Carta abierta a los colegios sobre la Ley 21.719

Dirigida a sostenedores y equipos directivos de establecimientos educacionales.

Quién escribe

Soy profesional de la ciberseguridad. Trabajo en una gran empresa del mundo financiero, en un área donde la protección de datos personales dejó de ser un tema legal para convertirse en un problema de arquitectura, de contratos y de procesos. Desde comienzos de este año veo a mi organización mover presupuesto, contratar asesoría, reescribir acuerdos con proveedores y rehacer flujos completos por la entrada en vigencia de la Ley 21.719. Tenemos equipo jurídico, equipo de seguridad, equipo de datos y recursos para hacerlo.

Los colegios no tienen nada de eso. Y la ley los nombra de forma expresa, en el mismo artículo donde regula los datos de niños, niñas y adolescentes. Esa asimetría es la razón de esta carta.

No escribo para vender un servicio ni para instalar urgencia. Escribo porque hay información incorrecta circulando, y un equipo directivo que decide en base a datos falsos gasta mal o se paraliza.

Sobre la información que circula

No puedo afirmar cuáles son las intenciones de nadie, pero sí puedo mostrar afirmaciones publicadas que no se sostienen contra el texto de la ley. A modo de ejemplo verificable, una consultora chilena publica en su guía sobre la Ley 21.719 que son datos sensibles, entre otros, los "datos de menores de edad", que el delegado de protección de datos es "figura obligatoria para ciertos tipos de responsables del tratamiento", y que las multas están "expresadas en Unidades Tributarias Anuales (UTA)".¹

Las tres afirmaciones son incorrectas. La lista de datos sensibles del artículo 2 letra g) es cerrada y no incluye la edad.² El artículo 49 dice textualmente que los responsables "podrán voluntariamente adoptar un modelo de prevención de infracciones", y es dentro de ese modelo voluntario donde aparece el delegado.³ Y el artículo 35 expresa las multas en unidades tributarias mensuales, no anuales.⁴

Menciono esto no para desacreditar a nadie, sino para justificar por qué en esta carta cada afirmación va con su artículo. Verifíquelas.

Qué dice la ley sobre los colegios

La Ley 21.719 fue publicada el 13 de diciembre de 2024. Su artículo primero transitorio fija la entrada en vigencia el día primero del mes vigésimo cuarto posterior a la publicación, esto es, el 1 de diciembre de 2026.⁵

Los establecimientos educacionales están nombrados en el texto. El artículo 16 quáter, tras regular el tratamiento de datos de niños, niñas y adolescentes, cierra así:

"Constituye una obligación especial de los establecimientos educacionales y de todas las personas o entidades públicas o privadas que traten o administren datos personales de niños, niñas y adolescentes, incluidos quienes ejercen su cuidado personal, velar por el uso lícito y la protección de la información personal que concierne a los niños, niñas y adolescentes."⁶

El mismo artículo exige que todo tratamiento atienda al interés superior del niño y a su autonomía progresiva, y fija el consentimiento según la edad:

En todos los casos hay excepción cuando la ley expresamente lo autoriza o mandata.⁶

Dos precisiones importantes. La ley alcanza el tratamiento "de carácter automatizado o no",² de modo que un colegio que lleva todo en carpetas, planillas y correo no está fuera de su ámbito. Y aunque la edad no vuelve sensible un dato, buena parte del expediente escolar habitual sí cae en la lista cerrada del artículo 2 letra g): datos de salud, situación socioeconómica, creencias religiosas, datos biométricos, origen étnico o racial.²

Los hechos que deberían bajar la ansiedad

Primero, el estándar exigible es explícitamente proporcional. El artículo 14 quinquies ordena adoptar medidas "considerando el estado actual de la técnica y los costos de aplicación, junto con la naturaleza, alcance, contexto y fines del tratamiento".⁷ El artículo 14 quáter repite el criterio para la protección desde el diseño.⁸ Y el artículo 14 septies establece que los mínimos de los deberes de información y de seguridad se determinarán considerando el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según las categorías del artículo segundo de la ley 20.416 sobre empresas de menor tamaño, la actividad que desarrolla y el volumen de datos que trata.⁹ Un colegio no se mide con la vara de un banco.

