Índice
- ¿Qué es una Evaluación de Impacto en Protección de Datos?
- ¿Todos los tratamientos de un colegio necesitan una EIPD?
- ¿Un sistema de riesgo escolar necesita una EIPD?
- ¿Qué debería analizar el colegio en una EIPD?
- ¿Quién debe hacer la EIPD: el colegio o la plataforma?
- ¿Qué pasa si la EIPD encuentra riesgos importantes?
- ¿Qué debería revisar un colegio antes de implementar un tratamiento nuevo?
- ¿Cómo puede un colegio prevenir infracciones sin tener un programa formal?
- ¿Qué es entonces el modelo de prevención de infracciones?
- ¿El colegio necesita un delegado de protección de datos?
- ¿Qué deberían aprender profesores y funcionarios?
- ¿Qué significa certificar un modelo de prevención?
- ¿Por dónde debería empezar un colegio antes de diciembre de 2026?
La nueva Ley de Protección de Datos Personales incorpora una herramienta para anticiparse a tratamientos que pueden producir un alto riesgo para los derechos de las personas: la Evaluación de Impacto en Protección de Datos Personales, conocida como EIPD. Cuando corresponda realizarla, debe hacerse antes de iniciar el tratamiento (art. 15 ter).
Imaginemos que el colegio de Martina quiere implementar un sistema que analiza automáticamente asistencia, calificaciones y antecedentes de convivencia de todos sus estudiantes para detectar riesgo de deserción. Antes de activarlo, el establecimiento debe preguntarse algo más que si puede utilizar esos datos: ¿qué riesgos puede generar este tratamiento para los estudiantes y estamos ante uno de los casos en que la ley exige una EIPD?
¿Qué es una Evaluación de Impacto en Protección de Datos?
Es un análisis previo de un tratamiento que puede producir un alto riesgo para los derechos de las personas (art. 15 ter). Su propósito es entender qué se quiere hacer con los datos, evaluar su necesidad y proporcionalidad, identificar los riesgos y establecer medidas para mitigarlos.
Pensemos que un establecimiento quiere implementar reconocimiento facial para controlar el ingreso de estudiantes. Antes de ponerlo en funcionamiento, una EIPD obligaría a analizar preguntas como: ¿por qué necesitamos identificar a los estudiantes mediante su rostro?, ¿existe una alternativa menos invasiva?, ¿qué ocurriría si esa información se filtra?, ¿quién tendrá acceso? y ¿cómo se protegerán esos datos?
Por eso, una EIPD no debería entenderse simplemente como un formulario que hay que completar para cumplir la ley. Es una evaluación del tratamiento antes de implementarlo.
¿Hay que hacer una EIPD después de que ocurre un problema?
No. Cuando corresponde realizarla, la ley exige hacerlo antes de iniciar las operaciones de tratamiento (art. 15 ter).
¿Es lo mismo que una evaluación de ciberseguridad?
No. La seguridad es parte del análisis, pero la EIPD también considera la finalidad del tratamiento, su necesidad y proporcionalidad, los riesgos para las personas y las medidas para mitigarlos.
¿Todos los tratamientos de un colegio necesitan una EIPD?
No. La ley exige una EIPD cuando sea probable que un tratamiento pueda producir un alto riesgo por su naturaleza, alcance, contexto, tecnología utilizada o finalidad, y establece además casos en que siempre será requerida (art. 15 ter). Por lo tanto, trabajar con datos de estudiantes no significa automáticamente tener que evaluar de esta forma cada proceso del colegio.
