En 2025 la Superintendencia de Industria y Comercio abrió 101 investigaciones por infracciones a la Ley 1581, un 22% más que las 83 de 2024 y casi el doble que las 55 de 2023. Las multas impuestas pasaron de 4.932 millones de pesos en 2023 a 5.157 millones en 2025. Una empresa de comercio electrónico fue sancionada con 214 millones de pesos por exigir datos biométricos, reconocimiento facial, para que sus usuarios accedieran a su cuenta.
La Ley 1581 existe desde 2012. Lo que cambió es la frecuencia con la que la SIC revisa su cumplimiento, y el tipo de infracción que está sancionando: ya no son solo bases de datos mal registradas, son decisiones de producto que tratan datos sensibles sin la base legal correcta.
Qué es la Ley 1581 y a quién obliga
La Ley Estatutaria 1581 de 2012 desarrolla el derecho constitucional al habeas data, consagrado en el artículo 15 de la Constitución Política, y establece el Régimen General de Protección de Datos Personales en Colombia. Regula cómo las organizaciones públicas y privadas pueden recolectar, almacenar, usar, circular y suprimir datos de personas naturales.
La obligación alcanza a cualquier responsable o encargado del tratamiento de datos personales, sin importar el tamaño de la empresa. Si tratas datos de clientes, empleados, proveedores o usuarios, la ley te alcanza. El decreto reglamentario define datos sensibles con protección reforzada: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia sindical, datos de salud, vida sexual y datos biométricos.
La ley se reglamentó parcialmente con el Decreto 1377 de 2013, que luego se incorporó al Decreto Único 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo. Ese decreto único es hoy la referencia operativa: ahí están las reglas de autorización, política de tratamiento, y el capítulo 26, que regula el Registro Nacional de Bases de Datos.
Los principios que rigen el tratamiento
El artículo 4 de la Ley 1581 fija los principios que toda organización debe seguir al tratar datos personales.
- El tratamiento debe sujetarse a las disposiciones legales vigentes, no a la conveniencia comercial de quien lo realiza.
- Los datos solo se tratan para fines legítimos, informados previamente al titular.
- El tratamiento requiere el consentimiento previo, expreso e informado del titular, salvo las excepciones que la ley contempla.
- Veracidad o calidad. La información debe ser veraz, completa, exacta, actualizada y comprobable.
- El titular puede obtener del responsable, en cualquier momento, información sobre sus datos.
- La información se maneja con medidas técnicas, humanas y administrativas que impidan la adulteración, pérdida, consulta o uso no autorizado.
El último principio, seguridad, es el que la SIC más fiscaliza en la práctica, porque es el que se traduce en controles verificables.
Autorización y política de tratamiento
Antes de tratar datos personales, la organización necesita el consentimiento del titular, salvo casos puntuales como el cumplimiento de una obligación legal o una orden judicial. Esa autorización debe quedar registrada de forma que se pueda acreditar posteriormente, sea por escrito, de forma oral verificable o mediante conductas inequívocas del titular.
Además, todo responsable del tratamiento debe adoptar una Política de Tratamiento de Datos Personales, un documento interno que fija cómo la organización recolecta, usa y protege la información, y ponerla a disposición de los titulares. El aviso de privacidad es la versión resumida de esa política que se comunica al momento de recolectar el dato.
El Decreto 1074 de 2015 también obliga a designar internamente un área o persona responsable de atender las consultas y reclamos de los titulares. En la práctica, muchas organizaciones colombianas tienen una política redactada y ningún canal real que la sostenga.
Qué es el habeas data y en qué se diferencia del financiero
Cómo implementar la política de tratamiento y la autorización
El Registro Nacional de Bases de Datos
El RNBD es el directorio público de bases de datos sujetas a la Ley 1581, administrado por la SIC. El capítulo 26 del Decreto 1074 de 2015, modificado por el Decreto 90 de 2018, obliga a inscribir sus bases de datos a las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, equivalentes a más de 5.237 millones de pesos con la UVT de 2026.
El plazo original de inscripción venció el 30 de noviembre de 2018. Quien no alcanzó a inscribirse en esa fecha sigue obligado a hacerlo de inmediato. Además, la SIC exige actualizar periódicamente la información ya registrada, y habilitó la inscripción del Oficial de Protección de Datos Personales dentro del mismo registro.
Las organizaciones que no superan el umbral de activos no quedan exentas de la Ley 1581, solo del registro. Siguen obligadas a la política de tratamiento, la autorización, el canal de atención de reclamos y las medidas de seguridad.
