Datos destacados en el Ministerio de Educación
La Oficina de Privacidad de Israel ha declarado que el Ministerio de Educación es culpable de graves infracciones de la ley de protección de datos personales después de haber filtrado información sobre 21.000 estudiantes, exigiendo reformas inmediatas y destacando que la certificación internacional no exime de los requisitos nacionales
In early October 2026, Israel’s Office of Privacy Protection completed an administrative investigation into the Ministry of Education after a massive leak of personal and medical data of approximately 21,000 special education students from the haredi sector.
La información confidencial —incluyendo nombres, números de identificación, fechas de nacimiento, estado de salud y afiliación de grupos religiosos— se puso a disposición de los forasteros a través de un enlace de Internet abierto enviado fuera del ministerio. The regulator revealed a number of gross violations: the lack of encryption and access control, the transfer of data by an employee without current authority, as well as the lack of mandatory documents to determine the database, approved procedures for information security and risk analysis. The agency described the incident as a “serious security event” and recalled that the responsibility for protecting the information lies with the owner of the database under section 17 of the Privacy Protection Act [gov.il].
El regulador prestó especial atención al intento del Ministerio de justificar la presencia del certificado ISO/IEC 27001, destacando que la certificación internacional no exime de la necesidad de cumplir plenamente los requisitos nacionales. “La certificación sólo puede tenerse en cuenta si se cumplen todas las condiciones establecidas por la ley israelí”, dijo la declaración. Una posición similar está consagrada en Europa: el CNIL francés y el ICO británico han subrayado repetidamente que la ISO/IEC 27001 es sólo una medida adicional que no sustituye la aplicación de todos los requisitos del GDPR y las leyes nacionales [CNIL], [ICO].
Entre las medidas prescritas figuran la elaboración y aprobación de procedimientos internos de seguridad de la información, la realización de un análisis completo de riesgos para todos los sistemas, la restricción del acceso a información confidencial únicamente para los empleados autorizados, así como la introducción de tecnologías de cifrado y control de acceso para la transmisión y almacenamiento de datos. El Ministerio de Educación, a su vez, expresó su pesar por el incidente, anunció el inicio de un examen interno y prometió cooperar con el regulador para eliminar las violaciones y prevenir casos similares en el futuro.
Lawyers and cybersecurity experts note that since the entry into force of Amendment No. 13 to the Privacy Protection Act (August 2025), the regulator has received significantly expanded powers to impose administrative fines and conduct investigations against public authorities and private companies. La cantidad de multas puede llegar a millones de shekels, y el incidente con el Ministerio de Educación fue el primer caso importante de aplicar nuevas sanciones a la estructura estatal, que, según expertos, sienta un precedente para toda la esfera.
La experiencia internacional confirma que ocurren incidentes similares en otros países, y la reacción de los reguladores es cada vez más grave. En los Estados Unidos a finales de 2024, una brecha de la plataforma PowerSchool filtró los datos de decenas de miles de estudiantes, incluyendo información sobre necesidades educativas especiales. Las autoridades iniciaron investigaciones, escuelas notificaron a los padres, y la compañía aumentó las medidas de ciberseguridad, citando FERPA y COPPA [TechTarget], [EdWeek] requisitos. In the UK in 2025, ICOs imposed fines on schools and IT contractors after leaking data from more than 10,000 pupils, including medical information, and mandated mandatory encryption and regular audits. En Francia, un incidente similar con una plataforma regional de educación afectó a unos 8.000 alumnos y personal, el CNIL investigó e impuso una multa administrativa, destacando la importancia de proteger los datos de los menores.
Conclusión clave: En todos los casos, los reguladores reconocieron los incidentes como violaciones graves, exigieron la eliminación inmediata de deficiencias, la introducción de nuevos procedimientos y medidas técnicas, y subrayaron que la disponibilidad de certificados internacionales no exime de obligaciones nacionales.
Cuadro sinóptico de incidentes internacionales
País/región Fecha/Platform Leakage Scale Tipo de datos (categorías especiales) Reacción reguladora (medidas, enlaces)
Ministerio de Educación de Israel, 2026 21.000 estudiantes Niños, datos médicos, necesidades especiales Investigación, órdenes, posibles multas, referencia a la Ley de Protección de la Privacidad
USA PowerSchool, 12.2024 Decenas de miles de registros Niños, necesidades especiales Investigaciones, notificaciones, enlaces a FERPA/COPPA
UK School IP, 2025 ¢ 10,000 entries Children, ICO medical data: investigations, fines, references to GDPR
France Regional Platform, 2025 ~8,000 entries Children, CNIL medical opinion: investigation, fine, references to GDPR
Para concluir, la violación de los datos en el Ministerio de Educación de Israel no es sólo una prueba para el sistema nacional de protección de datos, sino también parte de una tendencia mundial de reforzar el control y las sanciones en la esfera de la seguridad de la información. Los expertos prevén que después de este caso, los departamentos y las empresas serán obligados a reconsiderar sus enfoques de gestión de datos, y el regulador seguirá fortaleciendo la supervisión y aplicando nuevos instrumentos de influencia previstos en la Enmienda No 13. En los próximos meses se espera que se publiquen nuevas directrices y posiblemente las primeras multas importantes que se impondrán a los ciudadanos.
