Protección de datos para
academias y centros de formación

En general, cualquier academia que gestione datos de alumnos, emita facturas o mantenga comunicación con familias trata datos personales y queda sujeta a las obligaciones del RGPD. El alcance concreto de esas obligaciones depende del tipo de datos, la finalidad y el contexto del centro; conviene analizarlo de forma individualizada.

El uso de WhatsApp implica una transferencia internacional de datos a Meta (EE.UU.). La academia debe informar de ello en su política de privacidad y verificar el mecanismo habilitante aplicable (el Data Privacy Framework UE-EE.UU. si el proveedor está adherido, o cláusulas contractuales tipo). Dado que puede afectar a datos de menores, se recomienda valorar canales alternativos o, al menos, documentar adecuadamente la base jurídica y el mecanismo de transferencia. En ningún caso debe usarse para comunicaciones comerciales sin consentimiento específico.

Depende del modelo de cada proveedor y de sus condiciones contractuales. Con carácter general, los proveedores que alojan y procesan datos de alumnos exclusivamente por instrucción de la academia pueden actuar como encargados del tratamiento (art. 28 RGPD). Sin embargo, algunos SaaS de formación operan bajo sus propios términos y podrían tratarse como responsables independientes. La relación jurídica exacta debe analizarse caso por caso; en todo caso, la academia debe revisar los contratos y verificar dónde se almacenan los datos.

Solo con consentimiento explícito. En el caso de alumnos menores de edad, será necesario el consentimiento de sus padres o tutores; las condiciones concretas dependen de la edad y el contexto y conviene analizarlas de forma individualizada. El consentimiento para fotografías con fines publicitarios es distinto del consentimiento para la prestación del servicio formativo. Debe documentarse de forma separada y el alumno debe poder retirarlo sin que ello afecte a su formación.

Solo si el ex-alumno ha dado su consentimiento para recibir comunicaciones comerciales o si se aplica la excepción de cliente previo: la academia puede enviar publicidad sobre servicios similares a los ya contratados (art. 21.2 LSSI), siempre que el destinatario no se haya opuesto y exista mecanismo de baja sencillo.

Los datos bancarios (IBAN, titular de la cuenta) recogidos para la domiciliación de las cuotas son datos financieros sensibles. La academia debe informar al alumno o familia de la finalidad del tratamiento, conservarlos solo el tiempo necesario y cumplir también con la normativa SEPA de pagos.