El RGPD en las universidades: guía completa para la educación superior (2026)

Una visión de conjunto, con fuentes, de la protección de datos en la educación superior para delegados de protección de datos, TI y bibliotecas: qué exige el RGPD a una universidad, cómo lo aplican otras universidades europeas, por qué han multado las autoridades de control a universidades y centros educativos y un plan de 12 meses para llevarlo a la práctica. Cada sección enlaza con una guía más detallada.

Publicado el 9 de octubre de 2026 · Fuentes verificadas el 9 de octubre de 2026

También disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Français · Português

1. ¿Qué supone el RGPD para una universidad?

El RGPD se aplica a todas las universidades de la UE y del EEE, públicas o privadas, porque todas tratan datos personales de estudiantes, candidatos, personal, participantes en investigaciones, antiguos alumnos, usuarios de la biblioteca y visitantes. Una universidad pública suele ser una autoridad pública, lo que cambia tres cosas: las bases jurídicas que puede utilizar, su obligación de designar un DPD y, en algunos países, si se le pueden imponer multas.

La educación superior es un entorno difícil para la protección de datos. Una universidad es a la vez empleadora, institución docente, autoridad evaluadora, organismo de investigación, biblioteca, arrendadora y, a veces, socia en la asistencia sanitaria. Las facultades y los grupos de investigación eligen a menudo sus propias herramientas. Cada año llegan miles de estudiantes nuevos, y gran parte del personal trabaja entre instituciones y países. El RGPD no tiene reglas específicas para las universidades, pero deja margen al derecho nacional, y las leyes nacionales de universidades y de archivos condicionan buena parte de la práctica diaria.

Esta guía recorre todo el panorama a nivel general. Para el texto del propio reglamento, consultad nuestra página El RGPD explicado. Para cada tema enlazamos con una guía más detallada, una plantilla o una herramienta gratuita.

2. ¿Qué base jurídica utiliza una universidad?

La mayoría de las universidades públicas europeas se basan en el artículo 6.1.e) del RGPD: el tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. El artículo 6.3 exige que esa base esté establecida por el Derecho de la Unión o de los Estados miembros, así que la universidad se remite a la ley nacional que le atribuye sus funciones, como una ley de universidades. La obligación legal (art. 6.1.c) cubre las obligaciones legales.

Misión de interés público, anclada en el derecho nacional

El artículo 6.3 dispone que la base del tratamiento de las letras c) y e) «deberá ser establecida por» el Derecho de la Unión o el Derecho de los Estados miembros que se aplique al responsable. Las cláusulas informativas de las universidades muestran cómo funciona en la práctica:

• La Universidad de Oslo basa el tratamiento de los datos de los estudiantes en el artículo 6.1.e), junto con los artículos 2-1 y 2-8 de la Ley noruega de universidades y escuelas universitarias.
• La Universidad de Helsinki indica que el tratamiento "is based on the University's statutory tasks carried out in the public interest (section 2 of the Universities Act)" (se basa en las funciones legales de la universidad realizadas en interés público, artículo 2 de la Ley de universidades).
• La Universidad de Estocolmo señala que la base jurídica más habitual es "a task of public interest in accordance with Article 6(1)(e)" (una misión de interés público conforme al artículo 6.1.e).
• La Universidad de Uppsala indica que en los asuntos de los estudiantes el tratamiento "is often an aspect of the exercise of official authority" (es a menudo un aspecto del ejercicio de poderes públicos) y que en la investigación suele producirse en interés público.
• El Trinity College Dublin fundamenta la investigación en el artículo 6.1.e) y en la Ley irlandesa de universidades de 1997, según la cual fomentar la investigación es "a primary object and function of the University" (un objeto y una función principales de la universidad).
• La Universitat de Barcelona utiliza el interés público para los datos de movilidad de estudiantes, con cita de la Ley Orgánica 2/2023, del Sistema Universitario (LOSU), y de la ley catalana de universidades.

Una misma cláusula informativa puede usar varias bases. La información para candidatos de la Université Paris-Saclay (septiembre de 2026) recoge la misión de interés público para la gestión de las solicitudes, una obligación legal para la matrícula y el interés legítimo para las invitaciones a los actos de graduación. Este enfoque finalidad por finalidad es una buena práctica y facilita llevar el registro de actividades de tratamiento.

