Un colegio trabaja todos los días con nombres, RUT, asistencia, calificaciones, fotografías, información PIE, antecedentes de salud y datos de apoderados y funcionarios. Desde el 1 de diciembre de 2026, la Ley N° 19.628, modificada por la Ley N° 21.719 y renombrada Ley sobre Protección de Datos Personales, establece un marco nuevo para proteger toda esa información.
Esta guía reúne lo que un equipo directivo o un sostenedor necesita saber para llegar preparado: qué cambia, qué obligaciones aparecen, qué derechos pueden ejercer las familias, qué exigirle a los proveedores tecnológicos, qué se arriesga por incumplir y por dónde empezar.
Índice
- ¿Qué es la Ley 21.719 y qué cambia para un colegio?
- Fechas, alcance y a quién obliga
- Los ocho principios que ordenan cada decisión
- El lenguaje de la ley: seis conceptos imprescindibles
- Las ocho áreas que un colegio debe cubrir
- Qué arriesga un colegio que no cumple
- Quién fiscaliza: la Agencia de Protección de Datos
- Los plazos que el colegio tendrá que cumplir
- Por dónde empezar antes de diciembre de 2026
- Preguntas frecuentes
¿Qué es la Ley 21.719 y qué cambia para un colegio?
La Ley N° 21.719 no crea una norma desde cero: modifica profundamente la Ley N° 19.628, vigente desde 1999, y la transforma en la Ley sobre Protección de Datos Personales. El cambio de fondo es que la protección de datos deja de ser una declaración general y pasa a ser un conjunto de obligaciones concretas, exigibles y fiscalizables por una Agencia de Protección de Datos Personales.
Para un establecimiento educacional el giro es práctico. Antes bastaba con no hacer un uso abiertamente indebido de la información. Ahora el colegio debe saber qué datos tiene, para qué los usa, qué lo habilita a usarlos, quién puede acceder a ellos, cuánto tiempo los conserva y cómo los protege, y debe poder demostrarlo.
Conviene detenerse en esa última parte. El artículo 14 establece que el responsable debe poder acreditar que sus tratamientos son lícitos. La carga de la prueba se invierte respecto de la práctica habitual: no se trata de que alguien demuestre que el colegio hizo algo indebido, sino de que el colegio pueda mostrar por qué lo que hace está permitido. Eso convierte el cumplimiento en algo documental, no solamente en una intención.
Pensemos en Martina, estudiante de 7° básico. En un día normal queda registrada su asistencia, un profesor ingresa una calificación, enfermería anota una atención por su alergia y el equipo de convivencia realiza una entrevista. Los cuatro registros son datos personales de la misma estudiante, pero no tienen la misma naturaleza, ni la misma finalidad, ni la misma base legal, ni deberían tener las mismas personas con acceso. Esa es la idea central de toda la ley.
La consecuencia organizacional es que la protección de datos deja de ser un tema del área informática. Quien decide qué campos tiene una ficha de matrícula, quién puede ver el registro de enfermería o cuánto tiempo se guarda una entrevista de convivencia está tomando decisiones de cumplimiento, aunque no lo sepa. Por eso la conversación involucra a dirección, UTP, convivencia, PIE, inspectoría y administración, y no solamente al proveedor del software.
Fechas, alcance y a quién obliga
| Norma | Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales |
| Entrada en vigencia | 1 de diciembre de 2026 |
| A quién aplica | A toda organización que trate datos personales, incluidos establecimientos educacionales de cualquier dependencia y sus sostenedores |
| Qué datos cubre | Los de estudiantes, apoderados, docentes, asistentes de la educación y cualquier persona cuya información trate el colegio |
| Soporte | Digital y también en papel: una ficha, una carpeta o una planilla quedan igualmente alcanzadas |
| Fiscaliza | La Agencia de Protección de Datos Personales |
Un punto que suele sorprender: la ley no regula solamente las bases de datos digitales. Regula el tratamiento de datos personales. Una planilla Excel con antecedentes de estudiantes, un archivador de fichas o un formulario en papel forman parte del mismo universo que la plataforma de gestión escolar.
