| Informe | 2016-0194 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Informe 2016-0194)
Contexto y consulta
El informe aborda la cesión de datos personales de alumnos y sus padres (tutores) por parte de centros educativos franquiciados a la entidad franquiciadora. El objetivo de la cesión incluye fines como el método de enseñanza, envío de comunicaciones electrónicas o participación en estudios de mercado. El consultante cuestiona si esta práctica cumple con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD).
Cuestiones clave analizadas
Naturaleza de la franquicia y responsabilidad de los datos:
La AEPD recuerda que, en un contrato de franquicia, cada parte (franquiciador y franquiciado) actúa de forma independiente, con ficheros diferenciados y responsabilidades separadas. La cesión de datos entre ambas entidades se considera una transferencia de datos (artículo 3.i LOPD), no un simple tratamiento compartido.
El franquiciador y los franquiciados son responsables independientes del cumplimiento de la LOPD. La figura de «responsable del tratamiento» no exime de la obligación de obtener consentimiento para la cesión.
Requisitos para la cesión de datos (Artículo 11 LOPD):
La comunicación de datos entre franquiciado y franquiciador requiere:
Consentimiento libre, específico, inequívoco e informado de los interesados (alumnos y padres/tutores), conforme al artículo 3.h LOPD.
Exclusión de cláusulas genéricas: El documento de matrícula presentado por el consultante no cumple con los requisitos, pues:
No permite oponerse explícitamente a usos distintos a la enseñanza (ej. envío de comunicaciones o estudios de mercado).
Las casillas premarcadas o cláusulas ambiguas (ej. «datos pueden aparecer en informes educativos») no garantizan un consentimiento válido.
La AEPD subraya que el interesado debe poder rechazar la cesión claramente, especialmente para finalidades no esenciales (artículo 15 del Reglamento de la LOPD).
Excepciones aplicables:
El artículo 11.2 LOPD enumera excepciones al consentimiento (ej. datos públicos o intereses públicos), pero ninguna aplica en este caso.
Tratamiento de imágenes y otros usos:
Solo se considera consentimiento válido para el tratamiento de imágenes si existe opción expresa de aceptación o rechazo (ej. casillas no premarcadas).
La utilización de datos para «fines propios del centro» es demasiado vaga y no cumple con el requisito de finalidad explícita.
Extinción del contrato de franquicia (Artículo 19 Reglamento LOPD):
En caso de terminación del contrato, la cesión de datos por parte del franquiciado al franquiciador solo estaría legitimada si este último asume la relación con los clientes (ej. por fusión, escisión o transmisión de negocio).
La AEPD aclara que el franquiciador no puede anticipar la cesión de todos los datos de alumnos de los franquiciados «por si acaso» en el futuro.
Conclusión
La práctica de ceder datos de alumnos y padres a la franquiciadora no cumple con la LOPD a menos que:
Se obtenga consentimiento previo, específico e informado para cada finalidad distinta a la enseñanza (ej. marketing).
Se permita denegar la cesión de forma clara (ej. casillas no premarcadas).
La información facilitada sea expresa, precisa e inequívoca, excluyendo cláusulas ambiguas.
En casos de extinción del contrato, la cesión solo sería válida si el franquiciador asume directamente la relación con el cliente.
Recomendación final:
Los centros franquiciados deben revisar sus procedimientos de consentimiento y garantizar que los interesados puedan ejercer sus derechos (acceso, rectificación, cancelación y oposición) conforme a la LOPD. La AEPD advierte que cualquier uso de datos sin cumplir estos requisitos constituye una infracción sujeta a sanción.