Índice
- ¿Qué se considera una vulneración de seguridad?
- ¿Qué debería hacer el colegio cuando descubre un incidente?
- ¿Todos los incidentes deben informarse a la Agencia?
- ¿Cuándo hay que avisar también a los estudiantes o sus familias?
- ¿Cómo debería prepararse un colegio antes de que ocurra una filtración?
Una filtración de datos no ocurre solamente cuando un hacker entra a los sistemas del colegio. La nueva Ley de Protección de Datos Personales también contempla la pérdida, alteración, comunicación o acceso no autorizado a datos y establece obligaciones específicas para responder a estas situaciones (art. 14 sexies).
Imaginemos algo mucho más cotidiano. La encargada PIE necesita enviar al apoderado de Martina un documento con antecedentes de su proceso de apoyo. Al escribir el correo selecciona por error a otro apoderado y le envía el archivo.
No hubo un ataque informático ni falló la plataforma. Sin embargo, una persona que no correspondía recibió información personal de Martina. ¿Qué debería hacer el colegio?
¿Qué se considera una vulneración de seguridad?
Una vulneración puede ocurrir cuando los datos son destruidos, filtrados, perdidos o alterados, accidental o ilícitamente, o cuando son comunicados o accedidos por personas no autorizadas (art. 14 sexies). En un colegio, esto puede producirse por un ataque informático, pero también por errores humanos o problemas en la gestión de los accesos.
Por eso, el concepto es bastante más amplio que una “filtración” entendida como una base de datos publicada en internet.
| ¿Qué ocurrió? | Ejemplo concreto en un colegio |
|---|---|
| Acceso no autorizado | Un profesor descubre que puede consultar registros psicológicos de estudiantes con los que no trabaja |
| Comunicación no autorizada | El informe PIE de Martina llega por correo al apoderado de otro estudiante |
| Pérdida de información | Se extravía un notebook que contiene archivos con datos de estudiantes |
| Alteración de datos | Una persona utiliza las credenciales de otro funcionario y modifica calificaciones |
| Destrucción de información | Se eliminan accidentalmente registros escolares que el establecimiento necesitaba mantener |
¿Tiene que existir un hackeo para que exista una vulneración?
No. Una equivocación al enviar un correo, un permiso de acceso mal configurado o la pérdida de un dispositivo también pueden provocar una vulneración.
¿Enviar información al apoderado equivocado cuenta?
Así es. Si el correo contiene datos personales y éstos son comunicados a una persona que no estaba autorizada para recibirlos, estamos ante una situación contemplada por el artículo 14 sexies.
¿Qué debería hacer el colegio cuando descubre un incidente?
El colegio necesita contener el problema y determinar qué ocurrió, qué información estuvo involucrada y a quiénes afectó. Esa evaluación permitirá adoptar medidas y determinar si corresponde efectuar las comunicaciones exigidas por la ley.
Volvamos al correo de Martina. No basta con decir “fue un error” y continuar trabajando. El establecimiento debería identificar exactamente qué documento se envió, qué información contenía, quién lo recibió y qué medidas puede adoptar para limitar sus consecuencias.
| Pregunta inmediata | Caso de Martina |
|---|---|
| ¿Qué ocurrió? | Se envió un informe al destinatario equivocado |
| ¿Qué datos estaban involucrados? | Identificación y antecedentes PIE de Martina |
| ¿A quién afectó? | A Martina |
| ¿Quién recibió los datos? | El apoderado de otro estudiante |
| ¿Podemos contener el incidente? | Contactar al receptor y adoptar medidas para evitar que la información continúe circulando |
| ¿Qué consecuencias puede tener? | Dependerá de la naturaleza y sensibilidad de los antecedentes revelados |
Como buena práctica, el colegio debería tener un procedimiento interno para que un funcionario que detecta una situación así sepa inmediatamente a quién reportarla. Ocultar un error por temor a una sanción interna puede dificultar enormemente su contención.
¿El profesor que cometió el error debería resolverlo por su cuenta?
No es recomendable. El establecimiento debería tener una persona o equipo responsable de coordinar estos casos y determinar las acciones que correspondan.
¿Hay que dejar registro de lo ocurrido?
Cuando una vulneración debe comunicarse conforme al artículo 14 sexies, el responsable debe registrar esa comunicación, incluyendo la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de titulares afectados y las medidas adoptadas.
¿Todos los incidentes deben informarse a la Agencia?
No. La ley exige reportar a la Agencia las vulneraciones cuando exista un riesgo razonable para los derechos y libertades de los titulares (art. 14 sexies). Por lo tanto, descubrir cualquier error relacionado con datos no significa automáticamente que deba realizarse la misma comunicación.
