Las escuelas infantiles tratan datos personales de menores de 14 años, lo que las sitúa en la categoría de alto riesgo del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Esta guía recoge lo que tienes que tener resuelto en 2026 si gestionas una escuela infantil o una red de escuelas en España.

Por qué los datos de escuela infantil son especialmente sensibles

El artículo 8 del RGPD y el artículo 7 de la LOPDGDD establecen que el tratamiento de datos de menores de 14 años requiere el consentimiento de los titulares de la patria potestad o la tutela. Una escuela infantil, por la naturaleza de su servicio, trata:

Datos identificativos del menor y de las familias.
Datos de salud (alergias, intolerancias, medicación).
Imágenes y vídeos de los menores.
Comunicaciones diarias con la familia.

Todos están bajo el régimen reforzado del RGPD para menores.

Las cinco obligaciones que tu escuela debe cumplir

1. Información clara a las familias

Antes de recoger ningún dato, las familias deben recibir información clara sobre:

Quién es el responsable del tratamiento (la escuela o la entidad coordinadora).
Qué datos se recogen y para qué.
Base legal del tratamiento (consentimiento, contrato, interés legítimo).
Plazo de conservación de los datos.
Cómo ejercer los derechos de acceso, rectificación, supresión y portabilidad.

Esta información se entrega en el momento del alta, normalmente como cláusula informativa firmada o checkbox digital con consentimiento granular.

2. Consentimientos diferenciados

No basta con un consentimiento global “acepto todo”. El RGPD exige consentimiento separado para finalidades distintas:

Tratamiento básico (datos académicos, contacto): contrato/interés legítimo.
Imágenes en redes sociales: consentimiento explícito y revocable.
Imágenes en plataforma interna (compartir con la familia): puede ir como interés legítimo si la familia es la única destinataria.
Comunicaciones comerciales (boletines, eventos abiertos): consentimiento explícito.

Cada consentimiento debe poder revocarse sin afectar a los demás.

3. DPA (Data Processing Agreement) con proveedores

Si tu escuela usa software externo (gestión, mensajería, plataforma de fotos), ese proveedor está tratando datos por encargo tuyo y debes firmar un DPA específico que regule:

Qué datos accede el proveedor y para qué.
Medidas técnicas y organizativas de seguridad.
Subencargados (proveedores del proveedor).
Procedimiento ante una brecha de seguridad.
Devolución o destrucción de datos al finalizar el contrato.

Sin DPA, estás incumpliendo el RGPD aunque el proveedor sea técnicamente seguro.

4. Registro de actividades de tratamiento

El artículo 30 RGPD exige llevar un registro de actividades de tratamiento con todas las operaciones que tu escuela realiza con datos personales. Es obligatorio para entidades con más de 250 empleados, pero la AEPD lo recomienda para todas las que traten datos de menores.

Mínimo en el registro:

Finalidad del tratamiento.
Categorías de datos e interesados.
Destinatarios.
Plazos de conservación.
Medidas de seguridad aplicadas.

5. Procedimiento de notificación de brechas

Si hay una brecha de seguridad (acceso no autorizado, pérdida, fuga de datos), la escuela tiene 72 horas para notificarla a la AEPD y, si afecta a derechos de los interesados, también a las familias.

El procedimiento debe estar documentado antes de que ocurra una brecha. Si lo improvisás cuando ya pasó, llegás tarde.

Casos prácticos típicos

Fotos en grupos de WhatsApp

Problema: una educadora comparte fotos del aula en un grupo de WhatsApp con familias.

¿Cumple el RGPD?: no. WhatsApp no ofrece base legal correcta para tratamiento profesional de datos de menores. Los datos pasan por servidores extracomunitarios sin garantías equivalentes al RGPD, no hay trazabilidad y es imposible ejercer derecho de supresión.

Solución: usar una plataforma específica de comunicación con familias con consentimiento explícito y servidores en la UE. Lo cubrimos en detalle en el artículo sobre agenda digital para guarderías.

Fotos en redes sociales del centro

Problema: la escuela publica fotos de los niños en su Instagram.

¿Cumple?: solo si tienes consentimiento explícito de cada familia para esa finalidad concreta, y si las familias pueden revocar el consentimiento en cualquier momento (lo que implica retirar las fotos publicadas).

Recomendación: minimizar publicaciones identificativas; preferir fotos generales sin caras o con caras pixeladas.

Acceso del personal a datos del alumnado

Problema: una educadora ve datos de niños de aulas que no le corresponden.

¿Cumple?: no si no es necesario para sus funciones. El RGPD exige el principio de minimización: cada persona accede solo a los datos que necesita para su trabajo.

Solución: roles y permisos por aula y por persona. Una buena plataforma de gestión los implementa nativamente.

Datos compartidos entre escuelas de una red

Problema: una red municipal quiere comparar datos de asistencia entre sus 5 escuelas.

¿Cumple?: sí, si los datos son agregados y anonimizados (estadísticas de la red, no datos individuales del alumnado). Compartir datos identificativos entre escuelas de la misma red sin justificación de tratamiento específico incumple el principio de minimización.

Solución: el coordinador de red ve agregados; cada directora ve solo el alumnado de su escuela.

Y si soy una administración pública

Las escuelas infantiles municipales tienen obligaciones adicionales:

Designación de un DPO (Data Protection Officer) obligatoria para administraciones públicas.
Adhesión al Esquema Nacional de Seguridad (ENS) del Real Decreto 311/2022.
Publicidad activa de los tratamientos de datos en el portal de transparencia municipal.
Auditoría bienal de cumplimiento de la LOPDGDD.

Esto importa cuando elegís proveedor: tiene que tener documentación lista para licitación pública. Si gestionás una red municipal, mira la página específica para ayuntamientos.

Lecturas recomendadas oficiales

Agencia Española de Protección de Datos (AEPD) — guía para centros educativos
Real Decreto-ley 14/2019 de protección de datos en el ámbito educativo.
LOPDGDD 3/2018, artículo 7 sobre menores.

Conclusión

El RGPD en escuelas infantiles no es opcional ni un trámite. Es la garantía mínima de respeto a los menores y sus familias. Hacerlo bien protege a tu centro de sanciones y genera confianza con las familias.

Si quieres ver cómo se traducen estos requisitos en una plataforma de gestión real, reserva una demo: pasamos por todos los puntos de cumplimiento aplicados a tu caso concreto.

Para entender mejor cómo encaja todo esto en la gestión global de una red, lee nuestro pilar sobre gestión de redes de escuelas infantiles.