RGPD para escuelas de música online: lo que deberías saber si diriges una escuela de música online

Por qué una escuela de música tiene preguntas distintas a las de una persona que enseña sola

En el caso individual, la enseñanza y la organización están en las mismas manos. Eso facilita la protección de datos, porque hay un solo lugar y una sola persona con la visión general.

En una escuela de música, el mismo trabajo se reparte entre varias personas y varios sistemas.

Así surgen preguntas nuevas. No porque de repente se apliquen otras leyes, sino porque la responsabilidad se comparte.

Un ejemplo: una persona docente anota una observación sobre la práctica de un alumno. ¿Puede verla la siguiente persona docente si el alumno cambia? ¿Y la administración?

Estas preguntas no son complicadas, pero necesitan una respuesta antes de que aparezcan por primera vez.

Para quien enseña solo, la situación es más clara. Se explica en detalle en RGPD en las clases de música online.

¿Quién es realmente responsable?

La pregunta más importante primero. El responsable según el RGPD suele ser la escuela de música, es decir, la organización que ofrece las clases y firma los contratos.

Eso también se aplica cuando las clases las imparten docentes autónomos, siempre que la escuela fije las condiciones marco.

El personal docente empleado trata los datos siguiendo instrucciones. No es responsable por sí mismo, sino que actúa para la escuela.

Con docentes autónomos hay que mirar más de cerca. Según cómo se configure, pueden ser responsables propios, responsables conjuntos o encargados del tratamiento.

Eso no significa que tengas que resolverlo jurídicamente. Significa que conviene dejar el rol por escrito una vez, para que en caso de duda quede claro quién es competente.

Una matriz de roles sencilla ayuda

• La escuela es el responsable: define los fines y responde a los derechos de las personas.
• El personal docente empleado trata los datos siguiendo instrucciones.
• Docentes autónomos: aclarar el rol y regularlo por contrato.
• La plataforma es encargada del tratamiento con un contrato según el art. 28 del RGPD.

Cuando estos roles están claros, muchas preguntas posteriores se responden solas.

Qué datos se reúnen en una escuela de música

En una escuela de música se reúnen más datos que en el caso individual, y vienen de más direcciones.

Normalmente intervienen estas áreas:

• Administración del alumnado con datos básicos, contratos y pagos
• Clases con citas, contenidos, objetivos y progreso
• Comunicación de chats, correos y consultas
• Grabaciones de audio y vídeo
• Datos de personal del profesorado
• Web y registro

Tres grupos merecen especial atención: los datos de menores, los datos del profesorado y las notas relacionadas con la salud según el art. 9 del RGPD.

A eso se suma el punto que en la práctica constituye el verdadero riesgo: los mismos datos suelen estar en varios lugares a la vez.

En el programa de administración, en un calendario compartido y en un chat hay entonces tres versiones ligeramente distintas. No porque alguien sea descuidado, sino porque los sistemas no se hablan entre sí.

Es precisamente esa dispersión la que una escuela de música debería ordenar primero.

Obligaciones que llegan con el tamaño

Algunas obligaciones que apenas son relevantes para una persona se vuelven concretas para una escuela.

Registro de actividades de tratamiento

Según el art. 30 del RGPD, todo responsable debe llevar un registro. La excepción para organizaciones pequeñas rara vez se aplica en la práctica, porque los datos se tratan de forma regular y no solo ocasional.

El registro es, en esencia, una tabla: finalidad, tipos de datos, personas afectadas, destinatarios, plazos de eliminación y medidas de protección. Suena a burocracia, pero es la base de casi todo lo demás.

Medidas técnicas y organizativas

El art. 32 del RGPD exige medidas de protección adecuadas. En la práctica significa derechos de acceso claros, cifrado, copias de seguridad periódicas y contraseñas seguras.

Delegado de protección de datos

Un delegado de protección de datos es necesario según el § 38 de la ley alemana de protección de datos cuando al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos. En muchas escuelas de música se alcanza antes de lo que se cree al sumar profesorado y administración.

Plan de eliminación

Un plan de eliminación define cuándo se eliminan qué datos. Los datos de facturación se conservan por plazos legales, los de clase no.

Estos cuatro puntos suenan a mucho trabajo. Pero se establecen una vez y después se mantienen, y cada año resulta más fácil.

Implicar al profesorado

La mejor documentación sirve de poco si en el día a día se actúa de otra manera.

Por eso, una escuela de música bien organizada también se asegura de que el profesorado sepa qué puede hacer y qué no.

• Una obligación de confidencialidad
• Una breve formación sobre el tratamiento de datos
• Derechos de acceso claros por rol
• Reglas para el uso de dispositivos propios

Suena a esfuerzo, pero normalmente es una conversación corta más una firma.

Cambios de profesorado

El caso de que se vaya una persona docente o de que un alumno cambie de docente es especialmente importante.

¿Qué pasa con las notas, las grabaciones y los objetivos? ¿Quién puede verlos y qué debería quedarse con el alumno?

En un sistema con roles claros es cuestión de minutos. Sin un sistema así, suele ser cuestión de preguntar, recordar y suponer.

El informe de experiencia 3 meses de MUSIRIS con 20 alumnos muestra cuánto facilitan estas transiciones el día a día.

Configurar bien el encargo del tratamiento

Una escuela de música trabaja casi siempre con proveedores externos: software de administración, herramientas de vídeo, nube, contabilidad.

Cada uno de estos proveedores necesita un contrato de encargado del tratamiento según el art. 28 del RGPD. Si falta, la responsabilidad sigue siendo de la escuela.

Los docentes autónomos también pueden ser encargados

Cuando un docente autónomo trata datos por encargo de la escuela, conviene regularlo por contrato, incluyendo confidencialidad, instrucciones y eliminación.

No es desconfianza, sino un reparto claro del trabajo que protege a ambas partes.

En qué fijarte en los proveedores

• ¿Dónde se guardan los datos? Una ubicación en la UE facilita muchas cosas.
• ¿Existe un contrato de encargado y es fácil de firmar?
• ¿Hay una función de eliminación clara?
• ¿Se pueden exportar los datos?

MUSIRIS cumple estos puntos, aloja en los Países Bajos y ofrece exportación y eliminación. Los detalles están en la política de privacidad de MUSIRIS.

Encontrarás una visión general de las funciones en comparativa de funciones.

Organizar de forma central las grabaciones, los menores y los consentimientos

En una escuela con mucho alumnado, el consentimiento para las grabaciones es una de las mayores tareas organizativas.

Cuando cada docente lo hace de forma distinta, pronto surge un mosaico de promesas verbales y mensajes sueltos.

Central en lugar de de pasada

• Un formulario uniforme para todo el profesorado
• Un fin claro, por ejemplo feedback y seguimiento del progreso
• Un lugar de almacenamiento definido
• Un plazo fijo de eliminación
• La firma de los tutores legales en el caso de menores

En imágenes y vídeo se añade la ley alemana de derechos de imagen, en concreto los §§ 22 y 23. En la práctica, lo más importante es que el consentimiento quede documentado y pueda retirarse.

Un lugar central para las grabaciones facilita después tanto la eliminación como una solicitud de acceso. En sentido estricto, eso ahorra a la escuela más tiempo del que cuesta.

Derechos de las personas y violaciones de seguridad con un proceso claro

Las solicitudes de acceso son raras, pero cuando llegan suelen traer plazo.

Por eso una escuela necesita un procedimiento sencillo: ¿quién recibe la solicitud, quién reúne los datos y quién responde?

En el caso individual esto funciona en la cabeza. En una escuela sale mal cuando nadie es competente en el momento decisivo.

Violaciones de seguridad

Ante un incidente, como un portátil perdido con datos del alumnado, puede que haya que notificar en un plazo de 72 horas, según el art. 33 del RGPD.

Un procedimiento breve ayuda: documentar el incidente, valorar el riesgo, registrar la decisión e informar a las personas afectadas si es necesario.

Escribir esta rutina una vez es la mejor protección contra las prisas en un caso real.

Un plan para la escuela de música

No tienes que cambiarlo todo a la vez. Este orden ha demostrado funcionar.

• Aclarar los roles y dejarlos por escrito.
• Hacer inventario de los datos: ¿qué está dónde?
• Crear el registro de actividades de tratamiento.
• Firmar contratos de encargado con todos los proveedores y docentes autónomos.
• Organizar de forma central los consentimientos para grabaciones.
• Crear un plan de eliminación y revisarlo cada año.
• Definir un procedimiento para derechos y violaciones de seguridad.

Cuando estos siete puntos están en orden, la escuela de música está bien asentada.

En sentido estricto, esto es menos un proyecto que una costumbre. Y las costumbres se mantienen mejor cuando las herramientas encajan.

Cómo MUSIRIS apoya a las escuelas de música

MUSIRIS está construido para que muchos de los puntos organizativos no recaigan sobre ti.

Los datos están en un solo lugar y se alojan en la UE, en concreto en los Países Bajos.

Hay roles separados para profesorado y administración, para que los accesos estén claros y no todo el mundo lo vea todo.

Existen exportación de datos y función de eliminación, lo que facilita mucho las solicitudes de acceso y la supresión.

Si quieres comprobarlo para tu escuela, puedes ponerte en contacto o ver los precios y tarifas.

Para quien enseña solo, el artículo RGPD en las clases de música online es el punto de partida adecuado.

Preguntas frecuentes

¿Desde cuándo necesitamos un delegado de protección de datos?

En cuanto al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos, según el § 38 de la ley alemana de protección de datos. Suma administración y profesorado, y a menudo se alcanza antes de lo que se cree.

¿Quién es responsable cuando el profesorado es autónomo?

Por regla general, la escuela sigue siendo el responsable si fija las condiciones marco. El rol exacto debería quedar por escrito.

¿Necesitamos un registro de actividades de tratamiento?

Sí. La excepción para organizaciones pequeñas rara vez se aplica, porque los datos se tratan de forma regular y no solo ocasional.

¿Necesitamos un contrato de encargado con cada proveedor?

Sí, en cuanto un proveedor trate datos personales por vosotros. En proveedores serios es lo estándar.

¿Qué pasa en un cambio de profesorado?

Las notas, los objetivos y las grabaciones se quedan con el alumno. Con roles claros, la nueva persona docente puede acceder a ellos de forma específica.

¿Cómo organizamos de forma central los consentimientos para grabaciones?

Con un formulario uniforme, un lugar de almacenamiento definido y un plazo fijo de eliminación, y con la firma de los tutores en el caso de menores.

Aviso legal

Este artículo ofrece una orientación práctica y no constituye asesoramiento jurídico. En casos especiales conviene consultar el RGPD o pedir consejo a un organismo cualificado.