Registrar el nuevo teléfono del apoderado de Martina, por ejemplo, no debería confundirse con implementar un sistema que analiza masivamente información sensible de miles de estudiantes. Lo importante es evaluar las características del tratamiento concreto.
| ¿Cuándo puede exigir la ley una EIPD? Hipótesis obligatorias del art. 15 ter | Ejemplo concreto en un colegio |
|---|---|
| Evaluación sistemática mediante automatización o perfiles que derive en decisiones con efectos jurídicos significativos | El colegio implementa un sistema que analiza automáticamente notas, asistencia y antecedentes de convivencia y, a partir del resultado, determina sin una revisión humana relevante que Martina no puede participar de una determinada actividad o beneficio escolar. |
| Tratamiento masivo de datos o a gran escala | Un sostenedor implementa un sistema que procesa de manera centralizada los datos personales de 20.000 estudiantes de sus 40 colegios, combinando asistencia, calificaciones, convivencia y otros antecedentes para realizar análisis sobre sus trayectorias educativas. |
| Observación o monitoreo sistemático de zonas de acceso público | El colegio instala un sistema de cámaras con reconocimiento facial que identifica y registra sistemáticamente a las personas que ingresan y circulan por determinados espacios del establecimiento. |
| Tratamiento de datos sensibles o especialmente protegidos bajo las excepciones al consentimiento contempladas por la ley | Un sostenedor utiliza una plataforma para gestionar diagnósticos y otros datos sensibles necesarios para el PIE de sus estudiantes. Si esos datos se tratan sin consentimiento porque existe una norma que permite o exige su tratamiento, la ley exige evaluar si corresponde realizar una EIPD. |
Esta última situación es particularmente relevante para educación. Como vimos al hablar de datos sensibles, existen casos en que éstos pueden tratarse sin consentimiento. Si el tratamiento queda comprendido en esta hipótesis del artículo 15 ter, la EIPD será obligatoria.
¿Tener muchos estudiantes significa automáticamente que necesitamos una EIPD?
No necesariamente. Debe analizarse si existe un tratamiento masivo o a gran escala u otra de las circunstancias contempladas por el artículo 15 ter.
¿Usar inteligencia artificial obliga siempre a hacer una EIPD?
No por el solo hecho de utilizar IA. Hay que analizar qué tratamiento realiza, qué datos utiliza, su escala, los efectos que produce y si concurre alguna de las hipótesis legales.
¿Un sistema de riesgo escolar necesita una EIPD?
Depende de cómo funcione y de las características concretas del tratamiento. Dos sistemas que ambos se llaman “semáforo de riesgo” pueden realizar operaciones muy diferentes y producir riesgos distintos para los estudiantes.
Volvamos al colegio de Martina:
| Sistema de apoyo de bajo impacto | Sistema automatizado de mayor impacto |
|---|---|
| Detecta que Martina acumula inasistencias y muestra una alerta al equipo del colegio | Analiza múltiples características de Martina y adopta automáticamente una decisión significativa sobre ella |
| Un profesional revisa la información antes de decidir qué hacer | El resultado automatizado determina directamente la decisión |
| Sirve como antecedente para una decisión humana | El perfil determina el resultado que afecta a la estudiante |
El primer sistema no queda automáticamente fuera de una EIPD: todavía podrían existir otras razones que la hagan obligatoria, como la escala o los datos utilizados. Pero una alerta que apoya el trabajo de un profesional no es jurídicamente equivalente a una decisión automatizada con efectos jurídicos significativos.
Esto será cada vez más relevante a medida que los colegios incorporen herramientas de inteligencia artificial y analítica. La pregunta no debería ser solamente “¿utiliza IA?”, sino qué hace realmente con los datos de los estudiantes y qué consecuencias tiene su resultado.
¿Un dashboard o visualizador de datos necesita una EIPD?
No por el solo hecho de mostrar información. Hay que analizar el tratamiento completo y determinar si puede generar un alto riesgo o si concurre alguna de las hipótesis obligatorias del artículo 15 ter.
¿Qué cambia si la decisión final la toma una persona?
Es relevante especialmente al analizar decisiones automatizadas, pero no resuelve por sí sola la necesidad de una EIPD. El tratamiento podría quedar comprendido en otra de las hipótesis del artículo 15 ter.
¿Qué debería analizar el colegio en una EIPD?
La evaluación debe mirar el tratamiento completo y los riesgos que genera para las personas. La Agencia deberá establecer las orientaciones mínimas para realizarla, considerando al menos la descripción y finalidad del tratamiento, su necesidad y proporcionalidad, sus riesgos y las medidas para mitigarlos (art. 15 ter).