Segundo, esos mínimos aún no existen. El artículo 14 septies los entrega a la Agencia mediante instrucción general, y no han sido dictados.⁹

Tercero, y es lo que menos se ha comunicado: el artículo sexto transitorio establece que durante los primeros doce meses posteriores a la entrada en vigencia, cuando proceda una sanción a empresas calificadas como de menor tamaño según la ley 20.416, la Agencia podrá aplicar como sanción una amonestación por escrito, señalando la gravedad de la infracción y la conducta infractora.¹⁰ Verificar en qué categoría de la ley 20.416 cae el sostenedor es una tarea concreta y barata, porque determina si ese primer año opera como período de gracia.

Cuarto, no hay quién fiscalice todavía. El artículo cuarto transitorio, en su texto vigente tras la modificación introducida por la Ley 21.806 del 5 de febrero de 2026, dispone que mientras la ley no entre en vigencia el Consejo Directivo solo podrá ejercer las funciones de los literales a), b), g) y h) del artículo 30 bis, y que cualquier instrucción o norma general que dicte solo tendrá fuerza obligatoria desde la entrada en vigencia.¹¹ Fiscalizar y ejercer la potestad sancionadora son los literales c) y e) de ese artículo, y no están en la lista.¹²

Quinto, el Consejo Directivo todavía no está designado. Según reportó CeCo en julio de 2026, en abril el Gobierno retiró su primera terna y en mayo el Senado rechazó la segunda por no alcanzar el quórum de dos tercios, atribuyendo el Ejecutivo la dificultad a las bajas rentas fijadas por ley; el mismo reporte señala que expertos han planteado la necesidad de una ley corta.¹³ La Ley 21.806 ya modificó el mecanismo: la propuesta al Senado se hace en un solo acto entre los ochenta y los sesenta días anteriores al plazo, el Senado debe pronunciarse sobre ella como una unidad, y si no se pronuncia antes del vencimiento la propuesta se entiende aceptada sin más trámite.¹¹

Sexto, la fecha misma está en discusión. Marcelo Drago, expresidente del Consejo para la Transparencia y presidente de la Asociación de Profesionales en Protección de Datos Personales de Chile, señaló en agosto de 2026 que el Gobierno está evaluando modificar o postergar la entrada en vigencia, que "la ley va a entrar en vigencia; la única discusión es la fecha exacta", y que su gremio propone un aplazamiento acotado a un máximo de seis meses junto con "una primera etapa de supervisión orientada al cumplimiento, que privilegie la orientación y la corrección antes que la sanción, sin perjuicio de la debida respuesta frente a infracciones graves o deliberadas".¹⁴

Séptimo, las vías de sanción y de indemnización pasan por la Agencia. El artículo 42 establece que el procedimiento sancionatorio es instruido por la Agencia y puede iniciarse de oficio, como resultado de un proceso de fiscalización, o a consecuencia de la reclamación de un titular conforme a los artículos 23 y 41.¹⁵ Y el artículo 47, que obliga al responsable a indemnizar el daño patrimonial y extrapatrimonial causado, precisa que la acción indemnizatoria "podrá interponerse una vez ejecutoriada la resolución que resolvió favorablemente el reclamo interpuesto ante la Agencia", o firme la sentencia en caso de reclamo de ilegalidad.¹⁶

Mi lectura de todo esto —y es lectura mía, no cita— es que la probabilidad de una sanción a un colegio en los primeros meses de vigencia es baja. No hay institucionalidad instalada, el primer año contempla amonestación para entidades de menor tamaño, y los estándares técnicos aún no se han fijado.

Lo que no cambia con nada de lo anterior

Dos reglas de carga de la prueba están escritas en la ley y no dependen de ninguna instrucción pendiente.

El artículo 13, tras enumerar las bases de licitud distintas del consentimiento —cumplimiento de una obligación legal, ejecución de un contrato, interés legítimo, entre otras—, cierra con una frase de siete palabras: "El responsable deberá acreditar la licitud del tratamiento de datos".¹⁷

Y el artículo 14 quinquies cierra estableciendo que "ante la ocurrencia de un incidente de seguridad, y en caso de controversia judicial o administrativa, corresponderá al responsable acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas".⁷

Acreditar no se improvisa. Es lo que hace que la preparación no sea opcional aunque la fiscalización sea lejana.

