Índice

1. ¿Un colegio necesita consentimiento para tratar cualquier dato de un estudiante?
2. ¿Qué otras fuentes de licitud existen además del consentimiento?
3. ¿Cuándo sirve realmente el consentimiento?
4. ¿Los datos sensibles siempre necesitan consentimiento?
5. ¿Siempre tiene que consentir el apoderado?

Un colegio trata datos personales desde que un estudiante se matricula hasta que egresa: asistencia, calificaciones, antecedentes familiares, comunicaciones y muchos otros registros. Desde el 1 de diciembre de 2026, la Ley N° 19.628, modificada por la Ley N° 21.719, establece las reglas que permiten realizar esos tratamientos.

Una de las confusiones más fáciles de cometer es pensar que la nueva ley obliga a pedir consentimiento para todo. No es así: el consentimiento es una fuente de licitud, pero la ley contempla otras situaciones en que los datos pueden tratarse sin él (arts. 12 y 13).

¿Un colegio necesita consentimiento para tratar cualquier dato de un estudiante?

No. Un tratamiento de datos personales puede ser lícito con consentimiento o porque concurre otra fuente de licitud establecida por la ley (art. 12 y 13). En educación, esto importa porque muchas actividades cotidianas del colegio responden a obligaciones establecidas por la legislación educacional.

Volvamos a Martina, estudiante de 7° básico. Imaginemos que al comenzar el año su apoderado recibe una autorización que dice: “¿Autoriza al colegio a registrar la asistencia de Martina?”. Si responde que no, ¿el establecimiento tendría que dejar de registrar si asiste a clases?

La respuesta no puede construirse mirando solamente el consentimiento. La normativa educacional exige a los establecimientos llevar registros de asistencia y establece reglas sobre su control, declaración y fiscalización. En un tratamiento necesario para ejecutar o cumplir una obligación legal, la propia Ley de Protección de Datos permite tratar los datos sin consentimiento (art. 13 letra b).

La pregunta correcta, entonces, no es simplemente “¿tenemos consentimiento?”, sino: “¿qué dato estamos tratando, para qué lo necesitamos y cuál es la fuente de licitud que permite ese tratamiento?”

¿Puedo registrar la asistencia si el apoderado no lo autoriza?

El registro de asistencia responde a obligaciones propias de la operación escolar. La Ley de Datos permite el tratamiento sin consentimiento cuando sea necesario para ejecutar o cumplir una obligación legal o cuando la ley lo disponga (art. 13 letra b).

¿Qué otras fuentes de licitud existen además del consentimiento?

El artículo 13 contempla expresamente casos en que los datos personales pueden tratarse sin consentimiento. Esto no significa que el colegio pueda escoger libremente la fuente que le resulte más cómoda: debe existir realmente la situación que justifica el tratamiento.

Para un establecimiento educacional, algunas fuentes pueden tener mucha más aplicación que otras. La obligación legal será particularmente relevante en registros exigidos por la normativa educacional; otras situaciones podrían requerir analizar una relación contractual o un interés legítimo.

