Ivonne Bueno: “El 100% de los colegios que analizamos vulnera datos de sus estudiantes”

Por Luca Martino Acevedo, Universidad Mayor

En un escenario donde la digitalización avanza rápidamente en el sistema educativo chileno —con plataformas virtuales, registros electrónicos y sistemas de gestión estudiantil— la protección de datos personales de niños, niñas y adolescentes (NNA) se ha transformado en un desafío urgente y estratégico. Hoy, las comunidades escolares administran información altamente sensible: antecedentes familiares, informes psicosociales, evaluaciones de salud, rendimiento académico y situaciones de vulnerabilidad.

Sin embargo, una gran parte de los establecimientos educacionales aún carece de protocolos claros que regulen el tratamiento, consentimiento, almacenamiento y transferencia de estos datos. Ello genera riesgos significativos de exposición, mal uso o pérdida de información. La abogada especialista en protección de datos personales y presidenta de la Fundación Observatorio Ciudadan@ Digital, Ivonne Bueno, ha investigado de manera sistemática estas brechas, evidenciando fenómenos como la sobreexposición de estudiantes en plataformas digitales institucionales, la ausencia de políticas internas y la inexistencia de una cultura de resguardo y responsabilidad respecto de la información de NNA. Todo esto hace indispensable incorporar criterios de compliance, derechos fundamentales y gobernanza de datos en el ámbito educativo.

En esta entrevista buscamos profundizar en sus hallazgos y abrir una conversación necesaria sobre los desafíos legales, éticos y culturales que enfrenta hoy la educación chilena en materia de protección de datos personales.

Ivonne es abogada especializada en protección de datos personales, ciberseguridad y compliance. Dirige la consultora Habeas Data y es abogada integrante de la Corte de Apelaciones de San Miguel. Posee un LL.M. en Derecho Comercial por la University of Edinburgh y un Master en Políticas Públicas por King’s College London. Su trayectoria integra derecho, tecnología, cumplimiento y educación digital, promoviendo una cultura de derechos fundamentales en el entorno digital.

1. ¿Cómo describiría el estado actual de la protección de datos personales en los establecimientos educacionales en Chile?

El estado actual es altamente deficitario y, en muchos casos, tremendamente preocupante. En un sondeo realizado por la Fundación Observatorio Ciudadan@ Digital que presido, a las páginas web y redes sociales de 37 establecimientos educacionales —públicos, particulares y particular subvencionados— constatamos que la totalidad de ellos publica un volumen significativo de datos personales de estudiantes, incluyendo fotografías, videos e incluso bases de datos con nombres completos, cursos y actividades. En un caso extremo, un colegio utilizaba reconocimiento facial de niños en su casino para agilizar filas. Solo un establecimiento presentaba políticas de protección de datos claras en su sitio web.

La verdad es que ningún establecimiento sondeado cumple ni con la actual ley que regula la protección de datos personales (N.°19.628), la que nos regirá a partir del 1 de diciembre de 2026 (N.° 19.628 reformada por la Ley N.° 21.2719), ni con una ley que está pasando totalmente desapercibida pero que está plenamente en rigor: la Ley N.° 21.430, sobre Garantías y Protección Integral de los Derechos de la Niñez y de Adolescentes. Esa normativa establece explícitamente el derecho a la protección de datos personales de niños, niñas y adolescentes (NNA), además de otros relacionados como el derecho a la honra, intimidad y propia imagen (regulado por primera vez en Chile), instaurando la obligación el Estado y a la sociedad civil de guardar reserva y confidencialidad de aquéllos, lo que claramente no ha sido respetado.

Esta sobreexposición, incluso cuando cuenta con consentimiento padres o tutores, claramente no responde al interés superior del niño, principio que debe primar sobre cualquier otro, sino a intereses institucionales como marketing o posicionamiento de las instituciones en el mercado.

Pero este problema no es solo institucional: nosotros como padres y madres también estamos fallando, especialmente mediante prácticas como el sharenting, es decir, compartir de forma excesiva fotos y videos de nuestros hijos en nuestras redes sociales, lo que es muy preocupante.

Según la Policía Nacional y la Fundación Sol de España el 72% del material incautado a pedófilos corresponde a imágenes cotidianas no sexualizadas de menores obtenidas desde redes sociales., muy similares a las que nosotros o los colegios o liceos, comparten en sus RRSS. Esto, sin mencionar que con la irrupción de la IA, estas imágenes pueden ser modificadas (deep fake) y ser usadas por pedófilos[1] o por sus propios pares para hacerles bullying.

En definitiva, cada foto que se sube facilita la tenencia de material para ser usado como pornografía infantil y/o para cometer grooming, ciberacoso, sextorsión, etc.

De esta forma, cuando el colegio o liceo de tus hijos publica información sobre ellos en internet, o cuando tú mismo la compartes en tus redes sociales, pasan dos cosas muy importantes: primero, se pierde totalmente el control sobre esa información, y ya no sabemos en manos de quién puede terminar; y segundo, le estamos creando a nuestros niños una huella digital difícil —si no imposible— de borrar.

Una huella que nosotros, los adultos mayores de 40, simplemente no tuvimos que cargar porque crecimos sin redes sociales ni exposición permanente., lo que es muy injusto para ellos.

2. ¿Cuáles son los tipos de datos más sensibles que manejan las escuelas y por qué requieren un tratamiento especial?

Los colegios y escuelas manejan una cantidad enorme de datos personales de estudiantes y sus familias: identificación, rendimiento escolar, informes conductuales, historial socioemocional, antecedentes familiares y mucho más.

Bajo la Ley N.° 19.628 reformada, muchos de estos datos se consideran sensibles: salud, origen étnico o racial, nivel socioeconómico, creencias religiosas, datos biométricos, e incluso orientación sexual o identidad de género. Esta información requiere protección reforzada porque su divulgación puede generar discriminación, estigmatización o vulneración de los derechos de los NNA. Además, la Ley N.° 21.430 exige que cualquier tratamiento de datos de niños o adolescentes respete su interés superior y su autonomía progresiva. Esto eleva el estándar de diligencia, confidencialidad, proporcionalidad y seguridad de la información que deben observar y aplicar los establecimientos educacionales al respecto, los que, según expresamente lo dispone la nueva ley, tienen “una obligación especial de velar por el uso lícito y la protección de la información personal que concierne a los niños, niñas y adolescentes.”

3. Desde su investigación, ¿qué brechas o falencias más graves ha identificado en el manejo de datos por parte de los colegios?

Las brechas más graves que observamos incluyen ausencia casi total de políticas de privacidad y protección de datos y protocolos formales de tratamiento, publicación indiscriminada de fotografías y videos en redes sociales institucionales, falta de gobernanza digital interna, sin responsables de tratamiento ni criterios de minimización, uso de tecnologías intrusivas (como reconocimiento facial) sin evaluación de impacto, desconocimiento normativo profundo tanto de parte de los equipos directivos y docentes como de los padres y apoderados en la materia, falta de seguridad básica con sitios web sin cifrado, bases de datos expuestas y accesos no controlados. Estas falencias no son aisladas: son estructurales en el sistema educacional.

Cabe señalar que no se trata de paralizar el flujo de la información, no, los apoderados deben estar al tanto de lo que hacen sus hijos en sus colegios y liceos, sino que mi punto es que el tratamiento de la información de los NNA, que incluye su uso en plataformas digitales, debiera hacerse de forma más restringida, sólo a los incumbentes, no al público en general.

4. ¿Cuentan los establecimientos educacionales con protocolos o políticas formales de protección de datos, o hoy todo depende de la voluntad de cada institución?

