Introducción: un expediente que empieza antes de la primera lección
Tu hijo ha empezado primero de primaria hace tres semanas. Todavía no sabe leer con soltura. Sin embargo, ya tiene un identificador nacional de alumno, una cuenta en un espacio virtual de aprendizaje, una línea en un programa de facturación del comedor, una foto en una orla y, probablemente, tres cuentas en aplicaciones pedagógicas cuyas condiciones de uso nunca has leído.
Ninguno de estos tratamientos es ilegítimo. La administración educativa tiene que gestionar matrículas, notas, ausencias, comidas, salidas. Los docentes necesitan herramientas. Los ayuntamientos necesitan saber quién come qué y quién vuelve a casa a qué hora. Pero la acumulación produce algo que nadie ha decidido: un perfil longitudinal, constituido sin el acuerdo del interesado, que acompañará a un niño durante quince años de escolaridad y, en algunos apartados, mucho más allá.
La CNIL dedica desde hace varios años una parte importante de sus inspecciones al sector educativo, y sus recomendaciones sobre los datos de los menores son explícitas: un niño no es un usuario cualquiera, su capacidad para comprender un consentimiento es limitada y el principio de minimización debe aplicarse con mayor severidad. El Comité Europeo de Protección de Datos (CEPD) mantiene la misma línea.
Esta guía no propone desescolarizar a nadie. Explica qué se recopila en cada nivel del sistema escolar, qué puedes rechazar sin consecuencias pedagógicas y cómo plantear las preguntas adecuadas a la persona adecuada.
Parte 1 — Cartografiar la recopilación: cuatro niveles, cuatro responsables
La confusión más frecuente entre los padres consiste en creer que «la escuela» es un interlocutor único. En realidad, se superponen cuatro responsables del tratamiento distintos, con bases jurídicas y plazos de conservación diferentes.
Nivel 1 — El Estado: el expediente administrativo de escolaridad
El Ministerio de Educación gestiona bases nacionales: ONDE (herramienta digital para la dirección de centros) en primaria, SIECLE en secundaria, Affelnet para la asignación de plazas, Parcoursup a la salida. Cada alumno recibe un identificador nacional de alumno (INE), un número de 11 caracteres que lo acompaña desde la educación infantil hasta la enseñanza superior.
Lo que ahí figura: datos de identidad, domicilio, tutores legales, trayectoria, repeticiones de curso, optativas, resultados de exámenes. Base jurídica: misión de interés público. No puedes oponerte, y es coherente: la obligación de instrucción implica un seguimiento.
Lo que sí puedes hacer: verificar la exactitud (derecho de rectificación) y vigilar los campos facultativos. En muchos formularios de matrícula aparecen apartados no obligatorios presentados como si lo fueran: profesión de los padres, número de hermanos, lengua hablada en casa. Un campo vacío nunca ha impedido una matriculación.
Nivel 2 — La entidad local: comedor, actividades extraescolares, transporte
El ayuntamiento (colegios), el departamento (institutos de primer ciclo) o la región (institutos) gestionan el comedor, el transporte escolar y la acogida de mañana y tarde. Es el nivel más intrusivo y el menos vigilado por los padres.
Ahí figuran: renta familiar, número de beneficiario de prestaciones, regímenes alimentarios (dato revelador de convicciones religiosas o de un problema de salud), horarios de llegada y salida, impagos, datos bancarios.
Nivel 3 — El centro: vida escolar y herramientas digitales
Notas, ausencias, retrasos, sanciones, observaciones de los docentes, mensajería interna, cuaderno de tareas. En concreto: Pronote, la plataforma educativa regional, a veces un programa de gestión del internado o de la vida escolar.
Nivel 4 — Los terceros: aplicaciones, plataformas, proveedores
Es el nivel salvaje. Un docente motivado puede, en un solo curso, hacer que sus alumnos creen cuentas en una plataforma de cuestionarios, un servicio de vídeos educativos, una herramienta de dibujo en línea y un espacio de entrega de deberes. Cada uno con sus servidores, sus cookies, sus condiciones de uso redactadas en inglés y su modelo de negocio, a veces publicitario.
Regla útil: cuanto más se descienden los niveles, menos obligatorio es el tratamiento y mayor es tu margen de rechazo.
Parte 2 — El comedor biométrico: el tema del que se habla demasiado poco
Lo que la CNIL ha zanjado realmente
Desde hace algunos años, varios centros —sobre todo institutos— instalan a la entrada del comedor dispositivos de reconocimiento del contorno de la mano, de la red venosa o del rostro, para sustituir la tarjeta olvidada.
La postura de la CNIL es constante y restrictiva. La biometría entra en la categoría de datos sensibles según el artículo 9 del RGPD: su tratamiento está prohibido por principio, salvo excepción. Para el control de acceso a un comedor escolar, la autoridad considera que no existe ninguna necesidad que justifique semejante dispositivo, puesto que una tarjeta, un código o el reconocimiento visual por parte de un empleado cumplen la misma función. En 2019, el tribunal administrativo de Marsella anuló la resolución de una región que experimentaba con el reconocimiento facial a la entrada de dos institutos, basándose en particular en la ausencia de consentimiento libre de los alumnos.
