Leyes de Privacidad de Datos de Colombia: Guía sobre la Ley 1581 y el Hábeas Data (2026)

La protección de datos personales en Colombia se fundamenta en el artículo 15 de la Constitución de 1991, que establece el hábeas data como un derecho fundamental. La Ley 1581 de 2012 desarrolla ese fundamento, exigiendo el consentimiento previo, expreso e informado antes de recopilar o tratar cualquier dato personal, con la aplicación de la ley a cargo de la Superintendencia de Industria y Comercio.

¿Qué Es la Ley de Protección de Datos de Colombia?

Colombia protege los datos personales a través de un régimen escalonado: una garantía constitucional en el artículo 15 de la Constitución Política de 1991, dos leyes principales (la Ley 1581 de 2012 para los datos en general y la Ley 1266 de 2008 para los datos financieros), un reglamento de implementación en el Decreto 1377 de 2013, y circulares vinculantes emitidas por la Superintendencia de Industria y Comercio (SIC). El marco es uno de los más desarrollados de América Latina, y se destaca por tratar la protección de datos no como un privilegio legal, sino como un derecho fundamental de rango constitucional denominado hábeas data. Conforme al artículo 2, la ley alcanza el tratamiento realizado en territorio colombiano, alcance que la SIC aplica a las empresas extranjeras que tratan datos en Colombia aun sin sucursal ni representación formal allí. Solo alcanza a un responsable o encargado ubicado fuera de Colombia cuando el derecho colombiano le resulta aplicable en virtud de normas o tratados internacionales.

Alcance jurisdiccional: este artículo abarca el marco nacional de protección de datos de Colombia, incluidas la Ley 1581 de 2012, el Decreto 1377 de 2013, la Ley 1266 de 2008, las circulares sancionatorias de la SIC, y los proyectos de reforma estatutaria de 2025 que el Congreso archivó en junio de 2026. No aborda las leyes de consentimiento para grabaciones de Colombia, ni los regímenes de protección de datos de Argentina, Chile o Brasil.

Fundamento Constitucional: El Hábeas Data como Derecho Fundamental

El enfoque de Colombia respecto de la privacidad de datos es singular en América Latina porque parte del nivel constitucional. El artículo 15 de la Constitución Política de 1991 garantiza a toda persona el derecho a la intimidad personal y familiar, y a su buen nombre. Más importante aún, el artículo 15 establece lo que el derecho colombiano denomina hábeas data: el derecho específico a conocer, actualizar y rectificar cualquier información recopilada sobre una persona en bases de datos o registros administrados por entidades públicas o privadas. No se trata de una idea legal accesoria. Es un derecho fundamental de rango constitucional que tiene el mismo peso que la libertad de expresión o el debido proceso.

El artículo 20 de la Constitución refuerza este marco al garantizar el derecho a recibir información veraz e imparcial. Juntas, estas dos disposiciones crean un mandato constitucional que el Congreso debía implementar mediante ley. Dado que el mandato emana de la propia Constitución, la ley de implementación requirió la forma legislativa reforzada de una ley estatutaria, sujeta a la revisión previa y obligatoria de la Corte Constitucional de Colombia antes de su entrada en vigencia.

Decisiones Clave de la Corte Constitucional

La Corte Constitucional ha desarrollado un cuerpo sustancial de jurisprudencia sobre el hábeas data desde 1992. Cuatro decisiones son el sustento de esta materia:

• La Sentencia T-414 de 1992 reconoció por primera vez que la protección de los datos financieros personales constituye una libertad individual, a la que la Corte denominó "libertad informática", distinta del derecho general a la intimidad.
• La Sentencia T-022 de 1993 extendió el análisis a la recolección y circulación de información financiera, enmarcándola como un problema de privacidad susceptible de protección constitucional a través de la acción de tutela.
• La Sentencia C-748 de 2011 revisó la constitucionalidad del proyecto de ley estatutaria que se convertiría en la Ley 1581, interpretando muchas de las disposiciones centrales de la norma antes de su entrada en vigencia. Este fallo de control previo es vinculante para todos los tribunales y autoridades públicas.
• La Sentencia T-260 de 2012 determinó que un padre no puede abrir una cuenta de red social a nombre de una niña pequeña. Un padre creó un perfil de Facebook para su hija de cuatro años, y lo describió como un álbum familiar virtual identificado ante 24 parientes; la madre de la niña interpuso la tutela. La Corte encontró vulnerados los derechos de la niña al hábeas data y a la honra, porque una niña de cuatro años no puede otorgar un consentimiento previo, expreso e informado y no sabía que el perfil existía, y ordenó al padre cancelar la cuenta dentro de las 48 horas siguientes.

La importancia de la protección de rango constitucional es tanto procesal como sustantiva. Un titular de datos no tiene que esperar meses de trámites administrativos ante la SIC. Cualquier persona que considere que se han vulnerado sus derechos de hábeas data puede interponer una acción de tutela directamente ante cualquier juez. Conforme al artículo 86 de la Constitución, el tribunal debe fallar dentro de los 10 días.

Ley 1581 de 2012: La Norma Central de Protección de Datos

El Congreso cumplió su mandato constitucional al sancionar la Ley Estatutaria 1581 de 2012, que estableció el marco general de protección de datos personales en Colombia. La norma se aplica a todos los datos personales registrados en cualquier base de datos susceptible de tratamiento por entidades públicas o privadas. El artículo 2 fija después el alcance territorial, y es más estrecho de lo que espera quien llega desde el GDPR. La Ley 1581 cubre el tratamiento realizado en territorio colombiano, y cubre a un responsable o encargado no establecido en Colombia solo cuando el derecho colombiano le resulta aplicable en virtud de normas y tratados internacionales. No existe un equivalente de la prueba del GDPR que atrapa a una empresa extranjera por el solo hecho de ofrecer bienes o servicios a personas en el territorio o de monitorear su comportamiento.