Lamentablemente, hoy no existen protocolos ni lineamientos oficiales en Chile que orienten a los establecimientos educacionales sobre cómo manejar adecuadamente los datos personales de niños, niñas y adolescentes. Es un vacío enorme. Espero sinceramente que, una vez instalada la Agencia de Protección de Datos Personales, y ojalá en coordinación con el Ministerio de Educación, la Superintendencia de Educación y Mejor Niñez, se dicten directrices claras para el sistema escolar, siempre considerando el interés superior de los estudiantes y la protección de sus derechos fundamentales.

Sin perjuicio de lo anterior, es probable que, cuando entre plenamente en vigencia la nueva Ley de Protección de Datos Personales, los establecimientos se vean obligados a ponerse al día y a publicar en su página webs, por ejemplo, las políticas de tratamiento de datos personales que hayan adoptado. Y no será opcional: bajo la nueva normativa, y conforme al principio de información y transparencia, tendrán la obligación legal de hacerlo.

De hecho, y de acuerdo a las regulaciones citadas, en el caso de los datos de NNA, la regla es muy clara: la información debe estar escrita en un lenguaje que ellos puedan entender sin dificultad. Nada de textos complicados, llenos de tecnicismos o letras chicas. Además, los colegios —o cualquier institución educacional que trate este tipo de datos personales— tienen la obligación de publicar de manera transparente qué datos recopilan, para qué los usan, cómo los protegen, el tiempo de conservación, la fuente de la cual provienen, etc. Esa información debe estar siempre disponible, de forma clara, precisa, gratuita y accesible para cualquier persona.

También es deber del establecimiento facilitar el acceso del estudiante o su apoderado a toda la información necesaria para ejercer sus derechos, como corregir datos, pedir explicaciones o solicitar la eliminación de información cuando corresponda. En simple: no bastará con cumplir la ley; habrá que explicarla de forma que todos —incluidos los niños— la puedan comprender para así ejercer sus derechos.

5. ¿Cómo afecta la falta de regulación clara cuando los colegios comparten datos de estudiantes con terceros, como plataformas digitales o proyectos externos?

Ha genera un riesgo enorme. Cuando no existen reglas claras sobre cómo transferir o compartir datos con terceros, pasan cosas muy delicadas: no se evalúa a los proveedores, no se sabe qué harán realmente con la información, no hay contratos que exijan medidas de seguridad, y muchas plataformas pueden incluso reutilizar los datos sin ningún control.

En la práctica, los colegios pierden completamente la trazabilidad de esa información y, tratándose de NNA, esto es especialmente grave porque vulnera directamente lo que exige la Ley N.° 21.430 y también la nueva Ley de Protección de Datos.

Así, si un colegio comparte datos de estudiantes sin reglas claras, nadie puede garantizar dónde terminarán, quién los usará ni con qué fines. Y ese riesgo, en el mundo digital de hoy, es demasiado alto.

Afortunadamente, esto debiera cambiar con la entrada en vigencia de la nueva Ley de Protección de Datos. Esta normativa regula la cesión y la transferencia internacional de datos personales, y además establece reglas claras sobre la relación entre el responsable de los datos —como un colegio o liceo— y cualquier tercero que los trate en su nombre (l mandatarios proveedores de servicios digitales). Dicha ley obliga a que exista un contrato formal entre ambas partes, con deberes, límites y medidas de seguridad claras. Esto significa que ya no habrá espacio para acuerdos informales ni para compartir datos “de buena fe”: cada institución deberá asumir responsabilidades concretas y demostrar que protege adecuadamente la información de sus estudiantes, so pena de ser sancionado con fuertes multas y ser inscrito en el Registro Nacional de Sanciones y Cumplimiento que administrará la futura Agencia en la materia.

6. ¿Qué riesgos éticos y legales se generan cuando se difunden antecedentes académicos o conductuales sin el debido consentimiento?

