La Ley 21.719 de Protección de Datos Personales entra en vigencia el 1 de diciembre de 2026, con multas de hasta 20.000 UTM. En Europa, lo primero que sancionaron en colegios no fueron ciberataques: fueron errores del día a día. Una cámara extraviada le costó €24.000 a un colegio español.
Esto es lo que ya sancionaron las autoridades de protección de datos en establecimientos educacionales. Cada caso es verificable: indicamos la fuente.
Un colegio español perdió una cámara con grabaciones de menores, sin custodia ni base jurídica para grabar. La Agencia Española multó con €15.000 + €20.000, más €5.000 por formularios de matrícula incompletos: €40.000 en total, reducidos a €24.000 por reconocimiento y pago voluntario.
AEPD, expediente PS-00070-2025 (Colegio Virgen de Europa). Resolución oficial.
Un colegio sueco usó reconocimiento facial para controlar la asistencia de 22 estudiantes durante tres semanas. La autoridad concluyó que el consentimiento no era válido: en la relación colegio–estudiante no hay libertad real para negarse.
IMY (Suecia), DI-2019-2221. Resolución oficial.
Una profesora leyó en voz alta, delante de toda la clase, un correo con información sensible de un estudiante. La sanción no fue por un sistema vulnerable: fue por una conducta cotidiana sin protocolos.
AEPD (España). Reportado por prensa especializada.
Un colegio usaba una contraseña fácil de adivinar en su plataforma de clases virtual. Accedieron terceros a datos de menores. La multa castigó la falta de medidas básicas de seguridad, no un ataque sofisticado.
AEPD (España). Reportado por prensa especializada.
Un colegio italiano reutilizó por el reverso hojas con diagnósticos de estudiantes. El Garante italiano sancionó la falta de custodia de datos sensibles de menores. Aún no contamos con la resolución oficial: lo citamos como reportado por la prensa especializada.
Garante (Italia). Reportado por prensa especializada; resolución oficial pendiente.
La Superintendencia de Educación sancionó a un sostenedor con la privación del 3% de la subvención general durante cuatro meses, por no resguardar antecedentes sensibles de un estudiante. La fiscalización de datos en colegios ya existe en Chile.
SIE, Res. Ex. N.º 2020/PA/13/2780. Reportada por fuente secundaria; resolución oficial pendiente.
Y la tendencia sigue: un colegio colombiano fue sancionado con 430 salarios mínimos por tratar datos sin autorización ni manual, y en España un colegio pagó €20.000 (reducidos a €12.000) por usar Google Workspace sin informar ni evaluar el tratamiento. El patrón es siempre el mismo: lo cotidiano, no lo sofisticado.
La Ley 21.719 no trata a los colegios como una empresa cualquiera: les impone una obligación especial de protección (art. 16 quáter) sobre los datos de niños, niñas y adolescentes.
Régimen sancionatorio de la Ley 21.719. La Agencia de Protección de Datos puede aplicar además recargos por reincidencia y ordenar la suspensión del tratamiento ante infracciones gravísimas reiteradas.
Art. 16 quáter — Los menores de 14 años consienten a través de sus padres o apoderados; entre los 14 y 17 años rige la regla general. Y para datos sensibles de menores de 16 (salud, PIE, informes psicológicos) se exige consentimiento parental, salvo autorización o mandato legal. El caso sueco del reconocimiento facial muestra por qué: el consentimiento en una relación de dependencia no es libre.
Art. 14 sexies — La ley chilena no da 72 horas (ese plazo es del reglamento europeo). Exige comunicar la brecha al afectado y a la Agencia "por los medios más expeditos posibles y sin dilaciones indebidas" cuando exista riesgo razonable. Es decir: el estándar chileno es más exigente que el europeo.
Art. 11 — Cuando un apoderado pide acceder, rectificar, cancelar u oponerse al tratamiento de los datos de su hijo, el colegio debe acusar recibo y responder en 30 días corridos, prorrogables por otros 30. Sin canal ni procedimiento, ese plazo es imposible de cumplir.
Es la fecha legal vigente de entrada en plena vigencia. Existe un proyecto de ley en trámite que propone postergarla al 1 de diciembre de 2027, aún no aprobado. Con o sin postergación, adecuar un colegio toma meses: el trabajo empieza ahora.
El verdadero nudo de un colegio no es la tecnología: es que conviven dos deberes que parecen contradecirse. Nuestro diagnóstico los ordena flujo por flujo.
