Índice
- ¿Quién es el responsable del tratamiento?
- ¿Qué hace un encargado del tratamiento?
- ¿Qué debe acordar el colegio con su proveedor tecnológico?
- ¿Qué pasa si la plataforma utiliza a otros proveedores?
- ¿Qué pasa cuando el colegio entrega datos a otra organización?
- ¿Puede una misma organización ser responsable y encargado?
- ¿Qué debería revisar un colegio con sus plataformas?
Un colegio puede utilizar un libro de clases digital, sistemas de matrícula y distintos servicios análogos y tecnológicos que procesan información de sus estudiantes. La nueva Ley de Protección de Datos Personales distingue los roles de quienes participan en esos tratamientos, porque no todos tienen las mismas obligaciones ni responsabilidades.
Pensemos nuevamente en Martina. Su profesor registra su asistencia en el Libro Digital de Kimche. El colegio determina por qué necesita ese registro y quién puede consultarlo, mientras una empresa tecnológica proporciona el sistema que permite almacenar y procesar la información. ¿Quién es responsable de esos datos?
¿Quién es el responsable del tratamiento?
El responsable es quien decide acerca de los fines y medios del tratamiento de datos personales (art. 2 letra n). En la operación escolar habitual, el establecimiento o sostenedor será responsable de muchos tratamientos porque es quien determina para qué necesita utilizar la información.
Por ejemplo, el colegio decide registrar diariamente la asistencia de Martina, mantener sus calificaciones o registrar determinada información de convivencia. Una plataforma puede proporcionar las herramientas para hacerlo, pero eso no significa que haya decidido la finalidad de esos tratamientos.
La entidad responsable tampoco tiene que ser necesariamente “el colegio”. Dependiendo de cómo esté organizada la institución, podría ser el sostenedor, un SLEP u otra persona jurídica que efectivamente determine los fines y medios del tratamiento. Lo importante es identificar quién toma esas decisiones, no simplemente quién utiliza el sistema.
¿El director es personalmente el responsable de todos los datos?
No necesariamente. La ley define al responsable como una persona natural o jurídica. En muchos casos será la entidad sostenedora u organización correspondiente, y no personalmente su director.
¿Si contratamos una plataforma, deja el colegio de ser responsable?
No. La propia definición legal contempla que el responsable puede tratar los datos directamente o mediante un tercero mandatario o encargado (art. 2 letra n).
¿Qué hace un encargado del tratamiento?
El encargado es quien trata datos personales por cuenta del responsable (art. 2 letra x). Un proveedor de software escolar como Kimche puede cumplir este rol cuando procesa información para prestar el servicio que el colegio contrató.
Sigamos con Martina. El colegio decide que sus profesores deben registrar las calificaciones en Kimche. La plataforma permite ingresarlas, almacenarlas y consultarlas. En esa relación típica, el colegio o sostenedor actúa como responsable y Kimche como encargado.
Esto tiene una consecuencia importante: almacenar los datos no permite al encargado utilizarlos libremente. Debe actuar conforme al encargo y las instrucciones del responsable y no puede tratarlos para un objeto diferente al convenido (art. 15 bis).
| Situación cotidiana | ¿Qué hace el colegio? | ¿Qué hace la plataforma? |
|---|---|---|
| Asistencia de Martina | Determina que debe registrarse y qué usuarios pueden hacerlo | Permite registrar y almacenar la asistencia |
| Calificaciones | Define las evaluaciones y registra las notas | Proporciona las herramientas para almacenarlas y consultarlas |
| Ficha del estudiante | Determina qué información necesita tratar | Procesa la información ingresada conforme al servicio contratado |
| Accesos de profesores | Determina qué funcionarios necesitan acceder según sus funciones | Proporciona mecanismos para gestionar los permisos |
| Uso de los datos para otra finalidad | Debe determinar los tratamientos que realiza y su licitud | No puede utilizar por su cuenta los datos para un objeto distinto del encargo |
¿La plataforma es dueña de los datos porque los almacena?
No. Tener los datos almacenados en su infraestructura no transforma al encargado en responsable ni le permite decidir libremente qué hacer con ellos.
¿Que se le pide al encargado?
El encargado tiene obligaciones propias. Por ejemplo, el artículo 15 bis le exige cumplir deberes de confidencialidad y seguridad y reportar al responsable las vulneraciones a las medidas de seguridad.
¿Qué debe acordar el colegio con su proveedor tecnológico?
El tratamiento realizado por un encargado debe regularse mediante un contrato entre el responsable y el encargado (art. 15 bis). Por eso, contratar una plataforma escolar también requiere definir qué tratamiento de datos se le está encargando.
La ley establece expresamente el contenido que debe contemplar ese contrato:
| ¿Qué debe definir? | Ejemplo en un software escolar |
|---|---|
| Objeto del encargo | Procesar información para prestar el servicio de gestión escolar contratado |
| Duración | El período durante el cual se prestará el servicio y tratarán los datos conforme al encargo |
| Finalidad | Permitir las operaciones necesarias para prestar los módulos contratados |
| Tipos de datos | Datos de identificación, asistencia, calificaciones u otras categorías involucradas |
| Categorías de titulares | Estudiantes, apoderados, docentes u otras personas cuyos datos sean tratados |
| Derechos y obligaciones de las partes | Qué corresponde al colegio y qué debe cumplir el proveedor |
El objetivo no es entregarle al proveedor una autorización genérica para “hacer lo que necesite con los datos”. Es exactamente lo contrario: definir para qué recibe los datos y bajo qué condiciones puede tratarlos.
