RGPD en guarderías y escuelas infantiles: guía

En una frase. Una guardería o escuela infantil trata datos de menores de muy corta edad —imágenes, salud, alergias— y por eso el RGPD exige el estándar de protección más alto: el consentimiento para difundir imágenes debe prestarlo quien ejerza la patria potestad, normalmente ambos progenitores.

El RGPD guarderías gira en torno a un principio: los datos de los niños merecen protección específica porque los menores son menos conscientes de los riesgos. Así lo recoge el considerando 38 del Reglamento (UE) 2016/679. Una escuela infantil que gestiona mal las fotos, las apps de comunicación o los datos de salud se expone a reclamaciones y sanciones. Esta guía ordena las obligaciones.

Puntos clave

• Las imágenes de menores exigen consentimiento de ambos progenitores por defecto.
• Los datos de salud (alergias, medicación) son categoría especial: art. 9 RGPD.
• Las apps de comunicación con familias son encargados del tratamiento.
• Las cámaras nunca deben grabar el interior de aulas de forma que vulnere la intimidad.
• La escuela debe informar en dos capas y llevar registro de tratamientos.

1. Fotos y vídeos de menores: el punto más delicado

La difusión de imágenes de niños es la primera causa de conflicto. La regla general:

• La imagen de un menor es un dato personal y su difusión requiere una base jurídica. Para publicaciones en web, redes o revistas escolares, esa base es el consentimiento (art. 6.1.a RGPD).
• El consentimiento lo presta quien ejerce la patria potestad. En caso de progenitores separados, la regla de prudencia es recabar el consentimiento de ambos, salvo resolución judicial que atribuya la decisión a uno solo.
• El consentimiento debe ser específico por finalidad: no es lo mismo autorizar una foto para uso interno que para redes sociales públicas.

Conviene distinguir entre las imágenes tomadas por la escuela (que la escuela controla) y las que hacen las propias familias en eventos: estas últimas, cuando son para uso doméstico, quedan fuera del RGPD, pero la escuela debe advertir de que no se difundan en redes sin consentimiento del resto de familias. Redacta las autorizaciones con nuestra guía de ejemplos de consentimiento RGPD.

Un aspecto que suele pasarse por alto es la revocabilidad. El consentimiento para publicar imágenes puede retirarse en cualquier momento y con la misma facilidad con que se otorgó (art. 7.3 RGPD). Esto significa que la escuela debe tener un procedimiento para dejar de usar una imagen cuando una familia retire su consentimiento, incluida la retirada de publicaciones ya realizadas cuando sea técnicamente posible. Otro punto crítico es la caducidad: la autorización que firma una familia al matricular a su hijo no vale indefinidamente para cualquier uso futuro. Conviene renovarla por curso y por tipo de finalidad, y no arrastrar consentimientos genéricos de años anteriores. Guardar la evidencia de cada consentimiento —quién lo prestó, cuándo y para qué— es parte de la responsabilidad proactiva del art. 5.2 RGPD.

2. Datos de salud: alergias, medicación, necesidades especiales

Una escuela infantil necesita conocer alergias, intolerancias, tratamientos y necesidades especiales de cada niño. Son datos de salud, categoría especial del art. 9 RGPD. Esto obliga a:

• Recabar solo lo necesario (minimización, art. 5.1.c).
• Restringir el acceso al personal que realmente lo necesita.
• Custodiar la documentación médica con medidas de seguridad reforzadas.
• No difundir listados de alergias donde puedan verlos otras familias.

La base de tratamiento suele ser la protección de intereses vitales del menor (art. 9.2.c) y el interés público en el ámbito educativo, complementada con la información y, cuando proceda, el consentimiento de los progenitores.

El error más peligroso en este apartado es tratar la salud del menor con ligereza administrativa: apuntar una alergia grave en una lista pegada en la pared del aula, comunicarla en un grupo de mensajería con todas las familias o dejarla accesible al personal de limpieza. Cualquiera de esas prácticas expone categoría especial de un menor a terceros no autorizados. La información sobre salud debe circular solo entre el personal que atiende directamente al niño y custodiarse con el mismo rigor que exigiría un centro sanitario. Cuando el tratamiento de estos datos es intensivo o se combina con otras tecnologías de riesgo, la escuela debería documentar un análisis de riesgo previo.

3. Apps de comunicación con las familias

Casi todas las escuelas usan aplicaciones para comunicar con las familias, enviar fotos del día o gestionar avisos. Tres obligaciones ineludibles:

1. Contrato de encargado (art. 28 RGPD) con el proveedor de la app.
2. Ubicación de los datos: si los servidores están fuera del Espacio Económico Europeo, hay que verificar las garantías para transferencias internacionales.
3. Configuración de privacidad: las fotos compartidas en la app no deben ser descargables ni reenviables sin control, y el acceso debe limitarse a las familias de cada aula.

La comodidad de estas herramientas no exime de analizar qué datos tratan y dónde. Una app que sube imágenes de menores a un servidor sin garantías es una brecha esperando a ocurrir.

4. Videovigilancia en aulas y patios

La instalación de cámaras en centros con menores es especialmente sensible. Criterios:

• Las cámaras pueden justificarse en accesos y zonas comunes por seguridad, con base en el interés legítimo y cumpliendo el art. 22 LOPDGDD (cartel informativo, conservación máxima de un mes).
• La grabación del interior de las aulas es muy difícil de justificar y puede vulnerar la intimidad de menores y trabajadores.
• Cualquier sistema de cámaras accesible por las familias en tiempo real requiere un análisis de riesgo previo; valora una evaluación de impacto.

5. Obligaciones documentales y enforcement

La escuela es responsable del tratamiento y debe mantener un registro de actividades de tratamiento, entregar información en dos capas a las familias y disponer de un procedimiento para atender derechos. Como cualquier centro que trabaja con menores, conviene alinear la política con la guía sectorial de RGPD para centros educativos y con el checklist de cumplimiento.

La Agencia Española de Protección de Datos ha dictado resoluciones por difusión de imágenes de menores sin consentimiento y por comunicaciones que exponían datos de salud. En estos casos, el hecho de tratarse de menores agrava la valoración de la infracción. Mantener toda la documentación al día en un centro pequeño consume tiempo; herramientas como Legiscope automatizan el registro y los contratos de encargado, aunque una escuela pequeña puede empezar con plantillas bien construidas.

Véase también, para sectores con obligaciones de protección de datos similares: RGPD para academias y centros de formación, RGPD para universidades y RGPD para autoescuelas.

FAQ

¿Necesito el consentimiento de los dos progenitores para publicar fotos?

Por prudencia, sí. La difusión de imágenes de un menor es una decisión que corresponde a quienes ejercen la patria potestad. Salvo resolución judicial que atribuya la decisión a uno solo, lo recomendable es recabar el consentimiento de ambos progenitores.

¿Las fotos que hacen los padres en las funciones están sujetas al RGPD?

Las imágenes captadas por las familias para uso doméstico quedan fuera del RGPD. Pero la escuela debe advertir de que no se difundan en redes sociales sin el consentimiento del resto de familias afectadas.

¿Cómo debo tratar las alergias y la medicación de los niños?

Como datos de salud (categoría especial del art. 9 RGPD): recaba solo lo necesario, restringe el acceso al personal imprescindible y custódialos con medidas reforzadas. No expongas listados de alergias donde puedan verlos otras familias.

¿Puedo usar cualquier app para comunicarme con las familias?

Solo si firmas un contrato de encargado con el proveedor y verificas dónde se alojan los datos. Si los servidores están fuera del EEE, debes comprobar que existen garantías adecuadas para la transferencia internacional.