Índice
- ¿Para qué puede usar un colegio los datos que recopila?
- ¿Cuántos datos debería pedir un colegio?
- ¿Qué pasa si los datos están incorrectos o desactualizados?
- ¿Quién debería poder ver los datos de un estudiante?
- ¿Qué debe saber una familia sobre el tratamiento de sus datos?
- ¿Quién debe hacerse cargo de que estos principios se cumplan?
- ¿El colegio tiene que saber qué datos trata y para qué?
- ¿Qué debe informar el colegio a estudiantes y familias?
- ¿Todos los funcionarios pueden acceder a todos los datos?
- ¿Cómo debe proteger el colegio los datos?
- ¿Qué significa proteger los datos desde el diseño?
- ¿Puede el colegio guardar los datos para siempre?
- ¿Qué debería tener preparado un colegio para cumplir con la Ley?
Un colegio recopila datos para matricular, registrar asistencia, evaluar aprendizajes, gestionar apoyos y comunicarse con las familias. Desde el 1 de diciembre de 2026, estas actividades deberán observar expresamente los principios que incorpora la Ley N° 19.628 modificada por la Ley N° 21.719 (art. 3).
Los principios sirven para tomar decisiones bastante concretas: ¿necesitamos realmente este dato?, ¿podemos utilizarlo para otra finalidad?, ¿está actualizado?, ¿quién debería verlo? La ley establece ocho principios que acompañan el tratamiento durante todo su ciclo de vida.
| Principio | Pregunta práctica para el colegio |
|---|---|
| Licitud y lealtad | ¿Estamos habilitados para realizar este tratamiento? |
| Finalidad | ¿Para qué recopilamos y utilizamos estos datos? |
| Proporcionalidad | ¿Necesitamos realmente todos estos datos y por cuánto tiempo? |
| Calidad | ¿La información es exacta, completa, actual y pertinente? |
| Responsabilidad | ¿Podemos hacernos cargo y demostrar que cumplimos? |
| Seguridad | ¿Cómo evitamos accesos, pérdidas o filtraciones? |
| Transparencia e información | ¿Las personas pueden saber cómo tratamos sus datos? |
| Confidencialidad | ¿Acceden solamente quienes corresponde? |
¿Para qué puede usar un colegio los datos que recopila?
Los datos deben tratarse de manera lícita y leal y recolectarse para fines específicos, explícitos y lícitos (art. 3). En un colegio, saber por qué se solicita una información es tan relevante como decidir qué información solicitar.
Volvamos a Martina, estudiante de 7° básico. El colegio registra su asistencia para gestionar su trayectoria escolar y cumplir las obligaciones educacionales que correspondan. Ese tratamiento tiene una finalidad concreta. El principio de licitud y lealtad exige, además, que el responsable pueda acreditar que el tratamiento que realiza es lícito.
El principio de finalidad impide asumir que disponer de un dato autoriza a utilizarlo libremente para cualquier propósito. La ley contempla situaciones en que puede existir un tratamiento posterior para una finalidad distinta (por ejemplo, cuando sea compatible con la original, exista una relación contractual que lo justifique, un nuevo consentimiento o lo disponga la ley), por lo que cada caso debe analizarse según sus circunstancias (art. 3).
¿Si el colegio ya tiene un dato puede utilizarlo para otra finalidad?
No automáticamente. Hay que revisar para qué fue recopilado y si el nuevo tratamiento se encuentra dentro de alguna de las hipótesis que permite la ley (art. 3).
¿Todo tratamiento lícito necesita consentimiento?
No. El consentimiento es una fuente de licitud, pero la ley contempla otras, como determinados tratamientos necesarios para cumplir una obligación legal (arts. 12 y 13).
¿Cuántos datos debería pedir un colegio?
El principio de proporcionalidad exige limitar los datos a aquellos estrictamente necesarios, adecuados y pertinentes para la finalidad del tratamiento (art. 3). Que un antecedente pueda ser útil para el colegio no significa, por sí solo, que deba recopilarse.
Imaginemos que el establecimiento prepara una ficha para actuar ante situaciones de salud. Conocer una alergia de Martina puede ser pertinente para una finalidad determinada, pero eso no significa que el colegio deba recopilar todo su historial médico. La pregunta práctica es: ¿necesitamos este dato específico para aquello que queremos hacer?
Este principio también alcanza la conservación. La ley establece que los datos pueden mantenerse durante el tiempo necesario para cumplir sus fines y luego deben suprimirse o anonimizarse, sin perjuicio de las excepciones legales. Mantenerlos durante más tiempo requiere autorización legal o consentimiento del titular (art. 3). En educación esto obliga a mirar también las normas que puedan exigir conservar determinados registros escolares.