¿Qué ocurre cuando termina el servicio?
Cumplida la prestación del servicio de tratamiento, el encargado debe suprimir o devolver los datos al responsable, según corresponda (art. 15 bis). Si existe posteriormente otro encargo específico de conservación, deberá estar jurídicamente estructurado como tal.
¿Qué pasa si la plataforma utiliza a otros proveedores?
Un encargado puede delegar parte o todo el tratamiento únicamente con una autorización específica y por escrito del responsable (art. 15 bis). Esto importa porque detrás de una plataforma escolar pueden participar otros servicios tecnológicos.
Imaginemos el caso de Kimche que utiliza servidores de AWS para procesar datos necesarios para entregar su servicio. Si ese proveedor efectivamente trata los datos personales comprendidos en el encargo, entramos en la lógica de una delegación o subencargo que debe quedar acreditada en la relación. Además, el encargado continúa siendo solidariamente responsable sobre el encargo que delegó y no puede eximirse argumentando que el tratamiento lo realizó otro encargado (art. 15 bis).
¿El colegio tiene que elegir la infraestructura tecnológica de la plataforma?
No es lo mismo autorizar un subencargo que diseñar la arquitectura tecnológica del proveedor. El colegio debe cumplir el mecanismo de autorización que exige la ley cuando exista una delegación del tratamiento.
¿Qué pasa cuando el colegio entrega datos a otra organización?
No toda organización que recibe información del colegio se convierte en su encargado. Un encargado trata datos por cuenta del responsable; en otras situaciones, el colegio puede comunicar o ceder información a otra entidad que la utilizará bajo un rol diferente.
Supongamos que existe una posible vulneración de derechos de un estudiante y el establecimiento debe presentar antecedentes pertinentes ante un Tribunal de Familia, una Oficina Local de la Niñez u otro organismo público competente. Ese organismo no está prestando un servicio tecnológico por cuenta del colegio. La naturaleza y licitud de esa comunicación deberán analizarse según las normas aplicables al caso.
La ley también regula específicamente la cesión de datos. Cuando se configura una cesión, quien recibe los datos adquiere la calidad de responsable respecto de ellos y debe tratarlos conforme a las finalidades establecidas para esa cesión (art. 15). La cesión puede fundarse en consentimiento, pero la ley contempla además otras hipótesis, como cuando la dispone una ley.
| Situación | Ejemplo concreto |
|---|---|
| Tratamiento por encargo | Kimche almacena y procesa las calificaciones de los estudiantes para prestar al colegio el software contratado |
| Delegación del encargo | Un proveedor tecnológico procesa datos escolares como parte del servicio que presta la plataforma |
| Comunicación a otra entidad | El colegio entrega antecedentes pertinentes a un organismo público competente ante una situación de vulneración de derechos |
| Cesión de datos | Una organización entrega datos a otra que pasa a tratarlos como responsable para la finalidad correspondiente |
¿Un Tribunal de Familia es un encargado del colegio?
No por recibir información del establecimiento. No está tratando esos datos para prestar al colegio un servicio bajo sus instrucciones.
¿Compartir datos con otra organización siempre requiere consentimiento?
No necesariamente. La propia ley contempla casos de cesión sin consentimiento, entre ellos cuando la cesión está dispuesta por la ley (art. 15). Además, pueden existir normas sectoriales que regulen determinadas comunicaciones de información.
¿Puede una misma organización ser responsable y encargado?
Sí. El rol se determina según el tratamiento que realiza una organización, no mediante una etiqueta permanente. Una empresa puede actuar como encargada respecto de unos datos y como responsable respecto de otros.
Kimche, por ejemplo, puede actuar como encargado cuando procesa por cuenta de un colegio las calificaciones de Martina. Pero cuando trata datos de sus propios trabajadores, proveedores o contactos comerciales para finalidades que determina la propia empresa, actúa como responsable de esos tratamientos.
¿Qué debería revisar un colegio con sus plataformas?
El colegio no necesita administrar la infraestructura tecnológica de sus proveedores, pero sí debe entender qué papel cumplen respecto de sus datos. Antes de diciembre de 2026 conviene tener identificadas las principales relaciones entre responsable y encargado.
| Pregunta | Ejemplo concreto |
|---|---|
| ¿Quién decide para qué se tratan los datos? | El colegio determina que necesita registrar asistencia |
| ¿Quién los trata por nuestra cuenta? | La plataforma Kimche procesa esos registros para prestar el servicio |
| ¿Existe un encargo contractual? | El contrato de Kimche con el Establecimiento regula finalidad, duración, datos y obligaciones |
| ¿Existen tratamientos delegados? | Proveedores tecnológicos de Kimche procesan datos escolares |
| ¿A quién comunicamos datos? | Tribunales u organismos públicos cuando corresponde |
| ¿Qué ocurre al terminar el encargo? | Los datos se devuelven o suprimen conforme a la relación establecida |
Contratar tecnología no elimina las obligaciones del colegio, pero tampoco significa que toda la responsabilidad recaiga sobre él. La nueva ley distribuye obligaciones entre responsables y encargados y exige que esa relación esté claramente definida.
Seguir leyendo
- Qué debe hacer un colegio para cumplir con la protección de datos
- Filtración de datos en un colegio: qué hacer y cuándo avisar
Esta página es parte de la guía completa de la Ley de Protección de Datos Personales en colegios.
Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Contenido informativo; no constituye asesoría legal.
PRODUCTOS
Descubre nuestros módulos
Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.
