En resumen:
- Los registros de asistencia y las firmas son datos personales en todos los países de esta guía.
- En América Latina no se aplica el RGPD. Cada país tiene su ley y su autoridad de control, con principios parecidos: información al titular, finalidad, proporcionalidad y seguridad.
- Informe siempre a los estudiantes de qué datos de asistencia se recogen, con qué finalidad y durante cuánto tiempo se conservan.
- El proveedor de su herramienta de asistencia trata los datos por cuenta de la institución. Formalice esa relación por contrato.
- Los derechos de acceso, rectificación, cancelación y oposición (ARCO en buena parte de la región) incluyen el historial de asistencia del estudiante.
Universidades, colegios e institutos de formación tratan datos personales todos los días: expedientes de inscripción, horarios, calificaciones y, sobre todo, registros de asistencia. Cada firma en una lista de asistencia es un dato personal. Sin embargo, la ley que se aplica cambia de un país a otro: el RGPD europeo no rige en América Latina, donde cada país tiene su propia ley de protección de datos.
Esta guía toma el ejemplo que su institución maneja en cada sesión, los datos de asistencia y de firma, y resume lo que exigen las leyes de México, Colombia, Perú, Argentina, Chile y España. Es una orientación práctica, no asesoría jurídica: valide cada punto con su área legal o su delegado de protección de datos.
En todas las legislaciones de esta guía, un dato personal es cualquier información que identifica o permite identificar a una persona. En una institución educativa incluye:
Algunos datos son sensibles y exigen más protección en todas estas leyes: la salud (un certificado médico que justifica una falta), los datos biométricos o la información sobre creencias religiosas. Un justificante médico no es un adjunto cualquiera: limite quién puede verlo.
| País | Ley principal | Autoridad de control | Puntos a tener en cuenta en educación |
|---|---|---|---|
| México | Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), renovada en 2025 | Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del INAI tras la reforma de 2025 | Aplica a escuelas y universidades particulares. Las universidades públicas, como sujetos obligados, se rigen por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. Aviso de privacidad obligatorio. |
| Colombia | Ley 1581 de 2012 y Decreto 1377 de 2013 | Superintendencia de Industria y Comercio (SIC) | Autorización previa del titular salvo excepciones legales, política de tratamiento de datos publicada. |
| Perú | Ley 29733, Ley de Protección de Datos Personales, y su reglamento | Autoridad Nacional de Protección de Datos Personales (Ministerio de Justicia y Derechos Humanos) | Consentimiento como regla general, con excepciones previstas en la ley. |
| Argentina | Ley 25.326 de Protección de los Datos Personales | Agencia de Acceso a la Información Pública (AAIP) | Principio de finalidad y deber de seguridad y confidencialidad. |
| Chile | Ley 21.719, que reemplaza a la Ley 19.628 | Agencia de Protección de Datos Personales, creada por la nueva ley | La nueva ley entra plenamente en vigor en diciembre de 2026: conviene preparar ya los procesos. |
| España | RGPD y Ley Orgánica 3/2018 (LOPDGDD) | Agencia Española de Protección de Datos (AEPD) | La LOPDGDD obliga a los centros docentes y a las universidades públicas y privadas a designar un delegado de protección de datos. |
Las referencias legales cambian: antes de apoyarse en esta tabla para una decisión, confirme la versión vigente con su área jurídica.
Todas estas leyes exigen una justificación para tratar datos personales, aunque la formulen de distinta manera. Para la asistencia, las más habituales son:
En España, como en el resto de la Unión Europea, el consentimiento rara vez es la base adecuada para la asistencia obligatoria. Las universidades públicas se apoyan en su misión de interés público, y los centros privados en el contrato.
La obligación de informar al titular es común a todos los países de esta guía. En México se llama aviso de privacidad; en Colombia, la política de tratamiento debe estar publicada y comunicada. Para la asistencia, el aviso debe indicar:
Cuando usa una herramienta digital para tomar asistencia o recoger firmas, el proveedor trata los datos por cuenta de la institución. Las distintas leyes lo llaman encargado del tratamiento o encargado; en todos los casos, la relación debe quedar por escrito. El contrato debe fijar:
Las transferencias internacionales merecen atención especial: varias leyes de la región exigen informar al titular o garantizar un nivel de protección adecuado en el país de destino. Consulte en nuestra página de seguridad dónde aloja Edusign los datos y con qué certificaciones.
Ninguna de estas leyes fija un número de años para los registros de asistencia. Todas aplican el mismo principio: conservar los datos solo el tiempo necesario para la finalidad. En la práctica, el plazo depende de:
Documente el plazo y aplíquelo. El error más común no es elegir mal el plazo, sino no borrar nunca. Edusign guarda los registros de asistencia firmados en un archivo electrónico seguro, lo que le permite conservar la prueba durante el plazo que usted defina y encontrarla cuando una auditoría la solicite.
Los estudiantes pueden pedir acceso a sus datos, incluido su historial de asistencia. Cada ley fija sus propios plazos de respuesta: verifíquelos en la normativa de su país y organice el procedimiento antes de recibir la primera solicitud.
Con un control de asistencia digital, el historial está en un solo lugar y se puede exportar, en lugar de estar repartido en listas de papel en varias oficinas. Antes de enviarlo, compruebe que la exportación no incluye datos de otros estudiantes.
Una brecha puede ser una computadora extraviada, una lista de alumnos enviada al destinatario equivocado o un ciberataque. Los pasos básicos son los mismos en todos los países:
Para las definiciones de los términos usados en esta guía, consulte nuestra entrada del glosario sobre el RGPD. Y si organiza el registro de asistencia en su institución, lea nuestra guía de control de asistencia escolar.
Sí. Un registro que muestra que un estudiante identificado estuvo presente o ausente en una sesión se refiere a una persona identificada. Es un dato personal en todas las leyes de esta guía.
En general no. Cada país tiene su propia ley de protección de datos. El RGPD puede aplicarse a una institución latinoamericana solo en casos concretos, por ejemplo si ofrece servicios a personas que se encuentran en la Unión Europea.
Depende del país. En Colombia y Perú la autorización o el consentimiento es la regla general, con excepciones legales. En España, la base suele ser la misión de interés público o el contrato. Revise la ley de su país con su área jurídica.
Ninguna de estas leyes fija un plazo específico. Consérvelas mientras sean necesarias para el programa, las auditorías y las obligaciones contables, documente ese plazo y elimínelas después.
La nueva ley reemplaza a la Ley 19.628, crea una Agencia de Protección de Datos Personales y refuerza las obligaciones de los responsables. Entra plenamente en vigor en diciembre de 2026, por lo que las instituciones chilenas deberían revisar ya sus procesos.