Siempre dentro del entorno institucional las personas han administrado datos personales no solo propios, sino también de otros integrantes de la institución o de externos que establecen un vínculo con la institución. ¿Cuál es el manejo que se le da a esos datos? ¿Están protegidos? ¿Se vulneran y exponen constantemente? ¿Cómo prevenir o hacer un buen resguardo de estos datos?
Para intentar resolver estos cuestionamientos y otros más, se realizó una conferencia dentro del marco del evento del Día internacional de la Seguridad Informática, organizado por la OITel el 28 de noviembre del 2025: La Protección de Datos Personales para estudiantes y visitantes extranjeros. Esta conferencia, al igual este artículo, está enfocada en conocer la normativa sobre la protección de datos de estudiantes, visitantes o docentes extranjeros que establezcan un vínculo, así sea temporal, con la Universidad del Valle. A continuación se presentarán de forma sucinta algunos de los temas que aparecieron en esta conferencia.
Todo parte de la Gestión de la seguridad, para ello se requiere coordinar varios elementos: personas, tecnología y políticas de manera integral. Es vital que las personas desarrollen una cultura de seguridad constante. Una herramienta para conseguir esto es capacitar a funcionarios y usuarios para proteger tanto a la institución como sus datos personales. Este proceso sumado a otros tiene el objetivo final de alcanzar niveles de resiliencia ante incidentes y cumplir con todas las regulaciones vigentes.
En Colombia, en 2009, se creó la ley 1273 que se conoce como la ley de Delitos Informáticos y establece un lineamiento penal sobre conductas digitales indebidas. Fija unas normas acerca de ciertas acciones no autorizadas que pueden ser consideradas delitos que se castigan con penas de cárcel o multas. Un ejemplo común es el acceso sin permiso a correos electrónicos ajenos que han quedado abiertos. Esta ley establece que puede ser de 4 a 8 años de prisión o multa de cien a mil salarios mínimos. El cumplimiento básico implica simplemente respetar la privacidad ajena cerrando sesiones que no nos pertenecen.
En 2012 aparece la ley 1581 o de protección de datos personales, la cual ha implicado un reto, ya que a la gente en general le ha costado entenderla y saber cuáles son sus derechos y cuáles son sus deberes sobre los datos propios y ajenos. Es indispensable que las instituciones implementen políticas claras y cuenten con equipos dedicados a gestionar estos requerimientos legales. Su aplicación es obligatoria tanto para entidades públicas como para organizaciones privadas que manejen bases de datos.
Hay algo que da cuenta del estado actual de Colombia en materia de ciberseguridad: la notificación de brechas. Es decir, el tiempo límite para informar incidentes de seguridad a las autoridades. En Colombia, la ley otorga hasta quince días hábiles para reportar a la superintendencia cualquier vulneración. En cambio, en la Unión Europea se exige que este reporte se realice en un máximo de setenta y dos horas. ¿Cuál es el riesgo de esta diferencia tan amplia? Sanciones agravadas por reacción tardía.
Otra diferencia negativa entre Colombia y la Unión Europea se ve en los derechos del titular, los cuales se refieren a la facultad de conocer, actualizar y rectificar la información personal almacenada en una base de datos. El reglamento europeo expande estos beneficios incluyendo el derecho a la portabilidad de los datos técnicos. En el contexto universitario, esto implica retos sobre cómo entregar historiales académicos en formatos digitales compatibles.
Una diferencia importante son las bases de legitimación. En la Unión Europea existen 6 bases: consentimiento; contrato; obligación legal; intereses vitales; funciones públicas; o intereses legítimos. Esto permite a las instituciones tratar datos necesarios para servicios como la educación sin depender solo del permiso. ¿En Colombia? Solo aplica el consentimiento para manejar los datos de las personas. Sin embargo, ¿qué sucede cuando la persona desiste de ese consentimiento o se arrepiente? Aquí hay una zona gris, pues muchas instituciones no podrían prestar el servicio sin esos datos, la ley no da soluciones claras ni al usuario que desistió del consentimiento ni a la institución.
Para cerrar es necesario pensar en una filosofía de la privacidad que esté presente desde el inicio, es decir, desde el proceso de creación de cualquier sistema debe enfocar una parte de la atención en la necesidad de seguridad tanto de los datos como del sistema en sí. Hay opciones y recursos como la doble autenticación y el cifrado de datos. Una tarea urgente es trabajar cada día en reducir el tiempo de la notificación de incidentes para procurar respuestas más efectivas. De esta manera, la privacidad se convierte en un componente estructural del desarrollo de sistemas.
NotiRed invita a toda la comunidad universitaria a consultar el blog de NotiRed en el que pueden encontrar otros artículos con temas de su interés. De igual manera, para saber más de ciberseguridad pueden revisar todas las conferencias del Día de la ciberseguridad 2025.