Protección de datos en colegios e Idukay: cumplimiento de normativas

Qué cambió en Ecuador y Perú, por qué su colegio necesita un contrato de encargo con cada proveedor tecnológico, y qué significa todo esto cuando los datos son de niñas, niños y adolescentes.

Un colegio es, probablemente, una de las organizaciones que más datos sensibles maneja en un país: nombres y fotografías de menores, direcciones de casa, condiciones de salud, informes psicopedagógicos, situación económica de las familias, contactos de emergencia. Durante años eso se gestionó con criterio y sentido común. Hoy, además, se gestiona con ley.

Ecuador y Perú tienen marcos de protección de datos plenamente exigibles, con autoridades activas, plazos concretos y multas reales. Esta guía resume lo que un equipo directivo necesita entender —sin tecnicismos innecesarios— y aterriza el documento que más consultas nos genera: el contrato de encargo del tratamiento.

Por qué esto llegó a la agenda de su colegio

Las dos normas siguen la misma lógica que el RGPD europeo: los datos personales pertenecen a la persona, no a quien los almacena. Quien decide para qué se usan asume obligaciones concretas, y quien los procesa por encargo de otro también.

En Ecuador, la Ley Orgánica de Protección de Datos Personales (LOPDP) se publicó en mayo de 2021 y su régimen sancionatorio es exigible desde mayo de 2023, con la Superintendencia de Protección de Datos Personales (SPDP) ya emitiendo resoluciones vinculantes. En Perú, la Ley N.° 29733 existe desde 2011, pero su nuevo Reglamento (D.S. 016-2024-JUS), vigente desde marzo de 2025, reemplazó al de 2013 y elevó de forma sustancial el estándar exigible.

Quién es quién: los tres papeles que hay que distinguir

Buena parte de las confusiones se disuelven cuando se separan estos tres roles. La terminología cambia levemente entre países, pero la estructura es idéntica.

La consecuencia práctica es directa: el colegio no transfiere su responsabilidad al contratar un software. La conserva, y por eso la ley le exige elegir bien a sus proveedores y dejar la relación por escrito.

El contrato de encargo: qué es y por qué es obligatorio

El contrato de encargo del tratamiento —también llamado acuerdo de tratamiento de datos, o DPA por sus siglas en inglés— es el documento que formaliza esa relación entre responsable y encargado. No regula precios ni funcionalidades: regula datos.

Un contrato de encargo sólido responde, como mínimo, a estas preguntas:

• Objeto, naturaleza y duración del tratamiento, y las finalidades autorizadas.
• Qué categorías de datos se tratan y de qué titulares (estudiantes, familias, personal).
• Instrucciones: el encargado actúa únicamente conforme a lo que indica el responsable.
• Confidencialidad del personal con acceso a la información.
• Medidas técnicas y organizativas de seguridad.
• Subcontratación: si el proveedor puede apoyarse en terceros y bajo qué autorización.
• Notificación de incidentes de seguridad y plazos.
• Asistencia al colegio cuando una familia ejerce sus derechos.
• Devolución o eliminación de los datos al terminar el servicio.
• Auditoría: cómo el colegio puede verificar el cumplimiento.

Ecuador: qué exige la LOPDP

La LOPDP se publicó en el Registro Oficial en mayo de 2021 y su régimen sancionatorio quedó plenamente vigente en mayo de 2023. La autoridad de control es la Superintendencia de Protección de Datos Personales (SPDP).

Cláusulas contractuales obligatorias

La SPDP emitió la Resolución SPDP-SPD-2025-0006-R (30 de abril de 2025), que establece la obligatoriedad de incorporar cláusulas de protección de datos en las relaciones contractuales entre los actores del sistema: responsables, encargados, destinatarios y responsables conjuntos. Entre otros puntos, esas cláusulas deben cubrir las finalidades del tratamiento, las obligaciones de seguridad y confidencialidad del encargado, la notificación de vulneraciones en un máximo de dos días, la devolución o eliminación de los datos al finalizar la relación y la prohibición de subcontratar sin autorización previa.

Delegado de Protección de Datos

La ley obliga a designar un Delegado de Protección de Datos (DPO) en determinados supuestos, y la SPDP ha regulado su registro para el sector privado mediante la Resolución SPDP-SPD-2025-0028-R.

Incidentes y sanciones

Las vulneraciones de seguridad se notifican a la Superintendencia dentro de los plazos previstos en la ley —cinco días para el responsable— y las sanciones se calculan sobre el volumen de negocio anual: entre 0,1% y 0,7% en infracciones leves, y entre 0,7% y 1% en infracciones graves.

Perú: qué exige la Ley N.° 29733 y su nuevo Reglamento

La Ley N.° 29733 está vigente desde 2011, pero el cambio relevante llegó con el Reglamento D.S. 016-2024-JUS, publicado el 30 de noviembre de 2024 y vigente desde marzo de 2025. La autoridad de control es la Autoridad Nacional de Protección de Datos Personales (ANPD), adscrita al Ministerio de Justicia y Derechos Humanos.

