--- title: "Habeas data en tu página web: guía de la Ley 1581 — Dardo" description: "Lo que la Ley 1581 exige a tu web: política, aviso, autorización con prueba, cookies, RNBD, plazos de respuesta y multas reales de la SIC. Con checklist." url: "https://dardo.studio/es/blog/habeas-data-pagina-web/" language: "es" updated: "2026-10-17T23:40:34.270Z" --- [Blog](https://dardo.studio/es/blog/) # Habeas data en tu página web: qué exige la Ley 1581 en formularios, cookies y analítica Política de tratamiento, aviso de privacidad, autorización en formularios, cookies, RNBD y plazos: lo que la Ley 1581 le exige a una web en Colombia. Por [Nicolás Cerón](https://dardo.studio/es/nicolas-ceron/) ·17 de octubre de 2026 ![Archivo antiguo de noche, con muebles de cajones en la penumbra y, sobre un escritorio iluminado por una lámpara, un paquete de carpetas atado con una cinta carmesí.](https://dardo.studio/_astro/01M563SW9K0HARG0GFPFK500Q7_2h1USl.webp) ## Puntos clave - La Ley 1581 de 2012 aplica a toda empresa en Colombia que recoja datos personales en su web, sin importar su tamaño; solo el registro en el RNBD depende de los activos. - Un sitio necesita una política de tratamiento con seis contenidos mínimos, un aviso de privacidad junto a cada formulario y una autorización previa, expresa e informada de la que se guarde prueba. - El silencio nunca cuenta como autorización, así que una casilla sin marcar por cada finalidad es la forma más segura de pedirla. - Las consultas se responden en 10 días hábiles y los reclamos en 15, con prórrogas de 5 y 8 días hábiles avisando el motivo. - La SIC puede multar hasta 2.000 salarios mínimos, unos COP 3.502 millones en 2026, y ha sancionado campañas de referidos, contactos comerciales sin autorización y el uso obligatorio de biometría. ## La respuesta corta Si tu página web recoge nombres, correos, teléfonos o cualquier dato que identifique a una persona, en Colombia te aplica la [Ley 1581 de 2012](http://www.secretariasenado.gov.co/senado/basedoc/ley%5F1581%5F2012.html), sin importar el tamaño de tu empresa. En la práctica eso exige cuatro cosas en el sitio: una política de tratamiento publicada, un aviso de privacidad donde recoges los datos, una autorización previa, expresa e informada de la que guardes prueba, y un canal para que la gente consulte o reclame, con respuestas en 10 y 15 días hábiles. El registro de bases de datos ante la Superintendencia de Industria y Comercio (SIC) solo es obligatorio para sociedades y entidades sin ánimo de lucro con activos de más de 100.000 UVT y para entidades públicas. Las multas llegan hasta 2.000 salarios mínimos, unos COP 3.502 millones en 2026. Esto no es asesoría legal: si tratas datos sensibles o de menores, consulta con un abogado. ## Qué normas aplican, en una línea cada una - [**Ley 1581 de 2012**](http://www.secretariasenado.gov.co/senado/basedoc/ley%5F1581%5F2012.html): la ley de protección de datos personales (el "habeas data" general). Define qué es un dato personal, los principios, los derechos de los titulares, los deberes y las sanciones. - **Decreto 1377 de 2013**: reglamenta la autorización, las políticas y el aviso de privacidad. Hoy está compilado en el [Decreto 1074 de 2015](https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608), Capítulo 25 del Título 2, Parte 2, Libro 2 (artículos 2.2.2.25.1.1 y siguientes). Por eso verás citas dobles, como "artículo 7 del Decreto 1377, hoy 2.2.2.25.2.4". - **Decreto 886 de 2014 y Decreto 090 de 2018**: el Registro Nacional de Bases de Datos (RNBD), en el Capítulo 26 del mismo Decreto 1074. - **Circular Externa 005 de 2017 de la SIC**: los países a los que puedes transferir datos. La ley define dato personal como "cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (artículo 