Una ficha de matrícula puede reunir la dirección, documentos, datos de contacto e información de salud de un niño. La LGPD en las escuelas orienta sobre cómo deben recopilarse, utilizarse, almacenarse y compartirse estos datos en instituciones públicas y privadas.
Para cumplir la ley, cada tratamiento debe tener una finalidad, una base legal y controles de acceso y seguridad acordes con el riesgo.
Esto afecta a alumnos, tutores legales, profesores y personal, así como a los registros en papel, correos electrónicos, hojas de cálculo y plataformas digitales. La escuela puede llevar a cabo actividades pedagógicas y administrativas con datos personales, siempre que pueda justificar su uso y proteger a las personas implicadas. Lo más útil es examinar cada rutina: qué información se recopila, quién la necesita, cuánto tiempo se conservará y qué hacer si alguien accede a ella sin autorización. La autorización firmada al formalizar la matrícula no cubre por sí sola cualquier uso futuro.
Puntos clave
- Las escuelas públicas y privadas deben identificar una finalidad y una base legal para cada tratamiento de datos.
- La información de salud y los datos biométricos son datos personales sensibles y requieren medidas de protección proporcionales al riesgo.
- El interés superior del niño debe orientar el tratamiento de sus datos, de acuerdo con la LGPD.
- Se pueden utilizar hojas de cálculo y aplicaciones tras evaluar el acceso, la seguridad, la finalidad y las condiciones del proveedor.
LGPD en las escuelas: obligaciones en la rutina de alumnos, familias y equipos
La LGPD es la Ley n.º 13.709/2018, que regula el tratamiento de datos personales por parte de personas físicas y jurídicas, públicas o privadas. En las escuelas, esto significa organizar cada uso de la información con una finalidad legítima, una base legal, un acceso adecuado y medidas de seguridad, desde la matrícula hasta la gestión del personal.
La ley se aplica a los registros digitales y físicos. La secretaría puede confirmar la identidad de un tutor legal; la dirección puede documentar una incidencia; la enfermería puede consultar información de salud; y el equipo de comunicación puede seleccionar imágenes de una fiesta escolar.
Cada tarea implica a personas autorizadas, datos distintos y riesgos propios.
Como primera medida, la dirección debe enumerar los tratamientos de datos y asignar responsables para revisarlos. Este inventario ayuda a detectar excesos que pasan inadvertidos en la rutina, como mantener una hoja de cálculo de contactos accesible para todo el equipo cuando solo la necesita la secretaría.
- Registra la finalidad y la base legal de cada actividad.
- Limita el acceso a las personas que necesitan los datos para realizar una tarea concreta.
- Establece criterios de conservación, eliminación y revisión de los plazos.
- Comprueba los contratos, los permisos y las medidas de seguridad de los proveedores.
- Define quién recibe las solicitudes de los interesados y quién coordina la respuesta ante incidentes.
La Ley General de Protección de Datos Personales sigue siendo la principal referencia legal. Para consultar las normas y directrices complementarias vigentes, la escuela debe acudir a la Autoridad Nacional de Protección de Datos (ANPD), el organismo brasileño encargado de la protección de datos. La aplicación a un caso concreto puede depender de la finalidad, el contexto y la base legal elegida; las situaciones complejas pueden requerir una evaluación jurídica.
Datos de niños y adolescentes: salud, imágenes y datos biométricos
Un dato personal es información relacionada con una persona identificada o identificable. El nombre, la dirección, el teléfono y el historial académico son algunos ejemplos; la información de salud y los datos biométricos vinculados a una persona son datos personales sensibles, sujetos a las condiciones legales y a las medidas de protección específicas de la LGPD.
Una alergia o un medicamento pueden ser necesarios para responder ante una emergencia, pero no tienen por qué circular entre todo el personal. La escuela debe limitar el registro a quienes necesiten actuar y evitar que los diagnósticos queden expuestos en listas abiertas, tablones de anuncios o grupos de mensajería. El mismo cuidado se aplica a los informes médicos, la información sobre discapacidad y los registros de atención psicológica.