Hay datos que la ley obliga a entregar, y solo a la autoridad competente:
Todo lo demás se rige por minimización y resguardo estricto:
Obligación legal para OLN, Fiscalía y Juzgados; minimización para todo lo demás. Esa es la línea que el diagnóstico traza en tu colegio.
El diagnóstico es un gap analysis: mide lo que tu colegio ya tiene contra los 7 procedimientos que exige la ley, y te dice exactamente qué falta. Uno o varios establecimientos: el fondo es el mismo, el proceso se adapta por sede.
Qué datos personales guarda el colegio, dónde están y cuáles son sensibles. Sin esto, todo lo demás es ciego.
Autorizaciones válidas por edad (art. 16 quáter) y base de licitud documentada para cada tratamiento.
Canal para que los apoderados accedan, rectifiquen o cancelen datos, con respuesta en 30 días corridos.
Protocolo de notificación inmediata —sin dilaciones indebidas— al afectado y a la Agencia.
Quién ve qué: cuentas personales, accesos mínimos a fichas sensibles y registro de quién entró.
Contratos con plataformas y proveedores, acuerdos con DAEM/JUNAEB y evaluación de transferencias.
Que cada funcionario sepa qué hacer ante una solicitud ARCO, una brecha o un dato sensible mal guardado.
Si no hay nadie interno, Grupo Pragma asume el rol frente a la Agencia: ARCO, brechas y documentación auditada.
Respaldo formal del trabajo realizado y kit de comunicación para las familias: una ventaja en Admisión.
Un método probado en 4 fases, adaptado a la realidad de tu colegio —uno o varios establecimientos.
Pre-Test más levantamiento en terreno: inventario de datos de tu colegio y mapa de brechas antes del 1 de diciembre.
Implementamos los 7 procedimientos adaptados a tu colegio: consentimientos, ARCO, brechas con notificación inmediata, seguridad, transferencias y capacitación.
Formamos a directores, docentes y administrativos, y designamos a los responsables de datos.
Actuamos como tu Encargado de Datos externo: solicitudes ARCO, gestión de brechas y auditoría continua.
Responde con honestidad. Son 17 preguntas en 7 bloques —los mismos 7 pilares del diagnóstico profesional—, pensadas para la realidad de un colegio. Cada respuesta se cruza con un caso real o una obligación legal.
Toma unos 5 minutos. Puedes volver atrás cuando quieras. Al final recibes tu nivel de preparación por pilar y tus 3 riesgos más urgentes.
No es una certificación: es el respaldo documental de que tu colegio hizo el trabajo —diagnóstico, manual, capacitación y encargado designado— más un kit de comunicación para mostrarlo a las familias en Admisión.
Agendar el diagnósticoEl diagnóstico se dimensiona por establecimiento y matrícula. Uno o varios colegios: el fondo es el mismo.
Es la nueva Ley de Protección de Datos Personales chilena, publicada en diciembre de 2024. Reemplaza a la Ley 19.628 y entra en plena vigencia el 1 de diciembre de 2026, creando la Agencia de Protección de Datos Personales con facultades sancionatorias: multas de hasta 20.000 UTM. A los establecimientos educacionales les impone una obligación especial de protección sobre los datos de niños, niñas y adolescentes.
Es la fecha legal vigente. Existe un proyecto de ley en trámite que propone postergarla al 1 de diciembre de 2027, pero aún no ha sido aprobado. Con o sin postergación, adecuar un colegio toma meses —el trabajo no puede esperar a que se resuelva la tramitación.
No. Es un termómetro orientativo: te muestra dónde está parado tu colegio en los 7 pilares y cuáles son tus riesgos más urgentes. El cumplimiento real requiere el diagnóstico profesional en terreno y el plan de adecuación en 4 fases.
Se procesan en tu navegador, sin servidores intermedios. Solo guardas tus datos si decides enviarte el informe por correo.
Sí. La ley rige para todo establecimiento que trate datos personales, sin importar su tamaño ni cuántos administres. El diagnóstico se hace por establecimiento; el fondo —los 7 pilares— es el mismo.
Nuestro manual operativo de 7 procedimientos: inventario de datos, consentimientos y bases legales, atención de solicitudes ARCO (30 días corridos), brechas con notificación inmediata, control de accesos, transferencias a terceros y capacitación del personal.
No necesariamente. Podemos actuar como tu Encargado de Datos externo: respondemos las solicitudes ARCO, gestionamos las brechas y mantenemos la documentación auditada frente a la Agencia.
Si tu colegio ya trabaja con nosotros, ingresa a tu panel: avance de tu plan, documentos, capacitaciones y contacto directo con tu equipo.