Además, el artículo 34 ter califica como infracción grave, entre otras conductas, tratar datos sin consentimiento ni fundamento legal que otorgue licitud (letra a), comunicar o ceder datos sin consentimiento cuando este es necesario (letra b), realizar tratamiento de datos de niños, niñas y adolescentes con infracción a las normas de la ley (letra g), vulnerar el deber de secreto del artículo 14 bis (letra i), e infringir las obligaciones de seguridad del artículo 14 quinquies (letra j).¹⁸ Las infracciones graves se sancionan con multa de hasta 10.000 unidades tributarias mensuales; las leves con amonestación escrita o hasta 5.000 UTM; las gravísimas hasta 20.000 UTM.⁴ El equivalente en pesos depende de la UTM del mes, que publica el Servicio de Impuestos Internos.

Etapa 1: de aquí a la entrada en vigencia

Lo que sigue no depende de la Agencia, no requiere software y es de costo bajo o nulo. Está ordenado por exposición, no por dificultad.

La ficha de matrícula. El consentimiento debe ser libre, específico, inequívoco e informado, y otorgarse mediante una declaración o una clara acción afirmativa.² Conviene separar lo que se sostiene en obligación legal o en la ejecución del contrato educacional —matrícula, asistencia, evaluaciones, reportes al Ministerio— de lo que necesita consentimiento específico y revocable: fotografías y videos en redes sociales, entrega de datos a terceros, comunicaciones comerciales. El proceso de matrícula del año siguiente es la ventana natural, y ocurre antes de diciembre.

La publicación del artículo 14 ter. Es el deber más barato de cumplir y el más fácil de verificar por cualquiera desde afuera: obliga a mantener permanentemente a disposición del público, en el sitio web o en un medio equivalente, doce elementos, entre ellos la política de tratamiento con su fecha y versión, las categorías de datos que se tratan, las finalidades, la base de legitimidad, los destinatarios, las medidas de seguridad adoptadas, el plazo de conservación, los derechos del titular y el derecho a recurrir ante la Agencia.¹⁹ Su incumplimiento total o parcial es infracción leve.²⁰

Cuentas y accesos. Cerrar accesos de exfuncionarios, eliminar cuentas compartidas, revisar quién ve qué. Es trabajo de días y es lo primero que queda expuesto ante un incidente.

Canales. Regla escrita sobre qué no circula por mensajería ni por correo personal de funcionarios: nóminas con RUT, información de salud, informes psicológicos. Es donde en mi experiencia se concentra la exposición real, y no se resuelve con tecnología sino con instrucción y control.

Deber de secreto. Incorporarlo en contratos de trabajo y reglamento interno, con constancia de capacitación. Su vulneración es infracción grave, y si recae sobre datos sensibles es gravísima.^{18 21}

Protocolo de brechas. El artículo 14 sexies obliga a reportar a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" las vulneraciones que ocasionen destrucción, filtración, pérdida o alteración de datos personales, o su comunicación o acceso no autorizados, cuando exista un riesgo razonable para los derechos y libertades de los titulares; a registrar esas comunicaciones describiendo la naturaleza de la vulneración, sus efectos, las categorías de datos y el número aproximado de afectados; y —esto es lo que más importa a un colegio— cuando la vulneración se refiera a datos sensibles o a datos de niños y niñas menores de catorce años, a comunicarlo también a los titulares a través de sus representantes, en lenguaje claro y sencillo.²² Omitir esas comunicaciones o registros es infracción grave; omitirlas en forma deliberada es gravísima.^{18 21}

Inventario y responsable interno. Una planilla con qué datos se tratan, para qué, dónde están, quién accede y por cuánto tiempo se conservan. Y una persona designada con nombre y horas asignadas. Si el sostenedor es un órgano público, el artículo quinto transitorio precisa que quien establezca un encargado de prevención o delegado de protección de datos deberá designar para ello a un funcionario de la dotación vigente del organismo.²³

Etapa 2: lo que conviene planificar y no ejecutar todavía

Contratos con proveedores que acceden a datos de alumnos, y régimen de transferencia internacional cuando la infraestructura está fuera de Chile. Es la brecha que más tarda en cerrarse, porque depende de que el proveedor acepte firmar.

