
Protección de Datos Personales para Empresas en Colombia: Guía de Cumplimiento
Toda empresa que recolecte, almacene o use datos de clientes, empleados o proveedores —desde una base de datos de contactos hasta un sistema de facturación— está sujeta al **régimen de protección de datos personales** en Colombia. No se trata solo de un asunto de sistemas o de un aviso en el sitio web: es una obligación legal con **autoridad de control, procedimiento sancionatorio y multas** que puede imponer la Superintendencia de Industria y Comercio. Esta guía explica, en términos prácticos, qué exige la ley a las empresas y qué deben tener listo para evitar un proceso sancionatorio. ## El marco legal: dos leyes que no deben confundirse En Colombia coexisten dos regímenes de habeas data que muchas empresas confunden: - La **Ley 1266 de 2008** regula específicamente el **habeas data financiero, crediticio y comercial**: el reporte a centrales de riesgo como Datacrédito o Cifin. - La **Ley 1581 de 2012** —conocida como el **Régimen General de Protección de Datos Personales**— es la norma marco que aplica a **cualquier base de datos personal**, sin importar el sector: clientes, empleados, proveedores, usuarios de una plataforma, suscriptores de un servicio de telecomunicaciones, etc. Ambas leyes han sido objeto de reglamentación y de modificaciones a lo largo del tiempo. Esta guía se enfoca en la Ley 1581 de 2012, que es la que rige la operación ordinaria de cualquier empresa. ## La SIC como autoridad de control La **Superintendencia de Industria y Comercio (SIC)**, a través de su **Delegatura para la Protección de Datos Personales**, es la autoridad encargada de vigilar el cumplimiento de la ley, atender reclamos de los titulares, investigar infracciones y sancionar. Cualquier persona puede presentar una queja ante la SIC si considera que una empresa está tratando sus datos de forma indebida, lo que convierte el cumplimiento en un riesgo real y no solo teórico. ## Los principios que rigen el tratamiento de datos La ley exige que toda empresa que trate datos personales respete, entre otros, los principios de **legalidad** (el tratamiento debe fundarse en una norma que lo permita), **finalidad** (los datos solo pueden usarse para el propósito informado al titular), **libertad** (no puede obtenerse ni usarse el dato sin autorización), **veracidad o calidad** (la información debe ser exacta y actualizada), **transparencia**, **acceso y circulación restringida**, **seguridad** y **confidencialidad**. Estos principios no son declarativos: son el estándar contra el cual la SIC evalúa si una empresa cumplió o no. ## Autorización, política de tratamiento y aviso de privacidad ### La autorización del titular Como regla general, toda empresa necesita la **autorización previa, expresa e informada** del titular antes de recolectar y tratar sus datos personales. Esta autorización puede constar por escrito, de forma verbal o mediante conductas inequívocas que permitan concluir que fue otorgada, pero la carga de probarla siempre recae en el **Responsable del tratamiento** —es decir, en la empresa—, por lo que en la práctica conviene documentarla siempre. ### Política de tratamiento de la información Toda empresa que trate datos personales debe contar con una **política de tratamiento de la información**, un documento interno y público que explica qué datos recolecta, para qué los usa, cómo los protege, con quién los comparte y cómo el titular puede ejercer sus derechos. Es, junto con la autorización, el pilar documental del cumplimiento. ### Aviso de privacidad Cuando no es posible entregar la política completa en el momento de la recolección (por ejemplo, en formularios cortos o campañas de mercadeo), la empresa debe poner a disposición del titular un **aviso de privacidad**: un resumen que informa la identidad del Responsable, la finalidad del tratamiento y cómo acceder a la política completa. ## Datos sensibles y datos de niños y adolescentes La ley establece un **régimen reforzado** para los **datos sensibles** —aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, como origen racial, orientación política, convicciones religiosas, afiliación sindical, datos de salud, biométricos o de vida sexual—. Para estos datos, la autorización debe ser **explícita** y el Responsable debe informar al titular que no está obligado a autorizar su tratamiento. El tratamiento de datos de **niños, niñas y adolescentes** está igualmente sujeto a condiciones especiales: solo procede cuando responde a la naturaleza de los datos y dentro de los parámetros de interés superior y respeto de sus derechos. ## Los derechos del titular Toda persona cuyos datos son tratados por una empresa tiene derecho a: **conocer, actualizar y rectificar** sus datos; **solicitar prueba de la autorización** otorgada; **ser informada** sobre el uso que se le ha dado a sus datos; **presentar quejas ante la SIC**; **revocar la autorización y/o solicitar la supresión del dato** cuando no se respeten los principios legales; y **acceder gratuitamente** a sus datos. Estos derechos se canalizan mediante **consultas** (solicitudes de información sobre los datos tratados, que deben resolverse en un plazo máximo de diez días hábiles) y **reclamos** (solicitudes de corrección, actualización o supresión, o de revocatoria de la autorización, con un plazo de respuesta de quince días hábiles). Contar con un procedimiento interno claro para atender estas solicitudes dentro de los términos legales es, en la práctica, uno de los puntos que más frecuentemente revisa la SIC. ## Responsable y Encargado: dos roles con deberes distintos La ley distingue entre el **Responsable del tratamiento** —quien decide sobre la base de datos y sus