Ley 1581 de 2012 (habeas data): guía práctica para pymes en Colombia

Si tu empresa guarda nombres, teléfonos, correos o documentos de clientes, empleados o proveedores, ya trata datos personales y debe cumplir la ley colombiana de protección de datos. Muchas pymes lo ignoran hasta que reciben un reclamo o una sanción. Esta guía explica en lenguaje sencillo qué dice la Ley 1581 de 2012 (conocida como ley de habeas data), qué obligaciones tienes y cómo ponerte al día paso a paso.

Aviso: este artículo es informativo y no reemplaza la asesoría de un abogado. Verifica siempre la normativa y los criterios vigentes de la Superintendencia de Industria y Comercio (SIC).

¿Qué es la Ley 1581 de 2012?

Es la ley general de protección de datos personales en Colombia. Desarrolla el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bases de datos.

La reglamentan otras normas, como el Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015. La autoridad que vigila su cumplimiento es la Superintendencia de Industria y Comercio (SIC).

¿A quién aplica?

A casi cualquier persona o empresa que recolecte, almacene, use o circule datos personales de personas naturales en Colombia: tiendas, clínicas, restaurantes, inmobiliarias, academias, agencias, consultorios, empresas de servicios, tiendas en línea y muchos más.

Si tienes una lista de clientes en Excel, un formulario en tu página web, un grupo de WhatsApp con compradores o una base de datos de empleados, la ley te aplica.

Conceptos clave

• Dato personal: cualquier información que identifique o pueda identificar a una persona (nombre, cédula, teléfono, correo, dirección, fotografía).
• Dato sensible: el que afecta la intimidad o puede generar discriminación, como salud, origen racial, orientación política o religiosa, vida sexual y datos biométricos. Tiene reglas más estrictas.
• Titular: la persona a quien pertenecen los datos.
• Responsable del tratamiento: quien decide para qué y cómo se usan los datos (normalmente, tu empresa).
• Encargado del tratamiento: quien trata los datos por cuenta del responsable (por ejemplo, un proveedor de software o de correo).
• Tratamiento: cualquier operación sobre los datos: recolectar, guardar, usar, compartir, borrar.

Los principios que debes respetar

La ley se apoya en varios principios. Los más prácticos para una pyme son:

• Finalidad: usas los datos solo para el propósito que informaste.
• Libertad: necesitas el consentimiento previo, expreso e informado de la persona.
• Veracidad: los datos deben ser exactos y estar actualizados.
• Transparencia: la persona puede saber en cualquier momento qué datos tienes de ella.
• Acceso y circulación restringida: solo quienes deben usar los datos tienen acceso.
• Seguridad: proteges la información contra pérdida, acceso no autorizado o uso indebido.
• Confidencialidad: quienes intervienen en el tratamiento guardan reserva.

La autorización: lo primero

Antes de recolectar datos, necesitas la autorización del titular. Debe ser previa, expresa e informada. En la práctica significa decirle a la persona, de forma clara:

• Quién eres (la identidad y el contacto del responsable).
• Para qué usarás sus datos.
• Cuáles son sus derechos.
• Que no está obligada a darte datos sensibles.
• Dónde puede consultar tu política de tratamiento.

Cómo obtenerla en la práctica:

• En un formulario web, con una casilla que la persona marque (no premarcada) y un enlace a tu política.
• En una conversación de chat, con un mensaje que explique el uso y una respuesta afirmativa que puedas guardar.
• En papel o de forma verbal, con constancia que puedas demostrar después.

Guarda la prueba: cuándo y cómo se dio la autorización y qué versión de la política se aceptó.

La política de tratamiento de datos

Debes tener una política escrita y accesible (por ejemplo, en tu página web). Debe incluir, entre otros:

• Identificación y datos de contacto de tu empresa.
• Qué datos recolectas y para qué finalidades.
• Los derechos de los titulares.
• El área o persona encargada de atender consultas y reclamos.
• El procedimiento para ejercer esos derechos.
• La fecha de entrada en vigencia y la vigencia de las bases de datos.

Si cambias la forma en que tratas los datos, actualiza la política.

Los derechos de las personas (y los plazos para responder)

Los titulares pueden:

• Conocer, actualizar y rectificar sus datos.
• Pedir prueba de la autorización que dieron.
• Ser informados del uso que se ha dado a sus datos.
• Presentar quejas ante la SIC.
• Revocar la autorización o pedir la supresión de sus datos, salvo cuando exista un deber legal o contractual de conservarlos.
• Acceder gratuitamente a sus datos personales.

Plazos que la ley fija para atender solicitudes:

• Consultas: respuesta en un máximo de 10 días hábiles, prorrogables por 5 días hábiles más si lo informas con anticipación y explicas el motivo.
• Reclamos: respuesta en un máximo de 15 días hábiles, prorrogables por 8 días hábiles más en las mismas condiciones.

Define un correo o formulario de contacto, y quién responde. Un reclamo sin atender es una de las causas más frecuentes de investigaciones.

