Nota. Las imágenes descriptivas que ilustran este artículo han sido generadas mediante inteligencia artificial
Un colegio publica en Instagram la foto de una carrera solidaria. Todo el mundo sale contento, la imagen funciona bien y nadie protesta. Tres semanas después llega una reclamación de un padre que había marcado la casilla de “no autorizo” en la matrícula.
La Agencia Española de Protección de Datos (AEPD) ha resuelto varios casos parecidos a este. En uno de ellos, dirigido contra la fundación titular de un centro educativo, la reclamación se presentó en abril de 2024 y la resolución se difundió en 2026. La sanción fue de 6.000 euros, reducida a 3.600 tras el reconocimiento de responsabilidad y el pago voluntario. Lo llamativo del expediente, analizado por la firma de abogados ECIJA, es que el centro sí pedía autorización cada curso. El problema fue otro: no conservaba las autorizaciones firmadas de años anteriores, aplicaba una política de retención de un solo año y, cuando la AEPD le pidió acreditar el consentimiento, no pudo hacerlo.
Es decir, el centro había hecho la parte visible del trabajo y falló en la parte invisible.
Este artículo repasa los casos concretos que aparecen cada septiembre en cualquier claustro y en cualquier equipo de comunicación escolar: caras, espaldas, voces, alumnos sin autorización, retoques con IA, aulas vacías y fotos que acaban en manos de terceros. Con normativa citada y con lo que ya ha sancionado la Agencia.
La imagen del alumnado es un dato personal, y el centro es quien responde
El artículo 4.1 del Reglamento General de Protección de Datos (RGPD) define dato personal como toda información sobre una persona física identificada o identificable. Esa segunda palabra es la que genera casi todos los malentendidos, porque la identificabilidad no depende de que se vea la cara. Depende de si alguien, con medios razonables, puede llegar a saber quién es.
Conviene incorporar aquí un término que aparecerá varias veces: responsable del tratamiento. Es la figura que decide para qué y cómo se usan los datos, y por tanto la que responde ante la Agencia. Según los criterios publicados por la Unidad de Educación y Menores de la AEPD, el responsable es la Administración educativa correspondiente en los centros públicos y el propio centro en los concertados y privados.
Esto tiene una consecuencia práctica que suele sorprender: la AEPD no sanciona normalmente al docente que hizo la foto ni al community manager que la subió. Sanciona al responsable. Lo que le ocurra internamente a esa persona pertenece a otra conversación, la laboral, que veremos más adelante.
La frontera entre función educativa y difusión decide casi todo
Esta distinción es la clave de bóveda de toda la materia, y la AEPD la ha repetido en su Guía para centros educativos y en sus resoluciones.
Captar imágenes dentro de la función educativa no requiere consentimiento. Si un profesor graba a un alumno leyendo en voz alta para evaluar su prosodia, si se documenta una actividad de aula para la evaluación o si se registra un experimento de laboratorio como parte del trabajo escolar, el centro está legitimado por el ejercicio de la función educativa (base jurídica del artículo 6.1.e del RGPD, misión realizada en interés público, apoyada en la Ley Orgánica de Educación).
Difundir esas imágenes fuera de la función educativa es un tratamiento distinto y necesita otra base. La AEPD lo formula con claridad en sus criterios: cuando la finalidad es difundir y dar a conocer las actividades del centro, hace falta consentimiento expreso.
Publicar en la web, en el blog, en la revista escolar o en redes sociales entra siempre en el segundo grupo. Un colegio no comunica su carrera solidaria en Instagram para evaluar a nadie.
Y hay un tercer escenario intermedio que muchos centros gestionan mal: enviar las fotos a las familias. La AEPD admite que se tomen imágenes en eventos escolares para que los padres accedan a ellas, pero exige que se haga en un entorno seguro con identificación y autenticación previas. Una carpeta compartida de Google Drive con enlace abierto no cumple eso.
En el caso de agosto de 2023 contra un colegio privado de la Comunidad de Madrid, sancionado con 15.000 euros según la resolución consultada por Confilegal, parte del problema estuvo justamente ahí. Las imágenes circulaban por listas de difusión de WhatsApp y, según los análisis publicados del expediente, otras familias accedían a ellas en una carpeta de Google Drive que se compartía libremente. El centro no pudo garantizar que se hubieran borrado cuando la familia lo exigió.
