Última actualización: septiembre de 2026
En España, el tratamiento de datos personales de un menor de 14 años requiere el consentimiento de quien ostente la patria potestad o la tutela, según el artículo 7 de la LOPDGDD. A partir de esa edad, el propio alumno puede consentir por sí mismo en determinados servicios. Si tu academia recoge datos de matrícula, fotografías o gestiona grupos de comunicación con las familias, esto es lo que tienes que tener en regla.
¿Qué normativa protege los datos de los alumnos menores de edad?
El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) se aplica en toda la Unión Europea, y en España se completa con la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), que añade reglas propias sobre menores, entre otras materias.
Los datos de un menor no se consideran automáticamente una «categoría especial» de datos —como sí ocurre, por ejemplo, con los datos de salud—, pero sí reciben una protección reforzada por su vulnerabilidad, algo que el propio RGPD recoge en su considerando 38. En una academia, esto se traduce en tratar con especial cuidado desde la ficha de matrícula hasta cualquier dato médico o de necesidades educativas especiales que recojas para adaptar una actividad.
¿A partir de qué edad puede un alumno dar su propio consentimiento?
La respuesta está fijada por ley: 14 años. El artículo 7 de la LOPDGDD establece que un menor de 14 años necesita el consentimiento de quien ejerza la patria potestad o la tutela para que sus datos puedan tratarse, mientras que a partir de esa edad el propio alumno puede prestar su consentimiento de forma autónoma para servicios de la sociedad de la información, como crear una cuenta en un campus virtual. Aun así, el consentimiento no es la única vía legítima para tratar datos de un alumno, ni siquiera la más habitual.
Bases legales para tratar datos de alumnos sin pedir consentimiento para todo
Muchas academias dan por hecho que necesitan el consentimiento de la familia para cualquier dato que recogen, y no siempre es así. El RGPD permite apoyarse en varias bases legales, y en el día a día de un centro suelen combinarse varias:
- La relación contractual que genera la matrícula del alumno: nombre, datos de contacto y nivel son necesarios para prestar el servicio.
- El cumplimiento de una obligación legal, como los datos que hay que conservar por motivos fiscales o contables.
- Un interés legítimo, siempre bien justificado y sin que prevalezca el interés del menor, por ejemplo un listado interno de asistencia.
- El consentimiento explícito, reservado para tratamientos que van más allá de lo necesario para dar el servicio: fotos para redes sociales, comunicaciones comerciales o ceder datos a terceros ajenos a la actividad docente.
¿Tu academia necesita un Delegado de Protección de Datos (DPD)?
Depende de qué tipo de enseñanzas ofrezcas, no del tamaño de tu academia. El artículo 34 de la LOPDGDD obliga a designar un DPD a los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, con independencia de si son públicos o privados. La Ley Orgánica de Educación concreta esos niveles: educación infantil, primaria, secundaria, bachillerato, formación profesional, enseñanzas de idiomas, enseñanzas artísticas, enseñanzas deportivas, educación de personas adultas y enseñanza universitaria.
En la práctica, esto significa que una escuela oficial de idiomas, un conservatorio de música o danza, o un centro de formación profesional sí tienen la obligación expresa de nombrar un DPD. Una academia de refuerzo escolar que no imparte ninguna de esas enseñanzas regladas no está sujeta a esta obligación específica, aunque puede seguir necesitando un DPD si trata datos a gran escala, según los criterios generales del RGPD. Si tienes dudas sobre cuál es tu caso, la Agencia Española de Protección de Datos resuelve esta pregunta con detalle.
Checklist de obligaciones RGPD para tu academia
- Cláusula informativa clara en la hoja de matrícula: qué datos recoges, para qué y durante cuánto tiempo.
- Registro de actividades de tratamiento actualizado, aunque seáis un centro pequeño: al tratar datos de menores de forma habitual, la excepción para microempresas del RGPD no suele aplicaros.
- Consentimiento explícito y diferenciado para el uso de imágenes de los alumnos, separado del resto de cláusulas.
- Contratos de encargo de tratamiento firmados con cualquier proveedor que gestione datos de vuestros alumnos: software de gestión, pasarela de pagos, plataforma de videollamadas.
