Artículo 9 del RGPD y evaluaciones de Habilmind

El artículo 9 del RGPD establece una protección reforzada para determinadas categorías de datos personales.

Entre ellas se encuentran los datos que revelen:

• Origen racial o étnico.
• Opiniones políticas.
• Convicciones religiosas o filosóficas.
• Afiliación sindical.
• Datos genéticos.
• Datos biométricos utilizados para identificar de manera unívoca a una persona.
• Datos relativos a la salud.
• Datos relativos a la vida sexual o a la orientación sexual.

La regla general es que el tratamiento de estas categorías está prohibido, salvo que concurra alguna de las excepciones previstas en el propio artículo 9.2 del RGPD.

En el contexto de las evaluaciones de Habilmind, la categoría especial que puede resultar relevante es principalmente la relativa a la salud física o mental. Las evaluaciones de Habilmind no tienen como finalidad obtener información sobre opiniones políticas, religión, afiliación sindical, origen racial o étnico, vida sexual, datos genéticos o datos biométricos destinados a identificar unívocamente a una persona.

Esta distinción es especialmente importante.

Una puntuación de memoria, atención, razonamiento, autoestima, motivación, tristeza, impulsividad, habilidades sociales o rendimiento académico no constituye automáticamente un dato relativo a la salud.

Su clasificación jurídica depende de factores como:

• La información concreta que revele.
• La finalidad para la que se haya recogido.
• El contexto de la evaluación.
• La interpretación que se haga del resultado.
• Las conclusiones que razonablemente puedan inferirse de él.

El mismo dato puede, por tanto, tener una consideración diferente dependiendo de su utilización.

Para que exista un dato de salud no es necesario que el estudiante o su familia hayan comunicado directamente un diagnóstico médico o psicológico.

Una evaluación puede generar información nueva mediante el análisis de las respuestas obtenidas.

Por ejemplo, Habilmind puede generar:

• Puntuaciones.
• Percentiles.
• Resultados por factores o escalas.
• Indicadores de riesgo.
• Perfiles cognitivos o socioemocionales.
• Informes.
• Resultados que aconsejen una valoración profesional adicional.

Cuando uno de estos resultados permite revelar o inferir razonablemente información sobre el estado de salud física o mental de una persona, puede tener la consideración de dato relativo a la salud aunque la información haya sido obtenida mediante inferencia.

Por ello, Habilmind analiza no solamente las preguntas que contiene una evaluación, sino también la naturaleza de los resultados que ésta puede producir.

Las capacidades cognitivas o intelectuales no forman por sí mismas una categoría especial del artículo 9 RGPD.

Esto incluye, por ejemplo, información sobre:

• Razonamiento.
• Memoria.
• Atención.
• Comprensión verbal.
• Capacidad numérica o espacial.
• Velocidad de procesamiento.
• Funciones ejecutivas.
• Creatividad.
• Habilidades intelectuales.
• Capacidad de aprendizaje.

Estos datos son normalmente información educativa, cognitiva o psicopedagógica.

Sin embargo, algunos resultados pueden pasar a revelar información sobre la salud cuando se utilizan para identificar o inferir una posible alteración, trastorno o dificultad neuropsicológica.

Por ejemplo, las evaluaciones de atención o funciones ejecutivas pueden generar inicialmente información cognitiva, pero determinados resultados podrían tener la consideración de datos de salud si permiten identificar indicios relacionados con una alteración neuropsicológica.

La información emocional tampoco es automáticamente un dato de salud.

Las evaluaciones pueden analizar variables como:

• Miedo.
• Tristeza.
• Ira.
• Ansiedad.
• Autoestima.
• Regulación emocional.
• Resiliencia.
• Soledad.
• Motivación.
• Sentido de pertenencia.
• Bienestar emocional.

Muchas de estas variables pueden utilizarse con una finalidad estrictamente educativa o preventiva sin que el resultado constituya necesariamente información sobre una enfermedad o un trastorno.

No obstante, cuando un resultado revela o permite inferir un estado de salud mental o psicológico, un malestar clínicamente relevante, una alteración o un riesgo relacionado con la salud, puede adquirir la consideración de dato de salud a efectos del artículo 9 RGPD.

La información sobre conducta tampoco constituye por sí sola una categoría especial.

Datos como impulsividad, dificultades de convivencia, aislamiento, uso intensivo de pantallas o determinadas conductas sociales pueden ser información educativa o psicopedagógica.

Sin embargo, su consideración puede cambiar cuando permiten inferir, por ejemplo:

• Una posible alteración psicológica o neuropsicológica.
• Un riesgo de comportamiento adictivo.
• Pérdida significativa de control.
• Una afectación relevante del bienestar psicológico.
• Otra circunstancia relacionada con el estado de salud.

La clasificación debe realizarse atendiendo siempre al significado real de la información obtenida y no simplemente al nombre de la variable evaluada.

No necesariamente.

La expresión “necesidades educativas especiales” no aparece en el artículo 9 RGPD como una categoría especial independiente.

Sin embargo, en la práctica, la información relativa a determinadas necesidades educativas puede revelar su causa subyacente.

Por ejemplo, cuando una necesidad educativa está relacionada con:

• Una discapacidad.
• Un diagnóstico.
• Una alteración psicológica.
• Un trastorno del neurodesarrollo.
• Una enfermedad.
• O cualquier otra circunstancia relativa a la salud física o mental.

La información que revele esa circunstancia sí puede constituir un dato relativo a la salud y quedar sometida al artículo 9 RGPD.

La Agencia Española de Protección de Datos señala expresamente en su guía para centros educativos que en el ámbito escolar se tratan datos de salud relacionados, entre otros aspectos, con discapacidades físicas o psíquicas, TDAH e informes psicopedagógicos.

La información que revele una discapacidad física o psíquica puede constituir información relativa a la salud.

Por este motivo, si una evaluación, informe o dato incorporado a Habilmind revela directamente una discapacidad o permite inferir razonablemente su existencia, deberá aplicarse la protección correspondiente a los datos de salud.

Esto no significa que cualquier diferencia de rendimiento, capacidad o aprendizaje constituya una discapacidad.

Una puntuación psicométrica o educativa no debe equipararse automáticamente a un diagnóstico ni a una discapacidad.

Algunas herramientas pueden analizar información relacionada con funcionalidad visual, habilidades motoras, sueño, actividad física u otros factores físicos.

Una capacidad física o motora no constituye automáticamente un dato de salud.

Sin embargo, un resultado puede adquirir esa consideración cuando revela, por ejemplo:

• Una limitación física.
• Una lesión.
• Una alteración fisiológica.
• Una dificultad visual.
• O información equivalente sobre el estado físico de la persona.

El mismo criterio se aplica al Screening Visual de Habilmind: determinados resultados pueden revelar información sobre el funcionamiento físico o fisiológico del estudiante y, por tanto, tener la consideración de datos relativos a la salud.

Es importante diferenciar una herramienta educativa de cribado de un diagnóstico médico o psicológico.

Determinadas evaluaciones de Habilmind pueden identificar indicadores, patrones o resultados que aconsejen una revisión adicional.

Esto no significa que Habilmind diagnostique una enfermedad o trastorno.

Un indicador generado por una evaluación:

• No acredita por sí mismo la existencia de una enfermedad o trastorno.
• Debe interpretarse atendiendo al contexto del estudiante.
• Puede aconsejar una valoración profesional adicional.
• Debe ser utilizado por los profesionales autorizados de acuerdo con su finalidad.

Las herramientas de cribado de Habilmind no sustituyen un diagnóstico médico, psicológico, psiquiátrico, optométrico u oftalmológico.

Debe distinguirse entre dos cuestiones diferentes.

El artículo 9.2.g RGPD permite el tratamiento de categorías especiales cuando éste resulte necesario por razones de interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros y con las garantías exigidas por la normativa.

En España existe una habilitación legal específica para el tratamiento de datos necesarios para el ejercicio de la función educativa y orientadora en la disposición adicional vigesimotercera de la Ley Orgánica 2/2006, de Educación.

La Autoridad Catalana de Protección de Datos ha analizado expresamente un supuesto relativo a alumnado con necesidades educativas especiales y ha concluido que el tratamiento podía ampararse en el artículo 6.1.e RGPD y, cuando involucraba categorías especiales —en particular datos de salud—, en las previsiones legales educativas en relación con el artículo 9.2.g RGPD.

Esto no significa que el artículo 9.2.g pueda aplicarse automáticamente a cualquier tratamiento de datos realizado por un centro educativo.

El responsable debe poder justificar, en cada caso:

• La finalidad educativa u orientadora perseguida.
• La necesidad del tratamiento.
• La norma jurídica que lo ampara.
• La proporcionalidad de los datos tratados.
• Las garantías aplicadas.

Además, la Ley Orgánica 3/2018 establece que los tratamientos amparados en las letras g), h) e i) del artículo 9.2 RGPD que se fundamenten en el Derecho español deben estar respaldados por una norma con rango de ley.

No.

El hecho de tratar una categoría especial de datos no significa automáticamente que el consentimiento explícito sea la única forma posible de realizar el tratamiento.

El consentimiento explícito constituye una de las excepciones previstas en el artículo 9.2.a RGPD, pero existen otras.

Cuando el tratamiento resulta necesario para una función educativa u orientadora prevista legalmente y existe habilitación suficiente para ello, el responsable puede disponer de una base distinta del consentimiento.

Por otro lado, si se pretende utilizar la información para una finalidad diferente de aquella que está legalmente amparada, el responsable deberá analizar qué nueva base jurídica y qué excepción del artículo 9.2 permiten ese tratamiento.

Cuando se utilice el consentimiento, éste deberá cumplir todos los requisitos del RGPD, incluyendo ser informado, específico y libre.

La existencia de una relación educativa y, especialmente, la ausencia de una alternativa real para el estudiante deben tenerse en cuenta al valorar si el consentimiento puede considerarse verdaderamente libre.

No automáticamente.

