El RGPD, la CCPA, la LGDP, la CPRA… Es difícil estar al día de todas las normativas sobre soberanía de datos. Pero también son importantes desde el punto de vista ético: al ser menores de edad, los estudiantes son especialmente vulnerables al robo de identidad, y tanto los centros educativos como las administraciones públicas tienen interés en proteger su información.
En este artículo, analizaremos las normativas esenciales sobre soberanía de datos que deben conocer los administradores y los profesionales técnicos. Y lo que es más importante, te mostraremos cómo esas normativas se traducen en requisitos concretos para las plataformas, de modo que sepas exactamente qué buscar la próxima vez que evalúes una solución de tecnología educativa. Tanto si gestionas un sistema educativo en Latinoamérica como si supervisas vulnerabilidades de seguridad en Francia, esta guía te ayudará a desmitificar la soberanía de datos en tu día a día.
Principales conclusiones
- La soberanía de los datos no solo genera obligaciones legales. También reduce el abanico de plataformas que su institución puede adoptar con total seguridad, lo que convierte el cumplimiento normativo en un requisito básico en cualquier proceso de selección.
- El enorme aumento de datos en los centros educativos ha elevado el nivel de exigencia, por lo que la transparencia y el consentimiento para el almacenamiento son requisitos imprescindibles. Las plataformas que no puedan documentar claramente dónde y cómo almacenan los datos no deberían entrar en tu lista de opciones.
- Las soluciones cerradas y opacas convierten el cumplimiento normativo en una cuestión de conjeturas, mientras que los sistemas abiertos permiten realizar auditorías reales, algo esencial para las plataformas en la nube. A la hora de evaluar herramientas basadas en la nube, da prioridad a las plataformas que ofrecen transparencia en cuanto a su arquitectura y sus flujos de datos.
- Las normativas regionales, desde el RGPD hasta la LGPD y la CCPA, difieren en muchos aspectos. Sin embargo, todas ellas exigen una residencia configurable, flujos de datos auditables, gestión del consentimiento y notificación de violaciones de datos.
Soberanía de los datos: conceptos básicos
La soberanía de los datos amplía la autoridad del gobierno sobre los datos generados o recopilados en un territorio determinado. Por ejemplo, la Unión Europea tiene la autoridad para elaborar normas y reglamentos, como el Reglamento General de Protección de Datos (RGPD), que rige los datos creados o almacenados en los Estados miembros.
Sin embargo, la soberanía de los datos no es lo mismo que la privacidad de los datos. Esta última se refiere a los derechos que tienen las personas sobre cómo se recopila, utiliza y comparte su información personal. Por lo general, esto abarca el consentimiento, el acceso y la supresión. La soberanía de los datos, en cambio, es un concepto más amplio y aborda la cuestión de qué gobierno tiene jurisdicción sobre los datos en primer lugar, y qué normas de privacidad se aplican en consecuencia.
En la práctica, esto significa que una plataforma de tecnología educativa determinada podría cumplir los requisitos de privacidad de un país, pero infringir la soberanía de otro. Para los responsables de la toma de decisiones, es importante verificar que las soluciones cumplan tanto los requisitos de privacidad de datos como los de soberanía de datos.
Cómo la soberanía de los datos está definiendo el panorama de la tecnología educativa
A medida que los sistemas educativos recurren cada vez más a las soluciones de tecnología educativa para evaluaciones adaptativas, la calificación mediante IA y la educación a distancia, están generando cantidades masivas de datos. Por ejemplo, según The Data Scientist, las escuelas del Reino Unido generan más datos en un solo día que todo Internet en el año 2000. A nivel de una sola escuela con 1200 alumnos, eso supone una media de 10 GB de datos al día.
Una escala tan grande conlleva una gran responsabilidad. Los sistemas educativos deben cumplir con la normativa sobre datos, y necesitan soluciones de tecnología educativa diseñadas para este fin. A continuación se detallan los requisitos clave que debe cumplir una solución de tecnología educativa para garantizar el cumplimiento de la soberanía de datos, junto con las preguntas que debe plantear durante la evaluación de la plataforma.
Almacenamiento transparente
Muchos países exigen que los datos sensibles generados en su territorio se almacenen allí. Esta obligación, conocida como residencia de datos, permite a los reguladores verificar el cumplimiento de las leyes nacionales. En teoría, debería mantener la información de identificación personal (PII) más segura que permitir el almacenamiento entre jurisdicciones.
Para garantizar el cumplimiento de los requisitos de residencia de datos, las soluciones de tecnología educativa deben ser transparentes en cuanto a sus políticas de almacenamiento. Cuando los proveedores de software no informan abiertamente sobre dónde y cómo se almacenan los datos, sus sistemas no son auditables, por lo que no hay forma de saber si cumplen con la normativa.