En la práctica, la SIC alcanza con frecuencia a operadores extranjeros, porque considera cubierto el tratamiento realizado en Colombia incluso cuando la empresa no tiene sucursal, filial ni representación formal en el país. Eso fue exactamente lo que sostuvo en la apelación de World Foundation resuelta en junio de 2026.

Dónde No Se Aplica la Ley 1581

El artículo 2 también excluye del régimen seis clases de bases de datos:

• Las bases de datos o archivos mantenidos en un ámbito exclusivamente personal o doméstico.
• Las bases de datos cuya finalidad sea la seguridad y la defensa nacional, o la prevención, detección, monitoreo y control del lavado de activos y la financiación del terrorismo.
• Las bases de datos que contengan información de inteligencia y contrainteligencia.
• Las bases de datos y archivos de información periodística y otros contenidos editoriales.
• Las bases de datos regidas por la Ley 1266 de 2008, que es el régimen de hábeas data financiero y crediticio.
• Las bases de datos regidas por la Ley 79 de 1993.

La exclusión no es total. Un parágrafo del artículo 2 mantiene aplicables los principios de protección de datos a las bases de datos exceptuadas, dentro de los límites que la propia ley fija.

Categorías de Datos Según la Ley 1581

La ley distingue cuatro categorías de datos, cada una con protecciones diferentes:

Principios Fundamentales del Tratamiento

La Ley 1581 establece ocho principios que rigen todo tratamiento de datos:

• Legalidad: el tratamiento debe cumplir con las leyes aplicables.
• Finalidad: los datos solo pueden recopilarse para una finalidad legítima y específica, comunicada al titular.
• Libertad: el tratamiento requiere el consentimiento previo, expreso e informado del titular.
• Veracidad: la información debe ser exacta, completa y estar actualizada.
• Transparencia: el titular tiene derecho a obtener información sobre sus datos en cualquier momento.
• Acceso y circulación restringida: solo las personas autorizadas pueden tratar los datos.
• Seguridad: los datos deben protegerse mediante medidas técnicas, humanas y administrativas.
• Confidencialidad: todas las personas que intervengan en el tratamiento deben mantener la confidencialidad, incluso después de finalizada la relación de tratamiento.

Requisitos de Consentimiento Según la Ley Colombiana

El consentimiento es la piedra angular del régimen de protección de datos de Colombia. El artículo 9 de la Ley 1581 exige que los titulares otorguen una autorización previa, expresa e informada antes de que sus datos personales puedan recopilarse o tratarse.

Qué Hace Válido al Consentimiento

El derecho colombiano exige que el consentimiento cumpla cuatro criterios:

1. Previo: la autorización debe obtenerse antes de que comience la recopilación de datos, no después.
2. Expreso: el titular debe manifestar activamente su consentimiento mediante una acción afirmativa clara.
3. Informado: el responsable del tratamiento debe explicar qué datos se recopilarán, por qué y cómo se utilizarán.
4. Revocable: los titulares pueden revocar su consentimiento en cualquier momento y por cualquier motivo.

El consentimiento implícito o tácito no es suficiente. Las casillas premarcadas, el consentimiento escondido en extensos términos de servicio, o la presunción de consentimiento por el uso continuado de un servicio no satisfacen el estándar fijado por la SIC. La actuación sancionatoria contra Worldcoin de octubre de 2025 lo ilustró directamente: la SIC determinó que los incentivos económicos utilizados para inducir la recolección de escaneos de iris volvían coercitivo el consentimiento y, por lo tanto, legalmente inválido conforme al artículo 9 de la Ley 1581.

Excepciones al Requisito de Consentimiento

El artículo 10 de la Ley 1581 establece una lista cerrada de cinco casos en los que no se requiere autorización:

• Información requerida por una entidad pública o administrativa en el ejercicio de sus funciones legales, o por orden judicial.
• Datos de naturaleza pública.
• Casos de urgencia médica o sanitaria.
• Tratamiento autorizado por la ley con fines históricos, estadísticos o científicos.
• Datos relacionados con el Registro Civil de las Personas.

Esa lista es taxativa. Quien acceda a datos personales sin autorización previa sigue obligado a cumplir todas las demás disposiciones de la ley.

Datos Sensibles: Protección Reforzada

El artículo 5 de la Ley 1581 define los datos sensibles como aquella información que pueda dar lugar a discriminación. Esto incluye datos que revelen el origen racial o étnico, la orientación política, las creencias religiosas, las convicciones filosóficas, la pertenencia a sindicatos u organizaciones de derechos humanos, información de salud, la vida sexual y datos biométricos.

El artículo 6 prohíbe el tratamiento de datos sensibles salvo en cinco casos. La lista es cerrada:

• El titular ha dado su autorización explícita a ese tratamiento, salvo en los casos en que por ley no se requiera autorización.
• El tratamiento es necesario para salvaguardar el interés vital del titular y este se encuentra física o jurídicamente incapacitado. En ese caso, los representantes legales deben otorgar la autorización.
• El tratamiento lo realiza, en el curso de sus actividades legítimas y con las debidas garantías, una fundación, ONG, asociación u otro organismo sin ánimo de lucro cuya finalidad sea política, filosófica, religiosa o sindical, y se refiere exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la entidad por razón de esa finalidad. Los datos no pueden suministrarse a terceros sin la autorización del titular.
• El tratamiento se refiere a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• El tratamiento tiene una finalidad histórica, estadística o científica. En ese caso deben adoptarse medidas para suprimir la identidad de los titulares.

