Datos sensibles: qué son según la Ley 1581 y ejemplos

Los datos sensibles son los que más protege la ley colombiana: los que afectan la intimidad de una persona o cuyo uso indebido puede llevar a que la discriminen. Un diagnóstico, la afiliación a un sindicato, la religión, la orientación sexual, la huella dactilar. La Ley 1581 de 2012 prohíbe tratarlos salvo excepciones, y eso tiene consecuencias muy concretas el día que alguien en tu oficina pega en ChatGPT una incapacidad médica o una hoja de vida.

Esta guía explica qué son los datos sensibles según la Ley 1581, con ejemplos de los que llegan a una empresa colombiana, cómo se distinguen del dato público, semiprivado y privado, qué dijo la Corte Constitucional, cuándo se pueden tratar y qué revisar antes de pasarle un texto a una IA. Lo que sigue resume normas leídas en fuente oficial y no reemplaza la opinión de un abogado.

Datos sensibles según la Ley 1581 de 2012

El artículo 5 de la Ley 1581 de 2012 dice que son datos sensibles «aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación», y da una lista:

• el origen racial o étnico;
• la orientación política;
• las convicciones religiosas o filosóficas;
• la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promuevan intereses de un partido político, o que garanticen los derechos de partidos de oposición;
• los datos relativos a la salud;
• los datos relativos a la vida sexual;
• los datos biométricos.

La definición tiene dos partes, y las dos importan. La primera es el criterio: afecta la intimidad o puede generar discriminación. La segunda son los ejemplos. Un dato que encaja en el criterio es sensible aunque no esté en los ejemplos.

La lista no es cerrada: lo que dijo la Corte Constitucional

La Ley 1581 es una ley estatutaria, y antes de ser sancionada pasó por la revisión de la Corte Constitucional en la sentencia C-748 de 2011. Al examinar el artículo 5, la Corte concluyó que la definición es compatible con la Constitución siempre y cuando no se entienda como una lista taxativa, «sino meramente enunciativa de datos sensibles, pues los datos que pertenecen a la esfera intima son determinados por los cambios y el desarrollo histórico». El texto de la sentencia está incluido en la página oficial de la ley en la Secretaría del Senado.

En la práctica, eso quiere decir que no basta con buscar la palabra en la lista. La pregunta correcta es: ¿este dato afecta la intimidad de la persona o podría usarse para discriminarla?

Datos sensibles: ejemplos que llegan a una oficina

Los datos sensibles no llegan con una etiqueta. Llegan dentro de documentos de todos los días:

documento	dato sensible que suele traer	categoría
Incapacidad médica	diagnóstico, código de la enfermedad, días de incapacidad por una causa concreta	salud
Historia clínica o resumen de atención	antecedentes, medicamentos, resultados de exámenes	salud
Hoja de vida	foto, a veces afiliación religiosa o política, discapacidad	biométrico (según uso), religión, salud
Desprendible de nómina	descuento de cuota sindical	pertenencia a sindicato
Formulario de ingreso a una empresa	grupo étnico, discapacidad, condición de víctima	origen étnico, salud
Control de acceso	huella dactilar, reconocimiento facial	biométrico
Proceso de familia	orientación sexual, violencia intrafamiliar	vida sexual, intimidad
Encuesta de clima laboral	opiniones políticas o religiosas en respuestas abiertas	convicciones

Fíjate en el desprendible de nómina: una línea que dice «cuota sindical» revela la afiliación a un sindicato. Y en el control de acceso: muchas empresas y conjuntos residenciales en Colombia piden la huella para entrar, y esa huella es un dato biométrico.

Datos de salud

Son los más frecuentes. No solo la historia clínica: también una incapacidad, una orden de exámenes, el nombre de un medicamento, el certificado de una EPS que dice que alguien está en tratamiento, un correo en el que un trabajador explica por qué faltó. Lo que pide la norma de la historia clínica, y cómo usar la IA en una IPS sin exponer pacientes, lo contamos en IA en la salud e historia clínica.

Datos biométricos

La huella, el rostro usado para reconocimiento, la voz usada para identificar, la firma digitalizada en algunos sistemas. Lo que los hace delicados es que no se pueden cambiar: si una contraseña se filtra, se cambia; si se filtra una huella, no. El chip del pasaporte electrónico, por ejemplo, guarda datos biométricos.

