Guía de protección de datos en centros educativos y novedades en el curso 2025-2026
16/12/2025
La escuela maneja información muy sensible. El RGPD es un marco legal generalizado que debe aplicarse de forma especialmente cuidadosa en los centros educativos, porque los datos personales de los menores gozan de una protección reforzada. Prepararse con tiempo e informar a las familias correctamente no solo evita incidencias legales: también es clave para reforzar la reputación del centro educativo.
En esta guía veremos las obligaciones de privacidad para colegios (dirección, profesorado, personal y AMPA), las principales novedades en 2025–2026 (mayor control de la IA, consentimiento reforzado) y resolveremos dudas habituales: cómo comunicar notas, publicar imágenes o usar plataformas en la nube sin riesgos.
Desde mayo de 2018, todas las organizaciones que gestionan datos personales de cualquier tipo (clientes, socios, colaboradores, proveedores, etc.) en la Unión Europea están sometidas al marco de protección del Reglamento General de Protección de Datos (RGPD), desarrollado en España por la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).
Esta norma se basa en el principio de responsabilidad proactiva (accountability), que exige a los centros educativos garantizar que ha tomado las medidas más adecuadas para garantizar los derechos reconocidos en la normativa vigente (acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad) que todo individuo tiene sobre sus datos personales.
La figura del responsable del tratamiento de datos varía según el tipo de centro escolar:
- En los centros públicos es la Consejería de Educación de la comunidad autónoma.
- En los centros privados o concertados es el propio centro educativo.
La responsabilidad proactiva implica valorar el riesgo y adoptar las medidas técnicas y organizativas adecuadas para asegurar la seguridad y confidencialidad de los datos a priori. También existe el deber de informar a los interesados sobre las finalidades con las que se usarán sus datos y cómo ejercer sus derechos.
¿Cuál es la edad para que los menores puedan prestar consentimiento para tratar sus datos personales?
En los centros educativos se manejan datos de estudiantes menores de edad. La matrícula implica el derecho a usarlos para tareas estrictamente docentes u orientadoras. Cuando la finalidad exceda esos fines, hay que pedir un consentimiento explícito.
La LOPDGDD establece que habrá que pedir autorización a los padres o tutores si el estudiante tiene menos de 14 años. A partir de esa edad, el propio alumno puede autorizar el tratamiento, salvo que una norma exija intervención de sus representantes legales. Además, toda la información destinada a menores debe expresarse con claridad, sencillez y un nivel de comprensión acorde a su madurez.
¿Qué obligaciones tienen los docentes y los equipos directivos en la protección de datos personales?
El profesorado no es responsable del tratamiento de datos personales, pero accede a ellos para su labor educativa y debe cumplir las normas de confidencialidad y seguridad.
| El equipo directivo debe organizar y supervisar la privacidad de los datos. En centros concertados y privados, es responsable directo del tratamiento de datos.
|
Qué actualizaciones del RGPD afectan a los centros educativos en 2025
El RGPD está en vigor en toda la UE desde 2018, pero la evolución tecnológica (en particular, con la IA) y social obliga a actualizarlo cada año. Estos son los principales cambios que impactan en los centros educativos en 2025.
Refuerzo a la protección de menores en entornos digitales
El proyecto de ley orgánica de defensa de los menores en el entorno digital establece nuevas medidas clave, como la exigencia a los fabricantes de terminales de implementar mecanismos de control parental que sean accesibles y efectivos de forma gratuita.
En el ámbito escolar, la ley obliga a las instituciones a establecer normas claras que regulen el manejo de móviles y dispositivos digitales dentro de las aulas, así como en las actividades fuera del horario lectivo.
Mayor supervisión de la IA
La Agencia Española de Protección de Datos (AEPD) ya tiene plenas facultades para supervisar y sancionar los sistemas de IA que usen datos personales sin autorización. Su Plan Estratégico 2025-2030 prioriza la vigilancia proactiva y la protección de colectivos vulnerables como los menores.
En el uso de IA para personalizar el aprendizaje (por ejemplo, como refuerzo a las acciones de evaluación y tutoría), la regulación prescribe la transparencia detrás de las decisiones automatizadas y evaluar impactos. Es necesario documentar los algoritmos que usan las plataformas, como hace Esemtia —por ejemplo— con su funcionalidad de Cálculo automático de la calificación.
Refuerzo del consentimiento informado
Las directrices para 2025 buscan un consentimiento informado más claro y específico, con menos tolerancia a errores porque la ley ya se considera plenamente implantada. Esto obliga a revisar los procedimientos de obtención de datos y verificar que los formularios definan con exactitud la finalidad de cada tratamiento. Se profundiza en la noción de consentimiento explícito: la falta de respuesta ya no se considera un consentimiento tácito en ningún caso.