Evaluación de impacto en protección de datos. El artículo 15 ter la exige antes de iniciar las operaciones cuando sea probable que el tratamiento produzca un alto riesgo para los derechos de los titulares, y la exige siempre en cuatro casos: evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas que produzcan efectos jurídicos significativos; tratamiento masivo de datos o a gran escala; tratamiento que implique observación o monitoreo sistemático de una zona de acceso público; y tratamiento de datos sensibles en las hipótesis de excepción del consentimiento.²⁴ El mismo artículo encarga a la Agencia publicar una lista orientativa de los tipos de operaciones que requieren o no evaluación, y las orientaciones mínimas para realizarla.²⁴ Esa lista es exactamente lo que un colegio con control biométrico de asistencia o con cámaras necesita antes de decidir. Incumplir el artículo 15 ter en los casos que corresponda es infracción gravísima.²¹

Estándares técnicos finos de los artículos 14 ter y 14 quinquies, pendientes de instrucción general de la Agencia.⁹

Etapa 3: después de la entrada en vigencia

Tres cosas cambian de naturaleza.

El tratamiento es continuo, no un hecho pasado. Un dato recolectado con consentimiento defectuoso que se sigue usando queda sujeto a la ley desde su vigencia. Postergar no congela la brecha: la arrastra.

La evidencia pasa a ser el activo, por las dos reglas de carga de la prueba de los artículos 13 y 14 quinquies. Lo que protege no es tener medidas, sino poder demostrar que existen y funcionan.

Y queda disponible la vía voluntaria del modelo de prevención de infracciones del artículo 49, que exige al menos la designación de un delegado de protección de datos, la definición de sus medios y facultades, la identificación de los datos y procesos que generan riesgo, protocolos y reglas específicas, mecanismos de reporte interno, y sanciones internas incorporadas al reglamento interno o a los contratos de trabajo.³ Para un sostenedor con varios establecimientos puede tener sentido. Para uno solo, probablemente no.

Cierre

Mi recomendación no es hacer todo, y tampoco es esperar. Es ejecutar ahora lo que no cuesta dinero y concentra la exposición, y postergar de forma deliberada y documentada lo que depende de definiciones que aún no existen. Eso es una posición de riesgo defendible.

Lo que no es defendible es llegar sin haber empezado, porque cuando aparece el primer reclamo la ley le pide al colegio que acredite, y no hay forma de acreditar hacia atrás algo que nunca se hizo.

Advertencia sobre el alcance de este documento

Este texto refleja mi punto de vista y mi análisis personal. No soy abogada ni trabajo en un área jurídica: mi formación y mi experiencia están en ciberseguridad. Lo que aquí expongo es una lectura técnica de un cuerpo legal, con las limitaciones que eso implica.

Recomiendo expresamente que cada sostenedor se asesore con un abogado y corrobore con él toda la información de esta carta antes de tomar decisiones. Las interpretaciones sobre bases de licitud, validez de consentimientos, redacción de contratos y calificación de infracciones son materia jurídica y exceden mi competencia. Cité el artículo exacto de cada afirmación precisamente para que puedan ser verificadas y discutidas con quien corresponda.

Fuentes

Todas las citas de articulado provienen del texto oficial de la Ley 21.719 publicado por la Biblioteca del Congreso Nacional, versión con vigencia diferida al 1 de diciembre de 2026, con última modificación de 5 de febrero de 2026 por la Ley 21.806. Disponible en https://bcn.cl/gJo3hf

El artículo segundo transitorio, modificado por la Ley 21.755 de 11 de julio de 2025, fija plazos para dictar los reglamentos de la ley. No verifiqué su estado de cumplimiento. Existe además el Boletín N° 18.060-07, proyecto de ley que busca perfeccionar la Ley 21.719, ingresado al Senado en enero de 2026 según Actualidad Jurídica DOE, cuyo contenido no revisé y podría modificar lo expuesto.