RGPD en las clases de música online: lo que deberías saber si enseñas música online

Por qué la protección de datos está más cerca de lo que parece

La diferencia con la enseñanza presencial está menos en la cantidad de datos que en cómo se reparten.

Antes, el nombre y el teléfono estaban en un fichero o en un cuaderno. Hoy están en un calendario, en un mensajero, en una nube, en un programa de facturación y en una app de práctica.

Cada uno de esos lugares es inofensivo por separado. Juntos forman una imagen difícil de abarcar, y justo ahí empiezan los problemas.

A eso se suman cosas que en la enseñanza presencial no existían: grabaciones de vídeo, mensajes de voz, partituras compartidas en PDF y chats para cambiar horarios.

Hay un punto que se subestima especialmente. Muchos de tus alumnos son menores y para ellos rigen reglas más estrictas que para los adultos.

Quien documenta su práctica también debería saber que incluso llevar un diario de práctica genera datos personales.

Suena a mucho esfuerzo. En la práctica son unas pocas decisiones las que marcan la diferencia.

Qué datos tratas realmente

«Datos personales» suena técnico, pero al principio solo significa información que puede relacionarse con una persona concreta.

En tu día a día son sobre todo estas categorías:

• Datos básicos como nombre, fecha de nacimiento y dirección
• Datos de contacto como teléfono, correo electrónico y nombres de mensajería
• Datos de pago para facturas y cobros
• Datos de clase como citas, contenidos y objetivos
• Datos de práctica y progreso
• Grabaciones de audio o vídeo
• Datos de comunicación de chats y correos

Una parte es discreta. Otra merece más atención.

Las notas relacionadas con la salud entran en las categorías especiales del art. 9 del RGPD. Si anotas que un alumno hace una pausa por una lesión en la mano o que tiene una dificultad de aprendizaje, una nota aparentemente inofensiva puede formar parte de ellas.

Eso no significa que no puedas guardarla. Significa que necesitas una razón clara y un lugar seguro.

El primer paso es siempre una lista sencilla

Anota una vez qué datos guardas y dónde. Esa lista será después la base de todo lo demás, y quizá te cueste veinte minutos.

Si ya estás trabajando en hacer visible la práctica, también merece la pena leer Hacer visible la práctica.

Las bases jurídicas sin jerga legal

El RGPD exige una razón para cada tratamiento, la llamada base jurídica. Suena burocrático, pero en esencia es sencillo.

En la práctica casi siempre necesitas solo tres.

Ejecución de un contrato

Todo lo necesario para impartir las clases se apoya en el art. 6.1.b del RGPD. Incluye nombre, datos de contacto, citas y datos de facturación.

Para estos datos no necesitas un consentimiento aparte, porque el propio contrato es la base.

Consentimiento

Todo lo que se añade voluntariamente requiere un consentimiento según el art. 6.1.a del RGPD. Esto vale sobre todo para las grabaciones y para compartir datos con terceros.

Importante: el consentimiento debe ser libre, referirse a un fin concreto y puede retirarse en cualquier momento.

Interés legítimo

Para algunas cosas no hay contrato ni consentimiento, pero sí un interés comprensible. Un ejemplo típico es responder a una consulta antes de la primera clase.

Aquí debes valorar brevemente si tu interés prevalece sobre los derechos del alumno. Suena más difícil de lo que es cuando el fin es evidente.

Con menores hay un punto extra. El consentimiento lo dan normalmente los tutores legales, y cuanto más pequeño es el niño, más importante es.

Grabaciones y vídeo: el punto más delicado

Las grabaciones son especialmente útiles en la clase de música porque permiten oír el progreso. Jurídicamente, sin embargo, son el punto donde más cosas salen mal.

Una grabación solo es lícita con consentimiento. En imágenes y vídeo se añade la ley alemana de derechos de imagen, en concreto los §§ 22 y 23.

Qué caracteriza a un buen consentimiento

Un consentimiento utilizable responde a cinco preguntas:

• ¿Para qué se hace la grabación?
• ¿Dónde se guarda?
• ¿Cuánto tiempo se conserva?
• ¿Cómo puede retirarse el consentimiento?
• ¿Quién firma en el caso de alumnos menores?

Una sola frase en un chat no basta. No es formalismo, es la diferencia entre una grabación que podrás justificar más tarde y una que no.

Dónde están las grabaciones importa tanto como el consentimiento

Una grabación en un mensajero o en una carpeta en la nube en servidores de EE. UU. es distinta de una grabación en un sistema con una finalidad clara.

En sentido estricto, el consentimiento es solo la mitad de la respuesta. La otra mitad es dónde está realmente el archivo y quién puede acceder a él.

En la práctica ayuda una regla sencilla: las grabaciones se usan solo para el feedback, se eliminan a las cuatro semanas y no se comparten.

Ejemplo de nota breve: «Grabación del 3 de mayo, compases 17–32. Fin: feedback. Eliminación a las cuatro semanas.»

Herramientas y proveedores: en qué fijarte con WhatsApp, Zoom y la nube

La mayoría de las herramientas no están prohibidas, pero no son igual de adecuadas. Tres preguntas ayudan en cada decisión.

