Una plataforma LMS no solo almacena contenidos, actividades y evaluaciones. También puede contener datos identificativos de los alumnos, comunicaciones con tutores, registros de conexión, resultados de pruebas y evidencias de seguimiento.
Toda esa información es necesaria para gestionar la formación, pero también debe tratarse con garantías de seguridad y confidencialidad.
El problema aparece cuando compartimos usuarios y contraseñas, concedemos permisos sin control, conservamos información indefinidamente o descubrimos que no podemos recuperar los registros cuando necesitamos justificar una actividad.
La protección de datos no consiste únicamente en incluir una cláusula informativa en la matrícula. También hay que controlar quién accede a los datos, para qué los utiliza y durante cuánto tiempo los conserva.
Repasamos las principales medidas que conviene revisar en una plataforma LMS.
1. Saber quién trata los datos y con qué finalidad
Antes de revisar la configuración de la plataforma, debemos identificar quién interviene en el tratamiento.
En una formación pueden participar la empresa cliente, el centro de formación, la entidad organizadora, los tutores y el acceso para inspectores. Sin embargo, su papel en materia de protección de datos dependerá de las funciones y decisiones que realmente asuma cada uno.
No basta con dar por hecho que todos tienen las mismas responsabilidades. Conviene comprobar:
- Quién determina las finalidades y los medios del tratamiento.
- Qué datos se recogen y para qué se utilizan.
- Qué proveedores acceden a ellos.
- Si corresponde formalizar un contrato de encargo del tratamiento.
- Qué personas están autorizadas para consultar o gestionar la información.
El artículo 28 del RGPD regula las condiciones aplicables cuando un proveedor trata datos personales por cuenta de un responsable. La relación contractual debe reflejar las obligaciones que correspondan a cada parte.
2. Controlar los accesos a la plataforma LMS
Uno de los primeros puntos que revisaría es quién puede entrar en la plataforma y qué puede consultar una vez dentro.
No todos los usuarios necesitan acceder a toda la información.
Por ejemplo, un tutor puede necesitar consultar el progreso y las actividades de sus alumnos, mientras que un técnico de soporte puede necesitar únicamente los permisos imprescindibles para resolver una incidencia.
Buenas prácticas:
- Utilizar cuentas individuales, evitando usuarios compartidos.
- Asignar permisos según las funciones de cada perfil.
- Retirar o modificar los accesos cuando una persona deja de intervenir.
- Utilizar contraseñas robustas y mecanismos adicionales de autenticación cuando proceda.
- Revisar periódicamente los usuarios activos y sus permisos.
- Evitar enviar credenciales por canales inseguros.
También conviene revisar cómo se gestionan los accesos de empresas clientes, tutores externos y personal técnico.
Tener acceso a la plataforma no significa tener derecho a consultar todos los datos. Para Fundae te recomiendo:
- Administración de la plataforma: Acceso a todo.
- Empresa participante: sólo acceso a los datos de sus trabajadores y grupos.
- Alumnos: sólo acceden a sus datos y pueden ver compañeros del grupo sin datos de contacto de ellos.
- Tutores: pueden acceder a la información del curso y editarlo, pero no a los datos personales de los alumnos como DNI, emails o teléfonos si no es imprescindible.
- Inspectores: Tienen permiso de tutor SIN permiso de edición, por lo que pueden ver todo pero no pueden editar nada.
3. Los logs: qué registran y por qué importan
Los logs o registros de actividad permiten reconstruir determinados acontecimientos dentro de un sistema: accesos, operaciones realizadas, cambios o incidencias, según las funcionalidades de la plataforma.
En un LMS pueden ayudar a analizar, por ejemplo, si se ha accedido a un curso, cuándo se ha realizado una actividad o si se han producido cambios relevantes.
Pero hay una cuestión importante: no todos los registros técnicos demuestran por sí solos que una persona haya realizado efectivamente una actividad formativa. Su utilidad depende de qué registran, de su fiabilidad y del contexto.
Para revisar su gestión, conviene comprobar:
- Qué eventos registra la plataforma.
- Si es posible identificar al usuario asociado a cada evento.
- Si las fechas y horas son coherentes.
- Quién puede consultar, exportar o modificar los registros.
- Cómo se protegen frente a accesos o alteraciones no autorizados.
- Si pueden recuperarse cuando se necesitan para revisar una incidencia.
La finalidad es poder investigar lo sucedido sin recoger ni exponer más información de la necesaria.
En requerimientos documentales recientes es habitual pedir las direcciones IP de alumnos y tutores para verificar que no se hacen por bots o se tutoriza por personas distintas a las informadas.
