PS-00607-2025 | Europaius

1/63  Expediente N.º: EXP202406420 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de enero de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HOLY MARY CATHOLIC SCHOOL, S.L. (en adelante, el COLEGIO), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202406420 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 24 de abril de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a HOLY MARY CATHOLIC SCHOOL, S.L. con NIF B85476182 (en adelante, el COLEGIO). La reclamación refiere la utilización por parte del COLEGIO de la herramienta “Google Workspace for Education” (en adelante GWE). Según la reclamación, a través de dicha plataforma sus hijos, estudiantes de educación primaria, accederían a contenidos no relacionados con los estudios, como la página web de YouTube y videojuegos. Habiendo consultado al centro educativo, su director confirmaría la utilización de la herramienta en diferentes clases y que disponen de cuentas de correo electrónico de Gmail para acceder a la aplicación Chrome. La reclamante afirma que no recibió información sobre la utilización de dicha herramienta. A su reclamación adjunta copia de correos electrónicos remitidos por el centro de educativo en los que hace referencia al uso de la citada herramienta en el centro escolar y documentación de matriculación y solicitudes de consentimiento facilitados a la reclamante. Aporta hoja de matriculación del centro escolar de (…) de la parte reclamante, firmada por ambos progenitores con fecha 17/05/2022. Dicho documento contiene los datos relativos identificativos de (…) y datos de contacto entre otros. Adjunto al documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/63 hay un apartado relativo a protección de datos, en el que se indican las siguientes bases de legitimación para diferentes tratamientos y finalidades: - Legitimación “Relación contractual con el Centro”, con la finalidad “Gestión escolar”. “Interés legítimo del Centro”, con las finalidades “Comunicaciones por correo electrónico u otros medios”, “Gestión administrativa” y “Gestión de datos de salud del alumno”. “Obligación legal”, con la finalidad “Formación académica y mantenimiento del historial académico”. “Consentimiento del Interesado”, con las finalidades “Servicios externos de salud, orientación psicopedagógica, etc.”, “Relación con ex-alumnos”, “Actividades extra escolares”, “Envío de comunicaciones no relacionadas con la actividad del Responsable” y “Tratamientos de imágenes y vídeos”. Consta asimismo una política de privacidad y de protección de datos del centro escolar firmada por la reclamante, donde figura lo siguiente: “(…) La presente política está dirigida a vosotros como padres o tutores de alumnos de Holy Mary Catholic School (en lo sucesivo HMCS). Este documento detalla el tipo de información limitada que se les puede solicitar durante su relación con HMCS y el uso que se le dará a la misma. HMCS, valora y respeta la privacidad de todos los padres, tutores, y estudiantes y desea que sean totalmente conscientes de los motivos por los que precisamos sus datos, con el fin de proporcionar la mejor educación y servicios. HMCS, solo solicitará los datos estrictamente necesarios para proporcionar dichos servicios: datos del estudiante, incluidos fotografías, datos académicos y generales (edad, lugar y fecha de nacimiento, DNI, nombre, nacionalidad y datos de contacto) a los siguientes efectos: 1. Con fines sociales limitados relacionados con el centro (excursiones escolares, eventos deportivos y actividades extraescolares). 2. Actualización de a base de datos de HMCS de cara a su uso en actividades de marketing (ej: página web, boletín informativo para uso interno y dossier informativo del centro). Además de la información antedicha, se podrán hacer también fotografías y videos de los estudiantes en nuestro centro o mientras participan en actividades relacionadas con el centro fuera del mismo. Podremos hacer también grabaciones de video de actos tales como conciertos, jornadas deportivas, actuaciones u otros eventos educativos. Dichos contenidos podrán ser utilizado para fines promocionales, de marketing y publicitarios en nuestra revista / newsletter o en otras publicaciones impresas que produzcamos. (…) Toda esta información adicional constituye, conforme a la Ley de Protección de Datos, también información de carácter personal que se recogerá, tratará y transmitirá únicamente son su previo consentimiento. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/63 Consta asimismo una “CLAUSULA MATRÍCULA ESCOLAR” firmada por la reclamante con la siguiente información: “[…] HOLY MARY CATHOLIC SCHOOL, S.L., como Responsable del tratamiento, le informa que los datos personales, familiares y académicos del alumno serán tratados de conformidad con lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril, (RGPD) y en la L.O. 3/2018, de 5 de diciembre, de protección de datos y garantía de los derechos digitales (LOPDGDD). Legitimación y fines del tratamiento: Legitimación Relación contractual con el centro Interés legítimo del centro Obligación legal Consentimiento del interesado Fines Gestión escolar Comunicaciones por correo electrónico u otros medios Gestión administrativa Gestión de datos de salud del alumno Formación académica y mantenimiento del historial académico Servicios externos de salud, orientación psicopedagógica Relación con exalumnos Actividades extraescolares Envío de comunicaciones no relacionadas con la actividad del responsable Tratamiento de imágenes y vídeos […] Estas imágenes no serán utilizadas para ningún otro fin ni cedidas a terceros no autorizados. Datos de categorías especiales: Se pueden recoger datos de salud al proporcionarnos información del alumno relativo a alergias, intolerancias alimentarias, tratamientos médicos prescritos y/o evaluaciones psicopedagógicas, que requerirán el consentimiento expreso del alumno mayor de 14 años o el de sus padres, salvo en caso de urgente necesidad en el que operará el interés vital del menor. Criterios de conservación de los datos: se conservarán durante el tiempo necesario para alcanzar los fines del tratamiento, bien sea por obligación legal, por la relación contractual con el Centro o por Interés legítimo y cuando ya no sea necesario para tales fines se suprimirán con medidas de seguridad adecuadas para garantizar la seudonimización de los datos o la destrucción total de los mismos. Derechos que asisten al Interesado: Derecho a retirar el consentimiento en cualquier momento. Derecho de acceso, rectificación, portabilidad y supresión de sus datos y a la limitación u oposición a su tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/63 Derecho a presentar una reclamación ante la Autoridad de control (www.aepd.

es)si considera que el tratamiento no se ajusta a la normativa vigente. Datos de contacto del Delegado de protección de datos para ejercer sus derechos: Datos de contacto del DPO: - dpo@hmschool.es […]” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al COLEGIO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 25/04/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 23/05/2024 se recibe en esta Agencia escrito de respuesta del COLEGIO, en el que se refiere a diferentes aspectos de la reclamación y de la utilización de la plataforma. En relación con la información sobre el uso de la herramienta GWE a la reclamante, manifiesta lo siguiente: “Al comienzo del curso escolar, se realiza una reunión informativa con los padres donde se les traslada diversa información sobre el desarrollo del curso donde, entre otras cuestiones, se les explica el uso de las herramientas digitales, Chromebook y que tienen a su disposición las políticas TIC en la aplicación ISAMS cuyo acceso es individual por cada padre. Se adjunta como Documento 1 el email enviado con fecha 29 de agosto comunicando los padres el calendario de las reuniones informativas organizadas en las distintas etapas”. Afirma haber tenido además varias comunicaciones directas y reuniones con la reclamante para aclarar sus inquietudes en relación con el uso de la plataforma, así como sobre otras cuestiones relativas a la escolarización y adjunta correos electrónicos intercambiados con la reclamante. Aporta el documento “Política ICT dirigida al alumnado de Nursery 1 hasta Year 6", junto con acreditación de que se encuentra en la aplicación iSAMS, a la que tienen acceso individualizado los padres de los alumnos y el documento "Books and Resources", que afirma que se encuentra entre los documentos facilitados a las familias al comienzo del curso escolar. Refiere asimismo la celebración el 16/04/2024 de una reunión sobre la postura del centro en relación con el papel de la tecnología en la educación, para tratar, entre otras cuestiones, el uso de dispositivos Chromebook en las etapas de Year 1 y Year 2, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/63 de la que aporta convocatoria e informe de conclusiones remitido por correo electrónico. En dicho correo se habla del uso de pizarras electrónicas no más de 30 min al día y Chromebook no más de 2,5 horas a la semana. Se menciona que dependiendo de la edad los alumnos se podrán llevar el Chromebook a casa en momentos puntuales y que se crearán cuentas a los alumnos, así como otras cuestiones relativas a inteligencia artificial, recomendaciones sobre uso de móviles y sobre la importancia de limitar el uso de pantallas. En relación con el documento “POLÍTICA ICT DIRIGIDA AL ALUMNADO DE NURSERY 1 HASTA YEAR 6”, consta, entre otros aspectos, información sobre el uso de dispositivos Chromebook, la creación de cuentas para los alumnos para acceder a los Chromebook, se menciona que las aplicaciones de GWE (principales y adicionales) están deshabilitadas para dichos cursos, así como los permisos de acceso a micrófono, cámara y localización. Se indica que el único uso de los Chromebook en esos cursos es para acceder a las clases de ICT, en el que trabajarán fuera del espacio de GWE, y para realizar búsquedas de información. Se mencionan asimismo medidas de seguridad como el filtrado de contenidos y páginas web y que los profesores monitorizan lo que hace cada alumno en el Chromebook a través del programa GoGuardian. Se comparten enlaces al contrato de encargo del tratamiento y la adenda de protección de datos de GWE, así como al Aviso de privacidad de GWE. No se aportan sin embargo evidencias de que este documento se le haya facilitado a la reclamante o al resto de progenitores ni consta en el documento la información prevista por el artículo 13 RGPD. En cuanto al documento "Books & Resources YEAR 2", en el que se informa del acceso del alumno a un dispositivo Chromebook que usarán para las clases de ICT y aplicaciones que usarán los alumnos e información descriptiva de para qué sirven. No consta sin embargo en este documento la información relativa al artículo 13 RGPD. Aporta encuesta dirigida a padres de alumnos sobre sus ideas y expectativas en relación al uso de la inteligencia artificial y otras tecnologías en el centro escolar. Se aportan capturas de pantalla de la consola de administración de GWE donde consta la siguiente información relevante: - Para todos los estudiantes, la aplicación Google Chat, Google Meet, está desactivada. - Las aplicaciones Classroom, Drive&Docs y Calendar están desactivada para primaria. - Consta también que al menos 8 de los servicios adicionales de Google están desactivados para primaria. - No se permite la instalación a primaria de aplicaciones provenientes del Google Workspace Marketplace. - Están bloqueadas todas las aplicaciones del Chrome Web Store en primaria, con excepción de algunas que puedan haberse permitido. No constan las permitidas. - Para todos los estudiantes, se bloquean únicamente las urls ***URL.1 y ***URL.2. - El acceso al micrófono y a la cámara por parte de sitios web y apps está deshabilitado en primaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/63 - En Year 11 consta una restricción al envío de emails que, según manifiesta la parte reclamada, consiste en que todos los alumnos excepto Year 12 y Year 13, solo pueden enviar emails a los dominios del COLEGIO. TERCERO: Con fecha 24 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de las actuaciones de investigación realizadas se han realizado dos requerimientos de información al COLEGIO que fueron contestados por el DPD de la entidad con fechas 16/11/2024 y 24/04/2025 y se ha recabado diferente información, entre la que destaca la siguiente: 1. Cuestiones generales: El COLEGIO es un centro educativo privado que sigue el sistema educativo británico. En dicho sistema los cursos que se mencionan en este procedimiento tendrían la siguiente correspondencia con el sistema educativo español: “Year 1” correspondería a 3º de educación infantil, “Year 2” a primer curso de educación primaria y así sucesivamente hasta “Year 13”, que se correspondería con el segundo curso de Bachillerato. En su escrito de 16/11/2024, COLEGIO manifiesta que utiliza la herramienta GWE en su versión “Fundamentals” desde el curso escolar 2021/2022 y que la herramienta es utilizada por 531 alumnos con una cuenta nominativa, de los cuales 395 son menores de 14 años y 136 mayores de esa edad. El acceso a la herramienta se realiza a través de dispositivos “Chromebook” facilitados por el centro a los alumnos. En concreto se señala: “A continuación, facilitamos la información relativa al número de alumnos, según etapa educativa, que están dados de alta en la herramienta GWE con cuenta nominativa: ● Year02 – 54 Alumnos ● Year03 – 54 Alumnos ● Year04 – 53 Alumnos ● Year05 – 43 Alumnos ● Year06 – 50 Alumnos ● Year07 – 50 Alumnos ● Year08 - 41 Alumnos ● Year09 - 47 Alumnos (de los cuales 1 tiene 14 años) ● Year10 - 50 Alumno (de los cuales 3 tienen menos de 14 años) ● Year11 - 39 Alumnos (de los cuales uno es menor de 14 años) ● Year12 - 24 Alumnos ● Year13 - 26 Alumnos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/63 Por tanto, el número total de alumnos dados de alta en GWE, con cuenta nominativa, son 531 alumnos, de los cuales: ● Alumnos menores de 14 años - 395 ● Alumnos Mayores de 14 años - 136 Respecto a la etapa educativa correspondiente a Year 01, informamos que las cuentas incluidas en la consola de administración, estructurada por Unidades organizativas, son cuentas genéricas para alumnos creadas con el dominio @student.hmschool.es (ejemplo: student01@student.hmschool.es; student02@student.hschool.
