El uso de Microsoft 365 en colegios se ha normalizado hasta el punto de que pocos centros se preguntan ya con qué base jurídica lo hacen. La pregunta ha vuelto de golpe: en abril de 2026 la Agencia Española de Protección de Datos sancionó a un colegio de Madrid por el uso de una suite equivalente, y el expediente deja claro que el problema no era la herramienta, sino la falta de papeles.
En este artículo vamos a tratar...
La resolución que lo cambia todo para los centros españoles
El procedimiento sancionador PS-00607-2025, resuelto el 15 de abril de 2026, se dirigió contra un colegio privado madrileño por el uso de Google Workspace for Education. La sanción se fijó en 20.000 euros y quedó en 12.000 tras el reconocimiento de responsabilidad y el pago voluntario.
Lo relevante no es el importe, sino los motivos. La AEPD apreció, en primer lugar, falta de base jurídica suficiente: el centro no acreditó que el tratamiento fuera necesario para la función educativa, sino simplemente conveniente. En segundo lugar, vulneración del principio de licitud, lealtad y transparencia. Y en tercer lugar, deficiencias en la información facilitada a las familias y en la evaluación de impacto, que no analizaba las transferencias internacionales de datos.
Ese razonamiento es trasladable punto por punto a cualquier centro que use Microsoft 365, Google Workspace o una plataforma equivalente. La marca cambia; la obligación, no.
Qué dijo el Supervisor Europeo sobre Microsoft 365
El 8 de marzo de 2024 el Supervisor Europeo de Protección de Datos declaró que el uso de Microsoft 365 por la Comisión Europea infringía la normativa aplicable a las instituciones de la Unión. Señaló cuatro incumplimientos: falta de determinación de finalidades y tipos de datos en los contratos, instrucciones al encargado insuficientemente documentadas, transferencias internacionales sin garantías adecuadas y comunicaciones no autorizadas a terceros. Ordenó suspender, con efecto de 9 de diciembre de 2024, los flujos de datos hacia terceros países sin decisión de adecuación.
La Comisión y Microsoft recurrieron ante el Tribunal General. Y el 11 de julio de 2025 el Supervisor cerró la investigación al considerar subsanadas las infracciones, tras un informe de cumplimiento que acreditaba contratos actualizados, identificación de destinatarios, limitación de las transferencias e implantación del EU Data Boundary.
La conclusión operativa es la buena noticia de esta historia: el uso de Microsoft 365 en colegios puede hacerse conforme a derecho. Pero no por defecto, sino con contratos concretos y transferencias acotadas.
El giro alemán y las evaluaciones neerlandesas
En Alemania, la conferencia de autoridades de protección de datos concluyó en noviembre de 2022 que Microsoft 365 no podía operarse conforme a la normativa. La autoridad de Baden-Wurtemberg fue más lejos en abril de 2022 y ordenó a los centros educativos abandonar la herramienta salvo prueba fehaciente de conformidad, recomendando alternativas de código abierto.
Ese criterio ha cambiado. En noviembre de 2025 la autoridad de Hesse concluyó que sí es posible un uso conforme por entidades públicas, incluidas escuelas, apoyándose en el EU Data Boundary, en la nueva arquitectura de privacidad y, sobre todo, en un contrato de encargado específico para el sector público negociado con Microsoft. Es decir: la conformidad llegó cuando llegó el contrato, no antes.
En los Países Bajos, las evaluaciones de impacto encargadas por la administración central y por las universidades identificaron un riesgo alto —el acceso potencial de autoridades estadounidenses a datos sensibles— y varios riesgos menores relativos a telemetría y límites del derecho de acceso. Las evaluaciones posteriores sobre Copilot, actualizadas en 2025 y 2026, concluyen que el despliegue es posible con una adopción responsable.
Qué tiene que tener resuelto un colegio
De la resolución española y de la decisión europea sale una lista corta y exigente.
- Contrato de encargado del artículo 28 con finalidades y categorías de datos especificadas e instrucciones documentadas. No basta con aceptar las condiciones estándar.
- Papeles claros: el centro es responsable del tratamiento; el proveedor, encargado. Todo uso de los datos para fines propios del proveedor queda fuera de ese marco.
- Lista de subencargados y régimen de autorización de nuevas incorporaciones.
- Mapa de transferencias internacionales con su garantía y con análisis del acceso por autoridades de terceros países.
- Exclusión contractual de publicidad y elaboración de perfiles sobre menores.
- Evaluación de impacto previa que cubra expresamente las transferencias. Fue uno de los puntos sancionados.
- Información a las familias por capas, identificando los servicios concretos que se utilizan, no una mención genérica a la plataforma.
- Base jurídica distinta para todo uso que exceda la función educativa.
Menores: el punto donde no hay margen
El artículo 7 de la LOPDGDD sitúa en catorce años la edad a partir de la cual el menor puede consentir por sí mismo; por debajo, corresponde a quienes ejercen la patria potestad o tutela. En el ámbito escolar, la disposición adicional vigesimotercera de la Ley Orgánica de Educación permite al centro recabar los datos necesarios para la función docente y orientadora, pero limita expresamente su uso a esa finalidad: cualquier otro tratamiento exige consentimiento.
Por eso la distinción entre necesario y conveniente que hizo la AEPD es tan importante. Un servicio de correo para el alumnado puede ser necesario. Que ese mismo servicio active funciones de perfilado o publicidad, no lo es nunca.
El siguiente frente: la IA en el aula
El Reglamento europeo de Inteligencia Artificial incluye la educación y la formación profesional entre los usos de alto riesgo de su anexo III. Tras la reforma introducida por el ómnibus digital de julio de 2026, esas obligaciones son exigibles desde el 2 de diciembre de 2027. Es tiempo suficiente para preparar el inventario de herramientas, pero no para ignorarlo: las funciones de IA ya vienen activadas en las suites que los centros tienen contratadas.
Un centro educativo necesita a alguien que decida estas cosas por escrito y antes de que llegue la reclamación. En Auratech Legal asumimos esa función como DPO externo de centros educativos: contrato con el proveedor, evaluación de impacto, información a las familias y criterio documentado sobre qué se puede activar y qué no.
Dejar un comentario
¿Quieres unirte a la conversación?Siéntete libre de contribuir!