Qué hay que tener en cuenta: ¿Pueden los proveedores especificar en qué región o regiones se alojan tus datos? ¿Puedes verificar esa información mediante documentación o una auditoría independiente, o tienes que creer en su palabra?
Consentimiento
Aunque la normativa varía según la jurisdicción, el consentimiento es un tema recurrente. Desde la entrada en vigor del RGPD de la UE, las casillas de consentimiento se han convertido en un elemento habitual de la experiencia web. El sector de la tecnología educativa no es una excepción: antes de almacenar los datos de los alumnos, es necesario obtener su consentimiento para cumplir con los requisitos legales.
Qué hay que tener en cuenta: ¿Incluye la plataforma que está evaluando flujos de trabajo de consentimiento integrados que se puedan configurar según los requisitos de su jurisdicción, o su equipo tendrá que añadir ese proceso por separado?
Acceso de los padres
En muchas regiones, los padres tienen derecho a acceder a los datos de los alumnos y a corregirlos. En Estados Unidos, este derecho está recogido en la Ley de Derechos Educativos y Privacidad de la Familia, o FERPA. Para cumplir con la FERPA y normativas internacionales similares, las soluciones de tecnología educativa deben facilitar a los administradores la concesión de acceso a los datos a los padres (o a los alumnos mayores de edad).
Qué hay que tener en cuenta: ¿Ofrece la plataforma controles de acceso basados en roles que faciliten la concesión, revocación y auditoría del acceso de los padres sin necesidad de involucrar al proveedor?
Perspectivas sobre el código abierto
¿Cómo puedes verificar el cumplimiento si no puedes «levantar el capó» de tu plataforma de tecnología educativa? No se puede. Por eso el software de código abierto goza de un amplio reconocimiento por su resiliencia ante el escrutinio normativo. Dado que las soluciones de código abierto hacen públicas sus bases de código, las organizaciones pueden auditar, modificar y desarrollar los sistemas para cumplir con la normativa sobre datos sin preocuparse por las licencias o los derechos de autor.
Qué hay que tener en cuenta: ¿El código fuente de la plataforma es abierto y auditable? Si no es así, ¿qué verificación independiente ofrece el proveedor para demostrar que su gestión de datos se ajusta a lo que afirma?
Soberanía de los datos y plataformas en la nube
La infraestructura en la nube se ha convertido en la opción predeterminada para la mayoría de las herramientas de tecnología educativa; sin embargo, en el momento en que la información de los alumnos entra en un entorno de nube comercial, surgen preguntas: ¿En qué región se alojan los datos? ¿Quién más tiene acceso a los sistemas subyacentes? ¿Qué servicios de terceros participan de forma encubierta en el procesamiento?
A menudo, los administradores se sorprenden al descubrir que un solo flujo de trabajo puede implicar un mosaico de depósitos de almacenamiento, herramientas de registro y servicios de análisis repartidos por múltiples jurisdicciones.
Aquí es donde las leyes de soberanía de datos chocan con los límites prácticos de las principales plataformas en la nube. Incluso cuando los proveedores ofrecen opciones de alojamiento regional, rara vez proporcionan a los centros educativos el nivel de control necesario para cumplir los estrictos requisitos de residencia o auditoría. La replicación transfronteriza (copiar datos a servidores en varios países en caso de fallo del servidor), las rutinas de copia de seguridad automatizadas y los modelos de responsabilidad compartida pueden complicar el cumplimiento normativo más de lo que ayudan. Por ejemplo, una plataforma podría almacenar los datos primarios en el país mientras replica las copias de seguridad en una jurisdicción extranjera, lo que técnicamente infringe las normas de residencia, sin que usted se entere.
Lamentablemente, no todas las plataformas en la nube son compatibles con los estrictos requisitos de soberanía. Para verificar el cumplimiento, necesitarás un sistema de tecnología educativa (EdTech) diseñado con estándares abiertos y opciones de implementación personalizables que te permitan elegir tu propia nube, aplicar las normas de residencia y mantener la propiedad de todo el proceso de evaluación.
Principales disposiciones sobre soberanía de datos por región
A pesar de las similitudes mencionadas anteriormente, la soberanía de los datos refleja los sistemas jurídicos propios de cada jurisdicción. Sin embargo, en lugar de enumerar todas las normativas, resulta más útil conocer lo que tienen en común y destacar aquellos aspectos en los que las diferencias son relevantes para la contratación pública.
En marcos normativos como el RGPD, la FERPA, la Ley de Privacidad del Consumidor de California (CCPA), la Ley de Protección de la Información Personal y de los Documentos Electrónicos (PIPEDA) y la Ley General de Protección de Datos (LGPD) y la Ley de Protección de la Información Personal (APPI), hay varios requisitos que coinciden:
- Consentimiento y notificación: Casi todas las jurisdicciones exigen el consentimiento informado antes de recopilar datos personales y obligan a notificar a los interesados en caso de violaciones de la seguridad. Una plataforma que carezca de flujos de trabajo de consentimiento configurables y de notificación automatizada de violaciones de la seguridad supone un riesgo en prácticamente todos estos mercados.