Traducción práctica para un padre o una madre: si te presentan un formulario de inscripción a un dispositivo biométrico de comedor, puedes negarte sin motivo y pedir la alternativa. Una negativa no puede privar a tu hijo de comer.
La tarjeta, el llavero y el monedero electrónico
Queda el caso habitual: una tarjeta sin contacto, una cuenta de prepago, un historial de accesos. Ahí el asunto ya no es la biometría, sino la granularidad. Un sistema de comedor no necesita saber que un alumno tomó dos postres el 14 de marzo; necesita saber cuántas comidas facturar.
Preguntas que hay que plantear por escrito al responsable del servicio:
- ¿Se registra el detalle de los platos elegidos y con qué finalidad?
- ¿Cuánto tiempo se conserva el historial de accesos tras el final del curso escolar?
- ¿Los regímenes alimentarios se almacenan sin cifrar y quién puede verlos?
- ¿Los impagos se comunican a un tercero?
Un simple protector de tarjetas RFID para la tarjeta del comedor o del transporte evita además las lecturas oportunistas dentro de una mochila; es un accesorio de dos euros que resuelve toda una categoría de problemas.
Parte 3 — Plataforma educativa, Pronote y aplicaciones: el día a día que se acumula
Lo que el espacio virtual de aprendizaje sabe de tu hijo
Una plataforma educativa no es solo un cuaderno de tareas. Es un registro de conexiones. Hora de consulta, dirección IP, documentos abiertos, mensajes enviados, deberes entregados con retraso a las 23:47. Estos metadatos no aparecen en ningún boletín, pero existen y son técnicamente explotables.
Dos reflejos sencillos:
- Leer la política de privacidad de la plataforma educativa de tu comunidad o región. Es pública, a menudo breve, e indica los plazos de conservación de los registros (por lo general, de 6 a 12 meses).
- Separar la cuenta de los padres de la del niño. Muchas familias comparten un único acceso, lo que mezcla los rastros y da al niño acceso a intercambios que no le conciernen, y al contrario.
Las aplicaciones de terceros: la pregunta que se plantea en tres líneas
Cuando se impone una aplicación para los deberes, tienes derecho a saber quién trata los datos. El mensaje tipo, dirigido al profesor y, si no hay respuesta, al director del centro:
Buenos días, mi hijo debe utilizar la aplicación X. ¿Pueden indicarme quién es el responsable del tratamiento, la base jurídica aplicada, la ubicación del alojamiento de los datos y el plazo de conservación? En su defecto, ¿qué alternativa no digital existe para entregar este trabajo?
Este mensaje no es agresivo: pide información que el centro debería poder facilitar. En la práctica, produce a menudo un efecto inesperado: el docente descubre que no lo sabe, y la pregunta llega al delegado de protección de datos de la administración educativa, que existe y cuyo contacto está publicado.
El equipamiento: lo que el material familiar puede absorber
Muchos rastros no provienen de la escuela, sino del dispositivo utilizado en casa. Dos vías concretas:
- Un ordenador portátil familiar dedicado a los deberes, con una cuenta de usuario distinta para cada niño, compartimenta mucho mejor que un smartphone compartido.
- Un filtro de privacidad para la pantalla limita las miradas laterales cuando un adolescente trabaja en un espacio común o en la biblioteca, y de paso las capturas involuntarias durante las videoconferencias.
Para el trabajo sin conexión, un cuaderno de borrador de papel sigue siendo la herramienta más hermética jamás inventada: nada sale de la habitación.
Parte 4 — Fotos, vídeos y orlas: el derecho a la imagen en la práctica
Lo que cubre realmente la autorización parental
Cada inicio de curso circula una hoja: «autorización de derecho a la imagen». Suele estar redactada de forma tan amplia que equivale a un cheque en blanco: «difusión en todo tipo de soportes, por tiempo ilimitado».
La CNIL y el ministerio recuerdan que una autorización debe ser específica: un uso, un soporte, un plazo. Puedes perfectamente devolver el formulario anotado:
| Uso solicitado | Respuesta posible |
|---|---|
| Exposición en el interior del centro | Aceptado |
| Boletín en papel del colegio distribuido a las familias | Aceptado |
| Web pública del centro | Rechazado |
| Redes sociales del colegio o del ayuntamiento | Rechazado |
| Prensa local | Caso por caso, previa solicitud |
| Duración | Únicamente el curso escolar en vigor |
Una negativa parcial es válida. El centro debe aplicarla, y eso no puede justificar la exclusión de un niño de una salida o de una actividad.
