La videovigilancia en los centros educativos y el RGPD es el conjunto de normas jurídicas, organizativas y técnicas relativas a la grabación de imágenes dentro de un centro escolar y al tratamiento posterior de dichas grabaciones conforme a la normativa de protección de datos personales. En la práctica, se trata de determinar cuándo un colegio o instituto puede utilizar cámaras, con qué finalidad, durante cuánto tiempo puede conservar las grabaciones, quién puede acceder a ellas y cómo reducir el riesgo de identificar en exceso a las personas que aparecen en el vídeo.
En el ordenamiento jurídico polaco, la base principal para el uso de la videovigilancia en las escuelas es el artículo 108a de la Ley de 14 de diciembre de 2016 sobre el Derecho educativo. Esta disposición define la finalidad admisible de la videovigilancia, que es garantizar la seguridad de los alumnos y del personal, así como la protección de los bienes. Paralelamente, también resultan aplicables las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), en particular los principios de licitud, minimización de datos, limitación de la finalidad, integridad y confidencialidad, así como responsabilidad proactiva.
En el contexto de la anonimización de fotos y vídeos, este concepto también implica la obligación de preparar el material de forma que su uso posterior, por ejemplo para analizar un incidente, entregarlo a una entidad externa, formar al personal o publicar un fragmento, no provoque una divulgación injustificada de la imagen de alumnos, docentes y terceros. En este tipo de uso, la anonimización suele consistir en difuminar los rostros y, cuando sea necesario, también las matrículas visibles en accesos, aparcamientos y vías de entrada.
Base jurídica de la videovigilancia en los centros educativos
Un centro educativo no puede implantar un sistema de videovigilancia únicamente porque sea técnicamente fácil. Debe acreditar una base jurídica, una finalidad legítima y concreta, así como la proporcionalidad de la medida. En el caso de los colegios e institutos, este marco está regulado con más detalle que en muchos otros sectores.
Las principales fuentes jurídicas y regulatorias son:
- Ley de 14 de diciembre de 2016 sobre el Derecho educativo, artículo 108a, que regula las normas de uso de la videovigilancia en escuelas y centros,
- RGPD - Reglamento (UE) 2016/679, aplicable desde el 25 de mayo de 2018,
- Ley de 10 de mayo de 2018 sobre protección de datos personales,
- Directrices 3/2019 del CEPD sobre el tratamiento de datos personales mediante dispositivos de vídeo, adoptadas el 29 de enero de 2020,
- criterios y posiciones de la autoridad polaca de protección de datos sobre videovigilancia en centros educativos y sobre el deber de información del responsable del tratamiento.
Del artículo 108a de la Ley de Derecho educativo se desprende que la videovigilancia puede abarcar el recinto escolar y la zona de alrededor, siempre que sea necesario para alcanzar las finalidades legales. La norma también introduce limitaciones en cuanto a la ubicación. Como regla general, las cámaras no deben cubrir espacios en los que la vulneración de la dignidad y de otros derechos de la personalidad pueda ser especialmente intensa, salvo en los supuestos excepcionales previstos por la ley y siempre que se cumplan garantías adicionales.
Obligaciones del director del centro como responsable del tratamiento
En la práctica, el director del centro responde de la implantación legal de la videovigilancia como persona que dirige la unidad, mientras que el responsable del tratamiento es, por regla general, la propia escuela o centro como entidad organizativa. No basta con comprar cámaras. Es necesario documentar todo el proceso de decisión y las reglas de acceso a las grabaciones.
