Los datos personales se han convertido en un activo preciado equiparable a las piedras preciosas y es por eso que en la dark web cada vez están más interesados en comprar paquetes de datos robados. Las preocupaciones de las empresas que resguardan los datos personales de cientos de usuarios o clientes, son cada vez mayores frente a las nuevas tecnologías que están implementando los delincuentes para saquear información que ellos están en la obligación de proteger. Es por eso que el mundo se está preparando poco a poco para ajustar la normativa y proteger los datos sensibles.  A continuación, revisamos los posibles cambios que se proponen en las leyes de protección de datos en Colombia y los puntos más relevantes del proyecto de ley. 

Propuesta de modernización Ley 1581 de 2012 

Colombia, a pesar de no ser una potencia económica o empresarial, se ha visto afectada por múltiples casos relacionados con el robo de datos. Las entidades gubernamentales han sido algunas de las que han estado en la mira y que han dejado a miles de colombianos afectados por el robo de información. Además, recientemente la Superintendencia de Industria y Comercio (SIC) ordenó el cierre de operaciones en el país de la empresa WorldCoin por no contar con protocolos claros en la obtención de los datos sensibles. Como muchos países, Colombia considera datos sensibles los que corresponden a características físicas únicas de una persona como rostro, huellas dactilares, voz y el iris de los ojos.  

‍

Con este panorama, el país se está preparando para modernizar la legislación referente a la protección de datos con el fin de enfrentar los nuevos retos digitales. Es así que se está analizando el Proyecto de Ley 247 de 2025 promovido por la Superintendencia de Industria y Comercio (SIC), en conjunto con el Proyecto de Ley 214 de 2025, emitido por un bloque de congresistas aliados del Gobierno que busca introducir ajustes a la Ley Estatutaria 1581 de 2012. Esta iniciativa tiene como objeto actualizar la normativa frente a los retos del entorno digital contemporáneo, reforzar las garantías del derecho fundamental a la protección de datos personales y articular su aplicación con los estándares internacionales. 

Priorizar la protección en cualquier ámbito 

Algunos de los puntos más relevantes de estos proyectos que buscan modificar la Ley 1581 son:

‍

• Ámbito de aplicación: la aplicación de la Ley actualmente cubre el tratamiento de datos solamente en el territorio colombiano, no obstante, no contempla a empresas no domiciliadas en el país que ofrecen bienes o servicios a residentes en Colombia. La modernización de la Ley de protección de datos busca que también se sometan al régimen colombiano los responsables y encargados no establecidos en el país.
• Bases de legitimación: aunque la autorización del titular seguirá siendo un pilar central, se propone reconocer otros escenarios en los que el tratamiento se considere legítimo sin requerir la autorización por resultar redundante, por ejemplo, para la ejecución de un contrato o para el cumplimiento de obligaciones legales.
• Derechos: se plantea un fortalecimiento del catálogo vigente de derechos e incorpora nuevas facultades orientadas a ajustar la normativa en dinámicas digitales. Entre los posibles derechos de los titulares contemplados en este punto se encuentran:
  
  • Derecho de oposición al tratamiento de datos
  • Derecho al olvido
  • Derecho a no ser objeto de decisiones basadas exclusivamente en tratamientos automatizados, sin intervención humana
  • Derecho a la portabilidad de los datos

• Principios: se reafirman los existentes y se introducen ajustes orientados a reforzar la coherencia del sistema como: 
  
  • El principio de minimización de datos, que exige limitar el tratamiento a la información estrictamente necesaria para el cumplimiento de la finalidad perseguida.
  • El principio de lealtad y no discriminación, que proscribe la utilización de datos personales para adoptar decisiones discriminatorias o contrarias a la dignidad humana, aspecto particularmente relevante frente a prácticas de perfilamiento y uso de tecnologías automatizadas.

• Protección reforzada a menores de edad: el proyecto busca reforzar las garantías de tratamiento de datos de menores, en las cuales se destaca la prohibición de hacer perfilamiento con fines comerciales o publicitarios. Además, se incorpora la obligación de promover procesos de alfabetización en datos personales desde el sistema educativo con el fin de que entiendan los riesgos asociados al entorno digital. 
• Responsabilidad demostrada: se consagra este eje para que las organizaciones estén en la obligación de explicar de qué manera utilizan  los datos y demostrar que su actuación cumple con el marco legal y que sus sistemas operan sin sesgos. Aunque este eje ya existe, se cierra la brecha que impedía su aplicación efectiva. Los responsables deben ser capaces de demostrar que han implementado medidas apropiadas y efectivas para cumplir con la normativa de protección de datos. Y que cumplen con el principio de responsabilidad demostrada que consiste en Implementar mecanismos efectivos, como identificar, medir y controlar riesgos, establecer sistemas de gestión de riesgos, documentar decisiones y definir acciones correctivas.
• Oficial de protección de datos: el proyecto consagra la figura del Oficial de protección de Datos para los tratamientos a gran escala, fortaleciendo las facultades de supervisión de la autoridad, al permitirle evaluar con mayor rigor el cumplimiento de las obligaciones asociadas al tratamiento de datos personales.
• Régimen sancionatorio: la Ley actual se limita a la imposición de sanciones solo a personas de naturaleza privada, lo que genera desigualdad frente a entidades públicas, el proyecto busca ajustar el régimen a criterios de igualdad. Además, las autoridades adquieren nuevas facultades para desarrollar y promover códigos de conducta y esquemas de certificación, orientadas a favorecer el cumplimiento preventivo y fortalecer las prácticas de los responsables encargados del tratamiento de datos. 
• Nuevas tecnologías y neutralidad tecnológica: se destaca la relevancia de preservar el principio de neutralidad tecnológica para que las disposiciones jurídicas no dependan de herramientas o sistemas específicos, sino que se formulen con un nivel de abstracción suficiente que permita su aplicación a tecnologías presentes y futuras. 

Validación de datos basada en derechos y principios 

La modernización de la Ley busca reforzar la responsabilidad de protección, los agentes responsables y, sobre todo, mantenerse vigente respecto a las tecnologías venideras. Es por eso que la validación de datos se soportará cada vez más en los derechos y principios de la protección, con el fin de no dejar espacio de duda respecto a cómo y para qué se tratan los datos. En ese sentido, acceder a validaciones de datos en plataformas como Tusdatos es un beneficio para las empresas, que priorizan el tratamiento de datos transparente y que se preparan para la modernización de la norma. 

Reiteramos que las disposiciones señaladas aún no se encuentran vigentes y son posibles modificaciones a la Ley actual en materia de protección de datos personales.