La Ley 1581 de 2012 es el régimen general de protección de datos personales en Colombia: desarrolla el derecho constitucional de hábeas data —conocer, actualizar y rectificar la información recogida sobre uno— y fija las reglas para tratar cualquier base de datos, pública o privada. Se discute casi siempre en clave de marketing y comercio electrónico. Pero el área que más datos sensibles maneja en una empresa colombiana no es mercadeo: es gestión humana.

La clasificación que decide todo

La ley separa los datos en públicos, semiprivados, privados y sensibles, y la última categoría cambia el régimen por completo. El artículo 5 define como sensibles los que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, y enumera: origen racial o étnico, orientación política, convicciones religiosas o filosóficas, pertenencia a sindicatos u organizaciones sociales o de derechos humanos, información relativa a la salud, a la vida sexual y los datos biométricos.

El artículo 6 es tajante: el tratamiento de datos sensibles está prohibido, salvo excepciones tasadas. La primera de ellas es que el titular haya dado su autorización explícita. Es decir: en datos sensibles no se parte de la libertad de tratar y luego se buscan límites; se parte de la prohibición.

Tres ejemplos que aparecen en cualquier operación de gestión humana en Colombia y que casi nunca se leen así:

  • El diagnóstico detrás de una incapacidad es un dato de salud. Circula por correo, se archiva en una carpeta compartida y a veces se anota en un cuadro de ausentismo con el nombre del trabajador. Cada uno de esos pasos es tratamiento de dato sensible.
  • La marcación biométrica —huella, rostro— es dato biométrico. El lector se instala por conveniencia operativa, no por decisión informada, y rara vez existe una autorización explícita con finalidad declarada.
  • La afiliación sindical es sensible. Segmentar un reporte por esa variable es, además del riesgo legal, la vía más corta a que se alegue uso indebido.

Qué exige el Decreto 1377 para los datos sensibles (y nadie hace)

El Decreto 1377 de 2013, que reglamenta la ley, añade en su artículo 6 tres obligaciones específicas cuando el tratamiento de datos sensibles sí es posible:

  1. Informar al titular que, por tratarse de datos sensibles, no está obligado a autorizar su tratamiento. Esta frase debe estar y casi nunca está.
  2. Informarle de forma explícita y previa cuáles de los datos son sensibles y con qué finalidad se tratan.
  3. Obtener su consentimiento expreso.

Su artículo 5 exige además solicitar la autorización «a más tardar en el momento de la recolección», informando qué datos se recogen y todas las finalidades específicas. Y el artículo 11 pone el límite temporal: los datos solo pueden conservarse «durante el tiempo que sea razonable y necesario» según la finalidad; cumplida esta, procede la supresión, salvo obligación legal o contractual de conservarlos.

Ese artículo 11 es el que convierte una «base de talentos» acumulada durante años en una contingencia. La hoja de vida de quien no fue seleccionado se recogió para un proceso concreto que ya terminó. Mantenerla indefinidamente sin política de conservación ni canal de supresión no es previsión: es tratamiento sin finalidad vigente. El punto se desarrolla en el post sobre headhunting y sus límites.

Salud ocupacional: la línea ya estaba trazada

En el frente de seguridad y salud, la separación entre el dato clínico y la información de gestión es explícita en la norma sectorial, no solo en la 1581.

La Resolución 1843 de 2025, que regula las evaluaciones médicas ocupacionales, ordena que el diagnóstico de salud «deberá elaborarse de forma general y no podrá incluir datos personales ni individualizados de los trabajadores», y en su artículo 30 mantiene la custodia de la historia clínica en el prestador que generó la atención, con conservación mínima de veinte años. Su matiz nuevo tampoco es una licencia: el empleador puede anexar copia a la hoja de vida solo con autorización expresa del trabajador y teniendo médico especialista en seguridad y salud en el trabajo o servicio de medicina laboral habilitado. El detalle operativo está en evaluaciones médicas ocupacionales.

Lo mismo ocurre con la evaluación psicosocial: el artículo 5 de la Resolución 2764 de 2022 dispone que, cuando la Batería la aplica la IPS de salud ocupacional, los instrumentos se integran a la historia clínica ocupacional. Son datos de salud con reserva. Llevar esos resultados individuales a un tablero por áreas expone a la empresa en lugar de informarla —por eso el riesgo psicosocial se reporta agregado, y por eso no se confunde con la medición de clima organizacional, que es voluntaria y de gestión.

Lo que la empresa debe poder mostrar

El artículo 17 lista los deberes del responsable del tratamiento. Cuatro son los que se revisan primero cuando llega un reclamo:

  • Conservar copia de la autorización otorgada por el titular (literal b). No basta con haberla pedido: hay que poder probarla.
  • Informar debidamente la finalidad de la recolección y los derechos que asisten al titular.
  • Conservar la información con condiciones de seguridad que impidan adulteración, pérdida, consulta o acceso no autorizado.
  • Garantizar en todo tiempo el ejercicio del hábeas data.

Y hay plazos concretos. Una consulta se atiende en máximo diez días hábiles, prorrogables por cinco más informando los motivos (artículo 14). Un reclamo se atiende en máximo quince días hábiles desde el día siguiente a su recibo, prorrogables por ocho; si llega incompleto, hay cinco días para requerir la subsanación, y el trámite exige incluir en la base la leyenda «reclamo en trámite» dentro de los dos días hábiles siguientes (artículo 15). Antes de quejarse ante la Superintendencia de Industria y Comercio, el titular debe agotar ese trámite interno —el artículo 16 lo llama requisito de procedibilidad—, lo que significa que la primera oportunidad de resolver bien siempre la tiene la empresa.

Cuánto cuesta hacerlo mal

El artículo 23 faculta a la Superintendencia de Industria y Comercio para imponer multas de hasta 2.000 salarios mínimos mensuales legales vigentes, que además pueden ser sucesivas mientras subsista el incumplimiento; suspensión de las actividades de tratamiento hasta por seis meses; cierre temporal si vencida la suspensión no se adoptaron los correctivos; y —el que conviene subrayar— cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles. Los datos sensibles son, otra vez, los que más abundan en gestión humana.

Cómo ordenarlo sin montar un proyecto

  1. Inventario por proceso. Selección, contratación, nómina, seguridad y salud, control de acceso. Para cada uno: qué dato se recoge, de quién, con qué finalidad, quién lo consulta y cuánto se conserva.
  2. Marcar lo sensible y verificar si existe la autorización explícita con las tres advertencias del artículo 6 del Decreto 1377. Si no existe, ese tratamiento hoy está prohibido.
  3. Separar el dato clínico del dato de gestión. Ausentismo se mide por días y por origen del peligro —así lo exige el indicador de la Resolución 0312—, no por diagnóstico con nombre propio. Ver ausentismo laboral.
  4. Política de conservación y canal de supresión, especialmente para candidatos no seleccionados.
  5. Procedimiento de consultas y reclamos con responsable, plazos y registro. Es barato y es lo primero que se pide.
  6. Revisar los tableros. Cualquier medición de personas —incluido people analytics y los resultados de un assessment center— debe poder explicar de dónde salió cada variable y con qué autorización.

Tagline no tramita registros ante la Superintendencia ni actúa como oficial de protección de datos. Lo que hacemos es la parte que vive dentro de gestión humana: mapear qué datos trata cada proceso, separar lo clínico de lo administrativo, ajustar autorizaciones y formatos de selección, y dejar los tableros construidos sobre información que la empresa puede sustentar. Si está ordenando el frente completo, el punto de partida es gerencia del talento humano.