Respuesta rápida: todo centro educativo trata datos personales de menores, así que le aplican el RGPD y la LOPDGDD, y debe tener un Delegado de Protección de Datos (art. 34 LOPDGDD). El Esquema Nacional de Seguridad (ENS) se aplica al sector público —por tanto, a los centros públicos a través de su Administración educativa— y a las empresas privadas que les prestan servicios. Para el mantenimiento informático esto se traduce en cuatro cosas: un contrato de encargado del tratamiento con el proveedor, copias de seguridad y actualizaciones bajo control, accesos remotos cifrados y registrados, y un procedimiento para brechas de seguridad.
En esta guía
- Aviso previo
- Quién es responsable de los datos en cada tipo de centro
- RGPD y LOPDGDD: lo que toca a la informática del centro
- ENS: a quién afecta de verdad
- Qué pedir a tu proveedor de mantenimiento: checklist
- Errores frecuentes
- Centros de atención temprana y EOEP: nivel reforzado
- Cómo trabaja Prosetic
- Preguntas frecuentes
- Fuentes oficiales
Aviso previo
Esta guía es una orientación práctica para equipos directivos, no asesoramiento jurídico. Para decisiones concretas consulta con el Delegado de Protección de Datos de tu centro o de tu Consejería. Enlazamos las fuentes oficiales al final.
Quién es responsable de los datos en cada tipo de centro
Según la Agencia Española de Protección de Datos (AEPD), el responsable del tratamiento es:
- En centros públicos (CEIP, CEIPSO, IES, centros públicos de educación especial, escuelas infantiles públicas, EOEP): la Administración educativa; en la Comunidad de Madrid, la Consejería competente en educación.
- En centros concertados y privados (incluidas escuelas infantiles y de idiomas privadas): el propio centro o su entidad titular.
- En los centros de atención temprana (CAT): la entidad titular del centro; si el servicio se presta por encargo de una Administración, revisad el contrato o convenio para saber quién es responsable y quién encargado.
Saber quién es el responsable importa porque es quien fija las normas de uso de las TIC y quien debe firmar con los proveedores.
RGPD y LOPDGDD: lo que toca a la informática del centro
- Delegado de Protección de Datos (DPD). La LOPDGDD (art. 34.1.b) obliga a designarlo en los centros docentes de cualquier nivel. En los públicos suele designarlo la Consejería; en concertados y privados, el titular. Su contacto debe ser fácil de encontrar, por ejemplo en la web del centro.
- Medidas de seguridad apropiadas (art. 32 RGPD): control de accesos, contraseñas, cifrado cuando proceda, copias de seguridad y capacidad de restaurar los datos.
- Contrato con el proveedor informático (art. 28 RGPD): si una empresa externa puede acceder a equipos con datos personales, actúa como encargado del tratamiento y debe haber un contrato o anexo que lo regule.
- Brechas de seguridad (art. 33 RGPD): si se pierden o filtran datos personales, el responsable debe notificarlo a la AEPD en un máximo de 72 horas desde que tenga constancia, salvo que sea improbable que suponga un riesgo. Conviene tener por escrito quién avisa a quién.
- Datos especialmente protegidos (art. 9 RGPD): diagnósticos, informes psicopedagógicos, datos de salud o de religión. Es el día a día de los CAT y de los EOEP, y también de los departamentos de orientación.
ENS: a quién afecta de verdad
El Real Decreto 311/2022 regula el Esquema Nacional de Seguridad. Su artículo 2 lo aplica:
- A todo el sector público. En educación no universitaria pública, la obligación recae normalmente en la Administración educativa titular de los sistemas; el centro cumple las normas que esta le marca.
- A las empresas privadas que, por contrato, presten servicios o soluciones al sector público para el ejercicio de sus competencias (art. 2.3). Deben tener una política de seguridad y, según el pliego, acreditar la conformidad: declaración (autoevaluación) para sistemas de categoría BÁSICA o certificación (auditoría) para MEDIA o ALTA (art. 38).
- Además, la LOPDGDD (disposición adicional primera) pide a las Administraciones aplicar las medidas del ENS a sus tratamientos de datos personales.
Para un centro concertado o privado el ENS no es, en principio, obligatorio, pero sus medidas son una buena referencia para cumplir el RGPD.
Si tu centro o tu Administración lo exigen, pide al proveedor que indique por escrito si dispone de Declaración o Certificación de Conformidad con el ENS y, en cualquier caso, qué medidas concretas aplica a los equipos y datos del centro. Las comprobaciones de la lista siguiente son un buen punto de partida.
Qué pedir a tu proveedor de mantenimiento: checklist
- Contrato o anexo de encargado del tratamiento firmado antes de empezar.
- Accesos remotos cifrados y con registro de fecha, hora, técnico y acciones realizadas.
- Acceso remoto solo con autorización y sin contraseñas compartidas entre técnicos.
- Copias de seguridad automáticas y pruebas de restauración periódicas.
- Actualizaciones de sistema y antivirus al día en todos los equipos, incluidos los de secretaría y orientación.
- Borrado seguro de discos antes de retirar, reparar fuera o donar un equipo.
- Un procedimiento de incidentes: qué hace el técnico si detecta un posible acceso indebido o una pérdida de datos, y a quién avisa.
- Técnicos identificados y con deber de confidencialidad.
Errores frecuentes
- Ordenadores de secretaría con una sola cuenta compartida y sin contraseña.
- Informes de alumnos guardados en el escritorio de un portátil que sale del centro.
- Copias de seguridad que existen pero que nadie ha probado a restaurar.
- Equipos viejos que se donan o se tiran con el disco duro dentro.
- Programas de control remoto gratuitos instalados "para una urgencia" y nunca retirados.
Casos habituales que vemos en centros: protección de datos y servidores
Cuando entramos a mantener el servidor de un centro, estas son las situaciones que más se repiten y cómo las resolvemos:
- Accesos sin control. Usuarios de personas que ya no están en el centro siguen activos, o varias personas entran al servidor con la misma cuenta. Revisamos las cuentas, damos de baja las que sobran y dejamos un usuario por persona, con permisos solo sobre lo que necesita.
- Copias de seguridad que no protegen. La copia existe, pero se guarda en el mismo servidor, no incluye todas las carpetas importantes o nunca se ha probado a restaurar. Programamos copias automáticas en un destino separado y comprobamos que se pueden recuperar.
- Actualizaciones pendientes. El servidor lleva tiempo sin parches de seguridad porque "funciona y nadie quiere tocarlo". Planificamos las actualizaciones fuera del horario lectivo y comprobamos que todo sigue funcionando después.
- Cuentas de administrador compartidas. La contraseña de administrador la conocen varias personas o proveedores anteriores y nunca se ha cambiado. La cambiamos, limitamos quién la usa y dejamos registro de cada acceso técnico.
Centros de atención temprana y EOEP: nivel reforzado
En un CAT o un EOEP casi todo lo que se guarda son categorías especiales de datos: valoraciones, diagnósticos e informes de intervención de menores. Además de lo anterior, conviene:
- Cifrar los portátiles que salen del centro (visitas a domicilio, coordinación con colegios).
- Separar perfiles de usuario por profesional y no compartir carpetas sin control.
- Revisar quién tiene acceso a los expedientes y retirar los accesos de quien deja el centro.
- Mantener la vigilancia aunque el centro cierre en vacaciones. En el servicio para CAT de Prosetic agosto está exento de cuota si el centro cierra, pero Manos Remotas sigue activo para proteger los datos.
Cómo trabaja Prosetic
- Al dar de alta el servicio se firma el contrato junto con el anexo LOPDGDD.
- Cada conexión remota va cifrada y queda en un registro auditable (fecha, hora, técnico y acciones).
- Manos Remotas aplica parches y copias de seguridad automáticas y vigila los equipos 24/7.
- Para CAT, un servicio con cumplimiento LOPDGDD estricto pensado para datos de salud de menores.
- Trabajamos conforme a las medidas del ENS en los accesos, las copias, las actualizaciones y el registro de la actividad en los equipos del centro.
Preguntas frecuentes
En principio el ENS se dirige al sector público y a quienes le prestan servicios por contrato. Un concertado es un centro privado, aunque con financiación pública; si tienes dudas, pregunta por escrito a tu Consejería. Lo que sí debe cumplir siempre es el RGPD y la LOPDGDD.
Sí. Si el técnico puede acceder a equipos con datos personales, la empresa es encargada del tratamiento y el artículo 28 del RGPD exige un contrato que regule ese acceso.
Normalmente lo designa la Consejería de Educación correspondiente. Su contacto debe figurar en la información de protección de datos que se da a las familias.
Avisa de inmediato al DPD y al responsable del tratamiento. Si hay riesgo para las personas, la brecha debe notificarse a la AEPD en un máximo de 72 horas. Por eso es tan importante que los portátiles con datos estén cifrados.
No debería. Lo correcto es que cada conexión esté autorizada, cifrada y registrada, para poder saber en cualquier momento quién accedió y qué hizo.
Fuentes oficiales
- Reglamento (UE) 2016/679 (RGPD): EUR-Lex
- Ley Orgánica 3/2018 (LOPDGDD), texto consolidado: BOE-A-2018-16673
- Real Decreto 311/2022, Esquema Nacional de Seguridad: BOE-A-2022-7191
- AEPD, Guía para centros educativos: aepd.es
- AEPD, Criterios para el tratamiento de datos personales en centros educativos: aepd.es
- CCN, preguntas frecuentes sobre el ENS: ens.ccn.cni.es