3). Un formulario de contacto, un newsletter, una cuenta de cliente, un chat o un píxel que identifique visitantes caen ahí. Y la SIC lo dice sin rodeos en sus [preguntas frecuentes del RNBD](https://www.sic.gov.co/preguntas-frecuentes-rnbd): el régimen "es aplicable a todas las sociedades y entidades en Colombia sin excepción". ## La política de tratamiento: lo que debe decir Es el documento completo, normalmente una página enlazada en el pie del sitio. El artículo 2.2.2.25.3.1 del [Decreto 1074](https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608) exige que esté "en un lenguaje claro y sencillo" e incluya, como mínimo: 1. Nombre o razón social, domicilio, dirección, correo y teléfono del responsable. 2. El tratamiento que se hará de los datos y su finalidad. 3. Los derechos del titular. 4. La persona o el área que atiende peticiones, consultas y reclamos. 5. El procedimiento para conocer, actualizar, rectificar y suprimir datos y revocar la autorización. 6. La fecha de entrada en vigencia y el período de vigencia de la base de datos. Si cambias algo sustancial, como quién eres o para qué usas los datos, debes avisar antes de aplicarlo; y si cambia la finalidad, pedir una autorización nueva (artículo 2.2.2.25.2.2). Copiar la política de otra empresa no sirve: tiene que describir tus bases de datos, tus finalidades y tus proveedores reales. ## El aviso de privacidad: lo que va junto al formulario El aviso es la versión corta que la persona ve cuando entrega sus datos. Según los artículos 2.2.2.25.3.2 y 2.2.2.25.3.3, debe darse "a más tardar al momento de la recolección" y contener como mínimo: - Nombre o razón social y datos de contacto del responsable. - El tratamiento y la finalidad. - Los derechos del titular. - Cómo consultar la política completa y enterarse de sus cambios. Si pides datos sensibles, el aviso debe decir expresamente que responder esas preguntas es opcional. En un sitio web, el aviso cabe en dos o tres líneas encima del botón de enviar, con un enlace a la política. ## La autorización en tus formularios La [Ley 1581](http://www.secretariasenado.gov.co/senado/basedoc/ley%5F1581%5F2012.html) exige "la autorización previa e informada del Titular, la cual deberá ser obtenida por cualquier medio que pueda ser objeto de consulta posterior" (artículo 9). Su artículo 12 dice qué debes informar al pedirla: el tratamiento y la finalidad, que las preguntas sobre datos sensibles o de menores son opcionales, los derechos del titular y tu identificación, dirección y teléfono. El reglamento acepta tres formas de autorizar (artículo 2.2.2.25.2.4): > Se entenderá que la autorización cumple con estos requisitos cuando se manifieste (i) por escrito, (ii) de forma oral o (iii) mediante conductas inequívocas del titular que permitan concluir de forma razonable que otorgó la autorización. En ningún caso el silencio podrá asimilarse a una conducta inequívoca. Fuente: [Decreto 1074 de 2015](https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608), que compila el artículo 7 del Decreto 1377. Cómo se traduce eso en un formulario web: - **Casilla vacía que la persona marca.** Una casilla que ya viene marcada se parece más al silencio que a una conducta inequívoca. Es nuestra lectura de la norma, y es la opción que deja menos dudas. - **Una casilla por finalidad distinta.** El reglamento pide informar "todas las finalidades específicas" (artículo 2.2.2.25.2.2). Responder una cotización y enviar publicidad son finalidades distintas: si el newsletter va en la misma casilla que la consulta, no puedes demostrar que la persona quiso el newsletter. - **Guarda la prueba.