Lo que las escuelas deben saber sobre el RGPD, la PDPA y el cumplimiento de la normativa sobre datos transfronterizos.

Una descripción general en lenguaje sencillo de las normas de privacidad de datos más relevantes para las escuelas internacionales y lo que significan en la práctica para los administradores y los responsables de TI.

Los colegios internacionales ocupan una posición compleja en el ámbito de la privacidad de datos. Recopilan y procesan datos personales sensibles sobre estudiantes, familias y personal, y con frecuencia lo hacen en múltiples jurisdicciones. Un colegio con sede en Bangkok puede tener alumnos matriculados de 40 países, utilizar una plataforma en la nube alojada en Irlanda y emplear personal con nacionalidades de una docena de países diferentes. Cada una de estas dimensiones puede tener implicaciones regulatorias.

Este artículo no constituye asesoramiento legal, y los centros educativos siempre deben buscar asesoramiento legal especializado para su situación particular. Lo que sí ofrece es una visión general práctica de las normativas más relevantes y las preguntas que todo administrador escolar y responsable de informática debería plantearse.

El cumplimiento de la normativa de privacidad de datos no es un proyecto puntual. Es una responsabilidad operativa continua que abarca la configuración del sistema, la formación del personal, la gestión de proveedores y las políticas del centro educativo. El punto de partida es comprender qué normativas se aplican a su centro, en lugar de asumir que un único marco normativo lo abarca todo.

Las principales normas y a quiénes se aplican

RGPD - Reglamento General de Protección de Datos (Unión Europea)

El RGPD es la normativa de protección de datos más utilizada a nivel mundial. Se aplica a cualquier organización que procese datos personales de personas en la UE o el Reino Unido, independientemente de su ubicación. Para los colegios internacionales, esto significa que si tienen alumnos o familias residentes en la UE o el Reino Unido, es probable que el RGPD sea aplicable, incluso si el colegio se encuentra en Asia o Oriente Medio.

Los principios clave que deben seguir los centros educativos según el RGPD incluyen: recopilar únicamente los datos necesarios (minimización de datos), conservarlos solo durante el tiempo necesario (limitación del almacenamiento), protegerlos adecuadamente y ser transparentes con las familias sobre su uso. Los padres y los alumnos mayores de cierta edad también tienen derecho a acceder a sus datos, rectificarlos y, en algunos casos, eliminarlos.

PDPA - Ley de Protección de Datos Personales (Tailandia y variantes en otros países)

La Ley de Protección de Datos Personales (PDPA) de Tailandia, que entró en vigor en 2022, se aplica a cualquier organización que procese datos personales de personas en Tailandia. Los centros educativos que operan en Tailandia deben cumplirla, independientemente de si sus sistemas están alojados localmente o en el extranjero. Existe legislación similar en muchos otros países de Asia y Oriente Medio con diferentes nombres, como la PDPA de Singapur, la PDPA de Malasia, entre otras. Los centros educativos deben identificar qué legislación nacional se aplica a su jurisdicción.

FERPA (Estados Unidos)

La ley FERPA se aplica a las instituciones educativas que reciben financiación federal estadounidense. Para la mayoría de las escuelas internacionales, la ley FERPA no se aplica directamente, pero las escuelas que siguen un currículo estadounidense o que atienden a una población estadounidense significativa pueden enfrentarse a familias que esperan protecciones similares a las de la ley FERPA y las plantean en conversaciones sobre los derechos de acceso a los datos.

Otros marcos de referencia a tener en cuenta

Las escuelas acreditadas por organismos como CIS o WASC también pueden estar sujetas a requisitos de gobernanza de datos como parte de sus estándares de acreditación. Si bien no se trata de regulaciones legales, pueden tener un peso operativo significativo. Las escuelas en Oriente Medio pueden estar sujetas a requisitos nacionales de localización de datos que afectan el lugar donde se pueden almacenar y procesar los datos.