Otro punto que conviene aclarar temprano: la ley alcanza también los datos de quienes trabajan en el establecimiento. Las fichas del personal, las licencias médicas, las evaluaciones de desempeño y los datos bancarios para el pago de remuneraciones son datos personales, y algunos de ellos son sensibles. Un colegio que solamente revise los datos de estudiantes deja fuera una parte importante de lo que trata.
Sobre quién responde, la distinción relevante es entre el sostenedor y el establecimiento. La ley define al responsable como la persona natural o jurídica que decide los fines y medios del tratamiento. En la mayoría de los casos esa figura será la entidad sostenedora, no personalmente el director ni el establecimiento como unidad. Esto importa porque las obligaciones, y también las sanciones, recaen sobre el responsable.
Los ocho principios que ordenan cada decisión
El artículo 3 establece ocho principios que acompañan al tratamiento durante todo su ciclo de vida. No son declaraciones abstractas: funcionan como una lista de preguntas que un colegio puede hacerse antes de implementar cualquier registro nuevo.
| Principio | Pregunta práctica para el colegio |
|---|---|
| Licitud y lealtad | ¿Estamos habilitados para realizar este tratamiento? |
| Finalidad | ¿Para qué recopilamos y utilizamos estos datos? |
| Proporcionalidad | ¿Necesitamos realmente todos estos datos y por cuánto tiempo? |
| Calidad | ¿La información es exacta, completa, actual y pertinente? |
| Responsabilidad | ¿Podemos hacernos cargo y demostrar que cumplimos? |
| Seguridad | ¿Cómo evitamos accesos, pérdidas o filtraciones? |
| Transparencia e información | ¿Las personas pueden saber cómo tratamos sus datos? |
| Confidencialidad | ¿Acceden solamente quienes corresponde? |
Los principios no se aplican de a uno. Sirven mejor cuando se recorren juntos sobre un caso concreto. Supongamos que el colegio quiere crear una ficha de salud para actuar frente a emergencias.
Finalidad obliga a escribir para qué sirve la ficha antes de diseñarla: atender una emergencia durante la jornada. Proporcionalidad descarta pedir el historial médico completo cuando basta con alergias, condiciones relevantes y un contacto. Calidad exige un mecanismo para que ese contacto se mantenga actualizado, porque un teléfono viejo hace inútil toda la ficha. Confidencialidad obliga a decidir si el acceso lo tiene enfermería, el profesor jefe o todo el cuerpo docente. Seguridad pregunta qué pasa si esa ficha se envía al apoderado equivocado. Transparencia exige que la familia pueda saber que esa ficha existe y para qué se usa. Y responsabilidad cierra el círculo: el colegio debe poder mostrar que pensó todo lo anterior.
Dos de estos principios cambian especialmente la práctica habitual. El de proporcionalidad alcanza la conservación: los datos se mantienen el tiempo necesario para cumplir su fin y luego deben suprimirse o anonimizarse, salvo que exista autorización legal o consentimiento para conservarlos más. Y el de finalidad impide asumir que tener un dato autoriza a usarlo para cualquier propósito nuevo que aparezca después.
Si un colegio quiere incorporar un nuevo registro de salud, estas ocho preguntas resuelven la mayor parte de las dudas antes de implementarlo. Profundizamos en cada una en qué debe hacer un colegio para cumplir con la protección de datos.
El lenguaje de la ley: seis conceptos imprescindibles
| Concepto | Qué significa | En el colegio |
|---|---|---|
| Dato personal | Cualquier información vinculada a una persona identificada o identificable | Nombre, RUT, asistencia, calificaciones, anotaciones, fotografías |
| Dato sensible | El que revela características o circunstancias privadas y tiene reglas especiales | Salud, diagnósticos, situación socioeconómica, datos biométricos |
| Titular | La persona a quien se refieren los datos | Martina es titular de sus calificaciones, no su apoderado |
| Tratamiento | Cualquier operación sobre datos, automatizada o no | Pasar asistencia, guardar una nota, actualizar un teléfono |
| Responsable | Quien decide los fines y medios del tratamiento | El colegio o el sostenedor |
| Encargado | Quien trata datos por cuenta del responsable | El proveedor del libro de clases digital |
De estas seis definiciones, dos generan casi todas las confusiones prácticas.