En el tratamiento de datos de niños y adolescentes debe prevalecer su interés superior. La ANPD detalla cómo se aplica la ley a este grupo en su declaración sobre el tratamiento de datos personales de niños y adolescentes, que debe leerse junto con la LGPD y teniendo en cuenta las circunstancias de cada actividad.
Fotos y vídeos en eventos escolares
Una imagen en la que se puede identificar a una persona es un dato personal. Fotografiar una actuación para un registro interno y publicar el vídeo en una red social son usos distintos, con públicos y riesgos diferentes; por eso, la escuela debe informar de cada finalidad e identificar la base legal adecuada, sin dar por hecho que una autorización genérica al formalizar la matrícula permita cualquier publicación pública.
Datos biométricos y aplicaciones escolares
Antes de implantar el reconocimiento facial o la lectura de huellas dactilares para controlar el acceso, la dirección debe preguntarse si hay una alternativa menos invasiva, como una tarjeta o una comprobación manual, y si la recopilación es necesaria para alcanzar el objetivo. Los datos biométricos no deben recogerse solo por comodidad, sobre todo cuando se trata de niños y adolescentes.
Las aplicaciones para tareas, asistencia o comunicación también pueden recibir datos de los alumnos. La escuela debe examinar qué información recopila el proveedor, quién administra las cuentas, si los datos se comparten con terceros y cómo se eliminan al finalizar el contrato. Una herramienta puede ser adecuada para una actividad y excesiva para otra.
Bases legales, consentimiento y derechos de los estudiantes
El consentimiento es una de las bases legales previstas en la LGPD, no una autorización universal. La escuela debe elegir la base adecuada para el tratamiento, como el cumplimiento de una obligación legal o reglamentaria, la ejecución de un contrato o el consentimiento, según el caso. Esta elección debe quedar registrada y no puede servir de justificación automática para cualquier recopilación de datos.
En el caso de los datos de niños, el artículo 14 de la LGPD establece normas específicas, incluido el consentimiento específico y destacado de al menos uno de los padres o del tutor legal cuando esta sea la base utilizada. La ley también contempla otras bases para tratar datos de niños, siempre que se respeten sus condiciones y su interés superior. Las directrices de la ANPD ayudan a interpretar estas normas sin convertir el consentimiento en un requisito indistinto para todas las actividades escolares.
¿Cuáles son los principios y fundamentos de la LGPD?
La ley no establece una lista de «siete fundamentos». Distingue entre fundamentos, principios y bases legales: los fundamentos aparecen en el artículo 2, los principios en el artículo 6 y las bases legales, entre otras disposiciones, en los artículos 7 y 11. Entre los principios figuran la finalidad, la adecuación, la necesidad, la transparencia, la seguridad, la prevención y la rendición de cuentas; la lista legal incluye más de siete elementos.
El estudiante o su representante puede ejercer los derechos previstos en la LGPD, como solicitar confirmación de que sus datos se tratan, acceder a ellos y corregir los que estén incompletos o desactualizados. La escuela debe indicar un canal para recibir solicitudes, confirmar la identidad de quien las presenta y remitirlas al equipo responsable. No siempre es posible eliminar la información de inmediato: las obligaciones legales y otras bases aplicables pueden exigir que se conserve.
Inventario, accesos, conservación y proveedores
Un inventario útil describe el tratamiento de forma que otra persona de la escuela pueda entender qué ocurre sin depender de información transmitida de manera informal. Para cada rutina, registra la finalidad, las categorías de datos, quién tiene acceso, el sistema o archivo utilizado, el proveedor implicado, la base legal y el criterio de conservación.
Actividad Finalidad Acceso indicado Revisión Matrícula Formalizar la relación y cumplir los procedimientos escolares Secretaría y profesionales cuyas funciones estén relacionadas Al actualizar los formularios o las normas de conservación Registro de salud Dar apoyo al estudiante y responder a sus necesidades de atención Equipo que necesita la información para atender al alumno Cuando la información deje de estar actualizada o cambien las necesidades Fotografía de un evento Registro interno o difusión, según la finalidad comunicada Equipo responsable del archivo o la publicación Antes de cada nueva forma de difusión Control de acceso Verificar el acceso a las instalaciones Equipo responsable del control Antes de ampliar la recopilación o conservar datos biométricos Plataforma escolar Realizar tareas académicas o administrativas definidas Cuentas individuales según la función Al contratar, renovar o modificar el servicio
No existe un plazo de conservación único que sea adecuado para todos los registros escolares. La escuela debe tener en cuenta la finalidad, las obligaciones legales y reglamentarias y la necesidad de defender derechos; después, debe establecer un procedimiento de eliminación segura o anonimización cuando ya no sea necesario conservar los datos. Por tanto, la pregunta de cuánto tiempo conservarlos debe responderse para cada categoría documental, no con una regla general.
