La Ley N° 21.719 debía entrar en plena vigencia el 1 de diciembre de 2026. Un proyecto del Ejecutivo propone postergar esa fecha hasta diciembre de 2027, pero la modificación todavía se encuentra en tramitación. Mientras no sea aprobada y publicada, la fecha vigente continúa siendo la de 2026. Para los colegios, sin embargo, el desafío de fondo ya está planteado: saber qué datos tienen, para qué los utilizan, quién puede acceder a ellos y cuánto tiempo deben conservarlos.

La fotografía de la premiación de un quinto básico publicada en Instagram es, probablemente, uno de los ejemplos más sencillos para entender el cambio. Hasta ahora, muchos establecimientos han operado con una cláusula genérica firmada al momento de la matrícula —«autorizo el uso de imágenes»— y han dado el tema por resuelto. El nuevo marco de protección de datos obliga a mirar con mayor precisión qué se autoriza, para qué finalidad y bajo qué condiciones.

La imagen es un dato personal y, cuando corresponde a niños, niñas o adolescentes, su tratamiento debe considerar el interés superior y la autonomía progresiva. Para niños y niñas existen reglas específicas respecto del consentimiento de sus padres, representantes legales o de quien tenga su cuidado personal, mientras que para adolescentes la normativa contempla reglas diferenciadas según su edad y el tipo de dato tratado.

Cuando el tratamiento se basa en el consentimiento, este debe permitir identificar con claridad la finalidad para la que se autoriza el uso de los datos y poder ser revocado posteriormente. En un colegio, esto vuelve poco recomendable una autorización genérica que mezcle, por ejemplo, fotografías para el anuario, publicaciones en redes sociales y material de difusión institucional.

Un año adicional de plazo, pero no para esperar

El calendario puede cambiar. El 1 de septiembre de 2026 el Gobierno ingresó al Senado, con suma urgencia, el proyecto de ley contenido en el Boletín N° 18.623-07, que propone postergar hasta el 1 de diciembre de 2027 la entrada en vigencia de la Ley N° 21.719. La iniciativa busca dar tiempo para instalar la nueva Agencia de Protección de Datos Personales, establecer estándares de aplicación y permitir la adaptación del Estado y del sector privado.

Pero mientras el proyecto no sea aprobado y publicado, la fecha establecida por la ley sigue siendo el 1 de diciembre de 2026.

Para los colegios, la diferencia entre ambas fechas no debería traducirse en una decisión de esperar. La adecuación requiere levantar información, revisar contratos, ordenar autorizaciones, definir responsables, revisar proveedores y establecer criterios de conservación y eliminación. Son tareas que no se resuelven modificando un sistema de un día para otro.

El eventual año adicional puede ser, por tanto, una oportunidad para hacer ese trabajo con anticipación. La pregunta no es solamente cuándo comienza a regir la nueva ley, sino cuánto del trabajo necesario puede comenzar hoy.

Una ley que atraviesa procesos, no un módulo de sistemas

Uno de los principales riesgos es leer la Ley N° 21.719 como una actualización tecnológica. En realidad, su impacto atraviesa procesos de gestión, contratos, comunicaciones, convivencia escolar, recursos humanos y relación con proveedores.

“El principal ajuste no es tecnológico, sino de gobernanza y de procesos. La adecuación involucra contratos, consentimientos, gestión de proveedores, definición de accesos, conservación de información y respuesta ante solicitudes o incidentes. La responsabilidad por el tratamiento de los datos corresponde a la organización y, en particular, al responsable del tratamiento, por lo que no puede delegarse simplemente en el área de informática. El eventual nuevo plazo puede entregar más tiempo, pero no cambia la necesidad de comenzar a ordenar desde ahora cómo el colegio obtiene, utiliza, comparte, conserva y elimina los datos personales”, explica Rubén Valencia, Director del Área Técnica de Numerus Consultoría.

La nueva regulación crea la Agencia de Protección de Datos Personales y establece un régimen de fiscalización y sanciones que contempla multas de hasta 20.000 UTM para las infracciones gravísimas. En determinados casos de reincidencia, tratándose de empresas que no califican como de menor tamaño, las multas pueden alcanzar porcentajes de los ingresos anuales.

Para la gestión escolar, el punto relevante es que las obligaciones aparecen en lugares que no siempre se asocian directamente con la protección de datos.

Matrícula y consentimientos

El contrato de matrícula es uno de los primeros espacios que conviene revisar. Puede existir una base jurídica que permita tratar los datos necesarios para prestar el servicio educativo, sin que ello signifique que todos los tratamientos adicionales queden automáticamente habilitados.