Preguntas prácticas sobre cumplimiento normativo que toda escuela debería responder

Pregunta	Por qué es importante
¿Qué normativa de protección de datos se aplica a nuestra escuela?	No puedes cumplir con las regulaciones que no has identificado; comienza aquí.
¿Dónde se almacenan y procesan los datos de nuestros estudiantes?	Los requisitos de localización de datos en algunos países restringen las transferencias transfronterizas de datos.
¿Tenemos una base legal para recopilar cada tipo de datos que poseemos?	La mayoría de los marcos normativos requieren una base legal definida (consentimiento, contrato, interés legítimo) para el tratamiento de datos personales.
¿Nuestros proveedores externos, incluido Faria , procesan los datos conforme a los acuerdos adecuados?	Los centros educativos siguen siendo responsables de los datos procesados en su nombre por los proveedores; la mayoría de los marcos normativos exigen acuerdos de procesamiento de datos (APD).
¿Podemos responder a una solicitud de acceso a datos de padres o estudiantes dentro del plazo requerido?	El RGPD exige respuestas en un plazo de 30 días; muchos otros marcos normativos tienen requisitos similares.
¿Contamos con un procedimiento documentado para responder ante una violación de datos?	La mayoría de las normativas exigen la notificación de las infracciones a las autoridades y a las personas afectadas dentro de un plazo determinado.

Qué significa esto para la configuración de su plataforma Faria

El uso de plataformas en la nube como ManageBac+ , OpenApply , Atlas y SchoolsBuddy implica que los datos personales de estudiantes y personal son procesados por un proveedor externo. Según la mayoría de las normativas de protección de datos, la escuela sigue siendo la responsable del tratamiento de los datos, lo que significa que conserva la responsabilidad sobre cómo se utilizan, incluso cuando los sistemas de Faria los procesan.

Pasos prácticos a seguir en relación con sus plataformas Faria :

Confirma que existe un Acuerdo de Procesamiento de Datos (APD) con Faria ; este es un requisito estándar según el RGPD y muchos otros marcos regulatorios.
Verifique dónde se alojan los datos : Faria puede confirmar la ubicación del procesamiento y almacenamiento de datos para su región; esto es importante para las escuelas en países con requisitos de localización de datos.
Limite la recopilación de datos a lo necesario : revise los campos que recopila en OpenApply y ManageBac+ y considere si todos ellos son necesarios para sus fines operativos.
Asegúrese de que su aviso de privacidad para las familias cubra el procesamiento de datos de Faria ; las familias deben ser informadas de que sus datos son procesados por plataformas de terceros como parte de las operaciones de la escuela.

La información sobre seguridad y protección de datos de Faria está disponible en faria.org/secure .

Consejos y consideraciones

Designar un responsable de privacidad : algunos marcos normativos exigen un Delegado de Protección de Datos (DPD) formal; incluso cuando esto no sea un requisito legal, contar con un responsable interno designado mejora la rendición de cuentas y los tiempos de respuesta.
Mantener un registro de las actividades de procesamiento (un simple registro de qué datos recopila, por qué, dónde se almacenan y durante cuánto tiempo los conserva) es una herramienta fundamental de cumplimiento y es un requisito del RGPD para la mayoría de las organizaciones.
Capacitar al personal sobre sus obligaciones en materia de manejo de datos : los incumplimientos suelen deberse a que empleados bienintencionados comparten o acceden a datos sin comprender las normas; la formación anual de sensibilización es un requisito mínimo.
Revise sus avisos de privacidad anualmente : a medida que sus sistemas y prácticas de datos evolucionan, su documentación de privacidad también debería hacerlo.

En resumen

Los colegios internacionales suelen operar bajo múltiples marcos de protección de datos simultáneamente; identifique cuáles se aplican a su colegio antes de diseñar su estrategia de cumplimiento.
El centro educativo sigue siendo el responsable del tratamiento de datos incluso cuando se utilizan plataformas de terceros como ManageBac+ u OpenApply ; asegúrese de que existan los acuerdos adecuados con todos los proveedores.
El cumplimiento práctico de la normativa comienza por saber qué datos se poseen, por qué se poseen, dónde se almacenan y quién puede acceder a ellos.
La formación anual del personal y los avisos de privacidad actualizados son la base para el cumplimiento operativo.

Este artículo ofrece únicamente orientación general y no constituye asesoramiento legal. Las escuelas deben consultar con un abogado especializado para obtener asesoramiento específico para su jurisdicción y circunstancias. Para obtener información sobre cómo Faria gestiona la seguridad y la privacidad de los datos, visite faria.org/secure .