¿Puedo usar datos personales en mi trabajo de grado? Habeas data, Ley 1581 y la autorización que necesitas (2026)
Respuesta corta: sí puedes, y en la mayoría de los trabajos de grado es inevitable. Pero desde el momento en que tu formulario pide un nombre, un correo, un número de documento o un teléfono, dejaste de recoger «respuestas» y empezaste a hacer tratamiento de datos personales, una actividad regulada en Colombia por la Ley 1581 de 2012 y su reglamento parcial, el Decreto 1377 de 2013.
Esto es una obligación distinta y adicional al aval del comité de ética. Muchos estudiantes creen que con el consentimiento informado ya cubrieron todo, y no es así: son dos marcos normativos separados, con requisitos que no se solapan. Esta guía te explica el segundo.
Primero: ¿tus datos son personales?
Sí, si permiten identificar a una persona natural, directa o indirectamente. La confusión habitual es pensar que basta con no publicar los nombres. La ley no regula lo que publicas sino lo que tratas: recoger, almacenar, usar y circular. Si el archivo de respuestas en tu computador tiene una columna con correos, estás tratando datos personales aunque en el documento final solo aparezcan porcentajes.
Hay una salida legítima y muy usada en investigación: no recoger identificadores desde el principio. Una encuesta verdaderamente anónima —sin nombre, sin correo, sin documento, sin ningún dato que permita reconstruir quién respondió— no genera una base de datos personales y te ahorra buena parte del trámite. Si no necesitas contactar al participante después, esta suele ser la mejor decisión metodológica y jurídica a la vez.
Los datos sensibles: el artículo 5 que cambia todo
La Ley 1581 crea una categoría especial. Su artículo 5 define como datos sensibles aquellos «que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación», y enumera expresamente:
- Origen racial o étnico
- Orientación política
- Convicciones religiosas o filosóficas
- Pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promuevan intereses de partidos políticos
- Datos relativos a la salud
- Datos relativos a la vida sexual
- Datos biométricos
Y el artículo 6 empieza con una frase categórica: «Se prohíbe el Tratamiento de datos sensibles», salvo en cinco casos. Los dos que te importan como estudiante son:
- Literal a: que el Titular haya dado su autorización explícita a dicho tratamiento.
- Literal e: que el tratamiento tenga «una finalidad histórica, estadística o científica». Pero con una condición que la propia norma impone en la misma frase: «En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares».
Ese literal e es el que sostiene buena parte de la investigación académica en Colombia, y conviene leerlo con cuidado: no te exime de proteger a nadie, te obliga a anonimizar. La finalidad científica no es un permiso para acumular datos identificados; es un permiso condicionado a que suprimas la identidad.
Un tema de salud convierte tu encuesta en sensible
Este es el punto donde más trabajos de grado se equivocan. Si tu investigación es de enfermería, psicología, medicina, nutrición o trabajo social, es muy probable que estés preguntando por «datos relativos a la salud», que la ley clasifica como sensibles. Lo mismo ocurre con estudios sobre consumo de sustancias, salud mental, violencia o identidad de género. No importa que la encuesta sea corta ni que el tema te parezca cotidiano: la categoría la fija la norma, no la percepción del investigador.
La obligación que casi ninguna plantilla incluye
El Decreto 1377 de 2013 desarrolla qué hacer cuando el tratamiento de datos sensibles sí está permitido. Su artículo 6 impone, entre otras, esta obligación:
«Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.»
Léelo otra vez, porque es contraintuitivo. No basta con pedir permiso: tienes que decirle expresamente al participante que puede negarse a dar ese permiso y que aun así no pasa nada. La Ley 1581 lo refuerza en su artículo 12, que obliga a informar al titular «el carácter facultativo de la respuesta a las preguntas que le sean hechas, cuando estas versen sobre datos sensibles o sobre los datos de las niñas, niños y adolescentes».
Revisa cualquier plantilla de consentimiento que circule entre tus compañeros: es casi seguro que no trae esa advertencia. Añadirla te toma una línea y es un requisito reglamentario, no una recomendación.
Menores de edad: la regla más estricta
Si tu trabajo de grado es de educación, pedagogía o psicología infantil, presta atención. El artículo 7 de la Ley 1581 dice que «queda proscrito el Tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública».
El artículo 12 del Decreto 1377 abre la puerta con condiciones: el tratamiento debe responder y respetar el interés superior del menor y asegurar el respeto de sus derechos fundamentales, y cumplido eso, «el representante legal del niño, niña o adolescente otorgará la autorización previo ejercicio del menor de su derecho a ser escuchado».
Dos consecuencias prácticas: la autorización la firma el acudiente, no el estudiante de colegio; y al menor hay que escucharlo igual, aunque no sea él quien firme. Un asentimiento del menor más la autorización del representante legal es la fórmula que los comités universitarios colombianos esperan ver, y ahora sabes de dónde sale.
Cómo debe ser la autorización
El artículo 9 de la Ley 1581 exige «la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior». Esa última frase es la clave operativa: lo que importa es que puedas probarla después.
