Índice
- ¿Qué es un dato personal y cuándo es sensible?
- ¿Quién es el titular y quién responde por los datos?
- ¿Qué significa tratar datos personales?
- ¿Qué significan consentimiento, anonimización y elaboración de perfiles?
- ¿Qué debería llevarse un colegio de estas definiciones?
Un colegio trabaja todos los días con nombres, RUT, asistencia, calificaciones, fotografías, información PIE, antecedentes de salud y datos de apoderados y funcionarios. Desde el 1 de diciembre de 2026, la Ley N° 19.628, modificada por la Ley N° 21.719, establece un nuevo marco para proteger esa información.
Para entender qué cambia, primero hay que manejar algunos conceptos que la propia ley define. No se trata de aprender lenguaje jurídico: estas definiciones permiten distinguir qué información protege la ley, quién responde por ella y qué ocurre cuando un colegio utiliza proveedores tecnológicos.
¿Qué es un dato personal y cuándo es sensible?
Un dato personal es cualquier información vinculada o referida a una persona natural identificada o identificable (art. 2). En un colegio, esto incluye mucha más información que el nombre y el RUT de sus estudiantes.
Pensemos en Martina, estudiante de 7° básico. Su nombre, dirección, correo institucional, asistencia, calificaciones y anotaciones son datos personales porque entregan información sobre una persona identificada o identificable. Lo mismo puede ocurrir con una fotografía del acto de fin de año o con un registro que no incluya su nombre, pero sí otro identificador que permita saber que se trata de ella.
Algunos datos reciben una protección especial. La ley denomina datos personales sensibles a aquellos que se refieren a determinadas características o circunstancias de la vida privada o intimidad, como el origen étnico o racial, situación socioeconómica, creencias religiosas, salud, datos biométricos, orientación sexual o identidad de género, entre otros (art. 2).
Así, la nota de Matemática de Martina es un dato personal. El antecedente de que tiene una alergia alimentaria es, además, un dato sensible porque revela información sobre su salud.
| Ejemplo escolar | Clasificación |
|---|---|
| Nombre y RUT | Dato personal |
| Asistencia y calificaciones | Datos personales |
| Alergia de un estudiante | Dato personal sensible |
| Situación socioeconómica | Dato personal sensible |
| Estadística realmente anonimizada | No es dato personal si las personas ya no son identificables |
Una precisión importante: no todo lo que aparece en una ficha PIE, psicológica o de convivencia es automáticamente un dato sensible. Hay que mirar qué información contiene realmente. Tampoco es correcto afirmar que todo dato sensible exige siempre consentimiento: la ley contempla otras hipótesis que pueden habilitar su tratamiento (art. 16).
¿Toda la información de un estudiante es sensible?
No. Que la información corresponda a un niño, niña o adolescente no la convierte automáticamente en sensible. Sí existen reglas especiales para el tratamiento de datos de niños, niñas y adolescentes (art. 16 quáter).
¿Un dato sensible siempre requiere consentimiento?
No. La ley contempla situaciones en que pueden tratarse datos sensibles sin consentimiento (art. 16). En un colegio, además, habrá que considerar la legislación educacional específica que pueda autorizar o exigir determinados tratamientos.
¿Quién es el titular y quién responde por los datos?
El titular es la persona natural a quien se refiere la información, mientras que el responsable es quien decide acerca de los fines y medios del tratamiento (art. 2). Si hablamos de la asistencia de Martina, la titular de esos datos es Martina, aunque su apoderado pueda representarla cuando corresponda.
Esta distinción evita una confusión frecuente: el apoderado no se transforma en titular de los datos del estudiante. Sí es titular de sus propios datos, como su teléfono, correo electrónico o información personal registrada por el establecimiento. Profesores, asistentes de la educación y otros trabajadores también pueden ser titulares.
Cuando interviene una plataforma tecnológica aparece otro concepto: el tercero mandatario o encargado, que trata datos personales por cuenta del responsable (art. 2). En el funcionamiento habitual de una plataforma escolar, el colegio o sostenedor será responsable respecto de los tratamientos que determina, mientras el proveedor será encargado cuando procese esos datos por cuenta del establecimiento.
| Rol | Qué hace | Ejemplo |
|---|---|---|
| Titular | Es la persona a quien se refieren los datos | Martina |
| Responsable | Decide los fines y medios del tratamiento | Colegio o sostenedor respecto de los tratamientos que determina |
| Encargado | Trata datos por cuenta del responsable | Plataforma tecnológica contratada para prestar el servicio |
Que el colegio utilice un proveedor no significa que deje de ser responsable de los tratamientos que determina. Tampoco significa que el encargado quede fuera de la ley: el artículo 15 bis establece obligaciones específicas para esta relación.
¿El apoderado es titular de los datos de su hijo?
No. El estudiante sigue siendo el titular de sus datos personales. Otra cuestión es la representación para ejercer sus derechos, que dependerá de su edad y de las reglas aplicables.
¿Contratar un software traspasa la responsabilidad al proveedor?
No. Cuando el proveedor trata información por cuenta del establecimiento puede actuar como encargado, mientras el colegio o sostenedor mantiene su calidad de responsable respecto de los tratamientos que determina (art. 15 bis).
¿Qué significa tratar datos personales?
Tratar datos significa realizar operaciones con ellos, como recolectarlos, almacenarlos, procesarlos, comunicarlos o utilizarlos (art. 2). Un profesor realiza una operación de tratamiento cuando registra la asistencia de su curso, aunque nunca describa esa tarea de esa manera.
