Habeas data y Ley 1581 de 2012: qué protege y cómo cumplir

El habeas data es el derecho a saber qué información tienen sobre ti en una base de datos y a pedir que se actualice, se corrija o se borre. En Colombia está en la Constitución y lo desarrollan dos leyes: la Ley 1581 de 2012, para los datos personales en general, y la Ley 1266 de 2008, para los datos financieros y crediticios. Esta guía explica qué protege cada una, cómo ejercer tus derechos ante una empresa y ante la Superintendencia de Industria y Comercio (SIC), y qué tiene que cumplir tu empresa: política de tratamiento, autorización, seguridad y Registro Nacional de Bases de Datos.

Todas las normas citadas se leyeron el 22 de octubre de 2026 en su fuente oficial. Lo que sigue es un resumen y no reemplaza la opinión de un abogado.

Habeas data en la Constitución: el artículo 15

El punto de partida es el artículo 15 de la Constitución Política. Reconoce el derecho a la intimidad personal y familiar y al buen nombre, y agrega que todas las personas «tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas».

Eso es el habeas data: un derecho fundamental. Por eso las dos leyes que lo desarrollan son estatutarias, y por eso la Corte Constitucional las revisó antes de que entraran a regir. La Ley 1581 pasó por la sentencia C-748 de 2011, que está incluida en su página oficial.

La Ley 1581 de 2012: protección de datos personales

La Ley Estatutaria 1581 de 2012 es la ley general de protección de datos personales en Colombia. Su reglamento, el Decreto 1377 de 2013, está hoy compilado en el capítulo 25 del Decreto 1074 de 2015. La ley está vigente.

A qué se aplica

El artículo 2 dice que la ley se aplica a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento por entidades públicas o privadas, cuando el tratamiento se hace en Colombia o cuando la ley colombiana le es aplicable a un responsable que no está en el país por normas y tratados internacionales.

Y excluye, entre otras, las bases mantenidas en un ámbito exclusivamente personal o doméstico (la agenda de tu celular), las de seguridad y defensa nacional e inteligencia, las de información periodística y las reguladas por la Ley 1266 de 2008, que tiene su propio régimen.

Las palabras que usa la ley

El artículo 3 define los términos que se repiten en todo lo demás:

• Dato personal: cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
• Titular: la persona natural cuyos datos son objeto de tratamiento.
• Tratamiento: cualquier operación sobre datos personales, como la recolección, el almacenamiento, el uso, la circulación o la supresión.
• Responsable del tratamiento: quien decide sobre la base de datos o el tratamiento. Tu empresa, respecto de los datos de sus clientes y trabajadores.
• Encargado del tratamiento: quien trata los datos por cuenta del responsable. Un proveedor de software de nómina, por ejemplo.
• Autorización: el consentimiento previo, expreso e informado del titular.

Los principios

El artículo 4 enumera ocho principios que se aplican de manera armónica. Los que más pesan en el día a día:

• Finalidad: el tratamiento debe obedecer a una finalidad legítima que se informa al titular.
• Libertad: el tratamiento solo se ejerce con el consentimiento previo, expreso e informado del titular, salvo mandato legal o judicial.
• Acceso y circulación restringida: los datos personales, salvo la información pública, no pueden estar disponibles en internet u otros medios masivos, salvo que el acceso sea técnicamente controlable.
• Seguridad: hay que manejar la información con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta, uso o acceso no autorizado.
• Confidencialidad: todas las personas que intervienen en el tratamiento de datos no públicos deben guardar reserva, incluso después de terminar su relación con esa labor.

Los datos sensibles y los de los niños

La ley protege de forma reforzada dos categorías. Los datos sensibles (artículo 5), como los de salud, vida sexual, biométricos, origen étnico o afiliación sindical, cuyo tratamiento está prohibido salvo las excepciones del artículo 6. Lo explicamos en detalle en la guía de datos sensibles. Y los datos de niños, niñas y adolescentes (artículo 7), cuyo tratamiento queda proscrito salvo los de naturaleza pública.