La primera es quién es el titular. En un colegio la intuición dice que el apoderado es el dueño de la información de su hijo, y no es así: el titular es siempre el estudiante, porque los datos se refieren a él. El apoderado puede ejercer derechos en su representación cuando corresponda, pero esa es una facultad de representación, no una titularidad. La diferencia se vuelve concreta cuando dos apoderados separados piden cosas distintas sobre el mismo estudiante.
La segunda es la distinción entre responsable y encargado, que es la que más consecuencias tiene y volveremos sobre ella más abajo. El resto de las definiciones (base de datos, consentimiento, anonimización, seudonimización y elaboración de perfiles) las revisamos en detalle en qué es un dato personal en un colegio y cuándo es sensible.
Las ocho áreas que un colegio debe cubrir
El cumplimiento no es una tarea única sino ocho frentes distintos. Cada uno tiene su propia guía en detalle.
1. Qué información protege la ley
No toda la información de un estudiante es sensible, y no todo dato sensible exige consentimiento. Una calificación y una alergia son ambas datos personales de Martina, pero se rigen por reglas distintas. Entender esa diferencia es lo que permite decidir bien todo lo demás: qué permisos poner, qué se puede compartir y qué exige mayor cuidado.
El error más frecuente es el inverso al que se espera: no es tratar como corriente un dato sensible, sino tratar como sensible todo lo que suena delicado. Una anotación negativa incomoda, pero no pertenece a ninguna de las categorías sensibles que define la ley. Confundirlas lleva a poner candados donde no corresponde y a dejar sin protección lo que sí la necesita, como un diagnóstico del equipo PIE.
→ Qué es un dato personal en un colegio (y cuándo es sensible)
2. Qué obligaciones asume el colegio
Quien actúa como responsable debe cumplir obligaciones durante todo el tratamiento y acreditar la licitud de lo que hace (art. 14). Eso incluye saber qué datos mantiene y para qué, informar a las familias, definir quién accede a cada tipo de información, proteger los datos desde el diseño y establecer plazos de conservación. Tener una política de privacidad publicada no equivale a cumplir.
La obligación que suele tomar por sorpresa es la del artículo 14 ter: mantener permanentemente a disposición del público información sobre qué datos trata, con qué finalidad, con qué fundamento, a quién se comunican, cuánto tiempo se conservan y por qué canal se ejercen los derechos. No basta con tenerlo claro internamente. Y hay una obligación previa que casi ningún establecimiento tiene resuelta: saber qué tratamientos existen realmente, incluidas las planillas y formularios que cada área creó por su cuenta.
→ Qué debe hacer un colegio para cumplir con la protección de datos
3. Con qué permiso se tratan los datos
Es la confusión más frecuente: creer que la ley obliga a pedir consentimiento para todo. No es así. El consentimiento es una fuente de licitud, pero la ley contempla otras situaciones en que los datos pueden tratarse sin él (arts. 12 y 13). Un colegio no necesita autorización del apoderado para registrar la asistencia, porque ese tratamiento se funda en otra habilitación. La pregunta correcta no es “¿tenemos consentimiento?” sino “¿qué habilita este tratamiento en particular?”.
Pedir consentimiento de más no es una posición conservadora, es un error con consecuencias. Si el colegio funda en el consentimiento un tratamiento que en realidad responde a una obligación legal, le está diciendo a la familia que puede revocarlo. Cuando lo revoque, el establecimiento quedará en una posición incómoda: seguirá obligado a registrar la asistencia, pero habrá declarado que dependía de una autorización que ya no tiene.
→ ¿Necesita el colegio consentimiento para tratar datos de estudiantes?
4. Qué pueden pedir las personas
La ley reconoce a los titulares derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo (art. 4), además de reglas especiales cuando una decisión la toma un sistema automatizado. Son personales, intransferibles e irrenunciables, pero tienen límites: nadie puede exigir cualquier cosa sobre sus datos. Y el colegio debe contar con mecanismos sencillos para recibir esas solicitudes y responderlas (arts. 10 y 11).