Durante una semana normal, el colegio puede registrar la asistencia de Martina, incorporar una calificación, actualizar el teléfono de su apoderado, consultar un antecedente de salud y generar un informe académico. Todas son operaciones sobre datos personales.
El tratamiento tampoco ocurre solamente dentro de un software. Una planilla Excel, un formulario, un documento o un registro físico pueden contener datos personales y formar parte de un tratamiento. Por eso, proteger datos en un colegio implica mirar sus procesos completos y no solamente la plataforma principal.
Los datos también pueden circular hacia otras organizaciones. La ley distingue conceptos como comunicación, cesión y encargo, que dependen del rol que cumple quien recibe la información (arts. 2 y 15 bis).
| Situación | Concepto |
|---|---|
| El responsable da a conocer datos a un tercero sin cederlos o transferirlos | Comunicación |
| Un responsable transfiere datos a otro responsable | Cesión |
| Un proveedor trata los datos por cuenta del colegio | Encargo |
La clasificación concreta depende de qué hace realmente cada organización con la información. Enviar un archivo a un tercero o subir información a una plataforma no permite, por sí solo, concluir que existe una cesión.
¿Enviar datos a otra institución siempre es una cesión?
No. La ley distingue entre comunicación y cesión, y además existe el tratamiento realizado por un encargado. Hay que revisar qué hace el receptor con los datos y qué rol cumple.
¿Una planilla Excel también está alcanzada por la ley?
Puede estarlo. La ley no protege solamente información almacenada en plataformas digitales: el concepto de tratamiento comprende operaciones automatizadas y no automatizadas sobre datos personales.
¿Qué significan consentimiento, anonimización y elaboración de perfiles?
Son conceptos diferentes que responden a preguntas distintas sobre el uso y protección de la información. En un colegio aparecen al decidir por qué puede tratarse un dato, cómo protegerlo o qué ocurre cuando un sistema analiza automáticamente información de estudiantes.
El consentimiento es una manifestación de voluntad libre, específica, inequívoca e informada que autoriza un tratamiento (art. 2). Pero no es la única fuente que puede hacer lícito un tratamiento: la ley contempla otras habilitaciones (arts. 12 y 13). Por eso, que un colegio trate datos personales no significa automáticamente que deba pedir autorización al apoderado para cada operación.
Anonimización y seudonimización tampoco son equivalentes. Si “Martina González” se reemplaza por “Estudiante 8472”, pero existe información separada que permite saber que 8472 corresponde a Martina, los datos están seudonimizados y siguen siendo personales. La anonimización exige que el vínculo con una persona identificada o identificable se elimine de manera irreversible (art. 2).
La elaboración de perfiles, por su parte, utiliza tratamiento automatizado para evaluar, analizar o predecir determinados aspectos de una persona (art. 2). Podría aparecer, por ejemplo, si un sistema analiza automáticamente antecedentes individuales para estimar un riesgo académico. Esto no significa que cualquier dashboard escolar sea elaboración de perfiles ni que utilizar analítica o inteligencia artificial esté prohibido.
¿Eliminar los nombres de una planilla significa que está anonimizada?
No necesariamente. Si quedan RUT, identificadores u otros antecedentes que permiten asociar la información con los estudiantes, las personas todavía pueden ser identificables.
¿Un semáforo de riesgo escolar es automáticamente una decisión automatizada?
No. Hay que analizar cómo funciona y qué efecto produce. La ley establece reglas específicas para determinadas decisiones individuales automatizadas que producen efectos jurídicos o afectan significativamente al titular (art. 8 bis).
¿Qué debería llevarse un colegio de estas definiciones?
La protección de datos empieza por entender qué información maneja el establecimiento y qué hace con ella. Dos registros sobre el mismo estudiante pueden involucrar categorías de datos, finalidades, personas con acceso y reglas completamente diferentes.
La asistencia de Martina, su alergia, una fotografía, una ficha de apoyo y un indicador académico tienen algo en común: contienen o utilizan información relacionada con la estudiante. Pero eso no significa que todos deban tratarse de la misma manera.
Antes de preguntarse si necesita consentimiento o cuánto tiempo puede conservar un registro, al colegio le conviene identificar qué dato trata, de quién es, para qué lo utiliza, quién decide ese uso y qué terceros participan.
Ese vocabulario será la base para la siguiente pregunta de esta guía: ¿qué principios debe respetar un colegio cada vez que trata datos personales?
¿El colegio debería identificar los datos que trata?
Como buena práctica, sí. Conocer los tratamientos, finalidades, titulares y proveedores que intervienen permite detectar qué reglas corresponden en cada caso y preparar posteriormente las medidas de cumplimiento.
¿Tener una plataforma que cumple la ley significa que el colegio ya cumple?
No. El proveedor tecnológico y el establecimiento cumplen roles distintos. La tecnología puede ayudar a proteger y gestionar los datos, pero el colegio sigue tomando decisiones sobre qué información utiliza, para qué y quién puede acceder a ella.
Seguir leyendo
- Datos sensibles y menores: PIE, salud, psicología y convivencia
- ¿Necesita el colegio consentimiento para tratar datos de estudiantes?
Esta página es parte de la guía completa de la Ley de Protección de Datos Personales en colegios.
Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Contenido informativo; no constituye asesoría legal.
PRODUCTOS
Descubre nuestros módulos
Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.
