Cada mes de septiembre, un colegio recopila en dos semanas miles de datos personales: fichas de matrícula, informes médicos, alergias, situaciones familiares, autorizaciones de imagen y datos bancarios de las familias. Por eso, la protección de datos en centros educativos no es un trámite administrativo más. Se trata de información sensible de personas menores de edad, el colectivo al que el RGPD reconoce una protección reforzada.
Colegios, institutos, guarderías, academias y escuelas de idiomas comparten el mismo reto: digitalizar la gestión académica sin incumplir el Reglamento General de Protección de Datos (RGPD) ni la Ley Orgánica 3/2018 (LOPDGDD). En esta guía repasamos qué exige realmente la normativa sobre protección de datos en centros educativos, dónde se concentran los errores más habituales y cómo preparar el centro para el curso 2026-2027.
Por qué la protección de datos en centros educativos exige un nivel superior
Un centro escolar trata de forma simultánea tres perfiles muy distintos: el alumnado (en su mayoría menor de edad), las familias o tutores legales y el personal docente y de administración. Además, buena parte de esa información entra de lleno en las categorías especiales del artículo 9 del RGPD: salud, alergias, diagnósticos de necesidades educativas especiales, convicciones religiosas o situaciones de vulnerabilidad social.
La Agencia Española de Protección de Datos (AEPD) lo expresa con claridad: el personal educativo debe tratar los datos con la debida diligencia y respetar de forma especial la privacidad de los menores. Es decir, lo que en otro sector sería una mala práctica, en un colegio puede convertirse en una infracción grave con consecuencias reputacionales inmediatas ante toda la comunidad educativa.
Base jurídica: cuándo hace falta consentimiento y cuándo no
Este es, con diferencia, el punto que más confusión genera en materia de protección de datos en centros educativos. La normativa educativa legitima al centro para tratar los datos del alumnado y de sus familias sin necesidad de consentimiento, siempre que resulte necesario para la función docente y orientadora. Matrícula, evaluación, tutorías, orientación académica o control de asistencia entran en esa categoría.
Sin embargo, todo lo que excede esa finalidad cambia de régimen y exige consentimiento expreso de los padres o tutores legales. Por ejemplo:
- Difundir imágenes del alumnado en la web del centro, en redes sociales o en material promocional.
- Publicar trabajos, proyectos o resultados en canales abiertos.
- Ceder datos al AMPA, a empresas de extraescolares o a proveedores de comedor y transporte.
- Enviar comunicaciones comerciales ajenas a la actividad docente.
Conviene recordar que en España el consentimiento propio del menor solo resulta válido a partir de los 14 años. Por debajo de esa edad, la autorización debe proceder siempre del titular de la patria potestad, tal y como explicamos en nuestra guía sobre el consentimiento expreso para menores.
Imágenes y grabaciones del alumnado: el conflicto más frecuente
Las fotos de la excursión, el vídeo de la función de Navidad o la grabación de una clase online concentran buena parte de las reclamaciones que llegan a la AEPD desde el ámbito escolar. El criterio de la Agencia es razonable, pero estricto.
El profesorado puede captar imágenes del alumnado como parte de la actividad educativa, siempre que el acceso quede restringido a las personas implicadas: los propios alumnos, sus familias y el docente responsable. En ningún caso deben publicarse de forma abierta en internet. Por su parte, cuando son las familias quienes graban un festival, el centro debe informar previamente de que esas imágenes solo pueden destinarse a un uso personal y doméstico, nunca a su difusión pública.
Mención aparte merece la videovigilancia. Las cámaras de accesos, patios o pasillos son un tratamiento autónomo que exige cartel informativo, justificación de proporcionalidad y plazos de conservación definidos, tal y como detallamos al hablar de las zonas videovigiladas. Además, nunca pueden instalarse en aseos, vestuarios ni en espacios de descanso del personal.
Plataformas educativas digitales: el decálogo que conviene aplicar
Aulas virtuales, cuadernos de notas digitales, apps de comunicación con familias o suites ofimáticas en la nube forman ya el núcleo de la gestión diaria. Cada una de ellas es, jurídicamente, un encargado del tratamiento que accede a datos de menores. Por tanto, su contratación es uno de los capítulos críticos de la protección de datos en centros educativos.
Las autoridades españolas publicaron un decálogo de principios básicos para la contratación de plataformas educativas digitales que resume las obligaciones del centro:
- Respetar los derechos y libertades fundamentales del alumnado.
- Determinar quién es responsable y quién encargado del tratamiento.
- Limitar el uso de los datos a la finalidad educativa y prohibir su explotación publicitaria.
- Analizar los riesgos y valorar una Evaluación de Impacto (EIPD) antes de implantar la herramienta.
- Informar de forma transparente a familias y personal.
- Firmar el contrato de encargo del artículo 28 del RGPD y supervisar a los subencargados.
- Garantizar las transferencias internacionales de datos cuando el proveedor aloje la información fuera del EEE.
- Aplicar la protección de datos desde el diseño y por defecto.
- Implantar medidas de seguridad proporcionales al riesgo.
- Facilitar el ejercicio de derechos a alumnado y familias.
En la práctica, la regla es sencilla: el centro solo debe permitir aplicaciones autorizadas previamente por el responsable del tratamiento. Un docente no puede dar de alta a su clase en una herramienta gratuita encontrada en internet, por muy útil que resulte en el aula.
Comunicación con las familias: el problema de los grupos de WhatsApp
La AEPD es explícita: las comunicaciones entre profesorado y familias deben canalizarse por vías oficiales —plataforma educativa o correo corporativo— y evitar la mensajería instantánea personal. El motivo es doble. Por un lado, el móvil particular mezcla datos profesionales con la esfera privada del docente. Por otro, un grupo de mensajería expone el teléfono de todas las familias entre sí, lo que supone una cesión de datos sin base jurídica.