4. ¿Cuánto tiempo deben conservarse los logs?
Esta es una de las cuestiones que más cuidado requiere.
No existe un plazo único de conservación aplicable automáticamente a todos los logs de todas las plataformas LMS. El tiempo adecuado dependerá de la finalidad del registro, las obligaciones legales aplicables, las necesidades justificadas de seguridad y los riesgos del tratamiento.
El RGPD exige limitar la conservación de los datos personales al tiempo necesario para los fines para los que se tratan, sin perjuicio de las obligaciones legales que puedan resultar aplicables.
Por tanto, no deberíamos conservar todos los registros indefinidamente «por si acaso», ni eliminarlos sin comprobar si siguen siendo necesarios.
Recomendaciones:
- Definir plazos de conservación por tipo de información.
- Documentar los criterios utilizados para establecerlos.
- Configurar, cuando sea posible, procesos de eliminación o anonimización.
- Restringir el acceso a los registros históricos.
- Comprobar si existen obligaciones específicas de conservación relacionadas con la formación gestionada.
Hay que distinguir, además, los logs técnicos de las evidencias de seguimiento y control de una formación bonificada. Sus finalidades y necesidades de conservación pueden ser diferentes, por lo que conviene analizarlos por separado.
En el caso de Fundae la plataforma y el acceso del inspector debe estar abierto hasta el 28- 29 de febrero y debemos conservar las evidencias, con copias de seguridad o informes descargados, durante los 4 años posteriores a la bonificación.
5. Elegir y supervisar al proveedor de la plataforma
No basta con que el proveedor nos asegure que su plataforma es segura. Debemos conocer las garantías que ofrece y comprobar que encajan con el tratamiento que vamos a realizar.
Entre los aspectos que conviene revisar están:
- Condiciones del servicio y contrato de encargo del tratamiento, cuando corresponda.
- Medidas de seguridad aplicadas.
- Gestión de usuarios y permisos.
- Copias de seguridad y recuperación ante incidencias.
- Gestión de vulnerabilidades y actualizaciones.
- Procedimiento de comunicación y gestión de brechas de seguridad.
- Ubicación del tratamiento y posibles transferencias internacionales de datos.
Si se produce una brecha de seguridad, las obligaciones de actuación y notificación dependerán de las circunstancias. El RGPD establece, para el responsable, la notificación a la autoridad de control en un plazo máximo de 72 horas desde que tenga constancia, cuando proceda conforme al artículo 33. No todas las incidencias generan automáticamente esa obligación.
6. Checklist de seguridad para tu LMS
Antes de dar por revisada la plataforma, comprueba:
✅ Sabemos quién es responsable y quién actúa como encargado del tratamiento, según corresponda.
✅ Los tratamientos y sus finalidades están identificados.
✅ Los accesos son individuales y los permisos están limitados.
✅ Se revisan las cuentas activas y se retiran los accesos innecesarios.
✅ Los logs registran la información necesaria para sus finalidades.
✅ Los registros están protegidos frente a accesos o modificaciones no autorizados.
✅ Existen criterios documentados de conservación y eliminación.
✅ El proveedor ofrece garantías adecuadas y se han formalizado los contratos necesarios.
✅ Existe un procedimiento para gestionar incidencias y posibles brechas de seguridad.
✅ Se distingue la conservación de los logs técnicos de la documentación justificativa de la formación bonificada.
Conclusión
La seguridad de una plataforma LMS no depende únicamente de la tecnología. También depende de cómo organizamos los accesos, gestionamos los registros y establecemos criterios de conservación.
Una plataforma puede funcionar perfectamente desde el punto de vista formativo y, aun así, presentar deficiencias en la gestión de los datos personales.
Por eso, la revisión no debería hacerse únicamente cuando llega una auditoría o surge una incidencia.
La mejor protección es poder demostrar que sabemos qué datos tenemos, quién puede acceder a ellos y por qué los conservamos.
Y recuerda
La inspección del SEPE puede acceder a esos datos, aunque sean personales con las siguientes bases legales:
- Ley 30/2015 (Reguladora del Sistema de Formación Profesional para el Empleo): Obliga a las entidades y empresas a someterse a las actuaciones de comprobación, seguimiento y control.
- Real Decreto 694/2017: Habilita a los órganos de control a recabar la información y documentación necesaria para verificar la ejecución de las acciones formativas.
- RGPD (Art. 6.1.c y 6.1.e): La base legal para tratar o ceder estos datos no requiere el consentimiento expreso del alumno, ya que responde al cumplimiento de una obligación legal y al ejercicio de poderes públicos por parte de la inspección.
