Habeas data es el término legal más buscado de Colombia en materia de datos personales, y también el más confuso. La palabra agrupa dos derechos distintos que la mayoría de las búsquedas mezcla sin darse cuenta: el habeas data financiero, sobre reportes de crédito y centrales de riesgo, y el habeas data general, sobre cualquier dato personal que trata tu empresa. Esta pieza es sobre el segundo, que es el que obliga a cualquier organización que tenga clientes, empleados o proveedores.
Qué es el habeas data
Habeas data es el derecho constitucional de toda persona a conocer, actualizar y rectificar la información que se ha recogido sobre ella en bases de datos, y a decidir sobre su circulación. En Colombia está consagrado en el artículo 15 de la Constitución Política.
Ese derecho constitucional se desarrolla en dos regímenes legales separados.
| Habeas data financiero | Habeas data general | |
|---|---|---|
| Norma | Ley 1266 de 2008 | Ley 1581 de 2012 |
| Qué regula | Datos financieros, crediticios y comerciales | Cualquier dato personal en manos de una organización |
| Quién lo usa con más frecuencia | Consumidores que consultan su reporte crediticio | Empresas que tratan datos de clientes, empleados y proveedores |
| Ejemplo típico de búsqueda | Cómo salir de Datacrédito, borrón y cuenta nueva | Qué exige la ley a mi empresa sobre datos de clientes |
Confundir los dos regímenes lleva a error. Una empresa que busca cumplir con la protección de datos de sus clientes no necesita entender los reportes de centrales de riesgo. Necesita entender la Ley 1581.
Qué garantiza el habeas data general a un titular
Frente a cualquier organización que trate sus datos, una persona tiene derecho a conocer, actualizar y rectificar su información. La Ley 1581 desarrolla esto en un conjunto de derechos concretos que el titular puede ejercer directamente ante el responsable del tratamiento, sin costo.
- Conocer, actualizar y rectificar. Frente a datos parciales, inexactos, incompletos, fraccionados o que induzcan a error.
- Solicitar prueba de la autorización. El titular puede pedir que se le acredite el consentimiento otorgado, salvo cuando la ley exime de ese requisito.
- Ser informado sobre el uso. Previa solicitud, el responsable debe informar sobre el uso que se le ha dado a los datos.
- Presentar quejas ante la SIC. Por infracciones a la ley, una vez agotado el trámite de consulta o reclamo ante el responsable.
- Revocar la autorización o solicitar la supresión. Cuando no se respeten los principios, derechos y garantías constitucionales y legales.
- Acceder de forma gratuita. A sus datos personales que hayan sido objeto de tratamiento.
Qué debe garantizar la empresa
Del lado del responsable del tratamiento, garantizar el habeas data no es una declaración de intenciones. Exige tres cosas verificables.
- Un canal real de atención. Un área o persona designada para recibir consultas y reclamos, con capacidad de resolver dentro de los plazos legales.
- Trazabilidad de la autorización. Poder demostrar cuándo, cómo y para qué finalidad un titular dio su consentimiento.
- Capacidad de ejecutar la solicitud. Si un titular pide corregir o eliminar un dato, la empresa necesita saber en qué sistemas vive ese dato para actuar sobre todos ellos, no solo sobre el más visible.
Este último punto es donde la mayoría de las empresas colombianas falla. El correo de un cliente puede vivir en el CRM, en una planilla de ventas, en el sistema de facturación y en la plataforma de marketing. Corregirlo en uno solo no cumple la solicitud, la deja parcialmente atendida.
Cuándo el tratamiento sin autorización se vuelve una infracción
La Superintendencia de Industria y Comercio sancionó en 2025 a una empresa de comercio electrónico con 214 millones de pesos por exigir datos biométricos, reconocimiento facial, para que sus usuarios pudieran acceder a su cuenta. El caso ilustra el punto central del habeas data general: los datos sensibles y biométricos requieren un tratamiento reforzado, y exigirlos sin la base legal adecuada es una de las infracciones más caras del régimen.
Qué exige completa la Ley 1581 de 2012
Cómo implementar la política de tratamiento y la autorización
El primer paso
Antes de redactar un procedimiento de atención de habeas data, haz una prueba simple: pide a tu equipo que ubique en cuántos sistemas aparece la información de un cliente cualquiera. Si la respuesta toma más de unos minutos, tu capacidad real de responder una solicitud está por debajo de lo que la ley exige.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Tu empresa puede acreditar la autorización de cada dato personal que trata?
En XMS hacemos una evaluación inicial sin costo: revisamos si puedes demostrar cuándo y cómo obtuviste el consentimiento de tus clientes, y si tu organización puede ejecutar una solicitud de habeas data en todos los sistemas donde vive ese dato.
Preguntas frecuentes sobre la Ley 1581
Es el derecho constitucional de toda persona a conocer, actualizar y rectificar la información recogida sobre ella en bases de datos. En Colombia se desarrolla en dos leyes distintas: la 1266 de 2008 para datos financieros y crediticios, y la 1581 de 2012 para cualquier otro dato personal.
Habeas data es el derecho constitucional. La Ley 1581 es la norma que lo desarrolla para el tratamiento general de datos personales por parte de empresas y entidades. No son sinónimos exactos: el habeas data también cubre el régimen financiero de la Ley 1266, que la 1581 no regula.
Sí. Cualquier organización que trate datos personales de clientes, empleados o proveedores debe garantizar los derechos de habeas data reconocidos en la Ley 1581: conocer, actualizar, rectificar y, cuando corresponda, suprimir la información.