Tratamiento por encargo

El Reglamento define al encargado de tratamiento (artículo 10) como quien trata datos por cuenta u orden del responsable, y regula la prestación de servicios por encargo y la subcontratación (artículos 31 a 33). La subcontratación exige autorización previa del responsable, y el subencargado queda sujeto al mismo rigor contractual; si destina los datos a una finalidad distinta de la autorizada, responde como responsable.

Incidentes de seguridad

Los incidentes deben notificarse a la ANPD dentro de las 48 horas de tomado conocimiento (artículo 34), informando naturaleza del incidente, número aproximado de afectados, categorías de datos comprometidos, consecuencias y medidas de mitigación. Al titular afectado se le comunica en lenguaje sencillo y claro.

Oficial de Datos Personales

El Reglamento regula la designación del Oficial de Datos Personales (artículo 37) y sus funciones (artículo 39): asesorar, verificar el cumplimiento y actuar como punto de contacto con la autoridad. Es obligatorio para entidades públicas y para quienes tratan grandes volúmenes de datos o datos sensibles como parte central de su actividad.

Sanciones

Las multas van de 0.5 UIT a 100 UIT según la gravedad de la infracción, con criterios agravantes —reincidencia, volumen de afectados, datos sensibles— y atenuantes, como el reconocimiento voluntario y la adopción de medidas correctivas.

Ecuador y Perú, lado a lado

Cuando los datos son de niñas, niños y adolescentes

Este es el punto donde un colegio no se parece a ninguna otra organización. La mayor parte de la información que gestiona pertenece a personas menores de edad, y ambas normativas lo tratan con un estándar reforzado.

En Perú, el Reglamento dedica un artículo específico al tratamiento de datos de niñas, niños y adolescentes (artículo 22): el consentimiento corresponde a quienes ejercen la patria potestad o tutela, y los mayores de catorce y menores de dieciocho años pueden consentir en los supuestos en que la norma les reconoce capacidad. Ecuador sigue la misma orientación protectora bajo la LOPDP.

Checklist: por dónde empezar

1. Inventaríe sus proveedores. Toda herramienta que toque datos de estudiantes, familias o personal: plataforma académica, correo, nube, pagos, transporte, fotografía escolar.
2. Firme el contrato de encargo con cada uno. Si el proveedor no tiene un modelo, es una señal por sí misma.
3. Designe a un responsable interno. Delegado u Oficial de Protección de Datos, según el país, y regístrelo si corresponde.
4. Registre sus actividades de tratamiento. Qué datos, con qué finalidad, por cuánto tiempo, quién accede.
5. Revise cómo informa a las familias. Avisos de privacidad y consentimientos en lenguaje comprensible, en matrícula y en cada canal.
6. Defina el protocolo de incidentes. Quién detecta, quién decide, quién notifica y en qué plazo. La cuenta corre en horas, no en semanas.
7. Capacite al equipo. La mayoría de las brechas empiezan en un correo mal enviado o una hoja de cálculo compartida de más.
8. Documente todo. Ante la autoridad, lo que no está documentado no ocurrió.

Preguntas frecuentes

¿El contrato de encargo cambia mi suscripción con el proveedor?

No. Es una adenda al contrato vigente, orientada exclusivamente al tratamiento de datos. No modifica el alcance del servicio, las condiciones comerciales ni la vigencia de la suscripción.

¿Quién debe redactarlo, el colegio o el proveedor?

La obligación de exigirlo recae en el colegio, como responsable del tratamiento. Nada impide que el proveedor aporte la plantilla, y en la práctica es lo más eficiente para ambos. El colegio siempre puede revisarla o proponer la suya.

Ya tenemos un modelo propio. ¿Sirve?

Sí, siempre que cubra los elementos mínimos: finalidades, instrucciones, confidencialidad, medidas de seguridad, subcontratación, notificación de incidentes, asistencia en derechos, devolución o eliminación y auditoría.

¿Qué pasa si no firmamos ninguno?

El tratamiento sigue ocurriendo, pero sin el respaldo documental que la norma exige. Ante una revisión, una denuncia de una familia o un incidente de seguridad, el colegio queda sin la evidencia principal de que actuó con diligencia al elegir y controlar a su proveedor.

¿El proveedor puede apoyarse en terceros, como servicios de nube?

Sí, pero debe declararlo y contar con autorización del colegio. En Perú, la subcontratación exige autorización previa y traslada al subencargado las mismas obligaciones.

Fuentes

• ANPD — Nuevo Reglamento de Protección de Datos Personales (Perú)
• Texto del Reglamento de la Ley N.° 29733 — D.S. 016-2024-JUS
• EY Perú — Protección de datos personales: nuevo reglamento y su impacto
• IAPP — Se publica el nuevo reglamento de protección de datos personales en Perú
• Superintendencia de Protección de Datos Personales del Ecuador

Esta guía tiene fines informativos y no constituye asesoría legal. Para decisiones concretas, consulte con su asesor jurídico o con la autoridad de control de su país.