Google Workspace for Education, Microsoft 365 i altres plataformes al núvol formen part del funcionament quotidià de nombrosos centres educatius. Permeten compartir materials, organitzar classes i comunicar-se amb les famílies, però també generen i emmagatzemen informació de l'alumnat i del professorat.

 

La qüestió no és si utilitzar aquestes eines està prohibit: l'important és conèixer quines dades tracten, per a què s'utilitzen i qui hi pot accedir. El març de 2026, l'AEPD, l'APDCAT i altres autoritats van publicar uns principis conjunts sobre la contractació i l'ús de plataformes educatives digitals. Els seus criteris ofereixen una referència concreta per revisar les eines utilitzades durant el curs 2026-2027.

Qui respon per les dades que es tracten al núvol?

El centre o l'Administració educativa, segons la seva titularitat i les decisions sobre el tractament, han d'assumir les seves obligacions com a responsables. Als centres públics, generalment hi intervé l'Administració educativa; als privats i concertats, el mateix centre. Contractar un proveïdor tecnològic no trasllada automàticament aquesta responsabilitat al proveïdor ni exclusivament a la direcció escolar.

El prestador de la plataforma sol actuar com a encarregat del tractament quan utilitza dades seguint instruccions del responsable per prestar el servei educatiu. Tanmateix, pot actuar com a responsable per a determinats usos propis, per exemple, alguns serveis addicionals o tractaments de dades generades pel funcionament de la plataforma.

 

Per això, revisar el contracte i les funcions reals del proveïdor és més important que acceptar sense més una etiqueta jurídica en les seves condicions comercials.

Quines dades gestiona realment una plataforma educativa

A més dels noms, treballs escolars, missatges, qualificacions i arxius compartits, les eines al núvol poden recollir informació tècnica: adreces IP, identificadors de dispositius, registres d'accés o dades sobre la interacció de les persones usuàries.

Aquestes metadades també poden ser dades personals. El centre ha de conèixer quines són necessàries per prestar el servei i si el proveïdor pretén utilitzar-les per a finalitats pròpies, com ara analítica, elaboració de perfils o millora comercial de productes.

 

Els principis conjunts de 2026 adverteixen que els serveis addicionals aliens a la funció educativa no s'haurien d'activar en un entorn institucional destinat a menors. És especialment important revisar les opcions habilitades per defecte i els nous mòduls d'intel·ligència artificial que es puguin incorporar a una plataforma.

 

No es pot concloure que Google, Microsoft o qualsevol altre proveïdor incompleixin la normativa únicament pel fet d'oferir serveis al núvol. La valoració exigeix estudiar les condicions, la configuració i els tractaments concrets.

Cinc comprovacions abans de contractar o renovar la plataforma

Contracte i subencarregats. Si el proveïdor actua com a encarregat, ha d'existir un acord conforme a l'article 28 del RGPD. Cal revisar els serveis contractats, les instruccions, les empreses subcontractades i què passarà amb les dades quan finalitzi la relació.

Finalitat i configuració. El centre ha de comprovar que només s'utilitzen les dades necessàries per a l'activitat educativa. Les funcionalitats opcionals, la visibilitat dels perfils i els permisos d'accés s'han de configurar d'acord amb aquest criteri.

 

Transferències internacionals. Utilitzar serveis al núvol no significa automàticament que existeixi una transferència il·lícita fora de l'Espai Econòmic Europeu. S'han d'identificar els fluxos efectius, els països implicats i les garanties del capítol V del RGPD quan correspongui.

 

Riscos i avaluació d'impacte. Abans d'incorporar l'eina s'ha d'analitzar el risc per a l'alumnat. El document conjunt de les autoritats de març de 2026 estableix la necessitat d'una avaluació d'impacte prèvia per a les plataformes educatives digitals que descriu, tenint en compte l'escala i la vulnerabilitat dels menors. El DPD ha de participar des de les fases inicials.

 

Informació i seguretat. Les famílies, l'alumnat i el personal han de rebre informació comprensible. També s'han de revisar l'autenticació, els accessos, la conservació d'arxius i el procediment per comunicar incidents.

Una certificació genèrica del proveïdor o l'existència d'una política de privacitat no substitueixen aquestes comprovacions.

És necessari el consentiment de les famílies?

No per a tots els tractaments. L'activitat educativa reglada disposa, amb caràcter general, d'una base jurídica vinculada a la funció educativa. Per això, l'ús necessari d'una plataforma docent no exigeix automàticament obtenir un consentiment per a cada funció ordinària.

És diferent publicar fotografies identificables de menors a les xarxes socials per promocionar activitats del centre. Aquesta finalitat s'ha d'analitzar separadament i, quan es basi en el consentiment, obtenir una autorització vàlida i informada. A Espanya, l'article 7 de la LOPDGDD estableix la regla general dels 14 anys per consentir per si mateix un tractament, amb les excepcions legals corresponents.

 

També requereixen una atenció especial les dades de salut, com determinades al·lèrgies o informes psicopedagògics. Se n'ha de limitar la recollida i l'accés al que sigui estrictament necessari i comprovar una condició que permeti tractar categories especials de dades d'acord amb l'article 9 del RGPD.

Errors que convé corregir durant el curs

Una revisió útil no consisteix únicament a comprovar si existeixen contractes. També ha d'identificar si el professorat utilitza aplicacions no autoritzades, si queden accessos actius d'antics usuaris o si els arxius es comparteixen mitjançant enllaços oberts.

Convé revisar també si s'han activat serveis addicionals sense una valoració prèvia, si el centre coneix els subencarregats i si disposa d'instruccions per respondre davant d'una possible bretxa de dades.

 

Els centres docents inclosos a l'article 34.1.b de la LOPDGDD han de designar un delegat de protecció de dades. La seva intervenció en l'elecció i el seguiment de plataformes és especialment rellevant.

Preguntes freqüents

Està prohibit utilitzar Google Workspace o Microsoft 365 en una escola?

No existeix una prohibició general pel nom del proveïdor. És necessari comprovar els serveis efectivament contractats, les finalitats, les condicions del tractament i les garanties aplicables.

N'hi ha prou amb signar el contracte d'encarregat del tractament?

No. El contracte és necessari quan existeix un encàrrec, però el responsable també ha de revisar la configuració, els riscos, els drets de les persones, els possibles usos propis del proveïdor i les mesures de seguretat.

Pot el professorat utilitzar qualsevol aplicació gratuïta?

No hauria d'incorporar eines per iniciativa pròpia quan impliquin tractaments de dades de l'alumnat al marge de les instruccions i autoritzacions del responsable. La seva gratuïtat no elimina les obligacions de protecció de dades.

Com ajuda SIBPRODASA els centres educatius

SIBPRODASA ofereix assessorament en protecció de dades per a centres educatius, amb revisió de tractaments, documentació, mesures organitzatives, formació i suport en les funcions de DPD quan correspon.

Revisar les plataformes al núvol des d'una perspectiva jurídica i organitzativa permet identificar riscos i definir responsabilitats, sense atribuir a la consultoria l'administració tècnica de les eines ni prometre una absència total d'incidències.

 

Consulta el servei de protecció de dades per a centres educatius per valorar les necessitats del teu centre.

 

La privacitat educativa no depèn només del programa escollit, sinó de les dades que tracta i de com es governa la seva utilització.