Protección de datos en colegios e Idukay: cumplimiento de normativa peruana
Aug 27, 2026Qué exige la Ley N.° 29733 y su nuevo Reglamento, por qué su colegio necesita un contrato de encargo con cada proveedor tecnológico, y qué significa todo esto cuando los datos son de niñas, niños y adolescentes.
Un colegio es, probablemente, una de las organizaciones que más datos sensibles maneja en el país: nombres y fotografías de menores, direcciones de casa, condiciones de salud, informes psicopedagógicos, situación económica de las familias, contactos de emergencia. Durante años eso se gestionó con criterio y sentido común. Hoy, además, se gestiona con ley.
La Ley N.° 29733 existe desde 2011, pero el cambio de fondo llegó con su nuevo Reglamento, el D.S. 016-2024-JUS, publicado el 30 de noviembre de 2024 y vigente desde marzo de 2025. Reemplazó al reglamento de 2013, elevó de forma sustancial el estándar exigible y le dio herramientas concretas a la Autoridad Nacional de Protección de Datos Personales (ANPD), adscrita al Ministerio de Justicia y Derechos Humanos.
Esta guía resume lo que un equipo directivo necesita entender —sin tecnicismos innecesarios— y aterriza el documento que más consultas nos genera: el contrato de encargo del tratamiento.
Por qué esto llegó a la agenda de su colegio
La norma sigue la misma lógica que el RGPD europeo: los datos personales pertenecen a la persona, no a quien los almacena. Quien decide para qué se usan asume obligaciones concretas, y quien los procesa por encargo de otro también.
Lo importante
La normativa no le pide al colegio dejar de usar tecnología. Le pide poder demostrar quién trata los datos, para qué, con qué medidas de seguridad y bajo qué acuerdo escrito. Casi todo el trabajo de cumplimiento consiste en documentar bien lo que ya se hace.
Quién es quién: los tres papeles que hay que distinguir
Buena parte de las confusiones se disuelven cuando se separan estos tres roles.
Titular
El estudiante o su familia
La persona a quien pertenecen los datos. Es quien tiene derechos: acceso, rectificación, eliminación, oposición, portabilidad.
Responsable
El colegio
Decide qué datos se recogen y para qué. Responde ante la autoridad y ante las familias por todo el ciclo del dato.
Encargado
El proveedor
Trata los datos por cuenta del colegio y solo según sus instrucciones: la plataforma académica, el proveedor de correo, la pasarela de pagos.
La consecuencia práctica es directa: el colegio no transfiere su responsabilidad al contratar un software. La conserva, y por eso la ley le exige elegir bien a sus proveedores y dejar la relación por escrito.
El contrato de encargo: qué es y por qué es obligatorio
El contrato de encargo del tratamiento —también llamado acuerdo de tratamiento de datos, o DPA por sus siglas en inglés— es el documento que formaliza esa relación entre responsable y encargado. No regula precios ni funcionalidades: regula datos.
Un contrato de encargo sólido responde, como mínimo, a estas preguntas:
- Objeto, naturaleza y duración del tratamiento, y las finalidades autorizadas.
- Qué categorías de datos se tratan y de qué titulares (estudiantes, familias, personal).
- Instrucciones: el encargado actúa únicamente conforme a lo que indica el responsable.
- Confidencialidad del personal con acceso a la información.
- Medidas técnicas y organizativas de seguridad.
- Subcontratación: si el proveedor puede apoyarse en terceros y bajo qué autorización.
- Notificación de incidentes de seguridad y plazos.
- Asistencia al colegio cuando una familia ejerce sus derechos.
- Devolución o eliminación de los datos al terminar el servicio.
- Auditoría: cómo el colegio puede verificar el cumplimiento.
Un matiz que conviene conocer
Exigir este acuerdo es, formalmente, una obligación del responsable: el colegio. En la práctica, los proveedores serios se adelantan y ofrecen su propia plantilla ya alineada a la norma, para ahorrarle a la institución tiempo y honorarios legales. Recibirla no significa que la obligación cambie de dueño; significa que el proveedor decidió hacerle el trabajo más fácil.
Qué exige el Reglamento en detalle
Tratamiento por encargo
El Reglamento define al encargado de tratamiento (artículo 10) como quien trata datos por cuenta u orden del responsable, y regula la prestación de servicios por encargo y la subcontratación (artículos 31 a 33). La subcontratación exige autorización previa del responsable, y el subencargado queda sujeto al mismo rigor contractual; si destina los datos a una finalidad distinta de la autorizada, responde como responsable.
Incidentes de seguridad
Los incidentes deben notificarse a la ANPD dentro de las 48 horas de tomado conocimiento (artículo 34), informando naturaleza del incidente, número aproximado de afectados, categorías de datos comprometidos, consecuencias y medidas de mitigación. Al titular afectado se le comunica en lenguaje sencillo y claro.
Oficial de Datos Personales
El Reglamento regula la designación del Oficial de Datos Personales (artículo 37) y sus funciones (artículo 39): asesorar, verificar el cumplimiento y actuar como punto de contacto con la autoridad. Es obligatorio para entidades públicas y para quienes tratan grandes volúmenes de datos o datos sensibles como parte central de su actividad.
Sanciones
Las multas van de 0.5 UIT a 100 UIT según la gravedad de la infracción, con criterios agravantes —reincidencia, volumen de afectados, datos sensibles— y atenuantes, como el reconocimiento voluntario y la adopción de medidas correctivas.
