¿Sabías que la SIC acaba de cambiar las reglas del juego en las universidades?

Al enterarnos de que la Superintendencia de Industria y Comercio (SIC) acaba de publicar una guía sobre el manejo de datos en las Instituciones de Educación Superior, comprendemos que esta noticia nos toca a todos, pues en un momento donde la vida académica transcurre entre aulas virtuales, redes sociales y trámites digitales, saber qué hacen las instituciones con nuestra información personal resulta clave en nuestro día a día, y aunque la ley de protección de datos tiene más de diez años, la SIC no se limitó a repetir lo mismo de siempre, sino que esta vez fijó pautas claras para resolver los problemas más comunes del entorno universitario y ponerse al día con el uso de la tecnología.

Entre los puntos clave se destacan los siguientes aspectos fundamentales:

• Fin a las autorizaciones en «combo»: Las universidades ya no pueden pedir una sola firma para todo, pues deben separar las finalidades necesarias, indispensables para matricularse y estudiar, de las accesorias, como recibir publicidad o asistir a eventos, de modo que si un estudiante rechaza una finalidad accesoria, la institución no puede negarle la matrícula ni sancionarlo, debiendo permitirle cambiar de opinión cuando lo desee.
• Quién paga la carrera no decide sobre los datos: Aclarando una de las discusiones más frecuentes, el hecho de que un padre, acudiente o entidad crediticia pague la matrícula no le da derecho a ver las notas ni los expedientes disciplinarios de un estudiante mayor de edad, ya que compartir esa información exige la autorización previa del alumno, salvo en casos excepcionales de urgencia médica o sanitaria.
• Voz y decisión para los adolescentes: En reconocimiento a la autonomía progresiva de los menores, los estudiantes mayores de 14 años pueden autorizar directamente el uso de sus datos para su proceso educativo, por lo que ya no se requiere la firma de los padres para estos trámites universitarios, respetando así su capacidad de decisión y su derecho a ser escuchados.
• Límites a la Inteligencia Artificial y la tecnología: Si la universidad usa plataformas en la nube, IA, analítica predictiva o software para calificar o admitir alumnos, debe aplicar privacidad desde el diseño y realizar obligatoriamente un Estudio de Impacto de Privacidad, el cual debe incluir una descripción detallada del tratamiento de los datos, la evaluación de riesgos para los titulares y las medidas para mitigarlos, con especial cuidado en los datos sensibles.
• Límites al sistema de videovigilancia: De acuerdo con la Sentencia T-170 de 2025, la Corte Constitucional determinó que instalar cámaras dentro de las aulas vulnera la intimidad, la libertad de cátedra y el derecho fundamental al habeas data.
• Designar un Oficial de Protección de Datos: Las instituciones pueden nombrar a un Oficial de Protección de Datos Personales para velar por la implementación efectiva de sus políticas de privacidad.
• Cuidado con las tareas e investigaciones: Si un estudiante recolecta datos para una tesis, encuesta o trabajo de campo con el respaldo o recursos de la universidad, la responsabilidad legal como Responsable del Tratamiento sigue siendo de la institución, por lo que las universidades deben orientar, supervisar y garantizar la seguridad de esa información.

Lo que pasaría si las universidades ignoraran la guia

Para entender la verdadera importancia de estos nuevos lineamientos, analicemos el caso hipotético de lo que pasaría si una institución educativa operará en total desconocimiento de la norma, ejemplificado en la historia de Mateo en la «Universidad San Miguel de la Sabana».

Imagina la emoción de Mateo, un joven de 18 años a punto de empezar su carrera de Derecho en dicha universidad, cuyo entusiasmo se transformó el día de su matrícula virtual al encontrarse con una sola casilla obligatoria que exigía aceptar el contrato, el tratamiento de datos, la suscripción a publicidad comercial y el uso ilimitado de su imagen, bloqueándose la pantalla de inmediato con una alerta en rojo si intentaba desmarcar la publicidad, lo que lo llevó, sin otra alternativa para no perder su cupo, a terminar aceptando todas las finalidades.

Con esta acción, la universidad incurriría en su primera falta al condicionar el acceso a la educación a la aceptación de fines comerciales, práctica que la guía prohíbe explícitamente al exigir que las universidades separen claramente las finalidades necesarias de las accesorias, permitiendo que el estudiante decida libremente sobre estas últimas

A mitad de semestre, tras reprobar una materia, su papá llegó furioso a su apartamento con un certificado oficial en la mano, pues en la oficina de Registro y Control le entregaron sin pensarlo dos veces el historial de notas y el reporte de inasistencias bajo la excusa de que, al pagar el semestre, tenía todo el derecho de ver cómo iba su hijo, violando así la institución gravemente la confidencialidad de la información, dado que financiar la matrícula no otorga acceso libre a las notas ni a los antecedentes disciplinarios del estudiante, a quien nunca se le informó sobre esta entrega ni dio su consentimiento previo y escrito para compartir sus datos con terceros.

Si Mateo decidiera radicar una queja formal ante la Superintendencia de Industria y Comercio, la universidad enfrentaría un panorama bastante complejo, ya que la entidad podría abrirle un proceso sancionatorio e imponerle multas, ordenar el cierre temporal o definitivo de sus bases de datos hasta que la institución adopte todas las medidas pertinentes.

Por historias como esta, resulta fundamental que tanto los estudiantes como las instituciones conozcan y pongan en práctica estos nuevos lineamientos, pues esta nueva directriz de la SIC no es una simple reiteración de conceptos en materia de protección de datos, sino que constituye una herramienta jurídica y práctica indispensable para que las Instituciones de Educación Superior garanticen el derecho fundamental al habeas data de toda la comunidad académica en Colombia, invitando a quienes quieran profundizar en el tema a consultar el documento oficial en el siguiente enlace: https://sedeelectronica.sic.gov.co/publicaciones/otras/guia-sobre-el-tratamiento-de-datos-personales-en-el-contexto-universitario

¿Tu institución educativa cumple con los nuevos lineamientos de la SIC? En Data Protected te acompañamos a evaluar y adaptar tus políticas de privacidad para garantizar el habeas data de tu comunidad académica. Conversa con uno de nuestros especialistas y protege a tu universidad de posibles sanciones.