Qué autorización sirve y cuál no
El artículo 4.11 del RGPD y su Considerando 32 definen el consentimiento válido como una manifestación libre, específica, informada e inequívoca mediante un acto afirmativo claro. Traducido al día a día de una secretaría:
No vale que lo apruebe la dirección. Esta es probablemente la confusión más extendida. El director puede aprobar el plan de comunicación del centro, puede validar una campaña y puede firmar la autorización de una excursión. Lo que no puede hacer es sustituir la voluntad de la familia sobre la imagen de su hijo, porque el titular del derecho es el menor y quien lo ejerce en su nombre es quien tiene la patria potestad o la tutela. Una aprobación interna de dirección no es una base de legitimación frente a la AEPD.
No vale el silencio. Si una familia no devuelve el formulario, la respuesta es “no”. El consentimiento tácito quedó fuera del RGPD desde 2018.
No vale el consentimiento verbal. En el expediente a la fundación educativa que comentamos al principio, aparecían también imágenes de la madre del alumno, y el centro reconoció que su consentimiento había sido únicamente verbal. La interesada negó habérselo dado. La AEPD lo tumbó de inmediato, porque el artículo 5.2 del RGPD impone el principio de responsabilidad proactiva (accountability): no basta con cumplir, hay que poder demostrarlo.
No vale una autorización genérica. El consentimiento debe ser específico por finalidad. Los criterios de la AEPD lo dicen expresamente: se debe informar con claridad de cada una de las finalidades y permitir que los interesados se opongan a las que consideren. En la práctica esto significa una autorización granular, con casillas separadas para la revista del centro, para la web, para el perfil público de Instagram, para los materiales de captación de matrícula. Una familia puede querer que su hija salga en el anuario y no en TikTok, y tiene derecho a esa distinción.
No vale para siempre. De los 6.000 euros del expediente anteriormente nombrado, la mitad correspondió al incumplimiento del artículo 5.1.e del RGPD, el principio de limitación del plazo de conservación. Los otros 3.000 fueron por la ausencia de una base de legitimación válida del artículo 6.1.a, según el desglose de la resolución publicado por la firma de abogados ECIJA. El documento del centro decía que los datos se mantendrían de forma indefinida mientras el interesado no pidiera su supresión. La Agencia consideró la práctica excesiva y desproporcionada, porque las imágenes podían seguir accesibles cuando el alumno ya fuera mayor de edad y llevara años fuera del colegio. El centro rectificó y fijó cinco años, lo que se valoró como medida correctora sin eximirle de la infracción.
Y hay que guardarlas. Ese mismo expediente deja el aviso más barato de aprender: destruir las autorizaciones al final de curso equivale a quedarse sin defensa.
Los 14 años, los 16 y los 18: qué cambia de verdad
Aquí conviven dos leyes distintas que mucha gente mezcla, y de ahí salen respuestas contradictorias en las salas de profesores.
El artículo 7 de la LOPDGDD (Ley Orgánica 3/2018) fija en 14 años la edad a partir de la cual una persona puede consentir por sí misma el tratamiento de sus datos personales. Por debajo de esa edad, el consentimiento lo prestan quienes ostenten la patria potestad o la tutela.
El artículo 3 de la Ley Orgánica 1/1982, de protección civil del derecho al honor, a la intimidad y a la propia imagen, no usa una edad. Dice que el consentimiento de los menores lo prestarán ellos mismos “si sus condiciones de madurez lo permiten”, y que en los demás casos lo otorgará por escrito su representante legal, con la obligación adicional de comunicarlo previamente al Ministerio Fiscal, que dispone de ocho días para oponerse.
¿Qué hacemos entonces con un alumno de 15 años? La lectura prudente, y la que recomienda cualquier Delegado de Protección de Datos con experiencia en el sector, es pedir las dos firmas entre los 14 y los 18: la del alumno y la de la familia. Se cubre la LOPDGDD por la vía del menor y se cubre la Ley 1/1982 por la vía del representante legal. Cuesta una casilla más en un formulario y evita tener que discutir después qué es “madurez suficiente” ante una reclamación.
Los 16 años no marcan ninguna frontera en materia de imagen. Son relevantes para otras cosas (la capacidad para trabajar, la emancipación, la llamada mayoría de edad sanitaria para el consentimiento informado), pero no alteran quién autoriza una publicación en el Instagram del colegio.
Hasta los 18 años, por tanto, la familia sigue teniendo un papel. Su firma no desaparece a los 14; lo que ocurre es que a partir de esa edad el alumno gana voz propia y su negativa pesa.
Un dato que suele cerrar el debate en cualquier formación: la propia AEPD, en su documento de orientaciones sobre responsabilidades por el uso de dispositivos móviles en centros docentes, recuerda que las sanciones impuestas por tratamientos ilícitos realizados por menores mayores de 14 años han oscilado entre los 5.000 y los 10.000 euros. Los alumnos también responden.
Cómo gestionar al alumno sin autorización sin señalarlo
Este es el punto donde la ley se acaba y empieza la pedagogía. Y donde muchos centros, por miedo a la multa, acaban haciendo daño.
Las prácticas que hay que desterrar son fáciles de reconocer. Sentar al niño en la última fila. Sacarlo del encuadre pidiéndole que espere fuera. Decirle delante de todos que él no puede salir. Colocarle un peto de otro color. Cualquiera de estas soluciones convierte una decisión privada de su familia en una etiqueta pública, y le expone precisamente por proteger su privacidad.
Lo que funciona:
Trabajar con planos que no dependen de la lista. Si el equipo de comunicación se acostumbra a construir la narrativa visual con planos de detalle (manos montando un circuito, un cuaderno, la pizarra, un plano general muy abierto desde el fondo del aula), el problema desaparece antes de aparecer. La foto de clase con veinticinco caras mirando al objetivo es la más difícil de gestionar y casi nunca la mejor.
Que la gestión la lleve el adulto, no el niño. El tutor sabe quién no tiene autorización. El fotógrafo también debería saberlo, por una vía discreta y actualizada. El alumno no tiene por qué enterarse de nada.
Hacer una foto para el aula y otra para redes. Se toma la imagen del grupo completo, se guarda para el uso interno legítimo (la orla del aula, el álbum de clase que no sale del centro) y se produce por separado una segunda toma pensada para publicar. Nadie queda fuera de la experiencia y nadie sale publicado sin permiso.
Documentarlo. Un pequeño registro de quién revisó la lista antes de publicar es la prueba que salva al centro si algo falla.
Merece la pena decirlo con todas las letras a los claustros: la familia que dice “no” no está siendo difícil. Puede haber detrás una situación de custodia complicada, una medida de protección, una orden de alejamiento o simplemente un criterio educativo distinto. Cuestionar ese “no” delante del alumno es el peor movimiento posible.
Por qué difuminar la cara no siempre resuelve el problema
La pregunta llega siempre: si pixelamos al niño que no tiene autorización y publicamos la foto de grupo, ¿ya está?
La AEPD acepta el pixelado como solución. En las respuestas de su Unidad de Educación y Menores a consultas de familias, recogidas en la presentación institucional de la Agencia ante el Congreso Nacional de Competencia Digital Educativa del INTEF, indica que, si no se cuenta con el consentimiento, lo adecuado sería pixelar o tapar la imagen del menor, “haciendo de este modo que no se identifique ni sea identificable”.
El estándar aplicable es el Considerando 26 del RGPD: para determinar si una persona es identificable hay que tener en cuenta todos los medios que razonablemente pueda utilizar el responsable o cualquier otra persona. Y ahí está el problema del aula. En una foto de 3º B, el resto de familias, los compañeros y los docentes identifican al niño pixelado en dos segundos, por su altura, su ropa, su posición habitual y por el simple hecho de que es el único tapado.
Conviene contar un caso completo, porque tiene un final que aclara mucho el criterio. Hubo un caso en el que la AEPD sancionó con 10.000 euros a una firma de vestidos de novia que había publicado en Instagram la imagen de una clienta y su pareja con los rostros tapados por un círculo negro. La empresa alegó el argumento que se oye en cualquier claustro: que la imagen estaba anonimizada, que no había tratamiento de datos y que el círculo negro probaba las medidas de seguridad adoptadas. La Agencia lo rechazó y consideró que las personas seguían siendo identificables.
La Audiencia Nacional anuló esa sanción en 2025. Su Sala de lo Contencioso concluyó que aquellas imágenes no podían considerarse datos personales, porque estaban tomadas en un espacio exterior, sin elementos identificativos y con el rostro completamente cubierto, de modo que identificar a los afectados exigiría un esfuerzo desproporcionado.