Datos de niños, niñas y adolescentes

No son una categoría de dato sensible, pero tienen su propia regla, y es todavía más estricta. El artículo 7 de la Ley 1581 dice que queda proscrito el tratamiento de datos personales de niños, niñas y adolescentes, salvo los de naturaleza pública, y que se debe asegurar el respeto de sus derechos prevalentes. Un colegio, un consultorio pediátrico o una empresa que maneja los datos de los hijos de sus trabajadores (para un auxilio educativo, por ejemplo) tiene que tenerlo presente.

Dato público, semiprivado, privado y sensible

En Colombia conviven dos clasificaciones, y se confunden seguido.

La Ley 1266 de 2008, la ley de habeas data financiero, clasifica los datos según su naturaleza en su artículo 3:

• Dato público: el calificado así por la ley o la Constitución y todos los que no sean semiprivados o privados. Son públicos, entre otros, los datos contenidos en documentos públicos (lo que no quiere decir que una escritura pública sea de libre uso), las sentencias ejecutoriadas que no estén sometidas a reserva y los relativos al estado civil de las personas.
• Dato semiprivado: el que no tiene naturaleza íntima, reservada ni pública y cuyo conocimiento puede interesar no solo a su titular sino a cierto sector o a la sociedad, como el dato financiero y crediticio.
• Dato privado: el que por su naturaleza íntima o reservada solo es relevante para el titular.

La Ley 1581 agrega la categoría de dato sensible, con la definición del artículo 5. Al revisar la ley, la Corte Constitucional notó que la 1581 no definió las subcategorías de dato personal que sí trae la 1266, y no lo consideró un problema.

tipo	ejemplo	quién puede conocerlo, en general
público	el estado civil, lo que consta en una escritura pública registrada	cualquiera, con las reglas de la ley
semiprivado	el comportamiento de pago de un crédito	el titular y quien tenga un interés legítimo, en los términos de la Ley 1266
privado	el salario, el número de celular personal	el titular y quien él autorice
sensible	un diagnóstico, la afiliación sindical, la huella	el titular; los demás, solo con las excepciones del artículo 6 de la Ley 1581

Una aclaración útil: que un dato sea público no quiere decir que se pueda usar para cualquier cosa. La Superintendencia de Industria y Comercio lo recordó, para la IA, en su Circular Externa 002 de 2024: la información accesible al público no es, por eso solo, de libre uso.

Si quieres el panorama completo de los derechos del titular y de lo que se le exige a una empresa, está en la guía de habeas data y la Ley 1581.

Tratamiento de datos sensibles: cuándo se permite

El artículo 6 de la Ley 1581 empieza con una prohibición: «Se prohíbe el Tratamiento de datos sensibles», y luego enumera las excepciones. Se pueden tratar cuando:

1. El titular dio su autorización explícita, salvo los casos en que la ley no la exige.
2. Es necesario para salvaguardar el interés vital del titular y este está física o jurídicamente incapacitado; en ese caso autorizan sus representantes legales.
3. Lo hace una fundación, ONG, asociación u organismo sin ánimo de lucro con finalidad política, filosófica, religiosa o sindical, en el curso de sus actividades legítimas y solo respecto de sus miembros o de quienes mantienen contacto regular con ella; esos datos no se pueden entregar a terceros sin autorización.
4. Se refiere a datos necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
5. Tiene una finalidad histórica, estadística o científica, y en ese caso hay que adoptar medidas para la supresión de la identidad de los titulares.

Un detalle de historia que explica el texto actual: el proyecto de ley permitía también tratar los datos sensibles que el titular hubiera hecho «manifiestamente públicos». Esa parte no está en el texto vigente.

Lo que agrega el reglamento

El reglamento de la ley, compilado en el Decreto 1074 de 2015 (artículo 2.2.2.25.2.3, que viene del Decreto 1377 de 2013), pone tres obligaciones cuando el tratamiento de datos sensibles es posible:

• Informar al titular que no está obligado a autorizar el tratamiento de sus datos sensibles.
• Informarle de forma explícita y previa cuáles de los datos que se recogen son sensibles y para qué se van a usar, y obtener su consentimiento expreso.
• No condicionar ninguna actividad a que el titular entregue datos sensibles.