Las fotos hechas por otros padres
El festival de fin de curso, la fiesta escolar, la excursión: treinta teléfonos grabando, y el vídeo acaba en un grupo de mensajería y, a veces, en una red social. Jurídicamente, la fotografía hecha en un marco familiar entra en la excepción doméstica del RGPD, pero en cuanto se publica, se aplica el derecho a la imagen de los demás niños.
El único enfoque que funciona es colectivo: pedir en el consejo escolar o en una reunión de padres una regla sencilla y visible: cada uno fotografía a su hijo, nadie publica a los demás. Muchos centros la han adoptado y el efecto es claro.
Parte 5 — Tus derechos y cómo ejercerlos sin conflicto
Los cinco derechos útiles
- Acceso: obtener copia de los datos que se conservan sobre tu hijo (expediente escolar, historial del comedor, registros si los pides explícitamente).
- Rectificación: corregir un error de dirección, una mención caducada, una observación inexacta.
- Supresión: limitado en los expedientes obligatorios, real en los tratamientos facultativos (fotos, aplicaciones, boletines informativos).
- Oposición: aplicable a los tratamientos no obligatorios.
- Limitación: congelar un tratamiento impugnado mientras se realiza una verificación.
Las solicitudes se dirigen al responsable del tratamiento: director del colegio o del centro para la vida escolar, ayuntamiento para el comedor, administración educativa territorial para las bases nacionales. Cada administración educativa y cada entidad local cuenta con un delegado de protección de datos (DPD) cuyos datos de contacto deben estar publicados. El plazo de respuesta es de un mes. En caso de silencio, la reclamación en línea ante la CNIL es gratuita y no requiere abogado.
Guardar constancia de tus gestiones
Un consejo trivial pero decisivo: conserva una copia fechada de cada formulario anotado, de cada correo electrónico, de cada respuesta. Un archivador de fundas o una carpeta de cartón para el expediente escolar basta de sobra, y vale más que un montón de fotocopias en el fondo de un cajón. Cuando una solicitud se alarga ocho meses, la cronología escrita marca la diferencia.
Cuando el contacto debe ser discreto
Hay situaciones en las que un padre o una madre quiere señalar algo —un problema de seguridad, una práctica dudosa, una duda sobre un tratamiento— sin que su nombre circule en la sala de profesores. Un mensaje enviado desde un canal que no revela tu línea personal permite abrir la conversación sin exponerse, sobre todo en los municipios pequeños donde todo el mundo se conoce. No es desconfianza: es la condición para que ciertas alertas lleguen a existir.
Parte 6 — El calendario del padre o la madre vigilante
Al inicio del curso (septiembre)
- Rellenar únicamente los campos obligatorios del formulario.
- Anotar la autorización de imagen uso por uso.
- Pedir la lista de las aplicaciones digitales previstas para el curso.
- Rechazar cualquier dispositivo biométrico en el comedor.
Durante el curso
- Revisar una vez por trimestre los datos visibles en la plataforma educativa.
- Darse de baja de las aplicaciones abandonadas (una cuenta inactiva sigue siendo una cuenta).
- Denunciar inmediatamente cualquier publicación de fotos no autorizada.
Al final de la etapa
- Pedir la eliminación de las cuentas vinculadas a herramientas de terceros al cambiar de centro.
- Comprobar que la orla en línea del curso pasado se ha retirado.
- Recuperar copia del expediente escolar antes del traslado.
En caso de incidente
Los centros y las entidades locales también sufren filtraciones de datos: varias bases de gestión de actividades extraescolares han quedado expuestas en Francia estos últimos años. Si recibes una notificación:
- Pide por escrito la naturaleza exacta de los datos afectados.
- Comprueba si en la filtración figuraba un número de teléfono o un IBAN.
- Desconfía de las solicitudes «del colegio» que vengan después: una filtración de un archivo escolar alimenta intentos de phishing muy creíbles, porque el estafador conoce el nombre del niño y el del centro.
- Un libro sobre la protección de datos personales, a mano, ayuda a distinguir lo que constituye un riesgo real de lo que es simple ruido, y a explicar la situación a un adolescente sin alarmarlo.
Conclusión: transmitir un reflejo más que un miedo
Un niño escolarizado hoy en Francia habrá acumulado, al alcanzar la mayoría de edad, más datos sobre sí mismo que ninguna generación anterior, sin haber tenido nunca la ocasión de consentirlo. No es una fatalidad técnica: es el resultado de miles de pequeñas decisiones tomadas por defecto, en formularios que nadie lee.
La tarea de un padre o una madre no es impedir la digitalización escolar, que se ha vuelto inseparable del aprendizaje. Consiste en restablecer la proporción: marcar menos casillas, plantear preguntas por escrito, rechazar lo que no es necesario y mostrar a su hijo que se puede decir no a un tratamiento de datos sin quedar al margen de la escuela.
Probablemente sea la competencia más duradera que se le pueda transmitir a un alumno de 2026: comprender que un dato personal no se recupera, y que un campo dejado en blanco es a veces la mejor respuesta a una pregunta que no tenían por qué hacerte.
