Lista de control RGPD para fotógrafos escolares
Para marcar, proyecto a proyecto.
Antes del día de la foto
- Contrato de encargado del tratamiento firmado con el centro o su titular (art. 28 RGPD)
- Contratos de encargado con la plataforma de galería y el laboratorio disponibles
- Autorizaciones con finalidades separadas entregadas al centro
- Autorizaciones recogidas y documentadas
- Lista de niños sin autorización recibida y compartida con el equipo
- Registro de actividades de tratamiento actualizado con este proyecto (art. 30 RGPD)
- Política de privacidad del propio sitio web actualizada
El día de la foto
- Los niños sin autorización no se fotografían
- Ningún nombre de menor junto a una foto en carteles o mensajes
- Tarjetas de memoria y portátil cifrados o protegidos
- Sin fotos en dispositivos privados de los ayudantes
- Sin transferencia por canales inseguros como mensajería o correo sin cifrar
Después del día de la foto
- Fotos transferidas solo por conexión cifrada
- Galería online accesible solo con código de acceso personal
- Fecha límite de pedido y fecha de borrado comunicadas a las familias
- Fotos eliminadas al final de la temporada (plazo de borrado: [Número de semanas] semanas)
- Borrado documentado, copias de seguridad incluidas
Medidas técnicas
- Cifrado SSL para galería y tienda
- Pagos a través de proveedores certificados, sin datos de tarjeta en sistemas propios
- Copias de seguridad periódicas con control de acceso
- Permisos del equipo limitados a lo necesario
- Verificación en dos pasos en todas las cuentas con acceso a fotos
En caso de emergencia: brecha de datos
- Notificación a la AEPD en un plazo de 72 horas (art. 33 RGPD)
- Informar a los afectados si existe un alto riesgo (art. 34 RGPD)
- Documentar el incidente, la causa y las medidas adoptadas
Notas para España
Autoridad: Agencia Española de Protección de Datos (AEPD). Las brechas se notifican en su sede electrónica.
Los centros educativos tienen delegado de protección de datos (art. 34 LOPDGDD). Firme el contrato de encargado con el titular del centro.
El derecho a la propia imagen (LO 1/1982) se aplica junto con el RGPD.
Plantilla, no asesoramiento jurídico. Revise la lista con su asesor de protección de datos.