El acuerdo de $17.25 millones de PowerSchool por el seguimiento estudiantil de Naviance
Un acuerdo de demanda colectiva de 17,25 millones de dólares contra PowerSchool está atrayendo una renovada atención sobre una práctica que muchas familias nunca supieron que existía: la vigilancia silenciosa y continua de los estudiantes a través de las mismísimas plataformas que las escuelas les asignan para usar. La demanda se centró en Naviance, una herramienta de preparación universitaria y profesional muy utilizada, y alegó que la plataforma incorporó software de seguimiento de terceros que recopilaba las pulsaciones de teclas, los clics y las comunicaciones privadas de los estudiantes sin consentimiento desde 2021 hasta 2026. El caso es uno de los ejemplos más claros hasta la fecha de cómo los fallos de privacidad en la tecnología educativa y el seguimiento de datos de los estudiantes pueden persistir durante años antes de que alguien rinda cuentas.
Lo que Naviance realmente recopilaba... y durante cuánto tiempo
Naviance no es una herramienta de nicho. Utilizada por millones de estudiantes de secundaria en todo Estados Unidos, funciona como un centro para el seguimiento de solicitudes universitarias, evaluaciones profesionales y planificación académica. Como las escuelas la asignan, los estudiantes y sus familias normalmente no tienen más remedio que usarla.
Según la demanda, el seguimiento incrustado en Naviance iba mucho más allá de los análisis estándar. El software de terceros supuestamente capturaba datos a nivel de pulsación de tecla, lo que significa que cada carácter que un estudiante escribía podía ser grabado. También se informó que se recolectaban clics, patrones de navegación y comunicaciones privadas. Este tipo de recopilación de datos no es pasiva. Es detallada, conductual y, en muchos casos, mucho más reveladora que un simple registro de inicio de sesión.
Quizás lo más impactante es el período de tiempo. El presunto seguimiento abarcó desde 2021 hasta 2026, un período de cinco años durante el cual millones de estudiantes podrían haber tenido información confidencial recopilada sin su conocimiento o el de sus padres o tutores. No se obtuvo consentimiento. No se hizo una divulgación clara. La vigilancia fue, por diseño, invisible.
Por qué las plataformas proporcionadas por las escuelas son un punto ciego para la privacidad de los estudiantes
Cuando una empresa vende una aplicación para consumidores e incorpora rastreadores, los usuarios al menos tienen la opción teórica de rechazarlos. Cuando una escuela impone una plataforma, esa opción desaparece. Los estudiantes deben usar la herramienta para completar tareas, enviar solicitudes o acceder a recursos. Esto crea un problema fundamental de consentimiento que las leyes existentes han dificultado abordar por completo.
Los marcos federales como FERPA (Ley de Derechos Educativos y Privacidad Familiar) y COPPA (Ley de Protección de la Privacidad Infantil en Línea) proporcionan algunas protecciones básicas, pero no fueron diseñados teniendo en cuenta la complejidad de los ecosistemas modernos de tecnología educativa. Una escuela puede contratar a un proveedor. Ese proveedor puede incrustar código de terceros. Esos terceros pueden recopilar datos. Cada paso puede cumplir técnicamente con las reglas existentes, pero el resultado sigue siendo que los datos de los estudiantes fluyen hacia entidades de las que las familias nunca han oído hablar.
Esta dinámica es lo que hace que el caso PowerSchool sea significativo más allá del monto monetario. Es un ejemplo documentado de la brecha entre el cumplimiento legal y la transparencia genuina. El hecho de que el seguimiento presuntamente continuara durante cinco años sin aviso público subraya la poca visibilidad que los padres y los estudiantes suelen tener sobre lo que realmente hacen las plataformas escolares.
Este problema no se limita al seguimiento pasivo. Como demostró la violación de ShinyHunters a Canvas, la exposición de los datos estudiantiles abarca tanto la vigilancia encubierta como los ciberataques activos. Cuando casi 275 millones de registros de estudiantes estuvieron en riesgo a través de ese incidente, se reforzó que el sector de la tecnología educativa enfrenta vulnerabilidades desde múltiples direcciones simultáneamente.
