PDF en educación: privacidad para profesores y centros

Es la última semana de curso. Un profesor tiene treinta boletines en PDF sueltos y los necesita en un solo archivo para la carpeta del grupo. El portátil del centro no tiene nada instalado para eso, así que busca “unir PDF”, abre el primer resultado, arrastra treinta documentos llenos de nombres de alumnos, notas y observaciones de conducta, y pulsa el botón.

El archivo unido se descarga. La carpeta queda actualizada. Nadie nota nada. Pero esos treinta boletines acaban de salir del centro y han aterrizado en el servidor de una empresa de la que el profesor no había oído hablar nunca, y cada uno de ellos hablaba de un niño.

Esto no es asesoramiento legal y no soy tu responsable de protección de datos. Cada centro tiene su política y su delegado al que rendir cuentas. Pero la educación se mueve sobre datos de menores, justo la clase de datos que la ley protege más de cerca. Así que conviene tener claro qué está en juego antes de que la próxima fecha de entrega empuje a alguien hacia una web cualquiera.

Los PDF de un centro están llenos de datos de menores

Piensa en lo que produce un colegio cada semana, en papel y en pantalla. Boletines con notas. Expedientes con direcciones y fechas de nacimiento. Autorizaciones para salidas. Fichas médicas y de alergias. Notas de protección del menor. Solicitudes de comedor o becas. Planes de necesidades educativas especiales. Casi todo identifica a un niño concreto, y buena parte toca cosas que la ley trata como especialmente sensibles, como la salud.

El RGPD da a los datos de menores una protección propia. El motivo es claro: un niño es menos consciente de los riesgos, y las consecuencias de una filtración le acompañan durante años. Un boletín filtrado no se reinicia como una contraseña. Una nota de protección del menor difundida puede hacer daño de verdad. Así que cuando un centro maneja estos archivos, el listón para hacerlo con cuidado está más alto que casi en cualquier otro sitio.

Y la responsabilidad la lleva el centro. Bajo el RGPD el colegio es el responsable de estos datos. Ese deber no se pausa porque sea julio, todo el mundo esté cansado y la unión haya que hacerla ya.

Qué hace una web que sube el archivo

Cuando ese PDF va a una herramienta online, deja de estar bajo el control del centro. Viaja a un servidor que el colegio no lleva, se procesa allí y puede quedarse en caché, en cola o copiado antes de que vuelva nada. La empresa detrás de la herramienta pasa a ser un encargado del tratamiento que actúa por cuenta del centro, y el centro sigue siendo el responsable que responde de todo.

Ese montaje viene con condiciones. Se supone que el colegio tiene un contrato por escrito con ese encargado, que detalla qué pueden hacer con los datos y cuándo los borran. De una web gratuita encontrada en el buscador, el centro no tiene nada de eso. Ni contrato, ni idea de dónde están los servidores, ni forma de decir quién más toca el archivo. Si esos servidores están fuera de la UE, el centro además ha hecho una transferencia internacional de datos de menores, justo lo que el RGPD rodea de más fricción.

Si los datos de un alumno quedan expuestos a través de un servicio del que el centro no podía responder, eso puede ser una violación de datos personales. Las brechas con datos de menores son las que peor se toman los reguladores y las familias. Las notificaciones, una investigación y una carta a casa muy incómoda vienen detrás de una sola subida con prisas.

Lo que más rabia da es que la tarea en sí, unir o proteger un par de archivos, nunca necesitó salir del edificio.

Haz el trabajo con los PDF en tu propia máquina

Aquí está el arreglo, y pesa menos que el problema. Si el PDF no sale de tu dispositivo, ningún encargado externo lo toca. Ningún contrato que perseguir, ninguna transferencia que justificar, ningún tercero que pueda filtrar el expediente de un niño. El centro sigue siendo el responsable y le sigue debiendo a los alumnos el cuidado de siempre, pero una capa entera de riesgo deja de existir, porque los datos se quedaron donde estaban.

Esa es la idea detrás de las herramientas que funcionan del todo en tu navegador. El código hace el trabajo en local, en la memoria de tu ordenador, y el archivo se queda quieto. Así construimos reader.me. Cuando unes o proteges un PDF del centro, se procesa en tu navegador y nunca llega a un servidor nuestro. Si quieres la prueba, abre las DevTools del navegador, mira la pestaña Red mientras trabajas y verás que no sale nada de tu documento.

Tres tareas cubren casi todo lo que un centro necesita:

• Junta todos esos boletines en un solo documento con unir PDF, en el propio portátil y sin subir nada.
• Protege un archivo sensible antes de que vaya a ningún lado añadiéndole contraseña con proteger PDF, para que una autorización o un expediente salgan cifrados antes de llegar al correo de una familia.
• Añade tu firma a un impreso o a una carta con firmar PDF sin imprimir, escanear ni mandar antes el documento a un desconocido.

Unas costumbres para la sala de profesores

• Trata cada documento de un alumno como dato de un menor. Boletines, expedientes, autorizaciones y planes de necesidades especiales cuentan todos, aunque sea una sola página escaneada.
• No arrastres nunca un archivo de un alumno a una web cualquiera. Sin contrato y sin saber dónde están los servidores, ahí no entran los datos de los niños, y punto.
• Tira de herramientas que corren en tu navegador para las tareas rutinarias como unir, proteger y firmar. Si funciona en local, no hay encargado que revisar ni nada que cruce una frontera.
• Protege los archivos antes de enviarlos a casa. Una contraseña en el PDF vale más que un adjunto abierto a una lista de correo de toda la clase.
• Consulta con quien lleve la protección de datos en tu centro antes de adoptar cualquier herramienta para archivos de alumnos. Te lo agradecerá.

Las reglas sobre datos de menores suenan pesadas, y lo son, porque el dato lo es. Pero el arreglo diario es pequeño. Deja el archivo en tu máquina, usa herramientas que no suben nada y la parte más pesada del problema nunca llega hasta ti. Si quieres la versión larga de cómo subir un archivo activa estos deberes, lo conté aparte en el RGPD y subir PDF a la nube.