** Los responsables "deberán conservar prueba de la autorización" (artículo 2.2.2.25.2.5). Con cada envío, guarda la fecha y la hora, el formulario, la versión del texto de autorización que vio la persona y qué casillas marcó. Un correo que llega a tu bandeja no es una buena prueba si no sabes qué decía el formulario ese día. - **No pidas lo que no usas.** La [guía de la SIC sobre comercio electrónico](https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20SIC%20Tratamiento%20Datos%20Personales%20ComercioElectronico%281).pdf) recomienda "recolectar los datos estrictamente necesarios". Cada campo de más es un dato más que proteger. La autorización no hace falta en algunos casos (artículo 10 de la ley), como datos de naturaleza pública u órdenes de una autoridad. Esos casos rara vez cubren un formulario de contacto o una lista de correo. ## Datos sensibles y de menores Son sensibles, entre otros, los datos de salud, vida sexual, origen étnico, opiniones políticas, convicciones religiosas y los datos biométricos (artículo 5 de la ley). Su tratamiento está prohibido salvo excepciones, la principal de ellas la autorización explícita del titular (artículo 6). Además, debes decir cuáles datos son sensibles, que no está obligado a darlos, y nunca condicionar un servicio a que los entregue (artículo 2.2.2.25.2.3). Esto le importa a una web más de lo que parece: un formulario de una clínica, un test de salud, un inicio de sesión con reconocimiento facial o una verificación de identidad con selfi recogen datos sensibles. Con niños, niñas y adolescentes, el tratamiento solo es posible si responde a su interés superior y respeta sus derechos fundamentales, con autorización de su representante legal (artículo 2.2.2.25.2.9). ## Cookies y analítica: lo que dice (y no dice) la SIC La Ley 1581 no menciona las cookies. Revisamos el [centro de publicaciones de la SIC](https://www.sic.gov.co/centro-de-publicaciones?field%5Fglobal%5Ftopic%5Ftid=7037&field%5Fanos%5Fp%5Fvalue=All) el 17 de octubre de 2026 y no encontramos una guía específica sobre cookies. Sus guías más cercanas, la de [comercio electrónico](https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20SIC%20Tratamiento%20Datos%20Personales%20ComercioElectronico%281).pdf) y la de [marketing y publicidad](https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20marketing%2C%20publicidad%20y%20tratamiento%20de%20datos%202019.pdf), ambas de 2019, piden privacidad desde el diseño y por defecto, pero no hablan de cookies. Lo que sí aplica es la definición de dato personal. Una cookie que solo recuerda el idioma no identifica a nadie. Un identificador de visitante que se cruza con un correo en tu CRM, un píxel publicitario o una grabación de sesión ligada a un usuario con cuenta sí pueden "asociarse" a una persona determinable, y entonces les aplica todo lo anterior: finalidad informada, autorización y posibilidad de oponerse. En la práctica hay dos maneras de hacerlo, con distinto nivel de riesgo: | Enfoque | Cómo funciona | Riesgo | | ---------------------------- | -------------------------------------------------------------------------------- | ------------------------------------------------ | | Consentimiento previo | La analítica y los píxeles no cargan hasta que la persona acepta en un aviso | El más bajo; pierdes datos de quien no acepta | | Aviso y opción de desactivar | La analítica mínima carga, la política la explica y hay un control para apagarla | Discutible si la herramienta identifica personas | En [dardo.studio](https://dardo.studio/es/privacidad/) usamos el segundo enfoque para la analítica, con la publicidad desactivada, los formularios excluidos de las grabaciones y las señales Do Not Track y Global Privacy Control respetadas. Es una decisión de diseño, no la única lectura posible de la ley. Si usas píxeles publicitarios o identificas a usuarios con nombre