Antes de contratarlos, es necesario evaluar a los proveedores que gestionan sistemas escolares. El contrato debe aclarar las responsabilidades, las medidas de seguridad, la asistencia para atender las solicitudes de los interesados, la subcontratación y los procedimientos ante incidentes. La escuela también debe revisar los permisos cuando un empleado cambia de puesto o deja la institución.
Hojas de cálculo, correo electrónico, WhatsApp e intercambio de información
Las herramientas habituales no son automáticamente incompatibles con la LGPD. El riesgo depende de los datos compartidos, quién los recibe, la configuración y la finalidad. Por ejemplo, enviar una lista de asistencia a un grupo amplio puede revelar información que las demás familias no necesitan conocer.
En la práctica, los errores aparecen cuando el equipo reutiliza una hoja de cálculo antigua y mantiene los permisos de personas que ya no trabajan en ese proyecto. Revisar los accesos debe formar parte del cierre de cada actividad, al igual que comprobar los destinatarios antes de enviar un correo electrónico con archivos adjuntos.
Antes de compartir datos, comprueba si el destinatario necesita cada campo y prefiere canales institucionales con cuentas individuales y control de acceso. Evita publicar información de salud en grupos y no reenvíes fotos de alumnos para fines distintos de las comunicaciones dirigidas a sus familias. El uso de recursos cotidianos puede organizarse sin convertir cada comunicación en una recopilación excesiva de datos.
El mismo criterio se aplica a una actividad relacionada con un diagnóstico o una necesidad específica: comparte solo la información que el equipo necesita para llevarla a cabo, sin exponer todo el historial del estudiante. Para encontrar otros sistemas o servicios, la escuela debe evaluar los controles y las condiciones de uso, en lugar de confiar solo en la popularidad de la herramienta.
Filtración de datos: respuesta y responsabilidades de la escuela
Un incidente de seguridad puede implicar la pérdida, alteración, acceso no autorizado o divulgación de datos personales. Si detecta una hoja de cálculo expuesta, un dispositivo perdido con archivos o un mensaje enviado a un destinatario equivocado, la escuela debe contener el problema, conservar la información útil para investigarlo y registrar lo ocurrido.
- Detén la exposición. Revoca los enlaces públicos, bloquea las cuentas comprometidas o solicita que se retire el contenido, sin eliminar las pruebas necesarias para la investigación.
- Registra lo ocurrido. Anota cuándo tuvo conocimiento la escuela del incidente, qué datos se vieron afectados, cuántas personas podrían estar implicadas y qué medidas se han adoptado.
- Evalúa el riesgo. Ten en cuenta la naturaleza de los datos, la posibilidad de causar perjuicios a los interesados y si hay niños, información de salud o datos biométricos implicados.
- Decide las comunicaciones. La LGPD prevé la comunicación a la ANPD y a los interesados cuando el incidente pueda suponer un riesgo o un perjuicio relevante, de acuerdo con la normativa aplicable.
- Corrige la causa. Ajusta los permisos, los procesos o los contratos y define quién hará el seguimiento de las medidas pendientes.
El delegado de protección de datos actúa como canal de comunicación entre la institución, los interesados y la ANPD, de acuerdo con las responsabilidades aplicables al caso. La escuela debe definir quién recibe los avisos y quién toma las decisiones, incluso si la institución no cuenta con un equipo dedicado exclusivamente a la privacidad. La ANPD explica los procedimientos en su página sobre incidentes de seguridad.
