Encargados de tratamiento: el contrato que su colegio le debe a cada proveedor

La ley distingue dos papeles. El responsable decide para qué se tratan los datos: en un colegio, es siempre el sostenedor. El encargado trata esos datos por cuenta del responsable y siguiendo sus instrucciones Art. 15 bis. No es una categoría de proveedor: es una posición que se ocupa por lo que se hace con los datos.

Por eso la lista de un colegio es larga y casi nunca coincide con la lista de proveedores «tecnológicos». El sistema de gestión escolar es un encargado, pero también lo son la empresa de transporte que recibe la nómina con direcciones, el fotógrafo que se lleva las imágenes de la licenciatura, el casino que administra las minutas con alergias alimentarias —dato de salud— y la plataforma de comunicaciones por la que salen los mensajes a los apoderados.

El artículo es explícito: en el contrato «se deberá establecer» estos seis elementos. No son recomendaciones, y una cláusula genérica de confidencialidad no cubre ninguno de los cinco primeros.

1. 01Objeto del encargo — Qué hace el proveedor con los datos. «Prestar el servicio» no es un objeto: «operar el libro de clases digital y el registro de asistencia» sí.
2. 02Duración — Cuánto dura el encargo. Suele coincidir con la vigencia del contrato de servicio, pero hay que decirlo.
3. 03Finalidad del tratamiento — Para qué. Delimita el uso permitido: todo lo que quede fuera convierte al proveedor en responsable por su cuenta.
4. 04Tipo de datos personales tratados — Qué datos. Acá aparece si hay datos sensibles — salud, situación socioeconómica, origen étnico — y eso cambia el estándar de todo lo demás.
5. 05Categorías de titulares — De quién. Estudiantes, apoderados, docentes, ex alumnos: cada categoría trae sus propias reglas de consentimiento.
6. 06Derechos y obligaciones de las partes — Quién responde qué, incluido cómo se atienden las solicitudes de derechos que lleguen al proveedor.

El formato lo elige el colegio. Un anexo de tratamiento de datos sobre el contrato vigente cumple igual que un contrato nuevo, y es mucho más fácil de conseguir: el proveedor no tiene que reabrir precios ni plazos para firmarlo.

Además de lo pactado, el artículo le impone deberes propios al encargado. Tres importan al revisar un papel:

• Cumplir seguridad y confidencialidad — el encargado debe cumplir los artículos 14 bis y 14 quinquies, con el mismo estándar diferenciado por tamaño y tipo de dato que se aplica al responsable.
• Reportar las vulneraciones al colegio — ante una brecha, el encargado «deberá reportar este hecho al responsable». Quien reporta a la Agencia es el colegio, no el proveedor — por eso conviene pactar un plazo, que la ley no fija.
• Suprimir o devolver al terminar — cumplida la prestación, los datos que estén en su poder se suprimen o se devuelven. Es la cláusula que más se olvida y la que más importa al cambiar de proveedor.

El encargado «no podrá delegar parte o la totalidad del encargo, salvo que conste una autorización específica y por escrito del responsable». Y si delega, sigue siendo solidariamente responsable: no puede eximirse argumentando que subcontrató.

Esto aparece más de lo que parece. Un sistema de gestión escolar que aloja en una nube de terceros, que envía sus correos por un servicio de mensajería y que procesa los pagos con una pasarela tiene tres subencargados. La pregunta útil al revisar un contrato no es «¿tiene cláusula de datos?», sino ¿quiénes son sus subencargados y quién los autorizó?

El inventario de encargados no es un ejercicio aparte: es la misma lista de destinatarios que el colegio tiene que publicar bajo su deber de información del artículo 14 ter. Se levanta una vez y sirve para las dos obligaciones.

Si un proveedor trata datos de estudiantes, conviene revisar también qué cuenta como dato sensible en un colegio chileno: la lista es más larga que la intuición, y decide el estándar del encargo.