Grabación de clases online y su relación con la protección de datos personales

Cuando se va a impartir una clase en directo a través de una plataforma de teleformación o de un sistema de aula virtual, generalmente existe la posibilidad de grabar dicha clase. La grabación de una clase puede cumplir distintos objetivos:

• Garantizar la accesibilidad a los contenidos por parte de estudiantes que, por razones personales o de salud, entre otras, no se hayan podido conectar.
• Ofrecer la posibilidad de incorporar dicho contenido como vídeo en otros cursos 100% online.

Dado que las grabaciones de imagen, sonido y texto constituyen un tratamiento de datos personales, todos los implicados (profesorado y estudiantes) deben ser informados sobre el tratamiento de datos que se realiza. A la hora de informar a los usuarios, debemos tener en mente siempre los dos principios básicos del RGPD, a saber:

• El principio de finalidad, dichas grabaciones únicamente podrán ser usadas para el fin que hayamos indicado. Por ejemplo, si como hemos dicho antes, nuestro objetivo es que la grabación esté disponible para que la puedan consultar aquellos alumnos que no hayan asistido a la sesión en directo, entonces la grabación solo podrá usarse en el entorno del curso que nos atañe y no, por ejemplo, para colgarla en YouTube como clase promocional.

• El principio de minimización de datos, según el cual solo deben tratarse los datos necesarios para el fin definido. Se recomienda que los alumnos no activen ni la cámara ni el micrófono, y que sus interacciones se lleven a cabo a través del chat si no desean figurar en la grabación.

¿Cómo y de qué hay que informar cuando se graba una clase?

Antes del inicio de cualquier curso online, el alumno deberá ser informado acerca de las condiciones generales del tratamiento de sus datos en lo que al acceso de la plataforma de teleformación se refiere.

Los modos de informar a las personas interesadas pueden ser muy variados. La mayoría de los centros de formación online escogen el camino fácil, esto es, aprovechan el correo electrónico en el que se envían las credenciales al alumno para incluir en él dicha información:

• O bien indican la dirección de una web específica a través de un enlace.
• O bien adjuntan un documento en PDF.
• O bien redactan toda la información en el propio correo haciéndolo interminable.

Pero, siendo sinceros, ¿de verdad creemos que algún estudiante se va a descargar dicho documento o va a pinchar en el enlace proporcionado?

En aras de la transparencia y de la seguridad, os proponemos informar a los alumnos usando la propia plataforma de teleformación.

Por ejemplo, en la plataforma de e-learning SELF puedes hacer que la primera vez que un alumno acceda a la plataforma se le muestren las condiciones generales de tratamiento de sus datos personales, además de otras condiciones de uso y participación. En estas condiciones puedes incluir lo que necesites: incluso gráficos de resumen, vídeo, y cualquier formato que te ayude a hacerlo de la manera más clara posible:

Si lo tienes activado, mientras un nuevo alumno no lea y acepte dichas condiciones no podrá acceder a la plataforma y, por lo tanto, tampoco a la formación:

Además, la fecha y hora de la aceptación de las condiciones queda registrada en la plataforma. De este modo el alumno puede ir a su perfil y repasar las condiciones siempre que quiera, y los responsables de la gestión del curso y los supervisores pueden saber qué y cuándo lo ha aceptado:

Si en la impartición de cursos online, la grabación de las clases es algo habitual, se recomienda que exista un apartado específico en la información de derechos referente a la grabación de clases.

Si es algo puntual, se recomienda recabar los consentimientos antes del inicio de las sesiones.

Antes de ponernos a recabar consentimientos sin más, preguntémonos si los necesitamos o no:

Si usas un aula virtual y grabas la sesión, generalmente el enlace a la grabación será de acceso público (aunque debas conocerlo y no sea fácil de adivinar). Pero dado que no está protegido el acceso, si un alumno reenvía o comparte el enlace, terceras partes ajenas a la formación podrían tener acceso. En una plataforma, con acceso nominal, esto no supondría un problema, especialmente si la plataforma protege bien los contenidos.

