Ley 1581 de 2012 y SFC: qué exigen a tu infraestructura en Colombia

Deben inscribirse en el Registro Nacional de Bases de Datos (RNBD) todas las personas jurídicas de naturaleza pública que traten datos personales, y las sociedades y entidades sin ánimo de lucro del sector privado con activos totales superiores a 100.000 UVT (Decreto 090 de 2018). Las personas naturales y las sociedades privadas con activos por debajo de ese umbral están exentas de la inscripción, pero siguen obligadas a reportar incidentes de seguridad a la SIC en los 15 días hábiles.

Cuando se produce una violación a los códigos de seguridad, o pérdida, robo o acceso no autorizado a información de una base de datos, el responsable debe reportarlo a la Superintendencia de Industria y Comercio (SIC) mediante la plataforma del RNBD dentro de los 15 días hábiles siguientes a la detección del incidente o al momento de tener conocimiento del mismo. Esta obligación aplica incluso a entidades que no están obligadas a inscribirse en el RNBD, según la Circular Única de la SIC modificada por la Circular Externa 003 de 2018.

La Circular Básica Jurídica 2025 (C.E. 006 de 2025, vigente desde el 26 de junio de 2025) incorpora los requerimientos de ciberseguridad que introdujo la Circular 007 de 2018. Exige gestionar el riesgo de ciberseguridad en cuatro etapas: prevención (IAM, DLP, SIEM, desarrollo seguro), protección y detección (gestión de vulnerabilidades, monitoreo continuo), respuesta y comunicación (contención, forense, reporte a la SFC ante impacto significativo, notificación al consumidor financiero afectado) y recuperación y aprendizaje (BCP con escenarios de ciberataque, pruebas de simulación). Las entidades deben reportar trimestralmente el Formato 408 dentro de los 15 días calendario del cierre de cada trimestre.

Las consultas de titulares sobre sus datos personales deben responderse en máximo 10 días hábiles, ampliables por 5 días hábiles adicionales con comunicación de las razones al titular (Art. 14, Ley 1581 de 2012). Los reclamos para corregir, actualizar o suprimir datos tienen un plazo de 15 días hábiles, ampliables 8 días hábiles más (Art. 15). El titular solo puede acudir a la SIC después de haber agotado el trámite de reclamo directamente ante el responsable o el encargado (Art. 16).

El artículo 26 de la Ley 1581 de 2012 prohíbe transferir datos personales a países que no ofrezcan niveles adecuados de protección. Se permiten excepciones, entre ellas la autorización previa, expresa e inequívoca del titular; la transferencia necesaria para ejecutar un contrato con el titular; los tratados internacionales de los que Colombia hace parte; y los casos de interés público o defensa judicial de un derecho. Cuando se usa computación en nube con regiones fuera de Colombia, cada flujo de datos debe encuadrarse en una de estas bases legales, lo que requiere documentar el mapeo de regiones cloud y los términos del contrato con el proveedor.

Sí. La Ley 1581 aplica a toda organización que trate datos personales en Colombia, sin distinción de sector. Para fintech y e-commerce la exposición es alta: datos financieros y de comportamiento de compra a escala, integraciones con pasarelas de pago, y datos de autenticación. Las fintech vigiladas por la SFC tienen además los requerimientos de ciberseguridad de la CBJ 2025. Las entidades no vigiladas por la SFC, como muchas plataformas de e-commerce, solo están bajo la Ley 1581, pero las obligaciones de seguridad, RNBD e incidentes aplican igual. El cumplimiento de PCI DSS cubre controles de seguridad que se solapan con las medidas del artículo 4° de la Ley 1581.