Multa a la escuela por «autorizar» un tratamiento de datos privados de menores que «no se limita a la mera gestión académica o administrativa»
La Agencia Española de Protección de Datos ha emitido su primera sanción individual a un centro escolar por el uso indebido de la plataforma de gestión educativa de Google. La autoridad reguladora afirma que la escuela incurrió en tres infracciones al Reglamento General de Protección de Datos al permitir el uso de información personal de menores «con objetivos que exceden los propios del derecho a la educación». También constata que no se proporcionó toda la información a las familias ni se llevó a cabo una evaluación de impacto adecuada.
Esta resolución se enmarca en la polémica que desde hace años genera el uso de la tecnología entre menores. Familias de todo el país se han organizado para retrasar la entrega del teléfono móvil a sus hijos y solicitar el regreso a los libros de texto en el sistema escolar. La Ley Antipantallas, actualmente en trámite parlamentario, establece por primera vez una regulación sobre el uso individual de ordenadores portátiles y tabletas en las escuelas. Comunidades como Murcia o la Comunidad de Madrid han limitado su uso, y otras regiones también preparan normativas similares. Paralelamente, varios padres han solicitado apoyo al Defensor del Pueblo o han presentado reclamaciones ante Protección de Datos por la digitalización de las aulas. Este caso se engloba dentro de estas denuncias.
Una madre acudió en abril de 2024 a la Agencia para denunciar que sus hijos, alumnos de Primaria, accedían a contenidos no vinculados con el aprendizaje, como YouTube o videojuegos, mediante el ordenador portátil proporcionado por el colegio a través de la plataforma Google Workspace for Education, una herramienta escolar que incluye aplicaciones para publicar apuntes y tareas —la más conocida es Google Classroom—, trabajar en equipo, enviar correos electrónicos o almacenar presentaciones. La denunciadora además afirmó no haber recibido información relativa al uso de dicha plataforma.
La Agencia realizó dos solicitudes de información al Holy Mary Catholic School de Madrid, que presentó pruebas de haber mantenido varias comunicaciones con la reclamante informando sobre el uso y almacenamiento de datos, lo que en términos técnicos se denomina «el tratamiento». Sin embargo, la Agencia «cuestiona las condiciones en que se efectuó dicha comunicación» y no ha considerado acreditado que toda la información llegara a las familias.
Envío de datos a otros países
La resolución especifica que se informó sobre el almacenamiento de nombre, apellidos, contraseña y curso escolar de los alumnos, pero no se mencionó que «la plataforma recopila datos de uso de los estudiantes que quedan asociados a sus perfiles, como información de los dispositivos o acceso a contenidos reproducidos o subidos por los usuarios», incluyendo la dirección IP. Tampoco informó el colegio, según Protección de Datos, sobre «la existencia de transferencias internacionales de datos». Es decir, que los datos de los menores se transmiten y almacenan en países fuera del Espacio Europeo.
En segunda instancia, la Agencia considera que el centro escolar realizó una evaluación de impacto que «no es exhaustiva en la identificación de elementos clave del tratamiento (tipo de datos y transferencias), no valora los riesgos reales ni incorpora un análisis de proporcionalidad conforme a lo exigido por el Reglamento General de Protección de Datos».
En tercer lugar, el colegio alegaba que «el uso de herramientas digitales forma parte de la enseñanza contemporánea y que su adopción está respaldada tanto por su deber de impartir educación como por el interés público de formar a los alumnos en competencias digitales». Protección de Datos replica que los datos fueron empleados «para la prestación del servicio en sí, pero también para otros propósitos que exceden lo educativo y, en consecuencia, no pueden ser aceptados». Entre estas funciones se citan «formulación de recomendaciones, optimización del uso de los servicios para ofrecer y mejorar otros servicios demandados, prestar soporte…». «El tratamiento no se limita a la mera gestión académica o administrativa necesaria para la escolarización del alumnado», recalca la resolución.
«Estas nuevas finalidades que exceden el derecho a la educación […] son realizadas con el conocimiento del responsable del tratamiento, esto es, el colegio, que las permite y tolera al seleccionar la herramienta», concluye Protección de Datos al considerar agravante que los 531 alumnos con cuenta sean menores de 18 años.
«Revelan convicciones religiosas»
La resolución de la Agencia Española de Protección de Datos señala que, además de procesar por parte de Google Workspace for Education datos personales de menores, como nombre y apellidos, edad, dirección IP, cookies e información de uso y hábitos, «de forma indirecta» también se «revelan convicciones religiosas», dado que el dominio de las direcciones de correo electrónico facilitado por el colegio privado Holy Mary Catholic School «hace referencia a su nombre y condición como centro docente católico».
Este es uno de los motivos que llevó a la Agencia a imponer una multa de 20.000 euros, reducibles a 12.000 euros si el colegio realizaba el pago dentro del periodo voluntario. El centro así lo ha hecho, «lo que implica el reconocimiento de responsabilidad por los hechos».
La Agencia también ha dictado medidas correctivas para que el colegio subsane las infracciones. De no cumplirse en tres meses, podría iniciarse un nuevo procedimiento sancionador.
«Seguridad de los alumnos»
Un portavoz de Holy Mary declaró a EL MUNDO que el colegio «ha actuado en todo momento con diligencia, responsabilidad y plena colaboración con la Agencia». «Para ello ha presentado amplia documentación técnica y legal sobre el uso de Google Workspace for Education». Señaló que «esta plataforma se emplea en un entorno educativo cerrado y supervisado por el propio colegio, configurado exclusivamente para fines pedagógicos. Además, cuenta con limitaciones ajustadas a la edad del alumnado y con servicios adicionales deshabilitados. El colegio garantizó en todo momento la protección de los datos de los alumnos y no ocultó información a las familias».