Fuente de licitud	¿Cómo funciona?	Ejemplo concreto en un colegio
Consentimiento	El titular autoriza un tratamiento determinado cumpliendo los requisitos del art. 12.	El colegio quiere publicar en Instagram una fotografía identificable de Martina durante el aniversario. Si ese tratamiento se sustenta en consentimiento, debe solicitarlo para esa finalidad y cumplir los requisitos del art. 12.
Obligación legal	No requiere consentimiento cuando el tratamiento es necesario para ejecutar o cumplir una obligación legal, o cuando la ley lo dispone (art. 13 b).	El profesor registra la asistencia de Martina, sus calificaciones y otros antecedentes académicos exigidos por la normativa educacional. Estos registros no pueden depender simplemente de que el apoderado decida autorizarlos o no.
Ejecución de un contrato	No requiere consentimiento cuando el tratamiento es necesario para celebrar o ejecutar un contrato entre el titular y el responsable, o para adoptar medidas precontractuales solicitadas por el titular (art. 13 c).	El colegio contrata directamente a una fonoaudióloga mediante un contrato de trabajo. Para ejecutar ese contrato necesita tratar sus datos de identificación, contacto y bancarios para coordinar el servicio y pagar sus honorarios.
Interés legítimo	Puede permitir el tratamiento cuando éste es necesario para satisfacer un interés legítimo del responsable o de un tercero y no se afectan los derechos y libertades del titular (art. 13 d).	El colegio conserva los datos de contacto de un exapoderado para gestionar el cobro de una deuda pendiente. Podría existir un interés legítimo en realizar esa gestión, pero el colegio debe analizar si el tratamiento es necesario, qué datos requiere y los derechos del titular.
Defensa de derechos	No requiere consentimiento cuando el tratamiento es necesario para formular, ejercer o defender un derecho ante tribunales u órganos públicos (art. 13 e).	Ante una situación de posible vulneración de derechos, el colegio debe presentar antecedentes ante un tribunal u organismo público competente. Para ello puede ser necesario utilizar registros de asistencia, entrevistas, comunicaciones u otros antecedentes pertinentes para formular, ejercer o defender los derechos involucrados, incluidos los de la estudiante.

El interés legítimo merece especial cuidado. Que un tratamiento sea conveniente, eficiente o beneficioso para el colegio no significa automáticamente que exista un interés legítimo que lo habilite. La ley exige considerar los derechos y libertades del titular y reconoce, además, un derecho de oposición frente a tratamientos basados en esta fuente (arts. 8 y 13).

¿Si un tratamiento ayuda al colegio puedo justificarlo por interés legítimo?

No automáticamente. Debe existir un interés legítimo y el tratamiento no puede afectar los derechos y libertades del titular. Además, el responsable debe poder acreditar la licitud del tratamiento (art. 13).

¿Cuándo sirve realmente el consentimiento?

El consentimiento permite tratar datos cuando es libre, informado, específico en cuanto a sus finalidades, previo e inequívoco (art. 12). Para un colegio, esto significa que una autorización amplia para “usar todos los datos para cualquier finalidad” no refleja adecuadamente los requisitos de la nueva regulación.

Imaginemos que la familia de Martina firma al matricularla una cláusula que autoriza genéricamente al establecimiento a realizar cualquier tratamiento presente o futuro. La amplitud de esa autorización no la hace mejor: el titular debe saber qué está autorizando y con qué finalidad.

Requisito	¿Qué significa?	Ejemplo concreto en un colegio
Libre	La persona debe poder decidir sin que se condicione injustificadamente otro servicio a entregar su consentimiento.	Para matricular a Martina, el colegio no debería condicionar la matrícula a autorizar la publicación de sus fotografías en Instagram si ese uso de imágenes no es necesario para prestar el servicio educacional.
Informado	Antes de consentir, la persona debe recibir la información necesaria para comprender el tratamiento.	Antes de solicitar autorización para publicar fotografías de Martina, el colegio informa qué imágenes utilizará, para qué finalidad y dónde serán publicadas, además de la información que corresponda conforme a la ley.
Específico	El consentimiento debe referirse a una finalidad determinada, no ser una autorización abierta para cualquier tratamiento.	En vez de pedir autorización para “utilizar los datos e imágenes de Martina para los fines que el colegio estime pertinentes”, se solicita consentimiento para una finalidad determinada, por ejemplo, subirla al libro digital.
Previo	El consentimiento debe existir antes de comenzar el tratamiento que depende de esa autorización.	Si la publicación de fotografías de Martina se basa en consentimiento, el colegio obtiene la autorización antes de subir las imágenes a Instagram, no después de haberlas publicado.
Inequívoco	Debe existir una manifestación clara de que la persona acepta el tratamiento.	El colegio presenta una opción clara para autorizar o no autorizar el uso de fotografías para la finalidad informada. No interpreta el silencio, una casilla premarcada o la falta de respuesta como una autorización.

