En Colombia la ley actual que protege, regula y reglamenta el uso y tratamiento de la información personal de las personas es la Ley Estatutaria 1581 de 2012. Esta ley fue expedida el 17 de octubre de 2012 por el Congreso de la República de Colombia, con el objetivo de
(...) desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma.Congreso de Colombia, "Ley Estatutaria 1581 de 2012", 17 de octubre de 2012
Esta ley está enmarcada en la Constitución de Colombia. La sentencia C-748 del 6 de octubre de 2011 la Corte Constitucional declaró exequible el Proyecto de Ley Estatutaria N.º 184 de 2010 Senado, 046 de 2010 Cámara. Esta ley empieza en vigor a partir del 27 de junio de 2013 por medio del decreto número 1377 de 2013 que regula parcialmente dicha ley. Este decreto es expedido por el Ministerio de Comercio, Industria y Turismo (Colombia) y el Presidente de Colombia.
Historia La noción de protección de datos en Colombia nace a partir de la Constitución de 1991. en esta se empieza a tratar esta problemática y a partir de este momento es que el congreso colombiano empieza a expedir leyes al respecto. En primera instancia la corte constitucional realiza el cierre para la jurisprudencia nacional.
Ley 1266 de 2008 Esta ley es la primera que establece el habeas data en Colombia. Legisla el derecho que tienen los ciudadanos a conocer, actualizar y rectificar la información personal que distintas entidades hayan recogido sobre ellos. Sin embargo, esta ley sólo tiene en cuenta lo relacionado con el habeas data financiero.Congreso de Colombia, "Ley Estatutaria 1266 de 2008", 31 de diciembre de 2008Superintendencia de Industria y Comercio,"Cartilla Ley 1266 de 2008 Habeas data" En esta época también surge, junto a esta ley, el primer acercamiento del gobierno a la penalización de los crímenes informáticos. Nace la Ley 1273 de 2009.Congreso de Colombia, "Ley 1273 de 2009", 5 de enero de 2009
Ley 1581 de 2012 Esta ley incluye la normativa general de la información natural de las personas. También se incluye la definición de datos de tipo sensible y la jurisprudencia de los datos de niños niñas y adolescentes. Así mismo en 2013 se establece el órgano administrativo encargado de estas nuevas facultades. La institución encargada es el Ministerio de Comercio, Industria y Turismo y la Superintendencia de Industria y Comercio''.Congreso de Colombia, "Decreto número 1377 de 2013", 27 de junio de 2013
Habeas data actual Actualmente la ley que rige la protección de datos es la Ley 1581 de 2012.
Principios rectores Legalidad en materia de tratamiento de datos Finalidad Libertad Veracidad o calidad Transparencia Acceso y circulación restringida Seguridad Confidencialidad
Categorías especiales de Datos Datos SensiblesEstos datos enmarcan todos aquellos que involucren: La intimidad del titular. Datos cuyo uso indebido puede causar discriminación. Datos que revelen origen de raza y etnia. Orientación política. Convicciones religiosas y/o filosóficas. Pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político. Los derechos y garantías de partidos políticos de oposición. Relativos a la salud, a la vida sexual y los datos biométricos.Habeasdat, "¿Qué tipos de datos personales hay?" Datos biométricos y su tratamiento en la vida cotidiana
El artículo 5 de la Ley 1581 de 2012 incluye expresamente los datos biométricos dentro de la categoría de datos sensibles, mientras que el artículo 6 establece una prohibición general para su tratamiento, salvo en determinadas excepciones, entre ellas, la autorización explícita del titular.
Al revisar el proyecto de ley estatutaria, la Corte Constitucional señaló en la Sentencia C-748 de 2011 que restringir el tratamiento de estos datos no contradice la Constitución, sino que se deriva del derecho a la intimidad, y advirtió que quienes traten datos sensibles al amparo de alguna de las excepciones previstas asumen una responsabilidad reforzada.
La aplicación de este marco jurídico al uso cotidiano de la biometría ha dado lugar a diversos pronunciamientos por parte de la autoridad encargada de la protección de datos. En agosto de 2025, mediante la Resolución 52185, la Superintendencia de Industria y Comercio ordenó a un conjunto residencial de Bogotá suprimir los datos biométricos de los residentes que así lo solicitaran y disponer mecanismos alternativos de ingreso, como tarjetas de proximidad, códigos de acceso o personal de vigilancia. La entidad determinó que los datos faciales habían sido recolectados sin autorización previa, expresa e informada, y sostuvo que exigir datos biométricos como única condición para acceder al conjunto resulta desproporcionado y vulnera los derechos a la intimidad y a la libre circulación.
El uso de sistemas biométricos en espacios públicos también ha sido objeto de debate. La Fundación Karisma documentó el caso del Sistema Integrado de Videovigilancia Inteligente para TransMilenio (SIVIT), contratado por la Alcaldía de Bogotá en 2014. El proyecto contemplaba la instalación de 24 cámaras con tecnología de reconocimiento facial en cinco estaciones, destinadas a comparar los rostros captados con una base de datos de personas requeridas por la justicia. Según la organización, el sistema nunca llegó a operar, entre otras razones, porque no existía la base de datos facial necesaria para realizar las comparaciones. El proyecto finalmente fue liquidado en 2018, sin que se hubiera realizado una evaluación de impacto sobre los derechos de los usuarios.Datos de niños, niñas y adolescentesEs deber del Estado y las instituciones educativas dar la información y la capacitación de los representantes legales y tutores acerca de lo relacionado con los riesgos que se enfrentan los menores de edad frente al tratamiento indebido de sus datos personales. También deben proveer información sobre el uso responsable y seguro de sus datos personales, así como las leyes que los protegen.
