Blog - Detalles

El derecho fundamental a la protección de datos personales adquiere una dimensión reforzada cuando los titulares de la información son niños, niñas y adolescentes (NNA). En el contexto educativo, las instituciones particulares y públicas realizan diariamente operaciones de recopilación, almacenamiento, consulta, transferencia, análisis y conservación de grandes volúmenes de datos personales pertenecientes a estudiantes menores de edad, incluyendo categorías especiales de datos como información médica, psicológica, biométrica, socioeconómica y de desempeño académico.

El presente artículo analiza el tratamiento de dichos datos desde la perspectiva de la Ley Orgánica de Protección de Datos Personales (LOPDP), su Reglamento General y los principales estándares internacionales de derechos humanos, particularmente la Convención sobre los Derechos del Niño y la Observación General No. 25 del Comité de los Derechos del Niño sobre los derechos de la infancia en el entorno digital. Se concluye que las instituciones educativas deben adoptar un modelo de gobernanza de datos basado en el interés superior del niño, la responsabilidad proactiva, la privacidad desde el diseño y la gestión integral del riesgo.

1.          Introducción

La transformación digital de los sistemas educativos ha modificado profundamente la forma en que las instituciones educativas administran la información de sus estudiantes. La utilización de plataformas académicas, aulas virtuales, sistemas biométricos de asistencia, videovigilancia, aplicaciones móviles, evaluaciones en línea y servicios de computación en la nube ha incrementado exponencialmente la cantidad de datos personales tratados.

Esta realidad adquiere especial relevancia cuando los titulares de la información son niños, niñas y adolescentes, quienes constituyen un grupo de atención prioritaria conforme a la Constitución ecuatoriana y a los instrumentos internacionales de derechos humanos.

En consecuencia, el tratamiento de sus datos personales exige un nivel de diligencia superior al requerido para los adultos, debido a su condición de sujetos en desarrollo y a la necesidad de garantizar su interés superior.

2.          Marco jurídico ecuatoriano

La protección de datos personales de niños, niñas y adolescentes en Ecuador descansa sobre un sistema normativo integrado por:

• Constitución de la República del Ecuador.
• Ley Orgánica de Protección de Datos Personales (LOPDP).
• Reglamento General de la LOPDP.
• Ley Orgánica de Educación Intercultural (LOEI).
• Código de la Niñez y Adolescencia.
• Normativa emitida por la Superintendencia de Protección de Datos Personales.

La LOPDP reconoce expresamente un régimen reforzado para los datos de niños, niñas y adolescentes. Entre otros aspectos, establece restricciones al tratamiento de datos sensibles y de menores de edad, exige autorización cuando corresponda y reconoce la capacidad progresiva de los adolescentes para consentir el tratamiento de sus datos a partir de los 15 años, siempre que se les informe claramente sobre las finalidades. Asimismo, incorpora el derecho a la educación digital y obliga a las entidades educativas a promover el uso responsable y seguro de los datos personales.

3.          Estándares internacionales aplicables

La protección de los datos personales de niños, niñas y adolescentes no puede analizarse exclusivamente desde el derecho interno.

Entre los instrumentos internacionales más relevantes destacan:

• Convención sobre los Derechos del Niño.
• Observación General No. 25 (2021) sobre los derechos de los niños en el entorno digital.
• Convenio 108+ del Consejo de Europa.
• Reglamento General de Protección de Datos de la Unión Europea (RGPD), como referencia comparada.
• Convención Americana sobre Derechos Humanos.

Estos instrumentos coinciden en reconocer que los menores requieren medidas reforzadas de protección debido a su mayor vulnerabilidad frente a los riesgos del tratamiento de información personal.

4.           El principio del interés superior del niño como eje del tratamiento de datos

El principio del interés superior del niño constituye el criterio rector de cualquier decisión relacionada con menores de edad.

En materia de protección de datos, este principio implica que toda operación de tratamiento debe responder a una finalidad legítima, necesaria y proporcional, privilegiando siempre la protección integral del estudiante frente a intereses comerciales, tecnológicos o administrativos.

En consecuencia, las instituciones educativas deben evaluar previamente si el tratamiento proyectado resulta realmente indispensable para el cumplimiento de sus funciones educativas.

5.          ¿Qué datos personales trata una institución educativa?

Una institución educativa administra información correspondiente a múltiples categorías de datos personales, entre ellas:

Datos de identificación

• Nombres;
• Apellidos;
• Cédula;
• Fotografía;
• Fecha de nacimiento;
• Nacionalidad.

Datos académicos

• Calificaciones;
• Historial académico;
• Informes pedagógicos;
• Observaciones disciplinarias;
• Registros de asistencia.

Datos familiares

• Información de padres;
• Representantes legales;
• Contactos de emergencia;
• Composición familiar.

Datos financieros

• Pensiones;
• Becas;
• Ayudas económicas;
• Historial de pagos.

Datos tecnológicos

• Direcciones IP;
• Registros de plataformas virtuales;
• Credenciales de acceso;
• Actividad en sistemas educativos.