Lo esencial, en una tabla
| Tema | Qué exige la norma peruana |
|---|---|
| Norma aplicable | Ley N.° 29733 y su Reglamento, D.S. 016-2024-JUS |
| Autoridad de control | Autoridad Nacional de Protección de Datos Personales (ANPD) |
| Vigencia del Reglamento | Desde marzo de 2025, en reemplazo del reglamento de 2013 |
| Contrato con el encargado | Obligatorio; el encargo se regula en los artículos 10 y 31 a 33 |
| Subcontratación | Requiere autorización previa del responsable |
| Datos de menores | Artículo 22: consentimiento de quien ejerce la patria potestad o tutela |
| Notificación de incidentes | 48 horas a la ANPD y al titular afectado |
| Oficial de Datos Personales | Artículos 37 y 39: designación, funciones y contacto con la autoridad |
| Sanciones | De 0.5 a 100 UIT según la gravedad |
Cuando los datos son de niñas, niños y adolescentes
Este es el punto donde un colegio no se parece a ninguna otra organización. La mayor parte de la información que gestiona pertenece a personas menores de edad, y el Reglamento lo trata con un estándar reforzado.
El artículo 22 dedica reglas específicas al tratamiento de datos de niñas, niños y adolescentes: el consentimiento corresponde a quienes ejercen la patria potestad o tutela, y los mayores de catorce y menores de dieciocho años pueden consentir en los supuestos en que la norma les reconoce capacidad.
Cómo se traduce en el día a día
Fotografías en redes sociales institucionales, publicación de cuadros de honor, aplicaciones que las familias descargan, informes compartidos con terceros: cada una de esas prácticas necesita una base legal identificada, información clara a las familias y un proveedor que trate esos datos bajo contrato. La pregunta útil no es «¿podemos hacerlo?», sino «¿podemos explicar por qué lo hacemos y con qué respaldo?».
Checklist: por dónde empezar
- Inventaríe sus proveedores. Toda herramienta que toque datos de estudiantes, familias o personal: plataforma académica, correo, nube, pagos, transporte, fotografía escolar.
- Firme el contrato de encargo con cada uno. Si el proveedor no tiene un modelo, es una señal por sí misma.
- Evalúe si le corresponde designar un Oficial de Datos Personales y, de ser así, formálicelo y regístrelo ante la ANPD.
- Registre sus actividades de tratamiento. Qué datos, con qué finalidad, por cuánto tiempo, quién accede.
- Revise cómo informa a las familias. Avisos de privacidad y consentimientos en lenguaje comprensible, en matrícula y en cada canal.
- Defina el protocolo de incidentes. Quién detecta, quién decide, quién notifica y en qué plazo. La cuenta corre en horas, no en semanas.
- Capacite al equipo. La mayoría de las brechas empiezan en un correo mal enviado o una hoja de cálculo compartida de más.
- Documente todo. Ante la autoridad, lo que no está documentado no ocurrió.
Preguntas frecuentes
¿El contrato de encargo cambia mi suscripción con el proveedor?
No. Es una adenda al contrato vigente, orientada exclusivamente al tratamiento de datos. No modifica el alcance del servicio, las condiciones comerciales ni la vigencia de la suscripción.
¿Quién debe redactarlo, el colegio o el proveedor?
La obligación de exigirlo recae en el colegio, como responsable del tratamiento. Nada impide que el proveedor aporte la plantilla, y en la práctica es lo más eficiente para ambos. El colegio siempre puede revisarla o proponer la suya.
Ya tenemos un modelo propio. ¿Sirve?
Sí, siempre que cubra los elementos mínimos: finalidades, instrucciones, confidencialidad, medidas de seguridad, subcontratación, notificación de incidentes, asistencia en derechos, devolución o eliminación y auditoría.
¿Qué pasa si no firmamos ninguno?
El tratamiento sigue ocurriendo, pero sin el respaldo documental que la norma exige. Ante una revisión, una denuncia de una familia o un incidente de seguridad, el colegio queda sin la evidencia principal de que actuó con diligencia al elegir y controlar a su proveedor.
¿El proveedor puede apoyarse en terceros, como servicios de nube?
Sí, pero debe declararlo y contar con autorización previa del colegio. El subencargado queda sujeto a las mismas obligaciones.
Cómo acompañamos a los colegios desde Idukay
Idukay actúa como encargado del tratamiento de los datos que su institución nos confía. Ponemos a disposición nuestra plantilla de contrato de encargo alineada a la Ley N.° 29733 y su Reglamento, la revisión conjunta con nuestro equipo de protección de datos, y el acompañamiento de Customer Success y Comercial durante todo el proceso de firma.
Escríbanos a [email protected] y coordinamos la revisión con su equipo.
Fuentes
- ANPD — Nuevo Reglamento de Protección de Datos Personales
- Texto del Reglamento de la Ley N.° 29733 — D.S. 016-2024-JUS
- EY Perú — Protección de datos personales: nuevo reglamento y su impacto
- IAPP — Se publica el nuevo reglamento de protección de datos personales en Perú
Esta guía tiene fines informativos y no constituye asesoría legal. Para decisiones concretas, consulte con su asesor jurídico o con la ANPD.
¿Quieres más información?
Ingresa tus datos aquí y te enviaremos un correo o te contactará uno de nuestros asesores.