Habeas data y sistemas automatizados El derecho al habeas data fue creado en un principio con la idea de bases de datos estáticas, gestionadas por entidades que se pueden identificar, donde el individuo tiene la posibilidad de saber exactamente quién posee su información, cuál es su finalidad y cómo pedir su rectificación. En el sector público de Colombia, la implementación de sistemas de inteligencia artificial y toma de decisiones automatizada presenta desafíos diferentes a este modelo convencional, las decisiones que tienen un impacto en una persona ya no se basan solamente en un registro consultable, sino que dependen de un modelo cuya lógica interna es frecuentemente difícil de entender tanto para los ciudadanos como, en numerosos casos, para las mismas entidades que lo ponen en funcionamiento.
Desde una perspectiva de justicia social, se llevó a cabo un análisis de dos casos de toma de decisiones automatizada en el sector público colombiano y se llegó a la conclusión de que la retórica tecno-optimista acerca del perfeccionamiento de la gestión pública por medio de algoritmos generalmente pasa por alto las consecuencias que tiene para los derechos fundamentales. Este estudio sostiene que, en gran medida, la adopción de estas tecnologías se ha producido sin los debates sobre políticas públicas ni las garantías de transparencia requeridas para salvaguardar a la población. Esto ha tenido un impacto desmedido en grupos poblacionales vulnerables y marginados. El estudio también indica que en la región los marcos regulatorios actuales son insuficientes en comparación con la rapidez con la que estos sistemas se implementan, lo que resulta en un escaso número de recursos prácticos para las personas perjudicadas a la hora de ejercer su derecho de habeas data ante una decisión tomada, total o parcialmente, por un algoritmo.
La tensión que se menciona se puede ver de forma concreta en sistemas de análisis predictivo empleados por instituciones como la Policía Nacional de Colombia, entre las que están XCrime e IAPOL. Estos sistemas fusionan datos provenientes de varias bases de datos institucionales con el objetivo de hacer predicciones sobre la ocurrencia de delitos. Esto dificulta que una persona determine con exactitud qué información suya fue procesada, para qué propósito y mediante qué mecanismo puede pedir su eliminación o corrección; todos estos son factores fundamentales para el ejercicio efectivo del habeas data.
Derechos y condiciones de legalidad Derechos de los titularesEl titular de los datos personales tiene los siguientes derechos sobre su información: Conocer, actualizar y rectificar sus datos. Solicitar pruebas de la autorización, exceptuando los casos que especifica la ley. Tener información sobre el uso que se le dan a sus datos, se debe solicitar previamente. Presentación de quejas frente a la Superintendencia de Industria y Comercio por infracciones a esta ley, o sus posibles modificaciones. Solicitar la revocatoria de los datos o su suspensión si el tratamiento de estos va en contra de la ley estipulada. Solicitar sus datos gratuitamente.Autorización del titularEl titular de los datos debe dar su consentimiento informado previamente al tratamiento de los datos. Este consentimiento se debe dar por cualquier medio, siempre y cuando pueda ser consultado posteriormente.Casos en que no se necesita autorizaciónEn estos casos no será necesario la autorización previa del titular: Cuando los datos sean requeridos por una entidad pública o administrativa por ejercicio de funciones legales u orden judicial. Cuando los datos tienen naturaleza pública. Urgencia médica o sanitaria. Cuando está autorizado por la ley con fines científicos, estadísticos o históricos. Registro Civil. En caso de acceder a los datos de una persona sin su autorización, la entidad deberá enfrentar el proceso contenido por la presente ley.Suministro de la informaciónLa información podrá ser suministrada por cualquier medio, así lo disponga el titular, y debe ser de fácil lectura, sin trabas ni tecnicismos que obstaculicen su acceso.Deber de informar al titularEl responsable del tratamiento de los datos debe informar al titular: La finalidad y el tratamiento que se le darán a sus datos. Si las preguntas tienen relación con datos sensibles o sobre menores de edad se debe hacer explícito su carácter facultativo. Los derechos que tiene como titular. La información de contacto del responsable del tratamiento de los datos.Personas a quienes se les puede suministrar informaciónA los titulares, sucesores o sus representantes legales. Entidades públicas que estén bajo cumplimiento de funciones legales u orden judicial. A terceros autorizados por la ley o el titular mismo.
Procedimientos ConsultasEl titular de los datos puede consultar toda la información en cualquier momento, sea la entidad tratante pública o privada. La entidad debe responder a la consulta en los siguientes 10 días hábiles. Esta consulta se realizará según el medio que desee el tratante de los datos.ReclamosLos reclamos se harán dirigidos al encargado del tratamiento de los datos. Se harán siempre que el titular considere que los datos deben modificarse, actualizarse o el cese de su tratamiento. El encargado del tratamiento de los datos tiene un plazo máximo de 15 días hábiles para responder el trámite. Este tendrá un plazo de respuesta por parte del titular de 2 meses al momento de hacer el reclamo, si después de este tiempo el titular no responde se entenderá que desistió del reclamo.