¿Podemos pedir información “por si sirve más adelante”?
Esa justificación, por sí sola, no satisface el principio de proporcionalidad. El colegio debe poder relacionar los datos que trata con una finalidad concreta y limitarse a aquellos necesarios, adecuados y pertinentes.
¿Si nuestra plataforma permite crear un campo significa que podemos recopilarlo?
No. Una funcionalidad tecnológica no determina la licitud ni la proporcionalidad del tratamiento. El colegio debe evaluar para qué necesita ese dato y si corresponde tratarlo.
¿Qué pasa si los datos están incorrectos o desactualizados?
El principio de calidad exige que los datos sean exactos, completos, actuales y pertinentes respecto de su procedencia y de las finalidades del tratamiento (art. 3). En un colegio, mantener información incorrecta puede afectar decisiones y procesos cotidianos.
Supongamos que la familia de Martina cambia su teléfono de emergencia y lo informa al establecimiento, pero la ficha mantiene el número antiguo. Tener muchos datos no significa tener buenos datos: la información debe responder adecuadamente a la finalidad para la que se utiliza.
Este principio también se relaciona con los derechos de los titulares. La nueva ley reconoce el derecho a solicitar la rectificación cuando los datos sean inexactos, desactualizados o incompletos (art. 6), algo que abordaremos específicamente en el artículo sobre derechos.
¿El colegio debe revisar permanentemente todos sus datos?
La ley exige que sean exactos, completos, actuales y pertinentes, pero la forma concreta de asegurar su calidad dependerá del tratamiento. Como buena práctica, conviene definir mecanismos de actualización especialmente para información que cambia y sigue siendo utilizada.
¿Qué pasa si una familia informa que un dato está equivocado?
La ley reconoce al titular un derecho de rectificación en las condiciones del artículo 6. El colegio deberá contar con mecanismos para gestionar estas solicitudes.
¿Quién debería poder ver los datos de un estudiante?
Seguridad y confidencialidad exigen proteger los datos y controlar adecuadamente quién accede a ellos (art. 3). Que el colegio necesite una información no significa que todas las personas que trabajan en él necesiten verla.
Un profesor puede necesitar acceder a la asistencia o las calificaciones de Martina para realizar su trabajo. Eso no significa que, por esa sola razón, necesite acceder a todos sus antecedentes psicológicos, de salud o a otros registros sensibles que mantenga el establecimiento.
La seguridad tampoco se reduce a tener una contraseña. El principio exige estándares adecuados frente al tratamiento no autorizado o ilícito y frente a pérdidas, filtraciones, daños accidentales o destrucción. Las medidas deben ser apropiadas para el tratamiento y la naturaleza de los datos (art. 3).
¿Todos los profesores deberían poder acceder a toda la ficha de un estudiante?
No debería asumirse que sí. Los accesos deben analizarse según las funciones que desempeña cada persona y la información que necesita para ellas, considerando además las reglas específicas aplicables a cada tratamiento.
¿Seguridad significa solamente proteger el sistema informático?
No. Incluye medidas técnicas y organizativas. Una planilla con datos sensibles enviada al destinatario equivocado también puede generar un problema de seguridad aunque el sistema tecnológico funcione correctamente.
¿Qué debe saber una familia sobre el tratamiento de sus datos?
El principio de transparencia e información exige que las personas puedan conocer las políticas y prácticas relacionadas con el tratamiento de sus datos (art. 3). Para una familia, la forma en que el colegio utiliza la información no debería ser una caja negra.
La ley exige que las políticas y prácticas estén permanentemente accesibles y disponibles de manera precisa, clara, inequívoca y gratuita. El responsable también debe adoptar medidas para facilitar el acceso a la información necesaria para ejercer los derechos reconocidos por la ley (art. 3).
Esto no significa llenar cada comunicación escolar de lenguaje jurídico. El desafío práctico es entregar información comprensible y accesible. Las obligaciones concretas de transparencia se desarrollan con mayor detalle en el artículo 14 ter y las revisaremos en el artículo dedicado a las obligaciones del responsable.
¿Basta con publicar una política de privacidad en la página web?
No necesariamente. Una política puede ser parte del cumplimiento, pero la ley establece obligaciones de información y transparencia que deben analizarse en su conjunto.
¿Hay que entregar una explicación legal cada vez que un profesor registra asistencia?
No se desprende de este principio que cada operación cotidiana requiera una explicación individual. Lo que sí exige la ley es mantener la información correspondiente accesible y facilitar al titular su conocimiento y el ejercicio de sus derechos.