Cómo funciona el seguimiento oculto de pulsaciones de teclas y comunicaciones
Para los lectores que no estén familiarizados con los aspectos técnicos, vale la pena entender cómo opera este tipo de seguimiento en la práctica. Los scripts de seguimiento de terceros suelen ser incrustados por los desarrolladores de la plataforma durante el proceso de construcción. Cuando un usuario carga una página, esos scripts se ejecutan automáticamente en segundo plano. El usuario no ve nada inusual.
Los scripts de registro de pulsaciones de teclas pueden grabar la entrada en tiempo real, capturando lo que alguien escribe incluso antes de presionar enviar. Las herramientas de repetición de sesión pueden grabar los movimientos del ratón, el comportamiento de desplazamiento y los patrones de clic para reconstruir exactamente lo que un usuario hizo durante una sesión. La interceptación de comunicaciones puede ocurrir cuando los mensajes enviados a través del sistema interno de una plataforma pasan por infraestructura de terceros antes de llegar a su destino.
Nada de esto requiere acceso especial a un dispositivo. Ocurre dentro del navegador, en la propia plataforma. El software antivirus estándar no lo marca. Los controles parentales no lo bloquean. Incluso las extensiones de navegador centradas en la privacidad pueden no detectarlo si los scripts están profundamente integrados en el código de la plataforma.
Por eso el consentimiento y la divulgación a nivel contractual, entre escuelas y proveedores, importan tanto. Para cuando un estudiante abre Naviance, la tubería de datos ya se ha establecido.
Lo que las familias pueden hacer para limitar la vigilancia de la tecnología educativa
El acuerdo de PowerSchool no será el último de su tipo. La adopción de la tecnología educativa continúa expandiéndose y los incentivos financieros para monetizar los datos de comportamiento siguen siendo fuertes. Dicho esto, las familias no están completamente sin opciones.
Solicite el inventario de datos. Según FERPA, los padres de estudiantes menores de 18 años tienen derecho a solicitar acceso a los registros educativos. Las escuelas también deberían poder proporcionar una lista de los proveedores externos con los que comparten los datos de los estudiantes. Solicitar esta lista pone a las escuelas sobre aviso de que las familias están prestando atención.
Revise las políticas de tecnología escolar anualmente. Muchos distritos actualizan sus políticas de uso aceptable y privacidad de datos al comienzo de cada año escolar. Leer estos documentos, incluso a nivel de resumen, puede revelar qué plataformas están en uso y qué prácticas de datos se divulgan.
Utilice protecciones a nivel de navegador cuando sea posible. Aunque las familias no siempre pueden optar por no usar las plataformas asignadas por la escuela, los estudiantes que usan dispositivos personales para las tareas escolares pueden beneficiarse de navegadores centrados en la privacidad o extensiones que limitan la ejecución de scripts de terceros, siempre que dichas herramientas no interfieran con la funcionalidad requerida de la plataforma.
Involucre a las juntas escolares y administradores. La protección más efectiva a largo plazo proviene de la rendición de cuentas institucional. Las preguntas dirigidas por los padres en las reuniones de la junta escolar sobre los contratos con proveedores y las auditorías de datos crean presión para una supervisión más estricta.
Manténgase informado sobre los incidentes de tecnología educativa. El caso PowerSchool y la violación de Canvas por ShinyHunters son parte de un patrón más amplio. Comprender que las filtraciones de datos estudiantiles y la vigilancia son problemas recurrentes, no eventos aislados, es la base para exigir mejores protecciones.
El acuerdo de 17,25 millones de dólares contra PowerSchool es un resultado significativo, pero la verdadera importancia es lo que revela sobre las prácticas habituales de la industria. Si una plataforma utilizada por millones de estudiantes durante cinco años pudo incrustar software de seguimiento no divulgado, la pregunta que vale la pena hacer no es solo qué estaba haciendo Naviance, sino qué podrían estar haciendo otras plataformas de tecnología educativa en este momento. Las familias, los educadores y los legisladores tienen un papel que desempeñar para exigir respuestas antes del próximo acuerdo, no después.
