---
type: concepto_politico
canonical: https://www.politicaelectoral.com/es/colombia/conceptos-politicos/ley-1581-de-2012
name: Ley 1581 de 2012 (protección de datos personales)
categoria: ley
ano_creacion: 2012
fuentes:
  - http://www.secretariasenado.gov.co/senado/basedoc/ley_1581_2012.html
  - https://www.corteconstitucional.gov.co/relatoria/2011/C-748-11.htm
  - https://sedeelectronica.sic.gov.co/noticias/por-violacion-las-normas-de-proteccion-de-datos-personales-la-superintendencia-de-industria-y-comercio-ha-iniciado-101-investigaciones-e
  - https://www.redjurista.com/Compilaciones2018/gacetasCongreso/2026/gc_1217_2026.pdf
  - https://www.larepublica.co/finanzas/davivienda-confirma-que-quedo-en-firme-la-sancion-de-la-sic-por-mas-de-268-millones-4310704
  - https://facephi.com/observatory/reforma-ley-1581-biometria-dato-sensible/
country: colombia
lang: es
updated_at: 2026-11-04T12:42:01
---

## Qué es

La **Ley Estatutaria 1581 de 2012** es la ley colombiana de protección de datos personales: la norma que dice quién puede recoger, guardar y usar la información de una persona, con qué autorización, qué derechos tiene el titular y quién vigila que se cumpla. Desarrolla el derecho al **habeas data** del artículo 15 de la [Constitución de 1991](https://www.politicaelectoral.com/es/colombia/conceptos-politicos/constitucion-politica-de-colombia.md) (conocer, actualizar y rectificar la información recogida sobre uno mismo) y el derecho a la información del artículo 20. Fue sancionada por [Juan Manuel Santos](https://www.politicaelectoral.com/es/colombia/politicos/juan-manuel-santos.md) el 17 de octubre de 2012 y publicada en el Diario Oficial 48.587 del día siguiente, después de que la [Corte Constitucional](https://www.politicaelectoral.com/es/colombia/instituciones/corte-constitucional-colombia.md) la revisara de forma previa en la sentencia C-748 de 2011, como exige la Constitución para toda ley estatutaria.

Importa porque se aplica a cualquier base de datos pública o privada: bancos, operadores de telefonía, comercios, colegios, aplicaciones, campañas políticas. En 2025 la Superintendencia de Industria y Comercio (SIC) abrió 101 investigaciones y multó por 5.157 millones de pesos a empresas que la incumplieron. Y está en el centro del debate sobre reconocimiento facial, inteligencia artificial y economía de datos: el Congreso tramita desde agosto de 2026 una reforma estatutaria que la pondría al nivel del reglamento europeo.

## Qué dice

La ley tiene 30 artículos. Sus piezas principales:

- **Ámbito (artículo 2).** Cubre el tratamiento de datos hecho en Colombia por entidades públicas o privadas. Quedan fuera las bases domésticas, las de seguridad y defensa nacional, las de inteligencia, las periodísticas y editoriales y los datos financieros y crediticios, que tienen su propia ley (la 1266 de 2008).
- **Definiciones (artículo 3).** Dato personal, titular, responsable del tratamiento (quien decide sobre la base) y encargado (quien la trata por cuenta del responsable).
- **Principios (artículo 4).** Legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad.
- **Datos sensibles (artículos 5 y 6).** Los que revelan origen étnico, orientación política, convicciones religiosas, pertenencia a sindicatos u organizaciones sociales, salud, vida sexual y datos biométricos. Su tratamiento está prohibido salvo autorización explícita del titular u otras excepciones tasadas.
- **Menores (artículo 7).** Queda proscrito el tratamiento de datos de niños, niñas y adolescentes salvo los de naturaleza pública.
- **Derechos del titular (artículo 8).** Conocer, actualizar y rectificar; pedir prueba de la autorización; saber qué uso se dio a sus datos; revocar la autorización y pedir la supresión; y quejarse ante la SIC.
- **Autorización (artículos 9 a 12).** Consentimiento previo, expreso e informado, con excepciones como la orden judicial, los datos públicos o la urgencia médica.
- **Autoridad y sanciones (artículos 19 a 23).** La SIC, a través de una Delegatura para la Protección de Datos Personales, vigila el cumplimiento. Puede imponer multas de hasta 2.000 salarios mínimos mensuales, suspender el tratamiento hasta seis meses y ordenar el cierre temporal o definitivo de la operación. Las sanciones solo aplican a privados; si el infractor es una entidad pública, la SIC remite el caso a la [Procuraduría](https://www.politicaelectoral.com/es/colombia/instituciones/procuraduria-general-de-la-nacion.md).
- **Transferencias internacionales (artículo 26).** Prohibidas a países sin un nivel adecuado de protección, con excepciones como la autorización expresa del titular o la ejecución de un contrato.

