Google Classroom y datos de menores: ¿es legal que el colegio pida información de mi hijo?

Cuando un centro educativo utiliza plataformas digitales, es normal que surjan dudas. Actualmente, Google Classroom datos de menores es una de las búsquedas más frecuentes entre familias preocupadas por la privacidad de sus hijos.

Por eso, primero conviene aclarar algo esencial: el tratamiento de datos personales de alumnado está estrictamente regulado por el RGPD y la LOPDGDD. Además, la Agencia Española de Protección de Datos (AEPD) ha publicado criterios y guías específicas para entornos educativos. En resumen, las ideas esenciales que es necesario saber son:

• Primero, el colegio es responsable del tratamiento de los datos del alumnado.
• Segundo, debe existir base jurídica conforme al RGPD.
• Tercero, los padres deben recibir información clara y completa.
• Cuarto, Google puede actuar como encargado del tratamiento cuando presta el servicio educativo al centro, siempre que, tras un análisis concreto del servicio y de las condiciones contractuales, se constate que trata los datos únicamente siguiendo las instrucciones del responsable y sin fines propios, y que exista el correspondiente contrato conforme al artículo 28 del RGPD.
• Quinto, pueden ser necesarias evaluaciones de impacto en ciertos casos.
• Y sexto, las transferencias internacionales exigen garantías específicas.

Tabla de contenidos

• Google Classroom y datos de menores: marco legal aplicable
• ¿Puede el colegio usar Google Classroom recogiendo datos de menores?
  • ¿Qué debe establecer el contrato de encargo de tratamiento?
• Base jurídica de Google Classroom para tratar datos de menores
• ¿Qué datos puede pedir el colegio?
• Obligación de informar a las familias en el uso de Google Classroom con datos de menores
• Transferencias internacionales de datos con Google Classroom y qué pasa con los datos de menores
• Evaluación de impacto en protección de datos
• ¿Qué buenas prácticas pueden seguir centros y familias al usar Google Classroom y cuidar datos de menores?
• Conclusión: prudencia y cumplimiento normativo
• Preguntas Frecuentes (FAQ)
• Fuentes y recursos

Google Classroom y datos de menores: marco legal aplicable

Para comenzar, previamente a analizar Google Classroom, resulta imprescindible fijar el marco normativo vigente:

• Reglamento (UE) 2016/679 (RGPD).
• Ley Orgánica 3/2018 (LOPDGDD).
• Orientaciones y resoluciones de la Agencia Española de Protección de Datos.
• Normativa educativa autonómica cuando regule plataformas digitales.

Así pues, cualquier tratamiento debe respetar los principios del artículo 5 del RGPD. Estos son: licitud, lealtad, transparencia, minimización de datos, limitación de la finalidad, exactitud, limitación del plazo de conservación e integridad y confidencialidad.

¿Puede el colegio usar Google Classroom recogiendo datos de menores?

En esencia, sí. Sin embargo, aunque esta es la respuesta rápida, cabe matizar que su uso solo es legítimo si se cumplen todas las exigencias del RGPD y la LOPDGDD.

Por otro lado, cabe señalar que el centro educativo suele actuar como responsable del tratamiento, conforme al artículo 4.7 del RGPD. Por su parte, Google puede actuar como encargado del tratamiento en los términos ya indicados, de acuerdo con los artículos 4.8 y 28 del RGPD, siempre que exista un contrato o acuerdo que regule dicha relación.

¿Qué debe establecer el contrato de encargo de tratamiento?

Con base en lo señalado acerca de que Google suele actuar como encargado de tratamiento, el contrato debe señalar, entre otros, los siguientes aspectos:

• Primero, objeto y duración del tratamiento.
• Segundo, tipo de datos tratados.
• Tercero, categorías de interesados.
• Cuarto, obligaciones de confidencialidad.
• Quinto, medidas de seguridad técnicas y organizativas.

Base jurídica de Google Classroom para tratar datos de menores

Para que el uso de la plataforma sea lícito, el centro debe apoyarse en alguna de las bases del artículo 6 del RGPD. De este modo, en el ámbito educativo público, normalmente se invoca:

• Por un lado, en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, conforme al artículo 6.1.e del RGPD, cuando el uso de la plataforma resulte necesario para el desarrollo de la actividad educativa conforme a la normativa aplicable.
• Por otro, cuando proceda, en el cumplimiento de una obligación legal impuesta por la normativa educativa.

En cambio, en centros privados concertados o no concertados, el análisis puede variar en función del marco normativo aplicable y de la concreta finalidad del tratamiento. En determinados supuestos se acude al consentimiento, aunque este debe cumplir estrictamente las condiciones del artículo 7 del RGPD y solo será válido si puede considerarse libre, lo que debe analizarse con especial cautela en el ámbito educativo.

Cuando se trata de menores, entra en juego el artículo 8 del RGPD y el artículo 7 de la LOPDGDD. En España, los menores pueden prestar por sí mismos consentimiento válido a partir de los 14 años. Por debajo de esa edad, debe otorgarlo quien tenga la patria potestad.