¿Quién debe hacerse cargo de que estos principios se cumplan?
El principio de responsabilidad establece que quienes realizan tratamiento de datos responden legalmente por el cumplimiento de los principios, obligaciones y deberes que les correspondan (art. 3). Para un colegio, cumplir no consiste simplemente en declarar que protege los datos.
Supongamos que el colegio decide incorporar un nuevo registro de salud para Martina. Los principios permiten ordenar las preguntas antes de implementarlo:
| Principio | Pregunta que debería hacerse el colegio |
|---|---|
| Licitud y lealtad | ¿Qué habilita este tratamiento? |
| Finalidad | ¿Para qué necesitamos esta información? |
| Proporcionalidad | ¿Estamos pidiendo solamente lo necesario y cuánto debemos conservarlo? |
| Calidad | ¿Cómo mantendremos el dato correcto y actualizado? |
| Seguridad | ¿Cómo lo protegeremos? |
| Transparencia | ¿Qué debemos informar sobre su tratamiento? |
| Confidencialidad | ¿Quién realmente necesita acceder? |
| Responsabilidad | ¿Podemos demostrar que estamos cumpliendo estas reglas? |
Los principios funcionan juntos. La pregunta ya no es simplemente si el colegio “puede tener” un dato, sino bajo qué condiciones puede tratarlo durante todo su ciclo de vida.
Esta mirada también cambia la relación con la tecnología. Una plataforma puede ofrecer controles de acceso, mecanismos de seguridad y herramientas para administrar información, pero corresponde analizar qué obligaciones recaen en el establecimiento y cuáles en sus proveedores según el rol que cada uno desempeñe.
¿Tener una política de privacidad significa que el colegio cumple estos principios?
No. La política ayuda especialmente en materia de transparencia, pero los principios también alcanzan cómo se recopilan, utilizan, conservan, actualizan, protegen y permiten acceder a los datos.
¿El proveedor tecnológico puede hacerse cargo de todo el cumplimiento?
No. Responsable y encargado tienen roles y obligaciones diferentes. El colegio no deja de tener las responsabilidades que le corresponden por contratar una plataforma para procesar sus datos.
La nueva Ley de Protección de Datos Personales no se cumple solamente teniendo una política de privacidad o pidiendo autorizaciones. Desde el 1 de diciembre de 2026, quien actúe como responsable deberá cumplir una serie de obligaciones durante todo el tratamiento de los datos y poder acreditar la licitud de lo que hace (art. 14).
Pensemos en un día normal de Martina. A primera hora queda registrada su asistencia, después un profesor ingresa una calificación, enfermería registra una atención y durante la tarde el equipo de convivencia realiza una entrevista. Todos esos datos pueden tener finalidades justificadas, pero el colegio también debe preguntarse quién puede acceder a ellos, cuánto tiempo corresponde mantenerlos, cómo se protegen y qué información reciben Martina y su familia.
¿El colegio tiene que saber qué datos trata y para qué?
Sí. El responsable debe poder acreditar que los tratamientos que realiza son lícitos y que los datos se obtienen de fuentes lícitas para fines específicos, explícitos y lícitos (art. 14). En un colegio, el primer desafío es conocer los tratamientos que realmente ocurren, incluidos aquellos que funcionan fuera de las plataformas institucionales.
No hablamos solamente del libro de clases. El establecimiento puede tratar información mediante formularios de matrícula, planillas, correos electrónicos, fichas PIE, registros de enfermería, entrevistas, plataformas de comunicaciones o aplicaciones utilizadas por distintos equipos.
| Tratamiento | ¿Para qué se utiliza? | Ejemplo concreto |
|---|---|---|
| Asistencia | Gestionar y acreditar la asistencia escolar | El profesor registra que Martina llegó al colegio |
| Enfermería | Atender situaciones de salud que corresponda registrar | Martina acude a enfermería durante la jornada |
| Convivencia | Gestionar situaciones relacionadas con convivencia escolar | Se registra una entrevista realizada a Martina |
| Comunicaciones | Mantener contacto con las familias | El colegio utiliza el correo del apoderado para enviar información escolar |
¿Tenemos que saber todos los datos que guarda el colegio?
El responsable debe poder cumplir y acreditar las obligaciones que le impone la ley. En la práctica, identificar sus principales tratamientos, finalidades y datos involucrados es un punto de partida para conseguirlo.
¿Esto incluye planillas o formularios creados por funcionarios?