Tus derechos como titular

El artículo 8 de la Ley 1581 le da al titular estos derechos:

• Conocer, actualizar y rectificar sus datos frente al responsable o al encargado, también frente a datos parciales, inexactos o incompletos, o cuyo tratamiento no fue autorizado.
• Pedir prueba de la autorización que dio, salvo cuando la ley no la exige.
• Ser informado, si lo pide, del uso que se ha dado a sus datos.
• Presentar quejas ante la SIC por infracciones a la ley.
• Revocar la autorización o pedir la supresión del dato cuando el tratamiento no respete los principios, derechos y garantías. Según el reglamento, la supresión y la revocatoria no proceden cuando el titular tiene un deber legal o contractual de permanecer en la base de datos.
• Acceder gratis a sus datos personales que hayan sido objeto de tratamiento.

Cómo ejercer el habeas data: consulta, reclamo y queja

Consulta (artículo 14). Para saber qué datos tiene una empresa sobre ti. Se presenta por el medio que la empresa tenga habilitado, siempre que quede prueba. La empresa debe responder en un máximo de diez días hábiles desde que la recibe; si no puede, debe avisarte el motivo y la nueva fecha, que no puede pasar de cinco días hábiles más.

Reclamo (artículo 15). Para pedir que se corrijan, actualicen o supriman tus datos, o cuando crees que la empresa incumple la ley. Debe llevar tu identificación, la descripción de los hechos, tu dirección y los documentos que quieras hacer valer. Si está incompleto, la empresa te lo dice dentro de los cinco días siguientes; si no lo completas en dos meses, se entiende que desististe. Una vez completo, la empresa debe marcar el dato con la leyenda «reclamo en trámite» en máximo dos días hábiles, y responder en un máximo de quince días hábiles contados desde el día siguiente a su recibo, prorrogables hasta ocho días hábiles más.

Queja ante la SIC (artículos 16 y 8). Solo después de haber agotado la consulta o el reclamo ante la empresa: es el requisito de procedibilidad del artículo 16. La SIC puede ordenar que te den acceso a tus datos, que los rectifiquen o los supriman, y disponer el bloqueo temporal de los datos mientras decide (artículo 21).

Un reclamo de habeas data, con ayuda de la IA

Si quieres que una IA te ayude a redactar un reclamo, no hace falta que le des tus datos. Un ejemplo con datos de ejemplo, tal como sale de Nonimo:

ANTES
Reclamo de habeas data
Titular: Arnulfo Pinzón Becerra
Dirección: Calle Inexistente 0, Cali
Correo: nombre@example.com
Solicito la supresión de mis datos de la base de clientes y que dejen de enviarme mensajes al +57 300 000 0000.

DESPUÉS
Reclamo de habeas data
Titular: [PERSONA_1]
Dirección: [DIRECCION_1]
Correo: [CORREO_1]
Solicito la supresión de mis datos de la base de clientes y que dejen de enviarme mensajes al [TELEFONO_1].

Datos de ejemplo: el nombre es inventado, la calle no existe, el celular es de ceros y example.com es un dominio reservado para ejemplos.

La IA puede mejorar la redacción, citar el artículo 15 de la Ley 1581 y ordenar los hechos sin saber quién eres. Cuando copias la respuesta, Nonimo vuelve a poner tus datos en su lugar.

Habeas data financiero: Ley 1266 de 2008 y DataCrédito

La Ley Estatutaria 1266 de 2008 regula los datos financieros, crediticios, comerciales y de servicios: lo que reportan bancos, empresas de telefonía o almacenes a las centrales de riesgo, como DataCrédito. Es la ley a la que se refiere la gente cuando habla de «estar reportado».