y correo dentro de tu herramienta de analítica, el consentimiento previo es la opción prudente. En [PostHog vs Google Analytics](https://dardo.studio/es/blog/ga4-vs-posthog/) explicamos cómo configurar el consentimiento en cada una. ## Tu hosting, tu CRM y tu analítica en Estados Unidos Casi toda web colombiana envía datos fuera del país: el hosting, el correo, el CRM o la herramienta de analítica suelen estar en Estados Unidos. La ley distingue dos casos (artículo 2.2.2.25.1.3): - **Transmisión:** el proveedor trata los datos por tu cuenta, como un hosting o un CRM. No necesitas informar al titular ni pedir su consentimiento si firmas con el proveedor un contrato que fije el alcance del tratamiento y sus obligaciones de seguridad y confidencialidad (artículos 2.2.2.25.5.1 y 2.2.2.25.5.2). Muchos proveedores publican un acuerdo de tratamiento de datos (DPA); revisa que cubra lo que pide la norma: el alcance, las actividades que hará el proveedor y sus obligaciones de seguridad y confidencialidad. - **Transferencia:** le entregas los datos a otro responsable que los usa para sus propios fines. Solo se permite hacia países con un nivel adecuado de protección, salvo excepciones (artículo 26 de la ley). La [Circular Externa 005 de 2017](https://www.sic.gov.co/sites/default/files/normatividad/082017/Circular%5FExterna%5F005%5Fde%5F2017.pdf) de la SIC enumera los países con nivel adecuado de protección: los países de la Unión Europea que nombra uno por uno, el Reino Unido, Noruega, Islandia, Costa Rica, México, Perú, Serbia, la República de Corea y los Estados Unidos de América, además de los que la Comisión Europea haya declarado adecuados. Aun así, la circular aclara que sigues obligado a demostrar que protegiste los datos que envías. ## El Registro Nacional de Bases de Datos: quién debe inscribirse Según el artículo 2.2.2.26.1.2 del [Decreto 1074](https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608), modificado por el Decreto 090 de 2018, deben inscribir sus bases de datos en el RNBD: - Las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT. - Las personas jurídicas de naturaleza pública. Con la UVT de 2025 que publica la [DIAN](https://micrositios.dian.gov.co/renta-personas-naturales-ag-2025/) (COP 49.799), 100.000 UVT equivalen a COP 4.979.900.000; usa la UVT del año que corresponda a tus estados financieros. Si estás por debajo, no te inscribes, pero la ley te aplica igual. Los plazos iniciales vencieron entre 2018 y 2019. Hoy, una base de datos nueva se inscribe dentro de los dos meses siguientes a su creación (artículo 2.2.2.26.3.1), y según las [preguntas frecuentes de la SIC](https://www.sic.gov.co/preguntas-frecuentes-rnbd) la información se actualiza dentro de los primeros diez días hábiles de cada mes cuando hay cambios sustanciales, y además cada año entre el 2 de enero y el 31 de marzo. Un cambio de CRM o de proveedor en otro país cuenta como cambio sustancial. El registro se hace en el [sitio del RNBD](https://www.sic.gov.co/registro-nacional-de-bases-de-datos). ## Consultas y reclamos: los plazos que tienes Lo que en otros países llaman derechos ARCO, en Colombia son los derechos a conocer, actualizar, rectificar, suprimir y revocar la autorización (artículo 8). La ley fija los tiempos de respuesta: | Solicitud | Plazo | Prórroga máxima | Fuente | | ------------------------------------ | ------------------------------------------------------------------ | ---------------------------------------------------- | --------------------- | | Consulta (qué datos tienes de mí) | 10 días hábiles desde que la recibes | 5 días hábiles más, avisando el motivo | Ley 1581, artículo 14 | | Reclamo (corregir, suprimir o queja) | 15 días hábiles desde el día siguiente a recibirlo | 8 días hábiles más, avisando el motivo | Ley 1581, artículo 15 | | Reclamo incompleto | Pides que lo completen dentro de los 5 días siguientes a recibirlo | Si en 2 meses no lo completan, se entiende desistido | Ley 1581, artículo 15 | | Leyenda "reclamo en trámite" | Máximo 2 días hábiles tras recibir el reclamo completo | Se mantiene hasta decidir | Ley 1581, artículo 15 | Debes designar una persona o un área que atienda estas solicitudes (artículo 2.2.2.25.4.4). En una empresa pequeña puede ser un correo dedicado con alguien responsable de responderlo a tiempo; ponlo en la política y en el aviso. ## Sanciones: lo que dice la ley y lo que ha hecho la SIC El artículo 23 de la [Ley 1581](http://www.secretariasenado.gov.co/senado/basedoc/ley%5F1581%5F2012.html) permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales, sucesivas mientras siga el incumplimiento, suspender actividades de tratamiento hasta seis meses, cerrarlas temporalmente y, si se trata de datos sensibles, ordenar el cierre inmediato y definitivo. Con el salario mínimo de 2026, COP 1.750.905 según el [Ministerio del Trabajo](https://www.mintrabajo.gov.co/web/guest/-el-salario-m%C3%ADnimo-no-se-baja-y-nadie-tiene-que-devolver-un-solo-peso-gobierno-nacional), el tope es de COP 3.501.810.000. Cuatro casos recientes, todos publicados por la SIC, que tocan prácticas comunes en sitios web y campañas: | Empresa | Qué hizo | Decisión de la SIC | | -------------------------------------- | -------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Comcel (Claro) | Pidió a sus clientes números de "referidos" para venderles, sin autorización de esas personas | Multa de COP 1.306.289.600 y orden de borrar esas bases ([6 de julio de 2023](https://sedeelectronica.sic.gov.co/noticias/superindustria-impone-la-sancion-mas-alta-por-el-indebido-tratamiento-de-datos-personales-claro-por-su-campana-amigos-que-te-premian)) | | Mercado Libre Colombia | Condicionó el acceso a la cuenta al reconocimiento facial y se negó a borrar los datos biométricos | Multa de COP 214.405.120 y orden de ofrecer otros métodos en la web y la app ([9 de mayo de 2025](https://sedeelectronica.sic.gov.co/noticias/la-sic-sanciona-mercado-libre-por-violacion-al-regimen-de-datos-personales-y-le-imparte-una-serie-de-ordenes-administrativas)) | | Colombia Telecomunicaciones (Movistar) | Contactó por SMS, WhatsApp y llamadas a usuarios de otro operador sin autorización | Multa de COP 670 millones, confirmada con la Resolución 78138 de 2025 ([29 de octubre de 2025](https://sedeelectronica.sic.gov.co/comunicado/la-sic-sanciona-movistar-por-tratamiento-indebido-de-datos-personales-con-fines-de-prospeccion-comercial)) | | World Foundation y Tools for Humanity | Recogió imágenes del iris a cambio de dinero, sin políticas ni canal de reclamos | Cierre definitivo de su tratamiento de datos en Colombia, confirmado con la Resolución 45710 de 2026 ([8 de julio de 2026](https://sedeelectronica.sic.gov.co/comunicado/la-sic-confirma-la-sancion-de-cierre-inmediato-y-definitivo-de-la-operacion-de-tratamiento-de-datos-sensibles-adelantada-por-world)) | La SIC también informó que en 2025, hasta agosto, había abierto 101 investigaciones e impuesto multas por COP 5.157 millones por violaciones a esta ley ([14 de agosto de 2025](https://sedeelectronica.sic.gov.co/noticias/por-violacion-las-normas-de-proteccion-de-datos-personales-la-superintendencia-de-industria-y-comercio-ha-iniciado-101-investigaciones-e)). Y hay una reforma en curso: el Gobierno radicó en agosto de 2025 un proyecto que, según la [SIC](https://sedeelectronica.sic.gov.co/noticias/gobierno-nacional-radico-proyecto-de-ley-para-actualizar-la-normatividad-vigente-en-la-proteccion-de-datos-personales-en-colombia), subiría las multas hasta 10.000 