es)con la finalidad de acceder a los Chromebooks que utilizan en clase de ICT, tal como se indica en nuestra política informativa. […]” “Fundamentals” es una de las versiones de la herramienta GWE. En cuanto a la decisión de utilizar esa versión manifiesta lo siguiente: “[…] La decisión de optar por esta versión básica se basó en que cumplía con nuestras necesidades educativas, ya que las diferencias con otras versiones se limitan principalmente al espacio de almacenamiento y a algunas aplicaciones adicionales. En nuestro caso, lo que nos resultaba más relevante era la aplicación Classroom, así como brindar a los alumnos la oportunidad de tomar contacto con plataformas de aprendizaje de gran envergadura, como son las que ofrece Google, pero garantizando que esta interacción se lleva a cabo dentro de un entorno seguro y controlado por la institución educativa. […]” 2. Uso realizado de GWE: Manifiesta que en el entorno de GWE utilizan las aplicaciones principales Classroom, Drive, Gmail, Calendar, Docs, aportando capturas de pantalla de los perfiles de varios alumnos. Manifiesta, asimismo, que no usan ningún servicio adicional, ni de Google Workspace Marketplace ni ninguna aplicación externa al entorno GWE. En su escrito de 24/04/2025 describe el uso de cada una de las aplicaciones. En fecha 24/04/2025 el DPD de la parte reclamada, como respuesta al requerimiento de que se describa detalladamente el uso que realizan de GWE apoyándose en capturas de pantalla y ejemplos concretos, aporta la siguiente información y manifestaciones: 9. Manifiesta cómo usan las aplicaciones:  Classroom. “Google Classroom es utilizado como entorno digital de aula, especialmente para la publicación de materiales de apoyo, tareas y enlaces relevantes. Los docentes organizan sus clases por materias y niveles, y asignan actividades a través de la plataforma. No obstante, la corrección y evaluación de dichas actividades no se realiza a través de Classroom, sino de forma presencial o por otros medios, ya que el alumnado realiza sus tareas en papel físico como parte habitual del método pedagógico.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/63 No acredita de todas las manifestaciones ya que de las 2 capturas de pantalla de Google Classroom aportadas, exclusivamente se muestra el contenido de la pestaña “Tablón”, no mostrándose el contenido de las otras 3 pestañas (“Trabajo de clase”, “Personas”, “Calificaciones”).  Google Docs. “Google Docs permite la creación y edición colaborativa de documentos entre varios usuarios del mismo dominio. Se utiliza especialmente en trabajos grupales o colaborativos propuestos por el profesorado, como redacciones, presentaciones o esquemas. Los alumnos trabajan de manera conjunta en un mismo documento, y los docentes pueden visualizar el progreso, añadir comentarios y realizar sugerencias. La colaboración se mantiene en el entorno cerrado del dominio del colegio, sin posibilidad de compartir fuera del mismo. […]”  Google Drive. “Google Drive se utiliza como espacio de almacenamiento institucional seguro. Los alumnos lo utilizan para guardar apuntes, entregas, presentaciones y otros trabajos escolares, mientras que los docentes organizan documentos por asignaturas y comparten materiales con los grupos correspondientes. El centro ha desactivado la posibilidad de compartir documentos fuera del dominio institucional. Además, el equipo de IT realiza auditorías internas periódicas, garantizando así que el uso de Drive por parte del alumnado está restringido a fines educativos.”  Google Gmail. “Gmail se encuentra habilitado únicamente con cuentas bajo el dominio institucional, configuradas para restringir el envío y recepción de correos a cuentas externas. Esta medida se aplica de forma general. El correo se utiliza principalmente para: ● Consultas puntuales entre el alumno y el docente. ● Envío de tareas o confirmación de trabajos. ● Coordinación de actividades o tutorías.” 3. En relación con las cuentas GWE y a los Chromebook, manifiesta: En cuanto a la creación de cuentas de alumnos, en el escrito de 16/04/2024, afirma que “las cuentas de GWE se crean a los alumnos a partir de Year 02, en el momento de matriculación en este curso y se mantienen activas mientras el alumno/a permanezca en el centro”. En cuanto al uso de los dispositivos Chromebook, afirma: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/63 “Los Chromebooks están asignados a alumnos fijos a partir de Year 07 y hasta Year 13 (en total 277 alumnos con dispositivos asignados). De Year 01 a Year 06 (en total 299 alumnos) los dispositivos están en un carro en las clases, puestos a disposición de los alumnos para que los recojan aleatoriamente para su uso en clase de ICT, siendo el uso de estos dispositivos compartidos entre los alumnos de cada clase. La decisión del colegio respecto a la asignación o no de dispositivos se basa en el tiempo que se necesitan utilizar los dispositivos y en el nivel de madurez y responsabilidad, que el centro considera alcanzado a partir de Year 07. Los alumnos de Year 01 (45 alumnos) acceden a estos dispositivos con una cuenta genérica, creada tal como se ha indicado en el punto Tercero de esta contestación. Si bien, a partir de Year 02 los alumnos usan la cuenta nominativa que les crea el centro. Los alumnos a partir de esta etapa (Year02) puedan acceder a su cuenta desde cualquier lugar, con usuario y contraseña personalizada, teniendo las limitaciones configuradas respecto a la cuenta por IT. En cuanto a los dispositivos Chromebooks del colegio, están configurados para que sólo se pueda acceder con una cuenta de GWE de la organización. El grado de control que posee el centro escolar sobre la administración y configuración de estos dispositivos es absoluta, estando todos los los administradores del colegio pueden monitorear y gestionar la actividad y los permisos otorgados. (…)” 4. En relación con la información proporcionada a los interesados En su escrito de 16/11/2024, afirma lo siguiente: “El centro educativo informa a las familias sobre el tratamiento de sus datos personales en la documentación entregada para la formalizar la matrícula. En dicho documento, se facilita la información incluida en los puntos contemplados en el artículo 13 del RGPD, al obtenerse los datos directamente del interesado. […] Sobre el uso de herramientas y aplicaciones digitales, el centro informó de su política en la reunión informativa realizada con familias al inicio de curso. Dicha política está dividida por etapas, por un lado, desde Nursery hasta Year 06 y por otro, de Year 07 hasta Year 13. En esta reunión, se les indica que dicha política ICT está a su disposición en iSams (plataforma de comunicación con familias y alumnos). […] La plataforma iSams no guarda trazabilidad de los documentos que las familias han visto o descargado, por lo que no resulta posible a esta parte probar la visualización por parte de las familias a dicha información. No obstante, esta parte garantiza el deber de información, aportando como Documento 4 captura de pantalla con el acceso concedido a la parte reclamante a dicha plataforma (acceso que hoy en día ha sido eliminado). Queremos aportar en este momento, como Documento 5, nuestra política correspondiente a la etapa de Year07 a Year13, para que esta Agencia tenga a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/63 su disposición toda la información ofrecida por el colegio. Ambas políticas están publicadas en su versión más reciente en la nueva aplicación para comunicación con familias. Adjuntamos captura de Documentos 6 como evidencia de la publicación en nuestra plataforma de comunicación con familias.” Aporta captura de pantalla de la actividad de login en una plataforma “ISAMS Parent Portal” donde consta el login más antiguo de la reclamante en fecha 19/09/2022. Aporta el documento “POLITICA DE USO DE HERRAMIENTAS Y APLICACIONES INFORMÁTICAS DURANTE DEL DESARROLLO DE LA ACTIVIDAD EDUCATIVA- A partir de Year 7”. Del contenido de dicho documento cabe destacar la siguiente información: - Se menciona en cuanto a las “Medidas de seguridad aplicadas a estos dispositivos” lo siguiente: “(…) Los estudiantes no pueden descargar aplicaciones y extensiones adicionales en su Chromebook distintas a las instaladas por el centro educativo”. - Se afirma que “El centro educativo se reserva el derecho de monitorear y auditar el uso de estos dispositivos a través del programa “GoGuardian” para garantizar el cumplimiento de esta política y detectar posibles amenazas de seguridad, sospechas o constancia de comisión de ilícitos. Esto se realizará cumpliendo los debidos requisitos, con estricta confidencialidad por las personas intervinientes, y adoptando las medidas de privacidad que protejan los derechos y libertades de los afectados”. - En el apartado “Política de uso de GWE” consta lo siguiente: “(…) como parte del proyecto educativo, proporcionamos una cuenta a cada alumno/a con dominio del colegio creada en el espacio de GWE contratado por el colegio. A diferencia de las cuentas genéricas que ofrece Google, los servicios bajo el dominio del centro son servicios administrados por el propio centro educativo, en concreto por nuestro equipo de IT. GWE está compuesto por un paquete de herramientas y complementos que facilita y agiliza la gestión, la comunicación, la colaboración y la creación de contenidos para el desarrollo de la actividad educativa. Dentro de este espacio, Google ofrece dos tipos de aplicaciones, por un lado, aplicaciones principales y, por otro, servicios adicionales. El Colegio desde la consola de administración tiene habilitadas únicamente las aplicaciones que se consideran necesarias para el trabajo adecuado del alumno/a. Para el uso de las aplicaciones principales, el Colegio ha formalizado un contrato con Google sobre el procesamiento de datos que realiza Google como Encargado de tratamiento. Los servicios adicionales del paquete Google Workspace for Education están deshabilitados, por lo que Google en ningún caso podrá utilizar esta cuenta para sus propios fines. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/63 La base jurídica para llevar a cabo el tratamiento de los datos personales de los alumnos afectados por el uso de la herramienta GWE se encuentra en el artículo 6.1
c)RGPD, según el cual el tratamiento es necesario para cumplir una obligación legal aplicable al responsable del tratamiento, de conformidad con la existencia de normas educativas que habilitan a los centros al uso de estas herramientas para el cumplimiento del centro con sus funciones educativas (en concreto la Ley Orgánica 2/2006, de Educación y Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales). (…) ¿Qué información personal recoge Google? Al crear una cuenta de alumno/a, el Colegio puede proporcionar a Google determinada información personal sobre el alumno/a (en concreto, el nombre y apellidos, y el curso académico en el que se encuentra). Cuando un alumno/a use los servicios de Google éste también recabará la información basada en el uso de esos servicios, en concreto: ● Información de dispositivo como, por ejemplo, el modelo de hardware, la versión de sistema operativo, los identificadores exclusivos del dispositivo y la información de la red móvil, incluido el número de teléfono. Por ello, se recomienda acceder a las cuentas desde el almacenará será de este dispositivo que es propiedad del colegio. ● Información de registro, incluidos los detalles de cómo ha utilizado el usuario los servicios de Google, los datos de los eventos del dispositivo y la dirección del protocolo de internet del usuario (IP). ● Números exclusivos de la aplicación (como el número de la versión de la aplicación). ● Cookies o tecnologías similares que se utilizan para recabar y almacenar información sobre un navegador o un dispositivo (p. ej., el idioma preferido y otros ajustes). ¿Utiliza Google la información personal de los alumnos para los usuarios de centros educativos con el fin de orientar la publicidad? No, los servicios principales de Google Workspace for Education no contienen publicidad y no usan la información de la que disponen con fines publicitarios. ¿Divulgará Google la información personal del alumnado? Google se compromete a no divulgar información personal, salvo en los siguientes casos: a. Se tenga el consentimiento del interesado o su padre, madre o tutor. b. Cuando sea necesario para el procesamiento externo. Google puede proporcionar información personal a los afiliados o a otras personas o empresas de confianza para que la procesen en nombre de Google, siguiendo nuestras instrucciones de Google y de conformidad con el Aviso de Privacidad de Google Workspace para Centros Educativos y otras medidas de seguridad y confidencialidad adecuadas. c. Cuando sea necesario cumplir con una obligación legal. Más información en Privacidad y seguridad de Google for Education. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/63 (…)” - Al final del documento consta un espacio de firma para alumnos, padres o tutores, con el siguiente texto: “Tanto el alumno/a mayor de 14 años, como sus familias, reconocen haber sido informados sobre la política de creación y uso de cuentas de GWE en el centro”. Aporta asimismo captura de pantalla de una aplicación móvil que, según afirma, es su plataforma de comunicación con las familias, en la que consta la publicación de un documento con título “IMPORTANT INFORMATION ABOUT GWE” cuyo contenido parecer ser el mismo al de la “POLITICA DE USO DE HERRAMIENTAS Y APLICACIONES INFORMÁTICAS DURANTE DEL DESARROLLO DE LA ACTIVIDAD EDUCATIVA- A partir de Year 7”. No consta fecha de publicación. En su escrito de 24/04/2025, en relación con el documento “POLITICA DE USO DE HERRAMIENTAS Y APLICACIONES INFORMÁTICAS DURANTE DEL DESARROLLO DE LA ACTIVIDAD EDUCATIVA- A partir de Year 7”, afirma lo siguiente: “El centro no dispone de versiones firmadas de dicha política en formato papel ni digital con firma electrónica individualizada de los progenitores, dado que el procedimiento de comunicación e información de las políticas ICT no se articula mediante recogida de firmas, sino a través de la plataforma digital institucional de comunicación con familias. Cabe aclarar que, si bien en un procedimiento anterior se informó que esta documentación estaba accesible en la plataforma iSAMS, en el curso actual el centro ha migrado su sistema de comunicación a una nueva plataforma que permite gestionar, notificar y hacer seguimiento de la visualización de documentos por parte de los progenitores.” Aporta un documento Excel con información para varios progenitores, según manifiesta la parte reclamada, con “la trazabilidad completa de visualización de dicha política ICT”. Consta en dicha información aportada, entre otras columnas, una columna de “Date received” con fechas en noviembre 2024 y columnas “Signature” vacías. En relación con la base de legitimación del tratamiento, en su escrito de 16/11/2024 afirma lo siguiente: “La base jurídica para llevar a cabo el tratamiento de los datos personales de los alumnos afectados por el uso de las herramientas GWE se encuentra en el artículo 6.1
c)RGPD, según el cual el tratamiento es necesario para cumplir una obligación legal aplicable al responsable del tratamiento, de conformidad con la existencia de normas educativas que habilitan a los centros al uso de estas herramientas para el cumplimiento del centro con sus funciones educativas (en concreto la Ley Orgánica 2/2006, de Educación y Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales). Asimismo, compartimos el planteamiento de la AEPD en su informe 0050/2023, del cual se deduce que el tratamiento podría entenderse también basado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/63 artículo 6.1
e)RGPD, por el que el tratamiento es licito cuando sea necesario para el cumplimiento de una misión realizada en interés público. […]” En relación con el Registro de actividades del tratamiento (en adelante, RAT), en su escrito de 16/11/2024 aporta RAT donde consta, entre otra información, que el responsable del tratamiento es el COLEGIO y el DPD es ***EMPRESA.1. En el apartado de categorías de datos consta exclusivamente: “Datos identificativos: Nombre y apellidos, cuenta de correo electrónico de alumno creada con la inicial y el apellido. Categorías de datos especiales o penales: No Otro tipo de datos Académicos y seguimiento de tareas escolares.” En relación con la realización de una Evaluación de impacto relativa a la protección de datos (en adelante, EIPD), a su escrito de 18/11/2024 aporta un documento de EIPD con fecha de agosto de 2021 y firma del responsable y del DPD. De dicho documento cabe destacar lo siguiente: - En el apartado “Tipo de datos tratados” consta: “Los únicos datos tratados son identificativos. Para la creación de cuenta: inicial de nombre + primer apellido y contraseña. Para el perfil de usuario datos adicionales como: nombre + dos apellidos + año escolar” - Se indica que no se tratan datos especialmente sensibles. - En el apartado “¿Se comparten datos? Describe qué datos se comparten, el destinatario y la razón” consta lo siguiente: “Google utiliza una red global de centros de datos. Sin embargo, con las licencias contratadas de GWE en su versión Fundamental no es posible para el centro educativo elegir una ubicación específica para el almacenamiento de datos, por lo que puede almacenarse en países no pertenecientes al Espacio Económico Europeo (EEE), ya que es Google quien decide dónde alojarlos. Las transferencias internacionales de datos que en su caso se realicen, cumplen con garantías adecuadas al estar reguladas por las Standard Contractual Clauses (SCC) las cuales se encuentran disponibles en https://workspace.google.com/terms/mcc_terms.html” - En el apartado “2.6 Necesidad y Proporcionalidad del Tratamiento” consta lo siguiente: “Justificación de la eficacia del tratamiento por el propósito que se busca. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/63 El tratamiento de estos datos está directamente relacionado con el cumplimiento de las responsabilidades educativas del colegio, tanto a nivel académico como administrativo. El tratamiento de datos, realizado mediante la creación de cuentas de usuario, resulta apropiado para lograr eficazmente el propósito perseguido por el centro de facilitar a sus alumnos alcanzar las competencias digitales o destrezas en entornos TIC, cumpliendo así con la obligación de las instituciones educativas de garantizar que sus estudiantes tengan acceso a herramientas educativas adecuadas para su formación. Justificación de la necesidad del tratamiento. El tratamiento de datos personales mediante GWE es necesario para garantizar el correcto funcionamiento de las actividades educativas, como la gestión de clases, la colaboración en línea, el almacenamiento de materiales educativos y la comunicación entre estudiantes y docentes. La herramienta facilita el acceso a servicios esenciales como el correo electrónico, el almacenamiento en la nube, el calendario, la creación de documentos y hojas de cálculo, entre otros, que son fundamentales para el desarrollo de las funciones académicas y administrativas en el entorno educativo. Además, GWE ofrece una infraestructura segura y conforme con el RGPD, permitiendo el control adecuado de los datos personales, su protección y el cumplimiento de los derechos de los usuarios. El tratamiento es, por lo tanto, necesario para el cumplimiento de la misión educativa y el interés legítimo de la institución, sin que ello suponga un riesgo desproporcionado para los derechos y libertades de los interesados. Justificación de que el tratamiento es proporcional. El tratamiento de datos evaluado cumple a nuestro juicio con el principio de proporcionalidad, al ponderar los beneficios aportados por el tratamiento de datos frente al impacto sobre los derechos y libertades de los interesados. Es proporcional, ya que se limita exclusivamente a los datos necesarios para llevar a cabo las actividades académicas y administrativas esenciales, como la gestión de tareas, el seguimiento de progreso educativo, la comunicación entre estudiantes y docentes y el acceso a recursos educativos en línea. Los datos recopilados son los mínimos necesarios para garantizar el correcto funcionamiento de la plataforma y no se procesan más allá de lo que es estrictamente necesario para cumplir con estos fines. Además, la herramienta permite la configuración de medidas de seguridad y control de acceso que limitan la visibilidad y el uso de los datos, asegurando que solo las personas autorizadas puedan acceder a la información. A través de políticas claras de retención y eliminación de datos, se asegura que los datos no sean conservados por más tiempo del necesario, lo que refuerza la proporcionalidad del tratamiento en relación con los objetivos educativos. En todo caso, los recursos y materiales educativos a los que se les da acceso a los alumnos, tiene en cuenta su etapa educativa, limitando el acceso a las aplicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/63 básicas de Google que se entiendan necesarias. No se considera que la implantación de esta tecnología cause perjuicios sobre los datos de los alumnos considerando que todos los servicios adicionales están desactivados.” - En el apartado de conclusiones consta lo siguiente: “• El centro contrata el servicio de GWE con Google, que cuenta con normas de aplicaciones internacionales de seguridad y privacidad. Este proveedor actúa como encargado del tratamiento bajo un Acuerdo de Procesamiento de Datos, limitando su acceso a los datos a lo estrictamente necesarios para la prestación del servicio. Google no utiliza datos de alumnos para fines comerciales o publicitarios en la modalidad de servicios principales que es la que utiliza el centro. • El centro educativo solo recopilará y procesará los datos personales estrictamente necesarios para la creación de la cuenta de alumno, esto es, datos identificativos de nombre y apellidos. Tampoco se tratan categorías especiales de datos. • El centro educativo tiene habilitados exclusivamente las aplicaciones necesarias para el apoyo del proceso educativo, las cuales están dentro de las principales, de Google Workspace for Education, manteniendo desactivados los servicios adicionales. • Al ser los Chromebooks propiedad del colegio, el centro educativo es el único competente, a través de su departamento de IT, para la configuración, gestión y supervisión de la consola de administración de Google y definirá a través de sus políticas de uso de dispositivos cómo utilizar dichas herramientas y las medidas de seguridad aplicadas. Además los Chromebooks son dispositivos altamente seguros porque están diseñados con múltiples capas de seguridad que dificultan enormemente la infección por virus tradicionales. Su enfoque de seguridad proactivo, combinado con la ejecución de aplicaciones web, el aislamiento de procesos y las actualizaciones automáticas, hace que estos dispositivos sean mucho más resistentes frente a malware y ataques cibernéticos en comparación con sistemas operativos más tradicionales porque la probabilidad de falta de disponibilidad, acceso a la información o manipulación de los datos es muy difícil. • Respecto a la información sobre el tratamiento de los datos personales, el colegio informará a los padres y/o alumnos desde el momento de la matriculación y durante el curso escolar, explicando el uso de herramientas y recursos educativos ofrecidos por el colegio como parte del aprendizaje escolar y toma de contacto con la tecnología. La información ofrecida incluirá las medidas de seguridad y privacidad implantadas, así como de los derechos que en protección de datos pueden ejercer. Esto ser realizará a través de las políticas ICT que se difundirán en los canales de comunicación de colegio. En conclusión, la puesta en marcha de todas las medidas de seguridad implantadas por Holy Mary, y que han sido reflejadas a lo largo de esta evaluación, garantizan que solo los datos personales mínimos que se recogen son tratados dentro de un entorno seguro y conforme a la normativa de protección de datos. Todo ello permite concluir que, del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/63 tratamiento de datos evaluado, resulta un riesgo de nivel bajo, considerado aceptable, por lo que no es necesario realizar una consulta previa a la AEPD. No obstante, aunque el riesgo residual detectado se considera asumible, es aconsejable siempre mejorar en las medidas de control, por lo que sugerimos a continuación algunas de ellas: Revisar periódicamente las políticas informativas sobre ICT y mantenerlas publicadas y actualizadas. Revisar periódicamente la configuración de la consola de administración y los permisos concedidos de acceso a aplicaciones según las unidades organizativas. Formación y concienciación, en materia de protección de datos, al personal de nueva incorporación, y a todo el personal que ya la hubiese recibido en caso de ser necesaria por circunstancias/ acontecimientos nuevos y/o reciclaje. Activar los mecanismos de revisión continua de la evaluación de impacto y, si se detectan cambios significativos en la forma en que se tratan los datos personales volver a evaluar los riesgos y determinar medidas adicionales para abordarlos.” Requerido el COLEGIO sobre las alternativas a GWE analizadas, junto a su escrito de 24/04/2025 aporta un documento titulado “INFORME SOBRE LAS HERRAMIENTAS TECNOLÓGICAS DISPONIBLES EN EL MERCADO PARA LA IMPLEMENTACIÓN DE ENTORNO EDUCATIVO DIGITAL EN HOLY MARY CATHOLIC SCHOOL” con fecha 03/06/2021 y firmado por la subdirectora del centro. En dicho documento consta un análisis de 4 herramientas, incluyendo GWE, de las que se analizan los siguientes aspectos: “ 1. Cumplimiento normativo y protección de datos 2. Capacidad de configuración por parte del centro (rol administrador) 3. Seguridad de la información 4. Capacidad de control y supervisión sobre dispositivos y usuarios 5. Facilidad de uso e integración en el entorno educativo 6. Adopción generalizada entre alumnado en España 7. Desactivación de servicios