El Consejo de Transparencia y Protección de Datos de Andalucía ha exigido al Gobierno andaluz reforzar las garantías en la gestión de los datos personales de 738.502 alumnos, 43.202 profesores y 2.676 centros escolares que actualmente administra Google a través de la plataforma Workplace for Education. Durante los últimos cinco años, la administración autonómica ha recibido seis sanciones por vulnerar el Reglamento General de Protección de Datos europeo (RGPD) en el tratamiento de información de estudiantes y docentes.
El Consejo de Transparencia detecta deficiencias y exige cambios
El 10 de febrero, el Consejo de Transparencia emitió un informe tras analizar la cesión de datos a Google. El documento concluye que la Consejería de Desarrollo Educativo y Formación Profesional debe corregir aspectos de fondo en la protección de datos. El informe destaca que la evaluación de impacto realizada es un avance, pero advierte que resulta insuficiente para garantizar el rigor necesario en un sistema que afecta a más de un millón de usuarios, en su mayoría menores de edad.
"La evaluación de impacto constituye un avance significativo en el cumplimiento de las obligaciones derivadas del reglamento europeo y de las medidas correctivas impuestas (…) El documento constituye un punto de partida necesario, pero no suficiente. Requiere ser completado y profundizado en los aspectos señalados para alcanzar el rigor que corresponde a un tratamiento que afecta a más de un millón de usuarios potenciales, en su mayoría menores de edad, en el ámbito del sistema educativo público andaluz". - Informe de Protección de Datos
Sanciones y transferencias internacionales bajo investigación
Entre las seis sanciones impuestas, dos han sido catalogadas como muy graves. Una de ellas se refiere a la transferencia de datos de alumnos a países como Singapur, El Salvador o Filipinas, que no cumplían con el RGPD. Actualmente, el Consejo de Transparencia considera que las transferencias de datos cumplen la normativa, apoyándose en un documento de Google que asegura que los movimientos de información hacia Estados Unidos y terceros países se realizan bajo el Data Privacy Framework.
"Al pertenecer los datos de carácter personal a la Consejería, estos son absolutamente ilegibles por Google y los patrones de las cuentas están absolutamente anonimizados". - Portavoz, Consejería de Desarrollo Educativo y Formación Profesional
Nuevo convenio y debate político
El Gobierno andaluz prepara un nuevo convenio con Google que se firmará en noviembre, con el objetivo de cumplir la ley y evitar nuevas sanciones. El acuerdo inicial fue firmado en 2020 por la consejera Carmen Castillo y una adenda en 2024 prevé su actualización antes de final de año.
La oposición política ha calificado el caso de "escándalo" y ha solicitado la rescisión del convenio, una auditoría interna y la asunción de responsabilidades políticas por parte de la consejera.
Preocupación entre expertos y profesorado
Rafael Rodríguez, catedrático de Filosofía del Derecho en la Universidad Pablo de Olavide, advierte sobre los riesgos de confiar en la protección de datos en un contexto legal cambiante entre la Unión Europea y Estados Unidos.
"En un contexto legal cambiante, en el que las relaciones transatlánticas entre la UE y EE UU no están en su mejor momento, llama la atención que se corran estos riesgos. No se puede ignorar que hay un conflicto entre la actual administración estadounidense y la UE en lo referido a los reglamentos europeos sobre internet. De hecho, se reconoce un riesgo muy alto y sin embargo, se despliega una confianza bastante enternecedora en la bondad de Google". - Rafael Rodríguez, Universidad Pablo de Olavide
Rodríguez también critica la sobrecarga de tareas para el profesorado, que debe asumir competencias en protección de datos además de sus funciones habituales. Mario de la Peña, miembro de la comisión de menores en la Asociación Profesional de Privacidad e Inteligencia Artificial, señala que la Administración no ha regulado adecuadamente el uso de Google y alerta sobre el posible uso de datos desagregados para segmentar a los menores por intereses y edades.
Uso de plataformas y advertencias sobre privacidad
Al menos un centro andaluz ha almacenado actas de evaluación en Google Drive, aunque la Junta establece que la plataforma oficial para este fin es Séneca. La Inspección educativa provincial no detectó infracción en ese caso concreto. Sin embargo, la Consejería insiste en que Séneca es la única vía autorizada para la gestión de actas escolares.
Un profesor, que prefiere mantener el anonimato, alerta sobre las consecuencias a largo plazo del tratamiento de datos sensibles de los alumnos.
"Nadie se da cuenta de que ese alumno que hoy no hace gimnasia porque tiene un soplo en el corazón, dentro de 10 años querrá sacarse un seguro y no podrá porque la aseguradora sabrá que su corazón no funciona bien". - Profesor anónimo
La Consejería defiende la protección y la formación
La consejera de Educación, Carmen Castillo, ha defendido en el Parlamento autonómico que nunca se ha producido una brecha en la protección de datos personales del alumnado y profesorado andaluz. Según Castillo, el Consejo de Transparencia solo ha solicitado que se informe y forme a familias y docentes para evitar riesgos, y que las garantías actuales son suficientes.
"Nunca ha habido una brecha en la protección de datos personales del alumnado y del profesorado andaluz (…) Lo único que nos ha pedido el Consejo de Transparencia es que informemos y formemos a las familias y al profesorado para evitar riesgos. Lo que detectó el Consejo suponía una infracción porque no parecíamos tener garantías suficientes para proteger los datos, no que hubiera una brecha. Y el 10 de febrero nos ha dicho que tenemos esas garantías y nuestros datos están protegidos". - Carmen Castillo, consejera de Educación
La Unión Europea ha impuesto a Google tres multas por abuso de posición dominante por un total de 8.257 millones de euros. El debate sobre la protección de datos en el ámbito educativo andaluz sigue abierto, a la espera de la firma del nuevo convenio y de la respuesta a las demandas políticas y sociales.