Algunos puntos que más se preguntan:

• La clasificación de los datos. El artículo 3 distingue el dato público (por ejemplo, el relativo al estado civil, que también consta en una escritura pública), el semiprivado (como el dato financiero y crediticio) y el privado (el que por su naturaleza íntima solo es relevante para el titular).
• El aviso previo. El artículo 12 dice que el reporte negativo solo procede después de comunicarlo al titular, para que pueda pagar o controvertir la deuda, y que la fuente puede reportar pasados veinte días calendario desde el envío de esa comunicación. La Ley 2157 de 2021 agregó que, si no se hizo la comunicación y la obligación ya se pagó, el reporte negativo se retira de inmediato.
• La permanencia del reporte negativo. Con el artículo 13, modificado por la Ley 2157 de 2021, la información negativa permanece el doble del tiempo de la mora, con un máximo de cuatro años contados desde que se pagan las cuotas vencidas o se extingue la obligación. La información positiva permanece de manera indefinida.
• El «borrón y cuenta nueva». El artículo 9 de la Ley 2157 fijó un régimen de transición, con plazos reducidos de permanencia para quienes pagaran sus obligaciones dentro de los doce meses siguientes a su entrada en vigencia.
• La suplantación. La Ley 2157 agregó a la Ley 1266 un procedimiento para quien es víctima de falsedad personal y le cobran una obligación que no adquirió: se presenta una petición de corrección ante la fuente, con los soportes. Si te robaron la cédula, lo contamos en me robaron la cédula.
• Las consultas. Igual que en la Ley 1581, se responden en un máximo de diez días hábiles, prorrogables cinco (artículo 16).

La vigilancia es de la SIC, salvo cuando la fuente, el operador o el usuario de la información es una entidad vigilada por la Superintendencia Financiera, que en ese caso vigila y sanciona (artículo 17).

Qué debe cumplir tu empresa: política de tratamiento y autorización

Toda empresa que recoge datos de clientes, trabajadores o proveedores es responsable del tratamiento, y la Ley 1581 le pone deberes concretos en su artículo 17. Los que más se olvidan:

• Garantizar al titular el ejercicio pleno del habeas data.
• Solicitar y conservar copia de la autorización del titular.
• Informar la finalidad de la recolección y los derechos del titular.
• Conservar la información con seguridad para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado.
• Tramitar las consultas y reclamos en los plazos de la ley.
• Adoptar un manual interno de políticas y procedimientos.
• Informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información.

La política de tratamiento de datos

El reglamento (artículo 2.2.2.25.3.1 del Decreto 1074 de 2015) obliga a los responsables a desarrollar una política de tratamiento, por escrito, en lenguaje claro, y a ponerla en conocimiento de los titulares. Como mínimo debe incluir el nombre o razón social, domicilio, dirección, correo y teléfono del responsable; el tratamiento al que se someten los datos y su finalidad; los derechos del titular; la persona o área responsable de atender consultas y reclamos; el procedimiento para ejercer los derechos; y la fecha de entrada en vigencia de la política y el período de vigencia de la base de datos.

Es la «política de tratamiento de datos personales» que ves al pie de muchas páginas web colombianas. Una política copiada de otra empresa, que no describe lo que la tuya hace, no cumple.

La autorización

El artículo 9 de la Ley 1581 exige la autorización previa e informada del titular, obtenida por cualquier medio que pueda ser objeto de consulta posterior. Al pedirla, el artículo 12 obliga a informarle el tratamiento y su finalidad, el carácter facultativo de las respuestas sobre datos sensibles o de menores, sus derechos y la identificación y datos de contacto del responsable. La empresa debe poder probar que la obtuvo. En una firma de abogados, esa autorización puede ir en el propio contrato de servicios.

No hace falta autorización, según el artículo 10, cuando se trata de información requerida por una entidad pública en ejercicio de sus funciones o por orden judicial, de datos de naturaleza pública, de casos de urgencia médica o sanitaria, de tratamiento autorizado por la ley para fines históricos, estadísticos o científicos, o de datos del registro civil.

