Datos, horarios y rutinas: qué debe proteger un centro educativo

Un centro educativo solo puede tratar los datos que necesita para educar, y cuando hay violencia de género esa frontera deja de ser un tecnicismo. El domicilio, el teléfono, la hora exacta de salida, el día de la actividad extraescolar, la ruta del transporte, quién recoge a una criatura y hasta el nombre del colegio nuevo son, todos ellos, datos que permiten localizar a una mujer y a sus hijas e hijos. El artículo 5.1.c) del Reglamento General de Protección de Datos los limita a lo «adecuado, pertinente y limitado a lo necesario»; el artículo 63.1 de la Ley Orgánica 1/2004 añade que en las actuaciones relacionadas con la violencia de género «se protegerá la intimidad de las víctimas; en especial, sus datos personales, los de sus descendientes y los de cualquier otra persona que esté bajo su guarda o custodia».

Este artículo no repite las obligaciones generales del centro ante la violencia: eso está en violencia de género en centros educativos: obligaciones básicas de protección, y el momento de abrir el protocolo, en cuándo debe activarse un protocolo. Aquí se ordena solo una pregunta: qué información concreta maneja un colegio que puede convertirse en un riesgo, qué dice la norma sobre cada pieza y qué se puede pedir por escrito. Los textos y documentos citados se comprobaron el 28 de septiembre de 2026.

Una rutina también es un dato personal

Cuando se habla de «protección de datos» en un colegio, casi todo el mundo piensa en el expediente académico o en las notas. El problema, en una situación de violencia de género, rara vez está ahí.

Está en información que ni siquiera parece información. Esto es lo que un centro maneja, de forma ordinaria, sobre cada criatura:

• Dónde vive: domicilio, a veces también el del trabajo de la madre, y el teléfono de contacto.
• Cuándo está y cuándo no: horario de entrada y de salida, permanencias, comedor, recreo, actividades extraescolares, salidas anticipadas, faltas y días de excursión.
• Cómo llega y cómo se va: ruta y parada del transporte escolar, y quién está autorizado a recogerla.
• Con quién: grupo, tutoría, listados de clase, contactos de la familia en la plataforma del centro y en los grupos de mensajería del aula.
• Cómo está: informes de orientación, datos de salud, apoyos, y —si se ha abierto— el expediente del protocolo.
• Qué cara tiene: fotografías de actividades, orlas, murales, publicaciones en redes.

Un horario es una rutina. Una rutina es una predicción. Y para quien ejerce violencia, una predicción es una oportunidad. Esta lectura es análisis nuestro, no una cita normativa; pero la norma se comporta exactamente como si lo fuera, porque protege la localización con más intensidad que el boletín de notas.

La regla base: solo lo necesario, y con deber de sigilo

La norma que rige esto en cualquier centro español está en la disposición adicional vigesimotercera de la Ley Orgánica de Educación, y conviene leerla entera porque casi siempre se cita a medias.

Su apartado 1 permite a los centros recabar los datos del alumnado «que sean necesarios para el ejercicio de su función educativa», incluidos los referidos «al origen y ambiente familiar y social». El apartado 2 pone el límite en la misma frase en que concede el permiso: la información «será la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso».

Y el apartado 3 contiene la obligación que más se olvida:

El profesorado y el resto del personal que, en el ejercicio de sus funciones, acceda a datos personales y familiares o que afecten al honor e intimidad de los menores o sus familias quedará sujeto al deber de sigilo.

No es una recomendación de buenas maneras. Es una obligación legal que alcanza a todo el personal, no solo a la dirección ni solo a quien coordina el bienestar y la protección.

En la Comunidad de Madrid se suma el artículo 69 de la Ley 4/2023, que impone un «principio de confidencialidad y deber de reserva» y lo extiende expresamente «a las autoridades y personas que, por su profesión o función, conozcan de casos en los que podría existir o exista una situación de riesgo o de desprotección de niños».

Qué cambia cuando hay violencia de género

Tres normas añaden una capa por encima de la regla general, y cada una protege algo distinto.

La intimidad de la víctima y de sus descendientes. El artículo 63.1 de la Ley Orgánica 1/2004 es el que citábamos al principio. La propia Guía para centros educativos de la Agencia Española de Protección de Datos lo traduce al lenguaje escolar: en estos casos «los centros educativos deberán proceder con especial cautela a tratar los datos de los menores que se vean afectados por estas situaciones». Esa guía es un documento oficial de la Agencia y, según indica su propia portada, está en revisión: sirve como criterio de la autoridad de control, no como norma.

