Ley 21.719: lo que la nueva ley de datos exige a un colegio

Es la reforma completa del régimen chileno de datos personales, vigente casi sin cambios desde 1999. Trae un estándar moderno — comparable al europeo, pero con reglas propias — y por primera vez una autoridad con dientes: la Agencia de Protección de Datos Personales, que fiscaliza, dicta instrucciones y sanciona.

Alcanza a toda organización que trate datos personales en Chile. Un colegio trata datos todos los días — de estudiantes, apoderados y funcionarios — y buena parte de ellos son de niños, niñas y adolescentes: la categoría que la ley protege con más fuerza.

La ley se publicó el 13 de diciembre de 2024 y sus disposiciones transitorias fijan la entrada en vigencia el primer día del mes vigésimo cuarto posterior: el 1 de diciembre de 2026. Desde esa fecha la Agencia puede fiscalizar y sancionar.

Hay una sola gradualidad: durante los primeros 12 meses, a las empresas de menor tamaño la Agencia sólo puede sancionarlas con amonestación escrita. Los deberes, en cambio, rigen completos desde el día uno.

No es una ley genérica que «también» alcanza a la educación. El artículo sobre datos de niños, niñas y adolescentes termina con un mandato expreso Art. 16 quáter:

«Constituye una obligación especial de los establecimientos educacionales y de todas las personas o entidades públicas o privadas que traten o administren datos personales de niños, niñas y adolescentes, incluidos quienes ejercen su cuidado personal, velar por el uso lícito y la protección de la información personal que concierne a los niños, niñas y adolescentes.»

Y el catálogo de infracciones lo respalda: tratar datos de niños, niñas y adolescentes con infracción a la ley figura entre las infracciones graves y gravísimas Arts. 34 ter y 34 quáter. Para un colegio, equivocarse aquí no es un detalle administrativo.

Todo tratamiento de datos de menores debe atender primero a dos criterios: el interés superior del niño y el respeto a su autonomía progresiva. Cumplido eso, la ley distingue por edad Art. 16 quáter:

Y el consentimiento tiene que ser libre, informado, específico e inequívoco, y revocable en cualquier momento Arts. 12 y 13. En la práctica eso significa una cosa: cada autorización necesita evidencia de quién firmó, cuándo y qué exactamente — una lista de asistencia con timbre no resiste una fiscalización. El caso más cotidiano, las imágenes, tiene guía propia con plantilla.

La categoría sensible Art. 2º g) exige regla reforzada: consentimiento expreso, salvo excepciones tasadas Art. 16. En la vida de un colegio aparece más seguido de lo que se cree:

• Salud y necesidades educativas especiales: fichas médicas, PIE, diagnósticos y tratamientos.
• Situación socioeconómica: IVE-SINAE, alumno prioritario, becas — es dato sensible en Chile, aunque no lo sea bajo el RGPD europeo.
• Origen étnico o racial, y convicciones religiosas o filosóficas — relevante también en colegios confesionales.
• Datos biométricos, si hay control de acceso por huella o reconocimiento facial.
• Vida sexual, orientación sexual e identidad de género — presentes en expedientes de convivencia escolar.

Circulan las siglas ARCO, ARCOP y ARSOP; la ley no usa ninguna. El catálogo Art. 4º enumera seis derechos: acceso, rectificación, supresión, oposición — incluida la oposición a decisiones automatizadas —, portabilidad y bloqueo. Son gratuitos, personalísimos e irrenunciables: ningún contrato ni reglamento interno puede limitarlos.

El procedimiento Art. 11 es concreto: acusar recibo y responder por escrito a más tardar en 30 días corridos, prorrogables una sola vez por otros 30. La solicitud de bloqueo temporal se responde en 2 días hábiles y congela el tratamiento mientras tanto. Si el colegio deniega, debe fundar la decisión e informar que el titular tiene 30 días hábiles para reclamar ante la Agencia.

