Toda empresa que recolecte, almacene o use datos de clientes, empleados o proveedores —desde una base de datos de contactos hasta un sistema de facturación— está sujeta al régimen de protección de datos personales en Colombia. No se trata solo de un asunto de sistemas o de un aviso en el sitio web: es una obligación legal con autoridad de control, procedimiento sancionatorio y multas que puede imponer la Superintendencia de Industria y Comercio. Esta guía explica, en términos prácticos, qué exige la ley a las empresas y qué deben tener listo para evitar un proceso sancionatorio.
El marco legal: dos leyes que no deben confundirse
En Colombia coexisten dos regímenes de habeas data que muchas empresas confunden:
- La Ley 1266 de 2008 regula específicamente el habeas data financiero, crediticio y comercial: el reporte a centrales de riesgo como Datacrédito o Cifin.
- La Ley 1581 de 2012 —conocida como el Régimen General de Protección de Datos Personales— es la norma marco que aplica a cualquier base de datos personal, sin importar el sector: clientes, empleados, proveedores, usuarios de una plataforma, suscriptores de un servicio de telecomunicaciones, etc. Su decreto reglamentario, el Decreto 1377 de 2013 (hoy compilado en el Decreto Único Reglamentario 1074 de 2015), desarrolla aspectos operativos como la autorización, las políticas de tratamiento y las transferencias internacionales.
Esta guía se enfoca en la Ley 1581 de 2012, que es la que rige la operación ordinaria de cualquier empresa.
La SIC como autoridad de control
La Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales, es la autoridad encargada de vigilar el cumplimiento de la ley, atender reclamos de los titulares, investigar infracciones y sancionar. Cualquier persona puede presentar una queja ante la SIC si considera que una empresa está tratando sus datos de forma indebida, lo que convierte el cumplimiento en un riesgo real y no solo teórico.
Los principios que rigen el tratamiento de datos
La ley exige que toda empresa que trate datos personales respete, entre otros, los principios de legalidad (el tratamiento debe fundarse en una norma que lo permita), finalidad (los datos solo pueden usarse para el propósito informado al titular), libertad (no puede obtenerse ni usarse el dato sin autorización), veracidad o calidad (la información debe ser exacta y actualizada), transparencia, acceso y circulación restringida, seguridad y confidencialidad. Estos principios no son declarativos: son el estándar contra el cual la SIC evalúa si una empresa cumplió o no.
Autorización, política de tratamiento y aviso de privacidad
La autorización del titular
Como regla general, toda empresa necesita la autorización previa, expresa e informada del titular antes de recolectar y tratar sus datos personales. Esta autorización puede constar por escrito, de forma verbal o mediante conductas inequívocas que permitan concluir que fue otorgada, pero la carga de probarla siempre recae en el Responsable del tratamiento —es decir, en la empresa—, por lo que en la práctica conviene documentarla siempre.
Política de tratamiento de la información
Toda empresa que trate datos personales debe contar con una política de tratamiento de la información, un documento interno y público que explica qué datos recolecta, para qué los usa, cómo los protege, con quién los comparte y cómo el titular puede ejercer sus derechos. Es, junto con la autorización, el pilar documental del cumplimiento.
Aviso de privacidad
Cuando no es posible entregar la política completa en el momento de la recolección (por ejemplo, en formularios cortos o campañas de mercadeo), la empresa debe poner a disposición del titular un aviso de privacidad: un resumen que informa la identidad del Responsable, la finalidad del tratamiento y cómo acceder a la política completa.
Datos sensibles y datos de niños y adolescentes
La ley establece un régimen reforzado para los datos sensibles —aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como origen racial, orientación política, convicciones religiosas, afiliación sindical, datos de salud, biométricos o de vida sexual—. Para estos datos, la autorización debe ser explícita y el Responsable debe informar al titular que no está obligado a autorizar su tratamiento. El tratamiento de datos de niños, niñas y adolescentes está igualmente sujeto a condiciones especiales: solo procede cuando responde a la naturaleza de los datos y dentro de los parámetros de interés superior y respeto de sus derechos.
Los derechos del titular
Toda persona cuyos datos son tratados por una empresa tiene derecho a: conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización otorgada; ser informada sobre el uso que se le ha dado a sus datos; presentar quejas ante la SIC; revocar la autorización y/o solicitar la supresión del dato cuando no se respeten los principios legales; y acceder gratuitamente a sus datos. Estos derechos se canalizan mediante consultas (solicitudes de información sobre los datos tratados, que deben resolverse en un plazo máximo de diez días hábiles) y reclamos (solicitudes de corrección, actualización o supresión, o de revocatoria de la autorización, con un plazo de respuesta de quince días hábiles). Contar con un procedimiento interno claro para atender estas solicitudes dentro de los términos legales es, en la práctica, uno de los puntos que más frecuentemente revisa la SIC.
