Habeas Data en Colegios: Cómo Cumplir la Ley 1581 al Manejar Datos de Salud, Disciplina y Facturación de tus Estudiantes
Cuando un colegio matricula a un estudiante, no solo abre un cupo: abre un expediente. Ese expediente reúne datos de salud de enfermería, informes de psicología y convivencia, y el historial financiero de la familia. Bajo la Ley 1581 de 2012, tu colegio es "Responsable del Tratamiento" de esa información, con obligaciones concretas frente a los titulares y frente a la Superintendencia de Industria y Comercio (SIC). Esta guía explica, en términos prácticos, qué exige el habeas data en un entorno escolar y cómo evitar los errores que ya le han costado sanciones a instituciones educativas en Colombia.
Respuesta rápida
La Ley 1581 de 2012 obliga a los colegios, como Responsables del Tratamiento, a contar con autorización expresa para manejar los datos de salud, disciplina y facturación de sus estudiantes, especialmente tratándose de menores de edad. Estos datos deben registrarse en el Registro Nacional de Bases de Datos (RNBD) que administra la Superintendencia de Industria y Comercio (SIC), entidad que ya ha sancionado a colegios colombianos por fallas en la protección de información de menores. Actualmente cursa en el Congreso un proyecto de ley que moderniza la Ley 1581 y podría elevar las sanciones hasta 10.000 SMLMV o el 5 % de los ingresos del infractor. Mientras se define su trámite, los colegios pueden adelantarse ordenando las autorizaciones, segmentando el acceso a los datos por rol y poniendo al día su registro ante el RNBD.
- Salud (enfermería): carné de vacunación, alergias, diagnósticos, discapacidades, medicamentos autorizados y reportes de incidentes.
- Disciplina y convivencia (psicología/orientación): observador del estudiante, informes de orientación escolar, procesos del comité de convivencia y valoraciones psicológicas.
- Facturación y cartera: datos financieros del acudiente, historial de pagos, subsidios o descuentos y, en algunos casos, información crediticia asociada a acuerdos de pago.
- Centralizar y digitalizar las autorizaciones de tratamiento de datos desde el proceso de matrícula, con trazabilidad de quién autorizó qué y cuándo.
- Segmentar el acceso por rol: enfermería solo ve datos de salud, tesorería solo ve datos financieros, y coordinación de convivencia solo ve los informes disciplinarios que le competen.
- Mantener actualizado el registro de bases de datos ante el RNBD y revisar anualmente la política de tratamiento publicada en el sitio web del colegio.
- Definir tiempos de conservación de los datos y eliminar la información que ya no tiene una finalidad vigente (por ejemplo, datos de exalumnos retirados hace varios años).
- Contar con un protocolo claro para atender solicitudes de los titulares: conocer, actualizar, rectificar, suprimir o revocar la autorización sobre sus datos, dentro de los plazos legales.
Qué es el habeas data y por qué tu colegio ya es "Responsable del Tratamiento"
El habeas data es el derecho de toda persona a conocer, actualizar y rectificar la información que se ha recogido sobre ella en bases de datos públicas o privadas. La Ley 1581 de 2012 desarrolla este derecho y asigna a la Superintendencia de Industria y Comercio la vigilancia del tratamiento de datos personales en el país, además de la administración del Registro Nacional de Bases de Datos.
Desde el primer formulario de admisión, tu colegio recolecta, almacena y usa datos personales de estudiantes y acudientes: eso lo convierte en "Responsable del Tratamiento" ante la ley, con el deber de contar con autorización previa, expresa e informada para cada finalidad y de proteger esa información frente a pérdidas, accesos no autorizados o usos indebidos.
Los tres frentes de datos sensibles que maneja un colegio a diario
La Ley 1581 clasifica como "datos sensibles" aquellos que, de usarse indebidamente, pueden generar discriminación o afectar derechos fundamentales, entre ellos los datos de salud. Su tratamiento está prohibido salvo excepciones puntuales, como la autorización explícita del titular. En un colegio, estos datos aparecen en al menos tres frentes:
Cada uno de estos frentes suele vivir en un módulo distinto del colegio (enfermería, coordinación de convivencia, tesorería), lo que multiplica los puntos donde puede fallar la seguridad de la información si no existe un criterio unificado de acceso.
¿Quién autoriza el tratamiento de los datos de un estudiante menor de edad?
Los datos de niños, niñas y adolescentes reciben una protección reforzada. En principio, la autorización para tratar sus datos personales la otorgan los padres o representantes legales, en ejercicio de la patria potestad, y debe considerarse la opinión del menor de acuerdo con su grado de madurez. Esto aplica tanto a los datos que se recogen en la matrícula como a los que se generan después: fotografías institucionales, publicaciones en redes del colegio, informes compartidos con terceros (por ejemplo, aseguradoras o entidades de salud) y cualquier uso que exceda la finalidad estrictamente académica u orientadora para la que fueron entregados.
Un error frecuente es asumir que la autorización firmada en la matrícula cubre cualquier uso futuro de los datos. La autorización debe ser específica para cada finalidad declarada; si el colegio quiere usar los datos para un propósito distinto (por ejemplo, marketing institucional con fotos de estudiantes), necesita una autorización adicional.
