Las sanciones de protección de datos en educación permiten detectar fallos que una política general puede ocultar: publicar imágenes sin una base válida, ignorar una solicitud de supresión o implantar vigilancia biométrica antes de evaluar sus condiciones jurídicas. Para aprender de una resolución hay que leer sus hechos, la infracción declarada y la forma de terminación. El importe que aparece en un titular puede corresponder a una propuesta inicial o a un pago reducido.
Esta guía analiza dos expedientes publicados por la AEPD y extrae decisiones prácticas para centros y universidades. Los casos describen las actuaciones administrativas citadas; no se presentan como una certificación de firmeza judicial ni como un catálogo exhaustivo de sanciones del sector. Los ejemplos operativos posteriores son hipotéticos. Su utilidad consiste en ayudar a revisar procesos concretos, no en predecir qué multa recibiría otro centro.
Universidad Europea de Valencia: biometría y evaluación previa
En el expediente PS/00447/2025, relativo a Universidad Europea de Valencia, la AEPD examinó el tratamiento biométrico utilizado para verificar la identidad en exámenes en línea. Cuestionó que la información y las alternativas ofrecidas permitieran un consentimiento válido y señaló deficiencias en la evaluación de impacto, realizada después del inicio del tratamiento. La resolución declara infracciones de los artículos 9 y 35 del RGPD. Resolución oficial.
La parte final distingue una sanción fijada inicialmente en 200.000 euros de un pago voluntario de 160.000 euros, con reducción del 20 %. Declara la terminación del procedimiento por ese pago. No debe sustituirse esa cifra por la de otro expediente universitario ni describirse como una absolución. El documento también contempla la vía contencioso-administrativa: terminar la vía administrativa no acredita por sí solo que nunca haya existido una impugnación judicial.
La decisión práctica para otro centro empieza antes de contratar. Debe precisar si el sistema solo permite supervisión por una persona o si realiza tratamiento biométrico dirigido a identificar de manera unívoca. Una imagen de vídeo no es automáticamente un dato biométrico del artículo 9 por el mero hecho de mostrar una cara. Importan el tratamiento técnico y su finalidad. La denominación comercial de la herramienta no resuelve esa clasificación.
Si se tratan categorías especiales, hace falta una condición del artículo 9 además de una base del artículo 6. La conveniencia de reducir desplazamientos o prevenir trampas no crea por sí sola esa habilitación. Una evaluación de impacto bien redactada tampoco convierte un tratamiento prohibido en lícito. El análisis jurídico, la necesidad, las alternativas y la seguridad deben sostenerse conjuntamente antes de utilizar datos reales de estudiantes.
Educando Juntos: imágenes y supresión de datos de una trabajadora
La resolución de reposición RR/00076/2022, relacionada con PS/00119/2021, recoge sanciones de 6.000 euros por el artículo 6.1 y 3.000 euros por el artículo 17. El asunto afectaba a fotografías de una antigua trabajadora en la web y redes sociales del centro, no a imágenes de alumnado menor. La AEPD rechazó que se hubiera acreditado una base válida mediante consentimiento tácito. Resolución del recurso.
El recurso fue desestimado. La decisión examinó también la falta de respuesta a la solicitud de supresión y de prueba suficiente de cuándo se había ejecutado. Que posteriormente se aportasen elementos sobre la retirada no demostraba el cumplimiento en plazo. La enseñanza es doble: las personas que trabajan en un centro también están protegidas y una actuación material debe acompañarse de la comunicación y evidencia necesarias.
Para aplicar esa enseñanza, separa la toma de una fotografía de cada uso posterior. Una imagen captada para una actividad interna puede terminar en una campaña comercial años después, con un público y una finalidad diferentes. El archivo fotográfico debería permitir conocer qué usos están autorizados y cuándo dejaron de estarlo. No basta con que una persona aparezca sonriendo o supiera que existía la cámara para deducir un consentimiento válido a cualquier difusión.
La función educativa no exige pedir consentimiento para todo
La disposición adicional vigesimotercera de la Ley Orgánica de Educación contempla la recogida de datos necesarios para el ejercicio de la función educativa y orientadora, dentro de sus límites. El centro debe identificar la habilitación y la base aplicables a cada actividad. La matrícula no requiere convertir toda obligación académica en una elección revocable, ni autoriza a añadir finalidades ajenas a la enseñanza sin analizarlas.
Por ejemplo, evaluar el aprendizaje y gestionar el expediente académico tienen una finalidad distinta de promocionar el colegio mediante publicaciones abiertas. La base que permite conservar una calificación no sirve automáticamente para publicar la fotografía del alumno en una campaña. Los ejemplos de consentimiento ayudan a distinguir decisiones voluntarias de tratamientos que responden a obligaciones o funciones legalmente establecidas.
El consentimiento debe ser libre, específico, informado e inequívoco; cuando el artículo 9 lo exige como excepción, debe ser explícito. Una cláusula que agrupe enseñanza, publicidad, redes sociales y cesiones a terceros impide entender con claridad qué se acepta. Conviene separar finalidades y explicar las consecuencias reales de no consentir. No deben condicionarse actividades obligatorias a aceptar usos opcionales que no sean necesarios para realizarlas.