En el artículo 6 no hay una excepción de registro civil. Los datos del registro civil están en el artículo 10, que enumera los casos en los que no se requiere autorización general. Esa es una regla distinta y no levanta la prohibición sobre los datos sensibles.

Decreto 1377 de 2013: Reglamento de Implementación

El 27 de junio de 2013, el Poder Ejecutivo emitió el Decreto 1377 de 2013 para reglamentar los requisitos operativos de la Ley 1581. Este decreto completa los detalles prácticos que la ley dejó librados a la reglamentación.

Los profesionales lo siguen citando por su número, pero ya no es una norma autónoma. Su texto fue compilado en el Decreto 1074 de 2015, el decreto único reglamentario del sector Comercio, Industria y Turismo, donde estas disposiciones están hoy en el Libro 2, Parte 2, Título 2, Capítulo 25. La propia SIC cita la versión compilada en su orientación vigente.

Requisitos de la Política de Privacidad

El artículo 13 del Decreto 1377 exige que todo responsable del tratamiento elabore una política de tratamiento de la información por escrito. Debe constar en medio físico o electrónico, estar redactada en un lenguaje claro y sencillo, y darse a conocer a los titulares. La política debe incluir, como mínimo:

• La identificación del responsable del tratamiento.
• La descripción de las finalidades y los métodos del tratamiento de datos.
• Los derechos de los titulares y la forma de ejercerlos.
• La identificación de la persona o el área responsable de la protección de datos.
• Los procedimientos para que los titulares presenten consultas y reclamos.
• El período de vigencia de la política.

Aviso de Privacidad

El artículo 14 convierte el aviso de privacidad en un mecanismo subsidiario, no en un segundo deber universal. Cuando no sea posible poner la política de tratamiento completa a disposición del titular, el responsable debe informarle mediante el aviso de privacidad que esa política existe y cómo acceder a ella, de manera oportuna y en todo caso a más tardar en el momento de la recolección.

El artículo 15 fija el contenido mínimo del aviso, y cuando se recolectan datos sensibles el aviso debe señalar expresamente que responder preguntas sobre esos datos es facultativo. Publicar un aviso nunca releva al responsable del deber de dar a conocer la política completa.

Los artículos 26 y 27 agregan el deber de responsabilidad demostrada. Los responsables deben poder mostrar a la SIC, cuando esta lo solicite, que implementaron medidas apropiadas y efectivas, proporcionales a su tamaño, a la naturaleza de los datos, al tipo de tratamiento y al riesgo involucrado. El programa integral de gestión de datos personales del que habla la práctica colombiana proviene de la guía de responsabilidad demostrada de la SIC, no del texto del decreto.

Obligaciones de Documentación

Los responsables deben conservar evidencia documentada de la autorización obtenida de cada titular. Esta prueba debe estar disponible para inspección de la SIC en cualquier momento. La SIC ha convertido el consentimiento documentado en un foco de sus auditorías sancionatorias desde 2022, y la ausencia de autorización documentada fue una de las varias infracciones citadas en la investigación sobre Worldcoin.

Derechos de los Titulares (Derechos ARCO y Más Allá)

El artículo 8 de la Ley 1581 otorga a los titulares un conjunto de derechos. La práctica colombiana toma prestada la sigla regional ARCO (Acceso, Rectificación, Cancelación, Oposición), pero la O de oposición proviene del derecho mexicano y no tiene equivalente en la Ley 1581:

• Derecho de acceso: las personas pueden solicitar copias de todos los datos personales que se conserven sobre ellas, sin costo alguno.
• Derecho de actualización: los titulares pueden exigir que se corrija la información inexacta o incompleta.
• Derecho de rectificación: aborda específicamente los errores en las bases de datos, incluida la corrección de registros falsos o engañosos.
• Derecho de supresión: las personas pueden solicitar la eliminación de sus datos cuando se revoque el consentimiento o cuando el tratamiento ya no sea necesario para la finalidad declarada.
• Derecho a revocar el consentimiento: los titulares pueden retirar su autorización en cualquier momento y por cualquier motivo, sin perjuicio alguno.
• Derecho a la prueba de la autorización: el artículo 8(b) permite al titular exigir al responsable la prueba de la autorización que obtuvo, salvo cuando el artículo 10 exceptúe la autorización como requisito. Esta es la disposición que hace exigible el consentimiento documentado por el propio titular, y no solo por la SIC.
• Derecho a saber cómo se usaron los datos: conforme al artículo 8(c), el responsable o el encargado deben informar al titular, previa solicitud, sobre el uso que le han dado a sus datos personales.
• Sin derecho autónomo de oposición: a diferencia del GDPR, el artículo 8 no otorga un derecho a oponerse al tratamiento. En la práctica, el mercadeo directo no deseado se detiene revocando la autorización conforme al artículo 8(e), no oponiéndose a una base legal.
• Derecho a presentar reclamos: los titulares pueden presentar reclamos ante la SIC cuando se vulneren sus derechos.

Conforme al artículo 14, una consulta debe responderse dentro de los 10 días hábiles. Cuando eso no sea posible, el responsable debe informar al solicitante los motivos y la fecha en que atenderá la consulta, que no puede superar los 5 días hábiles siguientes al vencimiento del primer término.

Conforme al artículo 15, un reclamo debe atenderse dentro de los 15 días hábiles, prorrogables bajo la misma condición de aviso hasta por 8 días hábiles más. Si el reclamo llega incompleto, el responsable tiene 5 días para pedirle a la persona que lo complete, y el reclamo se entiende desistido si pasan 2 meses sin respuesta. Dentro de los 2 días hábiles siguientes a la recepción de un reclamo completo, la base de datos debe incluir la leyenda "reclamo en trámite", que permanece hasta que el reclamo se decida.

