RGPD para fotos escolares: lo que los fotógrafos deben tener en cuenta

El tema de la protección de datos y el RGPD genera inseguridad en muchos fotógrafos escolares y de guardería. Los colegios y guarderías exigen, con razón, conceptos sólidos cuando se trata de fotos de niños. ¿Cómo garantizas que tu flujo de trabajo cumple el RGPD?

Los fundamentos legales de la fotografía escolar

Desde la entrada en vigor del RGPD en 2018 rige lo siguiente: las fotos de personas solo pueden tratarse con un consentimiento válido u otra base legal. Como los alumnos son menores, normalmente deben consentir las fotos escolares y de guardería los tutores legales.

La declaración de consentimiento de los padres

Antes incluso de coger la cámara, deberías contar con el consentimiento escrito o digital de los padres. Muchas guarderías y colegios lo recogen al inicio del curso escolar. Es importante que el consentimiento cubra el propósito concreto (p. ej. «Realización de retratos y fotos de clase para su compra en una galería online protegida»).

El contrato de encargo de tratamiento (DPA)

Como fotógrafo, tratas datos personales (p. ej. nombres, clases y fotos) por encargo del colegio o la guardería. A su vez, los sistemas de software de tienda online los tratan por encargo tuyo.

Por lo tanto debes:

• Firmar un contrato de encargo de tratamiento con el colegio o la guardería para cumplir los requisitos legales.
• Firmar un contrato de encargo de tratamiento con tu plataforma de galerías online. Con Pixalo puedes generar y firmar este contrato digitalmente y con facilidad directamente en el panel.

Cómo proteger las galerías de fotos frente a accesos no autorizados

Es absolutamente inaceptable poner fotos de niños en galerías públicas donde cualquiera pueda navegar. Cada niño necesita un acceso individual protegido con contraseña:

• Códigos PIN individuales: los padres reciben una tarjeta con contraseña (PIN). Al iniciar sesión, solo ven las fotos de su propio hijo.
• Fotos de clase y de grupo: deben guardarse en carpetas separadas que solo puedan ver los padres con sesión iniciada de la misma clase.

Plazos de eliminación y minimización de datos

El RGPD establece que los datos deben eliminarse cuando desaparece el propósito del tratamiento. Fija plazos de eliminación concretos (p. ej. 6 meses después del día de la foto). El sistema debería eliminar de los servidores, de forma automática y completa, las listas de alumnos, las direcciones de correo y las fotos subidas una vez transcurrido este plazo.

Conclusión: a salvo con la herramienta adecuada

La protección de datos no tiene por qué ser un obstáculo. Si apuestas por un software conforme al RGPD cuyas fotos y datos de clientes se alojan en servidores alemanes (Fráncfort del Meno), minimizas tu riesgo de responsabilidad y convences a la dirección del centro con un concepto de seguridad claro.