finalidades— y el **Encargado del tratamiento** —quien trata los datos por cuenta del Responsable, por ejemplo un proveedor de nómina, un centro de contacto o un proveedor de correo masivo—. Ambos tienen deberes legales, y cuando una empresa contrata a un tercero como Encargado, debe formalizar esa relación mediante un **contrato de transmisión de datos** que defina el alcance del tratamiento, las obligaciones de seguridad y el destino de los datos al terminar el contrato. Este es uno de los puntos que con más frecuencia se pasa por alto en la contratación con proveedores de tecnología. ## El Registro Nacional de Bases de Datos (RNBD) El **Registro Nacional de Bases de Datos (RNBD)**, administrado por la SIC, es el directorio público de las bases de datos personales sujetas a tratamiento en el país. Deben inscribirse allí los Responsables del tratamiento que sean **personas jurídicas de naturaleza pública**, así como las **sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT**, entre otros presupuestos, según corresponda. Aunque una empresa no supere ese umbral y por tanto no esté obligada a inscribirse, sigue estando sujeta a todas las demás obligaciones de la Ley 1581 de 2012 (autorización, política de tratamiento, atención de consultas y reclamos, medidas de seguridad). ## Transferencias y transmisiones internacionales de datos Cuando una empresa envía datos personales a un tercero **fuera de Colombia**, la ley distingue entre **transferencia internacional** (el Responsable en Colombia envía los datos a otro Responsable en el exterior) y **transmisión internacional** (el envío se hace a un Encargado que tratará los datos por cuenta del Responsable, por ejemplo un proveedor de nube o de software como servicio ubicado en otro país). Como regla general, las transferencias internacionales solo proceden hacia países que ofrezcan un **nivel adecuado de protección de datos** según los criterios de la SIC, salvo que se configure alguna de las excepciones legales (autorización expresa del titular, ejecución de un contrato, entre otras) o se implementen cláusulas contractuales u otros mecanismos que garanticen el nivel de protección exigido. Para empresas de tecnología y telecomunicaciones, que suelen depender de proveedores extranjeros de infraestructura, este es uno de los puntos de mayor exposición. ## Régimen sancionatorio: qué puede hacer la SIC Ante el incumplimiento de la Ley 1581 de 2012, la SIC puede imponer distintas sanciones, entre ellas: **multas de carácter personal e institucional hasta por el equivalente a 2.000 salarios mínimos mensuales legales vigentes (SMLMV)**; la **suspensión de las actividades relacionadas con el tratamiento** hasta por seis meses; y el **cierre temporal de las operaciones relacionadas con el tratamiento** una vez vencida la suspensión sin que se hayan adoptado los correctivos exigidos. Estas sanciones se imponen tras un procedimiento administrativo en el que la empresa investigada tiene derecho a presentar descargos y pruebas, por lo que la forma en que se estructura la defensa desde el primer requerimiento de la SIC incide directamente en el resultado. ## Qué debe tener lista su empresa: checklist práctico Con independencia del tamaño o el sector, toda empresa debería poder responder afirmativamente a lo siguiente: - **Autorizaciones** de tratamiento documentadas para clientes, empleados y proveedores, con la finalidad claramente informada. - Una **política de tratamiento de la información** vigente, publicada y conocida por el personal que maneja datos. - **Avisos de privacidad** en los canales de recolección (formularios web, campañas, puntos de venta). - Evaluación de si está **obligada a inscribirse en el RNBD** y, de ser así, el registro actualizado. - Un **procedimiento interno** para atender consultas y reclamos de titulares dentro de los plazos legales. - **Contratos de transmisión de datos** con todos los proveedores que actúan como Encargados (nómina, mensajería, nube, CRM, mercadeo). - **Medidas de seguridad** técnicas, humanas y administrativas razonables frente al volumen y la sensibilidad de los datos tratados. - Un protocolo claro para **transferencias internacionales**, cuando la operación dependa de proveedores en el exterior. Mantener estos elementos vigentes no es un ejercicio de una sola vez: requiere revisión periódica a medida que la empresa contrata nuevos proveedores, lanza nuevos productos o cambia sus sistemas. Por eso muchas empresas —especialmente en sectores con alta exposición regulatoria como telecomunicaciones y tecnología, donde además conviven obligaciones frente a la SIC en materia de competencia desleal, como explicamos en nuestra guía sobre **[piratería de señales de TV](/blog/pirateria-senales-tv-competencia-desleal)**— prefieren integrar este cumplimiento dentro de un esquema de **[departamento legal externo](/areas-de-practica/Outsourcing-depto-legal)** que haga seguimiento continuo, en lugar de revisarlo solo cuando ya llegó un requerimiento de la SIC. ## ¿Su empresa necesita revisar su cumplimiento en protección de datos? En **Litigios AC** acompañamos a empresas en la estructuración de su régimen de protección de datos personales —autorizaciones, política de tratamiento, contratos con Encargados y registro ante la SIC— y las representamos en investigaciones y procesos sancionatorios cuando ya existe un requerimiento de la autoridad. Conozca nuestra área de **[Litigios](/areas-de-practica/litigios)** o [escríbanos](https://wa.me/573002810484) para una revisión de cumplimiento a la medida de su empresa. *Este artículo es información general y no constituye asesoría jurídica para un caso particular.*

Oscar David Giraldo Salazar
Socio Litigios AC















