RGPD en centros educativos España: guía 2026

En una frase. Los centros educativos españoles tratan datos de menores (categoría protegida con consentimiento desde los 14 años conforme al art. 7 LOPDGDD), plataformas digitales, fotos, notas y datos de salud, con régimen de apercibimiento para públicos y sanciones reales para privados.

Puntos clave

• Edad de consentimiento digital en España: 14 años (art. 7 LOPDGDD).
• Centros públicos: apercibimiento art. 77 LOPDGDD. Privados: sanciones reales.
• Plataformas educativas (Google Workspace, Microsoft 365): contrato art. 28 obligatorio.
• Fotos en web/redes: consentimiento parental específico para menores 14.
• DPO obligatorio en todos los centros educativos.

1. Marco legal específico

Aplicable concurrentemente:

• RGPD + LOPDGDD: protección general.
• LOMLOE (Ley orgánica 3/2020): educación.
• Disposición adicional vigésima tercera LOMLOE: protección de datos en el ámbito educativo.
• Real Decreto 95/2014 (educación infantil).
• Normativa autonómica: cada CCAA con desarrollo propio.

2. Edad de consentimiento digital

El art. 7 LOPDGDD fija en 14 años la edad mínima para consentir el tratamiento de datos. Por debajo de 14 años se requiere consentimiento de padres o tutores. Aplicable a:

• Plataformas educativas con consentimiento separado del operativo.
• Redes sociales del centro con imágenes.
• Apps educativas externas.
• Tratamientos no necesarios para la actividad educativa.

3. Datos tratados en centros educativos

Categoría	Base jurídica habitual	Sensibilidad
Identificativos alumno y familia	Obligación legal (LOMLOE)	Media
Académicos (notas, asistencia)	Obligación legal	Media
Salud (alergias, medicación)	Art. 9.2.c RGPD interés vital	Alta
Religión (asignatura)	Art. 9.2.a consentimiento	Alta
Imágenes en eventos	Consentimiento específico	Media
Datos sociales (becas)	Obligación legal	Alta

4. Plataformas educativas digitales

Google Workspace for Education, Microsoft 365 Education, Moodle, Classroom son encargados del tratamiento (art. 28 RGPD). Obligaciones del centro:

• Contrato de encargado del art. 28 firmado y vigente.
• Evaluación de impacto para tratamientos masivos o con IA.
• Información a familias en momento de alta.
• Verificación de transferencias internacionales de datos (cláusulas contractuales tipo 2021).
• Auditoría periódica de configuración.

La distinción decisiva es la que separa los servicios principales, cubiertos por el contrato de encargado, de los servicios adicionales que el proveedor presta como responsable propio: activar los segundos en cuentas de menores sin EIPD ni información a las familias es el patrón que más problemas genera. Cómo verificar esa frontera y qué desactivar en la consola de administración está detallado en nuestras guías de Google Workspace y Microsoft 365.

5. Fotografías y vídeos de alumnos

Consentimiento específico requerido por finalidad:

• Foto en orla o anuario: consentimiento separado.
• Publicación en web del centro: consentimiento adicional.
• Redes sociales del centro: consentimiento adicional con mención explícita.
• Vídeos de actos escolares: consentimiento específico.

El consentimiento global “para fines del centro” no es válido. Sanciones típicas: 5.000-30.000 EUR a centros privados.

6. Publicación de notas y listas

La LOMLOE permite comunicar notas a alumnos y padres pero NO publicar listas con DNI o nombre completo en tablones físicos o virtuales accesibles a terceros. Sistema correcto:

• Plataforma con acceso individualizado por credenciales.
• Email individualizado a cada alumno o tutor.
• Tablón físico solo con número de expediente o código.

7. Sistemas ENT (Espacios Educativos Virtuales)

Las plataformas tipo Educamos, Esemtia, Alexia, Clickedu son encargados del tratamiento. Requisitos:

• Contrato art. 28 RGPD.
• Información clara a familias sobre datos tratados.
• Acceso de padres/tutores controlado por credenciales.
• Política de retención: durante escolarización + plazos legales.
• Plan de portabilidad si cambia el proveedor.

8. Tratamiento de datos de salud escolares

Alergias, medicación, condiciones médicas: base jurídica del art. 9.2.c RGPD (interés vital del afectado). Buenas prácticas:

• Información restringida al personal que necesita conocerla.
• Soporte físico o digital con acceso controlado.
• Eliminación al cambiar de centro o finalizar etapa.
• Plan específico para emergencias médicas.