El artículo 16 convierte el agotamiento del trámite de consulta o reclamo en un requisito de procedibilidad. Solo una vez terminada esa vía interna puede el titular presentar la queja ante la SIC.

Tenga en cuenta: los Proyectos de reforma 214/2025C y 274/2025C habrían agregado cuatro derechos que la Ley 1581 no otorga: el derecho a no ser objeto de decisiones exclusivamente automatizadas, el derecho a la portabilidad de los datos, el derecho a la limitación del tratamiento, y un derecho de oposición. Esos proyectos fueron archivados en junio de 2026, así que ninguno de esos derechos hace parte del derecho colombiano. Construya los programas de cumplimiento sobre el artículo 8 tal como está hoy.

La SIC: La Autoridad de Protección de Datos de Colombia

La Superintendencia de Industria y Comercio (SIC) es la autoridad nacional de protección de datos de Colombia. Dentro de la SIC, la Delegatura para la Protección de Datos Personales se encarga de la aplicación de la ley, la investigación y la orientación regulatoria. La SIC es un regulador multifuncional que también supervisa la protección al consumidor y el derecho de la competencia, pero su división de protección de datos opera con facultades de aplicación independientes conforme a la Ley 1581.

Facultades y Funciones

La SIC cuenta con amplias facultades conforme a la Ley 1581 para:

• Investigar los reclamos presentados por los titulares.
• Realizar inspecciones y auditorías a los responsables y encargados del tratamiento, con o sin aviso previo.
• Emitir instrucciones y lineamientos vinculantes (circulares).
• Imponer sanciones administrativas, incluidas multas económicas y restricciones operativas.
• Ordenar el bloqueo temporal de los datos cuando la solicitud del titular y las pruebas aportadas muestren un riesgo claro para sus derechos fundamentales, mientras se adopta una decisión de fondo.
• Administrar el Registro Nacional de Bases de Datos (RNBD).
• Declarar si un país extranjero ofrece una protección de datos adecuada a efectos de las transferencias.

Registro Nacional de Bases de Datos (RNBD)

Uno de los requisitos más distintivos de Colombia es la obligación de inscripción en el RNBD. El RNBD es un directorio de acceso público de las bases de datos personales que operan en Colombia, administrado por la SIC y consultable por cualquier ciudadano. La inscripción cumple tanto fines de transparencia como de supervisión regulatoria.

Quién debe inscribirse: conforme al Decreto 090 de 2018, las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT (Unidades de Valor Tributario), además de las personas jurídicas de naturaleza pública, deben inscribir sus bases de datos. La UVT se reajusta cada enero, así que la cifra en pesos se mueve con ella. Con la UVT de 2026 de COP 52.374, el umbral queda en cerca de COP 5.240 millones.

Ventana de actualización anual: la regla permanente de la SIC es que los registros se actualicen cada año entre el 2 de enero y el 31 de marzo. No actualizar dentro del plazo previsto constituye una infracción independiente.

Obligaciones continuas: los cambios sustanciales deben reflejarse dentro de los primeros diez días hábiles de cada mes, que es una ventana mensual fija y no un plazo de diez días contados desde el cambio. La Circular Única de la SIC define como cambio sustancial el que afecte la finalidad de la base de datos, el encargado, los canales de atención a los titulares, la clasificación o los tipos de datos personales almacenados, las medidas de seguridad implementadas, la política de tratamiento, o las transferencias y transmisiones internacionales. Las nuevas bases de datos deben inscribirse dentro de los dos meses siguientes a su creación.

Portal de incidentes: para las entidades inscritas en el RNBD, las notificaciones de incidentes de seguridad a la SIC deben presentarse a través del portal del RNBD.

Sanciones y Aplicación por Parte de la SIC

La Ley 1581 otorga a la SIC un conjunto graduado de herramientas de aplicación, y la autoridad las ha utilizado con frecuencia creciente desde 2022.

Multas Económicas Según la Ley Vigente

La multa máxima equivale a 2.000 veces el salario mínimo legal mensual vigente al momento de imponerse la sanción (SMMLV). Con el salario mínimo de Colombia para 2026 fijado en COP 1.750.905, el tope alcanza cerca de COP 3.500 millones. El artículo 23(a) agrega que las multas pueden imponerse de manera sucesiva mientras persista el incumplimiento que las originó, de modo que ese tope es una cifra por sanción y no un límite total. El valor en dólares se mueve con la tasa de cambio, así que el múltiplo del SMMLV y el monto en pesos son las cifras confiables para planear. El artículo 24 fija los criterios para graduar la sanción, en cuanto resulten aplicables: la dimensión del daño o peligro a los intereses jurídicos que la ley protege; el beneficio económico que el infractor o un tercero hayan obtenido de la infracción; la reincidencia; la resistencia, negativa u obstrucción a la investigación o vigilancia de la SIC; la renuencia o desacato en el cumplimiento de las órdenes de la SIC; y el reconocimiento o aceptación expresa de la infracción por parte del investigado antes de que se imponga la sanción. Ese último criterio es la única vía legal hacia una cifra menor, y se cierra una vez emitida la sanción.

Sanciones Operativas

El artículo 23 enumera las sanciones distintas de las multas, y el supuesto que activa cada una importa:

• Suspensión: la suspensión de las actividades relacionadas con el tratamiento por hasta seis meses. La orden de suspensión debe indicar los correctivos que deben adoptarse.
• Cierre temporal: el cierre temporal de las operaciones, procedente una vez transcurrido el término de suspensión sin que se hayan adoptado los correctivos ordenados.
• Cierre inmediato y definitivo: reservado para la operación que involucre el tratamiento de datos sensibles. Este fue el fundamento que la SIC usó contra World Foundation y Tools for Humanity.

