Google Workspace for Education, Microsoft 365 y otras plataformas en la nube forman parte del funcionamiento cotidiano de numerosos centros educativos. Permiten compartir materiales, organizar clases y comunicarse con las familias, pero también generan y almacenan información del alumnado y del profesorado.

 

La cuestión no es si utilizar estas herramientas está prohibido: lo importante es conocer qué datos tratan, para qué se utilizan y quién puede acceder a ellos. En marzo de 2026, la AEPD, la APDCAT y otras autoridades publicaron unos principios conjuntos sobre la contratación y el uso de plataformas educativas digitales. Sus criterios ofrecen una referencia concreta para revisar las herramientas utilizadas durante el curso 2026-2027.

¿Quién responde por los datos que se tratan en la nube?

El centro o la Administración educativa, según su titularidad y las decisiones sobre el tratamiento, deben asumir sus obligaciones como responsables. En los centros públicos, generalmente interviene la Administración educativa; en los privados y concertados, el propio centro. Contratar un proveedor tecnológico no traslada automáticamente esa responsabilidad al proveedor ni exclusivamente a la dirección escolar.

El prestador de la plataforma suele actuar como encargado del tratamiento cuando utiliza datos siguiendo instrucciones del responsable para prestar el servicio educativo. Sin embargo, puede actuar como responsable para determinados usos propios, por ejemplo, algunos servicios adicionales o tratamientos de datos generados por el funcionamiento de la plataforma.

 

Por eso, revisar el contrato y las funciones reales del proveedor es más importante que aceptar sin más una etiqueta jurídica en sus condiciones comerciales.

Qué datos maneja realmente una plataforma educativa

Además de los nombres, trabajos escolares, mensajes, calificaciones y archivos compartidos, las herramientas cloud pueden recoger información técnica: direcciones IP, identificadores de dispositivos, registros de acceso o datos sobre la interacción de las personas usuarias.

Estos metadatos también pueden ser datos personales. El centro debe conocer cuáles son necesarios para prestar el servicio y si el proveedor pretende emplearlos para finalidades propias, como analítica, perfilado o mejora comercial de productos.

 

Los principios conjuntos de 2026 advierten de que los servicios adicionales ajenos a la función educativa no deberían activarse en un entorno institucional destinado a menores. Es especialmente importante revisar las opciones habilitadas por defecto y los nuevos módulos de inteligencia artificial que puedan incorporarse a una plataforma.

 

No se puede concluir que Google, Microsoft o cualquier otro proveedor incumplan la normativa únicamente por ofrecer servicios en la nube. La valoración exige estudiar las condiciones, la configuración y los tratamientos concretos.

Cinco comprobaciones antes de contratar o renovar la plataforma

Contrato y subencargados. Si el proveedor actúa como encargado, debe existir un acuerdo conforme al artículo 28 del RGPD. Hay que revisar los servicios contratados, las instrucciones, las empresas subcontratadas y qué ocurrirá con los datos al finalizar la relación.

Finalidad y configuración. El centro debe comprobar que solo se utilizan los datos necesarios para la actividad educativa. Las funcionalidades opcionales, la visibilidad de perfiles y los permisos de acceso deben configurarse conforme a ese criterio.

 

Transferencias internacionales. Utilizar servicios cloud no significa automáticamente que exista una transferencia ilícita fuera del Espacio Económico Europeo. Deben identificarse los flujos efectivos, los países implicados y las garantías del capítulo V del RGPD cuando procedan.

 

Riesgos y evaluación de impacto. Antes de incorporar la herramienta debe analizarse el riesgo para el alumnado. El documento conjunto de las autoridades de marzo de 2026 establece la necesidad de una evaluación de impacto previa para las plataformas educativas digitales que describe, atendiendo a la escala y vulnerabilidad de los menores. El DPD debe participar desde las fases iniciales.

 

Información y seguridad. Las familias, el alumnado y el personal deben recibir información comprensible. También han de revisarse la autenticación, los accesos, la conservación de archivos y el procedimiento para comunicar incidentes.

Una certificación genérica del proveedor o la existencia de una política de privacidad no sustituyen estas comprobaciones.

¿Es necesario el consentimiento de las familias?

No para todos los tratamientos. La actividad educativa reglada dispone, con carácter general, de una base jurídica vinculada a la función educativa. Por eso, el uso necesario de una plataforma docente no exige automáticamente recabar un consentimiento para cada función ordinaria.

Es diferente publicar fotografías identificables de menores en redes sociales para promocionar actividades del centro. Esa finalidad debe analizarse separadamente y, cuando se base en consentimiento, obtener una autorización válida e informada. En España, el artículo 7 de la LOPDGDD establece la regla general de los 14 años para consentir por sí mismo un tratamiento, con las excepciones legales correspondientes.

 

También requieren especial atención los datos de salud, como determinadas alergias o informes psicopedagógicos. Debe limitarse su recogida y acceso a lo estrictamente necesario y comprobar una condición que permita tratar categorías especiales de datos conforme al artículo 9 del RGPD.

Errores que conviene corregir durante el curso

Una revisión útil no consiste únicamente en comprobar si existen contratos. También debe identificar si el profesorado utiliza aplicaciones no autorizadas, si quedan accesos activos de antiguos usuarios o si los archivos se comparten mediante enlaces abiertos.

Conviene revisar asimismo si se han activado servicios adicionales sin una valoración previa, si el centro conoce los subencargados y si dispone de instrucciones para responder ante una posible brecha de datos.

 

Los centros docentes incluidos en el artículo 34.1.b de la LOPDGDD deben designar un delegado de protección de datos. Su intervención en la elección y seguimiento de plataformas es especialmente relevante.

Preguntas frecuentes

¿Está prohibido usar Google Workspace o Microsoft 365 en un colegio?

No existe una prohibición general por el nombre del proveedor. Es necesario comprobar los servicios efectivamente contratados, las finalidades, las condiciones del tratamiento y las garantías aplicables.

¿Basta con firmar el contrato de encargado del tratamiento?

No. El contrato es necesario cuando existe un encargo, pero el responsable también debe revisar configuración, riesgos, derechos de las personas, posibles usos propios del proveedor y medidas de seguridad.

¿Puede el profesorado utilizar cualquier aplicación gratuita?

No debería incorporar herramientas por iniciativa propia cuando impliquen tratamientos de datos del alumnado al margen de las instrucciones y autorizaciones del responsable. Su gratuidad no elimina las obligaciones de protección de datos.

Cómo ayuda SIBPRODASA a los centros educativos

SIBPRODASA ofrece asesoramiento en protección de datos para centros educativos, con revisión de tratamientos, documentación, medidas organizativas, formación y apoyo en las funciones de DPD cuando corresponde.

Revisar las plataformas cloud desde una perspectiva jurídica y organizativa permite identificar riesgos y definir responsabilidades, sin atribuir a la consultoría la administración técnica de las herramientas ni prometer una ausencia total de incidencias.

 

Consulta el servicio de protección de datos para centros educativos para valorar las necesidades de tu centro.

 

La privacidad educativa no depende solo del programa elegido, sino de los datos que trata y de cómo se gobierna su utilización.