La Ley 1581 de 2012 y su Decreto reglamentario 1377 de 2013 llevan más de una década vigentes en Colombia. La mayoría de las organizaciones ya tiene una política de tratamiento de datos publicada en su sitio web. El problema es que, para muchas, ahí termina el cumplimiento — y ahí es exactamente donde empieza el riesgo real.
Lo que la ley exige, más allá del documento
Tener una política de privacidad redactada es el punto de partida, no el destino. La Ley 1581 exige, entre otras cosas:
- Consentimiento previo, expreso e informado para cada finalidad del tratamiento — no un checkbox genérico que cubre “todo lo que la empresa quiera hacer con tus datos”.
- Un responsable del tratamiento identificable, con canales reales para que un titular ejerza sus derechos de Habeas Data (conocer, actualizar, rectificar, suprimir).
- Medidas de seguridad técnicas y administrativas proporcionales al riesgo de los datos que se manejan — no solo un párrafo que dice “protegemos tus datos con los más altos estándares”.
- Registro y trazabilidad de cómo se recolectan, almacenan, y con quién se comparten los datos personales.
Dónde se rompe en la práctica
El patrón más común que vemos: el área legal redacta una política impecable, pero el área de tecnología nunca fue consultada sobre qué datos se están capturando realmente en formularios, chatbots, o herramientas de analítica — y termina existiendo una brecha entre lo que dice el documento y lo que el sistema hace.
Ejemplos típicos:
- Un formulario captura el número de teléfono como “opcional” en el diseño, pero el backend lo marca como requerido.
- Una herramienta de analítica de terceros recibe datos personales sin que esa finalidad esté cubierta en el consentimiento.
- Nadie en la organización sabe cuánto tiempo se conservan los datos de un lead que nunca se convirtió en cliente.
El enfoque correcto: minimización de datos
El principio que más ayuda a evitar estos problemas es simple de enunciar y difícil de ejecutar: capturar solo lo que efectivamente se va a usar, para el fin que se declaró, y por el tiempo que se necesita — ni un campo más, ni un día más.
Esto no es solo una recomendación legal. Es también una decisión de arquitectura: entre menos datos personales innecesarios almacene un sistema, menor es la superficie de riesgo si algo sale mal.
¿Sabes con certeza qué datos personales capturan hoy tus formularios, tu CRM, y tus herramientas de analítica — y si ese uso está cubierto por el consentimiento que diste a tus clientes?