Notas informativas del sector educativo
En junio de 2025, la Agencia Española de Protección de Datos (AEPD) sancionó con 10.000 € a un centro educativo tras la reclamación presentada por los progenitores de una alumna. El motivo fue la creación de una cuenta de correo electrónico institucional sin base legitimadora válida, así como la falta de medidas de seguridad, lo que provocó una brecha que derivó en la suplantación de identidad de la menor en Google Classroom.
Hechos principales
La reclamación se presentó en julio de 2023. Los padres denunciaron que el centro creó una cuenta de correo sin consentimiento, infringiendo el principio de licitud en el tratamiento de datos. Durante la investigación, la AEPD comprobó que se había accedido de forma no autorizada al perfil de Google Workspace de la alumna, desde el que se enviaron mensajes en su nombre.
La Agencia también detectó deficiencias en el sistema de contraseñas, que se generaban de forma poco robusta —a partir de la inicial del alumno y la fecha de nacimiento de la madre— y que no obligaba a los usuarios a cambiarlas tras el primer acceso. Además, la política de privacidad del centro no incluía los datos de contacto del Delegado de Protección de Datos (DPO), lo que dificultaba el ejercicio de los derechos de los interesados.
Infracciones del RGPD
La AEPD concluyó que el centro vulneró:
- Artículo 6.1 – Licitud del tratamiento: ausencia de consentimiento válido de los progenitores.
- Artículo 13 – Transparencia e información: omisión de los datos de contacto del DPO en la política de privacidad.
- Artículo 32 – Seguridad: deficiencias graves en el sistema de contraseñas y en la gestión de la brecha de seguridad.
Conclusión
Aunque el centro implementó medidas correctoras posteriormente, como formaciones internas y la actualización de su política de privacidad, la AEPD subrayó que estas acciones no eliminan las infracciones cometidas.
Esta resolución recuerda la importancia del cumplimiento estricto del RGPD, en especial cuando se tratan datos de menores de edad, considerados especialmente sensibles. La Agencia insiste en que los centros educativos deben garantizar bases de legitimación válidas, medidas de seguridad adecuadas y transparencia, reforzando así la protección de la privacidad de los alumnos en entornos digitales.
Descarga el informe completo más abajo.