Los datos penales no son un papel más del expediente. Cuando una familia entrega al centro una orden de protección o una resolución penal, el colegio pasa a custodiar información que el artículo 10 del RGPD somete a un régimen propio: el tratamiento de datos «relativos a condenas e infracciones penales o medidas de seguridad conexas» solo puede llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice una norma con garantías adecuadas. A nuestro juicio, la consecuencia práctica es simple: ese documento no circula por el claustro entero ni se comenta en una reunión de ciclo. Se registra, se custodia y lo consulta quien tenga que aplicarlo.

La difusión de imágenes e información. El artículo 92 de la Ley Orgánica 3/2018 obliga a los centros educativos —y a cualquiera que desarrolle actividades con menores— a garantizar el interés superior del menor y su derecho a la protección de datos «en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información»; si la difusión va a redes sociales, hace falta consentimiento conforme al artículo 7 de esa misma ley, que solo admite el consentimiento del propio menor cuando es mayor de catorce años. El artículo 10.2 de la Ley 4/2023 madrileña añade que, si la Comunidad de Madrid tiene noticia de una difusión de imágenes de niñas o niños que pueda suponer una intromisión ilegítima, lo pondrá «en conocimiento del Ministerio Fiscal de forma urgente».

Conviene precisar un matiz, porque a veces se cita mal: el artículo 22 de la Ley 4/2015, del Estatuto de la víctima del delito —el que ordena impedir «la difusión de cualquier información que pueda facilitar la identificación de las víctimas menores de edad»— se dirige a jueces, fiscales, autoridades y funcionarios encargados de la investigación penal y a quienes intervengan en el proceso. No convierte al colegio en parte del procedimiento. Pero marca el estándar con el que se mide, después, cualquier filtración.

Listados, fotos y orlas: dónde se escapa la información

Aquí está el punto más útil de toda la guía de la Agencia, y casi nadie lo conoce.

A la pregunta de si un alumno puede oponerse a que se publique su admisión en los listados de un centro cuando hay violencia de género, la AEPD responde que sí: cabe oponerse «si se alegan motivos fundamentados y legítimos relativos a su concreta situación personal, como, por ejemplo, razones de seguridad por ser víctima de violencia de género o sufrir algún tipo de amenaza». Y remata sin ambigüedad:

El centro educativo lo tiene que excluir del listado de admitidos que se publique.

Si es menor de catorce años, el derecho lo ejerce quien ostenta su representación legal.

La misma guía extiende el criterio a cualquier publicidad de datos, con dos ejemplos que describen exactamente la situación de muchas familias: «los casos en los que se ha acordado por los jueces el alejamiento de uno de los progenitores o se le ha privado de la patria potestad y la publicidad de información personal pueda suponer un riesgo para la integridad física y psíquica del alumno o del otro progenitor».

Traducido a la vida de un centro: los listados en el tablón, la foto de la excursión en la cuenta del colegio, el vídeo del festival, la orla, el cartel de la fiesta de fin de curso y el grupo de mensajería del aula son, todos, canales de publicación. Y ninguno de ellos suele pasar por la persona que sabe que hay un protocolo abierto.

Quién puede pedir información y quién puede recoger

Esta es la pregunta que más angustia genera, y tiene respuesta escrita.

La guía de la AEPD dice que los centros deben recabar información actualizada sobre la situación familiar y, en caso de separación o divorcio, sobre «quién ostenta la patria potestad, si ambos o uno sólo, y quién ostenta la guarda y custodia», y también «quiénes son las personas autorizadas a recoger al alumno». Sobre a quién se entrega información escolar, es igual de tajante: «sólo a los padres que ostenten la patria potestad o a los tutores, nunca a otros familiares, salvo que estuvieren autorizados por aquellos y constase claramente esa autorización».

Y sobre progenitores separados fija la regla y su excepción:

En los supuestos de patria potestad compartida, con independencia de quién tenga la custodia, ambos progenitores tienen derecho a recibir la misma información sobre las circunstancias que concurran en el proceso educativo del menor, lo que obliga a los centros a garantizar la duplicidad de la información relativa al proceso educativo de sus hijos, salvo que se aporte una resolución judicial que establezca la privación de la patria potestad a alguno de los progenitores o algún tipo de medida penal de prohibición de comunicación con el menor o su familia.

Dos cosas importan de esa frase. La primera: la excepción existe y se activa aportando la resolución, no discutiéndola en tutoría. La segunda: el derecho de información es sobre el proceso educativo, no sobre la vida de la madre, ni sobre su domicilio, ni sobre su teléfono, ni sobre los horarios en los que se la puede encontrar en la puerta.

La guía añade, además, la vía cuando el desacuerdo persiste: el conflicto entre progenitores sobre el acceso a la información académica «deberá plantearse ante el juez competente en materia de familia». No lo resuelve el centro. Cómo se articula todo esto con el artículo 156 del Código Civil y con la suspensión judicial de visitas o de patria potestad lo detallamos en las obligaciones básicas del centro.

