¿La autoescuela y la DGT son responsables conjuntos o hay un encargo entre ellas?

Ni una cosa ni la otra. La autoescuela y la DGT son responsables del tratamiento independientes, cada uno en su ámbito, con bases jurídicas distintas. La autoescuela es responsable sobre el expediente del alumno mientras está bajo su gestión: matrícula, documentación, formación teórica y práctica, presentación a examen. La DGT es responsable del registro de conductores y del proceso administrativo de obtención del permiso, conforme al Real Decreto 818/2009. La comunicación entre ambas no es un encargo del art. 28 RGPD: es una comunicación entre responsables, amparada en obligación legal por parte de la autoescuela y en el cumplimiento de su función administrativa por parte de la DGT. La cláusula informativa que entrega la autoescuela debe explicitar este flujo con claridad para que el alumno entienda qué dato circula a dónde y por qué.

¿Qué información debe contener la cláusula que se entrega en el momento de la matrícula?

La cláusula informativa del art. 13 RGPD que se entrega en la matrícula debe incluir: identidad y datos de contacto del responsable (la autoescuela, con CIF y dirección) y del Delegado de Protección de Datos si se ha designado, finalidades concretas (gestión del expediente formativo, tramitación ante la DGT, facturación, comunicaciones del servicio, en su caso cámaras en vehículos de prácticas), bases jurídicas de cada tratamiento (ejecución del contrato de enseñanza, obligación legal derivada del RD 818/2009 y de la normativa fiscal, interés legítimo para seguridad cuando proceda), destinatarios habituales (DGT, centro de psicotécnico, gestoría externa, proveedores tecnológicos que tratan datos por cuenta de la autoescuela, autoridades fiscales cuando aplique), transferencias internacionales si las herramientas operan fuera del EEE, plazos de conservación diferenciados por bloque, derechos del alumno y mención al derecho a reclamar ante la AEPD. Para tratamientos opcionales (imagen, marketing, cesiones), hoja de consentimientos separada.

RGPD en autoescuelas: información básica y documentación obligatoria desde el primer alumno

Q: ¿Qué documentación mínima de protección de datos necesita una autoescuela?

Una autoescuela es responsable del tratamiento desde el primer alumno matriculado y debe disponer de: Registro de Actividades del Tratamiento con los tratamientos identificados (matrícula y expediente del alumno, tramitación ante la DGT, facturación, marketing y comunicaciones, personal docente, cámaras en vehículos si las hay), cláusula informativa del art. 13 RGPD entregada en el momento de la matrícula con mención expresa a la DGT como destinataria del expediente, hoja de consentimientos diferenciados para usos opcionales (imagen del alumno, comunicaciones comerciales, cesiones), contratos del art. 28 RGPD con los proveedores tecnológicos relevantes (plataforma de gestión, pasarela de pago, simulador, sistema de cámaras, gestoría externa), política de seguridad operativa adaptada al tamaño, protocolo de brechas con plantilla de notificación a la AEPD y política de cookies en la web. Si la autoescuela trabaja con menores en convocatorias específicas, casillas separadas de consentimiento parental.

Q: ¿Qué contratos con proveedores necesita firmar la autoescuela?

Cualquier proveedor que trate datos personales por cuenta de la autoescuela actúa como encargado del tratamiento y requiere contrato del art. 28 RGPD con el contenido mínimo (objeto, finalidad, tipo de datos, categorías de interesados, deber de confidencialidad, medidas de seguridad, subcontratación, derechos de los interesados, asistencia al responsable, devolución de datos al cierre del servicio, auditoría). Proveedores típicos: plataforma integrada de gestión de la autoescuela (CRM/ERP), pasarela de pago, sistema del simulador, sistema de cámaras en vehículos cuando el almacenamiento es externalizado o en la nube, herramienta de comunicación con el alumno (email marketing, SMS), gestoría externa que lleva la contabilidad, asesoría laboral del personal docente. En todos los casos hay que verificar transferencias internacionales (Data Privacy Framework para proveedores estadounidenses), guardar el DPA firmado y disponer de procedimiento de devolución de los datos cuando finaliza el servicio del proveedor, antes de que este proceda a la destrucción.

Una autoescuela es responsable del tratamiento de datos personales desde el primer alumno matriculado. Identificativos, datos económicos, datos académicos del proceso, expediente que se tramita ante la Dirección General de Tráfico, en muchos casos grabaciones de cámaras en los vehículos de prácticas. Sobre todo ello se aplica el RGPD, con independencia del tamaño del centro o del número de alumnos al año.