Si no existe una base legal que justifique ese tratamiento de datos, el daño puede ser enorme. Se afecta directamente la privacidad, la protección de la información personal, la honra, la reputación y la intimidad del estudiante, quedando expuesto a riesgos muy serios: discriminación, estigmatización, ciberacoso, bullying e incluso extorsión. También puede generar un impacto emocional o psicológico importante que podría llevar a ideación suicida o suicido derechamente, como han documentado estudios internacionales.

Además, se incurre en una infracción a la Ley N.° 21.430 y se vulnera el deber de confidencialidad que tanto el Estado como la sociedad civil deben respetar cuando se trata de información personal de niños, niñas y adolescentes.

Y aquí hay algo clave que se debe relevar: un dato personal mal gestionado puede acompañar a un niño toda su vida. Por eso la protección no es solo un asunto legal, sino un deber ético con consecuencias muy reales.

7. ¿Qué rol deberían asumir instituciones como el Ministerio de Educación, la Superintendencia de Educación o Mejor Niñez frente a la protección de datos personales en establecimientos educacionales?

Estos organismos deberían asumir un rol mucho más activo, no solo como fiscalizadores, sino también como formadores y orientadores en materia de protección de la información personal de NNA. No pueden excusarse en que “aún no existe una obligación legal vigente”, porque sí la hay: la protección de datos es un derecho fundamental consagrado en nuestra Constitución (artículo 19 N.° 4) y existe una ley vigente que su tratamiento (N.° 19.628), lo que está reforzado por la Ley N.° 21.430, que se encuentra plenamente en vigor.

No es responsable esperar hasta 2026, cuando entre a regir la nueva Ley de Protección de Datos, para comenzar a actuar, especialmente tratándose de información altamente sensible y de personas en situación de especial vulnerabilidad como son los NNA. El Ministerio de Educación, la Superintendencia y Mejor Niñez debieran emitir lineamientos obligatorios desde ya, incorporar estándares de protección de datos en la gestión escolar y exigir evaluaciones de impacto cuando se implementen tecnologías que traten información personal. Hoy este rol está prácticamente ausente y, aunque es posible que se esté esperando la instalación de la futura Agencia de Protección de Datos, ese proceso tomará tiempo, tendrá recursos acotados y deberá abordar múltiples temas urgentes. Por lo mismo, las instituciones del sector educación deben empezar desde ahora a asumir sus responsabilidades, las que podrían complementarse con la labor de la Agencia, una vez que ésta entre en operaciones.

8. ¿Los apoderados y estudiantes conocen sus derechos respecto al uso de sus datos personales dentro del sistema escolar?

En general, no. Los apoderados suelen firmar autorizaciones amplias de publicación de información de sus hijos en plataformas digitales del colegio sin comprender su alcance ni los riesgos asociados, Tampoco son informados de éstos. Los estudiantes, por su parte, están completamente invisibilizados en el debate. Hay una ignorancia absoluta al respecto probablemente porque no hay cultura en esta materia. Sabemos que la actual Ley N.° 19.628 tuvo un muy bajo impacto y aplicación por diversos motivos. Por ello, es urgente y necesario que se elabore una estrategia pública de difusión de este tipo de derechos para empezar a generar concientización en la población, lo que, por cierto, toma tiempo.

9. ¿Qué medidas concretas considera indispensables para que los establecimientos avancen hacia una cultura de protección de datos?

Lo primero es que los establecimientos educacionales desarrollen un verdadero gobierno de datos, partiendo por identificar con precisión qué datos tienen, dónde se almacenan, quiénes los gestionan y para qué se utilizan. Ese diagnóstico inicial es crucial: sin un mapa claro de la información que manejan, es imposible diseñar medidas de protección efectivas.