El artículo 23 no contempla como tal una sanción de cierre y eliminación de una base de datos. Un parágrafo del mismo artículo limita todas estas sanciones a las personas de naturaleza privada: cuando la SIC advierte un posible incumplimiento de una autoridad pública, remite el asunto a la Procuraduría General de la Nación.

Tendencias de Aplicación de la Ley

A partir de la lectura del informe de rendición de cuentas de 2024 de la SIC, Holland & Knight contabilizó un aumento del 22% en las sanciones de la SIC en 2024 respecto del año anterior. La propia tabla de sanciones de 2024 de la SIC enumera los casos individuales, pero no publica esa comparación interanual. Las prioridades de aplicación se han ampliado, dejando de centrarse únicamente en las infracciones tradicionales de consentimiento y aviso, para abarcar las tecnologías emergentes, las transferencias transfronterizas y la recolección de datos biométricos.

La actuación sancionatoria de mayor perfil en la historia de la SIC se produjo el 3 de octubre de 2025, cuando la SIC emitió la Resolución 78798, que ordenó el cierre inmediato y definitivo de las operaciones de World Foundation y Tools for Humanity (Worldcoin) en Colombia. La SIC determinó que las empresas habían recolectado imágenes de iris de miles de personas en Colombia mediante dispositivos Orb, a cambio de dinero, sin un consentimiento genuinamente libre ni suficientemente informado. La cifra de registros que la propia World reportó para Colombia fue cercana a dos millones de usuarios a septiembre de 2025, pero la SIC nunca adoptó ese número y describió la recolección únicamente como alcanzando a miles de personas. Entre las principales infracciones se encontraban: la ausencia de un anexo de privacidad específico para Colombia (mientras que sí existían anexos para la UE, Japón, Argentina y Perú); la falta de divulgación del protocolo de Cómputo Multiparte Seguro utilizado para fragmentar y almacenar los códigos de iris junto con terceros; y el uso de incentivos económicos que, según determinó la SIC, volvían coercitivo el consentimiento. La SIC ordenó la eliminación de todos los datos biométricos recolectados en Colombia desde el inicio de las operaciones, y prohibió a ambas entidades continuar con cualquier tratamiento de datos en Colombia. Las empresas apelaron. El 18 de junio de 2026, la Delegatura para la Protección de Datos Personales de la SIC expidió la Resolución 45710, que resolvió el recurso de apelación y confirmó íntegramente la Resolución 78798. Contra esa decisión no procede recurso administrativo alguno, de modo que la orden de cierre y la de eliminación de los datos biométricos son definitivas.

La apelación giró en torno a un argumento técnico que la SIC rechazó. Las empresas sostuvieron que el código de iris y los fragmentos derivados de él mediante cómputo multiparte seguro ya no eran datos personales, porque estaban cifrados, fragmentados y distribuidos en nodos separados. La Delegatura sostuvo que las medidas criptográficas aplicadas después de la recolección no vuelven anónima la información. El propósito mismo del sistema World ID es reconocer a una persona verificando su unicidad a partir de patrones biométricos, así que el vínculo funcional con una persona identificable sobrevive al cifrado.

Requisitos de Notificación de Incidentes

El artículo 17(n) de la Ley 1581 impone al responsable del tratamiento el deber de informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. El artículo 18(k) impone el mismo deber a los encargados, dirigido expresamente a la SIC. El Reporte de Incidentes de Seguridad de la SIC es el canal para presentar ese reporte.

Cronograma y Proceso de Notificación

Los incidentes deben reportarse a la SIC dentro de los 15 días hábiles siguientes a su detección. En el caso de las bases de datos inscritas en el RNBD, la notificación se presenta a través del portal del RNBD. El informe debe describir la naturaleza del incidente, las categorías y el volumen aproximado de datos afectados, las consecuencias probables, y las medidas adoptadas o propuestas.

El Supuesto Legal Tiene Dos Elementos

El deber de los artículos 17(n) y 18(k) es conjuntivo. Se debe cuando hay una violación a los códigos de seguridad y existen riesgos en la administración de la información de los titulares. Ese segundo elemento es un componente de riesgo, no una regla que obligue a reportar todo incidente en cualquier circunstancia.

Aun así, en la práctica el umbral es bajo. La SIC lee el elemento de riesgo de manera amplia, y es mucho más fácil defender un reporte que resultó innecesario que una decisión de no reportar. Pero la ley no dice que el daño y el riesgo sean irrelevantes, y un programa de cumplimiento construido sobre la idea de que Colombia no tiene umbral alguno está construido sobre el texto equivocado.

Notificación a las Personas Afectadas

No existe un plazo legal específico para notificar a las personas afectadas. Sin embargo, la SIC ha señalado que la notificación individual debe permitir a los titulares adoptar medidas de protección, y ha indicado que las demoras injustificadas en la notificación individual pueden constituir un agravante en los procedimientos sancionatorios.

Transferencias Internacionales de Datos

El artículo 26 de la Ley 1581 prohíbe, como regla general, transferir datos personales a países que no ofrezcan un nivel adecuado de protección de datos. La SIC evalúa la adecuación en función de si el marco legal del país receptor ofrece protecciones al menos equivalentes a las del derecho colombiano.

Países Reconocidos como Adecuados por la SIC

El texto operativo es el numeral 3.2 del Capítulo Tercero del Título V de la Circular Única de la SIC, fijado por la Circular Externa 005 de 2017 y modificado por la Circular Externa 002 de 2018, que incorporó a Australia. Nombra 38 países: los 27 Estados miembros de la UE, más Islandia y Noruega, más Estados Unidos, el Reino Unido, Costa Rica, México, Perú, Serbia, la República de Corea, Japón y Australia.