salarios mínimos o el 5 % de los ingresos operacionales. Mientras no se apruebe, rige la Ley 1581. ## Lista de verificación para tu sitio web | Qué revisar | Qué pide la norma | Dónde va en el sitio | Fuente | | ------------------------------ | ------------------------------------------------------------- | ------------------------------------------------------ | ------------------------------------------------------- | | Política de tratamiento | Seis contenidos mínimos, lenguaje claro | Página propia enlazada en el pie y en cada formulario | Decreto 1074, art. 2.2.2.25.3.1 | | Aviso de privacidad | Responsable, finalidad, derechos y cómo ver la política | Junto a cada formulario, antes de enviar | Decreto 1074, arts. 2.2.2.25.3.2 y 3.3 | | Autorización | Previa, expresa e informada; el silencio no vale | Casilla sin marcar con texto y enlace | Ley 1581, arts. 9 y 12; Decreto 1074, art. 2.2.2.25.2.4 | | Una autorización por finalidad | Informar todas las finalidades específicas | Casilla aparte para newsletter o publicidad | Decreto 1074, art. 2.2.2.25.2.2 | | Prueba de la autorización | Conservarla | Fecha, hora, formulario y versión del texto en tu base | Decreto 1074, art. 2.2.2.25.2.5 | | Datos sensibles | Autorización explícita, opcional, sin condicionar el servicio | Solo si son indispensables, marcados como opcionales | Ley 1581, arts. 5 y 6 | | Menores de edad | Interés superior y autorización del representante | Sitios para colegios, salud o juegos | Decreto 1074, art. 2.2.2.25.2.9 | | Canal de consultas y reclamos | Respuesta en 10 y 15 días hábiles | Correo o formulario en la política | Ley 1581, arts. 14 y 15 | | Proveedores que tratan datos | Contrato de transmisión con obligaciones | Inventario y DPA de hosting, CRM, correo y analítica | Decreto 1074, art. 2.2.2.25.5.2 | | Datos fuera de Colombia | País con nivel adecuado o excepción | Inventario de dónde está cada base | Ley 1581, art. 26; Circular 005 de 2017 | | Cookies y analítica | La ley no las nombra; si identifican, son datos personales | Aviso, control para desactivar o consentimiento previo | Ley 1581, art. 3 | | Seguridad | Medidas contra pérdida y acceso no autorizado | HTTPS, accesos, copias de seguridad | Ley 1581, art. 17 | | RNBD | Solo con activos de más de 100.000 UVT o entidad pública | Inscripción y actualización anual | Decreto 1074, arts. 2.2.2.26.1.2 y 2.2.2.26.3.1 | ## Qué hacer ahora Haz un inventario de una página: qué formularios, chats, cuentas, píxeles y herramientas recogen datos en tu sitio, para qué y dónde quedan. Con eso, la política, el aviso y las casillas casi se escriben solos, y si necesitas apoyo legal llegarás con la tarea hecha. Si vas a rehacer tu sitio, ponlo en el [brief de tu página web](https://dardo.studio/es/herramientas/brief-pagina-web/) para que el presupuesto lo incluya, y ten en cuenta [cuánto cuesta una página web en Colombia](https://dardo.studio/es/blog/cuanto-cuesta-una-pagina-web-colombia/) cuando compares cotizaciones. En Dardo construimos formularios con autorización y registro de prueba en nuestro servicio de [desarrollo web](https://dardo.studio/es/servicios/desarrollo-web/), y configuramos la analítica con su control de privacidad en [configuración de analítica web](https://dardo.studio/es/servicios/configuracion-de-analitica-web/). ## Preguntas frecuentes **¿Mi página web necesita una política de tratamiento de datos?** Sí, si recoge datos personales, por ejemplo con un formulario de contacto, un newsletter o cuentas de usuario. El Decreto 1074 de 2015 exige que la política esté en lenguaje claro e incluya como mínimo quién es el responsable, la finalidad, los derechos del titular, quién atiende las solicitudes, el procedimiento y la fecha de vigencia. **¿Cómo debe ser la autorización de datos personales en un formulario web?