no educativos y control granular 8. Compatibilidad con Chromebooks que el centro ya tiene adquiridos 9. Disponibilidad de documentación técnica, soporte y formación” En el análisis comparativo figura lo siguiente: Cumplimiento RGPD C/ Jorge Juan, 6 28001 – Madrid Microsoft 365 Education Google Workspace for Education – Fundamentals Apple School Manager + iCloud Moodle + Hosting (AWS) Alto. Microsoft actúa como Alto. Basado en cláusulas Medio. Aunque Apple ofrece Variable. Depende del www.aepd.es sedeaepd.gob.es 17/63 Control centro por el Seguridad Encargado del Tratamiento y proporciona garantías mediante SCC y DPA europeo. contractuales tipo (SCC) y compromiso explícito como Encargado del Tratamiento. Permite configurar la privacidad desde consola y desactivar servicios no educativos. Alto. Buen control a través de herramientas como Microsoft Intune, aunque con una curva de aprendizaje. Muy alto. La consola de administración permite la gestión total de usuarios, servicios y dispositivos. Alta. Dispone de medidas similares a Google, aunque menos adaptadas a entornos escolares por defecto. Sí. A través de Microsoft Intune y herramientas de control parental y educativo. Alta. Datos cifrados en tránsito y reposo. Registro de actividad, alertas y configuración de seguridad por perfiles. Sí. Integración con herramientas como GoGuardian y gestión granular desde la consola de Admin. Total. Integración nativa con gestionados desde la consola del centro. Alta, aunque depende en parte de la configuración de dispositivos iOS por parte de los usuarios. Muy alta. Entorno amigable, muy utilizado por jóvenes, acceso sencillo con poca curva de aprendizaje. Muy alto. GWE es uno de los entornos más utilizados por Baja. Menor adopción general y entorno cerrado al ecosistema Apple. Supervisión uso de Integración dispositivos centro con del Media. Puede usarse en pero requiere aplicaciones de terceros o acceso web. Facilidad de uso e implementación Alta. Familiar para entornos empresariales y docentes, aunque algo más complejo para alumnos. Uso común entre alumnado Medio. conocido entornos C/ Jorge Juan, 6 28001 – Madrid Más en herramientas educativas, el control sobre los datos y la ubicación del almacenamient o depende del ecosistema Apple y sus políticas de privacidad, que no siempre están adaptadas al entorno escolar. Bajo. El control está limitado a lo que permite Apple School Manager y requiere ecosistema Apple completo. Limitada. No existen herramientas específicas para control y monitorización escolar. Alta solo con dispositivos Apple (iPads, Macbooks). Incompatible con otras plataformas. Bajo. Poco extendido entre alumnos fuera de entornos proveedor de servicios cloud (como AWS) y del nivel de configuración y responsabilida d del centro. Alto, pero requiere conocimientos técnicos y administración activa del servidor o del proveedor de hosting. Variable. Depende de la configuración del servidor, certificados SSL, backups y políticas de acceso del proveedor. Posible pero manual. Requiere instalar herramientas adicionales de control, logs y dashboards. No aplicable directamente. Depende del entorno del usuario y del acceso vía navegador o app móvil. Media. La interfaz depende del proveedor. Requiere diseño, configuración y mantenimiento Bajo. Requiere formación específica y no es nativamente www.aepd.es sedeaepd.gob.es 18/63 Control servicios educativos de Medio. Menos granular que Google, aunque permite definir grupos y accesos. Totalmente configurable. El centro puede desactivar todos los servicios adicionales desde la consola. Apple. Bajo. No existe segmentación específica para entornos educativos en cuanto a privacidad. Alto. El centro controla qué servicios se instalan, aunque requiere conocimientos técnicos y mantenimiento constante. En el apartado de conclusiones de dicho documento se indica lo siguiente: “Tras el análisis de las alternativas existentes, se ha concluido que la opción más adecuada a nivel pedagógico, organizativo y de cumplimiento normativo es Google Workspace for Education - Fundamentals, por las siguientes razones: ▪ Permite al centro un control completo sobre las cuentas de usuario, servicios activados y dispositivos. ▪ Se trata de una plataforma segura y conforme con el RGPD, incluyendo cláusulas contractuales tipo (SCC), tras la invalidación del Privacy Shield. ▪ Ofrece una experiencia integrada con dispositivos Chromebooks, promoviendo un entorno seguro para el alumnado. ▪ Está ampliamente extendida entre la comunidad de jóvenes en España, el uso de Google y de sus aplicaciones, lo que favorece una alfabetización digital más efectiva, en un entorno controlado y seguro. ▪ La consola de administración permite una gestión eficiente de permisos, auditorías, filtrado de contenido y desactivación de servicios adicionales.” En relación a la configuración aplicada a GWE, en su escrito de 16/11/2024, el COLEGIO aporta capturas de pantalla de configuraciones de GWE donde constan aplicaciones y opciones activadas y desactivadas. En dicha información, en relación con la protección de navegación segura, consta la siguiente información: “Permite especificar si la función navegación segura de Google se activa en las cuentas de los usuarios. En Chrome este tipo de navegación ayuda a proteger a los usuarios contra los sitios web que pueden contener software malicioso o intentar suplantar su identidad (fishing). Si seleccionas Navegación segura está activa en modo mejorado, mejorará la seguridad, pero tendrás que compartir más información de navegación con Google. La opción Permitir que el usuario decida está seleccionada de forma predeterminada y los usuarios pueden activar o desactivar Navegación segura. Si activas Navegación segura, los usuarios no podrán cambiar ni anular este ajuste en Google Chrome.” En las capturas de pantalla aportadas, consta configurado, para primaria y secundaria: “Navegación segura, está activa en el modo mejorado. Este modo proporciona más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/63 seguridad, pero requiere que se comparta más información de navegación con Google.” En el apartado de “Anulación de usuario” consta “No permitir que los usuarios anulen este ajuste”. Con fecha 15/10/2025 se comprueba de documentación extraída de internet en relación a la funcionalidad de “Navegación Segura” de Google Chrome, lo siguiente que (traducción no oficial del inglés): “Protección reforzada La protección reforzada envía más información sobre su actividad a Google en tiempo real para ofrecer una protección más sólida y personalizada. Esta información incluye las URL que visita y una pequeña muestra de contenido de páginas, descargas, actividades de extensión e información del sistema. La protección reforzada incluye las características por defecto y opcionales incluidas en la protección estándar.” En otra de las capturas de pantalla, consta configurada para primaria y secundaria, en relación a Chrome Web Store, la siguiente opción: “Permitir todas las aplicaciones, el administrador gestiona la lista de bloqueadas”. Con fecha 13/10/2025 se comprueban las opciones de configuración en relación con la extensión Chrome Web Store en la página de soporte de Google (https://support.google.com/chrome/a/answer/6177431?hl=en#zippy=%2Callow-orblock-all-apps-and-extensions-except-the-ones-you-specify). En la información proporcionada por Google constan tres opciones de configuración. En primer lugar, la opción por defecto, que es la configurada por el COLEGIO (“permitir todas las todas las aplicaciones, el administrador gestiona la lista de bloqueadas”). En segundo lugar, existe la opción de configuración “bloquear todas las apps, el administrador gestiona la lista de permitidas”. Por último, existe la opción “bloquear todas las apps, el administrador gestiona la lista de permitidas, los usuarios pueden solicitar extensiones”. Asimismo, en las capturas de pantalla adjuntadas, consta que la opción “Send crash reports and diagnostic and usage data to ChromeOS. Help improve ChromeOS features and performace. Data is aggregated and highly protected” está activado en un dispositivo de prueba con ChromeOS. Con fecha 15/10/2025 se comprueba, en la documentación de la página web de Google, que consta lo siguiente en relación al envío de informes de fallos ChromeOS (traducción no oficial del inglés): “Iniciar o detener la notificación automática de errores y fallos Permitir que Chrome nos envíe informes automáticos nos ayuda a priorizar qué arreglar y mejorar en Chrome. Estos informes pueden incluir cosas como cuándo se bloquea Chrome, cuánta memoria está utilizando y cierta información personal. Puede iniciar o dejar de permitir estos informes en cualquier momento. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/63 Si Chrome falla, es posible que se incluya alguna información personal en el informe. Estos informes tienen: Memoria relacionada con el bloqueo, que puede incluir contenido de la página, información de pago y contraseñas Tu configuración de Chrome Extensiones que tienes instaladas La página web que estaba visitando en el momento del accidente El sistema operativo, el fabricante y el modelo de su dispositivo El país en el que utilizas Chrome”. En relación con las medidas organizativas y técnicas implantadas en el centro educativo para la aplicación efectiva de los principios de protección de datos desde el diseño y por defecto, en el escrito de 24/04/2025, el COLEGIO aporta un documento titulado “INFORME SOBRE LA APLICACIÓN DEL PRINCIPIO DE PROTECCIÓN DE DATOS DESDE EL DISEÑO Y POR DEFECTO (art. 25 RGPD)”, de fecha 22/04/2025, del que se extrae la siguiente información: “(…) 2. Medidas adoptadas antes del inicio del tratamiento (diseño) Antes de su puesta en marcha el centro adoptó un enfoque preventivo y proactivo, que incluyó: (…) - La configuración restrictiva inicial de las cuentas y dispositivos desde la consola de administración, siguiendo las mejores prácticas de Google para entornos educativos. (…) - La elaboración y difusión de políticas internas de uso TIC adaptadas por etapas educativas, con información clara y completa a alumnos y familias. 3. Medidas adoptadas durante el tratamiento (por defecto) Una vez iniciado el tratamiento, el centro implementó las siguientes medidas para garantizar que solo se traten los datos personales necesarios -medidas que se encuentran en permanente revisión-: - Supervisión y mantenimiento continuo por parte del equipo de IT. - Revisión periódica de la actividad en las cuentas de Drive y Classroom por parte del personal autorizado, por el equipo de IT. - Control del uso del correo electrónico, limitado exclusivamente al dominio institucional. - Desactivación permanente de los servicios adicionales de Google así como de las aplicaciones principales no necesarias para la actividad educativa. - Monitoreo en tiempo real mediante GoGuardian, que permite visualizar y actuar ante usos indebidos. - Revisión y actualización periódica de las políticas de seguridad y uso TIC por la dirección del centro, con el apoyo de IT y el asesoramiento del DPO. 4. Documentación acreditativa Para acreditar la aplicación efectiva del principio de protección de datos desde el diseño y por defecto, tanto antes del inicio del tratamiento como durante el tratamiento, una vez ya iniciado, se ha aportado la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/63 - Evaluación de Impacto relativa a la Protección de Datos (EIPD). Esta EIPD ya fue aportada en el requerimiento anterior. - Informe de evaluación comparativa de alternativas tecnológicas. Se aporta en la contestación de este nuevo requerimiento, como documento nº 6. - Política de Seguridad del tratamiento en GWE. Se aporta en la contestación de este nuevo requerimiento, como documento nº 10. - Políticas de uso TIC diferenciadas por etapa educativa. Estas políticas ya fueron aportadas en el requerimiento anterior. - Configuración técnica basada en el catálogo de buenas prácticas de Google Workspace for Education. Esta configuración ya fue aportada en el requerimiento anterior. - Información a familias y usuarios sobre las medidas de protección de datos y privacidad. Esta información ya fue aportada en el requerimiento anterior (Estudio uso de tecnología).” No se aporta, sin embargo, documentación acreditativa sobre las revisiones periódicas que se realizan de las cuentas de Drive ni sobre el correo electrónico. Tampoco documentación interna que acredite cómo aplican la privacidad desde el diseño y por defecto. En relación con las medidas de privacidad desde el diseño y por defecto aplicadas al tratamiento que supone el almacenamiento de información, en principio no acotada, por parte de los alumnos en sus espacios de almacenamiento, el COLEGIO afirma lo siguiente: “Antes del inicio del tratamiento, se configuraron desde consola las siguientes medidas: - Restricción de la capacidad de compartir contenido con cuentas ajenas al dominio institucional. - Desactivación de la funcionalidad para compartir archivos públicos o con enlaces abiertos. - Configuración de políticas de uso segmentadas por etapas educativas. Durante el tratamiento, se aplican medidas complementarias, entre ellas: - Monitorización continua del uso de las cuentas mediante herramientas de gestión como GoGuardian y la consola de administración de Google. - Auditorías internas regulares para verificar el destino de los archivos compartidos por el alumnado. - Se aporta, como Documento 8, captura que muestra eventos “compartidos de forma externa”, y que hacen referencia a las interacciones internas entre alumnado y profesorado, dentro del entorno Google Workspace del centro. - Supervisión y revisión de carpetas compartidas por parte del equipo IT, con capacidad para restringir, revocar permisos y actuar ante usos indebidos. Adicionalmente, los docentes hacen seguimiento de su aplicación práctica durante el curso.” No acredita sin embargo la realización de auditorías internas o cómo utiliza ese centro educativo la herramienta GoGuardian. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/63 En relación con la existencia de transferencias internacionales de datos, en su escrito de 24/04/2025, el COLEGIO aporta un documento con título “Transfer Impact Assesment (TIA)” fechado a 15/01/2025, donde consta lo siguiente: “(…) 2. Identificación de transferencias internacionales Dado que Google utiliza una red global de centros de datos, los datos personales tratados mediante GWE pueden ser transferidos y almacenados en países fuera del Espacio Económico Europeo (EEE), sin posibilidad de que el cliente seleccione la ubicación exacta del almacenamiento. Estas transferencias se consideran transferencias internacionales conforme al RGPD. 3. Países de destino potenciales y subencargados Los datos pueden ser tratados en cualquier país donde Google LLC o sus subencargados mantengan centros de procesamiento. La lista actualizada de ubicaciones y subprocesadores está disponible en los siguientes enlaces: - https://workspace.google.com/intl/en/terms/subprocessors - https://cloud.google.com/about/locations 4. Análisis del marco legal en los países de destino El centro ha analizado las cláusulas contractuales tipo (SCCs) firmadas con Google y ha evaluado la información publicada por el proveedor. Google declara que no ha recibido solicitudes gubernamentales que contravengan el RGPD y que notificará a sus clientes en caso de acceso por autoridades. Dado que no se dispone de análisis país por país, se considera que no existen pruebas o indicios suficientes de que las legislaciones nacionales impidan a Google cumplir con las SCCs firmadas con el centro. Asimismo, el centro ha tenido en cuenta el documento técnico elaborado por Google en agosto de 2021 titulado 'Safeguards for international data transfers with Google Workspace and Workspace for Education', en el que se analiza el cumplimiento de las SCCs y las implicaciones de la legislación estadounidense (FISA 702, EO 12333). En dicho documento se describen las garantías jurídicas, técnicas y organizativas que Google aplica para asegurar la protección de los datos transferidos fuera del EEE, y se concluye que no existen impedimentos legales que comprometan el cumplimiento efectivo de las obligaciones contractuales bajo las SCCs. (…) 5. Garantías contractuales aplicadas (SCCs) Las SCCs aplicadas corresponden a la decisión de ejecución de la Comisión Europea de 4 de junio de 2021 (C/2021/3972). Estas cláusulas obligan a Google a cumplir las obligaciones del encargado del tratamiento y a garantizar un nivel de protección adecuado, incluso si los datos son tratados fuera del EEE. Las SCCs se encuentran disponibles en: https://workspace.google.com/terms/mcc_terms.html 6. Medidas técnicas y organizativas complementarias - Desactivación de todas las aplicaciones y servicios adicionales no esenciales desde consola. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/63 - Certificaciones de seguridad y privacidad de Google. Google Workspace for Education cuenta con certificaciones reconocidas internacionalmente en materia de seguridad y privacidad, auditadas por terceros, que respaldan las medidas técnicas aplicadas: - ISO/IEC 27001, 27017, 27018 y 27701: gestión de seguridad, controles en la nube, protección de datos personales e implementación de un sistema de gestión de privacidad (PIMS). - Esquema Nacional de Seguridad (ENS) – nivel ALTO: aplicable a Google Cloud Platform y Google Workspace, conforme a la normativa española en entornos educativos y administrativos. - Acceso exclusivo desde dispositivos Chromebook gestionados por el centro. - Supervisión y auditoría de cuentas mediante herramientas como GoGuardian. - Cifrado en tránsito y en reposo garantizado por la infraestructura de Google. - Restricción del uso del correo a cuentas del dominio institucional. - Políticas restrictivas de red, ubicación y duración de sesión configuradas desde consola. - Prohibición del uso de funcionalidades predictivas (‘Smart Features’). - Revisión periódica por parte del DPO y del equipo de IT del centro. 7. Evaluación general del nivel de protección Tras la revisión de las garantías contractuales y técnicas, se concluye que las medidas aplicadas por el centro educativo, junto con las obligaciones contractuales de Google, proporcionan un nivel de protección de los datos personales equiparable al exigido por el RGPD. 8. Conclusión Esta Transfer Impact Assessment se considera suficiente para documentar el cumplimiento del artículo 46 del RGPD y del principio de responsabilidad proactiva. (…)” En la EIPD aportada por el COLEGIO consta lo siguiente en relación con transferencias de datos: “Google utiliza una red global de centros de datos. Sin embargo, con las licencias contratadas de GWE en su versión Fundamental no es posible para el centro educativo elegir una ubicación específica para el almacenamiento de datos, por lo que puede almacenarse en países no pertenecientes al Espacio Económico Europeo (EEE), ya que es Google quien decide dónde alojarlos. Las transferencias internacionales de datos que en su caso se realicen, cumplen con garantías adecuadas al estar reguladas por las Standard Contractual Clauses (SCC) las cuales se encuentran disponibles en https://workspace.google.com/terms/mcc_terms.html “ En relación a la verificación de que no haya impedimento legal en terceros países para el cumplimiento de las SCCs, el COLEGIO manifiesta lo siguiente: “El tratamiento de datos mediante GWE está regulado por un contrato firmado con Google que incorpora las Cláusulas Contractuales Tipo (SCCs) aprobadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/63 por la Comisión Europea, disponibles en: https://workspace.google.com/terms/mcc_terms.html. El centro ha revisado los compromisos asumidos por Google en su Adenda sobre Tratamiento de Datos: https://cloud.google.com/terms/data-processingaddendum. Con base en el análisis contenido en la TIA que se aporta, se concluye razonablemente que no existen pruebas de que la legislación de los países donde Google o sus subencargados tratan los datos impida el cumplimiento de las SCCs, por las siguientes razones: - Google ha manifestado que no ha recibido solicitudes gubernamentales incompatibles con el RGPD. - El centro ha tenido en cuenta el análisis publicado por Google en 2021 respecto a la legislación estadounidense aplicable (FISA 702 y EO 12333), en el que se afirma que Google Cloud no ha recibido solicitudes incompatibles con el RGPD y detalla las medidas técnicas y organizativas implementadas para garantizar el cumplimiento de las Cláusulas Contractuales Tipo, incluso en el caso de transferencias a Estados Unidos.” En relación con los contratos de encargado, con fecha 09/04//2025, se accede al contenido del contrato publicado en la página web de Google en relación con GWE (https://workspace.google.com/terms/education_terms/). En dicha página consta la siguiente información: “Términos del Servicio de Google Workspace for Education (…) Los presentes Términos del Servicio de Google Workspace for Education (conjuntamente, el "Contrato", y antes llamados "Términos del Servicio de G Suite para Centros Educativos" o "Contrato de G Suite para Centros Educativos [Online]") se formalizan entre Google y la entidad o persona que los acepta (el "Cliente"), y rigen el acceso del Cliente a los Servicios y el uso que este haga de ellos. "Google" tiene el significado indicado en el documento https://cloud.google.com/terms/google-entity. (…) 15.19 Definiciones. (…) - "Adenda sobre Tratamiento de Datos de Cloud" hace referencia a los términos vigentes que describen las obligaciones de protección y tratamiento con respecto a los Datos del Cliente, tal y como se indica en https://cloud.google.com/terms/dataprocessing-addendum. (…)” Con fecha 15/10//2025 se comprueba del contrato publicado en https://cloud.google.com/terms/google-entity?hl=es que en el consta que para el caso de GWE, la entidad de Google contratante es Google Cloud EMEA Limited, para la región EMEA excepto Francia, Italia y Polonia. Con fecha 09/04//2025 se comprueba el contenido del contrato publicado en https://cloud.google.com/terms/data-processing-addendum, en el consta la siguiente información relevante (traducción no oficial al castellano): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/63 «Adenda sobre el tratamiento de datos en la nube (clientes) Esta adenda sobre el tratamiento de datos en la nube (incluidos sus apéndices, la «adenda») se incorpora al/a los acuerdo (
s)(como se indica más adelante) entre Google y el Cliente. Esta adenda se denominaba anteriormente «Condiciones de tratamiento y seguridad de datos» en el marco de un acuerdo para Google Cloud Plaform, Looker (original), Google SecOps Services o Google Cloud Skills Boost for Organizations; la «Modificación del tratamiento de datos» en el marco de un acuerdo sobre Google Workspace o la identidad en la nube de Google; y la «adenda sobre tratamiento de datos» en el marco de un acuerdo para los servicios de consultoría y los servicios gestionados. 1. Sinopsis La presente adenda describe las obligaciones de las partes, en particular en virtud de la legislación aplicable en materia de privacidad, seguridad de los datos y protección de datos, con respecto al tratamiento y la seguridad de los datos del cliente (tal como se definen a continuación). La presente adenda surtirá efecto en la fecha efectiva de la adenda (tal como se define a continuación) y sustituirá a cualquier término anteriormente aplicable al tratamiento y la seguridad de los datos del cliente. Los términos capitalizados utilizados pero no definidos en la presente adenda tienen el significado que se les da en el Acuerdo. [...] 4. Funciones Conformidad legal 4.1 funciones de las Partes. Google es un encargado del tratamiento y el cliente es responsable o encargado, según proceda, de datos personales del cliente. [...] 10. Ubicaciones para el tratamiento de datos 10.1 instalaciones de almacenamiento y tratamiento de datos. Sin perjuicio de los compromisos de localización de datos de Google en virtud de las condiciones específicas del servicio y los compromisos de transferencia de datos del apéndice 3 (Leyes específicas en materia de privacidad), si procede, los datos del cliente podrán tratarse en cualquier país en el que Google o sus subencargados mantengan instalaciones. 10.2 información del Centro de Datos. La ubicación de los centros de datos de Google se describe en el apéndice 4 (Productos específicos). 11. Subencargados del tratamiento 11.1 consentimiento para el encargo del subencargado del tratamiento. El cliente autoriza específicamente el compromiso de Google como subprocesador de esas entidades divulgadas, tal como se describe en la sección 11.2 (Información sobre los subencargados) a partir de la fecha efectiva de la adenda. Además, sin perjuicio de lo dispuesto en la sección 11.4 (Oportunidad de sujeción a los subencargados del tratamiento), el cliente generalmente autoriza el compromiso de Google de otros terceros como subencargados («nuevos subencargados»). 11.2 información sobre los subencargados del tratamiento. Los nombres, lugares y actividades de los subtransformadores se describen en el apéndice 4 (Productos específicos). [...] Apéndice 2: Medidas de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/63 A partir de la fecha efectiva de la adenda, Google aplicará y mantendrá las medidas de seguridad descritas en el presente apéndice 2. 1. Centro de datos y seguridad de las redes
a)Centros de datos. Infraestructuras. Google mantiene centros de datos geográficamente distribuidos. Google almacena todos los datos de producción en centros de datos físicamente seguros. Redundancias. Los sistemas de infraestructura se han diseñado para eliminar los puntos únicos de fallo y minimizar el impacto de los riesgos medioambientales previstos. Los circuitos dobles, conmutadores, redes u otros dispositivos necesarios contribuyen a esta redundancia. Los servicios están diseñados para permitir a Google realizar determinados tipos de mantenimiento preventivo y correctivo sin interrupción. Todos los equipos e instalaciones medioambientales tienen procedimientos documentados de mantenimiento preventivo que detallan el proceso y la frecuencia de rendimiento de conformidad con las especificaciones internas o del fabricante. El mantenimiento preventivo y correctivo del equipo del centro de datos se planifica mediante un proceso de cambio estándar con arreglo a procedimientos documentados. (…) 3. Datos