Cómo funciona el Registro Nacional de Bases de Datos [/co/registro-nacional-bases-de-datos-rnbd/]
Cuánto cuesta incumplir
El artículo 23 de la Ley 1581 faculta a la SIC para imponer multas de carácter personal e institucional de hasta 2.000 salarios mínimos mensuales legales vigentes, equivalentes a 3.501.810.000 pesos con el salario mínimo de 2026. Las multas pueden ser sucesivas mientras subsista el incumplimiento que las originó, lo que significa que un problema no corregido sigue generando sanciones.
La SIC también puede ordenar la suspensión temporal de las actividades de tratamiento de datos, como ocurrió con la empresa Risks International S.A.S., sancionada con 190.547.400 pesos y suspensión temporal por administrar una base de datos con información potencialmente negativa de personas sin cumplir las garantías legales.
Hay un proyecto de ley estatutaria radicado en agosto de 2025 que busca aumentar ese techo hasta 10.000 salarios mínimos mensuales o el 5% de los ingresos operacionales del infractor, y fortalecer la supervisión de la SIC. Al cierre de esta pieza sigue en trámite legislativo, no es ley vigente, y conviene monitorearlo porque cambiaría de forma sustancial el riesgo económico del incumplimiento.
Delitos informáticos: cuando el incumplimiento cruza a lo penal
La Ley 1273 de 2009 añadió al Código Penal colombiano un título específico de delitos informáticos: acceso abusivo a sistema informático, interceptación de datos, daño informático y uso de software malicioso, entre otros. Cuando una brecha de datos personales involucra un acceso no autorizado deliberado, la responsabilidad deja de ser solo administrativa ante la SIC y puede escalar a lo penal.
Qué tipifica la Ley 1273 de delitos informáticos [/co/ley-1273-delitos-informaticos/]
Qué parte del cumplimiento se resuelve con tecnología
La Ley 1581 combina obligaciones legales (política de tratamiento, autorización, aviso de privacidad) con obligaciones técnicas que solo se sostienen con controles reales.
- Saber qué datos personales tienes y dónde están. Condición para inscribir el RNBD con exactitud y para responder solicitudes de titulares dentro de plazo.
- Controlar quién accede a ellos. Privilegio mínimo y autenticación fuerte, en particular sobre datos sensibles y biométricos.
- Poder demostrar que las medidas de seguridad existen. La SIC sanciona la falta de medidas apropiadas, no solo su ausencia declarada.
Las organizaciones sobre plataforma Microsoft tienen buena parte de estos controles disponibles en licencias que ya pagan. Purview clasifica y etiqueta datos personales y sensibles, Entra ID gobierna el acceso, Defender y Sentinel dejan la traza que sustenta una defensa ante la SIC.
Cómo cumplir la Ley 1581 con tu plataforma Microsoft [/co/servicios/cumplimiento-ley-1581-empresas/]
Por donde empezar
Si tu organización supera el umbral de activos y no está inscrita en el RNBD, ese es el primer movimiento. Si ya lo está, el siguiente paso es verificar que la información registrada coincida con lo que operas en la práctica, porque esa discrepancia es de las primeras cosas que revisa la SIC cuando investiga.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Tu empresa podría acreditar sus medidas de seguridad si la SIC te investiga mañana?
En XMS hacemos una evaluación inicial sin costo: revisamos tu inventario de datos personales, tu inscripción en el RNBD y tus medidas de seguridad frente a la Ley 1581, y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes sobre la Ley 1581
Es la Ley Estatutaria que desarrolla el derecho al habeas data en Colombia y establece el Régimen General de Protección de Datos Personales. Regula cómo las organizaciones recolectan, usan y protegen datos de personas naturales, y la vigila la Superintendencia de Industria y Comercio.
Si tu organización tiene activos totales superiores a 100.000 UVT, sí. Con la UVT de 2026 eso equivale a más de 5.237 millones de pesos. Si no superas ese umbral, sigues obligado al resto de la Ley 1581, solo quedas exento del registro.
2.000 salarios mínimos mensuales legales vigentes, equivalentes a 3.501.810.000 pesos con el salario mínimo de 2026. Las multas pueden ser sucesivas mientras el incumplimiento continúe, y la SIC también puede ordenar la suspensión temporal del tratamiento de datos.
Hay un proyecto de ley estatutaria radicado en agosto de 2025 que propone aumentar las sanciones hasta 10.000 salarios mínimos o el 5% de los ingresos operacionales, y fortalecer la supervisión de la SIC. Es un proyecto en trámite, no una norma vigente.