En nuestro ejemplo del sistema de riesgo escolar, la evaluación podría traducirse en preguntas muy concretas:
| Pregunta | Ejemplo Sistema de Riesgo Escolar |
|---|---|
| ¿Qué queremos hacer? | Identificar estudiantes que podrían necesitar apoyo para prevenir la deserción |
| ¿Qué datos utilizaremos? | Asistencia, calificaciones y otras variables definidas por el colegio |
| ¿Necesitamos todos esos datos? | Revisar si cada antecedente aporta realmente a detectar el riesgo |
| ¿A quién afectará? | A todos los estudiantes incluidos en el sistema |
| ¿Qué puede salir mal? | Clasificar incorrectamente a Martina o utilizar información excesiva |
| ¿Qué consecuencia tendrá el resultado? | Generar una alerta para revisión o determinar directamente una decisión |
| ¿Cómo reduciremos los riesgos? | Revisión humana, limitar accesos, reducir datos utilizados y revisar periódicamente el funcionamiento |
La EIPD podría llevar incluso a modificar el proyecto antes de implementarlo. Por ejemplo, descubrir que una variable sensible aporta poco al objetivo podría llevar al colegio a excluirla del modelo.
¿Quién debe hacer la EIPD: el colegio o la plataforma?
La obligación corresponde al responsable del tratamiento (art. 15 ter). Si un sostenedor determina que utilizará determinada herramienta para analizar los datos de sus estudiantes, contratar una plataforma tecnológica no traslada automáticamente esa obligación al proveedor.
Eso no significa que el colegio deba comprender por sí solo toda la arquitectura tecnológica. El proveedor puede aportar información necesaria para realizar la evaluación: qué datos procesa la funcionalidad, cómo funciona, dónde intervienen procesos automatizados, qué medidas de seguridad existen y qué controles proporciona.
Como buena práctica, una plataforma también puede desarrollar evaluaciones base o documentación técnica sobre sus tratamientos de mayor riesgo para facilitar el análisis del responsable. Pero esa documentación no reemplaza automáticamente la evaluación del colegio, porque el responsable debe considerar además cómo utilizará concretamente la herramienta y qué decisiones adoptará a partir de ella.
¿Podemos pedir antecedentes de la EIPD al proveedor?
Sí. Es razonable solicitar al proveedor la información técnica y de tratamiento necesaria para realizar la evaluación que corresponda.
¿Una EIPD preparada por una plataforma sirve automáticamente para todos sus colegios?
No. Puede entregar una base útil, pero distintos establecimientos podrían utilizar una misma funcionalidad de maneras diferentes.
¿Qué pasa si la EIPD encuentra riesgos importantes?
Detectar un riesgo no significa necesariamente abandonar el proyecto. Precisamente, la evaluación sirve para identificar medidas que permitan reducirlo antes de comenzar el tratamiento.
Si demasiados funcionarios pueden consultar el perfil de riesgo de Martina, pueden restringirse los accesos. Si se utilizan antecedentes que no son realmente necesarios, pueden eliminarse. Si un algoritmo determina directamente una decisión relevante, puede revisarse el proceso e incorporar las salvaguardas e intervención humana que correspondan.
La ley permite que los responsables consulten a la Agencia cuando el resultado de la evaluación muestre que el tratamiento es de alto riesgo, con el objeto de obtener sus recomendaciones (art. 15 ter). Por lo tanto, realizar una EIPD no significa que deba enviarse automáticamente a la Agencia.
Además, la propia Agencia deberá publicar una lista orientativa de operaciones que requieran o no una EIPD y establecer orientaciones mínimas para realizarlas. Por eso, los colegios deberán considerar esas futuras instrucciones al implementar esta obligación.
¿Qué debería revisar un colegio antes de implementar un tratamiento nuevo?
