Ley 1581 de Habeas Data: Guía Completa para Empresas en 2026

Una empresa de logística en Bogotá recibió hace unos meses un requerimiento de la Superintendencia de Industria y Comercio. Un exempleado había presentado una queja porque, dos años después de dejar la compañía, seguía recibiendo correos promocionales a su cuenta personal. La empresa nunca eliminó sus datos ni le informó para qué los seguía usando. El caso terminó en una investigación formal, no porque hubiera mala intención, sino porque nadie en la empresa sabía que estaba obligado a tener un procedimiento claro para eso.

Así es como la mayoría de las empresas colombianas se topa con la Ley 1581: no por leerla, sino por incumplirla sin darse cuenta. Y la ley aplica a cualquier negocio que recolecte nombres, correos, cédulas o historiales de compra, sin importar si tiene cinco empleados o quinientos.

La Ley 1581 de 2012, el Régimen General de Protección de Datos Personales, le da a cualquier persona el derecho de conocer, actualizar y corregir la información que una empresa tiene sobre ella. El Decreto 1377 de 2013 la complementa con el detalle operativo: cómo debe verse una autorización válida, qué debe decir un aviso de privacidad, cuándo hay que registrar una base de datos. Quien vigila que esto se cumpla es la SIC, a través de su Delegatura para la Protección de Datos Personales.

Si tu empresa tiene un CRM con datos de clientes, empleados con hojas de vida archivadas, un formulario de contacto en el sitio web o cámaras de seguridad en la oficina, la ley te aplica directamente. No hay un umbral de tamaño que te exima. Lo que sí cambia según el tamaño y el sector es qué tan robustas deben ser tus medidas de seguridad.

La ley enumera diez principios, pero en el día a día de una empresa tres de ellos generan más dolores de cabeza que el resto.

El principio de finalidad dice que solo puedes usar un dato para lo que informaste cuando lo recolectaste. Si un cliente te dio su correo para recibir una factura, no puedes empezar a enviarle boletines sin pedirle permiso otra vez — es exactamente el error que cometió la empresa de logística del ejemplo.

El principio de libertad exige que la autorización sea previa, expresa e informada. Una casilla premarcada, o una autorización enterrada en el párrafo 38 de unos términos y condiciones que nadie lee, no cumple el estándar.

Y el principio de seguridad es donde la ley deja de ser un tema exclusivamente legal y se convierte en un problema técnico: exige medidas concretas para evitar pérdida, alteración o acceso no autorizado a los datos. Aquí es donde una consultoría de ciberseguridad deja de ser opcional y empieza a ser parte del cumplimiento legal mismo.

En un requerimiento o una visita, estos son los documentos que realmente piden:

La SIC puede imponer multas de hasta 2,000 salarios mínimos mensuales legales vigentes, y en casos graves ordenar el cierre de las operaciones relacionadas con el tratamiento indebido. En los últimos dos años la Superintendencia ha estado más activa, no menos, en aplicar estas sanciones — el aumento de filtraciones de datos reportadas en el país ha puesto el tema bajo más escrutinio del que tenía hace cinco años. Y hay un costo que a veces pesa más que la multa: las decisiones de la SIC son públicas, así que una sanción queda visible para cualquier cliente que investigue a tu empresa antes de firmar un contrato.

No hace falta parar el negocio para ponerse al día. El camino realista es: