El RGPD en universidades exige organizar decisiones distintas: conservar un expediente académico, evaluar un examen, ofrecer alojamiento, investigar una enfermedad o difundir una fotografía institucional no persiguen la misma finalidad. La matrícula no proporciona una autorización general para cualquiera de esas operaciones. Cada servicio necesita identificar qué datos utiliza, con qué fundamento, quién puede acceder y qué ocurre cuando termina la actividad.
Las universidades públicas y privadas españolas deben designar un delegado de protección de datos por mandato expreso del artículo 34.1.b de la LOPDGDD. Esa obligación no depende de demostrar que una universidad privada trata datos a gran escala. El delegado asesora y supervisa; los órganos responsables de la institución conservan sus obligaciones y deben dotar de medios al sistema de cumplimiento.
Del expediente académico a las finalidades concretas
El punto de partida es separar admisión, matrícula, evaluación, expedición de títulos, becas, orientación, investigación y servicios complementarios. El registro de actividades de tratamiento permite ordenar esos fines, los colectivos afectados, los destinatarios, las transferencias y los plazos previstos. Un inventario que enumera únicamente aplicaciones informáticas deja sin explicar para qué se utiliza cada una y dificulta decidir quién necesita acceso.
La Ley Orgánica del Sistema Universitario atribuye funciones docentes, investigadoras y de transferencia del conocimiento. Para aplicar los artículos 6.1.c o 6.1.e del RGPD hay que relacionar la operación concreta con su obligación legal o competencia legalmente atribuida. No basta escribir «interés público» en todos los formularios. Tampoco debe pedirse un consentimiento revocable para presentar como opcional un tratamiento que la universidad debe realizar por ley.
En un alojamiento universitario, por ejemplo, la gestión necesaria del contrato puede tener una base distinta de la publicidad de actividades comerciales dirigida al residente. La firma de la matrícula tampoco permite reutilizar automáticamente los datos para promociones de empresas colaboradoras. Antes de recogerlos, conviene separar los campos indispensables de los voluntarios y explicar las consecuencias reales de no facilitar cada categoría.
El interés legítimo requiere identificar el interés, acreditar la necesidad y ponderarlo frente a los derechos de las personas. Las autoridades públicas no pueden utilizar el artículo 6.1.f para tratar datos en el ejercicio de sus funciones. Por ello, llamar «comunicaciones institucionales» a todos los mensajes no resuelve su base jurídica: un aviso de examen, una encuesta y una campaña de captación de estudiantes merecen análisis separados.
Informar durante la recogida y mantener la información comprensible
La información debe llegar cuando se recogen los datos del estudiante, de acuerdo con el artículo 13 del RGPD. Ha de explicar, entre otros extremos aplicables, quién es responsable, cómo contactar con el delegado, para qué se tratarán los datos, la base jurídica, los destinatarios, la conservación y los derechos. Si los datos proceden de otra entidad, debe analizarse el artículo 14, incluidas sus reglas de plazo y sus excepciones concretas.
El artículo 11 de la LOPDGDD permite ofrecer información básica y acceso sencillo e inmediato al resto. Las capas son una forma útil de presentación, no una obligación de dividir cualquier aviso exactamente en dos pantallas. Un enlace perdido en el pie de una web no explica por sí solo el uso de datos que comienza en una aplicación de prácticas o en una encuesta.
La secretaría, los servicios de becas y las unidades investigadoras deben utilizar avisos adecuados a sus operaciones. Es útil conservar la versión comunicada y la fecha en que se puso a disposición. Así puede comprobarse qué sabía una persona cuando se inscribió, sin confundir la prueba de información con una prueba de consentimiento ni exigir que acepte una política como condición indiscriminada de acceso a sus derechos.
Calificaciones, listas y documentos accesibles
Una universidad debe identificar primero por qué necesita comunicar una calificación y a quién. El acceso individual al expediente suele reducir la exposición frente a una lista abierta en internet. Cuando un procedimiento exige publicidad colectiva, deben examinarse su fundamento, las personas destinatarias, los identificadores necesarios y el tiempo de disponibilidad. La transparencia administrativa no convierte en pública toda la información del expediente.
La disposición adicional séptima de la LOPDGDD distingue la publicación de actos administrativos de la notificación por anuncios. Para la primera contempla nombre y apellidos con cuatro cifras del documento identificativo; la segunda tiene una regla diferente, basada en el número completo en los supuestos previstos. No debe publicarse conjuntamente el nombre completo y el número íntegro del documento. Estas reglas no son una autorización general para colocar cualquier lista de notas en una página pública.
También deben revisarse los datos que aparecen en columnas auxiliares, nombres de archivo y comentarios. Una lista de adaptaciones por discapacidad o de ayudas vinculadas a circunstancias personales puede revelar información adicional innecesaria para conocer el resultado. Eliminar la columna visible no basta si el archivo descargable conserva hojas ocultas, metadatos o versiones anteriores accesibles.