Lo útil para un colegio está en el razonamiento del tribunal más que en el resultado. La Audiencia salva el círculo negro por unas circunstancias que un centro educativo casi nunca reúne: exterior abierto y una imagen sin contexto que estreche el círculo de personas posibles. Una foto de 3º B, tomada dentro del aula, publicada por la cuenta del colegio y con el curso en el pie de foto es el escenario opuesto punto por punto.
Y hay otro pronunciamiento de la Agencia, este sin recurrir, que apunta en la misma dirección que este artículo. Sancionó a un grupo audiovisual con 50.000 euros, reducidos a 30.000 por reconocimiento de responsabilidad y pago voluntario, por difundir un vídeo de una agresión entre menores en el que los rostros aparecían pixelados y las voces se escuchaban con total nitidez. Se podía identificar al menos a tres personas. Tapar la cara no cerró el asunto.
Y es que es fundamental manejar bien dos términos que se confunden a diario. La anonimización es irreversible y saca el dato del ámbito del RGPD. La seudonimización o el enmascaramiento parcial reducen el riesgo pero mantienen el dato dentro de la norma, porque la reidentificación sigue siendo posible con información adicional. Un pixelado en una foto de clase se parece mucho más a lo segundo que a lo primero.
Regla práctica para el equipo de comunicación: el difuminado funciona en el plano general y falla en el plano corto. Si el niño es una figura pequeña entre cuarenta en el patio, el pixelado cumple. Si es una de las cinco caras de un grupo de trabajo identificado con el curso y el nombre del colegio en el pie de foto, no cumple. En ese segundo caso, la solución es recortar el encuadre o no publicar.
Cómo lo hace la televisión y por qué esa regla no sirve tal cual
La comparación es útil porque casi todo el mundo ha visto un informativo con la cara de un menor emborronada.
La televisión se rige por la Ley 13/2022, General de Comunicación Audiovisual. Su artículo 95 establece que los menores tienen derecho a que su imagen y su voz no se utilicen sin su consentimiento o el de su representante legal, y prohíbe expresamente la difusión del nombre, la imagen u otros datos que permitan identificar a menores en el contexto de hechos delictivos, en emisiones donde se discuta su tutela o filiación, o en situaciones en las que hayan sido víctimas de violencia. El artículo 96 remite además a códigos de conducta para el tratamiento de menores en noticiarios y programas informativos, promovidos por la autoridad audiovisual competente, que en el ámbito estatal es la CNMC.
Hay dos diferencias que un centro educativo debe tener presentes.
La primera es el contexto. Un medio nacional emborrona a un menor ante una audiencia masiva y anónima que no tiene forma de saber quién es. Un colegio publica ante una audiencia hiperlocal formada por las familias de esa misma clase. El mismo pixelado protege en un caso y no protege en el otro.
La segunda es la base jurídica. Los medios operan con frecuencia bajo la libertad de información y el interés público informativo, ponderados frente al derecho a la propia imagen. Un centro educativo que publica contenido promocional no tiene esa cobertura. Su base es el consentimiento, y el consentimiento se tiene o no se tiene.
Copiar la estética de la televisión sin copiar su marco legal es un error que sale caro.
Fotos de espaldas, excursiones e inteligencia artificial
La foto de los niños de espaldas subiendo al autocar el día de la excursión es probablemente la imagen más publicada por los colegios españoles en junio. Y es una zona gris real, así que merece una respuesta honesta.
Fotografiar de espaldas reduce el riesgo de forma significativa, pero no lo elimina ni convierte automáticamente la imagen en dato anónimo. Vuelve a aplicar el Considerando 26. Un alumno de espaldas sigue siendo identificable por su complexión, su pelo, su mochila, su ropa y, sobre todo, por el pie de foto. “Nuestros alumnos de 5.º de Primaria saliendo hacia Segovia” delimita el conjunto a veinticinco personas concretas de un centro concreto en un día concreto.
Criterios que suelen funcionar:
- Cuanto más abierto el plano y más numeroso el grupo, más defendible es la publicación.
- Cuanto más específico el pie de foto, más se estrecha el margen. Publicar el curso, la fecha exacta y el destino es un ejercicio de reidentificación gratuito.
- Si en la imagen hay un solo alumno de espaldas y ese alumno no tiene autorización, la espalda no soluciona nada.
- Los planos de espaldas siguen siendo la mejor opción cuando hay alumnado sin autorización en el grupo, siempre que se combinen con encuadres amplios.
Sobre las excursiones hay además un asunto colateral que la AEPD trata directamente. En el blog institucional de la Agencia se ha abordado la escena de la puerta del colegio el día de la salida, con familias grabando y llamando a los niños por su nombre. La difusión online de imágenes en las que aparecen otras personas requiere su consentimiento, o el de los titulares de la patria potestad si son menores de 14 años. La captación para uso estrictamente doméstico queda fuera del RGPD por su artículo 2.2.c, pero subir el vídeo a un perfil abierto ya no es uso doméstico.
La Guía para centros educativos de la AEPD lo recoge como buena práctica: informar a las familias, al pedir la autorización para participar o mediante carteles y avisos de que pueden grabar exclusivamente para su ámbito personal y familiar, y no para que acceda un número indeterminado de personas. Un cartel en la puerta el día de la salida vale más que tres circulares en septiembre.
Llegados aquí aparece una tentación nueva y muy comprensible. Si el problema son las caras, ¿por qué no sustituirlas por rostros generados con inteligencia artificial? Conviene frenar antes de empezar. Coger una fotografía real de menores y procesarla con una herramienta de IA sigue siendo un tratamiento de datos personales, con su base jurídica, su información previa a las familias y su análisis de qué hace el proveedor con las imágenes que se le suben. Subir la foto de una clase a una aplicación gratuita de retoque para “anonimizarla” es, en el mejor de los casos, una cesión de datos de menores a un tercero que el centro nunca ha evaluado. El resultado puede quedar irreconocible y el proceso seguir siendo ilícito.
Y hay una segunda capa que se aplica desde el 2 de agosto de 2026. El artículo 50 del Reglamento europeo de IA obliga a informar de forma clara y visible cuando un contenido puede confundirse con una prueba de la realidad. La versión española del Reglamento llama a eso ultrasuplantación y lo define en su artículo 3.60 como el contenido de imagen, audio o vídeo generado o manipulado por una IA que se asemeja a personas, objetos, lugares, entidades o sucesos reales y que puede inducir a error sobre su autenticidad.
Una ilustración conceptual de un aula no genera esa confusión. Una fotografía fotorrealista de alumnos inexistentes dentro de lo que parece el aula del centro sí puede generarla, y bastaría con acompañarla de una indicación del tipo “Imagen ficticia generada con inteligencia artificial”. Lo explicamos en detalle en este artículo sobre qué cambia realmente en los centros educativos. Al margen de la norma, merece la pena la pregunta de fondo. Un colegio que publica niños que no existen sin decirlo está construyendo su imagen sobre una ficción, y ese coste no lo mide ninguna multa.
El docente que se graba dando clase y solo se oyen las voces
Cada vez más profesores graban sus propias clases para publicarlas en LinkedIn, en YouTube o en Instagram. La cámara los enfoca a ellos, los alumnos no aparecen, y de fondo se escuchan preguntas, risas y respuestas infantiles. La intuición dice que eso es inofensivo. La norma dice otra cosa.
La voz es un dato personal cuando permite identificar a una persona. El artículo 4.1 del RGPD habla de elementos propios de la identidad física y fisiológica, y la voz lo es. La AEPD lo viene sosteniendo desde su informe de 1999 sobre tratamiento de registros de voz, donde concluyó que la grabación tiene naturaleza de dato de carácter personal cuando al tratamiento se incorporan los datos identificativos del sujeto. La Delegación de Protección de Datos de la Consejería de Educación de la Comunidad de Madrid trasladó ese criterio al aula en su Informe sobre la legalidad de las grabaciones de contenido audiovisual en el ámbito educativo, de febrero de 2020. Y la Agencia lo ha reforzado desde entonces: en el expediente contra el grupo audiovisual citado más arriba, unos rostros pixelados con las voces sin distorsionar bastaron para una sanción de 50.000 euros.
Y en un aula, quien graba conoce perfectamente de quién es cada voz. También la conocen los compañeros y las familias, que es el público que más probablemente vea ese vídeo.
Conviene distinguir aquí dos cosas. La voz como dato personal ordinario es lo habitual. La voz procesada mediante sistemas de reconocimiento vocal pasa a ser dato biométrico del artículo 9 del RGPD, categoría especial, con un régimen mucho más estricto. Un centro educativo casi nunca está en el segundo supuesto, pero el matiz explica por qué la voz recibe un trato tan cuidadoso.
