Ley 21.719 en colegios: datos de estudiantes, NNA y software escolar
Sí, un colegio o establecimiento educacional queda plenamente dentro de la Ley 21.719. Trata datos de niños, niñas y adolescentes (NNA), que reciben protección reforzada en atención al interés superior del niño, y maneja expedientes cargados de categorías sensibles: salud, informes psicológicos y situación socioeconómica de las familias. Esa combinación de datos sensibles a escala hace que casi siempre se gatille una EIPD obligatoria bajo el art. 15 ter, cuya omisión es infracción grave de hasta 10.000 UTM. A eso se suma el software escolar en la nube (plataformas de notas, comunicación con apoderados, pagos), que suele ser la brecha más común: cada proveedor que trata datos por el colegio necesita un anexo DPA firmado. No olvide que la ley también cubre a apoderados, ex alumnos y postulantes, no solo a los estudiantes activos. Todo esto rige desde el 1 de diciembre de 2026.
El art. 15 ter obliga a realizar una evaluación de impacto cuando el tratamiento involucra datos sensibles o se hace a gran escala, situación habitual en el expediente escolar de un colegio, que reúne salud, informes psicológicos y situación socioeconómica de menores de edad.
Por qué un colegio casi siempre queda dentro de la ley
La Ley 21.719 reforma la antigua Ley 19.628 y aplica a cualquier organización que trate datos personales, sin importar si es con o sin fines de lucro. Un colegio, un jardín infantil o una universidad son responsables del tratamiento de los datos de sus estudiantes, apoderados y funcionarios. No hay una exención especial para el mundo educativo.
Lo que hace particular a un establecimiento educacional es la combinación de tres factores que la ley trata con especial cuidado: trata datos de menores de edad, trata categorías de datos sensibles a gran escala y suele apoyarse en varios proveedores externos de software. Esa combinación es justamente la que gatilla la obligación de hacer una evaluación de impacto.
La fecha no se mueve. La fiscalización empieza el 1 de diciembre de 2026 y los colegios que superan 100.000 UF de ingresos no tienen el periodo de gradualidad pensado para PYME. Conviene planificar el año escolar 2026 asumiendo que la ley ya rige en diciembre.
Datos de NNA: qué significa 'protección reforzada'
Los datos de niños, niñas y adolescentes (NNA) se tratan bajo el principio del interés superior del niño. En la práctica esto sube el estándar: el colegio debe recolectar solo lo estrictamente necesario, explicar de forma clara para qué usa cada dato y ser especialmente prudente con quién comparte esa información.
El consentimiento, cuando corresponde, lo dan los padres o apoderados como representantes legales del estudiante. Pero ojo: no todo se basa en consentimiento. Buena parte del tratamiento escolar se apoya en el contrato de matrícula y en obligaciones legales (por ejemplo, reportes al Mineduc). El consentimiento del apoderado se reserva para lo que excede ese núcleo, como fotos en redes sociales, plataformas opcionales o comunicaciones de marketing.
Un error común es asumir que basta con la circular de inicio de año. La ley pide poder demostrar qué datos tratas, con qué finalidad y con qué base de licitud para cada uno. Ese ejercicio es parte de lo que ordena una evaluación de impacto.
El expediente escolar está lleno de datos sensibles
El expediente de un estudiante rara vez es solo nombre y curso. Suele incluir categorías que la ley chilena considera datos sensibles, y su tratamiento a gran escala es uno de los supuestos que obliga a hacer una EIPD por datos sensibles.
Entre lo que típicamente contiene un expediente escolar:
- Datos de salud: certificados médicos, alergias, condiciones crónicas, informes de tratamientos.
- Situación socioeconómica: en Chile es dato sensible. Aparece en becas, prioridad SEP, ficha social y evaluaciones de beneficios.
- Informes psicológicos, psicopedagógicos y de necesidades educativas especiales (PIE).
- Datos de convivencia escolar: medidas disciplinarias, denuncias, protocolos de maltrato o vulneración.
- Datos biométricos si el colegio usa control de acceso o asistencia por huella o reconocimiento facial.
