Edtech Examined — las auditorías de la ICO británica a 28 proveedores de tecnología escolar y 596 recomendaciones sobre protección de datos

Entre 2024 y 2025, la Oficina del Comisionado de Información (ICO) del Reino Unido llevó a cabo auditorías consensuadas de protección de datos a 28 proveedores de tecnología educativa cuyos productos - sistemas de información de gestión, herramientas de salvaguarda, plataformas de gestión del comportamiento, sistemas de gestión del aprendizaje, aplicaciones de aula y servicios de integración de datos - se utilizan ampliamente en escuelas primarias y secundarias en Inglaterra y más allá.

Las auditorías evaluaron el cumplimiento de los proveedores con la legislación de protección de datos, centrándose en los roles de responsable y encargado del tratamiento, los contratos de tratamiento de datos, el mapeo de flujos de datos, la minimización de datos y la limitación del plazo de conservación, los avisos de privacidad y las evaluaciones de impacto sobre la protección de datos, particularmente en relación con los datos de menores.

Los auditores de la ICO revisaron a los 28 proveedores y emitieron un total de 596 recomendaciones, que abarcaban las deficiencias de cumplimiento identificadas. La ICO publicó sus conclusiones en el informe "Edtech examined" en junio de 2026 y actualmente colabora con el Department for Education y las autoridades descentralizadas para desarrollar un código de conducta estatutario para la tecnología educativa en virtud de la Data (Use and Access) Act 2025.

En el momento de la publicación, los proveedores habían aceptado e implementado el 98% de las 596 recomendaciones. Entre los problemas comunes identificados se incluyeron la incapacidad de los proveedores para distinguir correctamente su papel como responsable o encargado del tratamiento - particularmente cuando los datos de menores se reutilizaban para el desarrollo de productos o análisis -, contratos de tratamiento de datos con las escuelas insuficientemente detallados, mapeo incompleto de los flujos de datos, prácticas débiles de minimización de datos, avisos de privacidad desactualizados y lagunas en las evaluaciones de impacto sobre la protección de datos.

La propia ICO señaló que se trataba de una muestra autoseleccionada y consensuada, y no de una auditoría de todo el mercado. Grupos de defensa de los derechos de la infancia como 5Rights y el Digital Futures for Children Centre han argumentado que se necesita una aplicación más estricta, respaldada por un código, y no solo auditorías, para poner fin al uso comercialmente explotador de los datos educativos de los menores, y el código estatutario propuesto por la ICO pretende extender las mejoras encontradas en esta cohorte a todo el mercado.