Si tu centro usa Google Workspace for Education, la resolución PS-00607-2025 de la AEPD te afecta aunque no seas el colegio multado. Es la primera sanción económica a un colegio por esta plataforma: 20.000 euros, que se quedaron en 12.000 tras reconocer la responsabilidad y pagar. Sin embargo, lo importante no es la cifra, sino el criterio que la Agencia deja fijado para todos los centros. Aquí te explicamos qué pasó y cómo se calculó la multa. También, qué exige ahora la AEPD y qué revisar en tu colegio esta misma semana.
En este artículo vamos a tratar...
Qué pasó: el caso en cinco datos
El centro sancionado es un colegio privado de Madrid. Estos son los hechos que la AEPD da por probados:
- Usaba Google Workspace for Education en su edición gratuita (Fundamentals) desde el curso 2021-2022.
- La utilizaban 531 alumnos, 395 de ellos menores de 14 años, con cuentas creadas por el colegio y Chromebooks del propio centro.
- Los servicios activos eran los de siempre: Classroom, Drive, Gmail, Calendar y Docs.
- Todo empezó con la reclamación de una madre en abril de 2024. Sus hijos, alumnos de primaria, llegaban a YouTube y a videojuegos desde el portátil escolar.
- Además, la familia no había recibido información suficiente sobre qué hacía la plataforma con los datos de sus hijos.
Es decir, exactamente el escenario de la mayoría de los colegios que han digitalizado el aula. Por eso conviene leer la resolución como si fuera propia.
Las tres infracciones y cómo se calculó la multa
La AEPD apreció tres infracciones del RGPD y les puso precio por separado:
- Base jurídica insuficiente (artículo 6.1 RGPD): 10.000 euros.
- Falta de transparencia con las familias (artículo 5.1.a RGPD): 6.000 euros.
- Evaluación de impacto deficiente (artículo 35 RGPD): 4.000 euros.
El colegio reconoció su responsabilidad y pagó en periodo voluntario. Por tanto, aplicó las dos reducciones del 20 % que prevé el artículo 85 de la Ley 39/2015. La multa final quedó en 12.000 euros, abonados en enero de 2026. Ese ahorro tiene una contrapartida: la resolución es firme y ningún tribunal va a revisarla. En otras palabras, el criterio queda vivo para el siguiente colegio.
Por qué la responsabilidad recae en el colegio y no en Google
La AEPD lleva tiempo avisando. En 2024 su Gabinete Jurídico informó en contra del convenio del INTEF con Google para las aulas de Ceuta y Melilla (Informe 0050/2023). Además, ya había apercibido a alguna administración educativa por implantar la herramienta sin analizar los riesgos. Lo nuevo ahora es que la multa recae, por primera vez, sobre un colegio concreto.
La explicación es sencilla. Google actúa formalmente como encargado del tratamiento. Sin embargo, sus condiciones prevén tratamientos que sirven a sus propios intereses, como mejorar o personalizar el servicio. Según la Agencia, el colegio “permite y tolera” esas finalidades al elegir la herramienta. Por eso quien elige la plataforma responde por lo que la plataforma hace, y “eso lo hace Google” no es una defensa válida.
Los tres errores con Google Workspace for Education que puede tener tu colegio
1. Pensar que la LOE lo cubre todo
La disposición adicional 23.ª de la Ley Orgánica de Educación permite a los centros tratar los datos del alumnado “que sean necesarios para el ejercicio de su función educativa”. Esa habilitación existe, pero es más estrecha de lo que parece. La AEPD distingue entre lo necesario para educar y lo meramente conveniente desde el punto de vista tecnológico. Gestionar tareas en Classroom encaja. En cambio, que la plataforma recoja hábitos de uso, dirección IP o contenidos visualizados para sus propios fines, no. Y para eso el colegio no tenía otra base jurídica.
2. Informar a medias y sin poder demostrarlo
El colegio sí informó: elaboró una política de privacidad para los padres y convocó una reunión. Sin embargo, dijo que trataba nombre, apellidos, contraseña y curso, y calló lo demás: datos de uso asociados al perfil del alumno, información de los dispositivos, cookies y transferencias internacionales. Además, no pudo acreditar que la información llegara a cada familia, porque la plataforma no guardaba traza de la entrega. El registro de actividades de tratamiento tenía las mismas lagunas. Cumplir no basta; hay que poder probarlo.
3. Una evaluación de impacto de papel
El centro había hecho una EIPD antes de implantar la herramienta y, aun así, le costó 4.000 euros. ¿Por qué? Partía de una premisa falsa (solo se tratan datos identificativos), no analizaba las transferencias internacionales ni la proporcionalidad, y las mejoras que la propia EIPD recomendaba nunca se ejecutaron. Por eso una EIPD que no se revisa cuando cambia el tratamiento es un documento, no una garantía.
Google Workspace for Education: dos matices que casi nadie cuenta
El primero afecta a cualquier colegio religioso. La AEPD entendió que el dominio del correo de los alumnos, que incluía el nombre del centro como colegio católico, revelaba de forma indirecta sus convicciones religiosas. Es decir, una simple cuenta “@nombredelcolegio” puede convertir un dato identificativo en un dato de categoría especial (artículo 9 RGPD), con todo lo que eso exige.
El segundo es el consentimiento. Muchos centros creen que la solución es pedir una autorización a los padres. No es tan sencillo. Para la función educativa no hace falta consentimiento. Y para lo que la excede, el consentimiento en el aula es de dudosa validez por el desequilibrio de poder entre familia y colegio, como ya advertía el Informe 0050/2023. Por tanto, la salida no es firmar más papeles, sino tratar menos datos: configurar Google Workspace for Education para que solo haga lo que la función educativa necesita.