** Previa, expresa e informada: antes de enviar, la persona debe saber quién trata sus datos, para qué y qué derechos tiene, y aceptarlo con una acción clara. El reglamento dice que el silencio nunca es una conducta inequívoca, así que lo más seguro es una casilla sin marcar por cada finalidad. Además, debes guardar prueba de esa autorización. **¿Tengo que registrar mi base de datos en el RNBD?** Solo si eres una sociedad o entidad sin ánimo de lucro con activos totales de más de 100.000 UVT, o una entidad pública. Con la UVT de 2025 eso es unos COP 4.980 millones. Las bases nuevas se inscriben dentro de los dos meses siguientes a su creación y la información se actualiza cada año entre el 2 de enero y el 31 de marzo. **¿Necesito un aviso de cookies en mi página web en Colombia?** La Ley 1581 no menciona las cookies y la SIC no tiene una guía específica sobre ellas. Pero si una cookie o un píxel permite asociar información a una persona, es un dato personal y aplican la finalidad informada y la autorización. Pedir consentimiento antes de cargar píxeles publicitarios o herramientas que identifican usuarios es la opción más prudente. **¿En cuánto tiempo debo responder una solicitud sobre datos personales?** Una consulta se responde en máximo 10 días hábiles desde que la recibes, prorrogables 5 días hábiles avisando el motivo. Un reclamo para corregir o suprimir datos se resuelve en 15 días hábiles, prorrogables 8 días hábiles. Ambos plazos están en los artículos 14 y 15 de la Ley 1581. **¿Puedo guardar los datos de mis clientes en servidores de Estados Unidos?** Sí. Estados Unidos está en la lista de países con nivel adecuado de protección de la Circular Externa 005 de 2017 de la SIC. Si el proveedor solo trata los datos por tu cuenta, como un hosting o un CRM, firma con él un contrato de transmisión que fije el alcance y sus obligaciones de seguridad y confidencialidad. **¿De cuánto es la multa por incumplir la Ley 1581?** Hasta 2.000 salarios mínimos mensuales, que con el salario mínimo de 2026 son COP 3.501.810.000, y pueden ser sucesivas mientras siga el incumplimiento. La SIC también puede suspender o cerrar las operaciones de tratamiento. Ha multado, por ejemplo, a Claro con COP 1.306 millones y a Mercado Libre con COP 214 millones. ## Fuentes y lecturas Fuentes de esta página, con más detalles de sus publicaciones originales. - [Secretaría del Senado: Ley 1581 de 2012](http://www.secretariasenado.gov.co/senado/basedoc/ley%5F1581%5F2012.html) · secretariasenado.gov.co - [Función Pública: Decreto 1074 de 2015 (compila el Decreto 1377 de 2013 y el Decreto 090 de 2018)](https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=76608) · funcionpublica.gov.co - [SIC: Circular Externa 005 de 2017, transferencia internacional de datos](https://www.sic.gov.co/sites/default/files/normatividad/082017/Circular%5FExterna%5F005%5Fde%5F2017.pdf) · sic.gov.co - [SIC: Registro Nacional de Bases de Datos](https://www.sic.gov.co/registro-nacional-de-bases-de-datos) · sic.gov.co - [SIC: Preguntas frecuentes del RNBD](https://www.sic.gov.co/preguntas-frecuentes-rnbd) · sic.gov.co - [SIC: Guía sobre el tratamiento de datos personales para fines de comercio electrónico (2019)](https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20SIC%20Tratamiento%20Datos%20Personales%20ComercioElectronico%281%29.pdf) · sic.gov.co - [SIC: Guía sobre el tratamiento de datos personales para fines de marketing y publicidad (2019)](https://www.sic.gov.co/sites/default/files/files/pdf/Guia%20marketing%2C%20publicidad%20y%20tratamiento%20de%20datos%202019.pdf) · sic.gov.co - [SIC: Centro de publicaciones, protección de datos