El expediente del protocolo es, él mismo, un dato sensible

Si el centro ha abierto el protocolo de violencia de género de la Comunidad de Madrid, ese expediente se rige por reglas propias que están escritas en el propio documento, publicado en la página de violencia de género de EducaMadrid y actualizado a 16 de marzo de 2026.

Sus anexos llevan impresa la palabra CONFIDENCIAL en cada página. Entre los compromisos del plan de intervención figura, con esas palabras, que «el centro educativo se compromete, asimismo, a cuidar especialmente la protección de los datos relativos a la información del alumno», y que el traspaso de información a servicios sociales o a servicios externos especializados se hace «siempre en el contexto del máximo respeto a principios esenciales de protección de datos».

La cláusula informativa del propio protocolo concreta lo demás:

• Quién responde. El responsable del tratamiento es la Consejería de Educación, Ciencia y Universidades —o la Subdirección General de Inspección educativa, según el tipo de centro—, con un Delegado de Protección de Datos propio y una dirección de contacto, protecciondatos.educacion@madrid.org.
• Con qué base legal. Los apartados e) y d) del artículo 6.1 del RGPD: misión de interés público o ejercicio de poderes públicos, y protección de intereses vitales.
• A quién se comunica. Los datos «podrán ser comunicados, velando porque sean los mínimos imprescindibles» a las Consejerías competentes en Asuntos Sociales y Sanidad, a los departamentos de asuntos sociales de los ayuntamientos y, en su caso, al Ministerio Fiscal. La expresión «los mínimos imprescindibles» es del propio documento oficial.
• Qué derechos hay. Acceso, rectificación, limitación y oposición, dirigiendo la solicitud al centro docente, a la Dirección General responsable o al Delegado de Protección de Datos, por el registro electrónico o presencial de la Comunidad de Madrid. Y, en caso de disconformidad, reclamación ante la Agencia Española de Protección de Datos.

A esto se suma el artículo 35.3 de la LOPIVI, según el cual la persona coordinadora de bienestar y protección «actuará, en todo caso, con respeto a lo establecido en la normativa vigente en materia de protección de datos», y su función de promover la comunicación inmediata a las agencias de protección de datos ante tratamientos ilícitos de datos de menores. Su papel completo está en qué papel tiene el coordinador de bienestar y protección.

Si el dato ya se ha escapado: qué plazos corren

Que una información llegue a quien no debía no es un percance interno del centro. Tiene nombre jurídico —violación de la seguridad de los datos personales— y tiene reloj.

Setenta y dos horas. El artículo 33.1 del RGPD obliga al responsable del tratamiento a notificarla a la autoridad de control «sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella», salvo que sea improbable que suponga un riesgo. Si se notifica más tarde, hay que explicar por qué.

Aviso a la persona afectada. El artículo 34.1 añade que, cuando sea probable que la violación entrañe «un alto riesgo para los derechos y libertades de las personas físicas», el responsable debe comunicárselo al interesado sin dilación indebida. Si el domicilio de una mujer protegida por una orden judicial acaba en manos equivocadas, cuesta imaginar un supuesto más claro de alto riesgo.

Deber propio del personal educativo. El artículo 16.3 de la LOPIVI va más allá y no depende de que el centro sea el responsable: cuando el personal cualificado de un centro escolar advierta «una posible infracción de la normativa sobre protección de datos personales de una persona menor de edad», deberá comunicarlo de forma inmediata a la Agencia Española de Protección de Datos.

Si lo que circula son imágenes. El artículo 52.2 de la LOPIVI encarga a la Agencia garantizar «un canal accesible y seguro de denuncia» de contenidos ilícitos en Internet que menoscaben gravemente la protección de datos. Ese canal existe y funciona: es el Canal prioritario de la AEPD, previsto para pedir la retirada urgente de fotografías, vídeos o audios de contenido sexual o violento difundidos sin autorización. El artículo 52.3 permite además que una persona menor de edad formule denuncia por sí misma y sin estar acompañada de una persona adulta, «siempre que el funcionario público encargado estime que tiene madurez suficiente».

Y no se pierda de vista el artículo 20.2 de la LOPIVI: los centros educativos deben adoptar «todas las medidas necesarias» para garantizar la protección y seguridad de quien comunica una situación de violencia. Proteger a quien avisa también es proteger sus datos.

Lo que vemos desde el colectivo

Lo que sigue es análisis propio de Madres Protectoras Madrid, a partir de lo que nos cuentan las familias que acompañamos y de lo que recogimos en nuestra Guía de actuación para centros educativos ante la violencia de género. No son datos oficiales ni una muestra representativa.