a)Almacenamiento de datos, aislamiento y registro. Google almacena datos en un entorno de múltiples arrendatarios en servidores propiedad de Google. A reserva de instrucciones en contrario (por ejemplo, en forma de selección de localización de datos), Google reproduce los datos del cliente entre múltiples centros de datos geográficamente dispersos. Google también aísla lógicamente los datos del cliente. El cliente tendrá control sobre políticas específicas de intercambio de datos. Estas políticas, de conformidad con la funcionalidad de los servicios, permitirán al cliente determinar los parámetros de uso compartido de productos aplicables a sus usuarios finales para fines específicos. El cliente puede optar por utilizar la funcionalidad de registro que Google pone a disposición a través de los servicios. (…) 5. Seguridad del subprocesador Antes de incorporar a los subencargados, Google lleva a cabo una auditoría de las prácticas de seguridad y privacidad de los subencargados para garantizar que los subencargados proporcionen un nivel de seguridad y privacidad adecuado para su acceso a los datos y el alcance de los servicios que prestan. Una vez que Google haya evaluado los riesgos presentados por el subencargado del tratamiento y, a continuación, con arreglo a los requisitos descritos en la sección 11.3 (Requisitos para la contratación del subencargado), el subencargado deberá suscribir las condiciones contractuales adecuadas en materia de seguridad, confidencialidad y privacidad (…) 4. Transferencias de datos. 4.1 transferencias restringidas. Las partes reconocen que la legislación europea de protección de datos no exige CCT ni una solución alternativa de transferencia para que los datos personales de los clientes se traten en un país adecuado o se transfieran a un país adecuado. Si los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/63 cliente se transfieren a cualquier otro país y la legislación europea de protección de datos se aplica a las transferencias certificadas por el cliente en la sección 4.2 (Certificación de clientes no pertenecientes a la EMEA) de estas condiciones de la legislación europea de protección de datos, si su dirección de facturación se encuentra fuera de la EMEA] («Transferencias restringidas»), entonces: A. Si Google ha adoptado una solución alternativa de transferencia para cualquier transferencia restringida, informará al cliente de la solución pertinente y garantizará que dichas transferencias restringidas se realicen de conformidad con ella; o B. Si Google no ha adoptado una solución alternativa de transferencia para ninguna transferencia restringida, o informa al cliente de que Google ya no está adoptando, una solución alternativa de transferencia para cualquier transferencia restringida (sin adoptar una solución de transferencia alternativa de sustitución): I. Si la dirección de Google se encuentra en un país adecuado: A. Las CCT (procesador a procesador, Google Exportador) se aplicarán con respecto a dichas transferencias restringidas de Google a subprocesadores; y B. Además, si la dirección de facturación del cliente no se encuentra en un país adecuado, las CCT (processor-to Controller) se aplicarán (independientemente de que el cliente sea responsable o encargado del tratamiento) con respecto a dichas transferencias restringidas entre Google y el cliente; o ii. si la dirección de Google no se encuentra en un país adecuado, las CCT (responsable del tratamiento) o CCT (procesador a encargado) se aplicarán (según que el cliente sea responsable o encargado del tratamiento) con respecto a dichas transferencias restringidas entre Google y el cliente [...]. 4.4 auditorías de SCC. Si se aplican las CCT de clientes, tal como se describe en la sección 4.1 (Transferencias restringidas) de estos términos de la legislación europea en materia de protección de datos, Google permitirá al cliente (o a un auditor independiente designado por el cliente) llevar a cabo auditorías según lo descrito en dichas CCT y, durante una auditoría, poner a disposición toda la información requerida por dichas CCT, tanto de conformidad con la sección 7.5.3 (Condiciones de negocio adicionales para revisiones y auditorías). [...] Apéndice 4: Productos especiales [...] Google Workspace and Cloud Identity (Identidad del espacio de trabajo y la nube de Google) [...] 4. Ubicaciones del centro de datos. Las ubicaciones de los centros de datos de Google Workspace y Cloud Identity se describen en https://www.google.com/about/datacenters/locations/. 5. Información sobre los subencargados del tratamiento. Los nombres, ubicaciones y actividades de los Subprocesadores de Identidad del Espacio de Trabajo y la Nube de Google se describen en https://workspace.google.com/intl/en/terms/subprocessors.html. [...]». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/63 Con fecha 09/04/2025 se comprueba el contenido publicado en la url https://workspace.google.com/intl/en/terms/subprocessors/, donde consta la siguiente información (traducción no oficial al castellano): “Subprocesadores del espacio de trabajo y la identidad en la nube de Google [...] Subencargados del grupo Google Google contrata a Google Affiliates en el cuadro que figura a continuación para llevar a cabo una conexión limitada de actividades con los servicios básicos de Google Workspace y los servicios de identidad en la nube. El cuadro muestra qué actividad realiza cada entidad e indica si una entidad solo es pertinente para un servicio específico. A continuación, se ofrece más información sobre cada actividad. Esto explica el tratamiento limitado de los datos del cliente que la entidad está autorizada a realizar. La empresa matriz última de todos los subtransformadores del grupo Google que se enumeran a continuación es Google LLC, que a su vez es filial de Alphabet Inc. Operaciones del Centro de Datos: Gestiona y mantiene el centro de datos de Google y el equipo que almacena los datos de los clientes. El personal del subencargado del tratamiento no necesita acceso a los datos del cliente para llevar a cabo esta actividad. Mantenimiento del servicio: Ingeniería, mantenimiento y resolución de problemas de software y sistemas. En el transcurso de esta actividad, el subencargado del tratamiento puede requerir un acceso limitado y autorizado a los datos del cliente, por ejemplo, para resolver problemas técnicos. [...]” Constan subencargados para “mantenimiento del servicio” y para “Operaciones del centro de datos”, entre otros países, en Argentina, Australia, Brasil, Chile, Hong Kong, India o Japón. Con fecha 09/04/2025 se comprueba en la url https://datacenters.google/locations/#data-center-list, la información publicada sobre centros de datos de Google, donde consta lo siguiente (traducción no oficial al castellano): “(…) Poseemos y gestionamos centros de datos en todo el mundo para mantener nuestros productos 24 horas al día, siete días a la semana.(…)” Constan centros de datos, entre otros países, en Japón, Chile, Singapur, Taiwán. Con fecha 14/04/2025 se comprueba de documentación extraída de internet titulada “GOOGLE WORKSPACE FOR EDUCATION PRIVACY NOTICE” que en la misma consta lo siguiente (traducción no oficial al castellano): “Google Workspace for Education facilita el aprendizaje y la colaboración entre estudiantes (y padres), educadores y administradores escolares. Google Workspace for Education incluye diferentes categorías de servicios, tal como se describen en el presente aviso de privacidad. La distinción es importante porque el alcance de los servicios y la forma en que se tratan los datos en estos servicios difieren. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/63 • Los servicios básicos del espacio de trabajo de Google para la educación figuran en el Resumen de los Servicios e incluyen Gmail, Calendar, Classroom, Assignments, Contacts, Drive, Docs, Forms, Groups, Sheets, Sites, Slides, Chat, Meet, Vault y Chrome Sync. • Google Workspace for Education Otros servicios se enumeran en el resumen de servicios e incluyen AppSheet y Read Along. • Los servicios adicionales de Google Workspace for Education incluyen servicios que ofrecemos en general a todos los consumidores, como Google Search, Maps y YouTube, a los que los usuarios del espacio de trabajo para la educación pueden tener acceso con sus cuentas del espacio de trabajo. Su información: qué recopilamos cómo se utiliza Una cuenta Google Workspace for Education es una cuenta de Google creada y gestionada por una escuela para su uso por estudiantes y educadores. La cuenta puede utilizarse tanto para servicios básicos como para servicios adicionales, y la información que recogemos y almacenamos en su cuenta se trata como información personal. Los administradores gestionan cómo utilizan los estudiantes los servicios básicos y adicionales con sus cuentas de Google Workspace for Education, incluida la obtención del consentimiento parental para los servicios adicionales que elijan para los estudiantes. Más información sobre los servicios básicos y adicionales para los usuarios del espacio de trabajo de Google para la educación. Servicios básicos. A medida que los estudiantes, los educadores y los administradores utilizan los servicios básicos del espacio de trabajo, recopilamos dos tipos de datos: • Cosas que presta o crea a través de servicios básicos (datos de clientes) • Información que recopilamos a medida que utilizas servicios básicos (datos de servicio) No se muestran anuncios en los servicios básicos de Google Workspace for Education. Además, ninguno de los datos personales recogidos en los servicios básicos se utiliza con fines publicitarios. Cosas que usted ofrece o crea a través de servicios básicos Recibimos los datos de los clientes a través de los servicios básicos y los tratamos de acuerdo con las instrucciones del centro (el cliente). Estos datos de clientes incluyen todo lo presentado, almacenado, enviado o recibido por usted o su centro a través de los servicios básicos. Cuando se crea una cuenta Google Workspace for Education, el centro proporciona a Google determinada información personal sobre sus alumnos y educadores que incluye el nombre del usuario, la dirección de correo electrónico y la contraseña. Los centros también pueden optar por compartir cosas como la dirección de correo electrónico secundaria, el número de teléfono y la dirección de un usuario. Y los usuarios también pueden añadir información a su cuenta, como un número de teléfono adicional y una fotografía de perfil. Entre las cosas que puede crear a través de los servicios figuran los correos electrónicos que escribe y recibe cuando utiliza Gmail o los documentos que redacta y almacena en Drive. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/63 Los datos de los clientes se utilizan para prestar los servicios básicos, por ejemplo, Google procesa su dirección de correo electrónico para enviar y enviar mensajes entre profesores y estudiantes. Información que recogemos a medida que utilizamos servicios básicos Como se describe detalladamente en la Comunicación sobre privacidad en la nube de Google, también recopilamos datos de servicio a través de los servicios básicos, entre ellos: • Información sobre su cuenta, que incluye cosas como el nombre y la dirección de correo electrónico. • Su actividad al utilizar los servicios básicos, que incluye cosas como ver e interactuar con contenidos, personas con las que se comunica o comparte contenidos, y otros detalles sobre el uso de los servicios. • Sus configuraciones, aplicaciones, navegadores y dispositivos. Recopilamos información sobre su configuración y las aplicaciones, navegadores y dispositivos que utiliza para acceder a nuestros servicios. Esta información incluye el tipo de navegador y dispositivo, la configuración de los ajustes, los identificadores únicos, el sistema operativo, la información sobre redes móviles y el número de versión de la aplicación. También recopilamos información sobre la interacción de sus aplicaciones, navegadores y dispositivos con nuestros servicios, incluida la dirección IP, los informes de colisión, la actividad del sistema y la fecha y hora de su solicitud. • Información sobre su ubicación. Recopilamos información sobre su ubicación, determinada por diversas tecnologías, como la dirección IP. • Sus comunicaciones directas. Mantenemos registros de las comunicaciones cuando usted o su administrador facilitan comentarios, formulan preguntas o buscan apoyo técnico. • Y en el caso de los administradores, recopilamos datos sobre pagos y operaciones. Los datos de los servicios se utilizan para prestar y mantener los servicios que utilizan las escuelas y los estudiantes, así como para mejorar