El artículo 9.2.h RGPD contempla determinados tratamientos necesarios para medicina preventiva o laboral, evaluación de la capacidad laboral, diagnóstico médico, prestación de asistencia o tratamiento sanitario o social y gestión de sistemas y servicios sanitarios o sociales, sujetos además a las condiciones establecidas por el propio RGPD.

El hecho de que una evaluación educativa pueda producir un dato relativo a la salud no convierte por sí mismo a Habilmind en un prestador de asistencia sanitaria ni transforma una herramienta psicopedagógica en una herramienta de diagnóstico clínico.

Por este motivo, la aplicación del artículo 9.2.h no debe presumirse simplemente porque una evaluación pueda generar información relacionada con la salud.

Con carácter general, el centro educativo o entidad cliente actúa como responsable del tratamiento y Habilmind como encargado del tratamiento.

El responsable decide, entre otros aspectos:

• Qué evaluaciones se aplican.
• A qué estudiantes.
• Con qué finalidad.
• Quién puede acceder a los resultados.
• Qué actuaciones se realizan a partir de ellos.
• Cuál es la base jurídica aplicable al tratamiento.

Habilmind trata los datos por cuenta del cliente, de acuerdo con las instrucciones documentadas del responsable y para prestar los servicios contratados.

Cuando puedan intervenir categorías especiales de datos, corresponde al responsable determinar y documentar:

• La base jurídica aplicable conforme al artículo 6 RGPD.
• La excepción correspondiente del artículo 9.2 RGPD.
• La norma nacional aplicable cuando ésta sea necesaria.
• Las garantías técnicas y organizativas correspondientes.

Esta tabla tiene carácter orientativo. La clasificación definitiva depende siempre del contenido, finalidad y contexto concreto del tratamiento.

Cuando las evaluaciones pueden generar información particularmente sensible, Habilmind aplica medidas técnicas y organizativas destinadas a proteger su confidencialidad, integridad y disponibilidad.

Entre ellas se encuentran:

• Minimización de la información solicitada.
• Posibilidad de utilizar identificadores internos para el alumnado.
• Control de acceso mediante credenciales.
• Roles y permisos diferenciados.
• Aplicación del principio de mínimo privilegio.
• Protección de las comunicaciones mediante cifrado.
• Registro y monitorización de eventos.
• Obligaciones de confidencialidad.
• Medidas de protección de infraestructura y copias de seguridad.
• Procedimientos de gestión de incidentes.
• Limitación de la conservación.
• Procedimientos de devolución o supresión de información.

El acceso a los resultados se limita a los usuarios que hayan sido autorizados por el responsable del tratamiento.

¿Todas las evaluaciones de Habilmind tratan categorías especiales de datos?

No.

¿Los datos cognitivos son categorías especiales?

No automáticamente.

¿Los datos emocionales o conductuales son categorías especiales?

No automáticamente.

¿Una necesidad educativa especial es por sí misma una categoría especial?

No. Puede serlo la información subyacente cuando revela, por ejemplo, una discapacidad o un estado de salud.

¿Puede un resultado inferido convertirse en dato de salud?

Sí. Si permite revelar razonablemente información sobre la salud física o mental de una persona.

¿Una puntuación de riesgo equivale a un diagnóstico?

No.

¿El consentimiento explícito es siempre obligatorio para tratar datos del artículo 9?

No. El artículo 9.2 contempla distintas excepciones y debe determinarse cuál resulta aplicable al tratamiento concreto.

¿Puede resultar aplicable el artículo 9.2.g en el ámbito educativo?

Sí, cuando concurran sus requisitos y exista la habilitación legal necesaria, particularmente cuando el tratamiento resulte necesario para la función educativa u orientadora en los términos previstos por la legislación educativa.

¿Quién determina la base jurídica?

El responsable del tratamiento, que con carácter general es el centro educativo o entidad cliente.

Esta información se ha elaborado teniendo especialmente en cuenta:

• Reglamento (UE) 2016/679 General de Protección de Datos, en particular sus artículos 6 y 9.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, especialmente su artículo 9.
• Ley Orgánica 2/2006, de Educación, especialmente su disposición adicional vigesimotercera.
• Guía para centros educativos de la Agencia Española de Protección de Datos.
• Criterios de autoridades de protección de datos relativos al tratamiento de información de alumnado con necesidades educativas especiales.
• Documentación técnica y de privacidad de Habilmind relativa a las evaluaciones y categorías de datos tratadas.

Para conocer con mayor detalle qué información puede analizar cada tipo de evaluación, consulte también “Datos tratados en las evaluaciones y categorías especiales” en el Trust Center de Habilmind.

• Datos tratados en las evaluaciones y categorías especiales
• Datos personales que recopilamos
• RGPD
• Protección, seudonimización y anonimización
• Política de privacidad de la plataforma
• Roles, permisos y acceso único (RBAC y SSO)

Nota: La información de este artículo explica de manera general el funcionamiento de Habilmind y el marco normativo aplicable. La determinación de la base jurídica de un tratamiento concreto corresponde al responsable del tratamiento y debe realizarse atendiendo a la naturaleza del centro, la finalidad perseguida, las evaluaciones utilizadas y la normativa estatal y autonómica aplicable.