La lista cierra con una cláusula general que cubre a los países que la Comisión Europea haya declarado con un nivel adecuado de protección. Eso importa, porque es la vía por la que califica Canadá. Canadá no aparece nombrado en la lista de la SIC, y tampoco Liechtenstein, pese a ser un Estado del EEE. Otras jurisdicciones con una decisión de adecuación de la Comisión Europea, como Suiza, Argentina, Uruguay, Israel y Nueva Zelanda, entran por la misma vía. Las transferencias hacia cualquier país de la lista nombrada o cubierto por la cláusula general no requieren autorización adicional más allá de las obligaciones de consentimiento y aviso previstas en la Ley 1581.

Transferencias hacia Países No Adecuados

Cuando una transferencia deba realizarse hacia un país que no figure en la lista de adecuados, el responsable del tratamiento debe utilizar alguno de los siguientes mecanismos:

• Una Declaración de Conformidad emitida por la SIC, basada en un análisis de las prácticas de protección de datos del receptor.
• Alguna de las excepciones de los literales (a) a (f) del propio artículo 26, que no tiene numerales: la autorización expresa e inequívoca del titular para la transferencia; el intercambio de datos de carácter médico cuando lo exija el tratamiento del titular por razones de salud o higiene pública; las transferencias bancarias o bursátiles conforme a la legislación que les resulte aplicable; las transferencias acordadas en tratados internacionales de los que Colombia sea parte, con fundamento en el principio de reciprocidad; las transferencias necesarias para la ejecución de un contrato entre el titular y el responsable, o para la ejecución de medidas precontractuales, con autorización del titular; y las transferencias legalmente exigidas para salvaguardar el interés público, o para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
• La autoverificación prevista en el parágrafo 2 del numeral 3.2 de la Circular Única. Cuando el país de destino no está en la lista, el responsable puede verificar por sí mismo si ese país cumple los estándares del numeral 3.1 y, si los cumple, proceder sobre esa base. Solo si no se cumple ninguna excepción del artículo 26 ni los estándares del numeral 3.1 debe solicitar a la SIC una Declaración de Conformidad.

Cláusulas Contractuales Modelo (Diciembre de 2025)

El 19 de diciembre de 2025, la SIC emitió la Circular Externa No. 003 de 2025, que introdujo cláusulas contractuales modelo de carácter voluntario para las transferencias y transmisiones internacionales de datos personales. La adopción de las cláusulas es facultativa, pero una vez que un responsable o encargado decide utilizarlas, las obligaciones contenidas en ellas se vuelven vinculantes, y su incumplimiento puede constituir una infracción a la Ley 1581. La circular acerca significativamente el marco colombiano de transferencias al modelo europeo de cláusulas contractuales tipo, y ofrece a las organizaciones una vía de cumplimiento bien definida para las transferencias hacia países que no figuran en la lista de adecuados.

Ley 1266 de 2008: El Hábeas Data Financiero

Junto con la Ley 1581, Colombia mantiene un régimen especializado para los datos financieros en virtud de la Ley 1266 de 2008. Esta ley regula el tratamiento de los datos financieros, crediticios, comerciales y de servicios recopilados en las centrales de riesgo y bases de datos similares.

Conforme a la Ley 1266, el tratamiento de datos financieros generalmente no requiere el consentimiento previo del titular. Sin embargo, los titulares conservan el derecho de acceder, actualizar y rectificar su información crediticia.

La Ley 2157 de 2021, conocida como la ley de borrón y cuenta nueva, reescribió el artículo 13 de la Ley 1266 para fijar cuánto tiempo pueden permanecer los datos negativos en las centrales de riesgo. La información positiva permanece de manera indefinida. El dato negativo tiene un término de permanencia equivalente al doble de la mora, con un máximo de cuatro años, y ese conteo empieza en la fecha en que se pagan las cuotas vencidas o se extingue la obligación. Ahí no termina. Conforme al parágrafo 1, el dato negativo caduca en todo caso a los ocho años contados desde que la obligación entró en mora.

El beneficio de eliminación inmediata que muchos colombianos recuerdan fue un régimen de transición, no la regla permanente. El artículo 9 de la Ley 2157 otorgó un tope de seis meses, y en varias categorías el retiro inmediato, a quienes extinguieran una obligación reportada dentro de los doce meses siguientes a la entrada en vigencia de la ley. La Ley 2157 fue publicada en el Diario Oficial 51.842 el 29 de octubre de 2021 y rigió desde ese día, así que esa ventana se cerró el 29 de octubre de 2022.

Quien pague una deuda hoy queda bajo la regla permanente. El reporte negativo puede permanecer el doble del tiempo de la mora, hasta cuatro años contados desde la fecha del pago, y no desaparece en el momento en que se salda la deuda.

La SIC aplica tanto la Ley 1266 como la Ley 1581 a través de la misma Delegatura para la Protección de Datos Personales.

Inteligencia Artificial y los Lineamientos Tecnológicos Específicos de la SIC

Colombia ha avanzado más rápido que la mayoría de los países latinoamericanos en emitir lineamientos regulatorios vinculantes sobre la forma en que determinadas tecnologías y sectores tratan los datos personales. Tres circulares sustentan el marco vigente, además de las cláusulas contractuales modelo de la Circular 003 de 2025 ya reseñadas.