Responsable y Encargado: dos roles con deberes distintos
La ley distingue entre el Responsable del tratamiento —quien decide sobre la base de datos y sus finalidades— y el Encargado del tratamiento —quien trata los datos por cuenta del Responsable, por ejemplo un proveedor de nómina, un centro de contacto o un proveedor de correo masivo—. Ambos tienen deberes legales, y cuando una empresa contrata a un tercero como Encargado, debe formalizar esa relación mediante un contrato de transmisión de datos que defina el alcance del tratamiento, las obligaciones de seguridad y el destino de los datos al terminar el contrato. Este es uno de los puntos que con más frecuencia se pasa por alto en la contratación con proveedores de tecnología.
El Registro Nacional de Bases de Datos (RNBD)
El Registro Nacional de Bases de Datos (RNBD), administrado por la SIC, es el directorio público de las bases de datos personales sujetas a tratamiento en el país. Deben inscribirse allí los Responsables del tratamiento que sean personas jurídicas de naturaleza pública, así como las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT. Aunque una empresa no supere ese umbral y por tanto no esté obligada a inscribirse, sigue estando sujeta a todas las demás obligaciones de la Ley 1581 de 2012 (autorización, política de tratamiento, atención de consultas y reclamos, medidas de seguridad).
Transferencias y transmisiones internacionales de datos
Cuando una empresa envía datos personales a un tercero fuera de Colombia, la ley distingue entre transferencia internacional (el Responsable en Colombia envía los datos a otro Responsable en el exterior) y transmisión internacional (el envío se hace a un Encargado que tratará los datos por cuenta del Responsable, por ejemplo un proveedor de nube o de software como servicio ubicado en otro país). Como regla general, las transferencias internacionales solo proceden hacia países que ofrezcan un nivel adecuado de protección de datos según los criterios de la SIC, salvo que se configure alguna de las excepciones legales (autorización expresa del titular, ejecución de un contrato, entre otras) o se implementen cláusulas contractuales u otros mecanismos que garanticen el nivel de protección exigido. Para empresas de tecnología y telecomunicaciones, que suelen depender de proveedores extranjeros de infraestructura, este es uno de los puntos de mayor exposición.
Régimen sancionatorio: qué puede hacer la SIC
Ante el incumplimiento de la Ley 1581 de 2012, la SIC puede imponer distintas sanciones, entre ellas: multas de carácter personal e institucional hasta por el equivalente a 2.000 salarios mínimos mensuales legales vigentes (SMLMV); la suspensión de las actividades relacionadas con el tratamiento hasta por seis meses; y el cierre temporal de las operaciones una vez vencida la suspensión sin que se hayan adoptado los correctivos exigidos. Estas sanciones se imponen tras un procedimiento administrativo en el que la empresa investigada tiene derecho a presentar descargos y pruebas, por lo que la forma en que se estructura la defensa desde el primer requerimiento de la SIC incide directamente en el resultado.
Qué debe tener lista su empresa: checklist práctico
Con independencia del tamaño o el sector, toda empresa debería poder responder afirmativamente a lo siguiente:
- Autorizaciones de tratamiento documentadas para clientes, empleados y proveedores, con la finalidad claramente informada.
- Una política de tratamiento de la información vigente, publicada y conocida por el personal que maneja datos.
- Avisos de privacidad en los canales de recolección (formularios web, campañas, puntos de venta).
- Evaluación de si está obligada a inscribirse en el RNBD y, de ser así, el registro actualizado.
- Un procedimiento interno para atender consultas y reclamos de titulares dentro de los plazos legales.
- Contratos de transmisión de datos con todos los proveedores que actúan como Encargados (nómina, mensajería, nube, CRM, mercadeo).
- Medidas de seguridad técnicas, humanas y administrativas razonables frente al volumen y la sensibilidad de los datos tratados.
- Un protocolo claro para transferencias internacionales, cuando la operación dependa de proveedores en el exterior.
Mantener estos elementos vigentes no es un ejercicio de una sola vez: requiere revisión periódica a medida que la empresa contrata nuevos proveedores, lanza nuevos productos o cambia sus sistemas. Por eso muchas empresas —especialmente en sectores con alta exposición regulatoria como telecomunicaciones y tecnología, donde además conviven obligaciones frente a la SIC en materia de competencia desleal, como explicamos en nuestra guía sobre piratería de señales de TV— prefieren integrar este cumplimiento dentro de un esquema de departamento legal externo que haga seguimiento continuo, en lugar de revisarlo solo cuando ya llegó un requerimiento de la SIC.
¿Su empresa necesita revisar su cumplimiento en protección de datos?
En Litigios AC acompañamos a empresas en la estructuración de su régimen de protección de datos personales —autorizaciones, política de tratamiento, contratos con Encargados y registro ante la SIC— y las representamos en investigaciones y procesos sancionatorios cuando ya existe un requerimiento de la autoridad. Conozca nuestra área de Litigios o escríbanos para una revisión de cumplimiento a la medida de su empresa.
Este artículo es información general y no constituye asesoría jurídica para un caso particular.