Las filtraciones que nos llegan casi nunca son documentos robados. Son gestos cotidianos:

• El grupo de mensajería del aula, donde alguien comparte el nuevo teléfono de contacto o la foto de la fiesta, y donde figura gente que nadie ha comprobado quién es.
• La puerta del centro, donde se anuncia en voz alta a quién se entrega a cada criatura y a qué hora, delante de quien esté esperando.
• El cambio de horario comunicado por cortesía a quien pregunta por teléfono, sin verificar antes qué dice la resolución judicial vigente.
• La foto de la excursión publicada en la cuenta del colegio, que con el uniforme y el fondo delata el centro y la ciudad.
• El listado impreso en el tablón, que sobrevive a cualquier medida de protección adoptada dentro del protocolo.
• El cuaderno de aula compartido o la plataforma con permisos antiguos, donde sigue figurando un contacto que ya no debería tener acceso.

Ninguno nace de la mala fe. Nacen de tratar la información escolar como información inocua. Nuestra valoración es esta: en un centro, la protección de datos no se juega en el documento de política de privacidad, sino en quién contesta el teléfono un martes a las nueve menos cuarto. Por eso creemos que las medidas de protección del protocolo —vigilancia de entradas y salidas, reorganización de horarios— deberían ir siempre acompañadas de una decisión explícita sobre quién puede saber qué, escrita en el mismo sitio y con la misma fecha.

Cómo se sostiene ese sistema protector completo lo desarrollamos en entornos seguros para la infancia: claves prácticas; y las precauciones digitales que puedes tomar tú, en cómo buscar ayuda en internet con más privacidad y seguridad.

Qué puedes pedir por escrito, sin entrar en tu caso

Sin prometer resultados y sin asesoramiento individualizado, estas peticiones se apoyan en las normas y documentos citados arriba y suelen ordenar mucho la conversación con un centro:

• Entregar por registro la resolución judicial vigente y pedir acuse de recibo, para que la excepción al derecho de información quede documentada y no dependa de la memoria de nadie.
• Pedir por escrito que no se faciliten domicilio, teléfono, horarios ni rutinas a nadie que no figure expresamente autorizado, y que la petición conste en el expediente.
• Dejar por escrito quién está autorizado a recoger a la criatura, tal y como la propia guía de la AEPD espera que el centro tenga registrado.
• Solicitar la exclusión de listados, tablones, fotografías y publicaciones, invocando el derecho de oposición por una situación personal concreta de seguridad.
• Preguntar quién tiene acceso a la plataforma del centro y a los grupos de mensajería del aula, y pedir la revisión de permisos antiguos.
• Dirigirse al Delegado de Protección de Datos de la Consejería de Educación, Ciencia y Universidades, cuyos datos figuran en el propio protocolo, si la respuesta del centro no llega.
• Reclamar ante la Agencia Española de Protección de Datos en caso de disconformidad, como recoge la cláusula informativa del protocolo.

Si hay que cambiar de residencia por la violencia, recuerda que el artículo 5 de la Ley Orgánica 1/2004 obliga a las administraciones a prever la escolarización inmediata de las hijas e hijos afectados. El centro nuevo también es un dato que conviene proteger desde el primer día.

Para una urgencia, los canales no pasan por el colegio: 112 ante un peligro inmediato, 116 111 para la línea de ayuda a la infancia y la adolescencia, y los recursos reunidos en nuestra guía de teléfonos contra la violencia de género en Madrid.

Proteger un dato es una medida de protección más

Un centro educativo puede haber abierto el protocolo, haber comunicado en plazo y haber reforzado la vigilancia en las entradas, y aun así dejar abierta la puerta por la que pasa el riesgo: un horario dicho en voz alta, un listado en el tablón, una foto publicada, un teléfono facilitado por amabilidad.

La norma lo dice de tres maneras distintas y todas apuntan al mismo sitio: solo los datos necesarios, solo a quien corresponde, y con deber de sigilo para todo el personal. Cuando hay violencia de género, esa disciplina deja de ser burocracia y se convierte en lo que realmente es: una medida de protección, igual de concreta que vigilar una salida.

Si formas parte de una comunidad educativa y quieres proponer una charla de sensibilización, puedes escribirnos desde la sección de contacto. Nuestra guía de actuación para centros educativos y el resto de materiales están en la biblioteca documental.

Madres Protectoras Madrid es un colectivo autoconvocado y voluntario de apoyo y divulgación. No presta asesoramiento jurídico, psicológico, sanitario o pericial, no interviene en procedimientos judiciales ni administrativos y no puede valorar expedientes individuales.

---

Esta información es divulgativa y no sustituye asesoramiento jurídico, psicológico, sanitario o social profesional, ni los protocolos oficiales aplicables a cada centro. Los protocolos de la Comunidad de Madrid se actualizan en la web de EducaMadrid y la guía de la Agencia Española de Protección de Datos para centros educativos está marcada como «en revisión»: comprueba siempre la versión vigente. Ante un peligro inmediato para una niña, un niño o una mujer, llama al 112.