Lo que FERPA exige realmente a una plataforma edtech

«Cumple con FERPA» aparece en casi todas las páginas de edtech, normalmente junto a un pequeño escudo, y es una de las afirmaciones peor entendidas del sector. Se trata como una insignia que se consigue y se muestra. No lo es. No existe un certificado FERPA, ninguna auditoría pública que apruebe tu producto ni un organismo que vaya a escribirte: «ya cumples con FERPA».

Cuando se elimina el marketing, FERPA es un conjunto de obligaciones que parten de los centros educativos y llegan a los contratos que firman y a los sistemas que compran. Si desarrollas o vendes software educativo que maneja datos de estudiantes en Estados Unidos, esas obligaciones se convierten en decisiones de diseño y cláusulas contractuales, las hayas previsto o no. Este artículo explica qué pide realmente la ley, cómo puede un proveedor tratar expedientes académicos, qué debe construir para cumplir su parte y qué otras leyes se aplican junto a FERPA. Es una guía práctica, no asesoramiento jurídico; confirma tus obligaciones concretas con un profesional.

FERPA en un párrafo

FERPA, la Family Educational Rights and Privacy Act, es una ley federal estadounidense de 1974 que protege la privacidad de los expedientes educativos. Se aplica a escuelas, distritos, institutos y universidades que reciben fondos del Departamento de Educación de Estados Unidos, es decir, a casi todos. Da a los padres —y a los estudiantes cuando cumplen 18 años o entran en la universidad— el derecho a consultar sus expedientes, solicitar correcciones y controlar quién más puede verlos. «Expediente educativo» abarca prácticamente cualquier registro que identifique directamente a un alumno y que conserve el centro o alguien que actúe en su nombre.

La frase clave es «actúe en su nombre». FERPA obliga al centro, no directamente a tu empresa. Sin embargo, en cuanto una escuela te entrega datos para operar su plataforma, actúas por ella y sus obligaciones se convierten en tu problema mediante el contrato que firmas.

La afirmación que por sí sola no significa nada

Como no existe una certificación, «software compatible con FERPA» es una declaración de intenciones, no un hecho verificado. Nadie concede esa condición. Importa tanto al comprar como al construir.

Si compras, que un proveedor diga que cumple con FERPA aporta muy poca información. Las preguntas útiles son concretas: qué ocurre con los datos, quién accede, cuánto tiempo se guardan y si firmará un acuerdo real que lo comprometa por escrito. Un proveedor que se escuda en la insignia y no responde ya está diciendo mucho.

Si construyes, lo mismo vale para tu marketing. Afirmar el cumplimiento es fácil. Respaldarlo con controles de acceso, reglas de conservación, registros y términos contractuales es el verdadero trabajo. La promesa solo vale lo que la arquitectura subyacente permita cumplir.

Cómo puede un proveedor tocar datos de estudiantes

Esta es la parte que suele pasarse por alto. FERPA prohíbe en general que un centro comunique expedientes sin consentimiento. ¿Cómo procesan miles de proveedores datos cada día sin pedir un formulario firmado por cada niño? Mediante una excepción concreta llamada school official exception, o excepción del funcionario escolar.

La escuela puede considerar a un proveedor externo un «funcionario escolar» con un «interés educativo legítimo» y compartir registros sin un consentimiento separado, pero solo si se cumplen varias condiciones:

• El proveedor realiza una función que la escuela haría por sí misma. Operar la plataforma educativa cuenta. Vender publicidad, no.
• El proveedor queda bajo el control directo del centro respecto al uso y mantenimiento de los expedientes. En la práctica, ese control se establece en el contrato.
• El proveedor utiliza los datos únicamente para el fin autorizado y no los vuelve a comunicar sin permiso.

El tercer punto es el más delicado. Los datos entregados para impartir cursos no pueden convertirse silenciosamente en material para entrenar un modelo ajeno, venderse a un socio o crear perfiles publicitarios. La excepción que te permite conservarlos también limita lo que puedes hacer con ellos. Si cruzas esa línea, la escuela infringe FERPA y tú rompes el contrato y pones en juego tu reputación.