El límite del interés legítimo

El último párrafo del artículo 6.1 establece que lo dispuesto en la letra f), el interés legítimo, «no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones». El considerando 47 explica que corresponde al legislador establecer por ley la base jurídica del tratamiento por parte de las autoridades públicas. Las Directrices 1/2024 del CEPD sobre el interés legítimo (versión 1.0, sometida a consulta pública) añaden que las autoridades públicas solo pueden recurrir a él "in exceptional and limited cases" (en casos excepcionales y limitados) para actividades no vinculadas a sus funciones específicas, si el derecho nacional lo permite, y que ese recurso debe documentarse internamente.

Análisis de Validemic En la práctica, una universidad pública no debería recurrir al interés legítimo para la docencia, la evaluación, la gestión académica o la investigación. Puede ser defendible para actividades realmente periféricas, como algunos actos de antiguos alumnos o una tienda del campus, según el derecho nacional. Si se utiliza, hay que realizar y conservar una ponderación; nuestra plantilla de evaluación del interés legítimo (en inglés) está pensada para ello.

Por qué el consentimiento es una base débil para el tratamiento principal

El considerando 43 señala que el consentimiento no debe constituir un fundamento jurídico válido cuando exista un desequilibrio claro entre el interesado y el responsable, en particular cuando este sea una autoridad pública. Las orientaciones de la Universidad de Oslo para su personal lo aplican al ámbito laboral y señalan que la universidad como empleadora "would normally not be able to use consent as a processing basis for employees" (normalmente no podría usar el consentimiento como base del tratamiento de los datos de sus empleados). La misma lógica vale para los estudiantes que tienen que usar un sistema para aprobar una asignatura. El consentimiento sigue teniendo cabida en las actividades voluntarias: boletines, fotografías para comunicación institucional o una herramienta piloto opcional. Las directrices del CEPD sobre el consentimiento fijan las condiciones. La elección de la base jurídica en la investigación se trata en nuestra guía sobre la base jurídica de la investigación en el RGPD.

3. ¿De quién trata datos una universidad?

Una universidad trata datos de al menos siete grupos de personas. Cada grupo tiene finalidades, bases jurídicas, plazos de conservación y riesgos distintos, así que conviene organizar las cláusulas informativas, el registro y el calendario de conservación por grupos. La tabla ofrece un punto de partida habitual, no una regla: hay que comprobar el derecho nacional aplicable.

4. Categorías especiales de datos y datos penales

El artículo 9.1 prohíbe el tratamiento de categorías especiales de datos salvo que se aplique una excepción del artículo 9.2. Las categorías son el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos dirigidos a identificar a una persona, los datos relativos a la salud y los datos relativos a la vida sexual o la orientación sexual. Las universidades tratan todas ellas.

Ejemplos universitarios habituales:

• Datos de salud para adaptaciones curriculares, adaptaciones en los exámenes, bajas por enfermedad y vigilancia de la salud laboral.
• Datos biométricos en algunas herramientas de supervisión de exámenes, en el reconocimiento facial y en el control de acceso.
• Afiliación sindical en las retenciones de nómina.
• Datos de investigación en medicina, psicología, ciencias sociales y ciencia política, donde las categorías especiales son a menudo el propio objeto de estudio.

Para las funciones universitarias principales, las excepciones más habituales son el artículo 9.2.b) (derecho laboral), el 9.2.g) (interés público esencial sobre la base del Derecho) y el 9.2.j) (investigación, con las garantías del artículo 89). La Universidad de Oslo indica que, para las categorías especiales de datos de los estudiantes, "the legal basis is Article 9 g) of the GDPR" (la base jurídica es el artículo 9.2.g del RGPD), en relación con su ley nacional. Cada una de estas excepciones depende del Derecho de la Unión o nacional, por lo que la vía exacta varía según el país.

Las condenas e infracciones penales se rigen por separado por el artículo 10, que solo permite su tratamiento bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros. Esto importa para la comprobación de antecedentes penales de los estudiantes de magisterio, ciencias de la salud y trabajo social, que suele basarse en el derecho nacional.

5. ¿Necesita una universidad un DPD?

Sí, si es una autoridad u organismo público. El artículo 37.1.a) exige un DPD cuando «el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial». Las universidades privadas también suelen necesitarlo, porque en la educación superior es habitual el tratamiento a gran escala de categorías especiales de datos o la observación habitual y sistemática de personas (art. 37.1.b y c).

La Facultad de Derecho de la Universidad de Lisboa ofrece un ejemplo típico: su política de privacidad indica que, «Atendendo à obrigação legal que resulta da alínea a) do n.º 1 do artigo 37.º do RGPD» (en atención a la obligación legal derivada del artículo 37.1.a del RGPD), ha designado un DPD. El artículo 37.3 permite designar un único DPD para varios organismos públicos, teniendo en cuenta su estructura y tamaño, algo que aprovechan algunas instituciones pequeñas.

