La creación de bases de datos por parte de los responsables de su tratamiento, como es el caso de las universidades, debe corresponder a una finalidad legítima, es decir, acorde con las disposiciones legales y constitucionales que regulen la actividad, como con el desarrollo de su autonomía para fijar procedimientos sancionatorios cuando exista vulneración a sus estatutos por parte de los estudiantes. Los responsables del tratamiento de los datos personales deben obtener autorización por parte del titular a más tardar al momento de su recolección, informándole la finalidad específica del tratamiento de los mismos y deben utilizar mecanismos que garanticen su consulta posterior. La Superintendencia de Industria y Comercio se refirió a los procesos disciplinarios iniciados en las universidades y las notificaciones por aviso expuestas en las carteleras.