El Registro Nacional de Bases de Datos (RNBD)

El artículo 25 de la Ley 1581 define el RNBD como el directorio público de las bases de datos sujetas a tratamiento que operan en el país, administrado por la SIC y de libre consulta. Según el Decreto 1074 de 2015 (artículo 2.2.2.26.1.2), deben inscribir sus bases las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública, y cada base se inscribe por separado. La inscripción pide, entre otras cosas, los datos del responsable y de los encargados, los canales para que los titulares ejerzan sus derechos, el nombre y la finalidad de cada base, si el tratamiento es manual o automatizado, y la política de tratamiento.

Una empresa pequeña que no está obligada a inscribirse sigue obligada a cumplir todo lo demás.

Lo que arriesga una empresa

El artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta dos mil salarios mínimos mensuales legales vigentes, la suspensión de las actividades de tratamiento hasta por seis meses, el cierre temporal y, si se trata de datos sensibles, el cierre inmediato y definitivo de esa operación. Esas sanciones aplican a las personas de naturaleza privada; si quien incumple es una autoridad pública, la SIC remite la actuación a la Procuraduría. El artículo 24 dice cómo se gradúan: el daño, el beneficio obtenido, la reincidencia, la obstrucción a la investigación y el reconocimiento de la infracción, entre otros. Algunas pólizas de seguro cibernético cubren la defensa ante la SIC; las multas, no siempre.

Habeas data, Ley 1581 e inteligencia artificial

La Ley 1581 no menciona la inteligencia artificial, pero se aplica igual. Si en tu empresa alguien pega en ChatGPT el correo de un cliente o la hoja de vida de un candidato, eso es tratamiento de datos personales, y los principios de finalidad, seguridad y circulación restringida aplican. Además, el artículo 26 prohíbe transferir datos personales a países que no ofrezcan un nivel adecuado de protección, salvo las excepciones que la propia ley prevé, y las IA más usadas procesan los datos fuera de Colombia.

La SIC publicó en 2024 la Circular Externa 002, con lineamientos sobre datos personales en sistemas de inteligencia artificial, dirigida a los sujetos que vigila como autoridad de protección de datos. Lo resumimos en inteligencia artificial y protección de datos.

En la práctica, la manera más sencilla de cumplir es que los datos que identifican a las personas no lleguen a la IA. La lista de lo que conviene quitar está en qué datos no compartir con ChatGPT.

Las reglas para tu equipo pueden ir en la política de uso de IA en la empresa.

Si ya salió algo

Si en tu empresa se filtraron datos personales, se enviaron a quien no debía o se pegaron en un servicio externo sin control, el literal n) del artículo 17 obliga a informar a la SIC cuando se presentan violaciones a los códigos de seguridad y existen riesgos para la información de los titulares. Qué hacer paso a paso está en incidente de seguridad con datos personales.

Lo que hace Nonimo

Nonimo es una app para Mac y Windows que, en tu computador, cambia por etiquetas los datos personales, como nombres, correos, celulares, cédulas o NIT, antes de que el texto llegue a ChatGPT, Claude, Copilot o Gemini, y los devuelve a su lugar al copiar la respuesta. A Nonimo no le llega el texto. Más en nuestra política de privacidad.

Fuentes

• Constitución Política de 1991, art. 15.
• Ley Estatutaria 1581 de 2012, arts. 2 a 10, 12, 14 a 17, 21, 23 a 26, con la sentencia C-748 de 2011. Secretaría del Senado, última actualización de la página: 15 de octubre de 2026; leída el 22 de octubre de 2026.
• Decreto 1074 de 2015, capítulos 25 y 26 del título 2, parte 2, libro 2 (arts. 2.2.2.25.2.6, 2.2.2.25.3.1, 2.2.2.26.1.2 y 2.2.2.26.2.1). Función Pública, leído el 22 de octubre de 2026.
• Ley Estatutaria 1266 de 2008, arts. 3, 12, 13, 16 y 17, y Ley 2157 de 2021, arts. 3, 6, 7 y 9. Secretaría del Senado, leídas el 22 de octubre de 2026.
• Circular Externa 002 de 2024 de la SIC.