- Un canal de comunicación con las familias que no exponga los datos de contacto de otras personas.
- Un plazo de conservación definido para los datos de un alumno tras su baja, y un procedimiento para eliminarlos cuando corresponda.
- Un procedimiento sencillo para que las familias ejerzan sus derechos de acceso, rectificación, cancelación, oposición, portabilidad y limitación.
¿Puede tu academia publicar fotos de los alumnos en redes sociales?
No, salvo que cuentes con un consentimiento explícito y específico de quien ostente la patria potestad o tutela del alumno. El derecho a la propia imagen está protegido por una norma distinta a la de protección de datos —la Ley Orgánica 1/1982, de protección civil del derecho al honor, la intimidad personal y familiar y a la propia imagen—, pero en la práctica ambas se aplican a la vez cuando publicas una fotografía de un alumno menor de edad.
Este consentimiento debe pedirse de forma independiente al resto de cláusulas de la matrícula, debe poder revocarse en cualquier momento, y conviene renovarlo cada curso: la disposición de una familia a que se publiquen fotos de su hijo puede cambiar de un año a otro.
Grupos de WhatsApp con las familias: el error más habitual
Uno de los incumplimientos más frecuentes en un centro educativo no tiene que ver con la burocracia, sino con algo tan cotidiano como un grupo de WhatsApp. Cuando se crea un grupo con todas las familias de una clase, cada persona ve el número de teléfono del resto sin haber dado su consentimiento para ello, lo que supone una cesión de datos personales no autorizada.
La alternativa más segura es usar listas de difusión, donde ningún destinatario ve el número de los demás, o una plataforma de comunicación pensada para centros educativos, donde cada familia solo accede a la información de su propio hijo o hija.
Preguntas frecuentes sobre protección de datos de menores en una academia
¿A qué edad puede un alumno decidir sobre el uso de sus propios datos?
En España, a partir de los 14 años. Por debajo de esa edad, el consentimiento debe darlo quien ejerza la patria potestad o la tutela del menor, según el artículo 7 de la LOPDGDD.
¿Todas las academias están obligadas a tener un Delegado de Protección de Datos?
No todas. Es obligatorio para los centros que ofrecen enseñanzas regladas —idiomas oficiales, enseñanzas artísticas o deportivas, formación profesional, entre otras—, según el artículo 34 de la LOPDGDD. Una academia de refuerzo escolar sin enseñanzas regladas no tiene esta obligación específica, aunque puede necesitarlo igualmente si trata datos a gran escala.
¿Puedo publicar fotos de mis alumnos en Instagram o Facebook sin pedir permiso?
No. Necesitas un consentimiento explícito y específico para el uso de la imagen, independiente del resto de cláusulas de la matrícula, y que la familia pueda revocar en cualquier momento.
¿Es seguro comunicarme con las familias a través de un grupo de WhatsApp?
No es la opción más segura, porque expone el número de teléfono de todas las familias al resto del grupo sin su consentimiento. Es preferible usar listas de difusión o una plataforma de comunicación pensada para centros educativos.
Si un alumno se da de baja, ¿tengo que borrar sus datos inmediatamente?
No siempre. Algunos datos, como los de facturación, deben conservarse varios años por obligaciones fiscales y contables —lo mismo que ocurre con los registros que exige Verifactu—, aunque el alumno ya no esté matriculado. Lo que sí debes hacer es dejar de usar esos datos para cualquier finalidad distinta a la legalmente exigida.
¿Dónde empezar si no tenéis nada de esto todavía?
Si al leer esto te has dado cuenta de que la cláusula de la matrícula de tu academia no se actualiza desde hace años, o de que seguís gestionando la comunicación con las familias por un grupo de WhatsApp compartido, esos son los dos puntos por los que empezar: son los focos de incumplimiento más frecuentes y también los más fáciles de corregir esta misma semana.
Con Flup podéis centralizar la comunicación con las familias sin exponer el contacto de nadie, junto con el resto de la gestión del centro. Puedes probarlo gratis durante 15 días.