Registro Nacional de Bases de Datos (RNBD)

Algunas empresas deben inscribir sus bases de datos en el RNBD, que administra la SIC. La obligación aplica, entre otros, a las sociedades y entidades sin ánimo de lucro cuyos activos totales superen 100.000 UVT, y a las entidades públicas. Si no estás seguro de si te corresponde, confírmalo con un abogado o directamente con la SIC, porque los criterios se ajustan con el tiempo.

Aunque no estés obligado a inscribirte, sí debes cumplir con el resto de las obligaciones de la ley.

Datos sensibles y datos de menores

• Datos sensibles: el tratamiento está prohibido, salvo excepciones. Entre ellas, cuando el titular dé su autorización explícita y se le haya informado que no está obligado a darlos. Una clínica, un consultorio o una academia que recoja historiales de salud o datos de menores debe tener especial cuidado.
• Datos de niños, niñas y adolescentes: solo pueden tratarse si responden al interés superior del menor y se respetan sus derechos, con la autorización de su representante legal.

Seguridad de la información

La ley exige medidas «técnicas, humanas y administrativas» para proteger los datos. Para una pyme, lo básico es:

• Contraseñas únicas y un gestor de contraseñas.
• Verificación en dos pasos en el correo, el CRM y las redes.
• Copias de seguridad periódicas.
• Accesos por rol: cada persona ve solo lo que necesita.
• Computadores y celulares con clave y actualizados.
• Acuerdos de confidencialidad con empleados y proveedores.
• Un procedimiento si ocurre un incidente (qué se hace, quién avisa y cuándo).

Tenemos una guía con medidas concretas: ciberseguridad para pymes en Colombia.

Si ocurre un incidente de seguridad que afecte datos personales, existen reglas de reporte ante la SIC con plazos cortos. Consúltalas con un profesional o en el sitio de la superintendencia al momento de actuar.

Proveedores, nube y transferencia a otros países

Cuando usas servicios en la nube (correo, CRM, almacenamiento, herramientas de mensajería), esos proveedores tratan datos por cuenta tuya, es decir, actúan como encargados. Procura:

• Revisar sus términos de privacidad y seguridad.
• Tener un contrato o acuerdo que fije sus obligaciones de confidencialidad y seguridad.
• Informar en tu política que usas proveedores y que algunos pueden estar en otros países.

Si los datos se transfieren a un país que no ofrezca niveles adecuados de protección, la ley establece condiciones específicas. Revisa con asesoría legal los proveedores clave.

Sanciones

La SIC puede investigar de oficio o por queja y, según la gravedad, imponer sanciones como multas de hasta dos mil salarios mínimos legales mensuales vigentes, suspensión de actividades relacionadas con el tratamiento, cierre temporal o definitivo de operaciones y otras medidas. Más allá del dinero, un incumplimiento daña la confianza de tus clientes.

Lista de verificación para ponerte al día

1. Haz un inventario: qué datos personales tienes, dónde (Excel, CRM, WhatsApp, papel) y para qué los usas.
2. Define responsables: quién atiende consultas y reclamos.
3. Redacta tu política de tratamiento y publícala.
4. Pide autorización en todos tus puntos de captura: formulario web, formularios de papel, chats.
5. Guarda las pruebas de cada autorización.
6. Revisa tus proveedores y los acuerdos de confidencialidad.
7. Aplica medidas de seguridad básicas.
8. Capacita a tu equipo en cómo tratar datos y qué hacer ante una solicitud.
9. Revisa si debes inscribir tus bases en el RNBD.
10. Revisa y actualiza todo al menos una vez al año.

Preguntas frecuentes

¿Una persona natural con un negocio pequeño debe cumplir la ley? Sí. La ley aplica a quien trate datos personales, sin importar el tamaño. Lo que cambia es la complejidad de las medidas.

¿Puedo usar los datos de clientes para enviarles promociones? Solo si la persona lo autorizó para esa finalidad. Debe poder retirar su consentimiento fácilmente.

¿Necesito autorización para usar el número de WhatsApp de un cliente? Para tratar su dato y escribirle con fines comerciales, necesitas la autorización de uso y debes decirle para qué. Si inició la conversación por una consulta, puedes responderle sobre esa consulta, pero para fines distintos pide el consentimiento.

¿Qué pasa si compro una base de datos de contactos? Es de alto riesgo: debes poder demostrar que las personas autorizaron el tratamiento y que la fuente tenía derecho a compartirlos. Es mejor evitarlo.

¿Cuánto tiempo puedo guardar los datos? Solo el necesario para la finalidad informada y para cumplir obligaciones legales o contractuales. Después debes suprimirlos o anonimizarlos.

¿Los datos de empleados también están cubiertos? Sí. Hojas de vida, datos de nómina, exámenes médicos y otros datos laborales requieren las mismas garantías, con especial cuidado en los sensibles.

En resumen

Cumplir la Ley 1581 no es una carga imposible: se trata de saber qué datos tienes, pedir autorización clara, decir para qué los usas, protegerlos y responder cuando alguien ejerce sus derechos. Empieza por el inventario, la política y el formulario con casilla de autorización, y ve sumando el resto. Si manejas datos sensibles, datos de menores o grandes volúmenes, apóyate en un abogado especializado.