la seguridad y fiabilidad de estos servicios. Para llevar a cabo estas mejoras, utilizamos los datos agregados del servicio para resolver problemas técnicos, mantener nuestras medidas de seguridad sólidas y actualizadas y garantizar que los servicios funcionen según lo previsto. Si opta por proporcionar comentarios a través de los servicios, podemos utilizarlos para una gama más amplia de mejoras de los servicios; sin embargo, cualquier comentario que facilite es totalmente voluntario y puede utilizar los servicios sin necesidad de hacerlo. También utilizamos los datos de los servicios para formular recomendaciones para optimizar el uso de los servicios; prestar y mejorar otros servicios que solicite; prestar apoyo; proteger a nuestros usuarios, clientes, el público y Google; y cumplir con las obligaciones legales. Para más información, véase la Comunicación sobre privacidad en la nube de Google (…) Servicios adicionales A medida que los estudiantes, los educadores y los administradores utilizan servicios adicionales, recopilamos dos tipos de datos: • Cosas que usted ofrece o crea a través de servicios adicionales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/63 • Información que recogemos a medida que utiliza servicios adicionales Cosas que usted ofrece o crea a través de servicios adicionales Como se describe más detalladamente en la política de privacidad de Google, recopilamos información cuando los estudiantes y educadores utilizan los servicios adicionales, incluidas cosas que nos proporcionan, contenidos creados o cargados y contenidos recibidos de otros. Por ejemplo, si inicia sesión en un servicio adicional con una cuenta del espacio de trabajo, utilizaremos su nombre y perfil para identificar su cuenta. También puedes guardar tu contenido en Google, cosas como fotos y vídeos. Información que recogemos a medida que utiliza servicios adicionales La política de privacidad de Google también describe la información que recogemos a medida que utiliza nuestros servicios adicionales, que incluyen: • Su actividad al utilizar servicios adicionales, que incluyen cosas como términos que buscas, vídeos que ve, contenidos y anuncios con los que ve e interactúa, información de voz y audio cuando utiliza funciones de audio, actividad de compra y actividad en sitios y aplicaciones de terceros que utilizan nuestros servicios. • Sus aplicaciones, navegadores y dispositivos. Recogemos la información sobre sus aplicaciones, navegador y dispositivos descritos anteriormente en la sección de servicios básicos. • Información sobre su ubicación. Recopilamos información sobre su ubicación, determinada por diversas tecnologías, entre ellas: GPS, dirección IP, datos de sensores de su dispositivo e información sobre las cosas cercanas a su dispositivo, como los puntos de acceso wifi, las torres celulares y los dispositivos basados en Bluetooth. Los tipos de datos de localización que recogemos dependen en parte de la configuración de su dispositivo y cuenta. Por qué recogemos datos Los datos que recopilamos en los servicios adicionales se utilizan en todos nuestros servicios para prestar, mantener y mejorar nuestros servicios; desarrollar nuevos servicios; prestar servicios personalizados; medir el rendimiento; comunicarse con usted; y proteger a Google, a nuestros usuarios y al público. Para más información, véase la política de privacidad de Google. Algunos servicios adicionales muestran anuncios publicitarios. Pero si utiliza su cuenta Google Workspace for Education en centros de enseñanza primaria y secundaria (K-12), no le mostramos anuncios personalizados, lo que significa que no utilizamos la información de su cuenta o actividad pasada para dirigirse a anuncios. Sin embargo, podemos mostrar anuncios basados en factores generales como su consulta de búsqueda, la hora del día o el contenido de una página que esté leyendo. (…) Cuándo Google comparte su información Como se describe detalladamente en la política de privacidad de Google y en la Comunicación sobre privacidad en la nube de Google, no compartimos su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/63 información personal con empresas, organizaciones o particulares fuera de Google, excepto en los siguientes casos: • Con el administrador de su centro: Los administradores y los revendedores que gestionen la cuenta del espacio de trabajo de su organización o de su organización tendrán acceso a su información. Por ejemplo, pueden: «Visualizar la información, la actividad y las estadísticas de la cuenta»; «Cambiar la contraseña de su cuenta»; Que suspenda o cancele el acceso a su cuenta; Acceder a la información de su cuenta con el fin de satisfacer la legislación, la reglamentación, el proceso jurídico o la solicitud gubernamental aplicable; «Restrinja su capacidad para eliminar o modificar su información o su configuración de privacidad». • Con su consentimiento: Compartiremos información personal fuera de Google, donde tengamos el consentimiento de usted o de su padre o madre. • Para el tratamiento externo: Compartimos información personal con nuestras filiales y otros terceros proveedores de confianza para tratarla para nosotros, a medida que les aconsejamos y de conformidad con nuestra política de privacidad, la notificación de privacidad de Google Cloud y cualquier otra medida de confidencialidad y seguridad adecuada. (…)” Con fecha 14/04/2025 se accede al documento sobre términos de servicio de Google STORE TERMS OF SERVICE”. Dicho documento contiene la siguiente información relevante (traducción no oficial del inglés): “(…) 1.1 al utilizar Google Chrome Web Store (en lo sucesivo, «Web Store»), usted acepta y acepta quedar vinculado por las condiciones de servicio de Google ubicadas en https://policies.google.com/terms, la política de privacidad de Google en https://policies.google.com/privacy y las presentes condiciones de servicio web Store (denominadas conjuntamente las «Terms»). 1.2 puede utilizar la Web Store para navegar, localizar y descargar productos (desnaturalizados como software, contenidos y materiales digitales creados para su uso en relación con Google Chrome y distribuidos a través de Web Store) para su uso en relación con Google Chrome. Algunos de estos productos pueden ser ofrecidos por Google, mientras que otros pueden ser puestos a disposición por terceros no suscritos con Google. Usted está de acuerdo en que Google no es responsable de ningún producto de la web Store procedente de una fuente distinta de Google. 1.3 acepta las condiciones

(1)haciendo clic para acordar o aceptar dónde se le presentan estas opciones, o

(2)utilizando la aplicación Web Store o el servicio web. 1.4 para poder utilizar Web Store debe tener 13 años o más. Si tienes entre 13 y 18 años de edad, debes tener permiso de su padre o tutor legal para utilizar la web Store. (…)” Con fecha 13/10/2025 se comprueba en la documentación publicada por Google en Internet que la versión de GWE Fundamentals se ofrece sin coste a centros de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/63 enseñanza de primaria, secundaria y superior de todo el mundo. Hay otras dos versiones de GWE: Standard y Education Plus que sí tienen coste. La versión de GWE Fundamentals no tiene la posibilidad de configurar regiones de datos, posibilidad que sí tienen las versiones Education Standard y Education Plus. Elegir regiones de datos, de acuerdo con la documentación de Google, permite a los administradores definir las regiones donde se almacenan y tratan sus datos y se ofrece como una opción que ayuda a cumplir los requisitos territoriales o las políticas internas sobre la ubicación donde se gestionan los datos. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, el COLEGIO tenía un volumen de negocio de 5.664.789 euros en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/63 III Cuestiones previas 1. Aspectos básicos de la normativa en materia de protección de datos: El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el COLEGIO realiza, entre otros tratamientos, la recogida y gestión de datos personales de sus alumnos dentro de la plataforma GWE. El COLEGIO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. GOOGLE IRELAND LIMITED (en adelante, GOOGLE) realiza esta actividad en su condición de encargado del tratamiento, dado que trata los datos personales por cuenta del responsable del tratamiento, en virtud del artículo 4.8 del RGPD. 2. La protección de datos en el ámbito educativo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/63 Que el tratamiento de datos personales en el ámbito educativo se realice con el máximo respeto a la normativa en materia de protección de datos resulta especialmente relevante en tanto en cuanto el contexto en el que nos encontramos incluye de manera indubitada a menores de edad de los que se pueden recabar datos de muy diversa índole, incluidos, por ejemplo, “los datos relativos al origen y ambiente familiar y social (…) características o condiciones personales”. Tanto la Ley Orgánica 2/2006, de 3 de mayo, de Educación (LOE en lo sucesivo) como en la propia LOPDGDD se establecen garantías y salvaguardas que se han de observar cuando estemos ante el tratamiento de datos personales, ya sea con carácter general, ya sea en el uso de entornos y plataformas digitales en este contexto. Así, la LOE contiene una mención expresa al tratamiento de datos de los alumnos en su disposición adicional vigesimotercera, que establece lo siguiente: “1. Los centros docentes podrán recabar los datos personales de su alumnado que sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer referencia al origen y ambiente familiar y social, a características o condiciones personales, al desarrollo y resultados de su escolarización, así como a aquellas otras circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos. 2. Los padres o tutores y los propios alumnos deberán colaborar en la obtención de la información a la que hace referencia este artículo. La incorporación de un alumno a un centro docente supondrá el tratamiento de sus datos y, en su caso, la cesión de datos procedentes del centro en el que hubiera estado escolarizado con anterioridad, en los términos establecidos en la legislación sobre protección de datos. En todo caso, la información a la que se refiere este apartado será la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso. 3. En el tratamiento de los datos del alumnado se aplicarán normas técnicas y organizativas que garanticen su seguridad y confidencialidad. El profesorado y el resto del personal que, en el ejercicio de sus funciones, acceda a datos personales y familiares o que afecten al honor e intimidad de los menores o sus familias quedará sujeto al deber de sigilo. 4. La cesión de los datos, incluidos los de carácter reservado, necesarios para el sistema educativo, se realizará preferentemente por vía telemática y estará sujeta a la legislación en materia de protección de datos de carácter personal. (…)” Por su parte, respecto de la LOPDGDD, destaca en primer lugar lo dispuesto en el artículo 83, que bajo la denominación de “Derecho a la educación Digital” dispone lo siguiente: “1. El sistema educativo garantizará la plena inserción del alumnado en la sociedad digital y el aprendizaje de un consumo responsable y un uso crítico y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/63 seguro de los medios digitales y respetuoso con la dignidad humana, la justicia social y la sostenibilidad medioambiental, los valores constitucionales, los derechos fundamentales y, particularmente con el respeto y la garantía de la intimidad personal y familiar y la protección de datos personales. (…) Las Administraciones educativas deberán incluir en el desarrollo del currículo la competencia digital a la que se refiere el apartado anterior, así como los elementos relacionados con las situaciones de riesgo derivadas de la inadecuada utilización de las TIC, con especial atención a las situaciones de violencia en la red”. En segundo lugar, el mandato del artículo 92, que bajo la rúbrica “Protección de datos de los menores en Internet” cita expresamente a los centros docentes: “Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información. Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica”. IV Obligación incumplida. Artículo 6 del RGPD: Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/63 Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En el presente caso se hace necesario identificar cuál sería el supuesto de legitimación para llevar a cabo la implementación de aquellas soluciones tecnológicas que, implicando el tratamiento de datos personales en un entorno digital, coadyuven a ejercer la función educativa de la administración competente. Para ello hay que acudir al régimen jurídico que regula la educación, teniendo en cuenta que es un derecho fundamental previsto en el artículo 27 de la Constitución Española (CE) y en especial habrá que abordar la regulación del uso de las Tecnologías de la información y comunicación y las plataformas digitales, tal y como recuerda el Informe 0050/2023 del Gabinete Jurídico de la AEPD. La LOE establece en su artículo 2.1
