RGPD en academias de idiomas y formación: documentación mínima desde el primer alumno

Q: ¿Qué documentación mínima de protección de datos necesita una academia desde el primer alumno?

Una academia de idiomas, formación o refuerzo escolar es responsable del tratamiento desde el primer alumno y debe disponer de: Registro de Actividades del Tratamiento con los tratamientos identificados (gestión de alumnos, facturación, comunicación, marketing si lo hay), cláusula informativa del art. 13 RGPD entregada en el momento de la matrícula al alumno o a sus padres si es menor, contratos del art. 28 RGPD con los proveedores tecnológicos (plataforma de gestión, herramienta de pago, software de videoclases si lo utiliza), política básica de seguridad operativa adaptada al tamaño (contraseñas individuales, doble factor, copia de seguridad cifrada), protocolo de brechas con plantilla de notificación a la AEPD, y política de cookies en la web si la academia tiene presencia online. Para alumnos menores de 14 años, además, las casillas separadas de consentimiento parental para imagen y comunicaciones.

Q: ¿Necesita una academia pequeña con pocos alumnos cumplir el RGPD igual que una grande?

Sí, con la única diferencia del alcance documental proporcional. El RGPD se aplica a cualquier responsable que trate datos personales con independencia del tamaño. Lo que varía es la extensión de la documentación: una academia pequeña puede tener un RAT de una página con tres entradas (alumnos, facturación, marketing si lo hay), una política de seguridad de una página y unas cláusulas cortas y claras. Los principios (licitud, transparencia, minimización, conservación, integridad, responsabilidad proactiva) aplican igual a una academia de cinco alumnos que a una de quinientos. La AEPD ha sancionado en varias ocasiones a academias pequeñas precisamente por entender que el RGPD no se les aplicaba: bases sin información, cesión de datos a comerciales externos sin consentimiento, fotos de alumnos en redes sin autorización.

Q: ¿La academia es responsable o encargada del tratamiento si imparte cursos para empresas?

Depende del flujo concreto. Cuando la academia presta formación a empleados de una empresa cliente y la empresa proporciona los datos de los empleados (lista de inscritos, datos de contacto, eventualmente certificados de aprovechamiento), la academia actúa típicamente como encargada del tratamiento por cuenta de la empresa-cliente: trata los datos del personal por encargo, los devuelve al cierre del curso y no los usa para finalidades propias distintas. La empresa-cliente sigue siendo responsable del tratamiento de los datos de sus empleados. La academia es responsable independiente sobre los datos de sus propios contactos comerciales con la empresa (responsable del proyecto, persona de contacto, facturación), sobre su propia plantilla docente y sobre sus prospectos. La relación con la empresa-cliente requiere un contrato del art. 28 RGPD con el contenido mínimo, especialmente sobre devolución de los datos al cierre del curso y prohibición de reutilización.

Q: ¿Puede la academia conservar los datos del alumno tras la finalización del curso?

Sí, pero solo durante los plazos justificados por las distintas obligaciones legales aplicables. Los datos vinculados a la facturación deben conservarse durante los plazos del Código de Comercio (seis años desde el último asiento) y de la Ley General Tributaria (cuatro años de prescripción general, ampliable según el caso). Los datos académicos (calificaciones, certificados de aprovechamiento, expediente del alumno) tienen plazos propios según la naturaleza de la formación (formación reglada, formación bonificada por FUNDAE, certificados de profesionalidad). Los datos para uso comercial (newsletter, ofertas, comunicaciones de nuevos cursos) requieren consentimiento vigente del alumno y deben suprimirse cuando se da de baja. La academia profesional documenta plazos diferenciados por bloque en su política de conservación, separa archivo activo de archivo histórico y procede a la destrucción segura cuando vencen todos los plazos relevantes.

Una academia de idiomas, formación profesional o refuerzo escolar es responsable del tratamiento de datos personales desde el primer alumno matriculado. Identificativos, datos de contacto, datos económicos, en muchos casos datos de salud (alergias del menor en clases presenciales), datos académicos y, cuando la oferta incluye plataformas digitales, también datos de comportamiento online. Sobre todo ello se aplica el RGPD, con independencia del tamaño del centro.

Esta guía explica la documentación mínima proporcional que cualquier academia debería tener disponible desde el primer día, conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la LSSICE (Ley 34/2002) cuando la academia tiene web o canal digital.

