Fotos de alumnos en la web del cole: qué dice el RGPD y cómo evitar sanciones

Final de la excursión de fin de curso. El tutor hace una foto del grupo y la sube al Instagram del centro. Veinte familias le dan like en diez minutos. Dos semanas después llega un escrito de una madre exigiendo que retiren la imagen de su hijo. El director no sabe si tiene razón o no, y tampoco sabe si el centro tiene alguna autorización firmada que lo cubra. Esta escena, o una muy parecida, ocurre en centros educativos de toda España cada curso. Y la mayoría de las veces no por mala fe, sino por desconocimiento.

Lo que leerás a continuación está basado en un supuesto práctico oficial de oposiciones al Cuerpo de Inspectores de Educación de Andalucía (EducaOposiciones, enero 2025), elaborado por inspectores en activo. Todo lo que aquí se explica tiene base en el RGPD y la LOPDGDD, y es aplicable a cualquier centro público o concertado de España.

Lo primero: la foto de un alumno es un dato personal

Este es el punto de partida que muchos centros no tienen interiorizado. El artículo 4 del Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) define dato personal como toda información sobre una persona física identificada o identificable. Y una fotografía que permite reconocer a un alumno cumple exactamente esa definición.

Eso significa que en el momento en que el centro hace una foto de un alumno reconocible y la publica —en la web, en un blog del profesorado, en Instagram, en la revista escolar o en cualquier otro soporte— está realizando un tratamiento de datos personales que queda bajo el paraguas del RGPD. Con todas las obligaciones que eso implica.

La clave está en si la persona puede ser identificada. Una foto de espaldas de un grupo de niños en el patio tiene mucho menos riesgo que un primer plano de la cara de un alumno concreto. Cuanto más fácilmente identificable sea la persona en la imagen, mayor es la exigencia de cumplimiento.

• Foto del grupo de clase en la excursión: dato personal si los alumnos son reconocibles.
• Vídeo de la obra de teatro del cole publicado en YouTube: dato personal de cada alumno que aparece.
• Imagen del aula vacía con trabajos colgados en la pared: no hay personas identificables, sin problema.
• Captura de pantalla de una videoconferencia de clase publicada en la web: dato personal de todos los participantes visibles.

Hay una distinción importante que el supuesto práctico señala con claridad: no es lo mismo tomar imágenes como parte de la función educativa —el docente documenta el proceso de aprendizaje para uso interno— que publicarlas en canales de difusión del centro. Lo primero tiene una base legal en la propia función docente. Lo segundo requiere autorización expresa de las familias.

Quién autoriza, quién puede publicar y quién responde: el reparto de responsabilidades

Una de las confusiones más frecuentes en los centros es pensar que la responsabilidad sobre las imágenes recae en el docente que hace la foto o en quien gestiona la web. La realidad jurídica es más clara y más exigente.

El director es el responsable del tratamiento

Conforme al inventario de actividades de tratamiento de datos de la Administración educativa, el director del centro es el responsable del tratamiento del contenido audiovisual relacionado con la promoción y difusión de las actividades del centro en su web y redes sociales. Eso incluye las fotos de excursiones, actos escolares, talleres y cualquier actividad que se difunda públicamente.

Ser responsable del tratamiento significa que el director debe garantizar que se cumple la normativa, puede nombrar encargados para tareas concretas —el profesor de informática que gestiona la web, por ejemplo—, pero no puede delegar la responsabilidad última. Si hay una sanción por publicar imágenes sin autorización, la responsabilidad recae sobre la dirección del centro.

Quién puede tomar fotos y quién puede publicarlas

El supuesto práctico propone una distribución de responsabilidades muy sensata que conviene tener regulada en el ROF del centro:

• Autorización para fotografiar: puede otorgarse a todos los docentes, ya que forma parte de la actividad cotidiana del aula.
• Autorización para publicar: debería limitarse a una o dos personas designadas por la dirección — el responsable de la web, el coordinador de comunicación — que conozcan qué alumnos no tienen autorización de imagen y que revisen cada publicación antes de hacerla pública.
• Nunca debe publicar directamente un docente que no tenga acceso al listado de autorizaciones actualizado.

El Delegado de Protección de Datos

Todo centro docente, público o privado, que imparta enseñanzas en cualquier nivel educativo está obligado a designar un Delegado de Protección de Datos (DPD), según el artículo 34 de la LOPDGDD. En los centros públicos de Andalucía, ese delegado corresponde a la Consejería de Desarrollo Educativo y Formación Profesional. El DPD es el interlocutor entre el centro y la AEPD, y puede ser contactado para consultas sobre el tratamiento correcto de cualquier dato personal, incluidas las imágenes de alumnos.