La mejor oportunidad para detectar si se necesita una EIPD es antes de poner en marcha el proyecto. Una revisión inicial permite identificar rápidamente tratamientos que merecen un análisis más profundo.
| Pregunta inicial | Ejemplo |
|---|---|
| ¿Tratamos datos sensibles? | Salud, diagnósticos o situación socioeconómica |
| ¿Lo hacemos sin consentimiento bajo una excepción legal? | Tratamiento sensible amparado en otra habilitación |
| ¿El tratamiento es masivo o a gran escala? | Información de miles de estudiantes |
| ¿Evaluamos o perfilamos automáticamente? | Sistema de riesgo escolar |
| ¿El resultado produce efectos jurídicos significativos? | Una decisión automatizada relevante sobre Martina |
| ¿Existe monitoreo sistemático? | Determinados sistemas de vigilancia |
| ¿Estamos ante alguna hipótesis del art. 15 ter? | Si corresponde, la EIPD debe realizarse antes de iniciar el tratamiento |
La EIPD no significa que “colegios + datos de menores = evaluación obligatoria para todo”. Tampoco debería convertirse en un documento que se completa después para justificar una decisión ya tomada.
Su lógica es mucho más útil: antes de implementar un tratamiento de mayor riesgo, entender qué puede ocurrir con los datos de Martina y de los demás estudiantes, y cambiar lo necesario antes de que aparezca el problema.
La nueva Ley de Protección de Datos Personales exige a los responsables adoptar acciones destinadas a prevenir infracciones (art. 48). Para un colegio, esto significa algo bastante concreto: organizar sus procesos para que los datos se traten correctamente y reducir el riesgo de incumplimientos antes de que ocurran.
Esto no significa que todos los colegios deban implementar un programa formal de cumplimiento. La ley contempla ese programa como una herramienta voluntaria (art. 49). Un establecimiento puede prevenir infracciones mediante controles de acceso, procedimientos internos, capacitación, medidas de seguridad o protocolos frente a incidentes. Si quiere dar un paso adicional, puede adoptar el modelo formal de prevención que regula la ley.
Pensemos nuevamente en Martina. Durante un año, sus datos pasan por matrícula, profesores, UTP, convivencia, PIE, enfermería, administración y distintas plataformas. Sería inviable esperar que cada funcionario interprete la Ley N° 19.628 antes de realizar cada acción. El desafío es transformar sus reglas en una forma de trabajar que las personas puedan aplicar en su día a día.
¿Cómo puede un colegio prevenir infracciones sin tener un programa formal?
Prevenir significa adoptar medidas concretas para reducir el riesgo de incumplir la ley. Un colegio puede hacerlo incorporando la protección de datos en procesos que ya forman parte de su funcionamiento.
Por ejemplo, si un profesor deja el establecimiento, alguien debe preocuparse de eliminar sus accesos a las plataformas. Si convivencia crea una nueva ficha para registrar entrevistas, debería revisar antes qué información realmente necesita. Si una funcionaria envía por error un informe PIE al apoderado equivocado, debe saber inmediatamente dónde reportarlo.
| Medida preventiva | Ejemplo concreto en un colegio |
|---|---|
| Controlar accesos | Un funcionario no puede consultar registros psicológicos simplemente porque trabaja en el colegio |
| Definir procedimientos | Secretaría sabe dónde derivar una solicitud de acceso o supresión |
| Capacitar a los equipos | Los funcionarios saben que no deben compartir sus contraseñas |
| Revisar nuevos tratamientos | Antes de crear una ficha de salud se determina qué datos son realmente necesarios |
| Prepararse para incidentes | Un profesor sabe a quién informar si envió datos al destinatario equivocado |
| Revisar proveedores | El colegio regula adecuadamente el tratamiento realizado por sus plataformas |
| Gestionar usuarios | Cuando un funcionario se retira, sus accesos se eliminan oportunamente |
Varias de estas acciones corresponden además a obligaciones que aparecen en otras disposiciones de la ley: seguridad, confidencialidad, protección desde el diseño, derechos de los titulares o relación con encargados.
