RGPD da túa autoescola sen sobredimensionalo?

En Certix asignámosche un experto en cumprimento do sector da formación viaria. Sen intermediarios comerciais, sen modelos xenéricos.

Falar cun experto