La autorización: cómo pedirla bien para que tenga validez legal

Muchos centros recogen algún tipo de autorización de imágenes en la matrícula. El problema es que con frecuencia esa autorización es tan genérica que no cubre legalmente lo que el centro necesita, o tan restrictiva que genera dudas en cada publicación. El RGPD es muy preciso en lo que exige de un consentimiento válido.

Qué debe tener una autorización válida

El artículo 4.11 del RGPD define el consentimiento válido como una manifestación de voluntad libre, específica, informada e inequívoca. Ninguno de esos cuatro adjetivos es decorativo. Tradúcelos al contexto escolar:

• Libre: la familia no puede sentirse presionada a firmar. La matriculación no puede condicionarse a la autorización de imágenes.
• Específica: la autorización debe detallar para qué usos concretos se van a emplear las imágenes: web del centro, blog de área, revista escolar, redes sociales del colegio. No vale una autorización genérica de «uso educativo» que después se aplica a Instagram.
• Informada: la familia debe saber quién es el responsable del tratamiento, cuál es la finalidad, quién puede acceder a esas imágenes y cuáles son sus derechos.
• Inequívoca: una casilla marcada, una firma, una acción clara. El silencio no es consentimiento. Si una familia no devuelve el formulario, eso no equivale a que ha autorizado.

Quién firma la autorización

Para alumnos menores de 14 años: quien ostenta la patria potestad o tutela. Ambos progenitores si los dos tienen la patria potestad, salvo que uno de ellos tenga expresamente delegada esa decisión. Para alumnos mayores de 14 años: el propio alumno puede prestar el consentimiento, aunque es buena práctica informar también a las familias.

Cuándo se recoge y cómo se gestiona

El momento ideal para recoger la autorización es junto a los documentos de formalización de matrícula, al inicio de la relación con el centro. Una vez recogidas, el supuesto práctico recomienda un flujo de información muy concreto dentro del centro:

1. La secretaría recoge todas las autorizaciones y elabora un listado de alumnos sin autorización de imágenes.
2. Ese listado se entrega al responsable designado para publicar imágenes.
3. En el claustro de inicio de curso se informa del procedimiento.
4. Los tutores trasladan la información a su equipo docente y a las familias en la primera reunión colectiva de tutoría.
5. El Consejo Escolar supervisa y evalúa el procedimiento al menos una vez al año.

El listado de alumnos sin autorización nunca debe exponerse públicamente ni circular libremente. Tiene carácter confidencial y solo deben conocerlo quienes tienen autorización para publicar imágenes en el centro.

Los errores más frecuentes que cometen los centros

Después de ver cómo funciona el marco legal, estos son los fallos que se repiten curso tras curso en la práctica cotidiana:

Error 1 — Considerar que las redes sociales son «menos oficiales» y tienen menos exigencias

Es exactamente al contrario. Una foto en el Instagram del centro tiene un alcance potencialmente ilimitado, puede ser descargada, compartida y usada por cualquier persona, y los datos —la imagen del menor— salen del control del centro en el momento de la publicación. Las redes sociales son el canal con mayor riesgo de tratamiento de datos y deben exigir los mismos controles que la web oficial, no menos.

Error 2 — Usar una autorización genérica de matrícula que no especifica los usos

Una autorización que dice «acepto el uso de imágenes con fines educativos» no cubre la publicación en redes sociales ni en la revista del centro. Si el centro va a publicar imágenes en múltiples soportes, la autorización debe mencionarlos explícitamente, uno por uno. Lo que no está explícitamente autorizado, no está autorizado.

Error 3 — No actualizar el listado de no autorizados durante el curso

Una familia puede retirar su autorización en cualquier momento. El listado de alumnos sin autorización de imagen debe actualizarse cada vez que llega una revocación, y esa actualización debe llegar a todos los docentes autorizados para fotografiar o publicar. Un listado desactualizado no sirve de defensa ante una sanción.

Error 4 — No recoger constancia del procedimiento en el ROF

Todo lo que el centro hace en materia de imágenes —quién puede fotografiar, quién puede publicar, cómo se gestiona el consentimiento, cómo se revoca— debe estar recogido en el Reglamento de Organización y Funcionamiento, aprobado por el Consejo Escolar e informado por el Claustro. Sin esa constancia documental, el centro no puede acreditar que actuó con la diligencia debida si llega una reclamación o una inspección de la AEPD.

