En breve
Dos documentos, el mismo día, la misma materia. La diferencia está en los rastreadores: prohibidos en principio en el colegio, desaconsejados en la universidad. El estudiante es mayor de edad pero está en situación de subordinación, así que sigue siendo persona vulnerable a efectos de la EIPD y el consentimiento sigue sin servir como base jurídica.
La única diferencia real
En el texto para los colegios la CNIL escribe que el responsable debe asegurarse de que la herramienta no recurra a rastreadores publicitarios, «en principio prohibidos» por la neutralidad del servicio público educativo, que comprende la neutralidad comercial. Si los hay, deben desactivarse.
En el texto para la enseñanza superior la misma autoridad, el mismo día, «recomienda privilegiar herramientas que no impliquen, por parte del proveedor, el uso de rastreadores o dispositivos de seguimiento con fines de explotación publicitaria, de elaboración de perfiles o de reutilización comercial de los datos, o para las que dichas funcionalidades puedan ser desactivadas por el centro». Recomienda: no prohíbe. Y el principio de neutralidad del servicio público educativo no se invoca.
No es un descuido. La prohibición escolar descansa en un principio referido al servicio público de la enseñanza escolar; la enseñanza superior tiene su propio marco. Para un DPD la consecuencia práctica es concreta: la conclusión sobre rastreadores escrita en la EIPD de un instituto no se copia en la de una universidad, porque la premisa jurídica no es la misma.
El estudiante es mayor de edad, y sigue siendo vulnerable
Sobre la vulnerabilidad la CNIL no cede. En el texto universitario justifica la recomendación de proteger los datos frente al riesgo de divulgación a autoridades de terceros países precisamente por «la vulnerabilidad de las personas afectadas, en particular los estudiantes, que se encuentran en situación de subordinación».
La subordinación produce dos efectos. En el análisis de la base jurídica excluye el consentimiento, que debe ser libre y no influido por la posición de autoridad del responsable: el estudiante debe poder negarse sin consecuencias negativas, y no puede. En el análisis de la EIPD activa el criterio de las personas vulnerables, igual que los menores.
Lo que no cambia
- Base jurídica: cumplimiento de una misión de interés público, para centros públicos y privados.
- Información concisa, transparente, inteligible y fácilmente accesible (artículos 12, 13 y 14), disponible antes del inicio del tratamiento y repetida al comienzo de cada curso.
- EIPD obligatoria si concurren dos criterios del CEPD, y probable en la mayoría de los casos.
- Garantías del encargado conforme al artículo 28 y contrato con las menciones obligatorias, incluidas las de fin de contrato sobre reversibilidad y supresión.
- Transferencias según el capítulo V, con SecNumCloud citado como ejemplo de sometimiento exclusivo al derecho europeo.
Lo que falta en la universidad
Dos elementos presentes en el texto escolar no aparecen en el universitario: la referencia al artículo L.131-2 del código de educación, relativo al servicio público de lo digital educativo escolar, y el décret n.º 2025-1165 de 5 de diciembre de 2025, que condiciona las decisiones técnicas de los collèges y lycées públicos. Las universidades quedan libres en ese frente y más expuestas en el otro: la elección hay que motivarla en la EIPD, no delegarla en el proveedor.
El error que no hay que cometer
Tratar los dos documentos como uno solo. Son gemelos en un ochenta por ciento y divergen justo en el punto que suele decidir la compra: si una herramienta con rastreadores publicitarios es admisible o no. En el colegio la respuesta es no. En la universidad es «mejor que no, y si los hay deben poder desactivarse».
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