Si contienen datos personales tratados por el establecimiento, la ley también les resulta aplicable. Que la información esté en una planilla y no en el sistema institucional no la deja fuera de la protección legal.
¿Qué debe informar el colegio a estudiantes y familias?
El responsable debe mantener permanentemente a disposición del público información sobre cómo trata los datos personales (art. 14 ter). Martina y su familia deberían poder conocer quién es el responsable, qué datos trata, para qué los utiliza y cómo pueden ejercer sus derechos.
El artículo 14 ter contiene una enumeración detallada de la información que debe mantenerse disponible. Para un colegio, puede traducirse en preguntas bastante concretas:
| La persona debería poder saber… | Ejemplo |
|---|---|
| Quién trata sus datos | Qué entidad (sostenedor) actúa como responsable |
| Qué datos trata | Identificación, contacto, información académica y otras categorías |
| Para qué los utiliza | Matrícula, gestión académica, comunicaciones y otras finalidades |
| Por qué puede tratarlos | Consentimiento, obligación legal u otra fuente de licitud aplicable |
| A quién los comunica | Destinatarios o categorías de destinatarios |
| Cuánto tiempo los conserva | Período o criterio de conservación aplicable |
| Cómo ejercer derechos | Correo, formulario u otro canal dispuesto por el colegio |
La información debe ser clara y accesible. La ley permite mantenerla en el sitio web o en otro medio de información equivalente (art. 14 ter).
¿Basta con subir una política de privacidad al sitio web?
Puede ser una herramienta para cumplir el deber de transparencia, pero importa su contenido. Publicar un documento que no entrega la información exigida por el artículo 14 ter no resuelve por sí solo la obligación.
¿Hay que informar cada vez que un profesor registra asistencia?
No se trata de mostrar un aviso cada vez que se realiza una operación cotidiana. El deber apunta a mantener disponible información sobre los tratamientos que realiza el responsable y las materias exigidas por la ley.
¿Todos los funcionarios pueden acceder a todos los datos?
No necesariamente. Que el colegio esté habilitado para tratar determinada información no significa que cualquier persona deba poder acceder a ella. El responsable debe mantener la confidencialidad y adoptar medidas para que quienes tratan datos bajo su responsabilidad también cumplan este deber (art. 14 bis).
Por ejemplo, enfermería puede necesitar acceder a determinada información de salud de Martina para realizar una atención. El equipo PIE puede requerir antecedentes relacionados con sus funciones. Administración puede necesitar sus datos de matrícula. Eso no significa que cada uno de esos equipos necesite acceso a toda la información de los demás.
| Persona o equipo | Ejemplo de información que podría necesitar según sus funciones |
|---|---|
| Profesor de asignatura | Información académica necesaria para trabajar con sus estudiantes |
| Profesor jefe | Antecedentes necesarios para acompañar a su curso |
| Enfermería | Información necesaria para las atenciones que le corresponden |
| Equipo PIE | Antecedentes necesarios para desarrollar los apoyos correspondientes |
| Administración | Datos necesarios para matrícula y procesos administrativos |
Esta tabla no define permisos universales para todos los colegios. Los accesos deben determinarse según las funciones y necesidades reales de cada establecimiento.
Además, el deber de confidencialidad continúa incluso después de terminada la relación con el titular, y el responsable debe adoptar medidas para que sus dependientes y quienes ejecuten tratamientos bajo su responsabilidad también lo respeten (art. 14 bis).
¿Todos los profesores deberían poder consultar los datos de salud?
No por el solo hecho de ser profesores. El colegio debe determinar qué acceso resulta necesario considerando la finalidad del tratamiento y las funciones de cada persona.
¿La confidencialidad termina cuando un funcionario deja el colegio?
No. La ley establece expresamente que el deber de secreto o confidencialidad subsiste después de concluida la relación correspondiente (art. 14 bis).
¿Cómo debe proteger el colegio los datos?
El responsable debe adoptar medidas de seguridad considerando, entre otros factores, los riesgos y el tipo de datos tratados (art. 14 quinquies). Las medidas deben resguardar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas utilizados para tratar información.
En la práctica escolar, esto va bastante más allá de tener una contraseña. Puede significar controlar permisos de usuarios, evitar cuentas compartidas, gestionar adecuadamente los accesos de funcionarios que dejan el establecimiento, proteger equipos y archivos, mantener respaldos y revisar periódicamente las medidas adoptadas.
Un colegio que mantiene antecedentes PIE, registros de salud o información de convivencia deberá considerar además la naturaleza particularmente delicada de esos datos al evaluar sus riesgos y medidas de seguridad.