Lo que cambia en la práctica no es tanto el catálogo de derechos como la obligación de tener un procedimiento. Una solicitud no puede quedar dando vueltas entre secretaría, inspectoría y dirección hasta que alguien se acuerde. Alguien debe recibirla, verificar quién la presenta, identificar qué derecho se está ejerciendo, resolver si corresponde y responder por escrito dentro de plazo, dejando respaldo de lo que se respondió y cuándo.
→ Derechos sobre los datos: qué pueden pedir estudiantes y apoderados
5. Quién responde cuando hay un proveedor de por medio
Un colegio usa libro de clases digital, sistemas de matrícula y otros servicios que procesan información de sus estudiantes. La ley distingue los roles: el colegio decide para qué se tratan los datos y por eso es el responsable; la plataforma los trata por su cuenta y es el encargado (art. 15 bis). Contratar un software no traspasa la responsabilidad, y la relación debe formalizarse. Esta es el área con consecuencias contractuales más directas.
Formalizar significa algo concreto: un contrato que defina el objeto del encargo, su duración, la finalidad, los tipos de datos, las categorías de titulares y las obligaciones de cada parte. También conviene resolver antes dos cosas que suelen quedar en el aire: qué pasa con los datos cuando termina el servicio, porque el encargado debe suprimirlos o devolverlos, y si el proveedor puede delegar el tratamiento en terceros, lo que requiere autorización del responsable.
→ Qué debe exigirle un colegio a su proveedor tecnológico
6. Los datos más delicados: PIE, salud y convivencia
Además de las reglas para datos sensibles, la ley impone a los establecimientos una obligación especial de proteger la información personal de niños, niñas y adolescentes (art. 16 quáter). Considera niños a los menores de 14 años y adolescentes a quienes tienen entre 14 y 18, y exige atender siempre a su interés superior. Aquí entran los antecedentes del equipo PIE, los registros de enfermería, las atenciones psicológicas y las entrevistas de convivencia.
Es el área de mayor exposición del colegio, y por una razón que conviene ver con claridad: es la única donde se cruzan las dos categorías que la ley protege con más fuerza, los datos sensibles y los de niños, niñas y adolescentes. Casi todo lo que trata un establecimiento sobre un estudiante de 12 años con diagnóstico PIE cae en esa intersección. Como veremos en el apartado de sanciones, es también donde las infracciones se califican más severamente.
→ Datos sensibles en el colegio: PIE, salud, psicología y convivencia
7. Qué hacer cuando algo sale mal
Una filtración no requiere un hackeo. La ley contempla también la pérdida, alteración, comunicación o acceso no autorizado a datos (art. 14 sexies). El caso realista es mucho más cotidiano: la encargada PIE envía por error a otro apoderado un documento con antecedentes de Martina. No falló ningún sistema, pero una persona que no correspondía recibió información personal. El colegio necesita saber qué hacer, qué registrar y cuándo avisar a la Agencia o a las familias.
Dos detalles del artículo 14 sexies conviene tener presentes desde ya. El reporte a la Agencia procede sin dilaciones indebidas, lo que hace inviable descubrir el incidente un viernes y empezar a analizarlo el lunes. Y cuando la vulneración afecta datos sensibles o datos de menores de 14 años, el colegio debe comunicarla también a los titulares afectados, no solamente a la Agencia. Eso exige tener resuelto de antemano quién decide y quién redacta esa comunicación.
→ Filtración de datos en un colegio: qué hacer y cuándo avisar
8. Cómo organizar el cumplimiento
La ley exige adoptar acciones destinadas a prevenir infracciones (art. 48), pero el programa formal de cumplimiento es voluntario (art. 49). Un colegio puede prevenir con controles de acceso, procedimientos internos, capacitación y protocolos, sin montar una estructura pesada. Aquí también entra la Evaluación de Impacto en Protección de Datos (EIPD), obligatoria antes de iniciar tratamientos de alto riesgo (art. 15 ter), y la figura del delegado de protección de datos.
La distinción entre lo obligatorio y lo voluntario es la que más confusión genera. Prevenir infracciones es obligatorio; adoptar el modelo formal del artículo 49 no lo es. Un establecimiento puede cumplir perfectamente con controles de acceso bien definidos, un procedimiento para responder derechos y un protocolo de incidentes, sin designar delegado ni certificar nada. Adoptar el modelo formal es un paso adicional que sirve para estructurar y acreditar el cumplimiento de manera más sistemática.
