El Consejo de Transparencia andaluz impone seis sanciones a la Junta por transferir datos personales de 525.000 alumnos y 74.000 profesores a Microsoft. No hubo consentimiento previo ni medidas para proteger información sensible.
El Consejo de Transparencia y Protección de Datos de Andalucía ha impuesto seis sanciones a la Junta tras detectar que, durante seis años, el Gobierno autonómico cedió datos personales de 525.000 alumnos menores de edad, 74.000 profesores y cerca de mil centros escolares a Microsoft. La transferencia se realizó a cambio del uso gratuito de una plataforma virtual educativa, sin que los afectados fueran informados ni dieran su consentimiento previo.
Las sanciones, que no incluyen multa económica, se dividen en dos muy graves, tres graves y una leve. Entre las infracciones más serias, el Consejo destaca la transferencia de datos personales a países fuera de la Unión Europea, como Emiratos Árabes Unidos, Sudáfrica o India, sin garantías adecuadas de protección. Además, la Junta omitió informar a estudiantes y docentes sobre el uso y destino de sus datos, incumpliendo varios artículos del Reglamento General de Protección de Datos (RGPD).
Las sanciones graves señalan la falta de medidas para minimizar el riesgo de fuga de datos especialmente sensibles, como los relativos a salud, religión, ideología o vida sexual, así como la ausencia de una evaluación de impacto obligatoria. También se detectó la presencia de imágenes y vídeos inapropiados almacenados en la nube de Microsoft. La sanción leve se debe a que la Junta no registró las transferencias internacionales de datos de menores andaluces.
El acuerdo con Microsoft, firmado en 2020 y prorrogado en 2022 y 2024, permitió el uso de aplicaciones como Microsoft Office, OneDrive y Teams en el entorno educativo andaluz. Sin embargo, la Junta no implementó medidas técnicas ni organizativas suficientes para limitar los riesgos asociados al tratamiento de datos de categorías especiales. Ejemplos habituales incluyen documentos compartidos con información psicopedagógica o redacciones escolares que revelan opiniones políticas, todo ello sin el conocimiento ni consentimiento de las familias.
El Consejo de Transparencia ha tardado tres años en resolver la denuncia presentada por una profesora, que alertó sobre la cesión masiva de datos sensibles. La decisión de no imponer sanción económica se justifica por la prioridad de garantizar el derecho a la educación y evitar la interrupción de los servicios digitales en los centros escolares. La Junta dispone de un mes para presentar un nuevo plan de acción consensuado con Microsoft, que corrija los fallos detectados antes del 31 de julio. El actual convenio expira el 20 de noviembre, fecha en la que se prevé firmar un nuevo acuerdo.
Microsoft, por su parte, no ha sido sancionada y ha evitado aclarar si incumplió el RGPD de forma consciente. La compañía se ha limitado a afirmar que cumple la normativa de protección de datos aplicable. Desde el ámbito académico, se cuestiona la dependencia de la educación pública andaluza respecto a grandes tecnológicas extranjeras y la exposición de menores a ecosistemas digitales privativos.
La Junta ya fue sancionada hace año y medio por un caso similar tras ceder datos de 738.502 alumnos y 43.202 profesores a Google, también sin las debidas garantías. Ambas multinacionales dominan las plataformas virtuales de dos tercios del alumnado andaluz, lo que evidencia la magnitud del problema. En el contexto nacional, la protección de datos en el sector educativo sigue siendo un tema de debate, como se refleja en otras decisiones recientes de las autoridades, y en la tensión política que generan los cambios en la gestión pública, como ocurrió con la activación de primarias en el PSOE, según se recoge en este análisis sobre la situación interna del partido en Madrid y Valencia.
El Consejo andaluz insiste en que su objetivo es salvaguardar el derecho a la educación y minimizar el impacto en el sistema escolar. La Consejería de Desarrollo Educativo y Formación Profesional deberá entregar este verano un plan de acción para limitar los riesgos detectados. El caso pone de relieve la necesidad de reforzar los controles sobre el uso de datos personales en el ámbito educativo y la importancia de informar adecuadamente a las familias y al personal docente sobre el destino de su información.
En España, el RGPD establece obligaciones estrictas para el tratamiento de datos de menores, especialmente en el entorno escolar. Las transferencias internacionales requieren garantías adicionales y la realización de evaluaciones de impacto. El uso de plataformas digitales en la educación pública ha crecido de forma exponencial en los últimos años, lo que ha incrementado la exposición a riesgos de privacidad. La resolución del Consejo de Transparencia andaluz marca un precedente relevante para otras comunidades autónomas y refuerza el debate sobre la protección de datos en la era digital.
