Habeas Data en tu página web: qué cumplir en Colombia

Si tu página web recoge nombres, correos, teléfonos u otros datos de personas —en un formulario, una reserva, una compra o un chat—, en Colombia debes cumplir la Ley 1581 de 2012 de protección de datos personales (Habeas Data) y su reglamentación, el Decreto 1377 de 2013. En la práctica eso significa publicar una política de tratamiento de datos, pedir y conservar la autorización del titular a más tardar al momento de recoger sus datos, informarle para qué los usarás y atender sus consultas y reclamos dentro de los plazos legales.

Este artículo es informativo y no es asesoría legal. Resume lo que dicen las normas oficiales para que sepas qué revisar en tu web; para tu caso concreto, consulta con un abogado y con la guía de la Superintendencia de Industria y Comercio (SIC), que es la autoridad en esta materia.

Qué datos de tu web están cubiertos por la ley

La Ley 1581 de 2012 aplica a los datos personales que tratan empresas y personas, salvo excepciones como las bases de uso exclusivamente personal o doméstico. Los datos que llegan a la web de un negocio no son "domésticos": nombre, correo, celular, cédula o dirección de entrega están cubiertos.

Hay dos categorías que exigen más cuidado. Los datos sensibles, que la ley define como los que afectan la intimidad o cuyo mal uso puede generar discriminación (por ejemplo, datos de salud que recoge una clínica o un consultorio en su formulario de citas). Y los datos de niños, niñas y adolescentes, cuyo tratamiento está restringido; un gimnasio o una academia que inscribe menores debe revisarlo con especial atención.

También conviene distinguir dos figuras. Tú eres el Responsable del tratamiento, porque decides para qué se usan los datos. Tu proveedor de hosting, tu CRM o tu plataforma de correo suelen ser Encargados, porque tratan los datos por cuenta tuya.

La autorización: cómo pedirla bien en un formulario

La ley exige que la autorización sea previa, expresa e informada, y que se obtenga por un medio que pueda consultarse después. El Decreto 1377 de 2013 precisa que se debe pedir a más tardar al momento de la recolección, y que puede darse por escrito, de forma oral o mediante conductas inequívocas del titular; el silencio no cuenta como autorización.

Al pedirla, debes informar de forma clara qué tratamiento harás y con qué finalidad, cuáles son los derechos del titular, que responder preguntas sobre datos sensibles o de menores es opcional, y quién eres y cómo contactarte. Además, la ley te obliga a conservar copia de la autorización.

En un formulario web, eso se traduce en:

• Una casilla de autorización sin marcar por defecto, con un texto corto y un enlace a la política completa.
• Casillas separadas si vas a usar los datos para fines distintos, por ejemplo responder la solicitud y enviar promociones.
• Un registro de cada autorización: fecha, hora, texto aceptado y versión de la política vigente en ese momento.
• Solo los campos que de verdad necesitas; si no vas a usar la cédula, no la pidas.

Política de tratamiento y plazos para responder

Qué debe incluir la política de tratamiento

Todo responsable debe tener una política de tratamiento. El Decreto 1377 de 2013 fija un contenido mínimo, que empieza por nombre o razón social, domicilio, dirección, correo electrónico y teléfono del responsable, e incluye el tratamiento y su finalidad, los derechos de los titulares, el área o persona que atiende las peticiones, el procedimiento para ejercer los derechos y la fecha de vigencia.

Publícala en una página propia de tu web, enlazada desde el pie de página y desde cada formulario. Si en algún punto de contacto no puedes mostrar la política completa, el decreto prevé un aviso de privacidad: un texto breve que informa que la política existe, cómo acceder a ella y qué finalidades tiene el tratamiento. Un error frecuente es copiar la política de otra empresa: si las finalidades y los datos de contacto no son los tuyos, no te sirve.

Consultas y reclamos: los plazos que debes cumplir

Los titulares tienen derecho a conocer, actualizar, rectificar y pedir la supresión de sus datos, entre otros. La ley fija plazos concretos para responder:

• Consultas: máximo 10 días hábiles desde que la recibes, prorrogables hasta 5 días hábiles más si informas el motivo.
• Reclamos: máximo 15 días hábiles contados desde el día siguiente a su recibo, prorrogables hasta 8 días hábiles más si informas el motivo.