Por eso un formulario de ingreso que pide el grupo étnico o una discapacidad debe decir que la respuesta es voluntaria. Y por eso el artículo 12 de la Ley 1581 pide informar del carácter facultativo de las respuestas cuando las preguntas versen sobre datos sensibles.

Un modelo de texto para pedir datos sensibles

Si tu empresa necesita de verdad un dato sensible, por ejemplo una IPS que recoge antecedentes médicos o una empresa que pregunta por una discapacidad para hacer ajustes en el puesto de trabajo, el formulario puede incluir un texto como este, adaptado a tu caso:

Algunos de los datos que te pedimos en este formulario son datos sensibles según la Ley 1581 de 2012: [indica cuáles, por ejemplo, «tu condición de salud» o «tu pertenencia a un grupo étnico»]. No estás obligado a entregarlos ni a autorizar su tratamiento, y negarte no afecta [el servicio, tu proceso de selección o tu relación laboral]. Si decides entregarlos, los usaremos solo para [finalidad concreta] y no los compartiremos con terceros salvo [casos concretos]. Puedes consultar, actualizar o pedir la supresión de tus datos en [canal de atención], según nuestra política de tratamiento de datos.

Dos reglas para que el texto sirva: que la finalidad sea concreta («para adaptar tu puesto de trabajo», no «para fines administrativos») y que lo que dice el texto sea lo que de verdad hace la empresa.

Lo que arriesga una empresa

La Superintendencia de Industria y Comercio puede imponer, según el artículo 23 de la Ley 1581, multas de hasta dos mil salarios mínimos mensuales legales vigentes, suspensiones y cierres. Para los datos sensibles hay una sanción específica: el cierre inmediato y definitivo de la operación que involucre su tratamiento (literal d). Esas sanciones aplican a las personas de naturaleza privada; si el incumplimiento es de una autoridad pública, la SIC remite la actuación a la Procuraduría. Algunas pólizas de seguro cibernético cubren la defensa en esas investigaciones; las multas, no siempre.

Datos sensibles e inteligencia artificial

Aquí es donde la ley se encuentra con la oficina de todos los días. Una persona de recursos humanos que le pide a ChatGPT que redacte la respuesta a una solicitud de incapacidad, un médico que le pide a una IA que resuma una consulta, un abogado de familia que pega los hechos de un proceso cubierto por el secreto profesional. En los tres casos, un dato sensible de otra persona sale de la empresa y llega a los servidores de un tercero.

¿Encaja eso en alguna excepción del artículo 6? Casi nunca. La autorización del trabajador o del paciente rara vez dice «y para pegarlo en un chat de IA», y la del cliente de un abogado tampoco, salvo que el contrato de servicios lo prevea. No es un interés vital, ni un proceso judicial, ni una estadística anonimizada.

La salida práctica tiene dos pasos:

1. Si la IA no necesita el dato sensible, quítalo. Para redactar una respuesta amable a una solicitud de incapacidad, la IA no necesita el diagnóstico.
2. Si lo necesita, quita todo lo que permita saber de quién es. Para resumir una consulta, la IA necesita los síntomas y el diagnóstico, no el nombre, el celular ni la dirección del paciente.

Qué cambia Nonimo antes de pegar

Un ejemplo con datos de ejemplo, tal como sale de Nonimo:

ANTES
Solicitud de incapacidad
Trabajadora: Yuranis Palacios Cuesta
Correo: nombre@example.com
Incapacidad de 10 días por cirugía de rodilla, expedida por la EPS.
Afiliada al sindicato de la empresa desde 2024.

DESPUÉS
Solicitud de incapacidad
Trabajadora: [PERSONA_1]
Correo: [CORREO_1]
Incapacidad de 10 días por cirugía de rodilla, expedida por la EPS.
Afiliada al sindicato de la empresa desde 2024.

Datos de ejemplo: el nombre es inventado y example.com es un dominio reservado para ejemplos.

