En una frase. Una universidad, pública o privada, trata datos a gran escala —expediente académico, investigación, biometría en exámenes remotos— y por eso está obligada a designar un delegado de protección de datos y a documentar cada tratamiento con el máximo rigor.
El RGPD universidades combina varios regímenes: el expediente académico, la investigación científica con sus garantías específicas, la supervisión remota de exámenes y la publicación de calificaciones. Esta guía ordena las obligaciones y señala los puntos donde la Agencia Española de Protección de Datos ha marcado criterio.
Puntos clave
- La universidad debe designar DPO obligatorio (art. 37 RGPD y art. 34 LOPDGDD).
- La investigación científica tiene garantías propias en la disposición adicional 17.ª LOPDGDD.
- El proctoring es un tratamiento de alto riesgo que exige evaluación de impacto.
- La publicación de calificaciones debe minimizar los datos identificativos.
- Los programas internacionales implican transferencias de datos que hay que amparar.
1. El expediente académico y sus bases
La universidad trata datos del alumnado sobre distintas bases jurídicas según la actividad:
- Gestión académica (matrícula, actas, títulos): cumplimiento de una misión de interés público y de obligaciones legales (art. 6.1.c y 6.1.e RGPD), no consentimiento.
- Servicios complementarios (deporte, alojamiento, actividades): ejecución de contrato o consentimiento.
- Comunicaciones institucionales: interés legítimo con derecho de oposición.
La consecuencia práctica es que la mayor parte de la gestión universitaria no depende del consentimiento del estudiante, sino de sus funciones públicas y legales. Esto no reduce las obligaciones de transparencia: la universidad debe informar en dos capas y mantener un registro de actividades de tratamiento exhaustivo.
Esta distinción tiene efectos concretos. Como la base no es el consentimiento, el estudiante no puede oponerse a que la universidad conserve su expediente académico o comunique sus calificaciones a la Administración educativa: son tratamientos necesarios para el cumplimiento de funciones públicas. En cambio, sí conserva plenos derechos de acceso, rectificación y, en su caso, limitación. La universidad debe tener un procedimiento claro para atender esas solicitudes dentro del plazo de un mes del art. 12 RGPD, y no puede escudarse en su condición de organismo público para demorarlas. La confusión entre “no se puede oponer” y “no tiene derechos” es una fuente habitual de reclamaciones ante la autoridad de control.
2. Investigación científica: garantías específicas
La investigación es donde el marco se vuelve más técnico. La disposición adicional 17.ª de la LOPDGDD establece garantías para el tratamiento de datos con fines de investigación biomédica y en salud, y el art. 89 del Reglamento (UE) 2016/679 prevé salvaguardas para la investigación científica en general.
Elementos clave:
- Posibilidad de reutilizar datos para investigación cuando sea compatible con la finalidad original.
- Uso preferente de datos seudonimizados para reducir el riesgo.
- Comités de ética y análisis de riesgo previos.
- Información adecuada a los interesados, con las excepciones tasadas cuando informar resulte imposible o desproporcionado.
La seudonimización no convierte el dato en anónimo: el dato seudonimizado sigue siendo personal y sujeto al RGPD. Este matiz es determinante para el diseño de cualquier proyecto de investigación.
En la práctica, muchos grupos de investigación creen que “quitar el nombre” basta para trabajar libremente con los datos. No es así. Mientras exista una tabla de correspondencia o cualquier medio razonable de reidentificar a las personas, el conjunto sigue siendo dato personal y todas las obligaciones del RGPD se mantienen: información, seguridad, limitación de la conservación y, si el riesgo es alto, evaluación de impacto. Solo la anonimización irreversible, que impide reidentificar a los sujetos incluso combinando fuentes, saca los datos del ámbito del Reglamento. Diseñar correctamente esta frontera al inicio del proyecto ahorra rehacer todo el tratamiento cuando el comité de ética o el DPO detectan el error.