personales](https://www.sic.gov.co/centro-de-publicaciones?field%5Fglobal%5Ftopic%5Ftid=7037&field%5Fanos%5Fp%5Fvalue=All) · sic.gov.co - [DIAN: Renta personas naturales año gravable 2025 (UVT 2025)](https://micrositios.dian.gov.co/renta-personas-naturales-ag-2025/) · micrositios.dian.gov.co - [Ministerio del Trabajo: el salario mínimo de 2026 continúa vigente](https://www.mintrabajo.gov.co/web/guest/-el-salario-m%C3%ADnimo-no-se-baja-y-nadie-tiene-que-devolver-un-solo-peso-gobierno-nacional) · mintrabajo.gov.co - [SIC: Sanción a Claro por la campaña Amigos que te premian](https://sedeelectronica.sic.gov.co/noticias/superindustria-impone-la-sancion-mas-alta-por-el-indebido-tratamiento-de-datos-personales-claro-por-su-campana-amigos-que-te-premian) · sedeelectronica.sic.gov.co - [SIC: Sanción a Mercado Libre por datos biométricos](https://sedeelectronica.sic.gov.co/noticias/la-sic-sanciona-mercado-libre-por-violacion-al-regimen-de-datos-personales-y-le-imparte-una-serie-de-ordenes-administrativas) · sedeelectronica.sic.gov.co - [SIC: Sanción a Movistar por prospección comercial sin autorización](https://sedeelectronica.sic.gov.co/comunicado/la-sic-sanciona-movistar-por-tratamiento-indebido-de-datos-personales-con-fines-de-prospeccion-comercial) · sedeelectronica.sic.gov.co - [SIC: Confirmación del cierre de la operación de World Foundation y Tools for Humanity](https://sedeelectronica.sic.gov.co/comunicado/la-sic-confirma-la-sancion-de-cierre-inmediato-y-definitivo-de-la-operacion-de-tratamiento-de-datos-sensibles-adelantada-por-world) · sedeelectronica.sic.gov.co - [SIC: 101 investigaciones y COP 5.157 millones en multas en 2025](https://sedeelectronica.sic.gov.co/noticias/por-violacion-las-normas-de-proteccion-de-datos-personales-la-superintendencia-de-industria-y-comercio-ha-iniciado-101-investigaciones-e) · sedeelectronica.sic.gov.co - [SIC: Gobierno radicó proyecto de ley para actualizar la protección de datos personales](https://sedeelectronica.sic.gov.co/noticias/gobierno-nacional-radico-proyecto-de-ley-para-actualizar-la-normatividad-vigente-en-la-proteccion-de-datos-personales-en-colombia) · sedeelectronica.sic.gov.co [Nicolás Cerón](https://dardo.studio/es/nicolas-ceron/) Nicolás Cerón es el fundador de Dardo, un estudio de marca, diseño y desarrollo web en Bogotá, Colombia. ## Artículos relacionados - [**PostHog vs Google Analytics: cuál necesita tu sitio o producto SaaS y cuándo usar las dos**GA4 se conecta con Google Ads y Search Console; PostHog suma replay, feature flags y experimentos. Cuál necesitas, cuánto cuesta cada una y cómo usarlas juntas.](https://dardo.studio/es/blog/ga4-vs-posthog/) - [**¿Cuánto cuesta una página web en Colombia en 2026? Precios reales y qué mueve la cotización**Precios publicados y fechados de empresas de Bogotá, los costos fijos de dominio y hosting, y los factores que de verdad mueven una cotización.](https://dardo.studio/es/blog/cuanto-cuesta-una-pagina-web-colombia/) - [**Pasarelas de pago en Colombia 2026: comisiones de Wompi, Bold, Mercado Pago, ePayco y PayU**Comisiones publicadas de Wompi, Bold, Mercado Pago, ePayco y PayU el 17 de octubre de 2026, con IVA, retenciones, plazos de pago y el costo real por venta.](https://dardo.studio/es/blog/pasarelas-de-pago-colombia/) - [**Shopify, Tiendanube o WooCommerce en Colombia: precios 2026 y costo real a tres años**Planes, cargo por venta, pasarelas, factura electrónica DIAN y envíos de Shopify, Tiendanube y WooCommerce en Colombia, con el costo de cada una a tres años.](https://dardo.studio/es/blog/shopify-tiendanube-woocommerce-colombia/) ## Sigue explorando. - [Servicio · **Desarrollo web para Estados Unidos y Latinoamérica**](https://dardo.studio/es/servicios/desarrollo-web/) - [Tu proyecto · **Inicia una conversación**](https://dardo.studio/es/contacto/)