A partir de ese levantamiento, el siguiente paso es establecer programas, protocolos y políticas internas que sean claras, comprensibles y aplicables en la práctica. Estas deben definir cómo se procesan los datos de los estudiantes, con qué finalidad, por cuánto tiempo, con qué controles y bajo qué condiciones. En el fondo, se trata de pasar de una gestión intuitiva o reactiva de la información a un modelo estructurado, responsable y alineado con estándares modernos de protección de datos y derechos fundamentales

También es esencial capacitar a toda la comunidad escolar —directivos, profesores, equipos de apoyo, colaboradores, padres, apoderados y estudiantes— porque la mayoría de los errores no se cometen por mala intención, sino por simple desconocimiento. Que todos sepan qué hacer y qué no hacer es una barrera de protección muy efectiva. La concientización es clave.

Un paso ideal sería que cada establecimiento designara a una persona responsable del tema o buscara apoyo profesional externo. La implementación de la nueva ley es compleja, requiere revisar documentos, protocolos y también la forma en que opera la institución día a día, no sólo respecto de los estudiantes sino también en relación a sus trabajadores, proveedores, contratistas, etc., por lo que contar con alguien que guíe ese proceso hace una diferencia enorme.

Además, es imprescindible definir con precisión cómo se toman y comparten fotos, videos y otros datos personales de los NNA, especialmente en sitios web y redes sociales institucionales. Aquí se debe aplicar estrictamente el principio de proporcionalidad: limitar el acceso solo a la comunidad escolar y reducir al mínimo la exposición pública de niños, niñas y adolescentes, todo teniendo en consideración su interés superior la protección de su intimidad y datos personales.

También es recomendable evaluar cuidadosamente cualquier tecnología nueva que se quiera implementar, realizando evaluaciones de impacto si éstas son intrusivas a los derechos y libertades de la comunidad escolar, y reforzar las medidas básicas de seguridad de la información, con contraseñas robustas y accesos restringidos.

En resumen, se trata de construir una cultura escolar donde la protección de datos sea parte del cuidado cotidiano, combinando buenas prácticas, sentido común y un enfoque de derechos humanos que ponga siempre a los niños y adolescentes en el centro.

10. A futuro, ¿cómo visualiza la relación entre educación, tecnología y derechos digitales en Chile?

Creo que la relación entre educación, tecnología y derechos digitales en Chile ya es inseparable. La tecnología llegó para quedarse en nuestras vidas y en las salas de clases y puede ser una gran herramienta si se usa bien y con cautela. Pero para que eso ocurra necesitamos escuelas con infraestructura segura, con una gobernanza clara de sus sistemas digitales y con reglas que realmente protejan los datos de niños, niñas y adolescentes frente a los riesgos de una digitalización prematura, masiva y sin filtros.

El gran desafío es evitar que la tecnología se transforme en una nueva forma de vulneración. Al contrario: debe ser un apoyo para mejorar el aprendizaje, fomentar la ciudadanía digital y fortalecer la protección integral de los estudiantes. Y todo eso sin perder lo esencial: el juego físico, la conversación cara a cara, la interacción humana**,**que son irremplazables en el desarrollo de NNA.

Si logramos ese equilibrio, la educación chilena puede avanzar hacia un uso responsable, limitado y respetuoso de lo digital, poniendo siempre a los niños al centro.

En un mundo ideal, todas las instituciones escolares deberían incorporar educación digital en sus currículos, pero de manera mesurada y acorde a la edad y al proceso evolutivo de los estudiantes**.**No se trata de inundar la enseñanza de pantallas, sino de formar en competencias que les permitan moverse con seguridad. Siempre debemos cuidar los balances, ser conscientes de los riesgos de la exposición sin límites a internet y no olvidar lo valioso de “las buenas costumbres de antaño”: el juego libre, la lectura, el vínculo humano y los tiempos sin pantallas.

Esa es, en definitiva, la ruta para una educación tecnológica con derechos, humanidad y sentido, donde el equilibrio es la clave.

[1] https://fundacionsafeonline.org/sharenting-campaing/