El nombre y el correo salieron tapados. La cirugía y la afiliación sindical siguen en el texto, y esa revisión es tuya. Si la IA va a redactar la respuesta sobre la incapacidad, la línea del sindicato sobra: bórrala antes de pegar. Y si la empresa tiene veinte trabajadores, «cirugía de rodilla en octubre» puede bastar para saber quién es, aunque el nombre esté tapado: generalízalo a «una incapacidad de 10 días».

La lista dato por dato de lo que conviene quitar antes de pegar está en qué datos no compartir con ChatGPT.

Y los casos de nómina, hojas de vida e incapacidades, en IA para recursos humanos.

Ponerle etiqueta al nombre no cambia la categoría

Un diagnóstico sigue siendo un dato de salud aunque el paciente se llame [PERSONA_1]. Lo que cambia es que, si nada más en el texto permite saber de quién es, el riesgo para la persona baja mucho. Si de verdad nadie puede asociarlo a ella, deja de ser un dato personal en el sentido del artículo 3 de la Ley 1581. Esa diferencia entre seudonimizar y anonimizar la explicamos en la guía de anonimización de datos personales.

Errores frecuentes con los datos sensibles

• Pedir más de lo necesario. Un formulario de ingreso que pregunta la religión «por si acaso». Si no hay una finalidad concreta, no se pregunta.
• Guardar la incapacidad entera cuando bastaba con registrar las fechas. El diagnóstico se queda en un archivo que ve medio departamento.
• Reenviar el correo del trabajador que explica su enfermedad a todo el equipo para «avisar que no viene».
• Usar la huella para todo. Un control de acceso biométrico en una oficina pequeña, cuando una tarjeta hacía lo mismo.
• Creer que una etiqueta resuelve todo. Cambiar el nombre por [PERSONA_1] ayuda mucho, pero un diagnóstico raro en una empresa pequeña sigue apuntando a alguien.
• Pensar que lo publicado en redes es de libre uso. El punto IX de la Circular 002 de 2024 de la SIC lo dice para la IA: que algo sea accesible al público no lo hace, por eso solo, de libre uso.

Qué revisar antes de pegar o compartir un texto

Una lista corta para cualquier documento que vaya a salir de la empresa, a una IA o a un tercero:

1. ¿Hay algún dato de salud? Diagnósticos, medicamentos, incapacidades, exámenes, EPS en un contexto que revela un tratamiento.
2. ¿Hay afiliaciones? Sindicato, partido, iglesia, organización social.
3. ¿Hay datos biométricos? Fotos usadas para identificar, huellas, firmas escaneadas.
4. ¿Hay datos de la vida sexual u orientación sexual, en un proceso de familia o una queja?
5. ¿Hay datos de menores de edad?
6. ¿La IA o el tercero necesitan ese dato para lo que les vas a pedir?
7. Si lo necesitan, ¿queda algo que permita saber de quién es? Nombre, cédula, correo, celular, dirección, cargo único, fecha exacta.

Lo que hace Nonimo

Nonimo es una app para Mac y Windows que, en tu computador, cambia por etiquetas los datos personales, como nombres, correos, celulares, cédulas o NIT, antes de que el texto llegue a ChatGPT, Claude, Copilot o Gemini, y los devuelve a su lugar cuando copias la respuesta. A Nonimo no le llega el texto.

Con datos sensibles, eso resuelve la mitad del problema: que el diagnóstico o la afiliación no queden ligados a una persona identificable. La otra mitad, decidir si el dato sensible tiene que estar en el texto, es tuya. Si trabajas con historias clínicas todos los días, mira la página para médicos e IPS.

Fuentes

• Ley Estatutaria 1581 de 2012, arts. 3, 5, 6, 7, 12 y 23, con el texto de la sentencia C-748 de 2011 (examen de los arts. 5 y 6). Secretaría del Senado, leída el 22 de octubre de 2026.
• Ley Estatutaria 1266 de 2008, art. 3, literales f), g) y h). Secretaría del Senado, leída el 22 de octubre de 2026.
• Decreto 1074 de 2015, art. 2.2.2.25.2.3 (Decreto 1377 de 2013, art. 6). Función Pública, leído el 22 de octubre de 2026.
• Circular Externa 002 de 2024 de la SIC, punto IX.