Si el centro decide usar mensajería como canal formal, debe hacerlo con una cuenta corporativa, con difusión oculta y con información previa. Analizamos las condiciones concretas en nuestra guía sobre WhatsApp Business y protección de datos.
Datos de salud, alergias y necesidades educativas especiales
El centro necesita conocer alergias alimentarias, tratamientos médicos o protocolos de actuación ante una crisis. Ahora bien, se trata de datos de categoría especial y su tratamiento exige, como mínimo, tres cautelas:
- Minimización real: recoger solo lo imprescindible para garantizar la seguridad y la atención del menor, no el historial clínico completo.
- Acceso restringido: únicamente el personal que necesita el dato para su función debe consultarlo, con trazabilidad de los accesos.
- Discreción cotidiana: listas de alergias visibles en el comedor o becas comentadas en clase revelan la situación de salud o económica de una familia ante terceros.
La AEPD advierte precisamente de este último riesgo: la información sobre salud o convicciones religiosas debe manejarse evitando que trascienda la vulnerabilidad social o la capacidad económica de la familia.
El Delegado de Protección de Datos en centros educativos es obligatorio
La LOPDGDD incluye expresamente a los centros docentes —públicos, privados y concertados— entre las entidades obligadas a designar un Delegado de Protección de Datos (DPD). No es opcional y su designación debe comunicarse a la AEPD.
Además, el DPD debe ser accesible: familias, alumnado y personal pueden dirigirse a él para plantear consultas o reclamaciones, por lo que sus datos de contacto deben figurar en las cláusulas informativas y en la web. Muchos centros optan por externalizar la figura para ganar independencia y conocimiento actualizado; aquí comparamos las ventajas del DPD interno frente al externo.
Móviles, inteligencia artificial y nuevos tratamientos en el aula
El curso 2025-2026 consolidó en casi todas las comunidades autónomas la restricción del móvil personal en las aulas. Esa regulación reduce riesgos evidentes, como las grabaciones no consentidas entre alumnos. Sin embargo, no elimina el deber del centro de educar en privacidad, un aspecto que la propia AEPD sitúa dentro de la competencia digital.
Paralelamente, la inteligencia artificial generativa se ha instalado en la corrección de exámenes, la tutorización personalizada y la detección de plagio. Antes de introducir cualquier sistema de este tipo, el centro debe verificar la base jurídica, evaluar el riesgo y comprobar que el proveedor no reutiliza los datos para entrenar modelos. Conviene subrayar que el Reglamento Europeo de Inteligencia Artificial considera la educación un ámbito de alto riesgo.
Brechas de seguridad: 72 horas para reaccionar
Un listado de notas enviado por error a todas las familias, un portátil extraviado con expedientes o un acceso no autorizado a la plataforma académica son brechas de seguridad. Cuando existe riesgo para los afectados, el centro dispone de 72 horas para notificarlo a la AEPD y, en los casos de alto riesgo, también a las familias.
Por tanto, todo centro debería contar con un procedimiento escrito que permita detectar, documentar y notificar el incidente sin improvisar. Puedes consultar el protocolo completo de notificación en 72 horas que publicamos en el blog.
Checklist de protección de datos en centros educativos para 2026-2027
- Actualizar el registro de actividades de tratamiento con todos los tratamientos reales del centro.
- Revisar las cláusulas informativas de matrícula, comedor, extraescolares, transporte y AMPA.
- Separar la autorización de imagen del formulario de matrícula, con opciones por canal.
- Inventariar las plataformas en uso y firmar el contrato de encargo con cada proveedor.
- Definir por escrito los canales oficiales de comunicación con las familias.
- Designar y publicar los datos de contacto del Delegado de Protección de Datos.
- Formar al claustro y al personal de administración al inicio de curso.
- Fijar plazos de conservación y un procedimiento de destrucción segura de expedientes.
- Aprobar un protocolo de brechas de seguridad y ensayarlo una vez al año.
- Revisar la videovigilancia: carteles, ubicación de cámaras y conservación de imágenes.
Preguntas frecuentes sobre protección de datos en centros educativos
¿Puede un colegio publicar fotos de los alumnos en Instagram? Solo con el consentimiento expreso e informado de los padres o tutores, otorgado para esa finalidad y ese canal. Una autorización genérica firmada en la matrícula no basta.
¿Necesita una academia privada un Delegado de Protección de Datos? Si desarrolla actividad docente regulada, sí. En el resto de casos conviene analizarlo, porque el tratamiento masivo de datos de menores suele activar igualmente la obligación.
¿Pueden los padres grabar el festival de fin de curso? Sí, siempre que el uso sea estrictamente personal y doméstico. El centro debe informar de que la difusión pública queda fuera de esa excepción.
¿Puede un profesor usar su WhatsApp personal con las familias? No es la vía recomendada. Deben emplearse canales oficiales del centro para evitar cesiones indebidas y proteger la privacidad del propio docente.
Conclusión
En definitiva, la protección de datos en centros educativos no consiste en acumular documentos ni en frenar la digitalización del aula. Consiste en decidir, para cada tratamiento, qué información resulta necesaria, quién puede acceder a ella y durante cuánto tiempo. Los centros que llegan a septiembre con el registro actualizado, las autorizaciones bien planteadas y el claustro formado ganan algo más que tranquilidad jurídica: refuerzan la confianza de las familias, que es su principal activo.
En Enfoke acompañamos a colegios, academias y centros de formación en la adaptación completa al RGPD y a la LOPDGDD, desde el diseño de las cláusulas hasta la externalización del Delegado de Protección de Datos. Si quieres afrontar el próximo curso con todas las garantías en regla, contacta con nuestro equipo.
