Protección de datos en una academia con alumnos menores

Una academia con alumnos menores puede tratar sus datos para dar las clases sin pedir consentimiento: le basta el contrato de matrícula. Necesita consentimiento para lo demás, como publicar fotos, y consentimiento expreso para datos de salud como las alergias. Por debajo de 14 años consienten los padres o tutores. Además debe informar a las familias, llevar un registro de lo que trata, firmar un contrato con cada proveedor que maneje esos datos y evitar el WhatsApp como canal con las familias.

Esta guía resume la normativa y los criterios de la Agencia Española de Protección de Datos (AEPD) a 25 de octubre de 2026. No sustituye el consejo de un abogado o de un delegado de protección de datos para tu caso concreto.

Quién consiente: la regla de los 14 años

En España, un menor puede consentir por sí mismo el tratamiento de sus datos a partir de los 14 años. Por debajo de esa edad hace falta el consentimiento de quien tiene la patria potestad o la tutela (art. 7 de la Ley Orgánica 3/2018, LOPDGDD).

Pero el consentimiento no es la base de todo. Lo necesario para dar las clases, como la matrícula, los grupos, la asistencia o el contacto con la familia, se apoya en la ejecución del contrato (art. 6.1.b del RGPD). Como el contrato de un menor lo firman normalmente sus padres, son ellos quienes reciben la información y quienes deciden sobre lo que vaya más allá de las clases.

Fotos y vídeos

La Guía para centros educativos de la AEPD, que hoy figura como «en revisión», distingue dos casos:

• Grabar con fines educativos, como un trabajo o una evaluación, no requiere consentimiento.
• Difundir imágenes en la web, en redes sociales o en una revista sí lo requiere: un consentimiento específico, que se puede retirar y que la academia tiene que poder demostrar. La AEPD recomienda publicar en espacios privados, con acceso identificado, mejor que en abierto.

La guía se dirige a colegios públicos, concertados y privados. No menciona las academias de enseñanza no reglada, pero sus criterios sobre imágenes y mensajería encajan igual en una academia.

WhatsApp y móviles personales

La misma guía no recomienda la mensajería instantánea entre profesores y familias: las comunicaciones deben ir por los medios del centro, como el correo o una plataforma. Los grupos de familias solo se admiten de forma excepcional, con su consentimiento y solo con quienes lo hayan dado, y la AEPD prefiere que los gestionen los propios padres. Las fotos por mensajería solo se justifican por el interés del menor, por ejemplo ante un accidente.

En la práctica: el aviso de una falta, un cambio de horario o una cancelación deben salir de una cuenta de la academia, no del móvil del profesor. Lo contamos en cómo avisar a las familias de una falta.

Alergias y necesidades especiales

Son datos de salud, una categoría especial: su tratamiento está prohibido salvo excepciones, como el consentimiento explícito o la protección de un interés vital (art. 9 del RGPD). La AEPD admite pedirlos en la matrícula en la medida en que sean necesarios, con consentimiento expreso, y que el profesor que atiende al alumno conozca su alergia o su medicación.

Pide solo lo que necesitas para atender bien al alumno, y que lo vea solo quien lo necesita.

Lo que la academia tiene que tener en regla

1. Informar a las familias de quién trata los datos, para qué, con qué base, cuánto tiempo y cómo ejercer sus derechos (art. 13 del RGPD). Se puede hacer por capas, con un resumen y un enlace a la información completa. La AEPD tiene una guía para redactar la cláusula informativa.
2. Llevar el registro de actividades de tratamiento. Las organizaciones de menos de 250 personas están exentas, salvo que el tratamiento no sea ocasional o incluya datos de salud (art. 30.5 del RGPD). Una academia trata datos todos los días y suele tener alergias, así que debe llevarlo.
3. Firmar un contrato de encargo del tratamiento con cada proveedor que maneje los datos de los alumnos: el programa de gestión, el correo o el almacenamiento en la nube (art. 28 del RGPD; directrices de la AEPD).
4. Notificar una brecha de seguridad a la AEPD en un máximo de 72 horas, si supone un riesgo para las personas (art. 33 del RGPD), por ejemplo un portátil robado con las fichas de los alumnos. La AEPD tiene una herramienta, Comunica-Brecha RGPD, que ayuda a decidir si hay que notificar.

¿Necesita la academia un delegado de protección de datos?

La LOPDGDD obliga a nombrarlo a los centros docentes que ofrecen enseñanzas del sistema educativo (art. 34.1.b), y la AEPD concreta que son los niveles de la ley de educación. A nuestro entender, una academia de refuerzo o de idiomas que no imparte enseñanzas oficiales no entra en esa lista, y una academia pequeña difícilmente cumple los supuestos generales del RGPD. No hemos encontrado ningún criterio de la AEPD sobre academias en concreto, así que, si tienes dudas, consúltalo. Nombrar uno de forma voluntaria siempre es posible.

Cuánto tiempo guardar los datos

El RGPD no fija un plazo: los datos se guardan el tiempo necesario y, después, se bloquean. Quedan apartados, solo a disposición de jueces y administraciones mientras puedan exigirse responsabilidades, y luego se borran (art. 32 LOPDGDD).

Los plazos que suelen marcar ese bloqueo son fiscales y mercantiles: cuatro años para lo tributario (art. 66 de la Ley General Tributaria) y seis para los libros y justificantes de una empresa (art. 30 del Código de Comercio). Cubren los datos del contrato y de los pagos; no justifican guardar años la asistencia, las notas o la conducta de un alumno que ya se fue.

Sanciones reales

• 5.000 € a un centro de estudios por enviar por WhatsApp a un tercero un documento con el nombre, los apellidos y el DNI de una madre y de sus dos hijos (PS/00425/2019).
• 3.000 € a una asociación donde un niño de 4 años recibía clases de chino, porque una profesora difundió sus imágenes desde su móvil en grupos de WeChat sin consentimiento de los padres (PS/00405/2020).
• 10.000 € a un negocio de ocio infantil por publicar en Instagram fotos de niños en un cumpleaños (PS/00008/2023).

Una herramienta gratis, con un límite

Facilita RGPD, de la AEPD, genera gratis cláusulas informativas, contratos de encargado y el registro de actividades. Pero la propia AEPD advierte de que no sirve para tratamientos de alto riesgo, como los que incluyen datos de salud. Si recoges alergias o necesidades especiales, tu caso queda fuera de su alcance.

Cómo lo hace Gestademy

Gestademy firma con cada academia el contrato de encargo del tratamiento. Dentro de la aplicación:

• Cada familia ve solo a sus hijos, y las notas de sesión y las señales de conducta no aparecen en el portal.
• El correo del briefing al sustituto solo lleva un enlace, sin datos de alumnos, y las alergias aparecen dentro solo como un aviso.
• Los interesados que no se matriculan se anonimizan a los 12 meses.