| Informe | 2016-0194 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0194)
El informe de la Agencia Española de Protección de Datos (AEPD) analiza si es conforme a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), la cesión de datos personales de alumnos y sus padres por parte de centros educativos franquiciados a la entidad franquiciadora.
Contexto y hechos
Un centro de enseñanza franquiciado planea ceder datos personales de alumnos y sus padres a la franquiciadora para fines como la gestión educativa, envío de comunicaciones, estudios de mercado, etc.
La cesión se pretende realizar mediante una hoja de matrícula que no ofrece opción a los padres para oponerse a dicha cesión.
La franquiciadora argumenta que su relación con los franquiciados permite tratar los datos como si fuera un único fichero, sin necesidad de consentimiento.
Cuestiones clave analizadas por la AEPD
Independencia jurídica de franquiciado y franquiciador:
La AEPD recuerda que, según la Ley 7/1996 de Ordenación del Comercio Minorista, franquiciado y franquiciador son entidades con personalidad jurídica distinta.
Cada una debe gestionar sus propios ficheros de datos personales de manera separada.
La comunicación de datos entre ambos constituye una cesión de datos (art. 3.i LOPD) y requiere legitimación.
Requisitos para la cesión de datos (art. 11 LOPD):
La cesión solo es válida si:
Existe consentimiento previo, libre, inequívoco, específico e informado del interesado (alumno o padre/madre).
El afectado debe conocer la finalidad exacta del tratamiento y a quién se ceden sus datos.
No aplica ninguna excepción del art. 11.2 LOPD (como datos públicos o intereses legítimos).
Forma de recabar el consentimiento:
La AEPD señala que el documento de matrícula aportado no cumple con los requisitos:
El consentimiento se recaba de forma automática sin opción de rechazo.
No se especifica con claridad la finalidad de la cesión (ej.: «para fines propios del centro y método de enseñanza» no es suficiente).
Solo se permite oponerse a un tratamiento concreto (imágenes de alumnos), pero no a otros usos.
Distinción entre responsable del fichero y responsable del tratamiento:
La franquiciadora intentó argumentar que ella era «responsable del fichero» y los franquiciados solo «responsables del tratamiento».
La AEPD rechaza esta distinción, ya que cada entidad tiene sus propios ficheros y la cesión seguiría requiriendo consentimiento.
Situación en caso de extinción del contrato de franquicia:
Si un franquiciado deja de operar, la cesión de datos al franquiciador o a otro franquiciado no está automáticamente amparada por el art. 19 del Reglamento de Desarrollo de la LOPD (sucesión en la relación con el cliente), salvo que el franquiciador asuma directamente la relación con el alumno.
Conclusión de la AEPD
La cesión de datos de alumnos y padres a la franquiciadora solo será legal si se obtiene su consentimiento libre, informado y específico, detallando las finalidades exactas (ej.: envío de comunicaciones, estudios de mercado).
El documento de matrícula actual no cumple con estos requisitos, ya que no ofrece una opción clara de rechazo y las cláusulas son demasiado genéricas.
La AEPD recomienda modificar el proceso de recogida de datos para garantizar el cumplimiento de la LOPD, incluyendo casillas desmarcadas por defecto y descripciones precisas de los usos de los datos.
Recomendación final: Para que la cesión sea conforme a la ley, debe implementarse un consentimiento express, detallado y revocable por parte de los afectados, sin coerción ni ambigüedades.