Los tratamientos típicos de una academia

Casi cualquier academia se resume en cuatro o cinco tratamientos:

Tratamiento	Datos típicos	Base jurídica
Matrícula y gestión del alumno	Nombre, DNI/NIE, contacto, calificaciones, asistencia, tutor en menores.	Ejecución de contrato (6.1.b)
Facturación y obligaciones fiscales	Datos para emisión de facturas, IBAN, retenciones.	Obligación legal (6.1.c)
Comunicación con familias (menores)	Datos de los tutores legales, comunicación de progreso, autorización de salidas.	Ejecución de contrato (6.1.b)
Marketing y prospección	Suscriptores de newsletter, leads de formularios, antiguos alumnos.	Consentimiento o interés legítimo (6.1.a/6.1.f) + art. 21 LSSICE
Personal docente	Datos laborales, nómina, formación, cualificación.	Contrato laboral + obligación legal (6.1.b + 6.1.c)

Documentación mínima proporcional

Una academia pequeña o mediana cumple razonablemente con estos bloques documentales, sin sobredimensionar:

Registro de Actividades del Tratamiento (RAT): una página, cuatro o cinco entradas, con la información del art. 30.1 RGPD.
Cláusulas informativas: una para alumno mayor de edad, otra para alumno menor (entregada a los padres o tutores), una para candidatos a personal docente y la política de privacidad de la web.
Hoja de consentimientos diferenciados en la matrícula para tratamientos opcionales: imagen del alumno en redes y web, comunicaciones comerciales futuras, plataformas digitales optativas, cesión a comerciales aliados (recomendable evitarla, pero si existe hay que documentarla).
Contratos del art. 28 RGPD con proveedores tecnológicos relevantes: software de gestión (CRM/ERP de academia), pasarela de pago, herramienta de videoclases si la academia imparte online, plataforma de email marketing, gestoría externa.
Política de seguridad operativa: una o dos páginas con las medidas reales (contraseñas individuales, doble factor, copia de seguridad cifrada, gestión de altas y bajas de personal con acceso a sistemas).
Protocolo de brechas: dos párrafos con quién evalúa, en qué casos hay que notificar a la AEPD en menos de 72 horas y cómo.
Política de cookies en la web, si la academia tiene presencia online.

Cláusula informativa para alumnos: lo que debe contener

La cláusula del art. 13 RGPD se entrega en el momento de la matrícula, idealmente integrada en el documento de inscripción o como anexo firmado. Contenido mínimo:

Identidad del responsable (la academia, con CIF y dirección) y datos de contacto del Delegado de Protección de Datos si se ha designado.
Finalidades concretas: gestión académica del alumno, facturación, comunicación con la familia en menores, comunicaciones administrativas del curso, en su caso evaluación y emisión de certificados.
Bases jurídicas: ejecución del contrato de formación para la gestión académica, obligación legal para facturación, consentimiento expreso para marketing.
Destinatarios habituales: gestoría externa, plataforma de gestión, en su caso FUNDAE si la formación es bonificada, autoridades fiscales cuando aplique.
Transferencias internacionales si las herramientas usadas operan fuera del EEE (típicamente sí cuando se usa Google Workspace, Microsoft 365, Mailchimp, Zoom).
Plazos de conservación por bloque (académicos, fiscales, civiles).
Derechos del alumno (o de los padres si es menor) y vía para ejercerlos.
Mención al derecho a reclamar ante la AEPD.

Menores en academias: el régimen específico

La academia que trabaja con alumnos menores activa un régimen adicional. Aspectos críticos:

Edad para consentir: el art. 7 LOPDGDD fija los 14 años. Por debajo, consienten los padres o tutores; por encima, en muchos tratamientos puede consentir el menor.
Consentimiento parental para la matrícula del menor de 14 años (en lo que no esté amparado en ejecución de contrato), comunicación con la familia, autorización de imagen, autorización para uso de plataformas optativas.
Custodia y separación: la academia debe disponer de un protocolo claro para casos donde los progenitores no conviven (matrícula, comunicación con la familia, recogida del menor, decisiones puntuales). Se rige por el régimen de patria potestad y guarda y custodia.
Datos de salud del menor (alergias, medicación, necesidades especiales) cuando son relevantes para la actividad: comunicación obligatoria por seguridad, custodia restringida al personal con función directa.
Imagen del menor: aplica el régimen del derecho a la propia imagen (LO 1/1982). Consentimiento por escrito, específico, revocable.

