RGPD en una residencia de estudiantes o un colegio mayor: guía práctica 2026
Una residencia de estudiantes maneja más datos personales de los que su equipo suele contar: identificativos, académicos, económicos, de salud, de entradas y salidas y de convivencia. Esto es qué base jurídica sostiene cada grupo, cuánto se pueden conservar y dónde están los tres errores más repetidos.
Qué datos trata de verdad una residencia
El primer ejercicio útil no es jurídico: es hacer el inventario. Casi siempre aparecen categorías que nadie había contado, y son justo las que se quedan fuera del registro de actividades y de los plazos de borrado.
| Categoría | Base jurídica habitual | Nota |
|---|---|---|
| Identificativos y de contacto | Ejecución del contrato (art. 6.1.b) | Nombre, documento de identidad, teléfono, correo, domicilio familiar. |
| Contacto de familia o tutor | Interés legítimo o contrato | Son datos de un tercero: hay que informarle a él también (art. 14). |
| Económicos y de facturación | Contrato y obligación legal (art. 6.1.b y 6.1.c) | Arrastran plazos de conservación fiscales y contables propios. |
| Alojamiento y accesos | Contrato e interés legítimo | Habitación asignada, llaves, registro de entradas y salidas si existe. |
| Salud (alergias, medicación) | Art. 9.2 además del art. 6 | Categoría especial. Acceso restringido y plazo propio. |
| Imágenes de videovigilancia | Interés legítimo (art. 22 LOPDGDD) | Máximo un mes de conservación, con excepciones tasadas. |
| Incidencias y convivencia | Interés legítimo u obligación legal | Lo más delicado: mezcla datos de varias personas en un mismo expediente. |
Orientativo. La base concreta depende de cómo esté configurado cada servicio.
El error de pedir consentimiento para todo
Es el fallo más extendido y el más fácil de corregir. Muchos centros arrancan la estancia con un formulario que pide consentimiento para tratar los datos del residente. Para casi todo, ese consentimiento sobra: alojar a alguien, cobrarle y prestarle el servicio se apoya en la ejecución del contrato (art. 6.1.b del RGPD).
Ojo con esto
El consentimiento tiene una propiedad que las demás bases no tienen: se puede retirar en cualquier momento. Si el centro dice que trata los datos de facturación «con su consentimiento» y alguien lo retira, se queda en una posición imposible: o incumple lo que prometió o admite que la base era otra. Elegir bien la base al principio evita esa conversación entera.
El consentimiento se guarda para lo que es genuinamente opcional: publicar una foto en redes, mandar comunicaciones comerciales, tratar datos de salud o compartir información con la familia de un residente mayor de edad.
Datos de salud: el caso de las alergias
Una residencia con comedor trata datos de salud aunque no lo llame así. Una alergia alimentaria, una intolerancia o una pauta de medicación son categoría especial del art. 9 del RGPD, y eso cambia tres cosas a la vez.
- Hace falta una base del art. 9.2 además de la del art. 6. En este contexto suele ser el consentimiento explícito.
- El acceso se restringe a quien tiene que usarlos: cocina y quien coordine el comedor. No el equipo entero, y desde luego no un grupo de mensajería.
- El plazo de conservación es propio y normalmente más corto que el del expediente: cuando la persona deja el centro, el dato de salud deja de tener sentido antes que la factura.
Cámaras y zonas comunes
El art. 22 de la LOPDGDD es corto y concreto. Las imágenes se conservan un máximo de un mes desde su captación, salvo que haya que guardarlas para acreditar hechos que atenten contra la integridad de personas, bienes o instalaciones. La zona tiene que estar señalizada con el dispositivo informativo correspondiente. Y no puede haber cámaras en los lugares destinados al descanso o esparcimiento del personal.
En una residencia hay además una frontera propia que la ley no detalla y el sentido común sí: los pasillos de habitaciones y las zonas de aseo no son áreas comunes cualesquiera. Cuanto más cerca del espacio privado, más difícil es sostener que el interés legítimo pesa más que la intimidad de quien vive allí.
Los grupos de mensajería del centro
El número de teléfono es un dato personal. Al montar un grupo con los sesenta residentes de una planta, cada uno pasa a ver el número de los otros cincuenta y nueve: eso es una comunicación de datos entre ellos, hecha por el centro. No está prohibida, pero hay que informar y tener una base que la ampare.
