Ley 29733 y datos de menores: lo que una institución educativa debe poder demostrar

Una institución educativa trata datos personales de menores de edad en casi todos sus procesos: matrícula, evaluaciones, registros de salud, fotografías y videos de actividades, plataformas de clases virtuales. La Ley de Protección de Datos Personales (Ley N.º 29733) y su reglamento — renovado y vigente desde 2025 — tratan esos datos con un estándar reforzado, empezando por el consentimiento de los padres o tutores.

De la política escrita a la evidencia técnica

El error más común es tratar el cumplimiento como un asunto exclusivamente legal: un consentimiento bien redactado en la ficha de matrícula y una política de privacidad publicada. Eso es necesario, pero la ley también exige medidas de seguridad sobre los datos, y ahí la pregunta cambia de naturaleza: deja de ser jurídica y pasa a ser técnica.

Ante una fiscalización o un incidente, la institución debería poder responder con evidencia preguntas como estas:

• ¿En qué equipos y servicios se almacenan datos de alumnos, y quién tiene acceso a cada uno?
• ¿Los accesos exigen más que una contraseña — hay verificación adicional de identidad?
• ¿Qué pasa cuando un docente deja la institución: en cuánto tiempo pierde acceso real a la información?
• ¿Un equipo perdido o robado expone datos, o está cifrado y puede bloquearse a distancia?

La parte buena: gran parte ya está pagada

Para instituciones que usan Microsoft 365 con planes académicos, buena parte del control necesario ya está incluido en las licencias: gestión de dispositivos, verificación de identidad en varios pasos, control de acceso por condiciones y cifrado. El trabajo no es comprar herramientas nuevas, sino desplegar con criterio las que ya se pagan — y documentar ese despliegue para que sirva como evidencia.

Ese es exactamente el enfoque de nuestro assessment para el sector educativo: contrastar lo que la institución ya tiene contratado con lo que necesita poder demostrar.