La AEPD sancionó a un colegio con una multa de 24.000 € (en principio de 40.000€, rebajada por reconocimiento de responsabilidad y pago voluntario) por incumplir la normativa de Protección de Datos en relación a la gestión de las imágenes de los menores.
En concreto, por:
- La falta de seguridad y confidencialidad en el tratamiento de imágenes de menores.
- La ausencia de una base legal válida para dicho tratamiento.
- El incumplimiento del deber de informar a los interesados.
En junio de 2022, la Guardia Civil informó a los progenitores de una alumna de que su hija había sido grabada sin consentimiento dentro del centro escolar. Parte de esas grabaciones audiovisuales de alumnos —incluidas las de la menor afectada— aparecieron en dos lugares:
- En una carretera, dentro de una mochila que contenía una cámara. El viandante que la encontró, al visualizar su contenido y comprobar que contenía imágenes sensibles de menores, la entregó inmediatamente a la Guardia Civil.
- En el domicilio de un profesor del centro, donde se localizaron más archivos durante un registro judicial.
Estos hallazgos evidenciaron que el colegio carecía de un control efectivo sobre los soportes audiovisuales y sobre la salida de material sensible fuera de sus instalaciones.
En sus alegaciones ante la AEPD, el colegio afirmó disponer de controles sobre los soportes con datos personales de los que era responsable del tratamiento y haber implementado medidas de seguridad. Sin embargo, la Agencia comprobó que:
- Existía una autorización firmada en 2018 que permitía al profesor sacar del centro equipos y soportes con datos personales sin límite temporal ni de finalidad, y sin un sistema fiable de registro de entradas y salidas.
- El colegio afirmó posteriormente que no existían autorizaciones recientes, lo que evidenciaba incoherencia en su gestión documental.
En la práctica, no había un control real ni eficaz sobre el contenido de los dispositivos ni sobre los soportes que entraban y salían del centro.
Esto tuvo consecuencias importantes para los menores cuyos datos personales trataba el colegio, entre ellas:
- Una pérdida de integridad y confidencialidad, ya que terceros no autorizados accedieron a imágenes de alumnos en situaciones especialmente sensibles, incluso en ropa de baño. La AEPD consideró este hecho especialmente grave.
- Una falta de transparencia hacia los progenitores, pues los documentos de matrícula no incluían toda la información exigida por el RGPD (plazos de conservación, derechos, posibilidad de reclamar ante la AEPD, etc.).
- La imposibilidad de acreditar un consentimiento válido y actualizado para todos los cursos escolares de la alumna afectada, lo que supuso un tratamiento ilícito.
Además de la sanción económica, la AEPD ordenó al colegio adoptar las siguientes medidas correctivas:
- Implementar de forma efectiva medidas técnicas y organizativas adecuadas para impedir el acceso no autorizado a datos personales de alumnos.
- Cesar el tratamiento de grabaciones audiovisuales de menores para las que no exista una base de legitimación válida.
- Acreditar que se ha puesto a disposición de los interesados la información exigida por el artículo 13 del RGPD.
La resolución pone de manifiesto una gestión negligente de imágenes de menores. La aparición de las grabaciones fuera del centro, tanto en una carretera como en el domicilio de un profesor, evidenció la ausencia de control y custodia de material especialmente sensible.
Por ello, es fundamental que los centros educativos mantengan inventariados, controlados y debidamente autorizados los dispositivos en los que se almacenen datos personales, y que quede prohibido el uso de dispositivos no autorizados. Además, es recomendable revisar estas autorizaciones cada año.
La resolución también muestra que no existían mecanismos adecuados para informar a las familias sobre el tratamiento de datos personales, especialmente respecto a las imágenes. Es importante que los centros verifiquen que cuentan con todos los consentimientos necesarios y diferenciados para cada finalidad: no es lo mismo autorizar la difusión de imágenes dentro del centro que permitir su publicación en redes sociales, ya que son consentimientos distintos que deben otorgarse de forma independiente.
La AEPD considera especialmente grave que la brecha afectara a menores y que el colegio no pudiera acreditar ni medidas de seguridad adecuadas ni un consentimiento válido. Por ello, impuso una sanción de 24.000 € y la obligación de corregir sus prácticas.
Se puede consultar la resolución completa en este enlace.
Redactado por Elena, a fecha 24 de noviembre de 2025.