Com s'aplica el RGPD a les dades de menors a l'escola bressol?

Quina base legal empara el tractament de dades de menors?

El centre, com a responsable del tractament, ha de tenir base legal per a cada finalitat: execució del contracte de prestació del servei per a la gestió acadèmica i econòmica, i consentiment específic per a usos addicionals com la publicació d'imatges.

Qui és responsable i qui és encarregat del tractament?

El centre educatiu (o l'ajuntament titular, en el cas de centres municipals) és normalment el responsable del tractament: decideix per què i com es tracten les dades d'alumnat i famílies. El proveïdor de la plataforma de gestió actua com a encarregat del tractament, sota un contracte (DPA) que fixa les obligacions de seguretat i confidencialitat de l'article 28 del RGPD.

Com es gestiona el consentiment dels drets d’imatge?

Els drets d'imatge de menors necessiten autorització explícita de la família, revisable en qualsevol moment. Una plataforma de gestió ha de poder marcar quins infants tenen drets d'imatge autoritzats i excloure'ls automàticament de qualsevol material compartit si no és el cas.

Com es garanteix que una família només vegi els seus infants?

Tècnicament, això s'implementa amb control d'accés basat en rols (RBAC) i Row Level Security (RLS) a la base de dades: una família només pot consultar els seus propis infants i el material on estan etiquetats amb drets d'imatge autoritzats, sense dependre només de la lògica de la interfície.

Quins drets tenen les famílies i quant es conserven les dades?

Les famílies poden exercir els drets d'accés, rectificació, supressió, oposició, limitació i portabilitat. Les dades es conserven mentre duri la relació amb el centre i, després, durant els terminis legals exigibles (per exemple, obligacions fiscals).

Què passa amb les dades quan un infant deixa el centre?

L'accés actiu de la família es tanca, però algunes dades (com les relacionades amb rebuts o el Model 233) s'han de conservar durant els terminis fiscals exigits per llei encara que l'infant ja no sigui alumne. Passat aquest termini, les dades que ja no tenen base legal per conservar-se s'han de suprimir o anonimitzar.

Un exemple pràctic: revocació de drets d’imatge

Una família revoca l'autorització de drets d'imatge del seu infant a mig curs, després d'haver-la concedit a l'inici. A partir d'aquell moment, la plataforma ha de deixar d'incloure l'infant en qualsevol foto o vídeo compartit a l'agenda diària o al mur de fotografies de l'aula, encara que la resta d'infants del grup hi surtin.

Si el mateix dia s'ha fet una foto grupal, el sistema ha de permetre desar-la sense compartir-la, o retallar-ne l'infant abans de publicar-la. El material ja enviat abans de la revocació no es retira retroactivament tret que la família ho sol·liciti expressament exercint el seu dret de supressió.