Un servicio de gestión a medida para cumplir el RGPD
Como director, eres responsable de que la escuela trate los datos correctamente, pero no tienes por qué ser especialista técnico. Para ayudarte, Esemtia | Servicios profesionales cuenta con especialistas que se actualizan de forma continua y con un equipo dedicado a la gestión documental que revisa e integra los cambios legales más recientes.
Esemtia analiza tu realidad y propone la solución más ajustada al tamaño y la estructura del centro.
Preguntas frecuentes (FAQ) sobre protección de datos en centros educativos
¿Pueden los centros captar y difundir imágenes de alumnos en actividades escolares y extraescolares (dentro y fuera del centro)?
Cuando la grabación forma parte de una actividad educativa o de la función docente, el centro puede captar imágenes para esa finalidad sin autorización, siempre que limite el acceso a los implicados (alumno, familias y docente). Para usos no docentes o difusión pública en web o redes sociales, se requiere el consentimiento informado. En eventos con familias, si las normas del centro lo permiten, los padres captan fotos o vídeos para su uso privado o familiar. Sin embargo, la publicación de estas imágenes en Internet o su transmisión por mensajería siempre requiere autorización.
¿Qué datos de alumnos pueden publicarse en la web del centro, los blogs docentes o redes sociales oficiales?
La publicación de imágenes o datos identificables de los alumnos en la web abierta, blogs o redes sociales del centro requiere autorización previa de los interesados o de sus tutores. Si no se tiene esa autorización, se debe anonimizar toda la información personal (por ejemplo, pixelando las fotos).
La información personal puede publicarse en un área segura y restringida (intranet), como el área privada de Esemtia | Enfant o Esemtia | School, con identificación para que solo los padres puedan acceder a los datos de su hijo, recordando que no pueden divulgarlos.
¿Se pueden publicar calificaciones o listados de notas en tablones o entornos abiertos?
Las notas y los resultados de la evaluación deben comunicarse al propio alumno/a y a sus progenitores o tutores. No existe una norma específica sobre la forma de notificar los resultados en clase: es posible distribuir los ejercicios corregidos y comunicar las notas en voz alta, tratando de priorizar la discreción en la medida de los posible. Si se usan plataformas digitales para comunicar notas, la información debe ser accesible únicamente para el alumno y sus tutores, mediante autenticación, aunque se pueden compartir datos genéricos como la media del grupo.
La publicación de listados de estudiantes admitidos debe equilibrar la transparencia y cierta discreción en la comunicación de la información, usando tablones interiores o webs de acceso limitado disponibles para los interesados.
¿Qué acceso tienen los progenitores a la información académica y de asistencia de sus hijos? ¿Y cómo se gestiona en casos de padres separados?
Los titulares de la patria potestad tienen derecho a conocer las calificaciones y ausencias de sus hijos menores de edad. En el caso de mayores de edad, los progenitores mantienen ese derecho si existe un interés legítimo, como asumir sus gastos educativos o de manutención.
En casos de padres separados, si la patria potestad es compartida, ambos progenitores deben acceder a exactamente la misma información sobre el proceso educativo del menor. Solamente una resolución judicial puede limitar este derecho.
¿A qué instituciones externas se pueden facilitar datos de alumnos bajo ciertas circunstancias?
Los datos de alumnos pueden comunicarse a entidades externas sin autorización previa bajo ciertas bases legales o circunstancias:
- Servicios sociales: cuando se detecten situaciones de riesgo o desamparo. La comunicación estaría justificada por el interés superior del menor (Ley Orgánica de Protección Jurídica del Menor).
- Servicios sanitarios: para la prestación de asistencia sanitaria por profesionales capacitados, que también están sujetos a secreto profesional.
- Fuerzas y Cuerpos de Seguridad: comunicaciones obligatorias si son precisas para prevenir un peligro real o perseguir delitos, tras una petición concreta y motivada.
- Editoriales (libros digitales): el centro debe informar a los padres si les remite listados para la compra centralizada. Las editoriales no pueden usar esos datos para fines propios (como publicidad o campañas de marketing) sin consentimiento específico.
- AMPA: si la AMPA actúa como proveedor de servicios (ej. transporte o comedor) por encargo del centro, se le facilita la información como encargado del tratamiento. En los demás casos, las AMPA son entidades jurídicas responsables de su propio tratamiento de datos y están sujetas al principio de consentimiento para recabar información personal.
Autor
César García
CEO en Esemtia.
Ingeniero de sistemas con más de 25 años de experiencia en tecnología y una década dedicada al sector educativo. Desde 2015 es CEO de Esemtia, donde ha acompañado a colegios, escuelas infantiles y centros de FP en procesos de transformación digital y en la adaptación a normativas como la LOMLOE o la FP Dual, combinando su base técnica con un profundo conocimiento de la gestión y los retos del sector educativo.
