¿Cómo acabaron datos de alumnos andaluces en Microsoft sin garantías?

La Junta de Andalucía ha sido sancionada por el Consejo de Transparencia y Protección de Datos de Andalucía por mantener durante seis años un sistema educativo digital en el que datos de 525.000 alumnos menores, 74.000 docentes y cerca de un millar de centros acabaron bajo servicios de Microsoft sin las garantías exigidas por el Reglamento General de Protección de Datos. No hablamos de un pirateo con capucha y sótano, sino de algo más prosaico, más institucional y quizá por eso más inquietante: un convenio administrativo, firmado en 2020 y prorrogado después, que permitió usar herramientas como Office, Teams y OneDrive a cambio de entregar el engranaje de datos de media escuela andaluza a una gran tecnológica.

El castigo son seis sanciones, dos muy graves, tres graves y una leve, pero sin multa económica. La autoridad andaluza entiende que cortar de golpe los servicios digitales podría perjudicar el derecho a la educación, así que opta por apercibir, exigir correcciones y evitar que el aula virtual se venga abajo como un castillo de naipes en junio. La Junta deberá presentar un plan de actuación consensuado con Microsoft antes del 31 de julio y cerrar un nuevo convenio antes de que expire la prórroga vigente, prevista para el 20 de noviembre.

Qué se cedió y por qué el caso es tan delicado

El caso nace de la digitalización educativa acelerada, esa promesa brillante de aulas conectadas, documentos compartidos y deberes en la nube que durante la pandemia pareció la salvación logística de colegios e institutos. La Consejería andaluza recurrió a Microsoft para disponer de una plataforma virtual gratuita. Gratis, ya se sabe, es una palabra bonita hasta que uno mira debajo de la alfombra. Allí estaban las cuentas, los perfiles, las comunicaciones, los archivos subidos por profesores y alumnos, el uso cotidiano de herramientas de trabajo escolar y una circulación de información que no se trató con el blindaje legal que exige un sistema con menores dentro.

Los datos afectados no se reducen a un nombre, un correo y poco más. La resolución señala riesgos sobre categorías especialmente protegidas, entre ellas datos de salud, religión, ideología, creencias, vida sexual u origen racial, además de imágenes, vídeos y documentos que pueden acabar en espacios compartidos. En un colegio eso no es ciencia ficción: un informe psicopedagógico, una tutoría, una redacción sobre política, una adaptación curricular, una observación médica, una foto de clase. La vida escolar deja migas digitales por todas partes, como tiza en la manga.

El problema jurídico no es que una plataforma educativa exista, sino cómo se contrata, qué datos recoge, dónde viajan, quién responde por ellos y con qué información real cuentan las familias. Las autoridades de protección de datos han recordado que el uso de estas plataformas no suele ser voluntario para alumnado y familias, y que el tratamiento de datos de menores exige una protección específica. Traducido al castellano de patio de colegio: si el sistema educativo te mete en una nube, esa nube no puede funcionar como un trastero sin inventario.

Cómo pasó: convenio, nube y demasiada fe tecnológica

El mecanismo fue administrativo, no clandestino. La Junta firmó el convenio con Microsoft en 2020, lo prorrogó en 2022 y volvió a prorrogarlo en 2024. A partir de ahí, los servicios de Microsoft quedaron integrados en el día a día educativo: procesadores de texto, hojas de cálculo, almacenamiento en OneDrive y comunicación mediante Teams. Todo muy normal, incluso cómodo. La comodidad, sin embargo, no deroga el RGPD. Ni siquiera cuando llega con iconos de colores y botón de compartir.

El Consejo reprocha a la administración andaluza no haber informado correctamente a alumnos y docentes del uso de sus datos, no haber registrado adecuadamente transferencias internacionales, no haber adoptado medidas suficientes para minimizar riesgos y no haber hecho la obligatoria evaluación de impacto con el rigor que exige un tratamiento masivo de información de menores. Esa evaluación sirve precisamente para detectar peligros antes de que el sistema empiece a tragar datos como una máquina expendedora de perfiles.

La parte más seria está en las transferencias internacionales. El expediente censura envíos de datos a terceros países u organizaciones internacionales sin garantías suficientes, con menciones a destinos como Emiratos Árabes Unidos, Sudáfrica o India, territorios que no siempre cuentan con un nivel de protección equivalente al europeo. En protección de datos, el lugar importa. No es lo mismo guardar una carpeta en una administración sometida al marco comunitario que dejarla circular por una arquitectura global donde las garantías se vuelven más borrosas, más contractuales, más “confíe usted”.

Qué se sabe del uso de esos datos

Aquí conviene separar el ruido de la pólvora. La sanción no acredita, según lo conocido, que Microsoft haya vendido los datos, los haya usado para publicidad o los haya incorporado a sistemas de inteligencia artificial. Lo que sanciona el Consejo es la falta de garantías, información, evaluación y control por parte de la administración responsable. Es decir: no hace falta demostrar un daño comercial concreto para que exista una vulneración. En privacidad, dejar la puerta abierta ya es un problema, aunque nadie pueda probar quién miró dentro.