3. Proctoring y exámenes online
La supervisión remota de exámenes se generalizó con la enseñanza a distancia. Es uno de los tratamientos de mayor riesgo del ámbito universitario porque puede implicar:
- Captación de imagen y sonido del domicilio del estudiante.
- Datos biométricos si se usa reconocimiento facial o análisis de comportamiento.
- Monitorización del entorno privado.
La AEPD ha señalado que estos sistemas exigen una evaluación de impacto previa, minimización estricta, información transparente y alternativas para quienes no puedan o no deban someterse a la vigilancia. Implantar proctoring sin ese análisis es una de las decisiones más arriesgadas que puede tomar una universidad. Documenta el análisis con la guía de evaluación de impacto.
4. Publicación de calificaciones y datos del alumnado
Publicar listas de notas con nombre completo y DNI es un tratamiento excesivo. El criterio consolidado es minimizar: publicar solo los datos imprescindibles, evitar identificadores como el DNI completo y usar medios de acceso restringido cuando sea posible. Cuando la publicación de una calificación pueda revelar información sensible —por ejemplo, la nota de una asignatura vinculada a una adaptación curricular por discapacidad—, la cautela debe ser máxima, porque se estaría exponiendo indirectamente un dato de categoría especial. La solución habitual es sustituir la lista pública por el acceso individual de cada estudiante a su expediente a través de la secretaría virtual, evitando cualquier difusión colectiva de resultados. La difusión indebida de calificaciones o de datos de admisión ha generado resoluciones sancionadoras; en el sector público, el régimen suele ser de apercibimiento, como se explica en la guía de sanciones AEPD a administraciones públicas.
5. DPO obligatorio y transferencias internacionales
La universidad debe designar un delegado de protección de datos (art. 37.1.a RGPD para el sector público, y art. 34 LOPDGDD). Consulta los supuestos en la guía de cuándo es obligatorio el DPO en España.
Los programas Erasmus, las colaboraciones de investigación y las plataformas cloud internacionales implican transferencias internacionales de datos que deben ampararse en una decisión de adecuación, en cláusulas contractuales tipo o en otra garantía del capítulo V RGPD. Revisa el marco en la guía de transferencias internacionales.
Un punto a menudo olvidado es la coordinación con las autoridades autonómicas: en comunidades con agencia propia, determinados tratamientos del sector público pueden quedar bajo su supervisión en lugar de la AEPD, por lo que la universidad debe tener claro ante quién responde cada tratamiento. Gestionar decenas de tratamientos, contratos de encargado y evaluaciones de impacto en una institución grande es inabarcable con hojas de cálculo. Plataformas como Legiscope ayudan a mantener el inventario y la documentación actualizados, aunque la coordinación del DPO y de los responsables de cada unidad sigue siendo insustituible.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para autoescuelas, RGPD para guarderías y escuelas infantiles y RGPD para academias y centros de formación.
FAQ
¿Una universidad tiene que tener DPO?
Sí. Las universidades públicas son autoridades u organismos públicos (art. 37.1.a RGPD) y las privadas suelen cumplir los criterios de tratamiento a gran escala. El art. 34 LOPDGDD confirma la obligación de designar delegado de protección de datos.
¿Puede la universidad usar datos de estudiantes para investigación?
Sí, con las garantías del art. 89 RGPD y de la disposición adicional 17.ª LOPDGDD: preferencia por datos seudonimizados, análisis de riesgo, comités de ética e información adecuada. La reutilización debe ser compatible con la finalidad original.
¿Es legal el proctoring en exámenes online?
Puede serlo, pero es un tratamiento de alto riesgo que exige evaluación de impacto previa, minimización, información transparente y alternativas. Implantarlo sin ese análisis es contrario al RGPD.
¿Puedo publicar las notas con el nombre y el DNI de los alumnos?
No. Publicar el DNI completo es excesivo. Debes minimizar los datos, evitar identificadores innecesarios y usar medios de acceso restringido siempre que sea posible.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial