Proteger los datos de los participantes de una extraescolar, una colonia o un campamento significa tres cosas: recoger solo lo necesario, saber quién es responsable de cada dato y tener preparado qué hacer si algo sale mal. En España, el marco es el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Aquí tienes cómo aplicarlo a una actividad real, con formularios, pagos, listas de asistencia y mensajes a las familias.
En resumen
- Recoge solo los datos estrictamente necesarios para la finalidad de la actividad; lo demás sobra y es un riesgo.
- Si basas el tratamiento en el consentimiento, lo prestan los padres o tutores hasta los 13 años incluidos; desde los 14, el menor puede darlo por sí mismo, salvo que la ley exija asistencia.
- Cualquier proveedor que trate datos por tu cuenta, incluida la plataforma de inscripciones, exige un contrato con garantías e instrucciones.
- Ante una brecha con riesgo para las personas, la notificación a la AEPD tiene un máximo de 72 horas; conviene tener el protocolo antes de necesitarlo.
- Fija cuánto tiempo conservas los datos y destrúyelos al terminar, salvo lo que debas guardar por una razón concreta.
Tabla de contenidos
- Qué datos manejas y por qué son sensibles
- Normas que debes conocer
- Minimizar: recoger solo lo necesario
- Menores, familias y consentimiento
- Quién es responsable de los datos y qué firmar con los proveedores
- Medidas prácticas en cada fase
- Qué hacer si hay una brecha de datos
- Derechos de las familias y plazos de conservación
- Nuestra perspectiva
- Cómo te ayuda Vivaky
- Lista de comprobación antes de la próxima temporada
- Preguntas frecuentes
- Fuentes
Qué datos manejas y por qué son sensibles
Una inscripción a un campamento parece un trámite sencillo, pero reúne más información de la que se suele pensar: nombre y edad del menor, datos de contacto de madres, padres o tutores, datos de pago, autorizaciones de imagen y, con frecuencia, información médica básica como alergias o dietas.
Un ejemplo público: el aviso de privacidad de los campamentos de la Universidad de Zaragoza explica que recaba los datos necesarios para gestionar la solicitud y asignar plazas, incluidos datos médicos básicos como alergias y dietas, y cita el RGPD. Es el patrón habitual en cualquier organizador.
Ese conjunto es delicado por dos motivos. Se trata de menores, que merecen una protección reforzada, y se mezclan datos de salud con datos de contacto y de pago. Una hoja de cálculo con todo junto, enviada por correo o compartida por mensajería, es el escenario donde más fácilmente se produce una pérdida o un acceso indebido.
Normas que debes conocer
No necesitas ser jurista, pero sí tener claras dos piezas:
- El RGPD, que fija principios como la limitación de la finalidad, la minimización y la responsabilidad proactiva.
- La LOPDGDD, que adapta el ordenamiento jurídico español al Reglamento (UE) 2016/679 y completa sus disposiciones. Entre otras cosas, mantiene en 14 años la edad desde la que un menor puede consentir.
La Agencia Española de Protección de Datos (AEPD) publica guías pensadas para centros educativos que, aunque no se dirigen a ti si eres una entidad privada o una AMPA, son la mejor referencia práctica sobre cómo interpreta la agencia estas reglas con menores. Si quieres un repaso centrado en tu actividad, tenemos una guía sobre las obligaciones de la LOPDGDD en extraescolares y otra sobre recursos de la AEPD para centros y familias.
Minimizar: recoger solo lo necesario
La medida de seguridad más barata es no tener el dato. La AEPD lo resume así: no se pueden recoger ni tratar más datos personales que los estrictamente necesarios para la finalidad perseguida. En un formulario de inscripción, eso se traduce en preguntas concretas antes de añadir cada campo:
- ¿Lo necesito para prestar la actividad o para cumplir una obligación legal?
- ¿Lo necesito ya en la inscripción o puedo pedirlo más tarde, solo a quien participe?