l)que: “El sistema educativo español se orientará a la consecución de los siguientes fines:
l)La capacitación para garantizar la plena inserción del alumnado en la sociedad digital y el aprendizaje de un uso seguro de los medios digitales y respetuoso con la dignidad humana, los valores constitucionales, los derechos fundamentales y, particularmente, con el respeto y la garantía de la intimidad individual y colectiva”. Asimismo, en cuanto al uso de las Tecnologías de la Información y Comunicación, el artículo 111 bis LOE indica lo siguiente: “1 (…) En el marco de la implantación de las citadas medidas, dentro de los sistemas de información propios de la gestión académica y administrativa se regulará un número identificativo para cada alumno o alumna, a fin de facilitar el intercambio de la información relevante, el seguimiento de las trayectorias educativas individualizadas, incluyendo las medidas educativas que en su caso se hubieran podido aplicar, y atender demandas de la estadística estatal e internacional y de las estrategias europeas para los sistemas de educación y formación. En cualquier caso, dicha regulación atenderá a la normativa relativa a la privacidad y protección de datos personales. 2. Los entornos virtuales de aprendizaje que se empleen (…) sostenidos con fondos públicos facilitarán la aplicación de planes educativos específicos diseñados por los docentes para la consecución de objetivos concretos del currículo, y deberán contribuir a la extensión del concepto de aula en el tiempo y en el espacio. Por ello deberán, respetando los estándares de interoperabilidad, permitir a los alumnos y alumnas el acceso, desde cualquier sitio y en cualquier momento, a los entornos de aprendizaje disponibles en los centros docentes en los que estudien, con pleno respeto a lo dispuesto en la normativa aplicable en materia de propiedad intelectual, privacidad y protección de datos personales. Así mismo promoverán los principios de accesibilidad universal y diseño para todas las personas, tanto en formatos y contenidos como en herramientas y entornos virtuales de aprendizaje. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/63 4. El Ministerio de Educación, Cultura y Deporte ofrecerá plataformas digitales y tecnológicas de acceso a toda la comunidad educativa, que podrán incorporar recursos didácticos aportados por las Administraciones educativas y otros agentes para su uso compartido. Los recursos deberán ser seleccionados de acuerdo con parámetros de calidad metodológica, adopción de estándares abiertos y disponibilidad de fuentes que faciliten su difusión, adaptación, reutilización y redistribución y serán reconocidos como tales. 5. Las Administraciones educativas y los equipos directivos de los centros promoverán el uso de las tecnologías de la información y la comunicación (TIC) en el aula como medio didáctico apropiado y valioso para llevar a cabo las tareas de enseñanza y aprendizaje. Las Administraciones educativas deberán establecer las condiciones que hagan posible la eliminación en el ámbito escolar de las situaciones de riesgo derivadas de la inadecuada utilización de las TIC, con especial atención a las situaciones de violencia en la red. Se fomentará la confianza y seguridad en el uso de las tecnologías prestando especial atención a la desaparición de estereotipos de género que dificultan la adquisición de competencias digitales en condiciones de igualdad (…)”. Los preceptos anteriores resultan de aplicación al COLEGIO en tanto que miembro, aun cuando sea un centro privado conforme a lo previsto en el artículo 108 de la LOE, de la comunidad educativa. De acuerdo con estos, podemos afirmar que, con carácter general, la base jurídica para llevar a cabo el tratamiento de los datos personales de los miembros de la comunidad educativa que se vean afectados por la implementación de soluciones tecnológicas y plataformas digitales se encontraría en el artículo 6.1
c)RGPD, según el cual el tratamiento es necesario para cumplir una obligación legal aplicable al responsable del tratamiento. En este caso, resultan de especial relevancia los términos que aparecen en el artículo de la LOE tales como facilitarán, deberán, impulsará, de los que se deduce una clara obligación de hacer (Informe 74/2019 del Gabinete Jurídico de la AEPD). Dicho tratamiento también podría entenderse basado en el artículo 6.1
e)RGPD, según el cual el tratamiento es lícito cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, por cuanto la educación es de un indudable interés público, descansa en un derecho fundamental ex artículo 27 de la CE y corresponde a los poderes públicos competentes su garantía y promoción. Ahora bien, tal y como señala el mencionado Informe de esta Agencia 0050/2023, “que exista base jurídica de legitimación para que los centros docentes traten datos de carácter personal de la comunidad educativa en, o a través de, entornos y plataformas digitales no significa que pueda llevarse a cabo de cualquier modo, sino que encontramos en distintos cuerpos normativos elementos o requisitos que operan como contrapeso y garantías frente a la posible injerencia que dichos tratamientos de datos suponen en el derecho a la protección de datos y en la privacidad de las personas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/63 En el presente caso, se realiza un tratamiento de datos consistente en el marco de la utilización por parte del COLEGIO (responsable del tratamiento) de la plataforma de GWE puesta a disposición por la empresa GOOGLE (encargado del tratamiento). El COLEGIO afirma que la base de legitimación para dicho tratamiento es el cumplimiento de una obligación legal. Así lo afirma en su escrito de 16/11/2025, en el que señala: “La base jurídica para llevar a cabo el tratamiento de los datos personales de los alumnos afectados por el uso de las herramientas GWE se encuentra en el artículo 6.1
c)RGPD, según el cual el tratamiento es necesario para cumplir una obligación legal aplicable al responsable del tratamiento, de conformidad con la existencia de normas educativas que habilitan a los centros al uso de estas herramientas para el cumplimiento del centro con sus funciones educativas (en concreto la Ley Orgánica 2/2006, de Educación y Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales) (…)”. Así consta también en el documento “POLITICA DE USO DE HERRAMIENTAS Y APLICACIONES INFORMÁTICAS DURANTE DEL DESARROLLO DE LA ACTIVIDAD EDUCATIVA”. Para la utilización de dicha herramienta, el COLEGIO, tal y como consta en la Política de uso de GWE aportada por el COLEGIO en el marco de las actuaciones previas de investigación el 16/11/2024, se tratan los datos correspondientes al nombre, apellidos, curso académico en el que se encuentra para que se proceda a la creación de una dirección de correo electrónico. Además de lo anterior, mientras el alumno use los servicios de GWE, se recaban datos de uso de la aplicación, que también tienen la consideración de datos personales, como, por ejemplo, datos referentes al dispositivo utilizado (sistema operativo), datos de ubicación, como la IP, así como otros datos de uso como “detalles de cómo ha utilizado el usuario los servicios de Google, los datos de los eventos del dispositivo”. Estos hechos derivados de la información aportada por el COLEGIO se confirman por esta Agencia el 14/04/2025 al acceder, en el marco de las actuaciones previas de investigación, al documento sobre términos de servicio de Google Chrome, “GOOGLE dos tipos de datos a medida que los estudiantes y los educadores hacen uso de los servicios básicos del espacio de trabajo (
i)“Cosas que presta o crea a través de servicios básicos (datos de clientes)” e (
ii)“Información que recopilamos a medida que utilizas servicios básicos (datos de servicio). En el mismo documento también se hace referencia a la siguiente cuestión: “Los datos de los servicios se utilizan para prestar y mantener los servicios que utilizan las escuelas y los estudiantes, así como para mejorar la seguridad y fiabilidad de estos servicio (…) También utilizamos los datos de los servicios para formular recomendaciones para optimizar el uso de los servicios; prestar y mejorar otros servicios que solicite; prestar apoyo; proteger a nuestros usuarios, clientes, el público y Google; y cumplir con las obligaciones legales. Para más información, véase la Comunicación sobre privacidad en la nube de Google” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/63 Llegados a este punto, debe hacerse especial referencia a que, como se ha señalado, la función educativa recogida en la LOE puede amparar el tratamiento de datos personales, de acuerdo con lo previsto en los artículos 6.1
c)o, incluso 6.1
e)del RGPD. Ahora bien, la utilización de las bases de legitimación previstas en las letras
c)o
e)del RGPD establecen una condición necesaria: que el tratamiento sea necesario para el cumplimiento de esa obligación legal (la función educativa) o esa misión de interés público (la función educativa), sin que puedan, por tanto, ampararse en esta tratamientos que se separen de esa finalidad concreta. Así, como se ha señalado el uso de dispositivos electrónicos y herramientas digitales como parte de la formación de los alumnos puede realizarse al amparo de la LOE, ahora bien, si el uso de dichos dispositivos y herramientas implica un tratamiento de datos (como es el caso que nos ocupa), dicho tratamiento solo estará legitimado por esa obligación legal (la función educativa) en la medida en que sea necesario para dicho fin. Así lo indica expresamente el Informe 0050/2023, del Gabinete Jurídico de esta Agencia, que el COLEGIO cita en su escrito: “En cuanto a la finalidad que perseguirían los tratamientos derivados de la implementación del Google Workspace, su análisis va a resultar relevante por cuanto cualquier tratamiento de datos tiene que ser “necesario” para cumplir la finalidad que persigue, ya que de otro modo el tratamiento de datos no debe llevarse a cabo. Así nos lo recuerda el Considerando 39 del RGPD al indicar que: Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Asimismo, el concepto de “necesidad” cobra especial relevancia a la hora de definir las distintas bases jurídicas de legitimación del tratamiento, ya que salvo la relativa al consentimiento (letra
a)del art. 6.1. RGPD), en las restantes, letras
b)a
f)del apartado 1 del artículo 6 del RGPD, la “necesidad del tratamiento para” es un requisito ineludible”. En el presente caso, el análisis sobre la necesidad del tratamiento presentado por el COLEGIO obvia mencionar que, para los servicios principales, el tratamiento de los datos se realiza para la prestación del servicio en sí, pero también para otros fines o cuestiones cuyas finalidades escapan del ámbito educativo y, por tanto, no pueden tener cabida en la base legitimadora del artículo 6.1
c)o, en su caso
e)del RGPD: formular recomendaciones, optimizar el uso de los servicios, para prestar y mejorar otros servicios que solicite, para prestar apoyo… Estas nuevas finalidades que transcienden las propias del derecho a la educación y que parece que responderían a los intereses exclusivos del encargado del tratamiento, se realizan, sin embargo, bajo el conocimiento del responsable del tratamiento, esto es, el COLEGIO, que las permite y tolera al seleccionar herramienta que prevé el tratamiento de los datos con estas finalidades. En línea con lo anterior, debe recordarse que la existencia de una habilitación legal general para el tratamiento de datos en el ámbito educativo no legitima automáticamente cualquier modalidad concreta de tratamiento ni cualquier arquitectura C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/63 tecnológica elegida por el responsable. Por el contrario, la base jurídica del artículo 6.1
c)o
e)del RGPD exige una vinculación directa, estricta y proporcionada entre el tratamiento efectuado y la obligación legal o misión de interés público invocada. Ello implica que el responsable debe poder justificar no solo que el tratamiento se inserta en el ámbito de la función educativa, sino que la concreta forma en que se realiza resulta imprescindible para cumplir dicha función, sin que existan alternativas razonablemente menos intrusivas para los derechos de los alumnos. En este sentido, el tratamiento descrito no se limita a la mera gestión académica o administrativa necesaria para la escolarización del alumnado. En consecuencia, no puede apreciarse que dicho tratamiento llevado a cabo encuentre una base de legitimación válida en el artículo 6.1
c)o
e)del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al COLEGIO, por vulneración del artículo 6.1 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de sanción por la infracción del artículo 6.1 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/63 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/63
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
b)y g)). En cualquier ca

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.