Por Patricia Giménez.- Un colegio de Madrid ha infringido tres artículos del Reglamento General de Protección de Datos (RGPD), según una resolución de la AEPD de fecha 22 de abril de 2025. La causa ha sido crear un correo electrónico a una alumna menor de edad sin el consentimiento de sus padres y –sin los niveles adecuados de seguridad–. El correo, además, estaba asociado al perfil de Classroom de la menor, una plataforma habitual para la gestión del aprendizaje y la comunicación en el ámbito educativo.

En 2023 los progenitores reclamaron ante la Agencia, afirmando que en noviembre de 2022 tuvieron conocimiento de que alguien había suplantado la identidad de su hija de 14 años, y se había hecho pasar por ella enviando mensajes desde la cuenta a varias personas. A ello añadieron que el suplantador había accedido al contenido de su perfil en Classroom, y escrito en su nombre. Conforme declararon los reclamantes, la escuela no había avisado de la brecha de seguridad. Y sus responsables, tras ser informados, no dieron ninguna importancia a lo ocurrido.

En opinión de Gerard Espuga, abogado especialista en protección de datos y socio en Beta Legal, que ha sido consultado por este diario, “las consecuencias podrían haber sido aún peores, incluso penales si alguien hubiera enviado contenido ilícito desde el email de la pequeña. Y en lo que respecta a la entrada al perfil de Classroom, también el asunto podría haberse agravado, ya que probablemente desde dicha plataforma el intruso podría haber conocido los datos de otros menores, debido a la interacción que puede tener lugar mientras los escolares realizan tareas”.

El COVID no es excusa para vulnerar la protección de datos

En mayo de 2024, la Agencia Española de Protección de Datos recibió las alegaciones del centro de enseñanza. Estas se basaban en que “la situación de creación de la dirección de correo electrónico respondió a una necesidad educativa, y que se llevó a cabo durante la época excepcional del COVID-19, ante la necesidad de adaptación rápida de los sistemas educativos existentes hasta el momento”. Sobre esta defensa, Gerard Espuga sostiene que “precisamente ese tipo de circunstancias no solo no te eximen del deber de cumplir con la normativa, sino que la precaución debe ser aún mayor”.

En paralelo, los reclamados argumentaron que los padres y tutores de los estudiantes no se negaron a que se pusiera en marcha la iniciativa –ya que se crearon correos electrónicos para todo el alumnado –. Sin embargo, en el expediente EXP202312988 se observa que estos fueron notificados a posteriori, después de haberse efectuado el tratamiento de los datos.

La Agencia, tras estudiar el incidente y las consideraciones de ambas partes, ha concluido que “en ningún caso, una situación de emergencia como ha sido la pandemia mundial del COVID-19 legitima, por sí misma, el tratamiento de los datos personales sin el consentimiento de sus titulares o de los tutores, en su caso”.

Por otra parte, en el expediente se puede leer que “sorprende mucho a este organismo que la falta del consentimiento se haya suplido con una simple posterior comunicación por correo electrónico a los tutores de los menores y, sorprende, aún más, que se le dé todo el valor del propio consentimiento por no constar impedimento o negativa por parte de dichos tutores”. Para Espuga, “si hablamos de consentimiento, la negativa no es suficiente, ya que el consentimiento debe ser informado y, a su vez, expreso, es decir, con una clara acción afirmativa”.

Correos poco seguros y respuesta inadecuada del colegio

La brecha de seguridad, como ha subrayado la autoridad en protección de datos, estribaba en que la contraseña del correo fueran las iniciales de los niños más la fecha de nacimiento de la madre, aspecto que “evidencia la debilidad y la falta de medidas de seguridad razonables y, en consecuencia, un incumplimiento de las obligaciones del responsable del tratamiento en materia de protección de datos […] Es evidente que las medidas de seguridad implantadas eran insuficientes”.

El abogado de Beta Legal señala que, por lo general, está prohibido incluir cualquier dato personal en las contraseñas. Además, estas deben ser robustas y cumplir ciertos requisitos, como tener una longitud mínima y combinar letras mayúsculas, minúsculas, números y/o símbolos. “En este caso, esas condiciones no se respetaron, ya que, por ejemplo, basta con consultar Facebook o buscar más exhaustivamente en Internet para averiguar la fecha de nacimiento de la progenitora”.

La primera acción al respecto por parte de la AEPD fue trasladar la queja a la institución docente, que en octubre de 2023 contestó únicamente que habían impartido a sus trabajadores una formación en protección de datos. La directora de la Agencia Española de Protección de Datos acordó entonces iniciar un procedimiento sancionador. El letrado Espuga afirma, en esta línea, que “la formación es una de las medidas de seguridad que se han de adoptar, pero no es ni mucho menos la única”.

La parte reclamada formuló en aquel momento una segunda serie de alegaciones, cuyo contenido, según se expone en la resolución, “reitera las manifestaciones ya hechas al acuerdo de inicio”. Y en cuanto a nuevas justificaciones, solo reconocían que en la escuela faltaba información sobre a quién dirigirse si alguien necesitaba contactar con su delegado de protección de datos.

Triple multa administrativa al colegio 

Finalmente, en octubre de 2024, la Agencia propuso sancionar triplemente a la entidad educativa. Por la infracción del artículo 6.1 del RGPD (sobre la licitud del tratamiento de datos y, en su caso, el consentimiento) le impuso una multa administrativa de 4.500 euros, la misma que por vulnerar el artículo 32 de la ley –acerca de la seguridad–.

A estas dos sanciones se sumó otra de 1.000 euros por no respetar el artículo 13 del RGPD, que versa sobre la información al interesado. En total, la cuantía ha ascendido a 10.000 euros. “Me consta que en las muchas escuelas se dan incumplimientos de este calibre”, concluye el experto Gerard Espuga, “y llama mucho la atención que en el tratamiento de datos de menores no se tengan especiales cautelas, y que se traten sin consentimiento ni base legítima”.