¿La seguridad corresponde solamente al proveedor tecnológico?
No exclusivamente. El responsable tiene obligaciones de seguridad y el encargado también debe cumplir las exigencias que la ley le impone en esta materia (art. 14 quinquies y 15 bis).
¿Qué significa proteger los datos desde el diseño?
El colegio debe considerar la protección de datos antes de implementar un tratamiento y también durante su funcionamiento (art. 14 quáter). Además, por defecto deben tratarse solamente los datos específicos y estrictamente necesarios para la actividad.
Supongamos que el colegio quiere crear una nueva ficha de enfermería. El sistema permite agregar treinta campos sobre antecedentes médicos, pero eso no significa que deban completarse todos. Antes de solicitar esa información debería preguntarse qué datos necesita realmente para la finalidad que busca cumplir y qué normativa permite tratarlos.
Lo mismo ocurre al incorporar una nueva plataforma o funcionalidad. Si el colegio quiere utilizar un sistema que analiza información académica para detectar estudiantes que requieren apoyo, debería revisar antes qué datos utilizará, con qué finalidad, quién accederá a los resultados y qué riesgos puede producir.
¿Si el software permite registrar un dato significa que podemos pedirlo?
No necesariamente. La capacidad técnica de una plataforma no determina si un dato o tratamiento es requerido. Es deber del establecimiento contar con una justificación válida que permita su uso.
¿Puede el colegio guardar los datos para siempre?
No debería conservar información indefinidamente simplemente porque podría resultar útil en el futuro. La finalidad y la proporcionalidad del tratamiento, junto con las obligaciones legales aplicables, determinan qué información corresponde mantener y durante cuánto tiempo.
No todos los registros escolares tienen el mismo ciclo de vida. Las calificaciones o la asistencia pueden estar sujetas a obligaciones educacionales de conservación. Determinados antecedentes pueden necesitar mantenerse mientras existe un procedimiento administrativo o judicial. En cambio, información recopilada para una actividad puntual podría dejar de ser necesaria una vez terminada su finalidad.
Por eso, no existe un único plazo de conservación aplicable a todos los datos de un colegio. El artículo 14 ter exige además informar el período durante el cual se conservarán los datos personales.
¿Cuando Martina egresa tenemos que eliminar toda su ficha?
No automáticamente. Debe revisarse cada tratamiento y las obligaciones legales que justifiquen conservar determinados antecedentes.
¿Podemos guardar todo por si alguna vez lo necesitamos?
Esa justificación genérica es difícil de conciliar con los principios de finalidad y proporcionalidad. El colegio debería poder explicar por qué necesita mantener la información.
¿Qué debería tener preparado un colegio para cumplir con la Ley?
El cumplimiento no debería quedar repartido en decisiones aisladas de cada área. El colegio necesita conocer sus tratamientos y establecer criterios que puedan aplicarse de manera consistente.
| Área | Acción concreta |
|---|---|
| Tratamientos | Identificar qué información mantiene y para qué |
| Licitud | Determinar qué habilita cada tratamiento de datos |
| Transparencia | Informar cómo trata los datos |
| Accesos | Definir quién necesita acceder a cada tipo de información |
| Seguridad | Adoptar medidas acordes con los riesgos |
| Conservación | Definir cuánto tiempo corresponde mantener cada tratamiento |
| Proveedores | Regular los tratamientos realizados por encargados |
| Derechos | Tener un procedimiento para recibir y responder solicitudes |
| Nuevos proyectos | Incorporar protección de datos desde su diseño |
El objetivo no es que un director conozca de memoria cada disposición de la Ley N° 19.628. Es que el establecimiento pueda responder preguntas mucho más concretas: qué datos tiene, por qué los necesita, quién puede acceder a ellos, cuánto tiempo los conservará y cómo los está protegiendo.
En algunos ámbitos, además, los estándares mínimos todavía deberán ser desarrollados por la nueva Agencia de Protección de Datos Personales. El artículo 14 septies dispone expresamente que la Agencia determinará mediante instrucciones generales estándares diferenciados para los deberes de información y seguridad, considerando factores como el tipo y volumen de datos, la actividad y el tamaño de la organización.
Seguir leyendo
- Derechos sobre los datos: qué pueden pedir estudiantes y apoderados
- Quién responde por los datos: colegio, sostenedor y proveedor
- Filtración de datos en un colegio: qué hacer y cuándo avisar
Esta página es parte de la guía completa de la Ley de Protección de Datos Personales en colegios.
Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Contenido informativo; no constituye asesoría legal.
PRODUCTOS
Descubre nuestros módulos
Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.
