Por qué cada cargo en tu colegio debe ver solo lo que necesita

El problema que nadie nombra pero todos experimentan

En la mayoría de los colegios chilenos, cuando alguien necesita acceso a la plataforma de gestión escolar, se le crea una cuenta con permisos amplios "para que pueda trabajar sin problemas". El resultado es predecible: auxiliares de servicio que pueden ver diagnósticos psicológicos, profesores que acceden a fichas socioeconómicas de apoderados, administrativos que pueden modificar calificaciones. Nadie lo hace con mala intención. Pero el daño (legal, reputacional, humano) es el mismo.

El Control de Acceso Basado en Roles (RBAC, por su sigla en inglés) es la respuesta estructural a este problema. Y bajo la Ley 21.719, ya no es una buena práctica opcional: es un requisito legal derivado del principio de minimización de datos.

Qué significa RBAC en términos simples

RBAC es el principio de que cada persona en el sistema accede exclusivamente a la información que necesita para cumplir su función, y nada más. No es una configuración complicada: es una decisión de diseño. En lugar de asignar permisos a cada usuario individualmente, lo que genera inconsistencias y es imposible de auditar, se definen roles con permisos específicos y cada persona recibe el rol que corresponde a su cargo.

La pregunta que guía el diseño de cada rol es simple: ¿qué información necesita esta persona para hacer su trabajo correctamente? Todo lo que no sea necesario para esa respuesta, no debería estar disponible.

Los 6 roles clave en un establecimiento escolar

El modelo de roles para un colegio chileno bien implementado distingue al menos seis perfiles con permisos diferenciados:

Rol	Accede a	No accede a
Administrador del sistema	Configuración técnica, audit log, gestión de usuarios	Contenido de datos personales de alumnos
Director	Indicadores agregados, asistencia global, informes de gestión	Detalle de fichas individuales, datos clínicos
Inspector General	Asistencia por curso, registro de atrasos, historial disciplinario	Calificaciones, datos socioeconómicos, fichas de salud
Docente	Libro de clases de sus cursos, calificaciones de sus asignaturas, alertas de emergencia de sus alumnos	Datos de cursos que no dicta, informes psicológicos, fichas de otros docentes
Orientador / Psicólogo	Fichas de derivación, alertas de salud mental, historial de intervenciones	Calificaciones completas, datos disciplinarios sin relevancia clínica
Portero / Auxiliar de acceso	Foto del alumno, nombre completo, alertas críticas de seguridad	Todo lo demás

El portero: el caso más ilustrativo del principio

El rol del portero o auxiliar de acceso es el ejemplo más claro de por qué RBAC importa. Esta persona necesita saber tres cosas: que el alumno que está ingresando pertenece al establecimiento, cuál es su cara para verificar la identidad, y si hay alguna alerta crítica activa, por ejemplo una restricción de salida o una alerta de custodia en disputa judicial.

No necesita saber las calificaciones del alumno. No necesita saber si tiene un diagnóstico de salud mental. No necesita ver el historial disciplinario ni el informe del psicólogo. Si el sistema le muestra esa información, no es porque sea útil para su función: es porque el sistema fue mal configurado.

Un portero con acceso excesivo representa un riesgo concreto. Si ese funcionario comenta inadvertidamente, o deliberadamente, información sobre la situación académica o de salud de un alumno a personas no autorizadas, el colegio es responsable de esa filtración bajo la Ley 21.719. La multa no se atenúa porque el acceso fue accidental.

Escenarios reales donde la falta de RBAC causó problemas

Los siguientes escenarios son representativos de situaciones que ocurren en establecimientos sin control de acceso adecuado:

• Un auxiliar administrativo con acceso al sistema completo descarga la base de datos de alumnos para compartirla con una empresa de seguros de salud sin autorización. El colegio no tiene forma de saber qué información se extrajo ni cuándo, porque no hay audit log.
• Un docente accede al informe psicológico de un alumno de otro curso, lo comenta en sala de profesores y el apoderado se entera. El colegio no puede demostrar que el acceso fue no autorizado porque el docente tenía permisos sobre toda la plataforma.
• Durante un proceso de custodia judicial, el padre sin custodia llega al colegio y el portero, que tiene acceso al sistema general, le entrega información sobre los horarios de salida del alumno. El juzgado de familia determina que el colegio no implementó los controles adecuados.

