El colegio Holy Mary Catholic School de Madrid ha pagado 12.000 euros de multa por usar Google en sus aulas de forma incorrecta. Es la primera sanción individual de la AEPD a un centro educativo por el uso de herramientas tecnológicas en el entorno escolar. El caso abre un debate urgente: la digitalización del aula no puede ir por delante del cumplimiento del RGPD.
Tablets en las aulas, plataformas de gestión escolar en la nube, aplicaciones de Google para entregar deberes, videoconferencias con docentes, almacenamiento de trabajos en Drive. La tecnología ha transformado la educación — pero la protección de los datos de los menores no siempre ha ido al mismo ritmo. Este caso lo demuestra con claridad.
Qué ocurrió en el Holy Mary Catholic School
La Agencia Española de Protección de Datos inició una investigación contra el colegio madrileño Holy Mary Catholic School tras recibir una reclamación. El resultado fue una resolución que acredita que el centro educativo utilizó la plataforma de gestión escolar de Google de forma que permitió el tratamiento de datos personales de menores de edad con finalidades que van más allá del derecho a la educación.
En concreto, la AEPD concluyó que el colegio no implementó las medidas necesarias para garantizar que la información personal de los alumnos fuera tratada exclusivamente con fines educativos y administrativos. Los datos de los menores — que incluyen información especialmente sensible por tratarse de niños — fueron accesibles a través de herramientas de Google de una manera que el regulador consideró incompatible con el RGPD.
El centro pagó la sanción el 29 de enero de 2026, acogiendo las dos reducciones previstas — por reconocimiento de responsabilidad y por pago voluntario — que redujeron la multa inicial hasta los 12.000 euros.
Las infracciones del RGPD que cometió el colegio
La resolución de la AEPD identifica infracciones concretas del reglamento europeo. El patrón es el mismo que se repite en la mayoría de las sanciones del sector educativo: no es malicia, es negligencia — y el RGPD no distingue entre ambas.
Principio de limitación de la finalidad
Los datos personales de los menores se trataron con finalidades que superan las estrictamente educativas. Google procesó información de los alumnos para sus propios fines comerciales sin que el colegio estableciera las garantías necesarias.
Infracción del principio de finalidadBase jurídica del tratamiento
El tratamiento de datos de menores en el entorno educativo requiere una base jurídica clara y reforzada. El colegio no acreditó haber obtenido los consentimientos necesarios ni haber aplicado las bases legales correctas para cada tipo de tratamiento.
Falta de base jurídica adecuadaMedidas de seguridad insuficientes
El centro no implementó las medidas técnicas y organizativas necesarias para garantizar un nivel de seguridad adecuado al riesgo. Cuando se tratan datos de menores, el nivel de exigencia es máximo.
Ausencia de medidas de seguridad proporcionales⚠️ El riesgo no es exclusivo de los grandes colegios privados. Cualquier centro educativo — público, concertado o privado — que use plataformas digitales con datos de menores está obligado a cumplir el RGPD con el máximo rigor. Las herramientas gratuitas de Google, Microsoft o cualquier otro proveedor no eximen al centro de su responsabilidad como responsable del tratamiento.
El problema de fondo: digitalizar sin proteger
Este caso no es un accidente aislado. Es el síntoma de un problema estructural: la presión para digitalizar el aula ha sido enorme en los últimos años, pero la formación en protección de datos de los responsables de los centros educativos no ha crecido al mismo ritmo.
Cuando un colegio implanta Google Classroom, Microsoft Teams, una plataforma de gestión de notas o una app de comunicación con las familias, se convierte automáticamente en responsable del tratamiento de datos personales de menores. Eso implica obligaciones muy concretas bajo el RGPD — independientemente de que el proveedor tecnológico sea una multinacional.
La AEPD lleva años advirtiendo de esto. Sus guías sobre el uso de tecnología en el entorno educativo son claras: el centro debe evaluar qué datos recoge cada plataforma, para qué fines los usa el proveedor, qué garantías contractuales exige, y si todo eso es compatible con los derechos de los menores.
📌 Dato clave: los datos de menores son datos especialmente protegidos bajo el RGPD. Cualquier tratamiento inadecuado no solo expone al centro a multas — también puede generar responsabilidad civil frente a las familias y dañar gravemente la reputación del colegio.
Qué debe tener en regla un centro educativo
Si eres responsable de un colegio, una academia, una escuela de idiomas o cualquier centro que trate datos de alumnos menores de edad, este es el checklist mínimo que la AEPD puede pedirte en una inspección:
La lección para cualquier organización que trate datos de menores
El sector educativo no es el único que trata datos de menores. Academias deportivas, clubs de ocio, guarderías, centros sanitarios pediátricos, plataformas de e-learning — todos están sujetos a las mismas obligaciones con el nivel de exigencia más alto que contempla el RGPD.
Este caso demuestra que la AEPD está dispuesta a sancionar incluso cuando el infractor no es una gran corporación. Un colegio de barrio con buena fe pero sin las medidas adecuadas puede enfrentarse a una multa que, con las reducciones, sigue siendo de 12.000 euros. Sin reducciones, podría haber sido considerablemente mayor.
La solución no es dejar de usar tecnología en el aula — es hacerlo con las garantías correctas. Un DPO externo certificado puede revisar las plataformas que utiliza el centro, redactar los contratos con los proveedores tecnológicos y formar al equipo docente en menos tiempo del que se tarda en tramitar una reclamación ante la AEPD.
¿Tu centro educativo tiene las garantías en orden?
En Artico Consultores ayudamos a colegios, academias y centros educativos a cumplir el RGPD con un servicio adaptado al sector. Revisamos las plataformas digitales que usáis, redactamos los contratos con proveedores y os preparamos ante una posible inspección de la AEPD. DPOs certificados · 25 años de experiencia · 0 sanciones a clientes activos.
Solicitar información →Fuentes: Telecinco Informativos, Noticias Madrid, Confilegal (abril 2026). Resolución AEPD — expediente relacionado con Holy Mary Catholic School. Pago de sanción acreditado el 29 de enero de 2026.
Escríbenos por WhatsApp