Su colegio ya trata datos sensibles de menores. La pregunta es quién responde.
Guía práctica y consultoría de adecuación a la Ley de Protección de Datos Personales para establecimientos educacionales, sostenedores y redes de colegios en Chile.
Contenido informativo y sin costo. No requiere contratar nada para usarlo: si algo de esto le sirve para ordenar su colegio por cuenta propia, cumplió su objetivo.
La Ley 21.719 en tres minutos, sin lenguaje de abogado
La protección de datos personales dejó de ser un trámite administrativo y pasó a tratarse como un derecho fundamental. Para un colegio eso significa algo muy concreto: cada dato que recoge debe tener una razón, un límite, un responsable y una fecha de término.
Qué cambia en la práctica escolar
Los datos de alumnos, apoderados, docentes, asistentes de la educación, postulantes y trabajadores ya no pueden tratarse «porque siempre se ha hecho así». La ley exige poder justificar para qué se recopila cada dato, por cuánto tiempo se conserva, quién accede a él y cómo se protege.
Esto impacta procesos cotidianos que hoy nadie cuestiona: matrículas, fichas de salud y alergias, informes psicopedagógicos y PIE/NEE, plataformas de gestión académica, fotografías institucionales y redes sociales, cámaras de vigilancia, comunicaciones masivas a apoderados, expedientes de convivencia escolar, datos laborales y toda la cadena de proveedores tecnológicos.
Tercerizar no transfiere la responsabilidad
Si el colegio delega almacenamiento o tratamiento a un tercero —software de gestión escolar, plataformas de comunicación, servicios cloud, soporte TI, transporte, casino, seguro escolar— ese proveedor es encargado, pero el responsable ante la Agencia sigue siendo el establecimiento. Ante una fuga en el proveedor, quien debe demostrar diligencia es el sostenedor.
Los cuatro roles que su colegio debe tener claros
- Titular: el alumno, apoderado, docente o trabajador dueño de los datos.
- Responsable: el colegio o sostenedor, que decide para qué se usan los datos.
- Encargado: el proveedor que trata datos por instrucción del colegio.
- Agencia de Protección de Datos Personales: el organismo fiscalizador y sancionador.
Si al leer esto no sabe quién ocupa el rol de responsable interno en su establecimiento, ese es el primer hallazgo del diagnóstico.
Ley 19.628 (antes) vs. Ley 21.719 (ahora)
| Aspecto | Ley 19.628 | Ley 21.719 |
|---|---|---|
| Enfoque general | Régimen limitado, con poco control efectivo del titular. | Marco integral, con obligaciones operativas exigibles y demostrables. |
| Fiscalización | Sin autoridad especializada con potestad sancionadora real. | Agencia de Protección de Datos Personales, con facultades de fiscalización, interpretación y sanción. |
| Derechos del titular | Protección acotada y de difícil ejercicio práctico. | Seis derechos ARSOPB con plazos y procedimientos definidos. |
| Niños, niñas y adolescentes | Sin regulación específica desarrollada. | Resguardos reforzados, interés superior del niño y reglas especiales según edad. |
| Proveedores | Delegación poco regulada. | Relación responsable–encargado con instrucciones y contratos exigibles. |
| Brechas de seguridad | Sin deber de notificación estructurado. | Deber de registrar y notificar brechas, con plazos acotados. |
| Sanciones | Capacidad disuasiva baja. | Hasta 20.000 UTM en infracciones gravísimas; la reincidencia puede triplicar el tope. |
La ley no le pide a su colegio ser perfecto. Le pide poder demostrar que sabe qué datos tiene, por qué los tiene y qué hace para protegerlos. La diligencia demostrable es, además, el mejor atenuante frente a la autoridad.
Lo que más nos preguntan los sostenedores
¿Esto aplica a colegios particulares, subvencionados y municipales por igual?
La ley alcanza a quien trate datos personales, con reglas específicas según se trate de entidades privadas u organismos públicos. En términos operativos, todo establecimiento que administre datos de alumnos, apoderados, docentes y trabajadores debe ordenarse. La forma jurídica del sostenedor influye en el régimen aplicable y en el procedimiento sancionatorio, no en la necesidad de adecuarse.
Si contratamos una plataforma de gestión escolar certificada, ¿ya estamos cubiertos?
No. El proveedor actúa como encargado y debe ofrecer garantías, pero el responsable ante la autoridad sigue siendo el colegio. Además, la plataforma cubre una parte de los tratamientos; el resto —papel, correo, WhatsApp, fotografías, cámaras, casino, transporte, RR.HH.— queda fuera de su alcance.
¿Cuánto demora adecuar un colegio?
Depende del tamaño y del desorden inicial. Un establecimiento de un solo local suele completar diagnóstico y orden documental en algunos meses; una red con varias sedes requiere más. Lo relevante es que la mayor parte del riesgo se reduce en las primeras etapas: saber qué datos tiene y cerrar los contratos con proveedores.
¿Debemos designar un Delegado de Protección de Datos?
La ley contempla la figura del delegado y su exigibilidad depende del tipo de organización y de las características del tratamiento. Con independencia de si resulta obligatorio en su caso, todo colegio necesita una persona interna designada que responda por el tema: sin un responsable con nombre, ningún procedimiento se sostiene.
¿Podemos seguir publicando fotos de alumnos en redes sociales?
Sí, si existe una base de licitud adecuada, la finalidad está delimitada, la autorización es específica y revocable, y hay un canal real para pedir la baja de una imagen. La práctica que no se sostiene es la autorización genérica firmada en la matrícula «para todo uso institucional y por tiempo indefinido».
¿Qué pasa si un apoderado presenta un reclamo antes de que estemos adecuados?
La respuesta importa tanto como el estado de avance. Un colegio que puede mostrar un plan en ejecución, un responsable designado y evidencia de acciones concretas está en una posición muy distinta a uno que no tiene nada. La diligencia demostrable es el principal atenuante disponible.
¿Nos van a pedir comprar software?
No. Nuestro enfoque trabaja sobre las herramientas que el colegio ya paga —Google Workspace u Office 365, planillas, formularios— y sobre medidas físicas y de proceso. Si en algún caso conviene una herramienta específica, se plantea como opción justificada, nunca como condición del proyecto.
¿Su colegio está preparado para diciembre de 2026?
Todo lo que revisó en esta página su establecimiento lo va a tener que ordenar de todas formas. La única variable que usted controla es cuándo: ahora, como un proyecto planificado con su equipo, o después, contra el reloj y gatillado por un reclamo.
Para colegios particulares, subvencionados, municipales, redes educativas y sostenedores que administran datos de alumnos, apoderados, docentes, trabajadores y proveedores.
Nota. Este contenido tiene fines informativos y de difusión. No constituye asesoría jurídica ni sustituye el análisis del caso concreto de cada establecimiento. Las referencias a plazos, montos y categorías de infracción corresponden al texto de la Ley N° 21.719 y pueden verse precisadas por el reglamento y por los criterios que fije la Agencia de Protección de Datos Personales. Última revisión: agosto de 2026.