Menores: edad, representación y publicación de imágenes
En España, el artículo 7 de la LOPDGDD permite, con las excepciones legales de capacidad que establece, fundar el tratamiento en el consentimiento del menor cuando sea mayor de catorce años. Por debajo de esa edad, cuando la base sea el consentimiento, corresponde prestarlo a quien ejerza la patria potestad o tutela. Esta regla no significa que todos los tratamientos de menores necesiten consentimiento parental ni elimina otras protecciones aplicables.
El artículo 92 de la LOPDGDD exige proteger el interés superior del menor en la difusión de sus datos mediante servicios de la sociedad de la información. Para redes sociales o servicios equivalentes remite al consentimiento conforme al artículo 7. Deben considerarse además las reglas sobre propia imagen y protección del menor. Una autorización no convierte en adecuada una publicación que pueda perjudicar al niño o revelar información innecesaria sobre su situación.
En la práctica, identifica quién puede autorizar, qué canales comprende la autorización y cómo se gestionará una retirada. Si hay una controversia sobre representación familiar, no la resuelvas aceptando sin comprobación la primera instrucción recibida. Limita la información solicitada a lo necesario para aclararla y consulta al responsable competente. La secretaría necesita instrucciones utilizables sin acceso indiscriminado de todo el profesorado a documentos familiares sensibles.
Evaluar herramientas antes de que entren en el aula
Una evaluación de impacto es obligatoria cuando el tratamiento pueda entrañar un alto riesgo, atendiendo al artículo 35 y a los criterios y listas aplicables. No toda aplicación educativa exige automáticamente una EIPD, pero tampoco puede descartarse por ser gratuita o estar extendida. El análisis debe considerar menores, observación, perfiles, categorías de datos, escala, combinación de información y efectos sobre el alumnado.
El resultado útil describe una decisión: qué problema se pretende resolver, qué alternativas existen y por qué la elegida es necesaria y proporcionada. Supongamos una herramienta que analiza la atención mediante la cámara. Antes de probarla con alumnos, el centro debe examinar qué inferencias produce, si son fiables, quién las recibe y qué consecuencias podrían tener. Llamar al despliegue «piloto» no suspende las obligaciones cuando ya se tratan datos personales.
También importa comprobar que las medidas declaradas existen. Si el proveedor promete borrado al terminar el examen, solicita información sobre copias, registros y acceso de soporte. Si la evaluación afirma que no se almacenan imágenes, contrasta esa afirmación con la configuración y las instrucciones entregadas al alumnado. Las contradicciones entre el documento y el funcionamiento real impiden valorar correctamente el riesgo residual.
Proveedores: la firma de un contrato no resuelve todo
Determina si el proveedor actúa por cuenta del centro, decide finalidades propias o comparte decisiones relevantes. Cuando sea encargado, el artículo 28 exige un contrato u otro acto jurídico vinculante del Derecho de la Unión o de un Estado miembro, por escrito, incluido el formato electrónico. El modelo de contrato de encargado ayuda a revisar el contenido, pero debe adaptarse al servicio y a los tratamientos efectivos.
Deben quedar cubiertas las instrucciones, la confidencialidad de las personas autorizadas mediante compromiso u obligación legal adecuada, las medidas de seguridad y la asistencia en derechos e incidentes. La incorporación de subencargados requiere el régimen de autorización y obligaciones aplicable; el encargado inicial sigue respondiendo ante el responsable por el cumplimiento de las obligaciones del subencargado. La existencia de una lista pública de proveedores no sustituye por sí sola ese marco.
Comprueba además qué ocurre al finalizar el servicio y dónde pueden tratarse los datos. Las transferencias internacionales necesitan su propio análisis cuando existan. Un contrato comercial que permita reutilizar trabajos o perfiles de estudiantes para finalidades independientes debe examinarse expresamente. El profesorado necesita saber qué herramientas están autorizadas y cómo proponer otras, para evitar que cada aula cree un tratamiento diferente sin revisión institucional.
Publicaciones, listados y comunicaciones a familias
La minimización se aplica también a un tablón físico, un correo y una carpeta compartida. Antes de publicar un listado, pregunta quién necesita consultarlo y qué datos permiten cumplir esa finalidad. Un portal autenticado puede reducir exposición, pero solo si los permisos están configurados de forma que cada usuario vea lo que le corresponde. Tener contraseña no justifica permitir que todas las familias accedan a todos los expedientes.
La disposición adicional séptima de la LOPDGDD contiene reglas de identificación en publicaciones de actos administrativos y notificaciones mediante anuncios. No debe convertirse en una orden general de publicar nombres y fragmentos del DNI en cualquier lista escolar. Primero hay que determinar si procede publicar y bajo qué régimen. Si la comunicación puede hacerse individualmente, analiza esa opción antes de recurrir a un documento abierto que pueda indexarse en buscadores.