En cualquier caso se recomienda, antes del inicio de la clase, advertir al alumnado que la sesión (imagen, sonido y chat) será grabada, de modo que estos siempre tienen la opción de desactivar su cámara y micrófono y participar a través del chat.

Debemos aconsejar a los alumnos que antes de conectarse a una clase en directo, preparen su entorno, de forma que quede protegida la privacidad de terceros.

¿Se pueden difundir o reutilizar las clases grabadas?

Dependerá de lo bien articulado que esté el consentimiento que hayas recabado. La normativa deja claro que no podemos guardar y tratar datos personales sin un motivo concreto (limitación de la finalidad). Cuando creamos un tratamiento tenemos que determinar su finalidad. Y esto es importante porque después no podremos utilizar los datos para otros fines que no sean compatibles con la finalidad declarada.

Por lo tanto, si hay más de uno, deberemos incluir todos los fines para los que grabamos la clase y, además, los alumnos deberán poder aceptar/ rechazar de forma independiente cada uno de estos fines (consentimiento específico e inequívoco para todas las finalidades) sin que, por el ejemplo, el rechazo de todos ellos le impida el asistir a la sesión.

Algunos ejemplos de fines serían:

• Extractos de la sesión podrán ser usados como material publicitario.
• Extractos de la sesión podrán ser usados como demos del curso.
• Cuando solo se grabe la imagen y la voz del tutor, el contenido podrá utilizarse como material académico en otros cursos.
• Etc.

La definición de las finalidades del tratamiento y sus bases legales ha de ser clara y precisa, así como los datos personales que se recopilan para cada una de esas finalidades.

Para limitar la cantidad de datos personales tratados, se recomienda que el estudiantado permanezca con el micrófono y la cámara apagados e interactúe con el profesorado por medio del chat.

¿Cómo ejercer el derecho de oposición a ser grabado durante una clase online?

Obviamente, estamos obligados a facilitarle a los usuarios el ejercicio de sus derechos. El centro de formación debería disponer de un procedimiento que también facilite el ejercicio de los derechos. En la web de la AEPD encontraremos modelos para que los usuarios puedan ejercerlos. En el caso concreto del derecho de oposición, el formulario se puede descargar desde este enlace.

El derecho de oposición permitirá al estudiante oponerse al tratamiento de sus datos personales. Y el responsable del tratamiento tendrá que dejar de tratarlos. Este derecho es diferente a la posibilidad que tiene el interesado de retirar su consentimiento al tratamiento de datos personales. En este sentido, el RGPD indica que el interesado tiene derecho a retirar su consentimiento en cualquier momento. Esa retirada del consentimiento no afectará a la licitud del tratamiento que estaba fundamentado en el consentimiento previo.

En el caso que nos ocupa sería, el estudiante nos ha dado su consentimiento para grabar la sesión, pero durante la misma el estudiante se ha conectado con su cámara y un tercero, ajeno a la sesión (alguien de su familia, de su trabajo) se ha colado en la grabación. Como consecuencia, el alumno solicita que dejemos de tratar dichos datos.

Obligaciones durante el estado de alarma

La suspensión de plazos administrativos prevista en Real Decreto 463/2020, por el que se declara el estado de alarma, ha llevado a algunos responsables a plantear dudas sobre si estaban obligados o no a notificar las quiebras de seguridad.

Esta situación de emergencia no puede suponer una suspensión del derecho fundamental a la protección de datos personales, es decir, dicha suspensión no afecta a la obligación de notificar las quiebras de seguridad que afecten a datos personales. Se deberán notificar las brechas ante la Autoridad de Control en el plazo de 72 horas.

Tampoco se han suspendido los plazos para dar respuesta al ejercicio de los derechos que el RGPD atribuye a las personas. No obstante, el art. 12.3 RGPD permite prorrogar el plazo de respuesta de un mes por otros dos más, siempre que dicha prórroga se motive, por ejemplo, describiendo cómo afecta a la actividad del responsable la crisis de la COVID-19.