La evaluación dependerá del caso. No es lo mismo enviar accidentalmente una lista con nombres que exponer diagnósticos de salud, registros psicológicos o información de convivencia particularmente delicada. Tampoco es equivalente un archivo al que accedió una sola persona durante algunos minutos que una base de datos publicada en internet.
La ley exige realizar el reporte por los medios más expeditos posibles y sin dilaciones indebidas. No establece en este artículo un número fijo de horas para todos los casos.
¿Si envío un correo equivocado tengo que informar siempre a la Agencia?
No automáticamente. Debe evaluarse si la vulneración genera un riesgo razonable para los derechos y libertades de las personas afectadas.
¿Podemos esperar varios días para entender bien qué ocurrió?
La ley exige actuar sin dilaciones indebidas cuando corresponde reportar. Por eso es importante que el colegio pueda investigar y escalar internamente el incidente con rapidez.
¿Cuándo hay que avisar también a los estudiantes o sus familias?
Hay casos en que informar a la Agencia no es suficiente y el responsable debe comunicar la vulneración directamente a las personas afectadas. El artículo 14 sexies establece esta obligación cuando las vulneraciones se refieren a datos sensibles, datos de niños y niñas menores de 14 años o determinados datos relativos a obligaciones económicas, financieras, bancarias o comerciales.
Esto tiene una aplicación especialmente relevante en colegios.
Si Martina tiene 12 años y una vulneración afecta sus datos personales, estamos ante información de una niña menor de 14 años. Si Martina tiene 15 años y el archivo expuesto contiene un diagnóstico de salud, estamos ante datos sensibles. Son hipótesis que el establecimiento debe considerar al determinar sus obligaciones de comunicación.
La comunicación debe explicar en un lenguaje claro y sencillo qué datos resultaron afectados, cuáles podrían ser las consecuencias y qué medidas de solución o resguardo se adoptaron. Cuando corresponda, la comunicación se efectúa a través de los representantes del titular (art. 14 sexies).
¿Hay que avisar siempre a todas las familias del colegio?
No. La obligación se refiere a los titulares afectados por la vulneración. Un incidente que afecta a Martina no implica automáticamente informar a las familias de otros mil estudiantes.
¿Qué ocurre si no es posible contactar individualmente a las personas afectadas?
La ley establece que, si no es posible realizar la notificación a cada titular afectado, debe difundirse o publicarse un aviso en un medio de comunicación social masivo y de alcance nacional (art. 14 sexies).
¿Cómo debería prepararse un colegio antes de que ocurra una filtración?
El peor momento para diseñar un procedimiento de respuesta es después de descubrir una filtración. Un protocolo sencillo permite que profesores, directivos, administrativos y proveedores sepan qué hacer cuando detectan un problema.
| Antes de que ocurra | En la práctica |
|---|---|
| Definir un canal interno | Un profesor sabe a quién avisar si envió información por error |
| Asignar responsables | Una persona o equipo coordina la respuesta |
| Evaluar los incidentes | Se revisan los datos, personas y posibles consecuencias |
| Coordinar a los proveedores | Las plataformas participan en apoyo al colegio |
| Documentar lo ocurrido | Se registra el incidente y las medidas adoptadas |
| Preparar las comunicaciones | Existe un procedimiento para determinar cuándo informar a la Agencia y a los afectados |
| Corregir la causa | Después del incidente se adoptan medidas para evitar que vuelva a ocurrir |
La ley exige además que el responsable pueda acreditar las medidas de seguridad que tenía implementadas si, después de un incidente, existe una controversia judicial o administrativa (art. 14 quinquies).
Una vulneración no significa automáticamente que el colegio haya incumplido sus obligaciones de seguridad. Los incidentes pueden ocurrir incluso cuando existen medidas adecuadas. Lo que sí cambia con la nueva regulación es que el establecimiento debe estar preparado para detectarlos, gestionarlos y comunicarlos cuando corresponda.
Si mañana el informe PIE de Martina llega al apoderado equivocado, la respuesta no debería empezar con “¿y ahora qué hacemos?”. El colegio debería tener esa respuesta preparada antes de que ocurra.
Seguir leyendo
- Qué debe hacer un colegio para cumplir con la protección de datos
- Quién responde por los datos: colegio, sostenedor y proveedor
- Cómo prepara un colegio su programa de protección de datos
Esta página es parte de la guía completa de la Ley de Protección de Datos Personales en colegios.
Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Contenido informativo; no constituye asesoría legal.
PRODUCTOS
Descubre nuestros módulos
Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.
