| Informe | 2016-0040 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Informe 2016-0040)
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), identificado como 2016-0040, aborda la legalidad del mantenimiento de cuentas en redes sociales o plataformas por parte de centros educativos asociados a una consultante, donde se incluyen datos personales de alumnos —como imágenes—, considerando el marco legal de la Ley Orgánica 15/1999 (LOPD) y su reglamento, así como la sentencia del Tribunal de Justicia de la Unión Europea (C-362/14, Schrems) que invalidó la Decisión 2000/520/CE de «Puerto Seguro» para transferencias de datos a EE.UU.
Aspectos clave del informe
Responsabilidad del tratamiento:
Los centros educativos son responsables del tratamiento de los datos personales publicados en sus cuentas (perfiles corporativos), no así las propias redes sociales. Esta consideración excluye la aplicación de la «excepción doméstica» (artículo 2.2.a LOPD), ya que las cuentas no son personales, sino vinculadas a una entidad.
Legitimación para el tratamiento:
El tratamiento de datos (incluyendo imágenes de menores) requiere consentimiento inequívoco del afectado o sus representantes legales (padres/tutores para menores de 14 años), salvo que exista otra base legal (artículo 6 LOPD y 13 RLOPD).
El consentimiento debe ser informado, incluyendo detalles sobre la naturaleza del tratamiento y las transferencias internacionales (ej.: políticas de privacidad de las redes).
Transferencias internacionales de datos:
La sentencia Schrems invalidó el mecanismo de «Puerto Seguro», eliminando la presunción de adecuación de la protección de datos en EE.UU. para transferencias.
Para transferir datos a EE.UU., los centros deben:
Obtener autorización expresa de la AEPD (artículo 66 RLOPD), aportando garantías adecuadas (ej.: cláusulas contractuales).
O acogerse a una excepción, como el consentimiento informado de los afectados (artículo 34.e LOPD y 66.2.b RLOPD).
El consentimiento previo para publicar datos en redes sociales puede extenderse implícitamente a las transferencias internacionales si los interesados fueron informados detalladamente sobre este aspecto (incluyendo la política de privacidad de las plataformas).
Conclusión:
Si los centros han obtenido el consentimiento informado de alumnos o tutores para publicar datos (incluyendo imágenes) y han informado sobre las transferencias internacionales (ej.: a servidores de redes sociales en EE.UU.), no será necesaria la autorización de la AEPD ni la cancelación de las cuentas.
En caso contrario, los centros deberían evaluar medidas alternativas (ej.: eliminarlas de plataformas estadounidenses) o solicitar autorización para las transferencias.
Recomendaciones clave
Informar claramente a los afectados sobre el alcance de las transferencias (ej.: almacenamiento en servidores fuera de la UE).
Verificar políticas de privacidad de las plataformas utilizadas.
Documentar el consentimiento como prueba de cumplimiento.
El informe subraya la importancia de transparencia y base legal en el tratamiento de datos en entornos digitales, especialmente bajo el nuevo escenario post-Schrems para transferencias a EE.UU.