RGPD en admisiones escolares: datos de familias y menores antes de la matrícula
Publicado 2026-10-11 | Actualizado 2026-10-11 | 9 min | Por el equipo de EduRolia (Majotek Global Solutions S.L.)
En admisiones, un colegio trata datos de familias y de menores antes de que exista ninguna matrícula: quién pregunta, qué curso busca, qué se habló en la visita. Esta guía resume qué dicen el RGPD, la Ley Orgánica 3/2018 (LOPDGDD) y la Guía para centros educativos de la Agencia Española de Protección de Datos (AEPD) sobre esa fase, y qué conviene exigir a un CRM de admisiones. Es una guía divulgativa: para casos concretos, consultad con vuestro delegado de protección de datos.
Con qué base legal se tratan los datos
La guía de la AEPD recoge como bases en los centros educativos la función educativa prevista en la LOE, la relación que nace con la matrícula, el consentimiento y, en los centros privados, el interés legítimo tras ponderación. En la fase de captación, lo habitual es:
| Situación | Base legal habitual | A tener en cuenta |
|---|---|---|
| La familia pide información, una visita o presenta una solicitud | Medidas precontractuales a petición de la familia (art. 6.1.b RGPD), sobre todo en centros privados | Usar los datos solo para atender esa petición. |
| Envío de newsletters o comunicaciones comerciales | Consentimiento (art. 6.1.a RGPD) | Debe poder retirarse en cualquier momento. |
| Otros usos que el colegio quiera justificar | Interés legítimo (art. 6.1.f RGPD) solo tras una ponderación documentada | Con especial cautela cuando hay datos de menores. |
| Procedimiento oficial en centros públicos y concertados | Lo que establezca la normativa de admisión de cada comunidad | La solicitud se tramita en la plataforma oficial. |
Datos de menores
En España, un menor puede consentir por sí mismo el tratamiento de sus datos a partir de los 14 años (art. 7 LOPDGDD). Por debajo de esa edad, el consentimiento tiene que darlo quien tenga la patria potestad o la tutela. En admisiones, en la práctica, quien contacta y decide es la familia, y es con ella con quien se gestiona la información.
Conviene registrar solo lo necesario del alumno o alumna —nombre, curso o etapa, fecha prevista de incorporación— y evitar datos sensibles en la fase de captación.
Minimización: qué pedir y qué no
La AEPD pone un ejemplo claro: en la solicitud de plaza no es necesario pedir los datos bancarios hasta que el proceso se haya resuelto y el alumno haya sido admitido.
- Pedir en la inscripción solo los datos que vais a usar para atender a la familia.
- No pedir datos bancarios, de salud ni documentos de identidad antes de que hagan falta.
- Evitar que se escriban en notas libres datos de salud o información sensible del menor.
- Separar las comunicaciones comerciales (con consentimiento) de la atención a la solicitud.
- Revisar quién del equipo puede ver cada ficha.
Cuánto tiempo conservar los datos de quien no se matrícula
Según la guía de la AEPD, los datos de los procesos de admisión deben cancelarse una vez terminados los procedimientos administrativos y judiciales de reclamación; después procede su bloqueo durante el plazo de prescripción y, finalmente, su destrucción.
Para la captación, conviene fijar por escrito un plazo de conservación para las familias que no siguen adelante y aplicarlo de verdad, en lugar de acumular contactos indefinidamente. Si la familia ha consentido recibir información para cursos futuros, ese consentimiento debe constar.
Las listas de admitidos solo deben publicarse en tablones interiores o en webs de acceso restringido a los solicitantes, con la información mínima, y retirarse cuando dejen de ser necesarias.
El colegio es responsable; el CRM, encargado del tratamiento
Cuando un colegio usa un CRM, el colegio decide qué datos se tratan y para qué (responsable) y el proveedor los trata por cuenta del colegio (encargado, art. 28 RGPD). El contrato de encargo debe recoger, entre otras cosas:
- Que el proveedor trata los datos solo siguiendo las instrucciones del colegio.
- Que no los comunica a terceros ni los usa para fines propios.
- Las medidas de seguridad aplicadas.
- Qué subencargados intervienen y con qué control.
- La devolución o el borrado seguro de los datos al terminar el contrato, y su portabilidad a otro proveedor.
- Que el proveedor no puede enviar comunicaciones comerciales a las familias con autorización del colegio: necesitaría su consentimiento expreso.
Dónde están alojados los datos
Si los datos salen del Espacio Económico Europeo hay una transferencia internacional: hacia países con nivel de protección adecuado no requiere autorización; si no lo hay, hacen falta garantías como las cláusulas contractuales tipo. Conviene preguntar al proveedor dónde se alojan los datos y qué subencargados usa.
EduRolia aloja los datos del CRM en la Unión Europea. Los centros que imparten enseñanzas regladas, además, deben designar un delegado de protección de datos, que es la persona adecuada para revisar estas cuestiones.
Fuentes consultadas (11/10/2026)
- Reglamento (UE) 2016/679 (RGPD), artículos 5, 6, 8, 28 y 44 a 49: eur-lex.europa.eu (CELEX 32016R0679).
- Ley Orgánica 3/2018 (LOPDGDD), artículo 7: BOE, referencia BOE-A-2018-16673.
- AEPD, Guía para centros educativos (versión en revisión): aepd.es/guias/guia-centros-educativos.pdf.
- AEPD, preguntas frecuentes «Menores y educación», incluida la obligación de designar DPD: aepd.es/preguntas-frecuentes/10-menores-y-educacion.
- LOE, disposición adicional vigesimotercera (datos personales de los alumnos): BOE, referencia BOE-A-2006-7899.
¿Tenéis dudas sobre cómo trata EduRolia los datos de las familias?
Reservad una llamada y os explicamos cómo tratamos los datos, dónde se alojan y cómo se configuran los permisos del equipo.
Preguntas frecuentes
¿Puede un colegio guardar los datos de familias que no se matriculan?
Solo el tiempo necesario. La guía de la AEPD indica que los datos de los procesos de admisión se cancelan al terminar los procedimientos de reclamación, se bloquean durante el plazo de prescripción y después se destruyen. Para contactos de captación, conviene fijar y aplicar un plazo de conservación.
¿A partir de qué edad puede un menor consentir el uso de sus datos?
A partir de los 14 años, según el artículo 7 de la LOPDGDD. Por debajo de esa edad hace falta el consentimiento de quien tenga la patria potestad o la tutela.
¿Qué papel tiene el proveedor del CRM?
Es encargado del tratamiento: trata los datos por cuenta del colegio y según sus instrucciones, con un contrato que regule seguridad, subencargados y devolución o borrado de los datos al terminar.
¿Dónde aloja EduRolia los datos?
En la Unión Europea.
Sigue navegando por este tema
Páginas de EduRolia relacionadas
CRM para colegios
Qué es un CRM para colegios y qué centraliza EduRolia en admisiones.
CRM para colegios privados
Continuidad de seguimiento y visibilidad por curso y etapa.
CRM para colegios concertados
Seguimiento interno sin sustituir el procedimiento oficial de admisión.
Producto EduRolia
Pipeline, fichas de familia, visitas, tareas e informes.
Más guías de admisiones
Recursos sobre gestión de admisiones, seguimiento de familias y CRM para colegios.