Esta guía explica la documentación mínima proporcional que cualquier autoescuela debería tener disponible, conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018), la LSSICE (Ley 34/2002) cuando hay presencia online y el Real Decreto 818/2009, Reglamento General de Conductores, en lo relativo a la tramitación del expediente ante la DGT.

Los tratamientos típicos de una autoescuela

Casi cualquier autoescuela se resume en cinco o seis tratamientos perfectamente identificables:

Tratamiento	Datos típicos	Base jurídica
Matrícula y expediente	Identificativos, contacto, fotos oficiales, datos académicos.	Ejecución de contrato (6.1.b)
Tramitación DGT	Solicitud de permiso, psicotécnico, presentación a examen.	Obligación legal (6.1.c) + RD 818/2009
Facturación y financiación	Datos de pago, financiación, bonificaciones.	Obligación legal (6.1.c) + contrato
Cámaras en vehículos	Imagen del alumno y profesor durante la práctica.	Interés legítimo (6.1.f) + seguridad
Marketing y antiguos alumnos	Suscriptores, leads, antiguos alumnos.	Consentimiento o interés legítimo + art. 21 LSSICE
Personal docente	Datos laborales, nómina, formación, cualificación.	Contrato laboral + obligación legal

Documentación mínima proporcional

Una autoescuela pequeña o mediana cumple razonablemente con estos bloques documentales, sin sobredimensionar:

Registro de Actividades del Tratamiento (RAT): una página, cinco o seis entradas, con la información del art. 30.1 RGPD.
Cláusulas informativas: una para alumno mayor de edad, otra para alumno menor (entregada a los padres o tutores), una para candidatos a personal docente y la política de privacidad de la web.
Hoja de consentimientos diferenciados en la matrícula para tratamientos opcionales: imagen del alumno en redes y web, comunicaciones comerciales futuras, cesiones a terceros (recomendable evitarlas; si existen, hay que documentarlas).
Contratos del art. 28 RGPD con proveedores tecnológicos relevantes: plataforma de gestión de la autoescuela, pasarela de pago, sistema del simulador, sistema de cámaras del vehículo cuando aplique, gestoría externa.
Política de seguridad operativa: una o dos páginas con las medidas reales (contraseñas individuales, doble factor, copia de seguridad cifrada, gestión de altas y bajas de personal con acceso a sistemas, bloqueo de pantallas, archivado físico bajo llave).
Protocolo de brechas: dos párrafos con quién evalúa, en qué casos hay que notificar a la AEPD en menos de 72 horas y cómo.
Política de cookies en la web, si la autoescuela tiene presencia online, con banner conforme a la LSSICE.

Cláusula informativa en la matrícula: el documento que más se descuida

La cláusula del art. 13 RGPD se entrega en el momento de la matrícula, idealmente integrada en el propio documento de inscripción o como anexo firmado por el alumno (o por los padres o tutores en menores). Contenido mínimo:

Identidad del responsable (la autoescuela, con CIF y dirección) y datos de contacto del Delegado de Protección de Datos si se ha designado.
Finalidades concretas: gestión del expediente formativo del alumno, tramitación ante la DGT, facturación, comunicaciones administrativas del curso, en su caso cámaras en el vehículo de prácticas.
Bases jurídicas: ejecución del contrato de enseñanza para la gestión académica, obligación legal del Real Decreto 818/2009 para la comunicación con la DGT, obligación legal fiscal para la facturación, interés legítimo para las cámaras del vehículo, consentimiento para usos opcionales.
Destinatarios habituales: DGT, centro de psicotécnico (cuando la autoescuela colabora con uno concreto), gestoría externa, plataforma de gestión, autoridades fiscales cuando aplique.
Transferencias internacionales si las herramientas usadas operan fuera del EEE (típicamente sí cuando se usa Google Workspace, Microsoft 365, plataformas de pago internacionales).
Plazos de conservación por bloque (administrativo del expediente, fiscal, civil).
Derechos del alumno (o de los padres en menores) y vía para ejercerlos.
Mención al derecho a reclamar ante la AEPD.

Relación con la DGT: dos responsables, no un encargo

Un punto que con frecuencia genera confusión: la autoescuela y la DGT no firman entre sí un contrato del art. 28 RGPD. Son dos responsables del tratamiento independientes:

La autoescuela es responsable del expediente del alumno mientras está bajo su gestión.
La DGT es responsable del registro de conductores y del proceso administrativo de obtención del permiso, conforme al Real Decreto 818/2009.
La comunicación entre ambas se ampara en obligación legal por parte de la autoescuela: no hace falta consentimiento del alumno para el flujo administrativo del expediente.
La cláusula informativa debe explicitar el flujo con claridad: qué dato circula a la DGT, con qué finalidad, en qué momento del proceso.