El problema práctico llega antes que el jurídico. Un grupo no sirve para nada que sea confidencial —una situación personal, un dato de salud, un conflicto entre dos residentes— y sin embargo es donde acaban esas conversaciones, porque es el canal que la gente tiene abierto. Una lista de difusión, donde nadie ve los números de los demás, resuelve la parte de datos; la parte de confidencialidad necesita otra vía.
Plazos, derechos y brechas
- Derechos de las personas: un mes para responder desde la solicitud, prorrogable dos meses más si es compleja, avisando dentro del primer mes (art. 12.3). El plazo corre aunque la persona ya no resida allí.
- Menores: el art. 7 de la LOPDGDD sitúa en catorce años la edad para consentir por sí mismo el tratamiento de los propios datos.
- Proveedores: cualquiera que trate datos por cuenta del centro —el software de gestión, la empresa de catering, la gestoría— es encargado del tratamiento y necesita un contrato del art. 28.
- Brechas de seguridad: setenta y dos horas para notificarlas a la autoridad de control desde que se tiene constancia, salvo que sea improbable que supongan un riesgo (art. 33).
- Registro de actividades: el art. 30 obliga a mantenerlo, y es el documento que pide la Agencia Española de Protección de Datos en cuanto hay una reclamación.
El delegado de protección de datos
Aquí esta guía no da una respuesta cerrada, porque no la tiene. Si un colegio mayor o una residencia está obligado a nombrar delegado depende del art. 37 del RGPD y del art. 34 de la LOPDGDD, y el encaje cambia según su forma jurídica y según su relación con la universidad —integrado, adscrito o independiente—. Es una de las pocas cosas de esta lista que conviene consultar con el asesor del centro en lugar de resolver por analogía con otro.
Preguntas frecuentes
¿Hace falta el consentimiento del residente para tratar sus datos?
Para la mayoría de los tratamientos, no, y pedirlo es un error frecuente. Los datos necesarios para alojar a alguien, facturarle y prestarle el servicio se tratan sobre la base de la ejecución del contrato (art. 6.1.b del RGPD). El consentimiento se reserva para lo que es realmente voluntario: publicar una foto, mandar comunicaciones comerciales o tratar datos de salud. Pedir consentimiento para algo que se va a hacer igualmente crea la expectativa falsa de que puede retirarse.
¿Se pueden guardar las alergias alimentarias de un residente?
Sí, pero son datos de salud y por tanto categoría especial del art. 9 del RGPD. Necesitan una base específica del art. 9.2 —normalmente el consentimiento explícito— además de la base general del art. 6, acceso restringido a quien tiene que usarlos (cocina y quien coordina el comedor) y un plazo de conservación definido. No se recogen «por si acaso» ni se comparten en el grupo del equipo.
¿Cuánto tiempo se pueden conservar las imágenes de las cámaras?
Un mes desde su captación, según el art. 22.3 de la LOPDGDD, salvo que deban conservarse para acreditar hechos que atenten contra la integridad de personas, bienes o instalaciones. Además, el art. 22 prohíbe instalar cámaras en lugares destinados al descanso o esparcimiento de los trabajadores, y hay que señalizar la zona videovigilada.
¿Es legal el grupo de WhatsApp con todos los residentes?
El número de teléfono es un dato personal, y al crear un grupo cada participante ve el número del resto: eso es una comunicación de datos entre ellos. No está prohibido, pero requiere informar y contar con una base que lo ampare, y no sirve como canal para asuntos confidenciales ni para datos de salud. Las listas de difusión, donde nadie ve los números de los demás, evitan el problema de raíz.
¿Un residente de diecisiete años necesita autorización de sus padres?
Depende de la edad exacta. El art. 7 de la LOPDGDD sitúa en catorce años la edad a partir de la cual una persona puede consentir por sí misma el tratamiento de sus datos. Por debajo hace falta la autorización de quien ostente la patria potestad o tutela. Ojo: eso afecta al consentimiento, no a la capacidad para firmar el contrato de alojamiento, que es otra cuestión.
¿Cuánto hay para responder a un residente que pide sus datos o su borrado?
Un mes desde la recepción de la solicitud, prorrogable en dos meses más si la solicitud es compleja o hay muchas, avisando de la prórroga en el primer mes (art. 12.3 del RGPD). El plazo corre aunque la persona ya no viva en el centro.