- Derechos de acceso y rectificación: Los alumnos y/o los padres casi siempre tienen derecho a consultar, corregir y, en muchos casos, eliminar sus registros. Esto significa que las plataformas deben permitir el acceso basado en roles y la gestión autónoma de los datos.
- Auditabilidad: Los organismos reguladores de todo el mundo esperan que las organizaciones demuestren el cumplimiento normativo, no solo que lo afirmen. Esto requiere flujos de datos auditables, documentación clara y, en el mejor de los casos, códigos fuente abiertos que faciliten la verificación independiente.
Normas específicas de cada región
Algunas jurisdicciones, como China y la UE, exigen que los datos permanezcan dentro de sus fronteras jurisdiccionales. Otras, como Japón, permiten las transferencias transfronterizas, pero el país de destino debe cumplir determinados estándares mínimos de calidad. Por lo tanto, si una plataforma presta servicio a varias regiones, necesita opciones de implementación configurables.
La aplicación de la normativa varía considerablemente de un lugar a otro. El RGPD se caracteriza por una aplicación estricta y multas cuantiosas, pero los organismos reguladores de América Latina y el sur de Asia cuentan con menos recursos. Dicho esto, la LGPD de Brasil y la Ley de Protección de Datos Personales Digitales exigen una supervisión más estricta, por lo que las plataformas deben demostrar que pueden cumplir con estándares más elevados en estas regiones.
Por último, en países como Estados Unidos y Canadá suelen existir normativas estatales y nacionales que se superponen. La CCPA de California y la Ley de Protección de la Información Personal (PIPA) de Alberta añaden requisitos adicionales a las normas federales. Esto significa que las plataformas que solo cumplen las normas nacionales pueden quedarse cortas en lo que respecta a las regulaciones a nivel estatal.
Conclusión
A medida que se amplían las normas sobre soberanía de los datos, la elección de la plataforma se está convirtiendo en una cuestión de gobernanza. Cuando la normativa dicta dónde deben almacenarse los datos, quién puede acceder a ellos y cómo deben notificarse las violaciones de seguridad, la plataforma que elijas marcará el tono de tus interacciones con los padres y las autoridades reguladoras durante los próximos años.
Para garantizar el cumplimiento normativo a largo plazo, los responsables de compras deben dar prioridad a la privacidad, la transparencia y el control, además de las funciones educativas más tradicionales. Dado que la normativa está en constante evolución y resulta en cierta medida impredecible, la opción más sólida es una plataforma basada en estándares abiertos, lo suficientemente flexibles como para adaptarse a medida que surgen nuevas exigencias.
Para descubrir cómo las plataformas basadas en estándares abiertos pueden contribuir a la soberanía de los datos en distintos entornos normativos, echa un vistazo a estos útiles recursos de TAO:
- Por qué las escuelas y los gobiernos recurren al software de evaluación de código abierto
- El futuro del software de evaluación digital: Por qué triunfa el código abierto
- 3 formas en que los centros de enseñanza primaria y secundaria pueden mejorar la seguridad de los exámenes y la privacidad de los datos
Descubre cómo la tecnología educativa de código abierto puede reforzar tu cumplimiento normativo
Si has leído hasta aquí, ya sabes que el debate sobre la soberanía de los datos no es una cuestión teórica. Afecta a todas las decisiones que tomas sobre las herramientas que incorporas a tu organización. En lugar de fiarte ciegamente de las promesas de cualquiera, solicita una demostración para ver cómo TAO gestiona los datos de evaluación sin tener que recurrir a un laberinto de servicios externos. Una breve sesión te dirá más de lo que jamás te dirán una docena de eslóganes de marketing. Pide tu demostración hoy mismo.
Preguntas frecuentes
¿Qué es la soberanía de los datos en el ámbito educativo?
La soberanía de los datos significa que los datos de los alumnos están sujetos a las leyes del país en el que se recopilan o almacenan. Las escuelas y los proveedores deben cumplir esas normas locales, y no lo que a una plataforma le resulte conveniente.
¿Por qué es importante la residencia de datos para el sector de la tecnología educativa?
Algunas jurisdicciones exigen que la información de los estudiantes permanezca dentro de las fronteras nacionales. Si una plataforma no puede garantizar la ubicación del almacenamiento, la institución corre el riesgo de incumplir la normativa y puede perder el acceso a los expedientes de los estudiantes.
¿Cómo pueden las instituciones verificar que una plataforma de tecnología educativa cumple con la normativa?
Comprueba que la documentación sea clara, confirma que los sistemas sean auditables y asegúrate de tener plena visibilidad y control sobre dónde y cómo se almacenan los datos.