Microsoft no ha sido sancionada en este procedimiento y evitó comentar relaciones contractuales específicas, limitándose a defender su compromiso general con la normativa de protección de datos. La Junta, por su parte, ha minimizado el alcance del caso y sostiene que trabaja en un plan similar al aplicado tras el expediente de Google. Esa defensa tiene una virtud involuntaria: recuerda que no estamos ante un tropiezo aislado, sino ante un patrón administrativo bastante reconocible.

La administración andaluza ha defendido en casos anteriores que las cuentas se crean con datos anónimos, que las tecnológicas no acceden a contraseñas y que no usan la información con fines comerciales. La autoridad de control, aun así, no ha comprado la tranquilidad completa del relato oficial. Porque el RGPD no se conforma con buenas intenciones, comunicados templados y promesas envueltas en celofán. Pide papeles, límites, registros, responsabilidades, minimización y trazabilidad. Pide gobierno del dato.

No es el primer aviso: Google ya estaba en la pizarra

Andalucía ya había recibido seis sanciones por un convenio similar con Google Workspace for Education que afectó a 738.502 alumnos menores, 43.202 docentes y 2.676 centros escolares. Aquel expediente también señalaba incumplimientos del RGPD, transferencias internacionales sin garantías suficientes, ausencia de evaluación de impacto adecuada y problemas de información a los usuarios. Sumados Microsoft y Google, ambas plataformas alcanzan a alrededor de 1,2 millones de estudiantes andaluces, dos terceras partes de la mayor comunidad educativa del país.

Así que no, no puede venderse como un rayo en cielo despejado. Tampoco como el “primer caso” en sentido limpio y rotundo. Es, más bien, una segunda campanada en la misma torre. Primero Google, ahora Microsoft. Dos gigantes, dos convenios, dos expedientes con sanciones no económicas y una pregunta incómoda revoloteando sobre el pupitre: por qué una administración pública ha dejado la infraestructura digital de sus menores tan pegada a corporaciones extranjeras cuando el dato educativo es una pieza íntima, biográfica, casi doméstica.

La discusión va más allá de Andalucía. La AEPD y las autoridades de Cataluña, País Vasco y Andalucía publicaron un decálogo para plataformas educativas digitales, precisamente para ordenar responsabilidades entre administraciones, centros y proveedores tecnológicos. El documento subraya que una plataforma gratuita no puede traducirse, directa ni indirectamente, en una pérdida de derechos. La gratuidad no es una coartada. A veces solo es el envoltorio.

Qué consecuencias tiene ahora para la Junta y las familias

La consecuencia inmediata es política, reputacional y regulatoria, más que económica. La Junta no pagará una multa, pero queda formalmente apercibida por infracciones graves y muy graves. Deberá corregir el sistema, presentar un plan de acción y ajustar el convenio con Microsoft para cumplir el RGPD. La autoridad andaluza evita apagar las plataformas porque entiende que la interrupción podría afectar al derecho a la educación y al interés superior del menor. Es una solución pragmática. También algo amarga: se sanciona el incendio, pero no se corta la luz para no dejar la escuela a oscuras.

Para las familias, la consecuencia más visible no será una carta con indemnización ni un botón mágico para borrar seis años de nube. Lo relevante será si la Junta informa mejor, limita tratamientos, documenta transferencias, audita riesgos y reduce el volumen de datos que circula por herramientas externas. También si los centros reciben instrucciones claras para no subir informes sensibles, actas, imágenes o comunicaciones delicadas a espacios donde no toca. La protección de datos en un colegio no se decide solo en un despacho jurídico; se decide también un martes cualquiera, cuando un profesor arrastra un archivo a una carpeta compartida porque tiene prisa y el sistema le deja.

Hay una lección seca, casi antipática, pero necesaria: la escuela digital no puede depender de la fe. Ni de la fe en Microsoft, ni de la fe en Google, ni de la fe en que “esto lo hace todo el mundo”. El dato de un menor no es un residuo técnico del aprendizaje; es parte de su intimidad, su historia, su salud, sus relaciones, sus dificultades y hasta sus torpezas. No debería viajar por el mundo con menos cuidado que una excursión escolar.

La nube también tiene paredes

El caso Microsoft deja una imagen poco cómoda para la Junta de Andalucía: una administración capaz de digitalizar con rapidez, pero no de gobernar con igual finura la privacidad que esa digitalización arrastra. La tecnología educativa puede ser útil, claro. Sería absurdo negarlo, casi ludita de postal. Pero cuando una plataforma entra en la escuela pública, no entra en una empresa cualquiera: entra en un espacio obligatorio, poblado de menores, familias y docentes que no negocian condiciones como quien acepta las cookies de una tienda de zapatillas.

La sanción no dice que la nube sea enemiga de la educación. Dice algo más concreto y más serio: que la administración responsable no puede entregar datos escolares sin información suficiente, sin evaluación de riesgos, sin garantías internacionales sólidas y sin controles proporcionados al volumen de menores afectados. Microsoft queda de momento fuera del castigo directo. La Junta, no. Y la pizarra, esta vez, apunta hacia San Telmo: digitalizar no basta; también hay que custodiar. Y hacerlo bien, antes de que el siguiente convenio llegue con otra nube impecable y la misma vieja letra pequeña.