Recomendaciones concretas para el docente que quiere divulgar su práctica:
- Grabar en momentos sin intervención del alumnado, o silenciar sus intervenciones en la edición.
- Si la voz aporta algo pedagógico (mostrar cómo se formula una pregunta y cómo responde el grupo), pedir autorización específica para audio, no reutilizar la de imagen.
- Eliminar del audio nombres propios, apellidos y cualquier referencia que identifique a un alumno concreto.
- Comprobar que el vídeo no revela el nombre del centro junto a datos de menores. El artículo 5.1.c del RGPD impone el principio de minimización: tratar solo los datos adecuados, pertinentes y limitados a lo necesario.
- Usar únicamente los medios validados por el centro. Los criterios de la AEPD son explícitos: el profesorado deberá utilizar solo las aplicaciones, plataformas y servicios que el responsable del tratamiento haya dispuesto.
Ese último punto merece atención. Un vídeo grabado con el móvil personal, editado en una app no evaluada y publicado en una cuenta personal del docente sitúa al profesor como responsable del tratamiento por su cuenta, fuera del paraguas del centro. Es exactamente la situación que ningún docente quiere ocupar.
El aula vacía del último día de curso
“Hoy es mi último día de clase, ha sido un curso genial” + foto del aula sin nadie dentro. ¿Puede traer problemas?
Desde el punto de vista de protección de datos del alumnado, en principio no. Sin personas no hay datos personales de menores.
El problema es que un aula rara vez está vacía de datos. En las paredes hay trabajos firmados con nombre y apellido, murales con fotografías de la clase, listas de responsabilidades, gráficos de seguimiento individual, dibujos con el nombre del autor y a veces el plano de asientos con los nombres de cada alumno. Una foto en alta resolución de esa pared es perfectamente legible al ampliarla. Ahí sí hay tratamiento.
Hay un segundo frente que no es de protección de datos y que conviene nombrar: el deber de buena fe contractual. Publicar imágenes del interior de las instalaciones puede chocar con la política de comunicación del centro, con cláusulas de confidencialidad del contrato o con las normas de uso de imagen corporativa. Un aula reconocible es la marca del colegio, y su uso público suele estar reservado al centro.
Antes de publicar la foto del aula vacía:
- Ampliar la imagen y leer lo que hay en las paredes.
- Comprobar que no aparecen nombres, listados ni fotografías de alumnos.
- Revisar si el centro tiene una política de redes sociales que regule este tipo de publicaciones.
- Preguntar, si hay duda, al Delegado de Protección de Datos.
Es la situación de menor riesgo de todo el artículo. También la que más gente publica sin mirar dos veces.
Quién responde cuando la publicación sale mal
Probablemente es la pregunta que más se puede hacer alguien al leer este artículo.
Ante la AEPD responde el responsable del tratamiento. En un centro público, la Administración educativa. En un concertado o privado, el centro o la entidad titular. No el docente que hizo la foto ni la persona que la subió. Los dos expedientes que hemos citado se dirigieron contra el colegio y contra la fundación titular, no contra empleados concretos.
Con una diferencia importante entre lo público y lo privado. El artículo 77 de la LOPDGDD establece un régimen distinto para las Administraciones públicas: la AEPD dicta resolución declarando la infracción e imponiendo apercibimiento, sin multa económica, junto con las medidas correctoras necesarias. Su apartado 3 añade que la Agencia propondrá además la iniciación de actuaciones disciplinarias cuando existan indicios suficientes. Un colegio público no paga 15.000 euros. Un colegio concertado o privado sí.
De modo que la respuesta a “¿quién es el responsable?” es doble: el centro responde hacia fuera, y hacia dentro cada persona responde según su función y según lo que el centro haya documentado.
Y aquí aparece el argumento decisivo para cualquier equipo directivo: si no existe protocolo, la culpa se reparte por defecto y acaba recayendo en la organización entera. Si existe protocolo, hay formación acreditada y hay registro de quién revisó qué, la organización puede demostrar diligencia y la responsabilidad individual queda delimitada. Un protocolo protege a los docentes tanto como al centro.