- ¿Quién lo va a ver dentro de mi equipo?
Algunos ejemplos:
- Alergias e intolerancias: sí, si hay comedor o merienda. Pide el dato que permite actuar (qué alergia y qué hacer), no un historial clínico.
- Fecha de nacimiento: sí, para agrupar por edades y saber quién puede consentir por sí mismo. Si necesitas comprobarla, mira cómo verificar la edad de los participantes.
- Centro escolar y curso: solo si organizas grupos por clase.
- Número de DNI del menor: rara vez es imprescindible.
- Situación familiar, ingresos o datos de otros hijos: solo si hay una ayuda o bonificación que lo exija, y entonces con una finalidad clara.
Si trabajas con productos digitales y quieres entender mejor cómo se aplica la minimización desde el diseño, hay una explicación técnica sobre minimización de datos según el RGPD que ayuda a revisar qué pide cada formulario. Para el caso concreto de los campamentos, tienes una guía de campos que incluir en el formulario de inscripción.
Menores, familias y consentimiento
El tratamiento de datos necesita una base legal. Según la AEPD, en el ámbito educativo puede apoyarse en la relación jurídica derivada de la matrícula, el consentimiento o un interés legítimo que prevalezca sobre los derechos y libertades de los afectados. En una actividad privada, lo más común es la ejecución del contrato de inscripción para lo esencial y el consentimiento para lo accesorio.
Cuando el consentimiento es la base, la regla de edad es clara: los padres o tutores deben prestarlo para los menores de 14 años, y los mayores de esa edad pueden consentir por sí mismos, salvo que la ley exija asistencia.
Un uso distinto exige otro consentimiento
Los datos recogidos para inscribir a un niño no valen para cualquier cosa. La guía de la AEPD indica que, si los datos de matrícula se usan para finalidades ajenas a la función educativa, como comunicarlos a museos o empresas para organizar visitas, hay que recabar el consentimiento tras informar a los interesados. Trasladado a tu actividad: no uses la lista de inscritos para promocionar otro curso o ceder contactos a patrocinadores sin una autorización específica y separada.
Lo mismo ocurre con las fotografías. Marca la autorización de imagen como casilla independiente, no obligatoria para participar, y explica dónde se publicarán. Tienes más detalle en nuestra guía sobre gestión digital del consentimiento de menores.
Quién es responsable de los datos y qué firmar con los proveedores
Cuando intervienen un organizador, un centro y una plataforma, conviene aclarar los papeles. En los centros educativos, el responsable suele ser el centro o la Administración educativa. Si organizas la actividad por tu cuenta, el responsable eres tú. Si la extraescolar se hace en un colegio, hay que dejar por escrito quién decide sobre qué datos.
La regla para proveedores externos es igual de nítida: si uno trata datos por cuenta del responsable, debe formalizarse un contrato con garantías e instrucciones sobre el tratamiento. Al elegir una herramienta de inscripciones, pagos o comunicación, comprueba como mínimo:
- Que ofrece un contrato de encargado del tratamiento y lo firmas antes de cargar datos.
- Dónde se alojan los datos. Si te interesa verificarlo, aquí explicamos cómo comprobar en cinco minutos que los datos están en España.
- Qué perfiles de acceso permite: no todo tu equipo necesita ver las fichas médicas.
- Cómo se exportan y se borran los datos al terminar.
El RGPD también te pide demostrar el cumplimiento del principio de responsabilidad proactiva, que comprende, entre otras obligaciones, el registro de actividades, la evaluación de riesgos y la designación de un delegado de protección de datos cuando corresponda. Para una entidad pequeña, empezar por un registro de actividades sencillo y una evaluación de riesgos honesta ya supone un avance real.
Medidas prácticas en cada fase
La seguridad se decide en gestos cotidianos. Este es un recorrido por el ciclo de una actividad.
Inscripción
Usa un formulario online con acceso cifrado en lugar de formularios en papel o correos con adjuntos. Evita pedir documentos por mensajería instantánea. Informa en el propio formulario de quién es el responsable, para qué se usan los datos, cuánto tiempo se guardan y cómo ejercer los derechos. Si quieres ver cómo se automatiza el proceso sin perder las garantías, mira cómo las AMPAs automatizan inscripciones con RGPD.
Pagos
No guardes datos de tarjeta en hojas de cálculo ni los pidas por correo. Lo recomendable es una pasarela de pago integrada, de modo que el cobro no pase por tus manos. Cuantos menos datos financieros toques, menos tienes que proteger.
Documentación y fichas médicas
Limita quién accede a las fichas. Quien monitoriza un grupo necesita ver las alergias de sus niños, no los datos bancarios de las familias. Si imprimes listas para una excursión, recógelas y destrúyelas después. Nuestra guía de documentación de participantes detalla qué papeles pedir y cuáles no.
Asistencia y comunicación con las familias
Envía información a través de un canal controlado y con listas separadas por actividad, para que nadie vea contactos ajenos. Evita los grupos de mensajería con todas las familias mezcladas si contienen nombres de menores y datos de salud.
Secreto y formación del equipo
Todas las personas que acceden a datos están obligadas a guardar secreto, según el artículo 5 de la LOPDGDD citado por la AEPD. Pon esto por escrito para monitores y voluntarios, y dedica diez minutos antes de cada temporada a explicar qué pueden y qué no pueden hacer con las listas y las fotos.
Qué hacer si hay una brecha de datos
Una brecha de datos personales es un incidente que ocasiona la destrucción, pérdida o alteración de datos personales, o su comunicación o acceso no autorizados. Un portátil robado con listas de inscritos, un correo enviado a las familias con las direcciones visibles o una cuenta de la plataforma compartida con un exmonitor encajan en esa definición.
Plazos y obligaciones
La guía de la AEPD establece que el responsable debe documentar cualquier brecha. Si es probable que entrañe un riesgo para los derechos y libertades, debe notificarla a la autoridad de control sin dilación indebida y, como máximo, en 72 horas. Si el riesgo es alto, también debe comunicarla a las personas afectadas sin dilación indebida.
Si consideras que el riesgo es improbable, no te libras del papeleo: debes documentar internamente el incidente, sus causas, efectos y medidas correctivas.
Un protocolo mínimo de cuatro pasos
- Contener: cambia contraseñas, retira accesos, recupera lo enviado si es posible.
- Valorar: qué datos, de cuántas personas, si hay datos de salud o de menores, y qué daño podría causar.
- Notificar: si hay riesgo, la AEPD ofrece la herramienta ASESORA BRECHA y un formulario electrónico para hacerlo. Si el riesgo es alto, avisa a las familias con un lenguaje claro.
- Documentar y corregir: deja registrado qué pasó y qué cambias para que no se repita.
Antes de que ocurra nada, la guía andaluza recuerda que conviene haber designado a una persona responsable de gestionar la brecha. En una entidad pequeña, basta con un nombre y un teléfono en un papel que el equipo conozca.
Derechos de las familias y plazos de conservación
Las familias y los participantes pueden ejercer los derechos de acceso, rectificación, limitación, oposición y portabilidad. Hay que facilitarlo: un correo de contacto visible y un procedimiento interno para responder.
En cuanto a la conservación, el ejemplo de los campamentos de la Universidad de Zaragoza es ilustrativo: los datos se destruyen al finalizar el año natural del programa, salvo que deban conservarse para alguna eventualidad, y se guardan las fotografías seleccionadas para archivo documental. No es una norma universal, pero sí un buen modelo de criterio: define un plazo, explícalo en tu aviso de privacidad y cúmplelo. Los datos de salud de un niño que ya no participa no tienen por qué seguir en tu archivo.
