Les escoles infantils tracten dades personals de menors de 14 anys, cosa que les situa en la categoria d’alt risc del Reglament (UE) 2016/679 (RGPD) i la Llei Orgànica 3/2018 (LOPDGDD). Esta guia recull el que has de tindre resolt en 2026 si gestiones una escola infantil o una xarxa d’escoles a Espanya.

Per què les dades d’escola infantil són especialment sensibles

L’article 8 del RGPD i l’article 7 de la LOPDGDD establixen que el tractament de dades de menors de 14 anys requerix el consentiment dels titulars de la pàtria potestat o la tutela. Una escola infantil, per la naturalesa del seu servei, tracta:

Dades identificatives del menor i de les famílies.
Dades de salut (al·lèrgies, intoleràncies, medicació).
Imatges i vídeos dels menors.
Comunicacions diàries amb la família.

Tots estan sota el règim reforçat del RGPD per a menors.

Les cinc obligacions que la teua escola ha de complir

1. Informació clara a les famílies

Abans de recollir cap dada, les famílies han de rebre informació clara sobre:

Qui és el responsable del tractament (l’escola o l’entitat coordinadora).
Quines dades es recullen i per a què.
Base legal del tractament (consentiment, contracte, interés legítim).
Termini de conservació de les dades.
Com exercir els drets d’accés, rectificació, supressió i portabilitat.

Esta informació es lliura en el moment de l’alta, normalment com a clàusula informativa firmada o checkbox digital amb consentiment granular.

2. Consentiments diferenciats

No basta amb un consentiment global “accepte tot”. El RGPD exigix consentiment separat per a finalitats diferents:

Tractament bàsic (dades acadèmiques, contacte): contracte/interés legítim.
Imatges en xarxes socials: consentiment explícit i revocable.
Imatges en plataforma interna (compartir amb la família): pot anar com a interés legítim si la família és l’única destinatària.
Comunicacions comercials (butlletins, esdeveniments oberts): consentiment explícit.

Cada consentiment ha de poder revocar-se sense afectar als altres.

3. DPA (Data Processing Agreement) amb proveïdors

Si la teua escola usa programari extern (gestió, missatgeria, plataforma de fotos), eixe proveïdor està tractant dades per encàrrec teu i has de firmar un DPA específic que regule:

Quines dades accedix el proveïdor i per a què.
Mesures tècniques i organitzatives de seguretat.
Subencarregats (proveïdors del proveïdor).
Procediment davant una bretxa de seguretat.
Devolució o destrucció de dades en finalitzar el contracte.

Sense DPA, estàs incomplint el RGPD encara que el proveïdor siga tècnicament segur.

4. Registre d’activitats de tractament

L’article 30 RGPD exigix portar un registre d’activitats de tractament amb totes les operacions que la teua escola realitza amb dades personals. És obligatori per a entitats amb més de 250 empleats, però l’AEPD el recomana per a totes les que tracten dades de menors.

Mínim en el registre:

Finalitat del tractament.
Categories de dades i interessats.
Destinataris.
Terminis de conservació.
Mesures de seguretat aplicades.

5. Procediment de notificació de bretxes

Si hi ha una bretxa de seguretat (accés no autoritzat, pèrdua, fuga de dades), l’escola té 72 hores per a notificar-la a l’AEPD i, si afecta drets dels interessats, també a les famílies.

El procediment ha d’estar documentat abans que ocórrega una bretxa. Si el improvises quan ja ha passat, arribes tard.

Casos pràctics típics

Fotos en grups de WhatsApp

Problema: una educadora compartix fotos de l’aula en un grup de WhatsApp amb famílies.

Complix el RGPD?: no. WhatsApp no oferix base legal correcta per a tractament professional de dades de menors. Les dades passen per servidors fora de la UE sense garanties equivalents al RGPD, no hi ha traçabilitat i és impossible exercir dret de supressió.

Solució: usar una plataforma específica de comunicació amb famílies amb consentiment explícit i servidors a la UE. Ho cobrim amb detall en l’article sobre agenda digital per a guarderies.

Fotos a xarxes socials del centre

Problema: l’escola publica fotos dels xiquets al seu Instagram.

Complix?: només si tens consentiment explícit de cada família per a eixa finalitat concreta, i si les famílies poden revocar el consentiment en qualsevol moment (cosa que implica retirar les fotos publicades).

Recomanació: minimitzar publicacions identificatives; preferir fotos generals sense cares o amb cares pixelades.

Accés del personal a dades de l’alumnat

Problema: una educadora veu dades de xiquets d’aules que no li corresponen.

Complix?: no si no és necessari per a les seues funcions. El RGPD exigix el principi de minimització: cada persona accedix només a les dades que necessita per a la seua faena.

Solució: rols i permisos per aula i per persona. Una bona plataforma de gestió els implementa nativament.

Dades compartides entre escoles d’una xarxa

Problema: una xarxa municipal vol comparar dades d’assistència entre les seues 5 escoles.

Complix?: sí, si les dades són agregades i anonimitzades (estadístiques de la xarxa, no dades individuals de l’alumnat). Compartir dades identificatives entre escoles de la mateixa xarxa sense justificació de tractament específic incomplix el principi de minimització.

Solució: el coordinador de xarxa veu agregats; cada directora veu només l’alumnat de la seua escola.

I si soc una administració pública

Les escoles infantils municipals tenen obligacions addicionals:

Designació d’un DPO (Data Protection Officer) obligatòria per a administracions públiques.
Adhesió a l’Esquema Nacional de Seguretat (ENS) del Reial Decret 311/2022.
Publicitat activa dels tractaments de dades en el portal de transparència municipal.
Auditoria biennal de compliment de la LOPDGDD.

Això importa quan tries proveïdor: ha de tindre documentació llesta per a licitació pública. Si gestiones una xarxa municipal, mira la pàgina específica per a ajuntaments.

Lectures recomanades oficials

Agència Espanyola de Protecció de Dades (AEPD) — guia per a centres educatius
Reial Decret-llei 14/2019 de protecció de dades en l’àmbit educatiu.
LOPDGDD 3/2018, article 7 sobre menors.

Conclusió

El RGPD en escoles infantils no és opcional ni un tràmit. És la garantia mínima de respecte als menors i a les seues famílies. Fer-ho bé protegix el teu centre de sancions i genera confiança amb les famílies.

Si vols vore com es traduïxen estos requisits en una plataforma de gestió real, reserva una demo: passem per tots els punts de compliment aplicats al teu cas concret.

Per a entendre millor com encaixa tot això en la gestió global d’una xarxa, llig el nostre pilar sobre gestió de xarxes d’escoles infantils.