Hay un supuesto que se sale de esta lógica y que conviene tener localizado antes de necesitarlo. Cuando lo que circula es contenido sexual o violento de un alumno difundido sin consentimiento, incluido el caso de imágenes falsas generadas con inteligencia artificial a partir de fotos reales, existe una vía específica que no es la reclamación ordinaria. Se llama canal prioritario y la AEPD la mantiene abierta desde 2019 para lograr la retirada urgente en situaciones donde la viralización pone en riesgo grave los derechos de la persona afectada. Se accede desde la sede electrónica de la Agencia, en www.aepd.es/canalprioritario, y puede iniciarla la propia víctima, su representante legal si es menor o cualquier tercero que conozca los hechos. Hay que aportar las URLs o perfiles concretos, describir las circunstancias de la difusión, indicar si la persona es menor de 14 años y señalar si existe denuncia policial. La Agencia analiza esas reclamaciones de forma prioritaria y puede requerir la retirada inmediata a la plataforma, con independencia del expediente sancionador que se abra después.
Conviene ser preciso con su alcance, porque circula bastante confusión. El canal no sirve para cualquier foto publicada sin permiso, así que una imagen escolar difundida sin autorización sigue el cauce ordinario. Y tampoco está limitado a los deepfakes (contenido generado por IA que parece real), ya que nació para contenido sexual o violento con especial atención a menores y a víctimas de violencia de género.
Que la Agencia lo activa de oficio cuando hace falta lo demuestra el caso de septiembre de 2023, cuando aparecieron imágenes de desnudos generadas con IA a partir de fotos de alumnas en una localidad de Badajoz. La AEPD abrió investigación de oficio y, según diversos medios de comunicación, contactó con el ayuntamiento y con la administración autonómica para difundir que la retirada podía solicitarse por esta vía. Sobre su eficacia general, la propia Agencia difundió en septiembre de 2023 los datos del ejercicio anterior: 46 retiradas inmediatas sobre 51 intervenciones de urgencia, más de un 90 % de efectividad.
Para un centro esto se traduce en una línea de protocolo bastante simple. Si aparece contenido sexual falso de un alumno, el canal prioritario se activa el mismo día, en paralelo a la denuncia policial y al protocolo LOPIVI.
¿Puede un tutor guardar fotos de sus alumnos en el móvil?
Es una práctica cotidiana y masiva, y la respuesta incomoda.
Captar imágenes para una finalidad educativa está legitimado. Almacenarlas indefinidamente en un dispositivo personal, no.
Los criterios de la AEPD para centros educativos son explícitos: el profesorado deberá utilizar únicamente las aplicaciones, plataformas y servicios que el responsable del tratamiento haya dispuesto. Un móvil particular, con copia de seguridad automática a una nube personal, con acceso de aplicaciones a la galería y sin cifrado gestionado por el centro, no entra en esa categoría. Es además una fuente clásica de brecha de seguridad en el sentido del artículo 4.12 del RGPD: pérdida del terminal, robo, sincronización con un dispositivo familiar o venta del móvil sin borrado seguro.
Sobre mensajería, los criterios de la Agencia van más lejos: el uso de aplicaciones como WhatsApp o Telegram entre profesorado y familias, o entre profesorado y alumnado, no está recomendado. La excepción que sí contempla la AEPD es concreta y limitada: cuando el interés superior del menor esté comprometido, como en un accidente o una indisposición durante una excursión, se pueden enviar mensajes e imágenes para informar y tranquilizar, pero únicamente a las familias afectadas por esa situación.
Lo razonable en un centro:
- Captar con dispositivo del centro siempre que sea posible.
- Si se usa el móvil personal por necesidad, volcar al repositorio corporativo el mismo día y borrar del terminal.
- Prohibir la sincronización automática de la galería con nubes personales durante la jornada.
- Fijar un plazo de conservación y cumplirlo, en coherencia con el artículo 5.1.e del RGPD.
Ninguna de estas medidas es sofisticada. Todas fallan si nadie las escribe.
¿Se puede despedir a alguien de comunicación por esto?
Sí. Y conviene decirlo sin dramatizar, porque el objetivo es que los equipos entiendan la magnitud de su función, no que trabajen con miedo.
En el ámbito laboral privado, el artículo 54.2 del Estatuto de los Trabajadores contempla el despido disciplinario por transgresión de la buena fe contractual y abuso de confianza, y también por indisciplina o desobediencia. En el ámbito público se aplica el régimen disciplinario funcionarial correspondiente, y ya hemos visto que el artículo 77.3 de la LOPDGDD permite a la propia AEPD proponer la apertura de esas actuaciones.