Entre las obligaciones clave del director figuran:
- definir la finalidad de la videovigilancia y demostrar la necesidad de su uso,
- determinar las zonas cubiertas por las cámaras de acuerdo con el principio de minimización,
- establecer el plazo de conservación de las grabaciones, que en principio no debe superar los 3 meses, salvo que la grabación constituya prueba en un procedimiento o que el centro tenga conocimiento de que puede llegar a constituirla, de conformidad con el artículo 108a, apartado 4, de la Ley de Derecho educativo,
- implantar las medidas técnicas y organizativas exigidas por los artículos 24, 25 y 32 del RGPD,
- garantizar el cumplimiento del deber de información frente a alumnos, padres, empleados y demás personas que accedan al recinto escolar,
- regular las normas de cesión de grabaciones, copia del material y documentación de las operaciones,
- evaluar los riesgos y, en los casos de alto riesgo, realizar o valorar la realización de una EIPD, es decir, una evaluación de impacto relativa a la protección de datos en virtud del artículo 35 del RGPD.
Si el centro educativo recurre a un proveedor externo para el mantenimiento del sistema CCTV o para el tratamiento del material de vídeo, también debe regularse la relación de encargo del tratamiento conforme al artículo 28 del RGPD.
Información a alumnos y padres sobre la videovigilancia
La videovigilancia en un centro escolar no puede ser oculta. Las personas interesadas deben saber que su imagen está siendo grabada, quién es responsable del tratamiento de los datos y con qué finalidad funciona el sistema. En el entorno educativo, el deber de información tiene especial relevancia, ya que también afecta a menores de edad.
La información debe facilitarse por capas. Esto significa que el centro debe utilizar tanto señalización en los accesos y en las zonas videovigiladas como una cláusula informativa más completa, accesible para padres, alumnos y empleados. En la práctica, esto incluye:
- señalización clara de las zonas sujetas a videovigilancia,
- identificación del responsable del tratamiento y sus datos de contacto,
- descripción de la finalidad y de la base jurídica del tratamiento,
- plazo de conservación de las grabaciones,
- información sobre los destinatarios de los datos, si los hubiera,
- descripción de los derechos de los interesados, teniendo en cuenta las limitaciones derivadas de la propia naturaleza de la videovigilancia.
En el centro escolar, la información a alumnos, empleados y a sus padres o representantes legales debe proporcionarse a más tardar 14 días antes de la puesta en marcha del sistema de videovigilancia. Si el sistema ya está en funcionamiento, la escuela debe garantizar un cumplimiento permanente y visible del deber de información. En relación con los empleados, también deben tenerse en cuenta la normativa laboral y las normas internas de la entidad.
Anonimización de grabaciones e imágenes de la videovigilancia escolar
No todo uso de una grabación de videovigilancia requiere anonimización. Si el material es revisado internamente por personas autorizadas en relación con un incidente de seguridad, el centro suele trabajar con el archivo original. La anonimización cobra importancia cuando el material va a circular más allá de la finalidad inicial de asegurar el incidente o cuando es necesario limitar el alcance de los datos revelados.
En la práctica escolar, la anonimización del material de vídeo suele abarcar los rostros de alumnos, docentes, padres y terceros. Si la cámara cubre la zona de acceso de vehículos o el aparcamiento, también puede ser razonable difuminar las matrículas. En los países de Europa occidental, la exigencia de limitar así la identificabilidad suele interpretarse de manera estricta. En Polonia, la cuestión de las matrículas sigue dependiendo del contexto. Por un lado, la autoridad de protección de datos, el CEPD y la jurisprudencia del TJUE tienden a un enfoque amplio, es decir, a considerar el número de matrícula como información que permite la identificación cuando existe acceso a datos adicionales. Por otro lado, parte de la jurisprudencia de los tribunales administrativos ha señalado que una matrícula, por sí sola, no siempre constituye un dato personal.
Desde el punto de vista técnico, el difuminado automático de rostros requiere el uso de modelos de detección basados en deep learning. Primero se crea y entrena un modelo de IA con conjuntos de datos adecuadamente preparados. Después, el modelo se utiliza para localizar rostros en los fotogramas sucesivos de la grabación, seguir los objetos y aplicar una máscara de desenfoque u ocultación. El mismo mecanismo, con un modelo de detección distinto, se utiliza para las matrículas.