Marketing y antiguos alumnos: cómo hacerlo bien

La base de antiguos alumnos es uno de los activos comerciales más valiosos de una academia. Reglas operativas:

El envío comercial por email a antiguos alumnos puede ampararse en el art. 21.2 LSSICE si los datos se obtuvieron en una relación contractual previa y el envío se refiere a cursos similares a los ya contratados.
Para envíos sobre productos no similares (cambio de academia de idiomas a oposiciones, por ejemplo), hace falta consentimiento expreso del antiguo alumno.
El alumno menor cuya matrícula gestionaron los padres no automáticamente consintió comunicaciones comerciales personales al alcanzar la mayoría de edad: si la academia quiere seguir contactando, debería refrescar el consentimiento.
Cada envío comercial incluye mecanismo de baja simple y gratuito.
La cesión de datos a empresas relacionadas (editoriales, academias asociadas, cursos de partners) requiere consentimiento expreso e independiente.

"En una academia, el RGPD bien aplicado se traduce en una hoja de matrícula clara, una cláusula informativa entregada y firmada, y dos o tres consentimientos específicos para los usos que excedan de la formación contratada. No hace falta un manual de cien páginas: hace falta un sistema que se respete cada día."

Mario P. Talamillo · Socio director, Certix®

Plataforma de gestión y proveedores tecnológicos

La academia moderna depende habitualmente de varias herramientas SaaS que procesan datos del alumnado: plataforma integrada de gestión (CRM/ERP), software de videoconferencia (Zoom, Google Meet, Microsoft Teams), plataforma de pago, herramienta de email marketing, almacenamiento en la nube de materiales. Cada uno es encargado del tratamiento y requiere contrato del art. 28 RGPD.

Puntos críticos al contratar:

Versión adecuada para datos de menores cuando proceda (versiones educativas de Google Workspace, Microsoft 365).
DPA firmado y archivado.
Verificación de transferencias internacionales (Data Privacy Framework para proveedores estadounidenses).
Procedimiento de devolución de los datos al cesar el servicio del proveedor.

Checklist mínimo de la academia

RAT con los tratamientos reales.
Cláusulas informativas para alumno mayor, alumno menor (a padres) y personal docente.
Hoja de consentimientos diferenciados en la matrícula.
Contratos del art. 28 RGPD con la plataforma de gestión, pasarela de pago, herramienta de videoclases, email marketing y gestoría externa.
Política de seguridad operativa adaptada al tamaño.
Protocolo de brechas y plantilla de notificación a la AEPD.
Política de privacidad y de cookies en la web, con banner LSSICE correcto.
Protocolo de gestión de imagen del alumno con lista de excluidos y procedimiento de revocación.
Política de conservación por bloque y procedimiento de destrucción segura.

Preguntas frecuentes

¿Qué documentación mínima de protección de datos necesita una academia desde el primer alumno?

RAT con los tratamientos identificados, cláusula informativa del art. 13 RGPD en la matrícula, contratos del art. 28 RGPD con proveedores tecnológicos, política básica de seguridad, protocolo de brechas y política de cookies en la web. Para menores de 14 años, casillas separadas de consentimiento parental.

¿Necesita una academia pequeña con pocos alumnos cumplir el RGPD igual que una grande?

Sí, con alcance documental proporcional. El RGPD aplica con independencia del tamaño; lo que varía es la extensión. Los principios (licitud, transparencia, minimización, conservación) son los mismos. La AEPD ha sancionado academias pequeñas precisamente por descuidar este punto.

¿La academia es responsable o encargada del tratamiento si imparte cursos para empresas?

Cuando imparte formación a empleados con datos proporcionados por la empresa-cliente, suele ser encargada por cuenta de la empresa. La empresa sigue siendo responsable. La academia es responsable independiente sobre sus propios contactos comerciales, plantilla y prospectos. La relación con la empresa-cliente requiere contrato del art. 28 RGPD.

¿Puede la academia conservar los datos del alumno tras la finalización del curso?

Sí, durante los plazos justificados: facturación (Código de Comercio 6 años, LGT 4 años), académicos según la naturaleza de la formación, civiles (5 años art. 1964 CC). Marketing solo mientras dure el consentimiento. La política diferenciada por bloque es la herramienta para gestionarlo limpiamente.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Quieres ordenar el cumplimiento RGPD de tu academia sin sobredimensionarlo?

En Certix te asignamos un experto en cumplimiento del sector formativo. Sin intermediarios comerciales, sin plantillas genéricas.

Hablar con un experto