Móviles y tecnología en la escuela en 2026
La Ley n.º 15.100/2025 regula el uso de dispositivos electrónicos portátiles personales por parte de los estudiantes de educación básica. Restringe su uso durante las clases, los recreos y los descansos, y contempla excepciones, como el uso con fines pedagógicos bajo la orientación de un profesional, por motivos de accesibilidad, inclusión o salud, y para garantizar derechos. La escuela debe consultar el texto legal y las normas aplicables para definir su reglamento interno.
Las normas sobre el uso del móvil y la protección de datos son cuestiones relacionadas, pero distintas. Restringir el dispositivo durante la clase no elimina la obligación de proteger los datos en las plataformas escolares, las fotos, los registros de asistencia o los sistemas de control de acceso. Si la escuela autoriza un dispositivo para una actividad, debe informar qué herramienta se utilizará, qué datos se recopilarán y quién podrá consultarlos.
También es necesario distinguir entre el dispositivo personal del estudiante y los recursos digitales proporcionados por la institución. Una política interna puede establecer horarios, excepciones y procedimientos para emergencias; sin embargo, el tratamiento de datos que realizan las aplicaciones o los equipos sigue sujeto a la LGPD. Para las actividades con alumnos, evita exigirles una cuenta personal en un servicio externo sin evaluar si es necesario y qué alternativas hay disponibles.
Qué permite la LGPD y cómo aplicar sus normas en la escuela
La LGPD no incluye una lista sencilla de acciones escolares prohibidas. El tratamiento puede llevarse a cabo cuando tiene una finalidad legítima, una base legal adecuada y medidas de protección apropiadas; prácticas como recopilar datos innecesarios, reutilizarlos para una finalidad incompatible o permitir que accedan a ellos quienes no los necesitan pueden infringir la ley, según las circunstancias.
El primer paso de gestión consiste en elegir una rutina concreta, como la matrícula o la difusión de fotos, y completar el inventario con la finalidad, la base legal, los accesos y el plazo de conservación. Después, revisa si cada campo del formulario es necesario, ajusta los permisos y registra quién se encarga de responder a las solicitudes y gestionar los incidentes. Para confirmar los cambios legales y las directrices complementarias, consulta el texto actualizado de la ley y los materiales oficiales de la ANPD.
Preguntas frecuentes
¿Se aplica la LGPD a las escuelas pequeñas?
Sí. El tamaño de la institución no la exime de cumplir la ley, aunque las normas específicas pueden tener en cuenta la dimensión y la naturaleza del responsable del tratamiento.
¿Pueden los profesores guardar datos de los alumnos en hojas de cálculo propias?
El uso debe ajustarse a las directrices de la escuela, tener una finalidad pedagógica o administrativa definida y contar con controles de acceso y seguridad. Las hojas de cálculo personales sin gestión institucional dificultan la revisión de permisos, la revocación de accesos y la respuesta ante incidentes.
¿Puede la escuela publicar fotos de los alumnos en las redes sociales?
Es posible tratar imágenes para su difusión cuando exista una base legal adecuada y se respeten las normas aplicables a niños y adolescentes. La escuela debe informar de esta finalidad, limitar la exposición y no considerar que la autorización para un registro interno permita automáticamente la publicación pública.
¿Es obligatorio contratar a un delegado de protección de datos a tiempo completo?
La LGPD contempla la figura del delegado, pero la forma de cumplir las obligaciones depende de las normas aplicables al responsable del tratamiento y de su estructura. La escuela debe definir un canal de contacto y las responsabilidades para atender a los interesados y gestionar las comunicaciones con la ANPD.
¿Existe un modelo oficial de LGPD para escuelas en PDF?
Los modelos pueden ayudar a organizar políticas e inventarios, pero no sustituyen el análisis de las rutinas de la institución. La escuela puede consultar los materiales oficiales de la ANPD y adaptar los documentos a sus finalidades, sistemas y plazos de conservación.
¿El MEC supervisa directamente el cumplimiento de la LGPD por parte de las escuelas?
La supervisión y la aplicación de las normas de protección de datos corresponden a la ANPD, sin perjuicio de las competencias de otros organismos en sus respectivos ámbitos. Las escuelas públicas también deben cumplir las normas administrativas y educativas aplicables a sus registros.
