Un colegio privado guarda más datos sensibles de los que suele imaginar: expedientes académicos y de conducta, fichas médicas y de alergias, fotografías, datos de contacto y de pago de las familias, y todo eso referido en su mayoría a menores de edad, la categoría que la Ley de Protección de Datos Personales (LPDP) protege con más fuerza. Desde noviembre de 2024 ese manejo cotidiano tiene reglas formales, y la matrícula es el momento del año donde todo converge: se recogen más datos que nunca, entran familias nuevas y las plataformas trabajan al límite. Esta guía resume qué debe tener en orden una institución educativa antes de la próxima matrícula.
Por qué los datos de menores son la categoría más protegida
Un menor no puede consentir por sí mismo el uso de sus datos: lo hacen sus padres o responsables, y la ley exige que ese consentimiento sea informado, verificable y específico. Además, el daño potencial de una filtración es mayor y más duradero que en un adulto: una ficha médica, una fotografía o una dirección de un niño en manos equivocadas es el escenario que ninguna institución quiere explicar a las familias. Por eso la LPDP trata estos datos con el estándar más alto, y por eso un incidente en un colegio pesa más, legal y reputacionalmente, que en casi cualquier otro negocio del mismo tamaño.
La lista de verificación antes de la matrícula
- Consentimiento de los padres incorporado a la matrícula. El formulario de inscripción debe informar qué datos se recogen, para qué se usan (gestión académica, comunicación, fotografías en redes, plataformas educativas) y permitir aceptar o rechazar los usos que no son indispensables. La fotografía del alumno en redes sociales, por ejemplo, requiere un consentimiento específico, no uno genérico enterrado en el contrato.
- Aviso de privacidad publicado y comprensible. Visible en el sitio web y en administración, escrito para padres, no para abogados. Debe nombrar también a los terceros con acceso a datos: la plataforma académica, el proveedor de pagos, el transporte escolar.
- Accesos por rol en la plataforma académica. El maestro ve a sus alumnos, no a todo el colegio; la ficha médica la ve quien la necesita; los usuarios compartidos se eliminan; las cuentas de personal que se fue se desactivan el mismo día. La bitácora de accesos es la evidencia de que esto se cumple.
- Responsable designado. La ley pide un delegado de protección de datos: en un colegio suele ser alguien de dirección o administración, formalmente nombrado y con un procedimiento para atender solicitudes de las familias (los derechos ARCO-POL) en los plazos legales.
- Respaldos probados y plan para el peor día. Si la plataforma de notas o matrícula cae en la semana crítica, o un ransomware cifra los expedientes, la institución necesita dos cosas que no se improvisan: una restauración que ya se probó y un plan de respuesta que contemple el plazo legal de 72 horas para notificar una brecha de datos.
- Personal capacitado. El eslabón más frecuente de un incidente escolar no es técnico: es el correo con la lista de alumnos enviado al destinatario equivocado, o la contraseña compartida en la sala de maestros. Una capacitación breve y recurrente es además una obligación de la Ley de Ciberseguridad.
Los descuidos más comunes en instituciones educativas
Tres patrones se repiten. Primero, las listas que circulan sueltas: nóminas de alumnos con teléfonos y direcciones en hojas de cálculo reenviadas por correo o mensajería, fuera de todo control. Segundo, las fotografías sin consentimiento específico publicadas en redes del colegio. Tercero, los proveedores invisibles: plataformas educativas y apps gratuitas adoptadas por iniciativa de un docente, que procesan datos de menores sin que la institución haya revisado qué hacen con ellos. Los tres se corrigen con lo mismo: inventario, reglas claras y un responsable que las sostenga.
Preguntas frecuentes
¿La LPDP aplica a un colegio pequeño o solo a los grandes?
Aplica a toda institución que trate datos personales, sin mínimo de tamaño, y los datos de menores son la categoría más protegida de la ley. Un colegio con una lista de alumnos, fichas médicas y fotografías ya es sujeto obligado, tenga cien estudiantes o tres mil.
¿Puedo publicar fotos de alumnos en las redes del colegio?
Solo con consentimiento específico de los padres o responsables, informado y verificable, distinto del contrato general de matrícula. Conviene ofrecer la opción de aceptar o rechazar ese uso por separado y respetar la decisión, con un registro de quién autorizó qué.
¿Qué hago si se filtra información de estudiantes?
Contener el incidente, evaluar el alcance y notificar la brecha en el plazo legal de 72 horas desde la detección, además de informar a las familias afectadas. Cumplirlo exige tener antes un plan de respuesta con responsables definidos; improvisarlo durante la crisis no funciona.
¿Las plataformas educativas que usamos son responsabilidad nuestra?
Sí. La institución es responsable del tratamiento y la plataforma actúa como encargada por cuenta suya, lo que obliga a revisar qué hace con los datos y a formalizarlo por contrato. Adoptar apps sin esa revisión traslada el riesgo al colegio, no al proveedor.
El siguiente paso
Si quiere saber en qué punto está su institución antes de la próxima matrícula, descargue el checklist de 20 controles esenciales para evaluar su base técnica, o solicite el dossier de cumplimiento con las obligaciones que aplican a una entidad educativa. También puede ver cómo trabajamos con el sector educación o leer la guía completa de ciberseguridad para empresas en El Salvador.
Nota: este artículo es informativo y refleja el estado de la normativa a julio de 2026. No constituye asesoría legal; para su situación específica consulte a su asesor jurídico y las publicaciones oficiales de la ACE.