En los tres casos, el problema raíz es el mismo: personas con acceso a información que no necesitaban para su función.

Row-Level Security: el siguiente nivel de control

RBAC por roles es el primer nivel de control. Para colegios con múltiples sedes o que operan como red de establecimientos bajo un mismo sostenedor, el nivel de aislamiento requerido es más granular: Row-Level Security (RLS).

RLS es el mecanismo técnico que garantiza que un usuario, aunque tenga el mismo rol que otro en un establecimiento diferente, solo puede ver los registros que le corresponden. Un inspector del Colegio A no puede ver la asistencia del Colegio B, aunque ambos operen en la misma plataforma y el inspector del Colegio B tenga exactamente los mismos permisos de rol.

En el contexto de la Ley 21.719, RLS es lo que hace posible el cumplimiento en arquitecturas multi-tenant, es decir, sistemas compartidos entre múltiples establecimientos. Sin RLS, el aislamiento de datos entre sedes es una promesa sin respaldo técnico. Con RLS, es una garantía estructural que puede demostrarse ante la Agencia de Protección de Datos Personales.

La conexión con la Ley 21.719: minimización de datos

El principio de minimización de datos del artículo 3° de la Ley 21.719 establece que los datos personales deben ser tratados solo en la medida necesaria para la finalidad que justifica su recolección. RBAC es la implementación técnica de ese principio: cada rol accede solo a los datos que necesita para cumplir la finalidad de su función.

La Agencia de Protección de Datos Personales, en una fiscalización, puede solicitar evidencia de que el establecimiento ha implementado controles de acceso adecuados. Un sistema sin RBAC no puede demostrar ese cumplimiento. Un sistema con RBAC bien configurado puede exportar el mapa completo de permisos por rol, el historial de accesos por usuario y los cambios de configuración realizados: todo el audit log que la Agencia necesita ver.

Para entender cómo este control de acceso se relaciona con el manejo de datos médicos específicamente, lea Art. 16 bis: Cómo manejar datos médicos de alumnos sin violar la ley.

Cómo implementar RBAC en su establecimiento

El proceso de implementación no requiere expertise técnico del equipo directivo. Requiere tres decisiones de gestión:

• Definir los roles: mapear cada cargo del establecimiento y determinar qué información necesita para cumplir su función. Este ejercicio lo hace el equipo directivo, no el equipo de TI.
• Exigir el soporte técnico: asegurarse de que la plataforma de gestión escolar que usa el establecimiento soporta RBAC granular y RLS. Si no lo soporta, es un pasivo regulatorio que debe resolverse antes de diciembre de 2026.
• Auditar periódicamente: revisar cada semestre que los roles asignados corresponden a las funciones actuales. Las personas cambian de cargo, se contratan nuevos funcionarios, se modifican responsabilidades. El mapa de roles debe reflejar la realidad operacional.

Conclusión

El control de acceso basado en roles no es una configuración técnica que delegar al encargado de sistemas. Es una decisión de gestión con consecuencias legales, reputacionales y humanas concretas. Un colegio donde cada persona ve solo lo que necesita para hacer su trabajo protege a sus alumnos, protege a su personal de usos inadvertidos de información y reduce drásticamente la exposición del establecimiento a sanciones bajo la Ley 21.719. El costo de implementarlo correctamente desde el principio es una fracción del costo de remediar una brecha de acceso. Para entender el régimen completo de cumplimiento, revise Ley 21.719: Lo que todo colegio debe saber antes de diciembre 2026.