Nuestra perspectiva
En Vivaky vemos el mismo problema una y otra vez: la mayoría de las organizaciones no sufre por falta de interés en la privacidad, sino por exceso de herramientas improvisadas. Un formulario aquí, una hoja de cálculo allá, un grupo de mensajería para avisar a las familias. Cada copia es un sitio más donde puede escaparse un dato.
Por eso defendemos centralizar. Inscripciones, pagos, documentación y comunicación con las familias en un único sistema significan menos copias, accesos más fáciles de controlar y un rastro claro de qué se recogió y para qué. Es el planteamiento con el que hemos diseñado la plataforma, con páginas de inscripción personalizables, pasarela de pago integrada y soporte para cumplir la normativa.
La herramienta ayuda, pero no sustituye tu criterio: seguirás decidiendo qué datos pides, a quién das acceso y cuánto tiempo los guardas. Nuestra recomendación es empezar por ahí, antes que por la tecnología.
— Team
Cómo te ayuda Vivaky
Si gestionas extraescolares, colonias o campamentos y quieres reunir inscripciones, pagos, listas de espera, control de aforos y comunicación con las familias en un solo lugar, Vivaky funciona con el Plan Todo Incluido: un 8 % sobre cada venta, sin cuotas mensuales ni costes ocultos. Para ventas inferiores a 15 € se aplica una comisión fija de 1 € por gestión. Solo pagas cuando vendes una inscripción.
Lista de comprobación antes de la próxima temporada
- Revisa el formulario y elimina cada campo que no puedas justificar.
- Separa las casillas de consentimiento (imagen, comunicaciones, cesiones) de la inscripción.
- Firma el contrato de encargado del tratamiento con cada proveedor.
- Limita el acceso a fichas médicas al personal que las necesita.
- Designa a una persona para gestionar incidentes y escribe el protocolo.
- Fija un plazo de conservación y una fecha para borrar los datos.
- Informa al equipo del deber de secreto.
Preguntas frecuentes
¿Necesito el consentimiento de los padres para inscribir a un niño?
Si el consentimiento es la base del tratamiento, lo prestan los padres o tutores para menores de 14 años; a partir de esa edad puede darlo el propio menor, salvo que la ley exija asistencia. Para lo esencial de la inscripción puede bastar la relación contractual, pero los usos adicionales, como las fotos o el marketing, requieren su propia autorización.
¿En cuánto tiempo hay que notificar una brecha de seguridad?
Si es probable que haya riesgo para los derechos y libertades de las personas, la notificación a la AEPD debe hacerse sin dilación indebida y como máximo en 72 horas. Si el riesgo es alto, hay que avisar también a los afectados. Cualquier brecha, aunque no se notifique, debe quedar documentada.
¿Cuánto tiempo puedo guardar los datos de los participantes?
El RGPD no fija un número de meses universal: debes conservarlos solo mientras sean necesarios para su finalidad y explicarlo en tu aviso de privacidad. Un criterio razonable, como el de unos campamentos universitarios, es destruirlos al acabar el año natural del programa, salvo lo que deba guardarse por una razón concreta.
¿Soy responsable si uso una plataforma externa?
Sí. Si organizas la actividad, sigues siendo el responsable y el proveedor actúa por tu cuenta. Por eso debe haber un contrato que recoja garantías e instrucciones sobre el tratamiento, y tú debes elegir proveedores que las ofrezcan.
Fuentes
- Información extensa sobre protección de datos personales, campamentos de la Universidad de Zaragoza
- Ley Orgánica 3/2018, de 5 de diciembre (BOE)
- AEPD: menores y recogida de datos personales
- AEPD: guía para centros educativos
- AEPD: medidas de cumplimiento
- AEPD: guía para la notificación de brechas de datos personales
- AEPD: notificación de brechas de datos personales
- Consejo de Transparencia y Protección de Datos de Andalucía: guía para centros educativos
- Minimización de datos según el RGPD