Apoderados, ex alumnos y comunidad: no solo son los estudiantes
Además de los NNA, el colegio trata datos de adultos que también quedan protegidos. De los apoderados maneja RUT, contacto, y con frecuencia datos financieros y laborales asociados al pago de mensualidad, morosidad, convenios y postulación a becas. Esos datos también entran en el registro de actividades de tratamiento.
También hay que definir qué pasa con los datos cuando el estudiante egresa o se retira. Conservar expedientes completos por tiempo indefinido, sin una regla de retención, es un riesgo. La ley pide tratar los datos por el tiempo necesario para la finalidad y luego suprimirlos o anonimizarlos, salvo obligación legal de conservarlos.
El software escolar SaaS es tu mayor brecha: exige DPA
En la mayoría de los colegios la brecha real no es la política de privacidad del sitio web, sino la falta de contratos con los proveedores de software. Cada vez que un tercero procesa datos de tus estudiantes en su nube, ese proveedor es un encargado del tratamiento y necesitas un anexo de tratamiento de datos (DPA) firmado con él.
Piensa en cuántos proveedores tocan datos de tus alumnos:
- Libro de clases y gestión académica digital (notas, asistencia, matrícula).
- Plataformas de aprendizaje y contenidos (LMS, apps educativas, evaluaciones online).
- Apps de comunicación con apoderados y mensajería.
- Sistemas de admisión, cobranza y pago de mensualidad.
- Correo, almacenamiento y suites en la nube, muchas veces con servidores en el extranjero.
Qué hacer antes del 1 de diciembre de 2026
La ruta para un colegio es acotada y ordenada. Primero, levantar el registro de qué datos trata, dónde viven y qué proveedores los procesan. Segundo, hacer la EIPD para los tratamientos de riesgo, que en un colegio casi siempre son el expediente con datos sensibles y cualquier decisión automatizada o videovigilancia sistemática. Tercero, cerrar los DPA pendientes con cada proveedor de software escolar usando un modelo de anexo DPA.
Si prefieres un entregable de precio fijo, el EIPD Express resuelve la evaluación de impacto y el Pack Remediación DPA ordena los contratos con proveedores. Son las dos piezas que a un establecimiento educacional le suelen faltar, y son también las dos que un fiscalizador puede pedir primero.
Preguntas frecuentes
¿Un colegio está obligado a nombrar un DPO o delegado de protección de datos?
No. La ley no obliga a designar un delegado: el art. 50 dice que el responsable 'podrá' designarlo. Solo pasa a ser obligatorio si el colegio adopta voluntariamente un Modelo de Prevención de Infracciones (art. 49). Lo que sí es obligatorio, cuando hay tratamiento de datos sensibles a gran escala, es hacer la EIPD.
¿La EIPD es obligatoria para un colegio?
En la práctica, casi siempre. La EIPD del art. 15 ter es obligatoria cuando hay tratamiento de datos sensibles, a gran escala, de NNA, decisiones automatizadas o videovigilancia sistemática de espacios públicos. El expediente escolar reúne varias de esas condiciones, así que la mayoría de los establecimientos queda dentro. Omitirla es infracción grave, con multa de hasta 10.000 UTM.
¿Necesito consentimiento de los apoderados para tratar todos los datos?
No para todo. Buena parte del tratamiento escolar se apoya en el contrato de matrícula y en obligaciones legales (reportes al Mineduc, por ejemplo), que no requieren consentimiento adicional. El consentimiento del apoderado se reserva para lo que excede ese núcleo: fotos en redes sociales, plataformas opcionales, comunicaciones de marketing o cesiones a terceros no necesarias.
¿El libro de clases digital y las apps que usamos necesitan un DPA?
Sí. Cualquier proveedor que procese datos de tus estudiantes en su plataforma es un encargado del tratamiento y necesitas un anexo DPA firmado con él. Eso incluye el libro de clases digital, el LMS, las apps de comunicación con apoderados y los sistemas de cobranza. La falta de estos contratos es la brecha más común que encontramos.