## Marco legal

Es una **ley estatutaria**: regula un derecho fundamental, necesitó mayoría absoluta en una sola legislatura y control previo de la Corte Constitucional. Convive con la Ley 1266 de 2008, que regula el habeas data financiero y crediticio (las centrales de riesgo) y que la Ley 2157 de 2021 modificó. El Gobierno la reglamentó con el Decreto 1377 de 2013, que sigue vigente. La SIC administra además el Registro Nacional de Bases de Datos y ha dictado guías y circulares sobre transferencias y responsabilidad demostrada.

En la sentencia C-748 de 2011 (ponente Jorge Ignacio Pretelt) la Corte fijó la doctrina que sostiene la ley: el habeas data es un derecho autónomo, el consentimiento debe ser calificado, los datos sensibles tienen protección reforzada y responsable y encargado responden de forma concurrente. También retiró del proyecto los artículos sobre antecedentes judiciales y bases de inteligencia, introducidos en tercer y cuarto debate sin respetar el principio de consecutividad, y rechazó que las multas de la SIC se destinaran a su propio funcionamiento.

## Reformas

| Publicación | Qué cambió | Gobierno |
|---|---|---|
| 6 de octubre de 2011 | Sentencia C-748: control previo del proyecto; cae lo relativo a antecedentes judiciales e inteligencia | Juan Manuel Santos ([Partido de la U](https://www.politicaelectoral.com/es/colombia/partido/partido-de-la-u.md)) |
| 18 de octubre de 2012 | Diario Oficial 48.587: entra en vigor la Ley 1581 | Juan Manuel Santos |
| 2013 | Decreto 1377: reglamento de la ley, aún vigente | Juan Manuel Santos |
| 29 de octubre de 2021 | Ley 2157 reforma la Ley 1266 de 2008 (habeas data financiero), régimen paralelo al de la 1581 | [Iván Duque](https://www.politicaelectoral.com/es/colombia/politicos/ivan-duque.md) ([Centro Democrático](https://www.politicaelectoral.com/es/colombia/partido/centro-democratico.md)) |
| 2024 y 2025 | Proyectos de ley estatutaria 152 de 2024 y 274 de 2025 Cámara para reformar la ley: no completaron su trámite | Gustavo Petro ([Pacto Histórico](https://www.politicaelectoral.com/es/colombia/partido/pacto-historico.md)) |
| 8 de septiembre de 2026 | Gaceta del Congreso 1217 publica el proyecto de ley estatutaria 282 de 2026 Cámara, que modifica parcialmente la ley | [Abelardo de la Espriella](https://www.politicaelectoral.com/es/colombia/politicos/abelardo-de-la-espriella.md) ([Defensores de la Patria](https://www.politicaelectoral.com/es/colombia/partido/defensores-de-la-patria.md)), iniciativa de congresistas |

## Aplicación práctica

La SIC es el actor principal. Según su balance del 14 de agosto de 2025, pasó de 55 investigaciones en 2023 a 83 en 2024 y 101 en 2025, con multas por 4.932 millones de pesos en 2023 y 5.157 millones en lo corrido de 2025. Entre los casos de ese año, una empresa de comercio electrónico fue multada en marzo con 214 millones por condicionar el acceso a la cuenta del usuario a la entrega de su imagen facial, y en agosto se confirmó una sanción de 190 millones con suspensión temporal del tratamiento. La multa más alta de la historia de la ley sigue siendo la de **Claro**, 1.306 millones de pesos en julio de 2023 por recoger números de teléfono de «referidos» sin autorización en una campaña comercial. En enero de 2026 quedó en firme la sanción de 268 millones a **Davivienda** (resolución 47347 de 2025, confirmada por la 3870 de 2026) por fallas en el tratamiento de datos de sus clientes.