Qué hace el DPD y qué no hace

Según el artículo 39.1, el DPD debe, como mínimo, informar y asesorar a la universidad y a su personal, supervisar el cumplimiento (incluida la asignación de responsabilidades, la concienciación, la formación y las auditorías), asesorar sobre las EIPD y cooperar con la autoridad de control y actuar como su punto de contacto. La Universidad de Utrecht lo resume así: "The DPO's main job is to oversee the application and observance of the GDPR within the organisation" (la tarea principal del DPD es supervisar la aplicación y el cumplimiento del RGPD dentro de la organización).

El DPD asesora; la universidad decide. El artículo 38 protege la función: el DPD debe participar «de forma adecuada y en tiempo oportuno» en todas las cuestiones relativas a la protección de datos, debe recibir los recursos necesarios, «no será destituido ni sancionado» por desempeñar sus funciones y rinde cuentas directamente al más alto nivel jerárquico. Sus datos de contacto deben publicarse y comunicarse a la autoridad de control (art. 37.7). La mayoría de las universidades publican un buzón funcional, como fg@uva.nl en la Universidad de Ámsterdam o dataskyddsombud@uu.se en Uppsala.

Las directrices sobre los DPD del Grupo de Trabajo del Artículo 29 (WP243 rev.01), refrendadas por el CEPD, señalan que el DPD no puede ocupar un cargo que le lleve a determinar los fines y medios del tratamiento, y citan como ejemplos de puestos que pueden generar conflicto la dirección de TI y la de recursos humanos. En la acción coordinada de control del CEPD de 2023 sobre los DPD, 25 autoridades detectaron, entre otras cosas, DPD con recursos insuficientes y DPD a los que no se habían asignado todas las funciones que exige el RGPD.

Análisis de Validemic En una universidad grande, un solo DPD no puede revisar cada herramienta, cada cláusula informativa y cada proyecto. Las instituciones que mejor lo gestionan crean una red: personas de contacto en protección de datos en cada facultad, un especialista en privacidad en el servicio de investigación y el equipo de seguridad TI a cargo de la revisión técnica. El DPD asesora entonces en los casos difíciles y supervisa el sistema.

6. Registro de actividades de tratamiento (artículo 30)

Toda universidad debe llevar un registro de actividades de tratamiento (RAT). La excepción del artículo 30.5 para organizaciones de menos de 250 empleados no sirve: no se aplica cuando el tratamiento «no sea ocasional» o incluya categorías especiales de datos, lo que abarca a cualquier universidad. El registro debe recoger los fines, las categorías de datos y de interesados, los destinatarios, las transferencias, los plazos de conservación y las medidas de seguridad.

El registro es también una herramienta de trabajo. KU Leuven informa a sus estudiantes de que "specific retention periods per processing activity are included in the register of processing activities" (los plazos de conservación específicos de cada actividad de tratamiento figuran en el registro de actividades de tratamiento), lo que vincula el registro directamente con el calendario de conservación. La Universidad Complutense de Madrid publica en línea su Registro de Actividades de Tratamiento, de modo que cualquiera puede ver qué trata la universidad y por qué.

Una estructura práctica es una entrada por finalidad, agrupada por colectivo de interesados, con una columna para cada sistema y proveedor implicado. Nuestra plantilla de registro de actividades para universidades y la plantilla en Word (ambas en inglés) siguen esta estructura.

7. Transparencia e información a los interesados

Los artículos 13 y 14 obligan a la universidad a informar a las personas, en el momento de la recogida (o en el plazo de un mes si los datos proceden de otra fuente), de quién es el responsable, cómo contactar con el DPD, los fines y la base jurídica, los destinatarios, las transferencias, la conservación y sus derechos. Las universidades suelen publicar la información por capas: una cláusula general y después una por colectivo o por proceso relevante.

Ejemplos que merece la pena consultar:

• La Universidad de Ámsterdam identifica con claridad al responsable: "The Executive Board of the UvA is the controller" (el Consejo Ejecutivo de la UvA es el responsable del tratamiento).
• KU Leuven tiene una cláusula específica para los participantes en investigaciones, además de la de los estudiantes.
• La Université Paris-Saclay publica una cláusula para un proceso concreto (las solicitudes en línea) con una base jurídica por finalidad y un plazo de conservación por categoría.

Para los participantes en investigaciones, el artículo 14.5.b) admite una excepción cuando informar a cada persona resulte imposible o suponga un esfuerzo desproporcionado, en particular en la investigación, pero la universidad debe entonces hacer pública la información y adoptar otras medidas. Nuestra plantilla de información para participantes en investigaciones (en inglés) recoge los detalles.

8. Derechos de los interesados

Estudiantes, personal, candidatos y participantes tienen derecho de acceso, rectificación, supresión, limitación, portabilidad (cuando la base es el consentimiento o el contrato) y oposición (cuando la base es la misión de interés público). La universidad debe responder «en el plazo de un mes a partir de la recepción de la solicitud», prorrogable otros dos meses en casos complejos (art. 12.3).

Hay tres cuestiones que surgen con más frecuencia en las universidades que en otros ámbitos:

1. Solicitudes de acceso en situaciones de conflicto. Los estudiantes que impugnan una calificación y el personal inmerso en conflictos laborales suelen pedirlo todo, correos incluidos. Nuestra guía sobre el derecho de acceso en las universidades trata los exámenes, los correos y los datos de investigación, con modelos de respuesta (en inglés). Las Directrices 01/2022 del CEPD sobre el derecho de acceso son la referencia principal.
2. Supresión frente a archivo. Las universidades públicas deben conservar a menudo documentos en virtud de las leyes de archivos. La Universidad de Copenhague indica que hay "no right to erasure of information that has been filed in the University's archives in accordance with the Archives Act" (no existe derecho de supresión de la información depositada en el archivo de la universidad conforme a la Ley de archivos). Las letras b) y d) del artículo 17.3 recogen las excepciones en que se apoya.
3. Acceso público a los documentos. Sobre todo en Suecia y Finlandia, cualquier persona puede solicitar los documentos de las universidades públicas en virtud de las normas de transparencia. La Universidad de Lund señala que los documentos públicos se conservan conforme a la Ley de libertad de prensa y la Ley de archivos. La protección de datos y la gestión documental deben coordinarse.

El artículo 22 también gana importancia a medida que se extienden las herramientas automatizadas. Las decisiones basadas únicamente en el tratamiento automatizado que afecten significativamente a una persona, como un rechazo automático en la admisión, solo se permiten en casos limitados y con garantías, entre ellas la intervención humana.

9. ¿Cuándo hace falta una EIPD?

La evaluación de impacto relativa a la protección de datos es obligatoria antes de un tratamiento cuando sea probable que «entrañe un alto riesgo» para las personas (art. 35.1). Las directrices WP248, refrendadas por el CEPD, ofrecen nueve criterios; un tratamiento que cumpla dos de ellos suele necesitar una EIPD. En la educación superior, la observación de estudiantes, las categorías especiales de datos, las nuevas tecnologías y la relación desigual entre universidad y estudiante suman a menudo dos.

Tratamientos universitarios que suelen necesitar una EIPD: la supervisión de exámenes en línea, la analítica del aprendizaje y los sistemas de alerta temprana, las herramientas de IA que evalúan o comentan trabajos de estudiantes, los grandes proyectos de investigación con datos de salud, los sistemas de videovigilancia del campus y los nuevos sistemas de gestión académica o de recursos humanos. El responsable debe recabar el asesoramiento del DPD al realizar una EIPD (art. 35.2).

La Universidad de Edimburgo muestra un circuito de entrada que funciona: el personal escribe al DPD y "will be assigned an assessment through our online tool" (se le asignará una evaluación a través de nuestra herramienta en línea), y puede reutilizarse una EIPD ya existente del mismo sistema. La reutilización importa: si diez departamentos adoptan la misma plataforma, una EIPD bien mantenida con anexos locales es mejor que diez parciales.

Empezad con nuestra herramienta gratuita de cribado de EIPD y usad después la plantilla de EIPD para universidades (en inglés). Para ámbitos concretos de alto riesgo, consultad exámenes en línea y supervisión y analítica del aprendizaje (en inglés).

10. Encargados y contratos con proveedores

Cuando un proveedor trata datos personales por cuenta de la universidad, esta solo puede elegir encargados que ofrezcan «garantías suficientes» y debe contar con un contrato que cumpla el artículo 28.3. Esto vale para la plataforma de aprendizaje, el sistema de gestión académica, el almacenamiento en la nube, las herramientas de encuestas y los servicios de IA, y también para las herramientas gratuitas que el profesorado adopta por su cuenta.

La parte de proveedores del cumplimiento universitario suele incluir:

• Un análisis de roles: ¿el proveedor es encargado, responsable para algunos fines (por ejemplo, la mejora del producto o el entrenamiento de modelos) o corresponsable? Para los consorcios de investigación, véase nuestra guía sobre acuerdos de corresponsabilidad (en inglés).
• Un contrato de encargo revisado frente a los ocho puntos del artículo 28.3. Nuestro verificador de contratos de encargo contrasta un borrador con cada punto.
• Una lista actualizada de subencargados con su ubicación y una forma de detectar los cambios y oponerse a ellos. Nuestra herramienta de alertas de subencargados ayuda a hacer el seguimiento.
• Evidencias de seguridad, como la certificación ISO/IEC 27001 o un informe SOC 2, comprobando su alcance.
• En las funciones de IA: si los datos de la universidad se usan para entrenar modelos y qué proveedores de IA actúan como subencargados.

Nuestra guía de referencia sobre evaluación de proveedores para universidades (en inglés) cubre todo el proceso, desde la solicitud hasta la salida, y nuestras fichas RGPD resumen lo que documentan públicamente proveedores como Canvas, Moodle, Microsoft 365, Google Workspace, Zoom y Turnitin. Las herramientas no autorizadas son un problema aparte; véase TI en la sombra y herramientas de IA no autorizadas.

¿Estáis evaluando a un proveedor? Validemic contrasta su documentación con el RGPD y el Reglamento de IA e indica la fuente de cada conclusión. Probad el entorno de demostración

11. Transferencias internacionales

Las transferencias de datos personales fuera del EEE solo están permitidas conforme al capítulo V: una decisión de adecuación, garantías adecuadas como las cláusulas contractuales tipo (CCT) acompañadas de una evaluación del impacto de la transferencia, o una excepción de alcance limitado. El acceso remoto desde un tercer país, por ejemplo por el personal de soporte de un proveedor, también cuenta como transferencia, así que el alojamiento en la UE no zanja por sí solo la cuestión.

Para los proveedores estadounidenses, la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795) cubre a las organizaciones incluidas en la lista del DPF. Está pendiente un recurso de casación contra la sentencia del Tribunal General que la confirmó (asunto C-703/25 P), por lo que las universidades deben saber qué proveedores dependen de ella. El artículo 49.3 establece además que las excepciones del consentimiento y del contrato no se aplican a las autoridades públicas en el ejercicio de sus poderes públicos, lo que limita su uso por las universidades públicas.

Las transferencias han estado en el centro de varios casos en el ámbito educativo. En 2022 la autoridad danesa (Datatilsynet) prohibió al municipio de Helsingør el uso de Chromebooks y Google Workspace en sus centros escolares, incluidas las transferencias a terceros países; la prohibición se suspendió más tarde y se sustituyó por órdenes. La autoridad sueca IMY multó a la Universidad de Umeå en un caso que incluía datos sensibles almacenados en un servicio en la nube sin la protección adecuada.

Más información: el Marco de Privacidad de Datos UE-EE. UU. para universidades, la plantilla de evaluación del impacto de la transferencia, la herramienta gratuita de mecanismos de transferencia (en inglés) y la CLOUD Act y la soberanía digital.

12. Seguridad y brechas de datos personales

El artículo 32 exige una seguridad adecuada al riesgo. El artículo 33 obliga a la universidad a notificar a la autoridad de control una violación de la seguridad de los datos personales sin dilación indebida y, de ser posible, «a más tardar 72 horas después de que haya tenido constancia de ella», salvo que sea improbable que la brecha constituya un riesgo. Cuando el riesgo es alto, también hay que informar a los afectados (art. 34).

Las 72 horas empiezan a contar cuando la universidad tiene constancia de la brecha, no cuando se entera el DPD, así que el circuito interno tiene que ser rápido y conocido por todo el personal. Los procedimientos universitarios muestran patrones comunes:

• Universidad Aalto: una sospecha de brecha "must be immediately reported by contacting the university's information security team" (debe comunicarse de inmediato al equipo de seguridad de la información de la universidad); el DPD se encarga de la notificación al Defensor de Protección de Datos.
• El Instituto Karolinska ofrece al personal ejemplos cotidianos, como un correo enviado al destinatario equivocado, la pérdida de datos o el secuestro de credenciales.
• El Trinity College Dublin pide al personal que informe sin demora a la oficina de protección de datos y deja claro que comunicar una brecha no se trata como una cuestión disciplinaria.
• NTNU separa los incidentes de seguridad (que van a su SOC) de las notificaciones de desviaciones en materia de privacidad, y precisa que una notificación "must describe the action, not the person who performed it" (debe describir la acción, no a la persona que la realizó).

El artículo 33.5 exige documentar todas las brechas, incluidas las que no se notifican a la autoridad. Las Directrices 9/2022 del CEPD explican cuándo es obligatoria la notificación. Nuestra guía de respuesta a brechas, el kit de respuesta a brechas (en inglés) y el reloj de notificación de brechas ayudan a prepararse. Las universidades también pueden estar sujetas a las normas nacionales de NIS2; véase NIS2 y las universidades (en inglés).

13. Conservación y archivo

Los datos personales no deben conservarse más tiempo del necesario para sus fines (limitación del plazo de conservación, art. 5.1.e), pero los datos conservados exclusivamente con fines de archivo en interés público o de investigación pueden guardarse durante más tiempo con garantías. En las universidades públicas, las leyes nacionales de archivos suelen decidir qué debe conservarse y durante cuánto tiempo, así que el calendario de conservación debe elaborarse con el archivo, no solo con el DPD.

Ejemplos de cómo las normas nacionales determinan la conservación:

• La Universidad de Lund explica que, conforme a la Ley sueca de archivos (1990:782), los datos personales pueden conservarse "in some cases indefinitely in the University's archive" (en algunos casos de forma indefinida en el archivo de la universidad).
• La Université Paris-Saclay conserva durante 50 años los datos de los candidatos admitidos conforme a las normas francesas de archivo: «Pour les candidats admis, elles sont ensuite conservées pour une durée de 50 ans» (en el caso de los candidatos admitidos, se conservan después durante 50 años).
• La Universidad de Utrecht conserva los datos brutos de investigación "for at least ten years after publication of the research results" (al menos diez años después de la publicación de los resultados), en línea con las normas de integridad científica.

Los sistemas de los proveedores son donde más falla la conservación: un registro suprimido en el sistema de gestión académica puede seguir vivo en una herramienta de encuestas, una plataforma de vídeo o las copias de seguridad. Nuestra plantilla de calendario de conservación (archivo Word, en inglés) incluye una columna para los sistemas que contienen cada tipo de registro.

14. La investigación y el artículo 89

El RGPD es relativamente favorable a la investigación. El artículo 9.2.j) permite tratar categorías especiales de datos con fines de investigación sobre la base del Derecho de la Unión o de los Estados miembros, y el artículo 89.1 exige garantías, en particular la minimización de datos y, cuando sea posible, la seudonimización. El artículo 89.2 permite que el derecho nacional limite algunos derechos cuando obstaculizarían gravemente la investigación.

Su aplicación varía mucho de un país a otro, de modo que una guía general solo puede trazar las líneas básicas. Algunos ejemplos:

• Universidad de Utrecht: "Conducting scientific research is a task of public interest entrusted to the UU" (realizar investigación científica es una misión de interés público encomendada a la UU), y se pide el consentimiento explícito para las categorías especiales de datos.
• Universidad de Copenhague: sin consentimiento, los datos sensibles de investigación se tratan conforme al artículo 6.1.e) y al artículo 10 de la Ley danesa de protección de datos, pero solo "if the processing is aimed at statistical or scientific studies with potential public interest" (si el tratamiento tiene por objeto estudios estadísticos o científicos de posible interés público).
• El Trinity College Dublin utiliza el artículo 9.2.j) con las garantías del artículo 89.1, y recuerda que la normativa irlandesa sobre investigación sanitaria sigue exigiendo el consentimiento explícito para este tipo de investigación.
• La biblioteca del University College Dublin recuerda a los investigadores que el RGPD "applies to any research that uses personal data, including scientific research and studies in the arts and humanities" (se aplica a toda investigación que utilice datos personales, incluida la investigación científica y los estudios de artes y humanidades).
• En Noruega, las instituciones con acuerdo utilizan el formulario de notificación de Sikt; Sikt describe su función como "to advise and guide you on how to process personal data lawfully" (asesorar y orientar sobre cómo tratar los datos personales de forma lícita).

Los estudiantes que hacen trabajos de fin de grado o de máster son un punto ciego frecuente. La Universidad de Uppsala considera a la universidad responsable del tratamiento en los trabajos de fin de estudios e indica a los estudiantes que "when processing sensitive personal data, consent must be obtained before the processing begins" (cuando se traten datos personales sensibles, debe obtenerse el consentimiento antes de iniciar el tratamiento).

Para profundizar: la base jurídica de la investigación, información para participantes en investigaciones, acuerdos de corresponsabilidad, acuerdos de intercambio de datos, dónde almacenar los datos de investigación y el RGPD y las herramientas de IA en la investigación (estas cinco, en inglés).

15. Herramientas de IA y el Reglamento de IA

El RGPD se aplica a las herramientas de IA igual que a cualquier otro tratamiento: base jurídica, contrato de encargo, comprobación de transferencias y, a menudo, una EIPD. El Reglamento de IA (Reglamento (UE) 2024/1689) añade obligaciones propias para las universidades como responsables del despliegue. No sustituye al RGPD, y hoy la mayoría de las herramientas de IA que se usan en las universidades plantean más cuestiones de RGPD que del Reglamento de IA.

El Reglamento de IA fue modificado por el Reglamento (UE) 2026/1744 (el Ómnibus Digital sobre IA), en vigor desde el 27 de julio de 2026. A 9 de octubre de 2026, la situación para las universidades es la siguiente:

Análisis de Validemic Las preguntas de RGPD que hay que hacerse sobre cualquier herramienta de IA son: ¿usa el proveedor los datos de la universidad para entrenar modelos?, ¿cambia eso entre los planes gratuitos y los institucionales?, ¿qué proveedores de modelos de IA son subencargados y dónde están?, y ¿toma o apoya la herramienta decisiones sobre los estudiantes que puedan entrar en el artículo 22? Las universidades que respondan ahora a estas preguntas tendrán mucho más fácil cumplir las obligaciones de alto riesgo de 2027.

Más información: el Reglamento de IA para universidades (en inglés), el Reglamento de IA explicado, el verificador del Reglamento de IA para la educación, nuestro modelo de política de IA, herramientas de IA aprobadas en universidades europeas y servicios de IA gestionados por universidades nórdicas (en inglés). Las bibliotecas que negocian cláusulas de IA en las licencias de contenidos deben consultar licencias de bibliotecas, IA y minería de textos y datos.

16. Sanciones: por qué se ha multado a universidades y centros educativos

Las autoridades de control han multado a universidades, no solo a empresas. Que se pueda multar a un organismo público depende del derecho nacional: el artículo 83.7 permite a cada Estado miembro establecer normas «sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos». Los casos siguientes proceden de las propias páginas de las autoridades.

Análisis de Validemic El patrón es constante. A las universidades rara vez se las multa por cuestiones jurídicas rebuscadas. Se las multa por fallos de seguridad corrientes (correo, servidores web), por adoptar tecnologías de vigilancia o biométricas sin una base jurídica adecuada ni EIPD y por llevar datos sensibles a servicios que no se habían evaluado. Todo ello puede prevenirse con los elementos básicos de la hoja de ruta que figura más abajo.

17. Quién hace qué en una universidad

El RGPD atribuye la responsabilidad a la universidad como responsable del tratamiento y, en la práctica, a su equipo de gobierno y a los responsables de cada proceso. El DPD asesora y supervisa. La mayor parte del trabajo real lo hacen otras unidades, y los huecos aparecen cuando cada unidad da por hecho que otra ya ha comprobado algo.

Hay que dejar el reparto por escrito. Una breve matriz de responsabilidades, aprobada por el equipo de gobierno, evita la mayoría de los conflictos y hace posible la función de supervisión del DPD. Nuestras guías sobre la privacidad de los usuarios de bibliotecas y la accesibilidad en la contratación tratan dos ámbitos en los que la responsabilidad no suele estar clara.

18. Hoja de ruta de cumplimiento a 12 meses

El plan siguiente está pensado para una universidad que tiene lo básico sobre el papel pero necesita que funcione. Adaptad el orden a vuestras propias carencias; una universidad con una brecha reciente empezará por la seguridad. Cada punto debe dar lugar a un documento o una decisión.

Fuentes

1. Reglamento (UE) 2016/679 (RGPD), texto del Diario Oficial, considerandos 43 y 47, artículos 5, 6, 9, 10, 12 a 14, 17, 22, 28, 30, 32 a 39, 49, 83, 88 y 89 (consultado el 9 de octubre de 2026).
2. Reglamento (UE) 2024/1689 (Reglamento de IA), artículos 4, 5, 26, 27 y 50 y anexo III, y Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA).
3. Decisión de Ejecución (UE) 2023/1795 de la Comisión (Marco de Privacidad de Datos UE-EE. UU.) y recurso de casación en el asunto C-703/25 P.
4. Directrices 1/2024 del CEPD sobre el tratamiento basado en el artículo 6.1.f) del RGPD, versión 1.0, apartados 98 y 99 (consultado el 9 de octubre de 2026, en inglés).
5. Directrices 05/2020 del CEPD sobre el consentimiento (consultado el 9 de octubre de 2026).
6. Grupo de Trabajo del Artículo 29, Directrices sobre los delegados de protección de datos (WP243 rev.01) (consultado el 9 de octubre de 2026).
7. Acción coordinada de control del CEPD: designación y posición de los delegados de protección de datos, informe publicado en enero de 2024 (consultado el 9 de octubre de 2026).
8. Grupo de Trabajo del Artículo 29, Directrices sobre la EIPD (WP248 rev.01) (consultado el 9 de octubre de 2026).
9. Directrices 01/2022 del CEPD sobre el derecho de acceso (consultado el 9 de octubre de 2026).
10. Directrices 9/2022 del CEPD sobre la notificación de violaciones de la seguridad de los datos personales (consultado el 9 de octubre de 2026).
11. Data Protection Commission (Irlanda): Inquiry into University College Dublin y la resolución de 17 de diciembre de 2020 (consultado el 9 de octubre de 2026).
12. Garante per la protezione dei dati personali: resolución de 16 de septiembre de 2021 sobre la Università Bocconi (docweb 9703988) y boletín de 18 de febrero de 2020 (docweb 9266789) (consultado el 9 de octubre de 2026).
13. IMY (Suecia): Umeå universitet y Gymnasienämnden i Skellefteå kommun (consultado el 9 de octubre de 2026).
14. Autoriteit Persoonsgegevens: HAN University of Applied Sciences fined EUR 175,000 (consultado el 9 de octubre de 2026).
15. Datatilsynet (Dinamarca): resolución de 14 de julio de 2022 en el caso Chromebook (Helsingør) (consultado el 9 de octubre de 2026).
16. ICO: Essex school reprimanded after using facial recognition technology for canteen payments, julio de 2024 (consultado el 9 de octubre de 2026).
17. Sikt: Notification form for personal data (consultado el 9 de octubre de 2026).
18. Universidad de Oslo: Declaration on data protection (students) y Conditions for processing personal data (consultado el 9 de octubre de 2026).
19. Universidad de Uppsala: Data protection policy y GDPR in degree projects (consultado el 9 de octubre de 2026).
20. Universidad de Lund: Processing of personal data at Lund University (consultado el 9 de octubre de 2026).
21. Universidad de Estocolmo: Processing of personal data at Stockholm University (consultado el 9 de octubre de 2026).
22. Instituto Karolinska: Report information security incidents and personal data breaches (consultado el 9 de octubre de 2026).
23. Universidad de Helsinki: Data protection (consultado el 9 de octubre de 2026).
24. Universidad Aalto: Aalto University data protection policy (consultado el 9 de octubre de 2026).
25. Universidad de Copenhague: Privacy policy (consultado el 9 de octubre de 2026).
26. NTNU: Information security: digital security incidents and deviations (consultado el 9 de octubre de 2026).
27. KU Leuven: Processing of student data y Processing of research participants' data (consultado el 9 de octubre de 2026).
28. Universidad de Ámsterdam: Privacy statement (consultado el 9 de octubre de 2026).
29. Universidad de Utrecht: Privacy statement for participants in scientific research y Data protection officer (consultado el 9 de octubre de 2026).
30. Trinity College Dublin: Legal basis for research y Data breaches (consultado el 9 de octubre de 2026).
31. Biblioteca del University College Dublin: Research data management: GDPR (consultado el 9 de octubre de 2026).
32. Universidad de Edimburgo: Data protection impact assessments (consultado el 9 de octubre de 2026).
33. Université Paris-Saclay: información sobre el tratamiento de datos de candidatos (eCandidat), septiembre de 2026 (consultado el 9 de octubre de 2026, en francés).
34. Universidad Complutense de Madrid: Delegado de Protección de Datos (consultado el 9 de octubre de 2026).
35. Universitat de Barcelona: información sobre protección de datos (movilidad SICUE) (consultado el 9 de octubre de 2026, en catalán).
36. Universidade de Lisboa, Faculdade de Direito: Política de Privacidade (2021) (consultado el 9 de octubre de 2026).

Sobre esta página

Fuentes verificadas el 9 de octubre de 2026. Leímos el RGPD en la versión del Diario Oficial publicada por la Oficina de Publicaciones de la UE, los documentos del CEPD y del Grupo de Trabajo del Artículo 29 citados, las páginas de resoluciones de las propias autoridades de control y las páginas de protección de datos de las universidades mencionadas. Las citas de páginas en otras lenguas se reproducen en su versión original con una traducción o explicación en español; las citas del RGPD siguen su texto oficial en español. Los ejemplos universitarios muestran cómo aplica el RGPD una institución concreta con arreglo a su propio derecho nacional; no son modelos válidos para todos los países. El calendario del Reglamento de IA y el Marco de Privacidad de Datos UE-EE. UU. pueden cambiar, y actualizaremos esta página cuando ocurra. Nuestra interpretación propia figura señalada como análisis de Validemic. Esta página ofrece información general, no asesoramiento jurídico. Si detectáis un error o un dato desactualizado, escribidnos y lo corregiremos.