AFA Red

Guía para la junta

Protección de datos en la AMPA: socios, fotos y WhatsApp

Vuestra AMPA maneja nombres, teléfonos, correos y cuentas de familias, y datos y fotos de niños y niñas. Eso os convierte en responsables del tratamiento a ojos del Reglamento General de Protección de Datos, con todo lo que implica. No hace falta un abogado para hacerlo bien: hace falta saber quién es quién, pedir solo lo necesario y tener cuidado con tres cosas concretas. Vamos por partes.

Revisado en con las fuentes oficiales que se citan al final.

Quién es quién

Lo primero es tener claro el reparto de papeles. El colegio no es la AMPA, y la AMPA no es la plataforma que usa. Cada uno responde de lo suyo:

  1. Interesados

    Las familias

    Madres, padres, tutores y sus hijos. Los datos son suyos y tienen derechos sobre ellos.

    Confían sus datos a

  2. Responsable del tratamiento

    La AMPA

    Decide qué datos pide y para qué. Informa, guarda la seguridad y atiende los derechos.

    Firma un contrato de encargo con

  3. Encargados del tratamiento

    Sus proveedores

    La plataforma de gestión, la gestoría, la web. Tratan los datos solo por cuenta de la AMPA.

Las familias confían sus datos a la AMPA. La AMPA responde de ellos aunque los guarde en una herramienta de otro, y por eso firma con ese proveedor un contrato de encargo.

Qué datos pedir y por qué

La regla de oro es la minimización: pedid solo lo que necesitáis para lo que vais a hacer. Y para cada cosa, una razón legal:

  • Para ser socio: nombre, contacto, los hijos y su clase, y lo necesario para cobrar la cuota. No hace falta pedir consentimiento: forma parte de ser socio. Lo que sí hace falta es informar, con una cláusula clara en el alta.
  • Para una actividad: lo que esa actividad pida, como un teléfono de emergencia para una excursión. Y solo mientras dure.
  • Datos de salud (alergias, medicación): son una categoría especial. Pedidlos solo cuando hagan falta, con consentimiento explícito, y que los vea solo quien los necesita.
  • Imágenes: siempre con consentimiento expreso, separado del alta y fácil de retirar.

Además, conviene llevar un registro de actividades de tratamiento: un documento sencillo que diga qué datos tenéis, para qué, cuánto tiempo y quién accede.

De que entran a que salen

  1. 1Pedir lo justoSolo lo que vais a usar
  2. 2InformarCláusula en el alta
  3. 3ConsentirImágenes y salud, aparte
  4. 4Guardar bienNada de hojas sueltas
  5. 5Dar accesoSolo a quien lo necesita
  6. 6ContratoCon cada proveedor
  7. 7Atender derechosEn un mes
  8. 8BorrarAl darse de baja
El recorrido de los datos de una familia en la AMPA. Cuando se da de baja, guardad solo lo que exijan las cuentas y los impuestos.

«Guardar bien» es donde más falla una AMPA: el Excel con los datos de todas las familias que va de correo en correo, el pendrive que se queda la tesorera del curso pasado o el móvil personal con 300 contactos. Cuando cambie la junta, los datos se quedan en la asociación, no en las personas.

Fotos de menores

Es la duda número uno, y tiene una respuesta bastante clara. Hay que distinguir quién hace la foto y dónde acaba:

  • Una familia que graba la función de Navidad para casa: es uso personal y el RGPD no se aplica. Si la sube a redes con otros niños reconocibles, la responsabilidad es suya.
  • La AMPA que publica fotos en su web o en redes: necesita el consentimiento de las familias de cada niño que se reconozca. Desde los 14 años, del propio menor.
  • Sin consentimiento: fotos de espaldas, de lejos, de las manos haciendo el taller. O pixelad las caras.

WhatsApp y otros canales

El grupo de WhatsApp de la AMPA con 200 familias es un clásico, y también un problema: todo el mundo ve el teléfono de todo el mundo. Comparad antes de elegir:

  • Grupo de WhatsApp

    ¿Ven los datos de otros?
    Sí, todos los teléfonos
    Bueno para
    Una comisión pequeña que se organiza
    Cuidado con
    Añadir a nadie sin preguntar; fotos de niños

  • Lista de difusión o canal

    ¿Ven los datos de otros?
    No
    Bueno para
    Avisos de la junta a todas las familias
    Cuidado con
    Solo llega a quien tiene vuestro número guardado

  • Correo electrónico

    ¿Ven los datos de otros?
    No, si usáis copia oculta
    Bueno para
    Convocatorias y documentos
    Cuidado con
    Poner a 200 familias en «Para»

  • Plataforma de la AMPA

    ¿Ven los datos de otros?
    No
    Bueno para
    Avisos a todas las familias o por clase
    Cuidado con
    Que las familias se den de alta
Ningún canal es ilegal por sí mismo. Lo que importa es quién ve los datos de quién y si cada familia ha aceptado estar ahí.
Redacción de una comunicación: selectores de curso y de estado de la cuota, botones para elegir una o varias clases y el recuento de familias que recibirán el correo.
Un correo solo para las familias de unas clases, en AFA Red: cada una lo recibe sin ver a las demás. Captura tomada sobre datos de ejemplo.

Derechos de las familias y brechas

Cualquier familia puede pedir ver sus datos, corregirlos, borrarlos u oponerse a un uso concreto. Tenéis un mes para responder. No hace falta un formulario especial: basta con que alguien de la junta sepa que, cuando llega una petición así, tiene plazo.

Una brecha es cualquier incidente que expone datos: un correo con todas las direcciones a la vista, un móvil perdido sin bloqueo, una hoja compartida con el enlace público. Si supone un riesgo para las familias, hay que notificarla a la AEPD en 72 horas, y si el riesgo es alto, avisar también a las afectadas. Lo primero, siempre: cortar el problema y apuntar qué ha pasado.

Preguntas frecuentes

¿Puede el colegio darle a la AMPA la lista de alumnos y familias?

No sin el consentimiento de las familias. El centro y la AMPA son responsables distintos, y la AEPD recuerda en su guía para centros educativos que comunicar esos datos a la asociación requiere ese consentimiento. Lo normal es que sea la propia AMPA quien recoja los datos de sus socios al apuntarse.

¿Necesita la AMPA consentimiento para publicar fotos de niños?

Sí. Para publicar imágenes de menores en la web, en redes sociales o en un boletín, la AMPA necesita el consentimiento de sus madres, padres o tutores. Desde los 14 años, el propio menor puede consentir (artículo 7 de la Ley Orgánica 3/2018).

¿Se puede usar un grupo de WhatsApp para la AMPA?

Se puede, pero en un grupo todos ven el teléfono de todos, así que solo debería entrar quien lo ha pedido o aceptado. Para avisos generales es mejor una lista de difusión, un canal, el correo o una aplicación de la asociación, donde las familias no ven los datos de las demás.

¿Necesita la AMPA un delegado de protección de datos?

Por lo general, no. El delegado es obligatorio para quien trata datos a gran escala o de forma sistemática como actividad principal, y una AMPA no suele estar en ese caso. Sí necesita informar a las familias, llevar un registro de lo que hace con sus datos y firmar un contrato con cada proveedor que acceda a ellos.

¿Cuánto tiempo tiene la AMPA para responder a una familia que pide sus datos?

Un mes desde que recibe la solicitud, prorrogable dos meses más si es compleja, avisando a la familia. Lo mismo para rectificar, borrar u oponerse.

Fuentes oficiales

Los criterios de la AEPD evolucionan. Esta guía es orientativa y no sustituye a la normativa ni al asesoramiento legal: para vuestro caso, consultad la documentación de la AEPD y confirmadlo con la federación de AMPAs de vuestra zona.

Más guías para la junta

Ver las 26 guías

El RGPD, resuelto desde el alta. Cláusulas aceptadas por cada familia, consentimientos versionados y contrato de encargo incluido. 3 meses gratis.

Registra tu asociación