Error 5 — No cumplimentar el registro de actividades de tratamiento en Séneca

En Andalucía, el artículo 30 del RGPD obliga a llevar un registro de las actividades de tratamiento de datos. Para los centros públicos andaluces, eso se materializa cumplimentando el cuestionario de publicación de contenido audiovisual en Séneca. Muchos centros desconocen este trámite o no lo tienen actualizado. Sin ese registro, la Administración no tiene constancia de que el centro gestiona correctamente esos datos.

Qué consecuencias tiene publicar imágenes sin autorización

La pregunta que muchos directores se hacen es: ¿qué pasa realmente si publicamos una foto sin tener la autorización en regla? La respuesta tiene varios niveles.

En primer lugar, la familia puede exigir la retirada inmediata de la imagen y el centro tiene la obligación de hacerlo sin demora, sin poder negarse aunque la imagen ya tenga cientos de likes. El derecho al olvido recogido en el RGPD es plenamente aplicable.

En segundo lugar, la familia puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD). La AEPD tiene competencia para investigar el caso y, si determina que ha habido una infracción del RGPD, puede imponer sanciones que van desde el apercibimiento hasta multas económicas. En el caso de centros públicos, la responsabilidad recae sobre la Administración educativa, pero el director del centro puede enfrentarse a consecuencias disciplinarias internas.

En tercer lugar, y esto es lo que más preocupa en la práctica, una imagen de un menor publicada sin autorización no puede «despublicarse» completamente. Una vez en internet, puede haber sido descargada, guardada o difundida por terceros. El daño a la privacidad del menor puede ser irreversible. Esa es la razón de fondo por la que la normativa es tan estricta en este punto: protege a personas que no pueden protegerse solas.

Guía práctica para el equipo directivo: qué hacer desde hoy

Si después de leer todo esto sientes que tu centro no tiene este tema completamente en orden, aquí tienes un plan de acción con los pasos prioritarios:

• Paso 1 — Revisa el formulario de autorización de matrícula. Comprueba si especifica los usos concretos de las imágenes (web, blog, redes sociales, revista). Si no lo hace, diseña uno nuevo para el próximo inicio de curso.
• Paso 2 — Designa formalmente al responsable de publicar imágenes. Ponlo por escrito, que quede en el ROF. Esa persona es quien revisa antes de publicar que el alumno que aparece tiene autorización en vigor.
• Paso 3 — Pide a secretaría el listado actualizado de no autorizados. Distribúyelo a los docentes con autorización para fotografiar. Recuérdales que es confidencial.
• Paso 4 — Revisa las publicaciones actuales. Accede a la web, el blog y las redes sociales del centro. Comprueba si hay imágenes de alumnos identificables publicadas sin que exista constancia de autorización. Retira las que no estén cubiertas.
• Paso 5 — Incluye el procedimiento en el ROF y llévalo al Consejo Escolar para su aprobación.
• Paso 6 — Cumplimenta el registro en Séneca (centros andaluces) o en el sistema equivalente de tu comunidad autónoma.
• Paso 7 — Informa en la primera reunión de tutoría a las familias del procedimiento que sigue el centro para el uso de imágenes, dónde pueden consultar la política de privacidad y cómo pueden revocar su autorización si lo desean.

Hacer esto bien no requiere más de dos o tres horas de trabajo al inicio de curso. No hacerlo puede costar muchas más horas —y bastante más disgusto— cuando llega la reclamación de una familia o la inspección de la AEPD. Las imágenes de los alumnos no son material de marketing del centro: son datos personales de menores que merecen el mismo cuidado que cualquier otro dato que el centro custodia. Con los pasos que tienes aquí, ya no hay excusa para no tenerlo en orden.

📥 Recursos para trabajar esto en el aula

Nota: verifica que los enlaces siguen activos antes de publicarlos, ya que los organismos oficiales actualizan sus URLs con frecuencia.

Guía oficial

Guía para centros educativos — AEPD

La guía sectorial de la Agencia Española de Protección de Datos específica para centros educativos. Cubre imágenes, datos de menores, redes sociales y plataformas digitales. Referencia imprescindible.🔗 Ver recurso →

Normativa

LOPDGDD — Ley Orgánica 3/2018 — BOE

Texto completo de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Regula el consentimiento de menores (art. 7) y el Delegado de Protección de Datos (art. 34).🔗 Ver recurso →

Andalucía

Delegado de Protección de Datos — Junta de Andalucía

Contacto del Delegado de Protección de Datos de la Consejería de Desarrollo Educativo y Formación Profesional de Andalucía. Para consultas de centros públicos andaluces: dpd.ced@juntadeandalucia.es🔗 Ver recurso →