6.          Los datos sensibles dentro del sistema educativo

La categoría de mayor riesgo corresponde al tratamiento de datos sensibles.

Entre ellos destacan:

Información médica

• Enfermedades crónicas;
• Alergias;
• Discapacidad;
• Informes médicos;
• Medicación permanente;
• Vacunas.

Información psicológica

• Evaluaciones psicopedagógicas;
• Diagnósticos;
• Terapias;
• Informes psicológicos.

Datos biométricos

• Huellas dactilares;
• Reconocimiento facial;
• Patrones biométricos para control de acceso.

Información religiosa

En establecimientos confesionales pueden tratarse datos relacionados con creencias religiosas, sacramentos o participación en actividades pastorales, lo que exige una justificación adecuada y garantías reforzadas.

7.          Riesgos específicos para los niños, niñas y adolescentes

Los principales riesgos identificados incluyen:

• Robo de identidad;
• Suplantación de identidad;
• Ciberacoso;
• Perfilamiento automatizado;
• Discriminación algorítmica;
• Exposición pública de imágenes;
• Filtraciones de expedientes académicos;
• Acceso indebido a información médica;
• Utilización comercial de datos;
• Vigilancia excesiva mediante tecnologías biométricas.

La literatura reciente también vincula la deficiente protección de datos en entornos digitales con impactos en la salud mental y el bienestar de niños y adolescentes, reforzando la necesidad de adoptar un enfoque preventivo basado en derechos humanos.

8.          El consentimiento y la capacidad progresiva

Uno de los aspectos más relevantes de la LOPDP consiste en el reconocimiento del principio de autonomía progresiva.

La Ley dispone que los adolescentes, a partir de los quince años, pueden otorgar directamente su consentimiento explícito para determinados tratamientos de datos personales, siempre que conozcan de manera clara y comprensible las finalidades del tratamiento. Para niños y adolescentes menores de esa edad, el ejercicio de los derechos requiere la intervención de sus representantes legales conforme al régimen previsto por la Ley.

9.          Responsabilidad de las instituciones educativas

Las instituciones educativas deben demostrar un cumplimiento efectivo mediante la implementación de un programa integral de gobernanza de datos que contemple, como mínimo:

• Registro de Actividades del Tratamiento, análisis de riesgos;
• Evaluaciones de Impacto en Protección de Datos cuando procedan;
• Políticas institucionales de privacidad;
• Procedimientos para el ejercicio de derechos;
• Gestión de incidentes de seguridad;
• Contratos con encargados del tratamiento;
• Capacitación continua del personal docente y administrativo;
• Controles técnicos y organizativos apropiados.

10.       Consecuencias del incumplimiento

La falta de cumplimiento de la LOPDP puede generar:

Consecuencias administrativas

• Investigaciones por parte de la autoridad competente;
• Medidas correctivas;
• Sanciones previstas en la legislación.

Consecuencias civiles

• Acciones de reparación por daños ocasionados a los titulares.

Consecuencias reputacionales

• Pérdida de confianza de las familias;
• Disminución de matrículas;
• Afectación de la imagen institucional.

Cuando el tratamiento indebido involucra datos de menores de edad o categorías especiales de datos, el impacto jurídico y reputacional puede ser significativamente mayor, dada la especial protección que el ordenamiento jurídico reconoce a este grupo.

11.       Discusión

La regulación ecuatoriana presenta un alto grado de convergencia con los estándares internacionales al reconocer una protección reforzada para niños, niñas y adolescentes. No obstante, persisten desafíos prácticos en el sector educativo, entre ellos la ausencia de programas de gobernanza de datos, el uso creciente de tecnologías de inteligencia artificial, la contratación de plataformas educativas extranjeras y la insuficiente capacitación del personal.

Superar estos retos requiere integrar el principio del interés superior del niño en cada decisión relacionada con el tratamiento de datos, fortaleciendo la cultura institucional de privacidad y cumplimiento.

Conclusiones

Los niños, niñas y adolescentes constituyen el grupo más vulnerable dentro del ecosistema de protección de datos personales. En consecuencia, las instituciones educativas deben adoptar un modelo de cumplimiento que trascienda el mero cumplimiento formal de la normativa y se base en la prevención, la responsabilidad proactiva y la protección reforzada de los derechos fundamentales.

La aplicación coordinada de la LOPDP, su Reglamento y los estándares internacionales permite construir un sistema educativo que garantice no solo el acceso a la educación, sino también la privacidad, la dignidad y la autodeterminación informativa de los estudiantes.

Como siguiente paso de la serie, recomendaría desarrollar un tercer paper centrado exclusivamente en los datos personales sensibles en las instituciones educativas particulares del Ecuador, con un enfoque técnico-jurídico sobre datos biométricos, salud, psicología, discapacidad, religión, geolocalización e inteligencia artificial, incorporando una matriz de riesgos y medidas de cumplimiento alineadas con la LOPDP, su Reglamento y las resoluciones de la Superintendencia.

Desarrollado por. LAY DATA CONSULTING