Ahora bien, la proporcionalidad manda. Un error aislado en un centro sin protocolo escrito, sin formación acreditada y sin criterios claros de publicación es muy difícil de sostener como causa de despido, porque el fallo organizativo es evidente. Lo que sí resulta mucho más defendible es la publicación reiterada contra instrucciones expresas, el uso de imágenes de menores en cuentas personales o el ocultamiento de una incidencia al centro.
El mensaje útil para un equipo de comunicación educativa es otro, y es el que de verdad merece la pena interiorizar: subir una foto de un colegio no equivale a subir una foto de una tienda de zapatos. Quien gestiona las redes de un centro educativo trata datos de menores a diario, y eso convierte su puesto en uno de los más delicados de la organización. Reivindicar esa condición, pedir formación, exigir un protocolo y negarse a publicar sin verificación no es entorpecer el trabajo. Es hacerlo bien.
Un protocolo mínimo para el próximo curso
Conviene cambiar el marco antes de entrar en la lista. Un protocolo de imagen bien montado no existe para esquivar multas. Existe para que un colegio pueda contar lo que hace con libertad, que es justo lo que quiere hacer. Los centros que tienen esto resuelto publican más y publican mejor, porque su equipo de comunicación no pierde horas preguntándose si aquella familia firmó o no firmó.
La confianza de las familias funciona igual. Una familia que entiende qué se publica, dónde y durante cuánto tiempo, y que sabe que puede cambiar de opinión cuando quiera, autoriza con mucha más facilidad que otra a la que se le pide una firma genérica en septiembre y nunca más se le vuelve a explicar nada. Casi todo lo que sigue está pensado para eso, y se resume en escribir unas pocas cosas y cumplirlas.
1. Autorización granular y anual. Un documento con casillas separadas por finalidad y canal, firmado al inicio de curso, con doble firma (familia y alumno) a partir de los 14 años. Con información sobre responsable, finalidad, base jurídica, destinatarios, plazo de conservación y forma de ejercer los derechos.
2. Conservación acreditable. Guardar las autorizaciones firmadas durante todo el tiempo en que las imágenes sigan publicadas, más el plazo de prescripción. Destruirlas cada junio es lo que hundió a la fundación del expediente que hemos citado.
3. Lista viva de no autorizados, accesible solo a quien la necesita. Actualizada cuando una familia revoque el consentimiento, porque la revocación es un derecho y debe ser tan fácil como darlo.
4. Doble verificación antes de publicar. Una persona produce, otra revisa contra la lista. El equipo de comunicación no debería publicar imágenes de alumnado sin ese segundo par de ojos.
5. Plazo de conservación escrito y ejecutado. Con revisión anual de lo publicado y borrado de lo que ha superado el plazo. Un plazo que se anota y no se aplica agrava en lugar de proteger.
6. Criterios de encuadre para docentes. Formación breve y práctica: cuándo funciona el plano general, por qué el pie de foto reidentifica, qué hacer con el alumnado sin autorización sin señalarlo.
7. Regla de dispositivos. Captura con equipos del centro, volcado el mismo día, borrado del terminal personal, plataformas validadas.
8. Protocolo de incidencias en 24 horas. Quién documenta, quién requiere la retirada, quién avisa a la familia, quién decide si se activa el canal prioritario. Con el Coordinador de bienestar y el Delegado de Protección de Datos incluidos desde el primer minuto.
9. Criterio de IA. Qué se puede generar, qué hay que etiquetar y qué no se sube nunca a una herramienta no evaluada.
Lo que queda de todo esto
La mayoría de los problemas de imagen en centros educativos no nacen de la mala fe. Nacen de la prisa de un viernes por la tarde, de una autorización firmada hace tres cursos que nadie encuentra y de la idea, tan extendida como falsa, de que difuminar una cara resuelve el asunto.
La normativa aquí es exigente, pero también bastante previsible. Pide saber con qué base se publica, poder demostrarlo, no conservar más de lo necesario y tratar la imagen de un menor con el mismo cuidado con el que se trata su expediente académico.
Y hay una pregunta que ahorra más disgustos que cualquier artículo del RGPD, formulada antes de pulsar “publicar”: si esta fuera la foto de mi hijo, ¿me parecería bien dónde va a acabar?
Cuando la respuesta tarda en llegar, casi siempre es que no.
Este artículo tiene finalidad divulgativa y no sustituye al asesoramiento del Delegado de Protección de Datos de cada centro, que es el interlocutor designado por la normativa para resolver dudas y reclamaciones tanto de las familias como del personal.