Qué datos genera Google Workspace for Education en un colegio
Buena parte del problema es que los centros solo ven la punta del iceberg. Cuando un alumno usa la plataforma, se tratan al menos estas categorías:
- Identificativos y de acceso: nombre, apellidos, dirección de correo, contraseña, curso y grupo.
- Contenidos: tareas, documentos, comentarios, correos y calendarios que crea o recibe.
- Uso y hábitos: qué aplicaciones abre, cuándo, cuánto tiempo y qué contenidos visualiza.
- Técnicos: dirección IP, cookies, identificadores y características del dispositivo.
- Inferidos: la edad por la unidad organizativa y, como vimos, la religión por el dominio del correo.
A todo esto se suma una cuestión de geografía. Google se apoya en el Marco de Privacidad de Datos UE-EE. UU. y en cláusulas contractuales tipo para las transferencias internacionales. Además, en la edición gratuita no puedes fijar la región donde se alojan los datos. Tu EIPD tiene que decirlo y valorarlo, no darlo por supuesto.
Qué revisar esta semana si tu centro usa Google Workspace for Education
- Inventario real. Entra en la consola de administración y anota qué servicios de Google están activos para el alumnado, tanto principales como adicionales, y qué datos genera cada uno. Lo que no aparece en el inventario no puede aparecer en la EIPD ni en la información a las familias.
- Configuración por edades. Separa a los alumnos en unidades organizativas por etapa. Después, desactiva para ellas los servicios adicionales que no uses (YouTube incluido) o, si los necesitas, activa el modo restringido. Revisa también las políticas de los Chromebooks: navegación, extensiones y aplicaciones permitidas.
- Adenda sobre Datos de Servicio. Comprueba si el superadministrador ha aceptado la adenda que Google ofrece para las ediciones Education. Con ella, Google pasa a tratar los datos de servicio como encargado, salvo un tratamiento residual que sigue realizando como responsable. No resuelve todo, pero reduce justo la parte que la AEPD ha señalado.
- Base jurídica por finalidad. Separa lo necesario para educar (LOE) de lo que no lo es, y elimina esto último mediante configuración. Lo que no puedas eliminar debe tener su propia base jurídica y aparecer en el registro de actividades.
- EIPD viva. Rehaz la evaluación con el tratamiento real: categorías de datos completas, transferencias internacionales, necesidad y proporcionalidad de cada servicio. Y sobre todo, ejecuta las medidas que propone y deja constancia de cuándo se ejecutaron.
- Contrato y registro. Guarda las condiciones de Google que has aceptado, con su fecha y versión, y actualiza el RAT con todas las categorías de datos y destinatarios.
Cómo contárselo a las familias y dejar prueba
La AEPD no sancionó por no informar, sino por informar a medias y no poder demostrarlo. Por eso la información a las familias debe incluir, como mínimo, las aplicaciones concretas que se usan, los datos que genera cada una (incluidos los de uso y los técnicos), las finalidades, la base jurídica, las transferencias internacionales y sus garantías, los plazos de conservación y cómo ejercer los derechos.
El segundo requisito es la prueba. Sirve una plataforma de comunicación con acuse de lectura, una firma en el sobre de matrícula o un correo con confirmación, pero tiene que ser individual y estar archivada. Una reunión de padres sin acta y una política colgada en la web no acreditan que cada familia haya sido informada. Ese fue, precisamente, uno de los fallos del colegio sancionado.
Preguntas frecuentes sobre Google Workspace for Education en colegios
¿Es ilegal usar Google Workspace for Education en un colegio?
No. La AEPD no prohíbe la herramienta. Sanciona usarla sin base jurídica para todo lo que hace, sin informar por completo y sin una EIPD real. De hecho, la propia resolución da al centro dos salidas: legitimar el tratamiento o cesar.
¿Hace falta el consentimiento de los padres?
Para la función educativa, no: la base es la LOE. Para tratamientos que la exceden, el consentimiento es una base débil en el entorno escolar. Por eso lo recomendable es configurar la plataforma para no realizar esos tratamientos.
¿Afecta a Google Classroom y a los Chromebooks?
Sí. Classroom es uno de los servicios principales analizados. Además, los Chromebooks del centro generan datos de dispositivo y de uso que deben aparecer en la información a las familias y en la EIPD.
¿Se aplica también a los colegios públicos?
El criterio es el mismo, pero el responsable puede ser distinto. En la enseñanza pública suele serlo la administración educativa, a veces con un convenio autonómico con Google. En cambio, en los centros privados y concertados el responsable es el propio colegio, y él firma las condiciones.
¿Y si mi colegio usa Microsoft 365 u otra plataforma?
El razonamiento es idéntico: quien elige la herramienta responde de lo que hace con los datos. Cambian los ajustes y los contratos, no la obligación. Ya analizamos el caso de Microsoft 365 en colegios con el mismo enfoque.
Conclusión: la multa no castiga digitalizar, castiga no gobernar
La sanción no castiga la digitalización del aula; castiga digitalizar sin gobernar el tratamiento. Si tu colegio usa Google Workspace for Education, el trabajo pendiente es de gobierno: saber qué hace la herramienta, limitarla a lo educativo, contarlo bien a las familias y dejar prueba de todo. Un DPO externo para centros educativos hace exactamente eso: revisa la configuración, rehace la EIPD y la información a las familias, y acompaña al centro ante la AEPD si llega una reclamación. Si ya tienes dudas sobre tu propia configuración, hablamos cuando quieras. Y si la tecnología en el aula te interesa, también hemos analizado los detectores de frecuencia en exámenes.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.