La reforma es el otro frente. El Gobierno de Gustavo Petro anunció en agosto de 2025, a través de la SIC, un proyecto para actualizar la ley frente a la inteligencia artificial y los flujos transfronterizos de datos, y dos proyectos anteriores de la Cámara no completaron su trámite. En agosto de 2026 la representante [María Fernanda Carrascal](https://www.politicaelectoral.com/es/colombia/politicos/maria-fernanda-carrascal.md) y el senador Duvalier Sánchez radicaron el **proyecto de ley estatutaria 282 de 2026 Cámara**, que propone: aplicar la ley a empresas extranjeras que ofrezcan servicios o monitoreen a personas en Colombia; definir los datos biométricos de identificación unívoca, genéticos y neurodatos como sensibles; reglas para decisiones automatizadas y perfilamiento, con derecho a explicación e intervención humana; evaluaciones de impacto y oficial de protección de datos obligatorios en tratamientos a gran escala; transferencias a países con nivel adecuado o con garantías adicionales; y multas de hasta 10.000 salarios mínimos o el 5 % de los ingresos del infractor. Como ley estatutaria necesita cuatro debates en una legislatura y el visto bueno previo de la Corte.

## Críticas y debates

El primer debate es el de la **biometría**. La ley de 2012 nombra los datos biométricos entre los sensibles, pero no define cuándo un sistema de reconocimiento facial o de huella es de identificación y cuándo de simple verificación; la sanción de 2025 a una plataforma de comercio electrónico muestra que la SIC exige alternativas al titular. Empresas de identidad digital como Facephi destacan que la reforma reclasifica la biometría de identificación como dato sensible y obliga a evaluaciones de impacto en cualquier tratamiento automatizado de datos sensibles.

El segundo es la **inteligencia artificial**. Abogados de firmas como Holland & Knight señalan que los vacíos más relevantes de la ley están en las decisiones automatizadas, el perfilamiento algorítmico y la auditoría de los sistemas que procesan datos personales, asuntos que la norma de 2012 no contempla y que el proyecto de 2026 intenta cubrir.

El tercero es el de la **autoridad**. Hoy la SIC solo puede sancionar a privados; cuando el infractor es una entidad pública, el caso pasa a la Procuraduría. El proyecto de 2025 anunciado por el Gobierno Petro planteaba una unidad especializada de datos en la Procuraduría para disciplinar a servidores públicos, según recogió el portal Enter.co. A ello se suman la cuantía de las multas, que la reforma multiplica por cinco, y la protección de los menores, con la propuesta de que solo los mayores de 14 años autoricen el uso de sus propios datos.

## Preguntas frecuentes

**¿Qué regula la Ley 1581 de 2012?** El tratamiento de datos personales en Colombia: autorización del titular, principios, datos sensibles, derechos de acceso, rectificación y supresión, y la vigilancia de la SIC.

**¿Qué son los datos sensibles según la Ley 1581?** Los que revelan origen étnico, orientación política, religión, sindicación, salud, vida sexual y datos biométricos; su tratamiento está prohibido salvo autorización explícita u otras excepciones.

**¿Quién vigila la protección de datos en Colombia?** La Superintendencia de Industria y Comercio, con multas de hasta 2.000 salarios mínimos; si el infractor es una entidad pública, interviene la Procuraduría.

**¿Cuál es la multa más alta impuesta por la Ley 1581?** La de Claro en julio de 2023: 1.306 millones de pesos por recoger datos de «referidos» sin autorización en una campaña comercial.

**¿Se va a reformar la Ley 1581 de 2012?** El Congreso tramita desde agosto de 2026 el proyecto estatutario 282 de 2026 Cámara: biometría, inteligencia artificial y multas de hasta 10.000 salarios mínimos.