Una limitación práctica importante es que Gallio PRO detecta y difumina automáticamente rostros y matrículas, pero no detecta de forma automática logotipos de empresas, tatuajes, acreditaciones nominales, documentos ni contenidos visibles en pantallas de monitores. Estos elementos pueden ocultarse manualmente en el editor. El software no anonimiza siluetas completas ni realiza anonimización en tiempo real ni anonimización de flujo de vídeo.
Parámetros clave y riesgos en el tratamiento de vídeo
La evaluación de la conformidad de un sistema de videovigilancia con el RGPD debe abarcar no solo cuestiones formales, sino también los parámetros técnicos del sistema y del proceso de anonimización. Son estos factores los que determinan si el centro educativo reduce realmente el riesgo de identificación excesiva.
Parámetro | Importancia práctica | Riesgo en caso de baja calidad
|
|---|---|---|
Conservación de las grabaciones | Normalmente hasta 3 meses, salvo que el material constituya una prueba | Conservación excesiva de datos |
Precisión en la detección de rostros | Influye en la eficacia del difuminado de terceros | Omisión de rostros y revelación de la imagen |
Falsos positivos | Difuminado de objetos que no son un rostro ni una matrícula | Interferencia excesiva en la legibilidad del material |
Control de acceso | Limita el número de personas que visualizan las grabaciones | Divulgación no autorizada de datos |
Traza de auditoría de operaciones | Muestra quién utilizó el material y cuándo | Falta de responsabilidad proactiva del responsable |
En los sistemas de anonimización suelen utilizarse métricas como precision, recall e intersection over union para la detección de objetos, pero sus valores aceptables dependen de la calidad de la grabación original, del ángulo de la cámara, de la iluminación, de la compresión y del movimiento. Por ello, la evaluación de la eficacia debe realizarse con material parecido al entorno real del centro escolar, y no únicamente sobre datos de prueba del fabricante.
Caso práctico: cuándo debe un centro educativo anonimizar una grabación
Un caso típico es el de un incidente de violencia entre alumnos en un pasillo. El centro asegura las grabaciones de varias cámaras, las revisa internamente y determina cómo se produjo el hecho. En esta fase, el acceso debe limitarse exclusivamente a personas autorizadas. Si posteriormente el material va a entregarse a una entidad externa para un análisis técnico, utilizarse en la formación del personal o mostrarse fuera del ámbito estrictamente necesario, debe limitarse la identificabilidad de las personas no relacionadas con el caso.
En este escenario, un proceso correcto incluye:
- asegurar el archivo original como material fuente,
- crear una copia de trabajo para la anonimización,
- difuminar automáticamente los rostros y, en su caso, las matrículas,
- realizar una verificación manual para comprobar que no se ha omitido ningún identificador,
- facilitar únicamente la versión anonimizada, si la finalidad no exige la plena identificación de las personas.
Este modelo refuerza el principio de minimización de datos del artículo 5, apartado 1, letra c, del RGPD y el principio de privacidad desde el diseño del artículo 25 del RGPD.
Referencias normativas e interpretativas
En el ámbito de la videovigilancia escolar, conviene remitirse a las fuentes primarias, ya que la práctica no siempre es uniforme. Esto afecta especialmente al alcance de las cámaras, a los plazos de conservación y al tratamiento del material con fines secundarios.
- Reglamento (UE) 2016/679, de 27 de abril de 2016 - RGPD,
- Ley de 14 de diciembre de 2016 sobre el Derecho educativo, con sus modificaciones posteriores, artículo 108a,
- CEPD, Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de vídeo, versión final de 29 de enero de 2020,
- criterios de la autoridad polaca de protección de datos sobre videovigilancia en centros educativos y deber de información,
- jurisprudencia del TJUE relativa a la interpretación amplia del concepto de dato personal y de la identificabilidad mediante información adicional,
- jurisprudencia de los tribunales administrativos que en algunos casos ha indicado que una matrícula, por sí sola, no tiene por qué constituir un dato personal.
En caso de conflicto entre interpretaciones, desde la perspectiva del compliance resulta más seguro adoptar la opción más protectora, especialmente cuando la grabación vaya a compartirse fuera del centro educativo.