En los colegios los rastreadores publicitarios están prohibidos, y no es cuestión de consentimiento

La neutralidad comercial no es una recomendación

Aquí la CNIL no matiza. El responsable debe asegurarse de que la herramienta no recurra a rastreadores publicitarios, «en principio prohibidos» por el principio de neutralidad del servicio público educativo, que comprende la neutralidad comercial. Si la herramienta emplea dispositivos de seguimiento con fines de explotación publicitaria o de elaboración de perfiles, el responsable debe desactivar esas funcionalidades.

Es una regla que no nace del RGPD y no se resuelve con una casilla de consentimiento: procede del derecho del servicio público. Un proveedor que responde «el usuario puede rechazarlo» no ha respondido a la pregunta.

Por qué el consentimiento no sirve

Cuando el uso de herramientas colaborativas con fines pedagógicos implica tratamientos de datos personales, el responsable debe determinar antes la base jurídica de cada uno. Si los tratamientos responden a las misiones de servicio público del centro —público o privado— y en particular al servicio público de lo digital educativo del artículo L.131-2 del código de educación, la base es el cumplimiento de una misión de interés público.

El consentimiento, escribe la CNIL, difícilmente puede sostenerse: para ser válido debe ser libre, es decir ni forzado ni influido por la posición de autoridad del responsable. Un alumno, su representante legal o un docente deben poder negarse sin sufrir consecuencias negativas, y en el contexto escolar esa condición no se cumple.

La EIPD, casi siempre

Los criterios del CEPD que aquí importan son tres: tratamiento relativo a personas vulnerables, tratamiento a gran escala y tratamiento de datos sensibles. Los menores entran en la primera categoría, y con ellos el personal administrativo y docente cuando está en relación de subordinación.

Si concurren al menos dos criterios, la EIPD debe hacerse antes de poner en marcha el tratamiento. La CNIL añade que en la mayoría de los casos es probable que sea necesaria y que, en caso de duda, conviene realizarla. El responsable puede pedir apoyo a su DPD y puede requerir al proveedor de la herramienta, que como encargado debe colaborar conforme al artículo 28.3.f).

La información se escribe para quien tiene que leerla

La información debe ser concisa, transparente, inteligible y fácilmente accesible (artículos 12, 13 y 14). Para los menores la CNIL pide adaptarla a la edad: lenguaje claro según las normas ISO 24495-1:2023 e ISO 24495-2:2025, o el método de «lectura fácil» para quienes tienen dificultades de lectura o se encuentran en situación de discapacidad.

• Antes del inicio del tratamiento, por ejemplo en la primera conexión a la herramienta.
• También por correo electrónico a todas las personas afectadas.
• Y en cada comienzo de curso: en primaria, en la reunión con los representantes legales.

El decreto que estrecha la elección

Para los collèges y lycées públicos el RGPD no basta. El décret n.º 2025-1165 de 5 de diciembre de 2025, relativo al marco de referencia de lo digital para la educación, obliga a usar herramientas y servicios digitales que respeten prescripciones técnicas de seguridad, interoperabilidad y digital responsable fijadas por el ministro.