• ¿Dónde se guardan los datos?
• ¿Existe un contrato de encargado del tratamiento?
• ¿Se transfieren datos a EE. UU.?

Encargado del tratamiento

En cuanto un proveedor trata datos por ti, necesitas un contrato de encargado del tratamiento según el art. 28 del RGPD. En proveedores serios es estándar y suele poder firmarse online.

Si falta ese contrato, no es motivo de pánico, pero sí un punto para tu lista de tareas.

Transferencias a EE. UU.

Muchos servicios conocidos tienen su sede en EE. UU. Para las transferencias, el Marco de Privacidad de Datos UE-EE. UU. y las cláusulas contractuales tipo vuelven a ofrecer un marco.

La cosa es más fiable cuando los datos están en la UE. MUSIRIS, por ejemplo, aloja en los Países Bajos.

Eso no significa que tengas que sustituir de inmediato cada servicio estadounidense. Significa que deberías saber dónde están tus datos.

Encontrarás los detalles sobre MUSIRIS en la política de privacidad de MUSIRIS.

¿Cuánto tiempo puedo conservar los datos?

El RGPD exige conservar los datos solo el tiempo necesario para el fin. En la práctica hay dos categorías.

• Los datos de facturación y contabilidad están sujetos a plazos legales de conservación, en Alemania normalmente hasta diez años.
• Los datos de clase y de práctica se conservan solo mientras existe la relación de enseñanza y después se eliminan.

Las grabaciones casi siempre entran en la segunda categoría. Rara vez deben conservarse por motivos legales.

Basta con un plan de eliminación sencillo: un plazo por tipo de dato y una revisión al año de lo que puede eliminarse.

Si somos sinceros, esta es la parte que más se olvida. También es la que más orden aporta.

Derechos de las personas y qué pasa cuando algo sale mal

El alumnado y las familias tienen derechos: acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición.

En la práctica, el acceso es el más frecuente. Quien recibe la solicitud debería poder reunir los datos guardados.

Un sistema donde todo está en un solo lugar lo hace mucho más fácil que cinco carpetas y chats distintos.

Cuando se pierden datos

Si se pierde algo, como un móvil con grabaciones, puede que una violación de seguridad deba notificarse en un plazo de 72 horas, según el art. 33 del RGPD.

Suena más dramático de lo que es en el día a día. Lo importante es que documentes el caso y puedas valorar si existe un riesgo para las personas afectadas.

El pánico no es un plan. La calma y un procedimiento breve sí lo son.

Un plan de cinco pasos

No necesitas una documentación perfecta. Cinco pasos bastan para empezar.

• Anota qué datos guardas y dónde.
• Redacta una breve declaración de privacidad para tu web o tu oferta.
• Firma contratos de encargado del tratamiento con tus herramientas.
• Obtén un consentimiento adecuado para las grabaciones, con los tutores en el caso de menores.
• Fija plazos de eliminación y revísalos una vez al año.

Cuando estos cinco puntos están en orden, vas por delante de la mayoría.

En sentido estricto, la protección de datos no es más que orden. Y el orden es algo que se establece una vez y luego se mantiene.

Cómo ayuda MUSIRIS

Muchos de estos puntos son más fáciles de aplicar cuando los datos no están repartidos entre cinco sistemas.

MUSIRIS reúne clase, práctica y comunicación en un solo lugar y aloja los datos en la UE, en concreto en los Países Bajos.

Puedes exportar tus datos si lo deseas y existe una función de eliminación.

Para escuelas de música con varias personas docentes hay roles separados, para que no todo el mundo tenga acceso a todo.

Encontrarás los detalles en la política de privacidad de MUSIRIS y una visión general de precios y tarifas.

Si diriges una escuela de música, también merece la pena el artículo Protección de datos para escuelas de música online, porque allí se describen con más detalle los roles y las obligaciones.

Preguntas frecuentes

¿Necesito un delegado de protección de datos como docente individual?

Normalmente no. Un delegado de protección de datos solo es necesario cuando al menos 20 personas se ocupan de forma permanente del tratamiento automatizado de datos, según el § 38 de la ley alemana de protección de datos. En una sola persona esto prácticamente nunca ocurre.

¿Puedo grabar las clases?

Sí, con el consentimiento de las personas afectadas y, en el caso de menores, de sus tutores legales. Importan el fin, el lugar de almacenamiento y la eliminación.

¿Necesito una declaración de privacidad?

Si tienes una web o enseñas online y tratas datos personales, deberías informar sobre ello. Es el deber de información del art. 13 del RGPD.

¿Y WhatsApp?

WhatsApp está muy extendido para acuerdos rápidos. Un servicio que trate los datos en la UE y ofrezca un contrato de encargado del tratamiento es más respetuoso con la privacidad.

¿Cuánto tiempo puedo conservar los datos del alumnado?

Los datos de clase y de práctica mientras exista la relación de enseñanza. Los datos de facturación están sujetos a plazos legales de conservación y se mantienen más tiempo.

Aviso legal

Este artículo ofrece una orientación práctica y no constituye asesoramiento jurídico. En casos especiales conviene consultar el RGPD o pedir consejo a un organismo cualificado.