¿Qué datos puede pedir el colegio?

Aquí rige el principio de minimización del artículo 5.1.c del RGPD. Es decir, solo pueden recabarse los datos adecuados, pertinentes y limitados a lo necesario. Por ello, habitualmente se tratan:

• Primero, nombre y apellidos del alumno.
• Segundo, dirección de correo corporativa educativa.
• Tercero, curso y grupo.
• Cuarto, actividades académicas y entregas.

Sin embargo, no deberían solicitarse datos innecesarios para la finalidad educativa. Tampoco se justifica pedir información sensible si no existe una base jurídica clara conforme al artículo 9 del RGPD.

Obligación de informar a las familias en el uso de Google Classroom con datos de menores

Otro punto clave a analizar es la transparencia. El centro debe facilitar a los padres y alumnos la información exigida por los artículos 13 y 14 del RGPD. Así, dicha información debe incluir, fundamentalmente:

• En primer lugar, identidad del responsable.
• Segundo, finalidades del tratamiento.
• Tercero, base jurídica.
• En cuarto lugar, destinatarios de los datos.
• Quinto, transferencias internacionales, si existen.
• En sexto lugar, plazos de conservación.
• Séptimo, derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
• Finalmente, derecho a reclamar ante la AEPD.

Además, la información debe proporcionarse en lenguaje claro y accesible.

Transferencias internacionales de datos con Google Classroom y qué pasa con los datos de menores

Muchas plataformas tecnológicas implican alojamientos fuera de la Unión Europea. Por ello, resulta esencial analizar los artículos 44 a 49 del RGPD. En ese contexto, si los datos se transfieren a terceros países, el responsable debe asegurarse de que existen:

• Primero, decisiones de adecuación.
• Segundo, cláusulas contractuales tipo u otros mecanismos previstos en el RGPD.
• También, realizar, cuando proceda, un análisis adicional del nivel de protección efectivo conforme a la jurisprudencia del Tribunal de Justicia de la Unión Europea.

Asimismo, este punto ha sido objeto de especial atención por la Agencia Española de Protección de Datos y por el Comité Europeo de Protección de Datos en sus orientaciones y resoluciones.

Evaluación de impacto en protección de datos

En determinados supuestos, puede ser obligatoria una evaluación de impacto, conforme al artículo 35 del RGPD. En esencia, esto ocurre cuando:

• Se usan tecnologías nuevas.
• Hay tratamiento masivo de datos de menores.
• Existe observación sistemática de interesados.

Por tanto, determinados proyectos digitales en centros educativos pueden requerir este análisis previo, en función de su alcance, características y riesgos, para identificar medidas de mitigación adecuadas.

¿Qué buenas prácticas pueden seguir centros y familias al usar Google Classroom y cuidar datos de menores?

Para finalizar, cabe tener en cuenta una serie de medidas de cara a reducir riesgos. Entre otras, para centros educativos se recomiendan las siguientes:

• Primeramente, revisar los contratos con proveedores tecnológicos.
• Seguidamente, limitar los datos solicitados.
• Para continuar, informar de forma clara y documentada.
• Por otro lado, realizar evaluaciones de impacto cuando proceda.
• Finalmente, establecer protocolos internos de seguridad.

Asimismo, con respecto a qué pueden hacer las familias, se recomienda, entre otras:

• Primero, solicitar la política de privacidad del centro.
• Segundo, preguntar por las transferencias internacionales.
• Por último, ejercer sus derechos ante el responsable para limitar el tratamiento de datos de sus hijos.

Conclusión: prudencia y cumplimiento normativo

En conclusión, el uso de plataformas educativas es compatible con la normativa si se respetan las exigencias del RGPD y la LOPDGDD. No obstante, cada caso requiere un análisis concreto. Google Classroom datos de menores no es una cuestión trivial, sino un ámbito que exige responsabilidad, transparencia y garantías efectivas.

Por ello, si tu centro educativo o tu familia tienen dudas sobre la legalidad del tratamiento de datos en entornos digitales, conviene contar con asesoramiento profesional. En Legal Veritas analizamos contratos, bases jurídicas y evaluaciones de impacto conforme a fuentes oficiales y normativa vigente. Contacta con nuestro equipo para analizar tu caso concreto y valorar el cumplimiento de la normativa aplicable.

Este contenido está redactado con carácter informativo. Por tanto, si tienes dudas sobre si se están tratando correctamente los datos de tus hijos o sobre si tu centro educativo sigue la normativa legal, contacta con un equipo de expertos para que estudiemos tu caso. Cada situación debe ser analizada de forma individual y en Legal Veritas podemos ayudarte.

Preguntas Frecuentes (FAQ)

Fuentes y recursos

• Constitución Española.
• RGPD: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• LOPDGDD: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Ley de Protección del Menor: Ley Orgánica 1/1996, de Protección Jurídica del Menor.
• AEPD: Guía para centros educativos