Para mensajes de grupo, distingue una comunicación institucional de un intercambio voluntario entre familias. Añadir números personales a una aplicación puede revelar datos a otros participantes. La elección del canal debería contemplar necesidad, acceso, conservación y alternativas razonables. Si se utiliza correo colectivo, revisa los destinatarios y el contenido antes del envío: ocultar direcciones reduce un riesgo, pero no evita adjuntar por error un informe individual.
Datos de salud y acceso del personal
Una alergia o un informe psicopedagógico puede exigir protección reforzada por su contenido. No todos los datos de menores son categorías especiales del artículo 9, pero los de salud sí requieren una condición aplicable de ese artículo además de la base general. El centro debe justificar la información necesaria para la finalidad educativa, de apoyo o asistencia, sin recoger historiales completos por comodidad administrativa.
La necesidad de conocer una medida de atención no implica que todo el personal deba leer el diagnóstico completo. Un servicio de comedor puede necesitar instrucciones concretas para evitar un alérgeno; otros detalles clínicos pueden carecer de utilidad para esa tarea. Define accesos por funciones y actualízalos cuando cambia el personal. También deben retirarse permisos al terminar sustituciones, prácticas o contratos, incluyendo cuentas compartidas que dificulten atribuir actuaciones.
Las conversaciones informales pueden provocar la misma divulgación que una aplicación mal configurada. Explicar un caso identificable en un grupo general o dejar informes a la vista afecta a la confidencialidad. La formación debe utilizar situaciones del centro y procedimientos claros de consulta, sin promover el silencio cuando comunicar información necesaria sea lícito. Proteger los datos requiere decidir quién debe saber qué para realizar su función.
Derechos, incidentes y delegado de protección de datos
El artículo 34.1.b de la LOPDGDD exige delegado a los centros docentes que ofrezcan enseñanzas en los niveles establecidos por la legislación educativa y a las universidades públicas y privadas. No debe deducirse una exención porque el centro sea pequeño. La guía sobre designación del DPO en España permite contrastar el supuesto concreto, sin extender esa categoría automáticamente a cualquier actividad comercial denominada curso.
Las solicitudes de derechos deben llegar a una persona responsable aunque entren por una dirección general. Se responde sin dilación indebida y normalmente en un mes; una ampliación de hasta dos meses más requiere necesidad y comunicación motivada dentro del primer mes. Si no se actúa, deben explicarse los motivos y las vías de reclamación y tutela judicial dentro de ese plazo inicial. Cambiar una imagen sin responder no demuestra por sí solo una atención completa.
Si se produce una brecha, la entidad debe documentarla y evaluar el riesgo. Notifica a la autoridad competente sin dilación indebida y, de ser posible, en 72 horas desde el conocimiento, salvo que sea improbable que entrañe riesgo para las personas. Si se notifica después de las 72 horas, se explican los motivos del retraso. La comunicación a afectados depende del alto riesgo y tiene sus propias condiciones. No hay que esperar a que una familia reclame para iniciar esa evaluación ni comunicar indiscriminadamente los detalles a todo el centro.
Consecuencias y prioridades de revisión
Las entidades enumeradas en el artículo 77 de la LOPDGDD están sujetas a un régimen de declaración de infracción y, cuando proceda, medidas correctoras. Su apartado 2 excluye la multa administrativa del artículo 58.2.i RGPD. La explicación sobre administraciones públicas ayuda a distinguirlo de las multas ordinarias. Un centro privado tampoco recibe necesariamente una multa en todo caso: importan los hechos y las potestades aplicables. Los máximos de las sanciones del RGPD no son importes automáticos por cada documento defectuoso.
Una revisión útil empieza por los tratamientos de mayor efecto sobre las personas y los fallos ya detectados. Vincula cada corrección con una persona, una fecha y una comprobación: retirar una publicación, cambiar permisos o revisar una herramienta exige evidencias diferentes. La guía de protección de datos en centros educativos desarrolla el programa general; aquí los expedientes sirven para localizar decisiones que merecen una comprobación concreta.
Preguntas frecuentes
¿Una autorización familiar permite cualquier publicación?
No. Deben comprobarse la finalidad, el canal, la capacidad para consentir y el interés superior del menor, además de las demás normas aplicables. Una autorización para una actividad no cubre automáticamente campañas posteriores. Si el tratamiento no se basa en consentimiento, identifica su habilitación real; no utilices una firma genérica para ocultar que se están mezclando finalidades distintas.
¿La EIPD basta para utilizar reconocimiento facial en exámenes?
No. La evaluación no sustituye una base del artículo 6 ni una excepción válida del artículo 9 cuando se traten datos biométricos para identificación unívoca. También debe justificarse la necesidad y proporcionalidad, examinar alternativas y aplicar medidas efectivas. Elaborar el documento después del despliegue no equivale a haber evaluado previamente el tratamiento.
¿Retirar las fotografías elimina una infracción anterior?
La retirada puede corregir la exposición y resultar relevante para la valoración, pero no borra automáticamente lo sucedido. Debe acreditarse cuándo se ejecutó y responder adecuadamente a la solicitud recibida. La información sobre la AEPD ayuda a entender las vías de supervisión. El resultado depende del expediente y no de una promesa general de archivo por corregir el problema.
Marco europeo: Reglamento General de Protección de Datos, texto oficial.