¿Tenemos que crear un “programa interno” aunque no adoptemos el modelo formal?
La ley no obliga por esa sola razón a crear un segundo programa con una estructura determinada. Lo importante es que el establecimiento cumpla sus obligaciones y adopte acciones destinadas a prevenir infracciones.
¿Podemos utilizar procedimientos que ya existen en el colegio?
Sí. Como buena práctica, antes de crear nuevos documentos conviene revisar los procedimientos, políticas y responsabilidades que el establecimiento ya tiene y adaptarlos cuando sea necesario.
¿Qué es entonces el modelo de prevención de infracciones?
Es una herramienta formal y voluntaria que permite organizar sistemáticamente la prevención de infracciones (art. 49). Adoptarlo significa cumplir una estructura específica establecida por la ley.
La diferencia es importante. Un colegio puede tener buenos controles de acceso, capacitar a sus profesores y contar con un protocolo de incidentes sin haber adoptado este modelo. Si decide implementarlo formalmente, deberá incorporar los elementos que exige el artículo 49.
| Elemento del modelo | ¿Cómo podría verse en un colegio? |
|---|---|
| Delegado de protección de datos y sus facultades | Una persona tiene funciones definidas para coordinar y supervisar estas materias |
| Identificación de la información tratada | Se conocen los tratamientos de asistencia, notas, PIE, salud, convivencia y datos laborales |
| Identificación de riesgos | Se detectan procesos donde existe mayor posibilidad de incumplimiento |
| Protocolos y procedimientos | Está definido cómo responder derechos o gestionar determinadas situaciones |
| Mecanismos de reporte | Un funcionario sabe dónde informar una posible vulneración |
| Procedimientos y consecuencias internas | Existen reglas frente al incumplimiento de los procedimientos establecidos |
Si se adopta el programa, la regulación interna correspondiente también debe incorporarse en los instrumentos laborales o contractuales que señala el artículo 49.
¿Todos los colegios están obligados a implementar este modelo?
No. El artículo 49 establece expresamente que los responsables pueden voluntariamente adoptar el modelo de prevención.
¿Para qué adoptarlo entonces?
Puede servir para estructurar y acreditar de una manera más sistemática cómo la organización previene infracciones. La ley contempla además su certificación y determinados efectos asociados a ella.
¿El colegio necesita un delegado de protección de datos?
La ley permite a los responsables designar un delegado de protección de datos y lo exige como parte del modelo formal de prevención del artículo 49. Esto no significa que todos los colegios deban contratar obligatoriamente un nuevo funcionario dedicado exclusivamente a esta materia.
El delegado puede asesorar al responsable, participar en sus políticas, supervisar su cumplimiento, apoyar la identificación de riesgos, promover la capacitación y actuar como punto de contacto con los titulares y la Agencia (art. 50).
La ley permite que desempeñe otras funciones, procurando mantener su independencia y evitando conflictos de interés. También contempla reglas particulares para micro, pequeñas y medianas empresas (art. 50).
¿El delegado tiene que ser abogado?
La ley exige idoneidad, capacidad y conocimientos específicos, pero no establece que necesariamente deba ser abogado.
¿Tiene que dedicarse exclusivamente a protección de datos?
No necesariamente. Puede desarrollar otras funciones siempre que se respeten las condiciones establecidas por la ley, especialmente respecto de su independencia y los conflictos de interés.
¿Qué deberían aprender profesores y funcionarios?
Las personas que trabajan con datos necesitan saber cómo aplicar las reglas en las situaciones que realmente enfrentan. No necesitan memorizar los artículos de la Ley N° 19.628.
Un profesor debería saber que no corresponde compartir su contraseña y qué hacer si envía información a la persona equivocada. Un profesional PIE debería conocer las precauciones aplicables a la información sensible que utiliza. Secretaría debería saber dónde derivar una solicitud de acceso presentada por una familia.
| Equipo | Ejemplo de Capacitación práctica |
|---|---|
| Profesores | Accesos, contraseñas, información de estudiantes e incidentes |
| PIE | Manejo de diagnósticos y otros antecedentes sensibles |
| Convivencia | Qué información registrar y quién necesita acceder |
| Administración | Matrícula, datos de contacto y ejercicio de derechos |
| Directivos | Responsabilidades, proveedores, riesgos y nuevos tratamientos |
La capacitación tampoco tiene que ser idéntica para todos. Como buena práctica, debería concentrarse en los datos y riesgos que enfrenta cada función.