El colegio debe mantener «permanentemente a disposición del público», en su sitio web, al menos doce elementos Art. 14 ter: su política de tratamiento con fecha y versión; quién es el responsable y su representante; el canal de contacto para solicitudes; qué categorías de datos trata, de quiénes, para qué, con qué base de licitud y con qué destinatarios; sus medidas de seguridad; los derechos del titular y cómo reclamar ante la Agencia; las transferencias internacionales; los plazos de conservación; la fuente de los datos; el derecho a retirar el consentimiento; y las decisiones automatizadas, si existen.

Un matiz que casi todo el material comercial dice mal: la ley chilena no exige un «registro interno de actividades de tratamiento» al estilo europeo — lo que exige es publicar. Pero nadie puede publicar doce elementos verídicos sin antes levantar esa información, así que el registro interno termina siendo el camino, no la obligación.

La plataforma de notas, el fotógrafo escolar, el transporte, el software de convivencia: todo tercero que trata datos por cuenta del colegio es un encargado y necesita contrato escrito con contenidos mínimos Art. 15 bis — objeto, duración, finalidad, tipo de datos, categorías de titulares y obligaciones de las partes. El encargado que se sale de las instrucciones pasa a responder como responsable, solidariamente con el colegio.

La seguridad acompaña: el colegio debe verificar regularmente que las medidas funcionan Art. 14 quinquies, y ante un incidente es el colegio quien debe acreditar que sus medidas existían y operaban — la carga de la prueba es suya.

Antes de iniciar un tratamiento que pueda producir alto riesgo, el responsable debe hacer una evaluación de impacto en protección de datos Art. 15 ter. Se exige siempre en cuatro casos, que en un colegio se leen así:

• Cámaras que observan zonas de acceso público — patios, pasillos, accesos, portería.
• Perfiles o decisiones automatizadas con efectos significativos — alertas de deserción, priorización automática de apoyos.
• Tratamiento masivo o a gran escala — toda o casi toda la matrícula, de forma continua.
• Datos sensibles tratados sin consentimiento, en las hipótesis de excepción que la propia ley habilita.

Ante una vulneración de seguridad con riesgo razonable para las personas, el colegio debe informar a la Agencia «por los medios más expeditos posibles y sin dilaciones indebidas» Art. 14 sexies, y llevar un registro interno de toda vulneración, se notifique o no.

Además debe avisar directamente a los afectados cuando la vulneración toca datos sensibles, datos económicos o financieros, o datos de niños y niñas menores de 14 años — es decir, el caso típico de un colegio.

Las infracciones se clasifican en tres grados Arts. 34 bis, ter y quáter con techos de multa por grado Art. 35:

El régimen tiene agravantes concretos: no subsanar dentro de 60 días recarga la multa en un 50%; la reincidencia puede triplicarla; las infracciones gravísimas reiteradas permiten suspender el tratamiento hasta por 30 días Art. 38; y toda sanción queda cinco años en el Registro Nacional de Sanciones y Cumplimiento — público y gratuito Art. 39, a un clic de cualquier apoderado. Los montos convertidos a pesos, con agravantes y atenuantes en detalle, están en la página de multas.

El delegado de protección de datos y el modelo de prevención de infracciones son voluntarios Arts. 49 y 50, pero un modelo certificado atenúa la sanción y se anota en el mismo registro.

1. 01Inventaríe sus tratamientos y proveedores: qué datos, de quiénes, para qué, con quién se comparten.
2. 02Asigne una base de licitud a cada tratamiento — consentimiento sólo donde corresponde.
3. 03Ordene el consentimiento de apoderados por tramos de edad, con evidencia de cada autorización.
4. 04Publique la página de información del artículo 14 ter, versionada.
5. 05Deje operativo el canal de derechos, con los plazos legales a la vista.
6. 06Firme o regularice el contrato del artículo 15 bis con cada proveedor.
7. 07Defina el procedimiento de vulneraciones y su registro interno.
8. 08Evalúe el impacto donde la ley lo exige — cámaras, datos sensibles, tratamiento masivo.

Y sobre todo: guarde evidencia de cada paso, porque ante la Agencia la carga de la prueba es del colegio. Para saber por dónde partir, el diagnóstico de 3 minutos ordena las brechas; y EduGoverna existe para que esta lista quede operando sola — del consentimiento por tramos al expediente de cada incidente.