La ley agrega una regla especialmente útil para entender cuándo el consentimiento deja de ser realmente libre: presume que no lo es cuando se exige, dentro de un contrato o servicio, autorizar un tratamiento que no es necesario para ejecutar ese contrato o prestar ese servicio (art. 12).

El consentimiento también puede revocarse en cualquier momento y sin expresión de causa. La revocación opera hacia adelante: no convierte retroactivamente en ilícito el tratamiento realizado mientras existía un consentimiento válido (art. 12).

¿Qué pasa si una familia retira su consentimiento?

El consentimiento puede revocarse y la revocación no tiene efectos retroactivos (art. 12). Si existe otra fuente jurídica que habilita el tratamiento, habrá que analizarla; retirar un consentimiento no elimina automáticamente una obligación legal.

¿Los datos sensibles siempre necesitan consentimiento?

No. La regla general exige consentimiento expreso para tratar datos sensibles, pero la propia ley establece excepciones (art. 16). Esto es especialmente relevante para colegios, que pueden manejar información de salud, situación socioeconómica y otros antecedentes sensibles.

Martina tiene una alergia severa. El establecimiento registra ese antecedente para saber cómo actuar frente a una situación que pueda comprometer su salud. Sería incorrecto resolver automáticamente este caso diciendo “es un dato sensible, entonces siempre necesitamos consentimiento”: la ley contempla, entre otras hipótesis, tratamientos indispensables para salvaguardar la vida, salud o integridad física o psíquica y tratamientos expresamente autorizados o mandatados por la ley (art. 16).

En los datos de salud hay que distinguir qué información necesita realmente el colegio y para qué. Por ejemplo, registrar que Martina tiene una alergia severa para poder actuar ante una emergencia es distinto de guardar su ficha médica completa o resultados de exámenes que el establecimiento no necesita para esa finalidad. La ley establece reglas específicas para los datos de salud (art. 16 bis), por lo que estar dentro de un contexto educativo no autoriza al colegio a recopilar cualquier antecedente médico.

Lo mismo ocurre con PIE. Que un estudiante participe del Programa de Integración Escolar puede hacer necesario tratar determinados antecedentes para cumplir las obligaciones que establece la normativa educacional. Pero eso no convierte al PIE en una autorización para registrar cualquier dato sensible. El colegio debe poder explicar qué información necesita, para qué la utiliza y qué norma o fuente de licitud permite ese tratamiento.

¿Para guardar una alergia siempre necesito consentimiento?

No puede responderse solamente porque sea un dato sensible. Deben revisarse las reglas de los artículos 16 y 16 bis, la finalidad concreta y las demás normas que puedan resultar aplicables.

¿Todo dato registrado en PIE tiene la misma fuente de licitud?

No necesariamente. La fuente de licitud depende del tratamiento y de la regulación aplicable, no simplemente del lugar o módulo donde se almacena la información.

¿Siempre tiene que consentir el apoderado?

No. La ley establece reglas distintas según la edad del estudiante y el tipo de dato (art. 16 quáter). Además, aunque un adulto pueda consentir o representar a un estudiante en determinados casos, el titular de los datos sigue siendo el propio estudiante.

Para estos efectos, la ley considera niños o niñas a los menores de 14 años y adolescentes a quienes tienen más de 14 y menos de 18 años. El tratamiento debe realizarse siempre atendiendo a su interés superior y respetando su autonomía progresiva (art. 16 quáter).

Edad y tipo de dato	Si el tratamiento requiere consentimiento, ¿quién puede intervenir?
Menor de 14 años	Padres, representantes legales o quien tenga su cuidado personal. El niño o niña no presta por sí solo el consentimiento previsto por esta norma.
Adolescente de 14 a 17 años, datos personales no sensibles	Se aplican las reglas de autorización de los adultos. Estas contemplan al propio titular y, cuando corresponda, a su representante legal o mandatario.
Adolescente de 14 o 15 años, datos sensibles	Padres, representantes legales o quien tenga su cuidado personal. Aquí la ley establece expresamente esta regla especial.
Adolescente de 16 o 17 años, datos sensibles	Deja de aplicarse la regla especial anterior y vuelven a regir las reglas generales de autorización, que contemplan al titular y, según corresponda, a su representante legal o mandatario.