La diferencia es relevante. Una cosa son los datos necesarios para ejecutar la relación contractual; otra, los tratamientos accesorios, como determinados usos de imagen o la utilización de plataformas de terceros que impliquen tratamientos adicionales.

Por eso, resulta recomendable distinguir ambos ámbitos y, cuando corresponda utilizar el consentimiento, establecer autorizaciones separadas, claras y revocables.

Imágenes y comunicaciones

El caso de las fotografías permite visualizar el cambio con facilidad. Una autorización general de «uso de imagen» puede no entregar suficiente información sobre las distintas finalidades para las que se utilizará una fotografía.

Un colegio debería poder distinguir, por ejemplo, entre el uso de imágenes en un anuario, publicaciones en redes sociales, comunicaciones institucionales o piezas de difusión. También debería poder identificar qué autorización existe para cada finalidad y cómo se gestiona una eventual revocación.

Asistencia biométrica

La asistencia biométrica merece una revisión particular. La Ley N° 21.719 incorpora los datos biométricos entre los datos sensibles, elevando el estándar aplicable a tratamientos como la huella digital o el reconocimiento facial.

A ello se suma la doctrina de la Dirección del Trabajo sobre sistemas de control de asistencia, que exige considerar alternativas no biométricas en determinados casos.

Por eso, un colegio que utiliza mecanismos biométricos debería revisar tanto la base jurídica que habilita el tratamiento como la proporcionalidad de la medida, las alternativas disponibles, la información entregada a las personas y los mecanismos de resguardo correspondientes.

RICE y datos especialmente delicados

El Reglamento Interno de Convivencia Escolar concentra algunos de los datos más delicados que puede manejar un establecimiento: medidas disciplinarias, denuncias, protocolos de vulneración, antecedentes de salud y necesidades educativas especiales.

Aquí resulta especialmente relevante definir con claridad la finalidad del tratamiento, quiénes pueden acceder a la información y durante cuánto tiempo debe conservarse.

También debe existir una adecuada relación entre el derecho de supresión y las obligaciones legales de conservación de determinados antecedentes. No toda información puede eliminarse inmediatamente cuando alguien lo solicita si existe una obligación legal que exige conservarla.

En la práctica, los antecedentes de una investigación de convivencia deberían mantenerse bajo acceso restringido y evitar su circulación informal por correos personales o grupos de mensajería.

El sostenedor como responsable del tratamiento

Detrás de estos distintos frentes aparece una figura central: el sostenedor, en cuanto responsable del tratamiento.

Ese rol supone obligaciones que atraviesan a toda la organización. Entre ellas se encuentran mantener un Registro de Actividades de Tratamiento (RAT), establecer adecuadamente las relaciones con proveedores que procesan datos por cuenta del colegio, atender los derechos de los titulares —como acceso, rectificación, supresión, oposición y portabilidad— y gestionar las vulneraciones de seguridad conforme a las obligaciones de notificación que establece la ley.

Esto cambia también la forma de mirar a los proveedores. Una plataforma de notas, remuneraciones, comunicaciones o gestión escolar no es solamente un servicio tecnológico: puede estar tratando datos personales por cuenta del establecimiento. La relación contractual debe reflejar esa realidad y establecer las obligaciones correspondientes.

Un punto laboral que suele pasar inadvertido

La misma lógica alcanza a la información de los trabajadores.

En la rendición de cuentas a la Superintendencia de Educación, por ejemplo, el establecimiento puede entregar determinados datos de sus trabajadores en cumplimiento de una obligación legal. Pero esa base no habilita automáticamente otros usos de la misma información.

El tratamiento debe mantenerse dentro de la finalidad correspondiente y respetar los principios de finalidad y minimización. Al rendir gastos de personal, por ejemplo, debe entregarse la información que exige el sistema, evitando incorporar antecedentes que no resulten necesarios para esa finalidad.

La misma lógica de reserva debe aplicarse a otras entregas de información laboral: el hecho de que un establecimiento tenga legítimo acceso a determinados datos no significa que pueda utilizarlos o compartirlos libremente para cualquier propósito.

Programa de cumplimiento: voluntario, pero con incentivos

A este marco se suma el Decreto Supremo N° 662, publicado el 9 de septiembre de 2026, que regula los modelos de prevención de infracciones —los programas de cumplimiento— en materia de protección de datos personales.

Para un colegio, la primera pregunta es si está obligado a implementar uno. La respuesta es no: el reglamento contempla estos programas como voluntarios. Sin embargo, la decisión no es indiferente, porque la ley reconoce el programa como un elemento que puede atenuar las sanciones aplicables.

Adoptar un programa tampoco significa que el establecimiento quede exento de cumplir la ley. Por el contrario, supone formalizar una estructura de prevención, identificación de riesgos, responsabilidades y controles.