¿Un profesor tiene que saber responder una solicitud de supresión?
No necesariamente resolverla. Lo importante es que pueda reconocer que existe una solicitud relacionada con datos personales y sepa dónde derivarla.
¿Basta con hacer una capacitación una vez?
Una charla aislada difícilmente resuelve todos los riesgos. Si cambian los sistemas, tratamientos o funciones, puede ser necesario actualizar las orientaciones y capacitaciones.
¿Qué significa certificar un modelo de prevención?
La ley contempla la certificación del modelo formal de prevención (arts. 51 a 53). Esta certificación no debe confundirse con el cumplimiento general de la Ley de Protección de Datos: un responsable puede cumplir sus obligaciones sin tener un modelo certificado.
La certificación tiene una vigencia de tres años, salvo que termine anticipadamente por alguna de las circunstancias establecidas en la ley. La Agencia podrá además revocarla cuando dejen de cumplirse las condiciones correspondientes.
Una parte importante de este sistema todavía requiere desarrollo reglamentario. El artículo 51 contempla un reglamento que establecerá requisitos, modalidades y procedimientos relacionados con la implementación, certificación, registro y supervisión de los modelos. Por eso, los colegios interesados en este mecanismo deberán considerar también esa regulación cuando sea dictada.
¿Por dónde debería empezar un colegio antes de diciembre de 2026?
No hace falta comenzar creando decenas de políticas. Un establecimiento puede partir identificando sus principales riesgos y ordenando los procesos que utiliza todos los días.
| Paso | Pregunta concreta |
|---|---|
| 1. Identificar tratamientos | ¿Qué datos tenemos y dónde están? |
| 2. Revisar finalidades y licitud | ¿Para qué los necesitamos y qué permite tratarlos? |
| 3. Identificar datos sensibles | ¿Dónde tenemos salud, PIE u otra información sensible? |
| 4. Ordenar accesos | ¿Quién realmente necesita ver cada dato? |
| 5. Revisar proveedores | ¿Quién trata información por nuestra cuenta? |
| 6. Preparar derechos | ¿Qué hacemos si Martina o su representante solicita acceso, rectificación o supresión? |
| 7. Preparar incidentes | ¿Qué hacemos si mañana se filtra un informe? |
| 8. Revisar nuevos proyectos | ¿Existe un tratamiento de alto riesgo que requiera una EIPD? |
| 9. Asignar responsabilidades | ¿Quién coordina estas materias? |
| 10. Capacitar y revisar | ¿Nuestros equipos saben cómo actuar? |
El objetivo no es convertir a cada profesor en especialista en protección de datos ni necesariamente implementar el modelo formal más complejo disponible. El colegio necesita conseguir que las personas que trabajan con los datos de Martina sepan qué pueden hacer, qué precauciones deben tomar y a quién recurrir cuando aparece un problema.
Prepararse para diciembre de 2026, entonces, no consiste solamente en producir documentos. Consiste en incorporar la protección de datos a la manera cotidiana en que funciona el colegio.
Seguir leyendo
- Qué debe hacer un colegio para cumplir con la protección de datos
- Datos sensibles y menores: PIE, salud, psicología y convivencia
Esta página es parte de la guía completa de la Ley de Protección de Datos Personales en colegios.
Fuente: Ley N° 21.719, que modifica la Ley N° 19.628 sobre Protección de Datos Personales. Contenido informativo; no constituye asesoría legal.
PRODUCTOS
Descubre nuestros módulos
Creamos herramientas intuitivas y útiles para hacer más fácil la gestión escolar y ayudar a cada colegio a tomar mejores decisiones.