→ Cómo prepara un colegio su programa de protección de datos
Qué arriesga un colegio que no cumple
La Ley N° 21.719 incorpora un régimen sancionatorio que antes no existía. Las infracciones se clasifican en leves, graves y gravísimas según su gravedad (art. 34), y cada categoría tiene un tope de multa expresado en unidades tributarias mensuales (art. 35).
| Categoría | Sanción máxima | Referencia aproximada |
|---|---|---|
| Leve | Amonestación escrita o multa de hasta 5.000 UTM | Del orden de $358 millones |
| Grave | Multa de hasta 10.000 UTM | Del orden de $716 millones |
| Gravísima | Multa de hasta 20.000 UTM | Del orden de $1.433 millones |
Son topes, no montos fijos. El artículo 37 establece que la Agencia determina el monto considerando circunstancias atenuantes y agravantes, de modo que una infracción leve en un establecimiento pequeño no se sanciona igual que una gravísima y reiterada en un sostenedor con decenas de colegios.
Más útil que los montos es ver qué conductas caen en cada categoría, porque varias describen situaciones perfectamente reconocibles en la operación escolar.
| Categoría | Situaciones que un colegio puede reconocer |
|---|---|
| Leve | Incumplir el deber de información y transparencia del art. 14 ter. No tener un canal actualizado y operativo para que los titulares ejerzan sus derechos. Omitir la respuesta, responderla incompleta o fuera de plazo. |
| Grave | Tratar datos sin fundamento que otorgue licitud, o para una finalidad distinta de aquella para la que fueron recolectados. Tratar datos de niños, niñas y adolescentes infringiendo las normas de la ley. Vulnerar el deber de secreto del art. 14 bis. Incumplir las obligaciones de seguridad del art. 14 quinquies. Omitir las comunicaciones o registros ante una vulneración. Impedir u obstaculizar el ejercicio de los derechos del titular. |
| Gravísima | Tratar, comunicar o ceder a sabiendas datos sensibles o de niños, niñas y adolescentes en contravención a la ley. Vulnerar el deber de secreto sobre datos sensibles. Omitir deliberadamente la comunicación de una vulneración de seguridad. Incumplir una resolución de la Agencia que resuelve el reclamo de un titular. |
Vale la pena detenerse en un punto: tratar datos de niños, niñas y adolescentes infringiendo las normas de la ley es una infracción grave por sí sola, y pasa a gravísima cuando se hace a sabiendas o involucra datos sensibles. Para un colegio, cuya operación consiste casi enteramente en tratar datos de menores de edad, esto significa que el estándar aplicable es el más exigente del régimen.
Recargos, reincidencia y suspensión
La sanción no termina en la multa. El artículo 35 agrega tres agravantes que conviene conocer.
- Al sancionar, la Agencia indica las medidas para subsanar la causa. Deben adoptarse en un plazo no mayor a 60 días; de lo contrario se aplica un recargo de 50% sobre la multa.
- En caso de reincidencia, la Agencia puede aplicar una multa de hasta tres veces el monto asignado a la infracción.
- Para organizaciones que no califican como empresas de menor tamaño y reinciden en infracciones graves o gravísimas, la multa puede alcanzar el 2% o el 4% de los ingresos anuales, respectivamente.
Existe además una sanción accesoria. Ante infracciones gravísimas reiteradas dentro de 24 meses, la Agencia puede disponer la suspensión de las operaciones de tratamiento hasta por 30 días, prorrogables si no se cumple lo ordenado (art. 38). La suspensión puede ser parcial o total y no afecta el almacenamiento de los datos. Para un establecimiento educacional, cuya operación diaria depende de tratar datos, es una medida con consecuencias evidentes.
Por último, hay una consecuencia que no es económica. El artículo 39 crea el Registro Nacional de Sanciones y Cumplimiento, administrado por la Agencia, público y de acceso gratuito. Para un colegio que compite por matrícula, figurar en un registro público de sanciones por mal manejo de datos de estudiantes puede pesar más que la multa.
