El vocabulario de la Ley 21.719, en clave escolar

La autoridad pública que crea la Ley 21.719: fiscaliza el cumplimiento, resuelve reclamos de titulares, dicta instrucciones generales y sanciona. Sus potestades rigen desde el 1 de diciembre de 2026. Art. 30 y ss.

Su instalación, hito a hito, en la página de la Agencia.

El fundamento legal que habilita un tratamiento de datos: consentimiento, ejecución de un contrato, obligación legal o interés legítimo, entre otros. Todo tratamiento necesita una — y el consentimiento es sólo una de ellas. Arts. 12 y 13

Derecho del titular a suspender temporalmente el tratamiento de sus datos mientras se resuelve su solicitud de rectificación, supresión u oposición. El responsable debe responder en 2 días hábiles — el reloj más corto de la ley. Art. 8 ter

Manifestación de voluntad libre, informada, específica e inequívoca por la que el titular autoriza un tratamiento. Es revocable en cualquier momento, sin efecto retroactivo sobre lo tratado lícitamente. Art. 12

Cualquier información vinculada o referida a una persona natural identificada o identificable. En un colegio: nombres, notas, fotografías, direcciones, contactos del apoderado, registros de asistencia. Art. 2º f)

Categoría con protección reforzada: salud, datos biométricos, origen étnico, convicciones religiosas o filosóficas, vida sexual, orientación sexual e identidad de género — y, particularidad chilena, la situación socioeconómica. La regla general es el consentimiento expreso. Art. 2º g)

En un colegio: fichas de salud y PIE, IVE-SINAE, alumno prioritario, credo, expedientes de convivencia.

Obligación de mantener permanentemente a disposición del público, en el sitio web, al menos doce elementos: qué datos se tratan, para qué, con qué base, con quién se comparten, las medidas de seguridad, los derechos del titular y cómo ejercerlos, entre otros. Art. 14 ter

Persona que supervisa el cumplimiento en la organización y sirve de punto de contacto con la Agencia. Designarlo es voluntario en Chile — a diferencia del régimen europeo — pero es el elemento central del modelo de prevención. Art. 50

Los seis derechos que la ley reconoce: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Son gratuitos, personalísimos e irrenunciables. La ley no usa la sigla ARCO ni sus variantes. Art. 4º

Análisis previo que se exige cuando un tratamiento puede producir alto riesgo, y siempre en cuatro casos: perfiles o decisiones automatizadas con efectos significativos, tratamiento masivo, monitoreo de zonas de acceso público y datos sensibles tratados sin consentimiento. Art. 15 ter

Quien trata datos por cuenta del responsable, bajo contrato escrito con contenidos mínimos: la plataforma de notas, el fotógrafo escolar, el transporte. Si se aparta de las instrucciones, responde como responsable, solidariamente. Art. 15 bis

Programa de cumplimiento voluntario — delegado, identificación de riesgos por proceso, protocolos — que la Agencia puede certificar. La certificación vigente opera como atenuante y se anota en el registro público. Arts. 49 a 51

La ley considera niños y niñas a los menores de 14 años (consienten sus padres o representantes) y adolescentes a los de 14 a 17 (consienten por sí sus datos corrientes; los sensibles requieren consentimiento parental hasta los 15). Todo tratamiento se rige por su interés superior. Art. 16 quáter

Derecho a recibir los datos propios en un formato estructurado y de uso común, o a que se transfieran directamente a otro responsable — por ejemplo, al cambiarse de colegio. Art. 9º

Inventario interno de qué datos trata una organización, para qué y con quién los comparte. Matiz importante: la ley chilena no lo exige con ese nombre, como sí hace el RGPD — lo exigible es publicar la información del art. 14 ter, y el registro interno es el camino para publicarla sin inventar.

Quien decide los fines y medios del tratamiento y responde por él. En el mundo escolar, el sostenedor del colegio es el responsable de los datos de estudiantes, apoderados y funcionarios. Art. 2º n)

Tratar datos de modo que ya no puedan atribuirse a una persona sin información adicional guardada por separado. Junto al cifrado, es la primera medida de seguridad que la ley menciona por nombre. Art. 14 quinquies a)

El proveedor del encargado: quien trata datos por cuenta de quien ya trataba por cuenta del responsable. La cadena completa debe estar amparada por contratos equivalentes.

Los de EduGoverna están publicados en /subencargados.

La persona natural a la que se refieren los datos. En un colegio, titulares son el estudiante, su apoderado y cada funcionario — y los derechos del estudiante los ejerce él o su representante según la edad. Art. 2º s)

Comunicar datos a un tercero fuera de Chile. Procede hacia países con nivel adecuado de protección o mediante garantías como cláusulas contractuales — algo que ocurre cada vez que un proveedor aloja datos en servidores extranjeros. Arts. 27 y 28

Cualquier operación sobre datos personales: recolectar, almacenar, usar, comunicar, ceder o eliminar. Publicar una foto en las redes del colegio es tratamiento; también lo es guardar una planilla de curso. Art. 2º o)

La unidad en que la ley expresa las multas, reajustada mensualmente por el SII (agosto de 2026: $71.649). Los techos son 5.000, 10.000 y 20.000 UTM según el grado de la infracción.

Los montos convertidos a pesos, en la página de multas.

Todo incidente que cause destrucción, pérdida, alteración o acceso no autorizado a datos personales. Debe registrarse siempre, informarse a la Agencia sin dilaciones indebidas cuando hay riesgo razonable, y comunicarse a los afectados cuando toca datos sensibles, de menores de 14 años o financieros. Art. 14 sexies