El habeas data es el derecho de cada persona a conocer, actualizar y rectificar lo que se sabe de ella en una base de datos. Para la empresa no es un concepto abstracto: es un conjunto de documentos y procedimientos que la Superintendencia de Industria y Comercio puede pedir en cualquier momento. Esta guía es la parte operativa de lo que explicamos en Ley 1581 de 2012 aplicada a gestión humana: allí está la clasificación de los datos y el caso de la salud ocupacional; aquí, qué documentos debe tener la empresa y quién tiene que inscribirse en el Registro Nacional de Bases de Datos.
Una aclaración de entrada, porque es la confusión más común: no toda empresa tiene que inscribirse en el RNBD, pero toda empresa que trata datos personales tiene que cumplir la Ley 1581. Son obligaciones distintas.
Qué exige el habeas data a una empresa: el mínimo verificable
| Documento o práctica | Quién está obligado | Fuente |
|---|---|---|
| Autorización previa e informada del titular | Todo responsable, salvo las excepciones del artículo 10 | Ley 1581, art. 9 |
| Política de tratamiento de la información | Todo responsable del tratamiento | Dec. 1074/2015, art. 2.2.2.25.3.1 |
| Aviso de privacidad (cuando no se puede entregar la política al recoger el dato) | Todo responsable | Dec. 1074/2015, arts. 2.2.2.25.3.2 y 2.2.2.25.3.3 |
| Manual interno de políticas y procedimientos, en especial para consultas y reclamos | Todo responsable | Ley 1581, art. 17, lit. k |
| Medidas de seguridad de la información | Responsables y encargados | Ley 1581, art. 17, lit. d |
| Inscripción en el Registro Nacional de Bases de Datos | Solo sociedades y ESAL con activos totales > 100.000 UVT y personas jurídicas públicas | Dec. 1074/2015, art. 2.2.2.26.1.2 (modificado por el Dec. 90/2018) |
Política de tratamiento de datos personales: el contenido mínimo
El artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 exige que la política conste en medio físico o electrónico, «en un lenguaje claro y sencillo», y que se ponga en conocimiento de los titulares. Su contenido mínimo:
- Nombre o razón social, domicilio, dirección, correo electrónico y teléfono del responsable.
- El tratamiento al que se someterán los datos y su finalidad, cuando no se haya informado en el aviso de privacidad.
- Los derechos del titular.
- La persona o el área responsable de atender peticiones, consultas y reclamos.
- El procedimiento para que los titulares ejerzan sus derechos a conocer, actualizar, rectificar y suprimir el dato y revocar la autorización.
- La fecha de entrada en vigencia de la política y el periodo de vigencia de la base de datos.
El error más frecuente es la política descargada: describe finalidades que la empresa no tiene —mercadeo, transferencias internacionales— y omite las que sí tiene, como la gestión de nómina, los exámenes médicos ocupacionales o el control de acceso con huella. La política tiene que describir los tratamientos reales.
¿Necesita resolverlo en su empresa con criterio técnico y evidencia? Un consultor de Tagline revisa su caso, sin costo.
Conversar por WhatsAppAviso de privacidad y autorización
El aviso de privacidad es la versión corta que se entrega en el momento de recoger el dato —en el formulario de ingreso, en la portería, en la página web— cuando no es posible entregar la política completa. Según el artículo 2.2.2.25.3.3 del Decreto 1074 de 2015 debe contener, como mínimo, el nombre y datos de contacto del responsable, el tratamiento y su finalidad, los derechos del titular y los mecanismos para conocer la política. Si se recogen datos sensibles —salud, biometría, afiliación sindical—, debe señalar expresamente que responder esas preguntas es facultativo.
La autorización, por su parte, debe ser «previa e informada» y obtenida «por cualquier medio que pueda ser objeto de consulta posterior» (artículo 9 de la Ley 1581): no basta con que el trabajador haya firmado el contrato; hay que poder mostrar qué autorizó y para qué.
Registro Nacional de Bases de Datos: quién debe inscribirse y quién no
El RNBD es el directorio público de bases de datos que administra la Superintendencia de Industria y Comercio (artículo 25 de la Ley 1581). Desde el Decreto 90 de 2018, el artículo 2.2.2.26.1.2 del Decreto 1074 de 2015 limita la obligación de inscribirse a:
- Sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT.
- Personas jurídicas de naturaleza pública.
Eso deja fuera a la mayoría de las pymes y a todas las personas naturales. Pero, como recuerda el propio Decreto 90 en sus consideraciones, quedar fuera del registro no exime del cumplimiento de la Ley 1581: la política, la autorización, el manual interno y la seguridad de la información se exigen igual. Quien sí está obligado debe inscribir cada base de datos de manera independiente (artículo 2.2.2.26.1.3) y actualizar la información cuando haya cambios sustanciales (artículo 2.2.2.26.3.3).
Habeas data en gestión humana: las bases que casi todas las empresas tienen
- Hojas de vida de candidatos, incluidos los no seleccionados: hay que definir cuánto tiempo se conservan y para qué.
- Expedientes laborales y nómina: datos de afiliación, cuentas bancarias, beneficiarios.
- Datos de salud: el empleador recibe el concepto médico ocupacional, no la historia clínica, que es reservada (Resolución 1843 de 2025, artículos 19 y 31). Lo explicamos en exámenes médicos ocupacionales.
- Biometría y videovigilancia: huella para el control de acceso o cámaras son datos sensibles o personales que requieren aviso y finalidad declarada.
Proveedores que tratan datos por cuenta de la empresa
La empresa sigue siendo responsable cuando entrega los datos a un tercero para que los procese: el operador de nómina, la plataforma de selección, el proveedor de exámenes médicos, el servicio de nube. Ese tercero es un encargado del tratamiento, y el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015 exige un contrato que señale los alcances del tratamiento, las actividades que el encargado hará por cuenta del responsable y sus obligaciones con el titular y con la empresa. Mediante ese contrato el encargado se compromete a aplicar la política de tratamiento del responsable y a tratar los datos solo para la finalidad autorizada. Sin ese contrato, la empresa no puede demostrar qué hizo el proveedor con la información.
Lo que cuesta no cumplir
El artículo 23 de la Ley 1581 de 2012 faculta a la Superintendencia de Industria y Comercio para imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes, que «podrán ser sucesivas mientras subsista el incumplimiento», además de suspender actividades de tratamiento hasta por seis meses y ordenar el cierre temporal, o el inmediato y definitivo cuando se trata de datos sensibles. El habeas data es, además, uno de los frentes de un programa de cumplimiento empresarial.
En Tagline levantamos el inventario de bases de datos de gestión humana, redactamos la política y los avisos con los tratamientos reales y definimos el procedimiento de consultas y reclamos. No representamos a la empresa ante la Superintendencia ni emitimos conceptos jurídicos.