Expedientes académicos, fichas de salud, formularios de inscripción, cámaras de seguridad, plataformas LMS, formularios de padres, pensiones, fotografías y video institucional — todo es dato personal, y casi todo es dato de menor. La ley exige un régimen reforzado, y la responsabilidad recae sobre la institución.
Antes de hablar de la ley, hablamos de la operación real de una unidad educativa. Estas son las brechas más comunes que descubrimos en el primer diagnóstico.
Formularios con tipo de sangre, religión, profesión de los padres, ingresos, datos del transporte, fotografías — sin base legal clara para tratar cada uno. El principio de minimización casi nunca se aplica.
Google Workspace for Education, Microsoft 365, plataformas de pensiones, grupos de WhatsApp con datos de menores — todos son encargados de tratamiento y deben tener contrato firmado.
Cámaras en patios, baños de profesores, salas de estudio, transporte escolar — sin señalética, sin política de retención, sin responsable, sin base legal documentada.
Redes sociales del colegio, fotos de promociones, videos de eventos, marketing de admisiones — el consentimiento general en la matrícula ya no es suficiente. Se necesita consentimiento específico, separable y revocable, otorgado por el representante legal del menor.
Reportes a centrales de riesgo, cesión de cartera, llamadas de cobranza, datos del representante económico — bases legales distintas, plazos de conservación distintos, y responsabilidades distintas a las del expediente del estudiante.
No replicamos un manual corporativo. Construimos cada artefacto con el lenguaje, los procesos y los actores reales de una unidad educativa.
Admisión, matrícula, evaluación, comunicación con padres, salud escolar, transporte, alimentación, biblioteca, pastoral, ex-alumnos. Cada proceso con su base legal, finalidad, plazo y destinatarios.
Lenguaje claro, sin jerga legal, listo para integrar al contrato de prestación de servicios educativos y al portal de admisiones.
Para fotografía, video, plataformas externas, salidas pedagógicas, datos de salud. Formularios separables, revocables y archivables.
Adendas LOPDP para LMS, sistemas de gestión escolar, proveedores de cobranza, cloud, marketing.
Talleres prácticos por rol — qué pueden subir a redes, qué pueden enviar por WhatsApp, qué deben anonimizar en publicaciones.
Ajustamos al calendario académico — preferimos arrancar en períodos de baja carga operativa (julio o enero) para que el equipo pueda dedicar tiempo de calidad.
“Llegamos pensando que con un manual de privacidad estábamos cubiertos. Salimos entendiendo qué procesos teníamos que rediseñar antes de cualquier sanción.”
Sí, en la mayoría de los casos. Las instituciones que tratan datos sensibles a gran escala — y los datos de salud, religión y los relativos a menores lo son por definición — deben designar un DPO. La LOPDP lo establece en su artículo 47.
Puede, pero la ley exige independencia funcional, que no exista conflicto de interés y que la persona tenga conocimiento experto en protección de datos. En la práctica, encargar el rol al rector o al jefe de TI genera incompatibilidades difíciles de defender.
Forman parte del análisis. Hay que evaluar plazos de conservación, finalidad histórica versus uso actual (ex-alumnos, marketing), y aplicar bloqueo o supresión cuando ya no exista base legal.
No, ya no. La ley exige consentimiento específico, informado, separable del contrato principal y revocable. Una cláusula general dentro de la matrícula es atacable.
Depende del tamaño de la unidad (estudiantes, sedes, plataformas en uso). En la reunión de diagnóstico entregamos una propuesta cerrada con alcance y precio, sin compromiso.
