RGPD para Edtech: Datos de Menores, Biometría y Consentimiento

La LOPDGDD Art. 7 fija la edad mínima de consentimiento en 14 años en España. Los menores de 14 no pueden dar consentimiento válido para el tratamiento de sus datos en servicios de la sociedad de la información; se requiere consentimiento parental. Para menores de 14 a 18 años, el consentimiento del menor es válido pero debe complementarse con información adaptada a su edad. El Art. 8 RGPD permite a cada Estado miembro fijar la edad mínima entre 13 y 16 años.

El proctoring biométrico (reconocimiento facial, escaneo de iris) en exámenes trata datos biométricos, que son categorías especiales del Art. 9 RGPD. Requiere consentimiento explícito (Art. 9(2)(a)). La AEPD ha publicado un informe sobre reconocimiento facial en exámenes en línea, exigiendo que el consentimiento sea libre y con alternativa genuina. La AEPD también ha resuelto contra el uso de proctoring biométrico en una universidad española. En la práctica, el proctoring biométrico es muy difícil de implementar de forma compatible con el RGPD.

La DPIA (Art. 35 RGPD) es obligatoria para tratamientos de alto riesgo, incluyendo el tratamiento a gran escala de categorías especiales de datos (biometría) y la observación sistemática a gran escala, especialmente de menores. En edtech, el proctoring biométrico, la evaluación adaptativa con perfiles y el tratamiento de datos de menores a gran escala requieren DPIA. Debe documentar el análisis de riesgos, las medidas de mitigación y la valoración residual.

La AEPD ha sancionado a un colegio con €10.000 (2025) por crear un perfil electrónico de una menor sin consentimiento parental (Arts. 6, 13 y 32 RGPD). También ha publicado un informe sobre reconocimiento facial para exámenes en línea, exigiendo que el consentimiento biométrico sea libre y con alternativa genuina, y ha resuelto contra el uso de proctoring biométrico en una universidad española. Estos casos ilustran la supervisión activa de la AEPD en el sector educativo.

Puede serlo. Si la IA se utiliza para evaluar, admitir o clasificar estudiantes de forma totalmente automatizada, sin intervención humana significativa, y produce efectos jurídicos o afecta significativamente al estudiante, constituye una decisión automatizada del Art. 22 RGPD. En ese caso, se requiere una excepción (contrato, autorización legal, consentimiento explícito) y garantías adicionales (intervención humana, información, derecho a expresar el punto de vista).

El RGPD no especifica un método concreto, pero la verificación debe ser apropiada al riesgo. Métodos habituales: declaración con verificación parental (para menores de 14), verificación documental (DNI) en casos de alto riesgo, métodos técnicos como age estimation con IA (con precaución por el Art. 9). La AEPD ha publicado principios para plataformas educativas digitales que incluyen recomendaciones sobre verificación de edad.

Los padres ejercen los derechos del RGPD (Arts. 15-21) en nombre de los menores de 14 años, en interés del menor. Para menores de 14 a 18 años, el menor ejerce sus propios derechos, pero los padres pueden supervisar. El derecho de acceso permite a los padres conocer qué datos se tratan sobre sus hijos. El derecho de supresión permite solicitar la eliminación de datos, salvo que exista una obligación legal de conservación.

La AEPD supervisa el RGPD. En el sector educativo, las autoridades educativas autonómicas pueden intervenir en centros públicos. La AEPD ha publicado guías específicas para centros educativos, principios para plataformas educativas digitales, y un FAQ sobre menores y educación. En casos de IA educativa, también puede intervenir la AESIA (AI Act).