El delegado de protección de datos

Existe además un elemento relevante para los establecimientos que decidan adoptar y certificar un programa de cumplimiento: la designación de un delegado de protección de datos.

El delegado debe contar con autonomía y no encontrarse en una posición que genere conflicto de interés. Aquí aparece uno de los principales riesgos de diseño del programa: nombrar como delegado a quien administra directamente las plataformas o ejecuta las decisiones que después deberá supervisar.

En un colegio, esto obliga a pensar cuidadosamente la estructura. El rol podría recaer, dependiendo de la organización, en un cargo directivo con las condiciones necesarias o en un asesor externo. Lo importante es que exista independencia suficiente respecto de las funciones que debe supervisar.

Cuando un mismo sostenedor administra varios establecimientos, también puede evaluarse una estructura común, siempre que las condiciones y políticas de tratamiento permitan que el delegado ejerza efectivamente sus funciones en todos ellos.

El programa también alcanza a las personas

Otro aspecto relevante es que, si el colegio adopta el programa, sus reglas deben incorporarse en las relaciones laborales y de prestación de servicios correspondientes y, cuando proceda, en el Reglamento Interno de Orden, Higiene y Seguridad (RIOHS).

Esto no es un detalle administrativo. El programa necesita traducirse en reglas conocidas por quienes trabajan con información personal todos los días: equipos directivos, docentes, profesionales de apoyo, administrativos y proveedores.

Por ejemplo, si existen reglas específicas sobre confidencialidad, acceso y tratamiento de información sensible de estudiantes, estas deben formar parte efectiva del sistema de prevención y no quedar únicamente en un documento técnico que nadie conoce.

La certificación tiene una duración determinada y puede ser renovada. Además, la regulación establece reglas específicas sobre cómo puede comunicarse públicamente la condición de entidad certificada. Por eso, si un colegio decide comunicar una certificación en sus materiales de admisión o institucionales, deberá hacerlo conforme a las condiciones establecidas en la normativa.

Qué conviene revisar desde ya

Más allá de cuál sea finalmente la fecha de entrada en vigencia, hay un conjunto de preguntas y tareas que los establecimientos pueden comenzar a abordar.

1. Registro de Actividades de Tratamiento (RAT). Levantar el inventario de tratamientos y su base jurídica: ficha de matrícula, SIGE, libro digital, informes PIE, fichas de salud, JUNAEB, cámaras, plataformas contratadas y otros sistemas que utilice el establecimiento.

2. Contrato de matrícula. Distinguir los datos necesarios para la prestación del servicio educativo de aquellos tratamientos que requieren una autorización específica.

3. Uso de imagen. Revisar las autorizaciones existentes y diferenciarlas por finalidad cuando corresponda: anuario, redes sociales, comunicaciones institucionales, admisión u otras.

4. Datos biométricos. Revisar la justificación del tratamiento, la proporcionalidad de la medida, las alternativas disponibles y las condiciones de información y consentimiento aplicables.

5. RICE y datos sensibles. Definir quién puede acceder a antecedentes de convivencia, salud y necesidades educativas especiales, para qué fines y durante cuánto tiempo deben conservarse.

6. Proveedores. Identificar qué plataformas externas acceden o procesan datos del colegio y revisar los contratos de encargo y las obligaciones de cada parte.

7. Programa de cumplimiento. Evaluar si resulta conveniente adoptar un modelo de prevención, considerando que es voluntario y puede tener efectos en materia de responsabilidad y sanciones.

8. Responsable interno. Definir quién coordinará las políticas de protección de datos, las solicitudes de los titulares, la relación con proveedores y la respuesta ante eventuales incidentes.

El proyecto actualmente en tramitación propone extender el plazo hasta diciembre de 2027. Pero, mientras esa modificación no sea aprobada y publicada, la fecha vigente continúa siendo el 1 de diciembre de 2026.

En ambos escenarios, el desafío de fondo es el mismo: conocer los datos que el colegio trata, justificar para qué los utiliza y establecer reglas claras para su acceso, conservación y eliminación. Esperar la nueva fecha —si finalmente se aprueba— no reduce ese trabajo. Solo acorta el tiempo disponible para hacerlo.

Para profundizar en los alcances de la nueva Ley de Protección de Datos Personales y sus implicancias para la gestión de los establecimientos educacionales, el próximo 30 de octubre realizaremos un webinar abierto organizado por Numerus Consultoría. Invitamos a sostenedores, equipos directivos y profesionales de la educación a revisar la landing del evento, conocer los contenidos y detalles de la actividad e inscribirse para participar de esta instancia.