Contratos del art. 28 RGPD con proveedores tecnológicos

La autoescuela moderna depende habitualmente de varias herramientas SaaS que procesan datos del alumnado: plataforma integrada de gestión, software del simulador, sistema de cámaras del vehículo cuando se externaliza el almacenamiento, plataforma de pago, herramienta de comunicación con el alumno, almacenamiento en la nube de materiales. Cada uno es encargado del tratamiento y requiere contrato del art. 28 RGPD.

Puntos críticos al contratar:

DPA firmado y archivado.
Verificación de transferencias internacionales (Data Privacy Framework para proveedores estadounidenses).
Procedimiento de devolución de los datos cuando finaliza el servicio del proveedor, antes de la destrucción.
Compromiso del proveedor de no reutilizar los datos para finalidades propias.
Notificación al responsable en caso de brecha y plazos de aviso.

"En una autoescuela, la documentación de protección de datos cabe en una carpeta. Cláusula informativa entregada en matrícula, hoja de consentimientos para usos opcionales, contratos con proveedores y una política operativa que se respete cada día. No hace falta más, pero hace falta esto. Sin esto, no hay sistema."

Mario P. Talamillo · Socio director, Certix®

Política de seguridad operativa para autoescuela

El día a día de una autoescuela tiene componentes muy concretos que la política de seguridad debe abordar sin sobredimensionar:

Archivo físico del expediente bajo llave en zona no accesible al alumnado.
Acceso digital con contraseñas individuales y doble factor en la plataforma de gestión.
Pantallas bloqueadas cuando el personal se ausenta del puesto, especialmente en recepción donde puede haber alumnos esperando.
Comunicación con el alumno por canales controlados (email corporativo, plataforma, SMS desde sistema): no usar WhatsApp personal del profesor para enviar resultados o documentos.
Gestión de altas y bajas de personal con acceso a sistemas: cuando un profesor o auxiliar deja la autoescuela, se revocan accesos el mismo día.
Copia de seguridad cifrada y procedimiento de restauración probado.
Destrucción segura de documentación en papel (destructora con grado adecuado) y de soportes digitales al cierre de su vida útil.

Checklist mínimo de la autoescuela

RAT con los tratamientos reales.
Cláusulas informativas para alumno mayor, alumno menor (a padres) y personal docente.
Hoja de consentimientos diferenciados en la matrícula.
Contratos del art. 28 RGPD con plataforma de gestión, pasarela de pago, simulador, sistema de cámaras, gestoría externa.
Política de seguridad operativa adaptada al tamaño.
Protocolo de brechas y plantilla de notificación a la AEPD.
Política de privacidad y de cookies en la web, con banner LSSICE correcto.
Protocolo de gestión de imagen del alumno con lista de excluidos y procedimiento de revocación.
Política de conservación por bloque y procedimiento de destrucción segura.
Procedimiento documentado para ejercicios de derechos (acceso, rectificación, supresión, oposición, limitación, portabilidad).

Preguntas frecuentes

¿Qué documentación mínima de protección de datos necesita una autoescuela?

RAT con los tratamientos identificados, cláusula informativa del art. 13 RGPD entregada en matrícula con mención a la DGT, hoja de consentimientos diferenciados, contratos del art. 28 con proveedores tecnológicos, política de seguridad operativa, protocolo de brechas y política de cookies en la web.

¿La autoescuela y la DGT son responsables conjuntos?

No. Son responsables independientes. La autoescuela es responsable del expediente del alumno mientras está bajo su gestión; la DGT es responsable del registro de conductores y del proceso administrativo conforme al RD 818/2009. La comunicación entre ambas se ampara en obligación legal, no en un encargo del art. 28.

¿Qué debe contener la cláusula informativa de la matrícula?

Responsable y DPD si lo hay, finalidades concretas (expediente, DGT, facturación, en su caso cámaras), bases jurídicas, destinatarios (especialmente la DGT), transferencias internacionales, plazos de conservación por bloque, derechos del alumno y derecho a reclamar ante la AEPD.

¿Qué contratos con proveedores necesita firmar la autoescuela?

Contrato del art. 28 RGPD con cada proveedor que trate datos por cuenta de la autoescuela: plataforma de gestión, pasarela de pago, simulador, sistema de cámaras, gestoría externa, asesoría laboral. Verificación de transferencias internacionales con Data Privacy Framework cuando proceda, y devolución de datos antes de la destrucción al cierre.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Quieres ordenar el cumplimiento RGPD de tu autoescuela sin sobredimensionarlo?

En Certix te asignamos un experto en cumplimiento del sector de la formación vial. Sin intermediarios comerciales, sin plantillas genéricas.

Hablar con un experto