9. Categoría especial: religión

La asignatura de Religión exige tratamiento de la confesión religiosa de las familias (categoría especial art. 9 RGPD). Requisitos:

• Consentimiento explícito en matrícula (art. 9.2.a).
• Información clara sobre finalidad.
• Casillas separadas para Religión Católica, Evangélica, Islámica, etc.
• Datos no comunicados a terceros sin consentimiento adicional.

10. Universidades: tratamientos específicos

Las universidades tratan datos adicionales:

• Investigación científica con datos personales (art. 9.2.j RGPD).
• Becas con datos económicos y familiares.
• Plataformas de antiplagio (Turnitin, Compilatio): contrato art. 28 obligatorio.
• Sistemas de proctoring (exámenes vigilados): EIPD obligatoria.
• Datos de antiguos alumnos para fundraising: consentimiento específico.

11. DPO obligatorio

El art. 34 LOPDGDD y art. 37 RGPD exigen DPO en:

• Centros docentes que ofrezcan enseñanzas regladas (Real Decreto, ESO, Bachillerato, FP, universidad).
• Universidades públicas y privadas.

Centros pequeños pueden compartir DPO con grupo educativo o externalizarlo. Los supuestos concretos se detallan en la guía sobre cuándo es obligatorio el DPO en España.

12. WhatsApp y comunicación con familias

WhatsApp con padres NO es canal oficial conforme. Riesgos:

• Datos personales accesibles por todos los miembros del grupo.
• Mezcla de comunicación oficial y opiniones personales.
• Imposibilidad de cumplir derecho de supresión.
• Falta de trazabilidad.

Alternativas: plataforma oficial, email individualizado, app del centro homologada.

13. Marco normativo y doctrina de la AEPD

El tratamiento de datos de menores en el ámbito escolar se rige por el Reglamento (UE) 2016/679, que otorga protección reforzada a los datos de niños (considerando 38 y art. 8), y por la LOPDGDD (Ley Orgánica 3/2018), que fija la edad de consentimiento en 14 años. La AEPD mantiene un canal específico de recursos para centros educativos y ha publicado orientaciones sobre uso de plataformas, imágenes de alumnos y protección del menor en internet.

El criterio rector es el interés superior del menor. En la práctica se traduce en tres exigencias que la Agencia examina: minimización (no recabar más datos de los necesarios para la función educativa), consentimiento granular por finalidad y prohibición de perfilado publicitario. El consentimiento válido debe ser separado, informado y, cuando el alumno es menor de 14 años, otorgado por quien ostente la patria potestad o tutela.

14. IA en el aula: el nuevo foco de riesgo

La activación de funciones de inteligencia artificial en cuentas educativas —asistentes generativos, corrección automática, sistemas de proctoring— es el frente emergente. Estas funciones suelen implicar tratamiento a gran escala de datos de menores y, con frecuencia, transferencias a terceros países. Antes de activarlas, el centro debe:

• Realizar una evaluación de impacto específica que valore el riesgo para los derechos del menor.
• Verificar que el proveedor no reutiliza los datos del alumnado para entrenar modelos.
• Informar a las familias de forma clara y recabar el consentimiento cuando proceda.
• Desactivar por defecto cualquier función no imprescindible para la actividad docente.

Activar la IA “porque viene incluida” en la licencia, sin análisis previo ni información a las familias, es hoy uno de los escenarios de mayor exposición sancionadora del sector.

15. Cómo cumplir RGPD en centros educativos

• DPO designado y comunicado a AEPD.
• Registro de actividades por tratamiento (académico, sanitario, comunicación, marketing).
• Consentimientos específicos por finalidad documentados en matrícula.
• Contratos art. 28 con todas las plataformas digitales.
• Política de retención por categoría de datos.
• Formación anual obligatoria al claustro.
• Protocolo de brechas con plantilla preformateada.

Véase también: sanciones AEPD en educación.

FAQ

¿Desde qué edad puede un alumno consentir solo?

14 años conforme al art. 7 LOPDGDD. Por debajo se requiere consentimiento de padres o tutores.

¿El colegio puede subir fotos de mi hijo a redes?

Solo con consentimiento específico para esa finalidad. No vale el consentimiento global de matrícula.

¿Google Workspace cumple el RGPD en colegios?

Sí si se firma el Addendum de tratamiento de datos de Google for Education y se realiza EIPD. No basta con tener cuentas activas.

¿Pueden publicar las notas en el tablón?

No con DNI o nombre completo. Solo con código o número de expediente que no permita identificar al alumno a terceros.