Por eso tu política debe indicar un canal real, como un correo que alguien revise. Si tus datos están repartidos entre el formulario, el CRM, una hoja de cálculo y el WhatsApp del vendedor, borrar a alguien "de todas partes" se vuelve casi imposible.

RNBD, seguridad y sanciones: lo que más se pregunta

Quién debe inscribirse en el RNBD

El Registro Nacional de Bases de Datos (RNBD) es el directorio público de bases de datos que administra la SIC. No todas las empresas están obligadas a inscribirse: desde el Decreto 090 de 2018, deben hacerlo las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública.

Como referencia, la UVT de 2026 es de $52.374, así que 100.000 UVT equivalen a unos $5.237 millones de pesos en activos. La mayoría de micro y pequeñas empresas quedan por debajo de ese umbral. Quienes sí están obligados deben inscribir las bases nuevas dentro de los dos meses siguientes a su creación y mantener la información actualizada en las fechas que fije la SIC.

Ojo: no estar obligado a registrarte en el RNBD no te exime de cumplir la ley. La política, la autorización, la seguridad y la atención de reclamos aplican a todos.

Seguridad, proveedores y sanciones

Seguridad. Debes proteger los datos con medidas razonables (contraseñas fuertes, accesos por usuario, copias de seguridad, sitio con HTTPS) y la ley obliga a informar a la SIC cuando se presenten violaciones a los códigos de seguridad. El Decreto 1377 también exige que puedas demostrar que implementaste medidas apropiadas si la SIC lo solicita.

Proveedores y datos fuera de Colombia. Si usas servicios de terceros para almacenar o procesar los datos, deja por escrito sus obligaciones. Y si los datos salen del país, revisa las reglas de transferencia internacional: la ley prohíbe transferir datos a países que no ofrezcan niveles adecuados de protección según los estándares de la SIC, con excepciones.

Sanciones. La SIC puede imponer, entre otras sanciones, multas de hasta 2.000 salarios mínimos mensuales legales vigentes. Puedes consultar casos reales en las sanciones publicadas por la SIC.

Checklist para tu página web y formularios

• Política de tratamiento propia, publicada y enlazada desde el pie de página y cada formulario.
• Casilla de autorización sin marcar, con finalidades claras y separadas.
• Registro de cada autorización con fecha, hora y versión del texto.
• Solo los campos que vas a usar, y formularios de salud o de menores revisados con un abogado.
• Correo o canal para consultas y reclamos, con alguien responsable de responder a tiempo.
• HTTPS activo, accesos con usuario propio y copias de seguridad.
• Lista de proveedores que tratan los datos (hosting, CRM, correo, WhatsApp) y dónde los almacenan.
• Revisión de si superas 100.000 UVT en activos y, si es así, inscripción en el RNBD.

Preguntas frecuentes

¿Una pyme pequeña tiene que cumplir el Habeas Data?

Sí. La Ley 1581 de 2012 aplica a cualquier empresa que recoja datos personales, sin importar su tamaño. Lo que depende del tamaño es la obligación de inscribirse en el RNBD, no el deber de tener política, pedir autorización y proteger los datos.

¿Basta con poner "al enviar, aceptas la política" en el formulario?

La norma admite la autorización por conductas inequívocas, pero tú debes poder demostrar que la obtuviste de forma informada. Una casilla sin marcar que el usuario activa, con enlace a la política y un registro guardado, te deja una prueba mucho más clara. Para tu caso puntual, consulta con un abogado.

¿Tengo que registrar mi base de datos ante la SIC?

Solo si eres una sociedad o entidad sin ánimo de lucro con activos totales superiores a 100.000 UVT, o una persona jurídica de naturaleza pública. Si estás por debajo, no te inscribes, pero igual debes cumplir el resto de la ley.

¿Qué pasa si no cumplo la ley de protección de datos?

La SIC puede investigar y sancionar, entre otras medidas con multas de hasta 2.000 salarios mínimos mensuales. Además, una fuga o un mal uso de datos golpea la confianza de tus clientes.

Siguiente paso

La parte legal la debe validar un abogado, pero la parte técnica —formularios con autorización bien hecha, registro de consentimientos, política visible y sitio seguro— se resuelve en tu web. Puedes revisar el estado actual de tu sitio con la auditoría web gratuita, ver cómo lo trabajamos en desarrollo web y mantenimiento web, o pedir el diagnóstico gratuito en zyntralab.com/#cotizador.