Un aula virtual guarda más datos personales de lo que parece: nombre, correo, DNI en algunas matrículas, calificaciones, mensajes en foros, registros de acceso y, si formas a menores, datos de personas con protección reforzada.
Esta guía recoge los puntos que un centro debe tener resueltos. Aviso claro: es información práctica, no asesoramiento jurídico. Para tu caso concreto, valida las decisiones con tu asesor legal o delegado de protección de datos.
1. Quién es quién: responsable y encargado
El responsable del tratamiento es el centro: decide para qué se usan los datos. El encargado del tratamiento es quien los trata por cuenta del centro: el proveedor de alojamiento, el servicio de mantenimiento, el de videoconferencia o el de correo.
Con cada encargado debe haber un contrato de encargado de tratamiento (art. 28 del RGPD). Si alojas Moodle con un tercero, es el primer documento que pedir.
2. Base legal y finalidad
Para la mayoría de datos del aula, la base legal será la ejecución del contrato de formación con el alumno. Para usos adicionales (comunicaciones comerciales, publicar fotos, grabar clases) hará falta consentimiento específico. Cada finalidad se declara por separado.
3. Menores de edad
En España, el consentimiento propio del menor es válido a partir de los 14 años (LOPDGDD). Por debajo de esa edad, el consentimiento corresponde a sus tutores. Si tu centro forma a menores, revisa también qué datos pides, quién los ve y si las grabaciones de clase están justificadas.
4. Minimización: pide solo lo necesario
Moodle permite elegir qué campos de perfil se piden y cuáles son visibles. Haz el ejercicio al revés: parte de lo estrictamente necesario para matricular y evaluar, y añade solo con motivo. Revisa también quién puede ver el listado de participantes de un curso.
5. Herramientas de privacidad que trae Moodle
- Políticas y consentimientos que el usuario debe aceptar al entrar (Administración > Usuarios > Privacidad y políticas).
- Solicitudes de datos: exportación y supresión de los datos de un usuario, para atender derechos de acceso o supresión.
- Retención de datos: reglas para eliminar cursos o usuarios pasado un plazo.
Existen, pero hay que configurarlas. Una instalación recién hecha no tiene tus políticas puestas.
6. Plazos de conservación
Define cuánto tiempo guardas el expediente de un alumno tras acabar el curso, cuánto los registros de acceso y cuánto las grabaciones. Algunos datos tienen obligaciones de conservación por ser fiscales o formativas; otros no deben guardarse "por si acaso".
7. Seguridad: lo mínimo exigible
- HTTPS en todo el aula.
- Actualizaciones de seguridad aplicadas con regularidad.
- Contraseñas robustas y, para administradores y docentes con permisos amplios, autenticación en dos pasos.
- Principio de mínimo privilegio: cada rol ve lo que necesita.
- Copias cifradas y con restauración probada (regla 3-2-1).
8. Terceros e integraciones
Cada integración (videoconferencia, correo masivo, antiplagio, analítica) envía datos a un tercero. Antes de activarla: ¿quién es el proveedor?, ¿dónde se alojan los datos?, ¿hay contrato de encargado? Si no puedes responder, no la actives.
9. Si ocurre una brecha
El RGPD obliga a notificar a la AEPD en un máximo de 72 horas desde que se tiene constancia, cuando la brecha supone riesgo para los derechos de las personas. Eso exige un protocolo antes de que haga falta: quién decide, quién avisa y qué se registra.
Checklist rápida antes de abrir el aula
| Punto | ¿Resuelto? |
|---|---|
| Contrato de encargado con el proveedor de alojamiento | ☐ |
| Política de privacidad y términos visibles en el aula | ☐ |
| Base legal definida por finalidad | ☐ |
| Criterio para menores y consentimiento de tutores | ☐ |
| Plazos de conservación configurados | ☐ |
| Doble factor para administradores | ☐ |
| Copias cifradas y restauración probada | ☐ |
| Protocolo de brechas | ☐ |
La parte técnica: en los proyectos de Keappi configuramos la parte técnica (herramientas de privacidad de Moodle, HTTPS, doble factor y copias). Para la parte jurídica, trabaja con tu asesor. Hablamos de lo técnico.