Circular 002 de 2024: Sistemas de Inteligencia Artificial

La SIC emitió la Circular Externa No. 002 del 21 de agosto de 2024 para establecer lineamientos sobre los datos personales tratados mediante sistemas de inteligencia artificial. La circular se aplica a todos los responsables, encargados y usuarios que desarrollen o implementen sistemas de inteligencia artificial que utilicen datos personales. Los requisitos clave incluyen:

• La adhesión a los principios de necesidad, idoneidad, razonabilidad y proporcionalidad al diseñar los flujos de datos de la IA.
• La obligación de completar un estudio de impacto en privacidad antes de iniciar cualquier recolección de datos basada en IA, con un contenido mínimo especificado en la circular.
• La necesidad de contar con entornos de tratamiento seguros que cumplan con la normativa vigente de protección de datos antes de que comience la recolección, y no después.
• La implementación de técnicas de privacidad diferencial cuando sea viable, para evitar la reidentificación de los titulares en los análisis agregados.
• Obligaciones de transparencia: los titulares deben ser informados cuando se utilicen sistemas de IA para tratar sus datos.

Circular 001 de 2025: Fintech y Servicios Financieros

El 18 de septiembre de 2025, la SIC emitió la Circular Externa No. 001 de 2025, que estableció lineamientos vinculantes para el tratamiento de datos personales en el ecosistema fintech. La circular se aplica a los productos y servicios financieros digitales, incluidas las billeteras electrónicas, las SEDPE (sociedades especializadas en depósitos y pagos electrónicos), los servicios de depósito de bajo monto y los servicios de adquirencia. También abarca a cualquier persona natural o jurídica que preste servicios de crédito, depósito o cuasifinancieros mediante medios tecnológicos, incluso si no está supervisada por la Superintendencia Financiera de Colombia.

Requisitos clave de la Circular 001 de 2025:

• Minimización de datos: las empresas solo pueden recopilar la información estrictamente necesaria y proporcional a la finalidad del servicio.
• Claridad del consentimiento: al solicitar la autorización, las empresas deben distinguir claramente entre el consentimiento esencial para la prestación del servicio y las finalidades accesorias, como las campañas de mercadeo o las ofertas adicionales de productos. El consentimiento empaquetado no satisface la Ley 1581.
• Datos biométricos: los responsables deben obtener autorización explícita para los datos biométricos utilizados en autenticación o prevención del fraude, aplicar principios de minimización de datos, e implementar medidas de seguridad adicionales más allá del estándar básico de la Ley 1581.
• Decisiones automatizadas: cuando los sistemas automatizados produzcan decisiones que afecten a los titulares, la empresa debe brindar información sobre la lógica utilizada y garantizar que exista un mecanismo de revisión humana.
• Medidas de seguridad: los controles deben evaluarse y documentarse periódicamente, con un registro demostrable de responsabilidad disponible para la inspección de la SIC.

Circular 002 de 2026: Datos Políticos y Electorales

El 15 de enero de 2026, la SIC expidió la Circular Externa No. 002 de 2026, publicada ese mismo día en el Diario Oficial 53.368. Vincula a los partidos y movimientos políticos, a los candidatos, a las campañas, a las firmas de mercadeo electoral y a otros sujetos obligados, lo que la convierte en trabajo de cumplimiento vigente para quien adelante actividades de proselitismo en Colombia.

Las instrucciones son específicas:

• El uso político o electoral de datos personales requiere la autorización previa e informada del titular. Los canales de recolección, físicos o digitales, deben contener la política de tratamiento, los avisos de privacidad y un mecanismo de autorización.
• Está prohibido recolectar, incorporar a una base de datos o analizar datos personales mediante cualquier herramienta digital sin esa autorización. También lo está agregar a una persona a un grupo de mensajería, a una lista de distribución o a un envío masivo sin su consentimiento previo e informado.
• Está prohibido construir perfiles con base en la orientación política sin autorización previa y explícita, por el riesgo de discriminación y manipulación.
• Los responsables deben informar a los titulares, previa solicitud y de manera proactiva, cómo se usaron sus datos para entregarles mensajes políticos, incluidos los criterios de segmentación aplicados, la fuente de los datos y cualquier uso de inteligencia artificial. Los canales para conocer, actualizar, rectificar o suprimir los datos deben ser tan fáciles de usar como los que se emplearon para recolectarlos.
• Los partidos y movimientos pueden tratar los datos de sus afiliados, miembros y seguidores para mantenerse en contacto con ellos, pero no pueden entregarlos a terceros sin autorización previa.

Los Proyectos de Reforma de 2025 Fueron Archivados

El gobierno nacional y la SIC reconocieron que la Ley 1581, vigente desde 2012, no aborda las realidades del tratamiento de datos de la década de 2020. En agosto de 2025, la superintendente de la SIC, Cielo Rusinque, declaró públicamente que era necesaria una reforma del marco legal estatutario, y ese mismo mes se presentaron dos proyectos de ley en la Cámara de Representantes. Ninguno se convirtió en ley.

Qué Pasó con los Proyectos

El Proyecto 214/2025C fue impulsado por un grupo de congresistas aliados del Poder Ejecutivo y presentado el 22 de agosto de 2025. El Proyecto 274/2025C fue presentado conjuntamente por los Ministerios de Comercio, Industria y Turismo, y de Ciencia, Tecnología e Innovación, el 27 de agosto de 2025. La Comisión Primera Constitucional Permanente de la Cámara acumuló los dos expedientes bajo el artículo 151 de la Ley 5 de 1992, con el 274/2025C como principal, y aprobó la medida combinada en primer debate el 28 de octubre de 2025 (Acta 18). La ponencia para segundo debate se publicó en la Gaceta 2196 de 2025.

Ahí se detuvo el expediente. Nunca llegó a la plenaria de la Cámara, y la columna del Senado en el registro del proyecto está vacía. Modificar una ley estatutaria exige cuatro debates más la revisión previa de la Corte Constitucional, y el artículo 153 de la Constitución exige que todo eso ocurra dentro de una misma legislatura. El artículo 190 de la Ley 5 de 1992 excluye expresamente a los proyectos de ley estatutaria de la regla que permite a un proyecto ordinario continuar su curso en la legislatura siguiente. Por eso, cuando la legislatura 2025-2026 cerró el 20 de junio de 2026, el expediente murió. El registro del proyecto en la Cámara de Representantes muestra ahora Estado: Archivado, con la observación "ARCHIVADO ARTICULO 190, LEY 5 DE 1992".