Lo que FERPA te obliga realmente a construir

Al manejar expedientes mediante esa excepción, los derechos de las familias se convierten en funciones y controles que tu plataforma debe soportar. No son extraordinarios, pero es fácil omitirlos mientras nadie los pida.

Dos merecen especial atención. El registro de accesos es lo que los equipos posponen primero y más lamentan: sin él no puedes investigar una posible filtración ni demostrar qué ocurrió. El borrado real es más difícil de lo que parece, porque los datos acaban en copias de seguridad, analítica y herramientas externas, todas ellas parte del proceso de eliminación. Son las mismas capacidades arquitectónicas que protegen el sistema en general. Por eso este tema va unido a una lista de seguridad para datos de estudiantes y a la lección de la brecha de Canvas, donde el fallo no fue un ataque sofisticado, sino un diseño de acceso ordinario a gran escala.

FERPA no es la única ley presente

Construir solo para FERPA no basta, porque varios textos suelen aplicarse al mismo tiempo. Los tres más frecuentes son:

Lo que más sorprende a los equipos estadounidenses son las leyes estatales. FERPA obliga a la escuela y llega al proveedor mediante contrato. Normas como SOPIPA regulan directamente al proveedor: no vender datos de alumnos, no usarlos para publicidad dirigida y no elaborar perfiles con fines distintos del educativo. Muchos estados tienen ya su versión. Si la plataforma opera en varios, en la práctica se construye para el más estricto.

El documento que realmente lo gobierna

Como no hay certificado, las obligaciones se fijan en un contrato, normalmente un Data Privacy Agreement o DPA, también llamado acuerdo de privacidad de datos estudiantiles. El equipo jurídico o de compras del centro lo pondrá sobre la mesa. Ahí la ley abstracta se convierte en promesas concretas: qué datos recibes, qué puedes hacer con ellos, cómo los proteges, cuánto los conservas, qué ocurre ante una brecha y cómo se borran al terminar la relación.

Muchos distritos estadounidenses han normalizado el proceso mediante el Student Data Privacy Consortium, que publica plantillas comunes para evitar renegociar las mismas condiciones. Si vendes a escuelas, espera firmar uno de estos acuerdos y comprometerte con los controles anteriores. Leer un DPA estándar con atención es, sinceramente, una de las formas más rápidas de entender qué se supone que significa «cumplir con FERPA»: enumera los requisitos reales en lenguaje contractual directo.

Lo que el «cumplimiento» aporta y lo que no

Cumplir estas obligaciones tiene un valor real. Reduce la exposición legal y reputacional y permite superar compras. Para vender a centros, a menudo marca la diferencia entre cerrar el acuerdo y morir en una revisión de seguridad. Cada vez es más un requisito básico: el cuestionario llega pronto y quien no puede responder queda fuera antes de la demo.

Lo que no ofrece es una meta definitiva. El cumplimiento no es una insignia que se consigue una vez, sino un conjunto de compromisos continuos escritos en contratos y aplicados por el comportamiento diario del producto. Cada función, subencargado o flujo de datos nuevo puede romper una promesa del DPA. Los buenos equipos tratan la privacidad igual que la seguridad y la accesibilidad: como una propiedad permanente del sistema, no como un proyecto puntual. Esas obligaciones suelen viajar juntas; por eso FERPA encaja junto a lo que WCAG 2.2 AA exige a una plataforma de aprendizaje.

La idea de fondo es la misma que en seguridad y accesibilidad. Las obligaciones que protegen a los estudiantes y al negocio son decisiones de arquitectura y contrato que se toman pronto, cuando todavía resulta barato respetarlas. FERPA no es una pegatina en el pie de página. Es una promesa sobre cómo está construido el sistema y cómo se comporta; la única versión que significa algo es la que tu plataforma puede cumplir de verdad.