Quién fiscaliza: la Agencia de Protección de Datos
La ley crea la Agencia de Protección de Datos Personales (art. 30), que es la novedad institucional más importante del nuevo marco. Hasta ahora la Ley N° 19.628 no tenía un organismo que la hiciera cumplir, y esa es buena parte de la razón por la que en la práctica se aplicaba poco.
La Agencia fiscaliza, dicta instrucciones generales, resuelve reclamaciones de titulares y aplica sanciones. Para un colegio hay dos vías por las que puede aparecer: un procedimiento de tutela de derechos, cuando un titular reclama porque el establecimiento no respondió o denegó su solicitud (art. 41), y un procedimiento por infracción de ley (art. 42).
Hay un punto que conviene no perder de vista al planificar. Varias definiciones operativas quedaron entregadas a la Agencia y todavía no existen: los estándares diferenciados de cumplimiento según el tamaño y la actividad de la organización (art. 14 septies), la forma de autenticar la identidad de quien ejerce un derecho, y la lista orientativa de tratamientos que requieren o no una evaluación de impacto. Prepararse hoy no significa esperar esas instrucciones, porque las obligaciones de fondo ya están en la ley, pero sí conviene revisar los procedimientos internos cuando se publiquen.
Los plazos que el colegio tendrá que cumplir
Buena parte de las infracciones leves y graves se relacionan con responder tarde o no responder. Estos son los plazos concretos que el establecimiento debe tener internalizados.
| Situación | Plazo | Artículo |
|---|---|---|
| Responder una solicitud de acceso, rectificación, supresión, oposición o portabilidad | 30 días corridos desde su ingreso | art. 11 |
| Prórroga de ese plazo | Una sola vez, hasta 30 días corridos más | art. 11 |
| Responder una solicitud de bloqueo temporal | 2 días hábiles | art. 11 |
| Reportar una vulneración de seguridad a la Agencia | Sin dilaciones indebidas, por los medios más expeditos | art. 14 sexies |
| Plazo del titular para reclamar ante la Agencia | 30 días hábiles | art. 11 |
| Subsanar las causas que motivaron una sanción | 60 días, o recargo de 50% sobre la multa | art. 35 |
El plazo de dos días hábiles para el bloqueo temporal es el más exigente y el más fácil de incumplir. Se activa cuando un titular pide que se suspenda el uso de un dato mientras se resuelve su solicitud de rectificación, supresión u oposición. Un colegio sin un canal definido difícilmente se enterará a tiempo si la solicitud llegó al correo de un profesor jefe.
Por dónde empezar antes de diciembre de 2026
No hace falta comenzar creando decenas de políticas. Un establecimiento puede partir identificando sus principales riesgos y ordenando los procesos que ya usa todos los días.
| Paso | Pregunta concreta |
|---|---|
| 1. Identificar los tratamientos | ¿Qué datos tenemos y dónde están, incluyendo planillas y formularios propios? |
| 2. Revisar finalidades y licitud | ¿Para qué los necesitamos y qué habilita cada tratamiento? |
| 3. Identificar los datos sensibles | ¿Dónde tenemos salud, PIE u otra información especialmente protegida? |
| 4. Ordenar los accesos | ¿Quién necesita realmente ver cada tipo de información? |
| 5. Revisar a los proveedores | ¿Qué plataformas tratan datos por nuestra cuenta y bajo qué acuerdo? |
| 6. Definir cómo se informa | ¿Saben las familias qué datos tratamos y para qué? |
| 7. Preparar los procedimientos | ¿Cómo recibimos una solicitud y qué hacemos ante un incidente? |
Los primeros cuatro pasos no requieren asesoría externa: son una conversación entre dirección, UTP, convivencia, PIE y administración sobre qué información maneja cada área. Ese inventario es la base de todo lo demás.
Si hubiera que elegir por dónde partir, la respuesta es el paso 1. Todos los demás dependen de él: no se puede definir accesos, plazos de conservación ni obligaciones de información sobre tratamientos que nadie ha listado. Y es también el paso que más sorprende, porque casi siempre aparecen registros que la dirección no sabía que existían, normalmente planillas creadas por un área para resolver un problema puntual.
