Ley 21.719 en colegios: qué revisar antes del 1 de diciembre de 2026

Quedan siete semanas para el 1 de diciembre de 2026, la fecha en que entra en vigencia la Ley 21.719. El proyecto de postergación que ingresó el Gobierno en septiembre sigue en primer trámite en el Senado, así que la fecha legal no ha cambiado. Para los colegios esto coincide con el cierre del año escolar y el proceso de matrícula 2027: justo el momento en que más datos personales se recogen.

La ley no trata a los colegios como a cualquier responsable de datos. Los nombra expresamente. Este artículo explica qué dice el texto, dónde suelen estar las brechas y qué conviene revisar antes de diciembre.

Lo que dice la ley sobre colegios

El artículo 16 quáter, incorporado por la Ley 21.719 (texto en BCN), regula los datos de niños, niñas y adolescentes y termina así: "Constituye una obligación especial de los establecimientos educacionales y de todas las personas o entidades públicas o privadas que traten o administren datos personales de niños, niñas y adolescentes, incluidos quienes ejercen su cuidado personal, velar por el uso lícito y la protección de la información personal que concierne a los niños, niñas y adolescentes".

El mismo artículo fija las reglas de base:

• Todo tratamiento de datos de menores debe atender a su interés superior y al respeto de su autonomía progresiva.
• Niños y niñas (menores de 14 años): se requiere el consentimiento de sus padres, representantes legales o de quien tenga su cuidado personal, salvo que la ley lo autorice o mandate.
• Adolescentes (14 a 17 años): sus datos se tratan con las reglas de los adultos, salvo los datos sensibles de menores de 16 años, que siguen requiriendo el consentimiento de padres o representantes.

Muchas actividades del colegio tienen base legal propia (la normativa educacional obliga a llevar ciertos registros), por lo que no todo requiere consentimiento. Lo que la ley exige es saber, para cada tratamiento, cuál es la base de licitud y poder demostrarlo.

Por qué el riesgo es mayor en un colegio

• Agravante en las multas: al fijar el monto, la Agencia debe considerar si el tratamiento incluye datos sensibles o datos de niños, niñas y adolescentes (artículo 37).
• Infracciones específicas: tratar datos de menores con infracción a la ley es una infracción grave (hasta 10.000 UTM), y tratarlos o cederlos "a sabiendas" en contravención a la ley es gravísima (hasta 20.000 UTM), según los artículos 34 ter, 34 quáter y 35.
• Aviso obligatorio a las familias: si hay una vulneración de seguridad que afecta datos sensibles o datos de niños y niñas menores de 14 años, el colegio debe avisar a cada titular, a través de sus representantes, además de reportar a la Agencia sin dilaciones indebidas (artículo 14 sexies).
• Datos sensibles por todas partes: informes psicológicos, diagnósticos de necesidades educativas especiales, antecedentes de salud para la enfermería, registros de convivencia escolar y situación socioeconómica para becas.

Las brechas que vemos con más frecuencia

En los diagnósticos que hacemos en establecimientos educacionales aparecen una y otra vez los mismos problemas:

• Responsable difuso: no está claro si el responsable de datos es el sostenedor o la dirección, ni quién responde ante una solicitud de un apoderado.
• Consentimientos genéricos: una sola firma en la matrícula que "autoriza todo", sin finalidades específicas (fotos en redes sociales, plataformas, salidas pedagógicas).
• Proveedores sin contrato de datos: plataformas de notas, comunicación con apoderados, transporte, seguros o alimentación que tratan datos de estudiantes sin el contrato que exige el artículo 15 bis.
• Papel sin control: informes con datos sensibles guardados en carpetas o muebles sin llave, a la vista de cualquiera.
• Grupos de mensajería: datos de estudiantes y familias circulando en chats sin reglas de uso.

Checklist antes del 1 de diciembre

1. Define el responsable: deja por escrito quién es el responsable de datos (normalmente el sostenedor) y quién coordina internamente. Si el sostenedor es un órgano público, como un municipio o un SLEP, el artículo quinto transitorio indica que el encargado o delegado debe ser un funcionario de la dotación vigente.
2. Haz el inventario por área: admisión, UTP, convivencia escolar, orientación y psicología, enfermería, comunicaciones, informática, personal y administración. Para cada una: qué datos, para qué, con qué base de licitud, quién accede y cuánto tiempo se guardan. Nuestra guía de registro de actividades sirve de punto de partida.
3. Rediseña los consentimientos de matrícula 2027: separa finalidades y deja opciones reales para lo que no es necesario (por ejemplo, uso de imágenes en redes). Ver consentimiento de datos personales.
4. Revisa contratos con proveedores: cada plataforma que trata datos de estudiantes debe tener un contrato de encargo con contenidos mínimos. Ver cláusulas DPA Art. 15 bis.
5. Publica una política de privacidad clara para familias y funcionarios, con un canal para ejercer derechos.
6. Protocolo de vulneraciones: quién decide, quién reporta a la Agencia y cómo se avisa a las familias. Ten las plantillas listas.
7. Ordena lo físico: archivadores con llave para informes sensibles y reglas de acceso.
8. Capacita: docentes, asistentes de la educación y administrativos son quienes manejan los datos a diario.

Y si se aprueba la postergación

Si el Congreso aprueba mover la vigencia a diciembre de 2027, tendrás un año más, pero el trabajo es el mismo. Además, la matrícula 2027 se hace ahora: los formularios y consentimientos que firmen las familias en estas semanas son los que vas a usar durante todo el próximo año. Conviene que ya cumplan con la ley nueva.

Cómo podemos ayudar

En LeySeguraDigital tenemos una asesoría específica para colegios en seis etapas: propuesta y acuerdo de confidencialidad, reunión de inicio con dirección y áreas, diagnóstico de unas 150 preguntas en 16 ámbitos, entrevistas por área con registro de evidencias, informe consolidado e informes por área, y una implementación supervisada o completa.

Nota: este artículo es informativo y no constituye asesoría legal. Texto legal verificado en la Biblioteca del Congreso Nacional el 12 de octubre de 2026.