El Registro Nacional de Bases de Datos (RNBD): la obligación que muchos colegios pasan por alto
La SIC administra el Registro Nacional de Bases de Datos, un sistema de consulta pública donde los responsables del tratamiento deben inscribir sus bases (estudiantes, acudientes, nómina, proveedores) junto con su política de tratamiento de información. Un porcentaje importante de las sanciones que ha impuesto la SIC en los últimos años no se debe al mal uso de los datos en sí, sino al simple incumplimiento del deber de registrar las bases de datos cuando la autoridad lo requiere.
Para un colegio, esto implica revisar, al menos una vez al año, que las bases activas en el ERP —matrícula, salud, convivencia, cartera— estén correctamente registradas y que la política de tratamiento publicada en la página web coincida con lo que realmente se hace con esos datos.
Un caso real: la sanción de la SIC a un colegio por fallas en la seguridad de los datos
En 2023, la Superintendencia de Industria y Comercio sancionó al Colegio Británico The British School Ltda. por actuar de forma negligente al no conservar bajo condiciones de seguridad adecuadas la información personal de estudiantes menores de edad, lo que permitió el acceso no autorizado de un tercero. El caso confirma que la exposición no depende del tamaño de la institución ni de su prestigio, sino de la solidez de los controles de acceso y almacenamiento sobre datos que, por tratarse de menores, exigen un cuidado reforzado.
Lo que viene: la reforma a la Ley 1581 y qué debe monitorear tu colegio
Actualmente se tramita en el Congreso de la República un proyecto de ley estatutaria que moderniza la Ley 1581 de 2012, trece años después de su expedición. Entre los cambios propuestos están sanciones más altas —hasta 10.000 SMLMV o el 5 % de los ingresos del infractor—, nuevos derechos para los titulares (portabilidad, oposición al tratamiento, no ser sometido a decisiones automatizadas) y un régimen de protección especial para niños, niñas y adolescentes, incluida la prohibición de perfilamiento y publicidad dirigida a menores de 18 años.
Nota de vigencia: a la fecha de esta publicación, el proyecto continúa en trámite legislativo y no ha sido sancionado como ley. Se recomienda verificar su estado antes de comunicar cambios normativos a las familias o al equipo directivo del colegio.
Buenas prácticas para blindar el manejo de datos sensibles desde el ERP del colegio
Qué pasa si tu colegio no cumple
El incumplimiento del régimen de protección de datos puede derivar en investigaciones y sanciones de la SIC, que van desde requerimientos y multas hasta la suspensión temporal de las actividades de tratamiento de datos en los casos más graves. A esto se suma el riesgo reputacional frente a las familias, que hoy son más conscientes de sus derechos sobre la información de sus hijos. Con la reforma en camino, el costo de no tener estos procesos ordenados solo va a subir.
Conclusión
El cumplimiento del habeas data en un colegio no se resuelve con una política de tratamiento de datos publicada en la página web: se juega todos los días en cómo se autoriza, se segmenta y se conserva la información de salud, disciplina y facturación de cada estudiante. Ordenar estos procesos ahora, mientras la reforma a la Ley 1581 sigue en trámite, es más sencillo y menos costoso que hacerlo bajo la presión de una investigación de la SIC.
Un ERP escolar como el de Beam ayuda a que esta disciplina no dependa de la memoria de cada coordinador: centraliza las autorizaciones de tratamiento de datos y aplica permisos diferenciados entre los módulos de salud, convivencia y facturación, para que cada equipo del colegio vea únicamente la información que necesita para hacer su trabajo.
Preguntas frecuentes
¿Qué es un dato sensible según la Ley 1581 en el contexto escolar?
Son datos que, de usarse indebidamente, pueden generar discriminación o afectar derechos fundamentales del titular. En un colegio, los datos de salud de enfermería son el ejemplo más claro, junto con ciertos informes de orientación psicológica.
¿Los colegios deben registrar sus bases de datos en el RNBD?
Sí. Como personas jurídicas que tratan bases de datos de estudiantes, acudientes y empleados, los colegios deben inscribirlas en el Registro Nacional de Bases de Datos que administra la SIC, junto con su política de tratamiento de información.
¿Quién puede autorizar el tratamiento de los datos de un estudiante menor de edad?
En principio, los padres o representantes legales, en ejercicio de la patria potestad, considerando la opinión del menor según su madurez. La autorización debe ser específica para cada finalidad declarada por el colegio.
¿Qué sanciones puede imponer la SIC a un colegio que incumpla?
Puede ir desde requerimientos y multas hasta la suspensión temporal de las actividades de tratamiento de datos, dependiendo de la gravedad de la falta. Ya existen sanciones firmes contra instituciones educativas en Colombia por fallas de seguridad en datos de menores.
¿La reforma a la Ley 1581 ya está vigente?
No. A la fecha de esta publicación, el proyecto de ley que moderniza la Ley 1581 de 2012 se encuentra en trámite en el Congreso de la República y aún no ha sido sancionado. Se recomienda verificar su estado antes de tomar decisiones basadas en sus disposiciones.