El artículo 7 del Decreto 1377 concreta los modos válidos. Se entiende que la autorización cumple los requisitos cuando se manifiesta:
- Por escrito.
- De forma oral.
- Mediante conductas inequívocas del titular que permitan concluir razonablemente que otorgó la autorización.
Es decir, un formulario en línea con una casilla de aceptación explícita sirve, siempre que quede registro consultable. Lo que no sirve es el silencio: la norma es clara en que la conducta debe ser inequívoca, y no marcar una casilla no lo es.
El artículo 5 del mismo decreto añade el momento: la autorización se solicita «a más tardar en el momento de la recolección», informando qué datos se recogen y todas las finalidades específicas. Si después decides usar los datos para algo que no anunciaste —por ejemplo, un artículo derivado o una base que compartes con un semillero—, esa finalidad no estaba autorizada.
Y se puede revocar
El artículo 9 del Decreto 1377 permite al titular solicitar en cualquier momento la supresión de sus datos o revocar la autorización. En términos de tu cronograma: si alguien se retracta a mitad del análisis, tienes que poder sacar sus datos. Eso solo es posible si conservaste una forma de localizar sus registros, lo que crea una tensión real con la anonimización. La solución habitual es la seudonimización: guardas un código en lugar del nombre, y la tabla que conecta código y persona la mantienes separada, protegida y la destruyes al terminar.
Los casos en que no necesitas autorización
El artículo 10 de la Ley 1581 lista cinco excepciones. Las relevantes para investigación son los datos de naturaleza pública y el «tratamiento de información autorizado por la ley para fines históricos, estadísticos o científicos».
Cuidado con la segunda: dice «autorizado por la ley», no «cualquier investigación». No es un salvoconducto general para trabajos de grado. En cambio, la primera sí resuelve muchos casos: si tu fuente son documentos públicos, registros abiertos o microdatos anonimizados ya publicados por una entidad estadística, no estás recogiendo datos personales de nadie. El artículo 5 del Decreto 1377 confirma que los datos en fuentes de acceso público pueden ser tratados por cualquier persona, siempre que por su naturaleza sean datos públicos.
La norma cierra además una puerta trasera: «Quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley». Caer en una excepción te exime de pedir permiso, no de tratar bien la información.
Preguntas frecuentes
¿El consentimiento informado del comité de ética me sirve como autorización de datos?
Puede servir si el mismo documento incluye lo que exige cada norma, pero no automáticamente. Son obligaciones distintas: una nace de la Resolución 8430 de 1993 y otra de la Ley 1581 de 2012. Lo habitual y aceptado es un solo formato con dos secciones claramente diferenciadas.
¿Tengo que registrar mi base de datos ante alguna entidad?
La Superintendencia de Industria y Comercio ejerce la vigilancia del régimen de protección de datos en Colombia. Las obligaciones de registro dependen de quién sea el responsable del tratamiento, y en un trabajo de grado ese papel suele recaer en la universidad, no en ti a título personal. Consúltalo con tu director y con la dependencia de tu universidad que administre la política de tratamiento de datos, porque la institución ya tiene una.
¿Puedo publicar citas textuales de mis entrevistados?
Sí, si están anonimizadas y si la finalidad de difusión académica estaba anunciada en la autorización. Ten cuidado con las citas que identifican por contexto: en una organización pequeña, «la única mujer del área de sistemas» identifica a alguien tan bien como su nombre.
¿Qué hago con los datos cuando termine?
Anúncialo desde la autorización: por cuánto tiempo los conservas y qué haces al final. Destruir la tabla que vincula códigos con identidades al cerrar el análisis es una práctica sencilla y defendible ante el jurado.
¿Aplica si mi encuesta es totalmente anónima?
Si de verdad no recoges ningún identificador, no hay datos personales y el régimen no se activa. Verifica lo que recoge tu herramienta por defecto: varias plataformas de formularios guardan la dirección de correo o la IP salvo que lo desactives.
Resuélvelo antes de recoger el primer dato
Todo lo anterior se decide en el diseño, no en el análisis. Cuando ya tienes mil respuestas con nombres y correos, arreglar la autorización es difícil; cuando estás redactando el instrumento, es una tarde de trabajo. Si aún no has pasado por el comité, revisa cómo clasificar el riesgo y qué te van a exigir en el aval del comité de ética según la Resolución 8430, que es el trámite paralelo a este. Si estás decidiendo todavía qué vas a hacer, mira qué opción de grado te aplica, porque no todas implican recoger datos de personas. Y si quieres evitarte el asunto por completo, trabajar con microdatos ya anonimizados del DANE es una ruta metodológicamente sólida. Para citar la norma dentro del documento, revisa cómo se cita una ley o un decreto colombiano.
Con el marco resuelto, lo que queda es escribir. Puedes organizar tu trabajo de grado en Tesify y mantener instrumento, capítulos y referencias sincronizados mientras avanzas con el trabajo de campo. El diseño, los datos y las conclusiones son tuyos.