El documento ha sido elaborado por varias entidades, entre ellas la Agencia de Protección de Datos (AEPD), con el objetivo de establecer un marco único sobre los principios básicos, contratación y uso de plataformas educativas en la nube.
Este decálogo busca promover el cumplimiento normativo, proteger a los usuarios —especialmente menores— y garantizar un entorno seguro. Además, facilita la función docente mediante el uso de plataformas digitales, que implican una gran responsabilidad por el tratamiento de datos personales. Su uso institucional favorece también la igualdad educativa.
Estas plataformas incluyen servicios en la nube como aula virtual, almacenamiento, comunicación, tutoría, evaluación e incluso inteligencia artificial. Es importante diferenciar entre datos académicos (calificaciones, documentos) y datos técnicos (IP, localización, cookies).
El texto recoge 10 principios básicos para el tratamiento de datos en educación:
Debe garantizarse el respeto a los derechos fundamentales, especialmente de los menores, atendiendo a su interés superior. También debe definirse claramente la responsabilidad del tratamiento entre administraciones y centros.
El tratamiento de datos debe ser lícito y limitado a fines educativos (art. 6.1.e RGPD), respetando principios como minimización y limitación temporal (art. 5 RGPD), evitando usos ajenos a la educación.
Antes de implantar la plataforma, debe realizarse una evaluación de impacto (art. 35 RGPD) con participación del delegado de protección de datos, que deberá revisarse ante cambios relevantes.
Se debe garantizar la transparencia, proporcionando información clara a alumnado, familias y profesorado (arts. 12-14 RGPD).
El contrato de encargo debe detallar el tratamiento de datos, medidas de seguridad y control sobre subencargados, incluyendo la eliminación de datos al finalizar el servicio.
Asimismo, deben analizarse las transferencias internacionales de datos (Cap. V RGPD) y aplicarse medidas de protección desde el diseño y por defecto (art. 25 RGPD).
Finalmente, se deben garantizar la seguridad de la información (art. 32 RGPD) y el ejercicio de derechos como acceso, rectificación o supresión (art. 15 RGPD).
