Ley 21.719 y colegios: cómo cumplir la protección de datos en 2026

En 2026, la protección de datos personales dejó de ser un tema exclusivo del mundo corporativo para convertirse en una obligación concreta de cada establecimiento educacional en Chile. La Ley 21.719, que modernizó la legislación sobre datos personales y creó la Agencia de Protección de Datos Personales, impone deberes claros a cualquier organización que trate información de personas naturales, y los colegios y jardines infantiles no son la excepción. Directores, sostenedores y equipos de gestión que aún no han revisado sus procesos internos enfrentan un riesgo real: sanciones, pérdida de confianza de las familias y, sobre todo, la vulneración de derechos fundamentales de niños, niñas y adolescentes.

¿Qué establece la Ley 21.719 y por qué afecta directamente a los establecimientos educacionales?

La Ley 21.719 reemplazó la antigua Ley 19.628 y alineó el marco chileno con estándares internacionales como el RGPD europeo. Sus pilares son: licitud del tratamiento, finalidad específica, minimización de datos, exactitud, limitación del plazo de conservación, seguridad y responsabilidad proactiva (accountability). Un colegio o jardín trata datos personales a diario: RUT, domicilio, rendimiento académico, asistencia, situación socioeconómica, datos de salud, imágenes y registros de convivencia escolar. Toda esa información queda bajo el ámbito de la ley.

Además, la ley otorga protección reforzada a los datos de menores de edad, considerados una categoría especial. Esto significa que el consentimiento debe ser otorgado por el titular de la patria potestad o tutor legal, y que el establecimiento debe poder acreditar ese consentimiento en cualquier momento ante la Agencia de Protección de Datos Personales.

Principales obligaciones para colegios y jardines infantiles

A continuación se resumen los deberes más relevantes que la Ley 21.719 impone a los establecimientos educacionales:

• Registrar las actividades de tratamiento: llevar un inventario interno de qué datos se recopilan, con qué finalidad, quién los accede y por cuánto tiempo se conservan.
• Obtener consentimiento válido: informado, libre, específico y verificable. Para menores de edad, debe provenir del apoderado o tutor legal.
• Designar un Delegado de Protección de Datos (DPD) cuando el volumen o la sensibilidad del tratamiento lo exija, o de forma voluntaria como buena práctica.
• Implementar medidas de seguridad técnicas y organizativas proporcionales al riesgo (cifrado, control de accesos, copias de respaldo).
• Garantizar los derechos ARCO+: acceso, rectificación, cancelación, oposición, portabilidad y supresión de datos.
• Notificar brechas de seguridad a la Agencia de Protección de Datos Personales dentro de los plazos legales.
• Aplicar el principio de privacidad desde el diseño (privacy by design) en cualquier nuevo sistema o proceso que involucre datos personales.

Datos sensibles en el contexto escolar: un riesgo mayor

Los establecimientos educacionales gestionan con frecuencia datos que la ley clasifica como sensibles: diagnósticos de salud mental, necesidades educativas especiales (NEE), situaciones de vulnerabilidad socioeconómica, registros de convivencia escolar con episodios de violencia o acoso, y datos biométricos si se usa reconocimiento facial o huella dactilar para el control de asistencia. El tratamiento de estas categorías exige una base de licitud reforzada y medidas de seguridad adicionales. Un error en su manejo puede derivar en sanciones graves y, más importante, en daño real a estudiantes y familias.

Qué deben hacer los jardines infantiles y establecimientos JUNJI/VTF

Los jardines infantiles, tanto los administrados directamente por JUNJI como los que operan bajo la modalidad de Vía Transferencia de Fondos (VTF), también están sujetos a la Ley 21.719. En el nivel parvulario se recopilan datos especialmente sensibles: desarrollo psicomotor, antecedentes de salud, situación familiar y registros de alimentación. Dado que los párvulos no tienen capacidad legal para consentir, toda la gestión de datos debe articularse con los apoderados desde el proceso de matrícula, con formularios claros y trazables.

Tabla: obligaciones clave y cómo una plataforma de gestión escolar puede apoyarlas

Pasos concretos para iniciar el cumplimiento en tu establecimiento

El cumplimiento de la Ley 21.719 no se logra de un día para otro, pero sí existe una hoja de ruta clara que cualquier establecimiento puede seguir:

1. Realiza un mapeo de datos: identifica qué información personal recopilas, dónde se almacena, quién tiene acceso y con qué finalidad.
2. Revisa tus formularios de matrícula y autorización: asegúrate de que incluyan cláusulas de consentimiento explícitas, comprensibles y diferenciadas por finalidad.
3. Actualiza tu Reglamento Interno y el Reglamento de Convivencia Escolar para incorporar la política de protección de datos.
4. Capacita a tu equipo directivo, docente y administrativo en los principios básicos de la ley y en el manejo seguro de información.
5. Evalúa tus herramientas tecnológicas: verifica que los sistemas que usas (plataformas de gestión, correo, almacenamiento en la nube) cumplan con estándares de seguridad adecuados.
6. Establece un procedimiento interno para atender solicitudes de derechos ARCO+ y para notificar brechas de seguridad.
7. Considera la designación voluntaria de un Delegado de Protección de Datos, especialmente en establecimientos grandes o con tratamiento intensivo de datos sensibles.

El rol de la tecnología: auditoría, consentimiento y trazabilidad como ventaja

Una de las exigencias más difíciles de cumplir de forma manual es la trazabilidad: poder demostrar, ante una inspección o reclamación, quién accedió a qué dato, cuándo y con qué propósito. Las plataformas de gestión escolar modernas, como GesClas, incorporan registros de auditoría que documentan automáticamente cada operación sobre datos personales. Esto transforma el cumplimiento de una carga administrativa en un proceso continuo y verificable.

Del mismo modo, el proceso de matrícula en línea permite recopilar el consentimiento de los apoderados de forma estructurada, con fecha, identificación del firmante y descripción clara de las finalidades del tratamiento. Ese registro queda almacenado y es recuperable en cualquier momento. La app para la familia (disponible como PWA y por WhatsApp) añade una capa adicional de transparencia: los apoderados pueden consultar los datos que el establecimiento tiene registrados sobre sus hijos, solicitar correcciones y ejercer sus derechos sin necesidad de acudir presencialmente.

Interoperabilidad con SIGE y protección de datos

La interoperabilidad con el Sistema de Información General de Estudiantes (SIGE) del MINEDUC implica transferencia de datos personales a un organismo público. La Ley 21.719 permite esta transferencia cuando existe una base legal habilitante (obligación legal del establecimiento de reportar al MINEDUC), pero el establecimiento debe documentar esa base y asegurarse de que solo se transfieren los datos estrictamente necesarios. Una plataforma integrada con SIGE que gestione automáticamente qué campos se sincronizan reduce el riesgo de transferencias excesivas.

Conclusión: cumplir la Ley 21.719 es proteger a tu comunidad educativa

La Ley 21.719 no es solo una obligación legal: es una oportunidad para que los establecimientos educacionales demuestren a las familias que la información de sus hijos está en manos responsables. En 2026, los colegios y jardines que adopten una cultura de protección de datos —apoyados en herramientas tecnológicas con auditoría, consentimiento digital y control de accesos— no solo evitarán sanciones, sino que fortalecerán la confianza de su comunidad. El primer paso es conocer la ley; el segundo, elegir los procesos y plataformas que hagan ese cumplimiento sostenible en el tiempo.