La misma disposición establece algo particularmente relevante para esta serie: los establecimientos educacionales tienen la obligación especial de velar por el uso lícito y la protección de la información personal de niños, niñas y adolescentes (art. 16 quáter).

¿Cómo debería decidir un colegio qué fuente de licitud corresponde?

La fuente de licitud debe identificarse a partir del tratamiento concreto, no después de haber recopilado los datos. Dos datos de Martina pueden ser utilizados por el mismo colegio y, aun así, requerir análisis jurídicos completamente diferentes.

Antes de crear un nuevo formulario, registro o funcionalidad, una forma práctica de ordenar el análisis es la siguiente:

Pregunta	¿Qué permite revisar?	Ejemplo concreto en un colegio
¿Qué dato queremos tratar?	Naturaleza de la información	El colegio quiere registrar que Martina tiene una alergia severa. No es lo mismo que registrar su asistencia: estamos frente a un dato de salud y, por tanto, sensible.
¿Para qué lo necesitamos?	Finalidad del tratamiento	El colegio necesita conocer la alergia para actuar correctamente ante una emergencia, no simplemente para acumular antecedentes médicos de Martina.
¿Una ley exige o autoriza el tratamiento?	Posible habilitación legal	Antes de pedir consentimiento para registrar la asistencia o las calificaciones, el colegio debe revisar las obligaciones que la normativa educacional establece respecto de esos registros.
¿Existe otra fuente del artículo 13?	Si puede existir una fuente de licitud distinta del consentimiento	El colegio necesita presentar antecedentes ante un tribunal u organismo público por una posible vulneración de derechos de Martina. Puede existir una habilitación para formular, ejercer o defender derechos (art. 13 e).
¿El tratamiento se basa en consentimiento?	Si cumple los requisitos del artículo 12	El colegio quiere publicar una fotografía de Martina en las redes sociales institucionales y basa ese tratamiento en consentimiento. Debe revisar que sea libre, informado, específico, previo e inequívoco.
¿Es un dato sensible?	Aplicación de las reglas especiales	Una alergia, diagnóstico u otro antecedente de salud requiere analizar las reglas especiales de los artículos 16 y siguientes; no basta aplicar las reglas generales.
¿Qué edad tiene el estudiante?	Reglas para niños, niñas y adolescentes	Si un tratamiento depende del consentimiento, no se analiza igual para Martina con 12, 15 o 17 años. El art. 16 quáter establece reglas diferentes según edad y si existen datos sensibles.
¿Existe normativa educacional específica?	Cómo se complementa la Ley de Datos con la regulación escolar	Si el colegio registra asistencia, calificaciones o antecedentes PIE, no debe mirar solamente la Ley de Datos: debe revisar también qué exige o autoriza la normativa educacional para ese tratamiento.

Pedir más consentimientos no significa cumplir mejor. El colegio necesita saber por qué está tratando cada dato y poder acreditar la licitud del tratamiento (art. 13). Cuando corresponde pedir consentimiento, debe hacerlo correctamente; cuando una norma exige determinado registro, la lógica jurídica es diferente.

El siguiente paso será mirar la relación desde el otro lado. Aunque un tratamiento sea lícito, Martina, sus apoderados y los demás titulares tienen derechos sobre sus datos personales: acceso, rectificación, supresión, oposición, portabilidad y bloqueo, cada uno con sus propias reglas y límites.

Seguir leyendo

• Datos personales y datos sensibles en un colegio
• Datos sensibles y menores: PIE, salud, psicología y convivencia

Esta página es parte de la guía completa de la Ley de Protección de Datos Personales en colegios.

Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Contenido informativo; no constituye asesoría legal.

PRODUCTOS

Descubre nuestros módulos

---

Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.