Investigación científica: separar licitud, ética y garantías
El artículo 89 del RGPD exige garantías apropiadas para la investigación científica, con especial atención a la minimización y, cuando permita alcanzar los fines, la seudonimización. No crea por sí solo una base jurídica universal para investigar cualquier dato disponible. El proyecto debe justificar su fundamento del artículo 6 y, si utiliza categorías especiales, la condición pertinente del artículo 9, junto con la normativa sectorial aplicable.
La disposición adicional decimoséptima de la LOPDGDD regula específicamente datos de salud e investigación sanitaria y biomédica. No puede trasladarse sin más a una encuesta sociológica, una investigación lingüística o un estudio sobre rendimiento académico. Su aplicación exige comprobar el supuesto concreto: reutilización, investigación con datos seudonimizados, intervención del comité de ética y las garantías previstas para cada situación.
El consentimiento para participar en un estudio y el consentimiento como base jurídica del tratamiento de datos responden a preguntas diferentes. La revisión ética tampoco sustituye el análisis de protección de datos. Un proyecto debe explicar qué información recibe, qué equipo conserva la correspondencia entre códigos e identidades, quién accederá a los resultados individuales y qué se publicará en artículos, repositorios o conjuntos de datos abiertos.
La compatibilidad de una reutilización científica se analiza con las garantías del RGPD; no permite ignorar la finalidad inicial ni las condiciones legales del nuevo uso. Si el proyecto cambia sustancialmente, deben revisarse la base, la información facilitada y las autorizaciones que procedan. Una solicitud de financiación aprobada no acredita por sí sola que todos los datos propuestos puedan compartirse con todos los participantes del consorcio.
Seudonimizar y evaluar la posibilidad de identificación
Sustituir los nombres por códigos reduce riesgos cuando la información adicional se mantiene separada y protegida. Para la universidad que conserva la clave y puede relacionar los resultados con el estudiante, esos registros siguen siendo datos personales. La guía de anonimización y seudonimización ayuda a distinguir la reducción del riesgo de una salida efectiva del ámbito del RGPD.
La evaluación debe considerar los medios razonablemente utilizables para identificar a las personas en el contexto concreto, incluidos los cruces con otros datos disponibles. No basta borrar el DNI: una combinación de titulación, localidad, edad y circunstancias excepcionales puede señalar a una sola persona. Tampoco debe formularse una regla absoluta según la cual cualquier clave existente en cualquier lugar permite identificar a todos los destinatarios en idénticas condiciones.
Antes de publicar resultados, conviene comprobar grupos pequeños, valores extremos y respuestas de texto libre. Si se comparte un conjunto con otro equipo, deben documentarse su acceso a información adicional y las restricciones técnicas y contractuales. La evaluación de identificabilidad del receptor no elimina las obligaciones que correspondían a la universidad al recoger y tratar inicialmente la información.
Exámenes remotos y reconocimiento facial
Una videollamada de examen, una grabación del domicilio y un sistema de reconocimiento facial continuo tienen capacidades y riesgos diferentes. No toda imagen es automáticamente un dato biométrico de categoría especial: importa el tratamiento técnico y su finalidad de identificar de manera unívoca a una persona. Del mismo modo, detectar una ventana abierta en el ordenador no equivale por sí solo a realizar identificación biométrica.
La resolución PS/00067/2024 de la AEPD examina un sistema universitario de reconocimiento facial sin una alternativa equivalente para el alumnado. La Agencia rechazó en ese supuesto el consentimiento como excepción válida y consideró insuficiente la invocación genérica de la normativa universitaria para justificar el interés público esencial del artículo 9.2.g. Esta referencia describe el criterio de la resolución, sin atribuirle aquí una firmeza judicial no comprobada.
La decisión práctica debe comenzar por la necesidad: qué fraude se intenta evitar, qué datos requiere el método y qué alternativas menos intrusivas existen. Si se propone consentimiento explícito para datos biométricos, la elección debe ser real, sin perjuicios relevantes por rechazarlo. Ofrecer como única salida abandonar la universidad no proporciona una alternativa equivalente. Aun con una elección válida, siguen siendo exigibles la minimización y la proporcionalidad.
La evaluación de impacto es necesaria cuando el tratamiento pueda entrañar un alto riesgo, atendiendo al artículo 35 y a los criterios aplicables. Debe realizarse antes de empezar y examinar el sistema realmente configurado. No aporta una base jurídica inexistente. Si persiste un alto riesgo que no se mitiga suficientemente, el responsable debe consultar previamente a la autoridad conforme al artículo 36.
Plataformas y entidades colaboradoras
La universidad debe determinar los roles por actividad. Un proveedor que aloja expedientes siguiendo instrucciones puede ser encargado; una entidad colaboradora que decide sus propios fines puede actuar como responsable independiente. Si dos organizaciones determinan conjuntamente fines y medios, debe analizarse la corresponsabilidad. Llamar «colaborador» a todas ellas en un convenio no sustituye esta clasificación.
Para los encargados, el contrato del artículo 28 debe concretar instrucciones, confidencialidad, seguridad, subencargados, asistencia y destino final de los datos. El modelo de contrato de encargado del tratamiento ofrece una referencia para revisar esas materias. Hay que contrastarlas con el funcionamiento efectivo: cuentas de soporte, exportaciones, registros de actividad y usos propios del proveedor para mejorar productos o entrenar modelos.
Cuando finaliza la prestación, el encargado debe devolver o suprimir los datos, a elección del responsable, y eliminar las copias existentes, salvo conservación exigida por el Derecho de la Unión o de un Estado miembro. La migración necesita incluir ficheros adjuntos y permisos, además de la base principal. Conviene comprobar que el nuevo servicio mantiene las restricciones de acceso y que las cuentas del anterior dejan de funcionar.
Movilidad internacional y transferencias
Un intercambio entre universidades dentro del Espacio Económico Europeo no constituye por ese motivo una transferencia a un tercer país. Sí exige justificar la comunicación, informar y limitar los datos a los necesarios. Los programas de movilidad pueden incluir destinos extracomunitarios y proveedores con accesos desde terceros países: hay que examinar cada flujo real, no atribuir un mismo régimen a todos los programas Erasmus.
Cuando corresponda aplicar el capítulo V, deben verificarse una decisión de adecuación, las garantías apropiadas u otra vía legal aplicable. Las transferencias internacionales de datos necesitan documentación específica sobre el receptor, los países, el mecanismo utilizado y las condiciones de protección. Elegir una región europea para el almacenamiento no demuestra que el soporte, las copias o los subencargados permanezcan dentro de ella.
Derechos, conservación y respuesta a incidentes
El estudiante conserva sus derechos aunque el tratamiento no dependa del consentimiento. El artículo 21 contempla oposición por motivos particulares frente a tratamientos basados en el artículo 6.1.e o 6.1.f, con las condiciones y excepciones correspondientes. No se aplica de la misma forma a una obligación legal del artículo 6.1.c. La universidad debe resolver la solicitud concreta, no contestar automáticamente que los expedientes públicos carecen de derechos.
Las solicitudes se atienden sin dilación indebida y, en todo caso, en un mes; puede ampliarse el plazo otros dos meses por complejidad o número de solicitudes, informando dentro del primero y explicando los motivos. Si no se atiende la solicitud, deben comunicarse los motivos sin dilación y, como máximo, en un mes desde su recepción, junto con las vías de reclamación y tutela judicial; la ampliación por complejidad no permite aplazar este aviso inicial de falta de actuación. El procedimiento debe permitir localizar información en departamentos y plataformas sin obligar al estudiante a identificar todos los sistemas internos.
No todos los documentos académicos tienen la misma conservación. Las actas, los títulos, las solicitudes incompletas, las grabaciones de exámenes y los datos de contacto de antiguos alumnos cumplen funciones distintas. La normativa académica y archivística, las obligaciones legales y las reclamaciones justifican decisiones diferenciadas. Conviene fijar un desencadenante verificable para cada plazo y limitar los accesos cuando termina la gestión ordinaria.
Ante una violación de datos personales, el responsable evalúa el riesgo y notifica a la autoridad competente sin dilación indebida y, de ser posible, dentro de las 72 horas desde que tiene constancia, salvo que sea improbable que exista riesgo para los derechos y libertades. Si se retrasa, explica los motivos. Documenta todas las violaciones y analiza separadamente la comunicación a las personas cuando sea probable un alto riesgo, con las excepciones del artículo 34.
Gobierno cotidiano y preguntas frecuentes
El delegado debe participar a tiempo en nuevas plataformas, proyectos y compras, disponer de recursos y actuar sin conflictos de intereses. La guía de DPO obligatorio en España desarrolla su designación. Cada unidad debe conservar un responsable operativo para corregir permisos, mantener avisos y ejecutar decisiones; trasladar toda la gestión al delegado impide una supervisión independiente eficaz.
La autoridad competente puede ser la AEPD o una autoridad autonómica, según el ámbito legal aplicable. Las universidades públicas figuran en el régimen del artículo 77 de la LOPDGDD, que contempla declaración de infracción y medidas correctoras; ello no equivale a ausencia de responsabilidad. La explicación de sanciones a administraciones públicas permite distinguir ese régimen de las multas aplicables a entidades privadas.
¿Puede investigarse con los datos del alumnado?
Puede ser posible si se justifican el fundamento, la finalidad y las garantías del proyecto. La pertenencia a una universidad no habilita cualquier reutilización. Deben diferenciarse la investigación general y la sanitaria, evaluar la identificabilidad y determinar las comunicaciones y publicaciones previstas antes de entregar los conjuntos de datos al equipo.
¿Basta una evaluación de impacto para implantar proctoring?
No. Además del análisis de riesgo, deben existir base jurídica y, cuando se traten datos biométricos para identificar unívocamente, una condición válida del artículo 9. Deben revisarse necesidad, alternativas, información, conservación y accesos. Cambiar el proveedor no corrige por sí solo una finalidad excesiva o una falta de habilitación.
¿Se aplica el mismo esquema a otros centros educativos?
Hay obligaciones compartidas, pero cada sector tiene funciones y normas propias. Los supuestos de autoescuelas, guarderías y escuelas infantiles y academias de formación sirven para comparar operaciones concretas. No deben trasladarse automáticamente sus bases jurídicas, edades o plazos de conservación al expediente universitario.