Los pasos 6 y 7 son los que más conviene no dejar para el final. Son, respectivamente, el deber de información del artículo 14 ter y el procedimiento para responder derechos e incidentes: las dos áreas donde las infracciones se configuran por omisión y contra reloj, sin que nadie tenga que hacer nada malo.
Un Libro Digital que cumple con toda la normativa
Cuando un colegio contrata una plataforma escolar, esa plataforma pasa a ser su encargado del tratamiento. El Libro Digital responde por lo que le corresponde, y también por el resto de la normativa escolar:
- Estándar de Datos
- Decreto 67
- Circular N°30
- Circular N°700
- Protección de Datos (Ley 21.719)
- Ley de Convivencia (Ley 21.809)
Preguntas frecuentes sobre la Ley 21.719 en colegios
¿Desde cuándo deben cumplir los colegios con la Ley 21.719?
Desde el 1 de diciembre de 2026. En esa fecha entran en vigencia las modificaciones que la Ley N° 21.719 introduce a la Ley N° 19.628, que pasa a denominarse Ley sobre Protección de Datos Personales.
¿El colegio necesita consentimiento para tratar los datos de un estudiante?
No para todo. El consentimiento es una de las fuentes de licitud, pero la ley contempla otras situaciones en que los datos pueden tratarse sin él, por ejemplo cuando el tratamiento es necesario para cumplir una obligación legal del establecimiento. La pregunta correcta no es si hay consentimiento, sino qué habilita cada tratamiento en particular.
¿El apoderado es titular de los datos de su hijo?
No. El titular es siempre el estudiante, porque los datos se refieren a él. Que un apoderado pueda representarlo para determinados efectos no lo convierte en titular de esa información.
Si contratamos una plataforma, ¿deja el colegio de ser responsable?
No. El colegio decide para qué se tratan los datos y por eso mantiene la calidad de responsable, aunque use a un tercero para realizar materialmente el tratamiento. La plataforma actúa como encargado y responde por las obligaciones que le corresponden en ese rol.
¿Responde el sostenedor o personalmente el director?
La ley define al responsable como la persona natural o jurídica que decide los fines y medios del tratamiento. En un establecimiento educacional esa figura será normalmente la entidad sostenedora, y no personalmente su director. Las obligaciones y las sanciones recaen sobre el responsable.
¿Cuánto puede multar la Agencia a un colegio?
Depende de la gravedad. Las infracciones leves se sancionan con amonestación escrita o multa de hasta 5.000 UTM, las graves con hasta 10.000 UTM y las gravísimas con hasta 20.000 UTM (art. 35). Son topes y no montos fijos: la Agencia determina el monto considerando circunstancias atenuantes y agravantes. En caso de reincidencia la multa puede triplicarse.
¿Qué pasa si el colegio no responde una solicitud a tiempo?
Omitir la respuesta, responderla de forma incompleta o fuera de plazo es una infracción leve (art. 34 bis). Además, vencido el plazo sin respuesta el titular puede reclamar directamente ante la Agencia. Impedir u obstaculizar el ejercicio del derecho es más grave: constituye una infracción grave.
¿Una planilla Excel también queda alcanzada por la ley?
Sí. La ley no regula solamente las bases de datos digitales, sino el tratamiento de datos personales. Una planilla organizada con información de estudiantes, una ficha en papel o un archivador con antecedentes forman parte del mismo universo que la plataforma de gestión escolar.
¿Todos los colegios deben tener un delegado de protección de datos?
No. La ley exige adoptar acciones destinadas a prevenir infracciones, pero el modelo formal de prevención, que incluye el delegado, es voluntario. Un establecimiento puede prevenir infracciones mediante controles de acceso, procedimientos internos, capacitación y protocolos frente a incidentes.
¿Cuándo hay que informar una filtración a la Agencia?
No todos los incidentes deben informarse. Corresponde evaluar qué datos se vieron afectados, a cuántas personas involucra y qué riesgo genera para sus derechos. Un envío de correo al apoderado equivocado y una filtración masiva de antecedentes de salud no se tratan igual, pero ambos deben quedar documentados internamente.
Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Esta guía tiene fines informativos y no constituye asesoría legal; varias materias quedarán precisadas por la Agencia de Protección de Datos Personales.
PRODUCTOS
Descubre nuestros módulos
Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.
