Tres documentos sostienen el cumplimiento de la Ley 1581 en el día a día de una empresa: la política de tratamiento, la autorización del titular y, si corresponde, la inscripción en el Registro Nacional de Bases de Datos. Los tres se piden juntos y se auditan juntos, y la falta de cualquiera de ellos es de las infracciones más comunes que sanciona la SIC.
Qué es el tratamiento de datos personales
El tratamiento es cualquier operación sobre datos personales: recolección, almacenamiento, uso, circulación, transferencia o supresión. Prácticamente toda actividad de una empresa que involucre datos de clientes, empleados o proveedores constituye tratamiento en el sentido de la Ley 1581, incluida una simple hoja de cálculo con nombres y correos.
La política de tratamiento de datos personales
Es el documento que fija cómo la organización recolecta, usa, almacena y protege los datos personales que trata. La Ley 1581 exige que todo responsable del tratamiento adopte una política interna, la ponga a disposición de los titulares, y la actualice cuando cambien sus prácticas.
Una política de tratamiento seria, la que resiste una fiscalización, cubre al menos estos puntos.
- Identificación del responsable y sus datos de contacto.
- Tratamiento y finalidad para las cuales se recolectan los datos personales.
- Derechos que asisten al titular como el habeas data.
- Persona o área designada para atender consultas y reclamos, con su información de contacto.
- Procedimiento para que los titulares ejerzan sus derechos.
- Fecha de entrada en vigencia y periodo de vigencia de la base de datos.
El aviso de privacidad es el resumen breve de esta política que se comunica al titular en el momento de la recolección, por ejemplo, en un formulario web.
La autorización del titular
El tratamiento de datos personales requiere el consentimiento previo, expreso e informado del titular, salvo excepciones puntuales que la ley contempla, como el cumplimiento de una obligación legal. Esa autorización se puede obtener por escrito, de forma oral verificable, o mediante conductas inequívocas que permitan concluir que el titular consintió.
La parte que la mayoría de las empresas descuida no es obtener la autorización, es poder demostrarla después. Cuando la SIC pide acreditar el consentimiento de un titular, la respuesta no puede ser “seguro lo aceptó en algún momento”. Necesitas un registro con fecha, medio y finalidad específica.
El formato de autorización, cuando se usa por escrito, debe indicar con claridad la finalidad del tratamiento, los derechos del titular, y la identidad del responsable. Un formato genérico copiado de otra empresa rara vez cubre las finalidades reales del negocio que lo usa, y esa desalineación es lo primero que expone una revisión.
El Registro Nacional de Bases de Datos
El RNBD es el directorio público administrado por la SIC donde se inscriben las bases de datos sujetas a la Ley 1581. Está regulado en el capítulo 26 del Decreto Único 1074 de 2015, modificado por el Decreto 90 de 2018.
Quedan obligadas a inscribirse las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, equivalentes a más de 5.237 millones de pesos con la UVT de 2026. El plazo original de inscripción venció el 30 de noviembre de 2018. Quien no se inscribió a tiempo sigue obligado a hacerlo de inmediato, sin esperar un nuevo plazo.
La inscripción no es un trámite de una sola vez. La SIC exige actualizar periódicamente la información registrada, y habilitó dentro del mismo registro la inscripción del Oficial de Protección de Datos Personales de la organización.
| Elemento del RNBD | Qué exige |
|---|---|
| Quién debe inscribirse | Sociedades y entidades con activos superiores a 100.000 UVT |
| Norma que lo regula | Capítulo 26, Decreto 1074 de 2015, modificado por el Decreto 90 de 2018 |
| Plazo original | Venció el 30 de noviembre de 2018 |
| Obligación continua | Actualización periódica de la información registrada |
| Riesgo de no inscribir | Infracción sancionable por la SIC dentro del régimen del artículo 23 |
Las empresas por debajo del umbral de activos no quedan exentas de la Ley 1581, solo del registro. Deben cumplir igual con la política de tratamiento, la autorización y las medidas de seguridad.
Cómo se relacionan los tres documentos
La política de tratamiento define las reglas generales. La autorización aplica esas reglas a cada titular específico. El RNBD declara ante la autoridad qué bases de datos existen, con qué finalidad y con qué medidas de seguridad. Un desajuste entre los tres, por ejemplo una política que menciona una finalidad que la autorización nunca cubrió, es exactamente lo que una fiscalización de la SIC va a encontrar primero.
Qué exige completa la Ley 1581 de 2012
Cómo implementar estos tres documentos con tu plataforma Microsoft
Por donde empezar
Antes de redactar o actualizar la política de tratamiento, revisa si lo que dice coincide con lo que tu empresa hace en la práctica con los datos que recolecta. Una política aspiracional que describe procesos que no existen es más riesgosa que no tener política, porque documenta el incumplimiento por escrito.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Tu política de tratamiento coincide con lo que tu empresa realmente hace con los datos?
En XMS hacemos una evaluación inicial sin costo: contrastamos tu política de tratamiento, tu autorización y tu inscripción en el RNBD contra lo que operas hoy, y te entregamos una hoja de ruta priorizada frente a la Ley 1581.
Preguntas frecuentes sobre la Ley 1581
Identificación del responsable, la finalidad del tratamiento, los derechos del titular, el canal para ejercerlos, y la persona o área designada para atender consultas y reclamos. Debe estar disponible para los titulares y actualizarse cuando cambien las prácticas de la organización.
No necesariamente por escrito, pero sí de forma verificable. La Ley 1581 acepta autorización por escrito, oral verificable o mediante conductas inequívocas del titular. Lo esencial es poder demostrar cuándo, cómo y para qué finalidad se otorgó, cuando la autoridad lo pida.
Si tus activos totales superan 100.000 UVT, equivalentes a más de 5.237 millones de pesos con la UVT de 2026, sí. Si no superas ese umbral, quedas exento del registro pero no del resto de las obligaciones de la Ley 1581.
