La Ley 1581 rige hace más de una década y la SIC ya sanciona. Lo que se audita no es tu buena intención: es si puedes mostrar la autorización, la política vigente, la trazabilidad del dato y la respuesta al titular dentro del plazo. Eso no se resuelve con un PDF guardado en una carpeta.
Sin tarjeta · 45 min · Revisamos tu tratamiento de datos contra la Ley 1581
El hábeas data es el derecho de toda persona a conocer, actualizar, rectificar y suprimir los datos personales que sobre ella existan en bases de datos públicas o privadas.
En Colombia nace del artículo 15 de la Constitución Política y lo desarrolla la Ley Estatutaria 1581 de 2012, reglamentada por el Decreto 1377 de 2013. La autoridad que lo vigila es la Superintendencia de Industria y Comercio, a través de su Delegatura para la Protección de Datos Personales.
Existe además la Ley 1266 de 2008, que regula el hábeas data financiero y crediticio — el de las centrales de riesgo. Es un régimen distinto y no se debe confundir con el general.
Para la empresa, el hábeas data se traduce en algo concreto: cada dato personal que tratas necesita una autorización, una finalidad declarada y un canal por donde el titular pueda ejercer sus derechos — con plazos que corren.
Es el detalle que más se pasa por alto al copiar un procedimiento de otra jurisdicción. En Colombia el reloj no corre en días corridos.
Consulta y reclamo no son lo mismo. Una consulta pide información sobre los datos que tienes. Un reclamo pide corrección, actualización o supresión, o denuncia un incumplimiento. Tienen plazos distintos y prórrogas distintas, y la prórroga sólo es válida si informas al titular los motivos y la nueva fecha.
No hay umbral de tamaño para estas siete. Aplican desde el primer dato personal que tratas.
El Registro Nacional de Bases de Datos es un directorio público administrado por la SIC. No todas las empresas están obligadas: el filtro es la naturaleza jurídica y el tamaño de los activos.
| Quién | ¿Registra? |
|---|---|
| Personas jurídicas de naturaleza pública | Sí, sin umbral de activos |
| Sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT |
Sí |
| Empresas por debajo del umbral | No registran — pero siguen sujetas al resto de la Ley 1581 |
| El umbral en pesos | Valor 2026 |
|---|---|
| UVT · Resolución DIAN 000238 de 2025 | $52.374 COP |
| 100.000 UVT en activos totales | $5.237.400.000 COP |
Dos preguntas, resultado inmediato y sin dejar tu correo.
El RNBD tiene calendario fijo todos los años. Actualización anual de cambios no sustanciales entre el 2 de enero y el 31 de marzo. Reporte semestral de reclamos: 20 de febrero y 25 de agosto. Cambios sustanciales, dentro de los primeros 10 días hábiles del mes siguiente. Base de datos nueva, dentro de los 2 meses siguientes a su creación.
La ley rige desde 2012. El riesgo no es futuro — es acumulado.
Sobre la reforma en trámite. Hay proyectos de ley radicados que proponen modernizar la Ley 1581 y elevar el tope sancionatorio. Todavía están en trámite y, al tratarse de una ley estatutaria, el camino es largo. Lo que se te aplica hoy es el régimen vigente — no conviene planificar el cumplimiento en función de una norma que aún no existe.
El motor de PrivacyOps es multi-jurisdicción: un solo inventario de tratamientos alimenta lo que cada marco exige. Estos son los módulos que sostienen un programa de hábeas data.
Dicho con precisión: Vigía opera hoy ISO 27001, ISO 27701, ISO 42001, ISO 22301, SOC 2, GDPR, LGPD, PCI DSS, NIST y la Ley 21.719 de Chile. Los módulos de arriba sostienen un programa de hábeas data colombiano, y el mapeo específico a los plazos y al RNBD de la Ley 1581 lo revisamos contigo en la sesión. Preferimos decirlo así antes que prometer un botón que todavía no existe.
Levanta el inventario de tratamientos
Qué datos tratas, para qué, con qué autorización y en qué sistemas viven. Sin esto, ninguna de las obligaciones siguientes se puede acreditar.
Publica la política de tratamiento
En lenguaje claro, con versión y fecha, y accesible para los titulares. La versión importa: es la que respalda cada autorización capturada bajo su vigencia.
Instala el aviso de privacidad donde recolectas
Formularios web, contratos, puntos de venta, procesos de selección. Donde entra un dato, tiene que estar el aviso.
Conserva la prueba de la autorización
No basta con haberla pedido. Hay que poder mostrar quién autorizó, cuándo, para qué finalidad y bajo qué versión de la política.
Abre el canal de consultas y reclamos
Con registro de fecha de entrada y de respuesta. El plazo se cuenta en días hábiles y la prórroga exige avisar al titular.
Verifica si estás obligado al RNBD y regístrate
Naturaleza jurídica y activos totales sobre 100.000 UVT. Si aplicas, el calendario anual pasa a ser parte de tu operación.
Haz demostrables las medidas de seguridad
Cifrado, control de acceso, gestión de incidentes y bitácora. Lo que no deja evidencia, ante la SIC no ocurrió.
El hábeas data es el derecho; la Ley 1581 de 2012 es la norma que lo desarrolla y define las obligaciones concretas del responsable. También existe la Ley 1266 de 2008, que regula el hábeas data financiero y crediticio, con un régimen distinto.
Sí. Las obligaciones generales — política, aviso, autorización, canal de atención, medidas de seguridad — no tienen umbral de tamaño. Lo que sí tiene umbral es el registro en el RNBD.
Ese proveedor es un encargado del tratamiento, y tú sigues siendo el responsable. La ley te obliga a velar por que cumpla. En la práctica eso significa saber quiénes son, qué tratan y bajo qué condiciones contractuales.
Es la regla general, con excepciones tasadas en la ley. A diferencia del GDPR europeo, Colombia no reconoce el interés legítimo como base autónoma de tratamiento. Copiar un modelo europeo sin ajustar este punto es un error frecuente.
Sirve para la parte de medidas de seguridad demostrables, que es donde ambos marcos se solapan. No reemplaza las obligaciones de licitud, autorización ni derechos del titular, que son propias de la Ley 1581.
La actualización anual de cambios no sustanciales va del 2 de enero al 31 de marzo. El reporte de reclamos vence el 20 de febrero y el 25 de agosto. Los cambios sustanciales se reportan dentro de los primeros 10 días hábiles del mes siguiente al cambio.
45 minutos. Miramos qué estás tratando, qué autorizaciones puedes probar y dónde queda expuesta la operación. Sin tarjeta.