La Ley 1581 de 2012 no cambió. Cualquier reforma renovada tendría que presentarse como un proyecto nuevo y empezar otra vez desde el primer debate.

Qué Habrían Cambiado los Proyectos Archivados

Vale la pena conocer las propuestas, porque es probable que una reforma futura se apoye en ellas y porque muestran en qué se aparta hoy el derecho colombiano del GDPR. Nada de esto es derecho vigente. Ambos proyectos habrían introducido:

• Ámbito territorial ampliado: la ley se aplicaría a todo responsable o encargado que ofrezca bienes o servicios a personas en Colombia o que monitoree su comportamiento, independientemente de su domicilio, replicando el enfoque del artículo 3(2) del GDPR.
• Representante local obligatorio: los responsables o encargados extranjeros sujetos al ámbito ampliado deben designar un representante local en Colombia.
• Nuevas bases legales: además del consentimiento, los proyectos reconocerían la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, el cumplimiento de una función de interés público, y el interés legítimo como bases legales válidas para el tratamiento.
• Principio de responsabilidad proactiva: los responsables deberían demostrar el cumplimiento de manera proactiva, en lugar de limitarse a un cumplimiento reactivo.
• Nuevos derechos de los titulares: el derecho a no ser objeto de decisiones exclusivamente automatizadas con efectos significativos; el derecho a la portabilidad de los datos; el derecho a la limitación del tratamiento; y el derecho de oposición al tratamiento.
• Protecciones reforzadas para los menores: requisitos más estrictos para el tratamiento de datos de menores de edad.
• Régimen sancionatorio actualizado: ambos proyectos proponían multas de hasta el 5% de los ingresos operacionales anuales del infractor. El Proyecto 214/2025C limitaba las multas a 4.000 SMMLV; el Proyecto 274/2025C, a 10.000 SMMLV. Cualquiera de las dos habría representado un aumento considerable frente al tope de 2.000 SMMLV que sigue vigente.

Tenga en cuenta: con los proyectos archivados, la Ley 1581 de 2012 y el Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015, siguen siendo el marco legal operativo, y nada del paquete de reforma tiene efecto jurídico alguno. Construya los programas de cumplimiento sobre la ley vigente.

Cumplimiento Empresarial: Qué Deben Hacer las Organizaciones

Las organizaciones que traten datos personales en Colombia deberían satisfacer todos los siguientes puntos:

1. Obtener una autorización válida: consentimiento previo, expreso e informado para todo tratamiento de datos. Documentarlo.
2. Adoptar una política de privacidad: una política interna integral que cumpla con los requisitos del Decreto 1377, que cubra todas las bases de datos activas.
3. Entregar avisos de privacidad: un aviso claro y legible a los titulares en el momento de la recolección, que identifique al responsable, las finalidades, los datos recopilados y los derechos.
4. Inscribir las bases de datos en el RNBD: obligatorio si los activos de la organización superan las 100.000 UVT o si se trata de una entidad pública. No debe omitirse la ventana de actualización anual.
5. Designar a un responsable o área: designar y nombrar la función de protección de datos en la política interna y en las inscripciones del RNBD.
6. Implementar medidas de seguridad escalonadas: controles técnicos, administrativos y físicos. Documentarlos y evaluarlos periódicamente.
7. Establecer procedimientos internos de reclamos: procesos que permitan a los titulares ejercer sus derechos del artículo 8 dentro de los plazos legales (10 días hábiles para las consultas, prorrogables por 5 con aviso; 15 días hábiles para los reclamos, prorrogables por 8 con aviso), incluida la leyenda "reclamo en trámite" dentro de los 2 días hábiles siguientes.
8. Mantener un plan de respuesta a incidentes: procedimientos para detectar, investigar y reportar a la SIC dentro de los 15 días hábiles siguientes a la detección, siempre que una violación a los códigos de seguridad genere riesgos en la administración de los datos personales.
9. Auditar las transferencias transfronterizas: verificar que todas las transferencias internacionales se dirijan a países adecuados o cuenten con un mecanismo legal válido. Las cláusulas modelo de la Circular 003/2025 están disponibles para las transferencias hacia países no adecuados.
10. Realizar estudios de impacto en privacidad para la IA: obligatorios conforme a la Circular 002/2024 antes de iniciar cualquier recolección de datos personales basada en IA.
11. Controles específicos para fintech: si se ofrecen servicios financieros digitales, revisar los requisitos de la Circular 001/2025 sobre minimización de datos, autorización biométrica, claridad del consentimiento y toma de decisiones automatizada.
12. Controles para el proselitismo político y electoral: si la organización es un partido o movimiento político, un candidato, una campaña o una firma de mercadeo electoral, aplicar la Circular 002 de 2026: autorización previa e informada antes de cualquier uso político o electoral de datos personales, nada de recolección mediante herramientas digitales sin ella, nada de agregar personas a grupos de mensajería o listas de distribución sin consentimiento, nada de perfilamiento por orientación política sin autorización explícita, y divulgación de los criterios de segmentación, las fuentes de los datos y cualquier uso de inteligencia artificial.
13. Estar atento a un nuevo proyecto de reforma: los proyectos de reforma de 2025 fueron archivados en junio de 2026. Una reforma renovada tendría que presentarse otra vez y recorrer todo el trámite de ley estatutaria, así que hoy no hay nada para lo cual prepararse.