Seguridad de la información y protección de datos personales: el foro completo y lo que hoy obliga en Colombia

Ver la grabación · 40 min

Grabación completa del foro · 40 minutos · publicada el 13 de agosto de 2026 en el canal de YouTube de AXONA. Al reproducir se carga el reproductor de YouTube en modo sin cookies de seguimiento.

Quiénes estuvieron en el panel

El foro se armó con perfiles que rara vez se sientan en la misma mesa: quien vende la herramienta, quien audita y certifica, quien asesora al sector público y quien opera la seguridad del día a día. El formato fue deliberado —los panelistas dialogaron de manera presencial en Bogotá mientras los asistentes participaron de forma remota— para que la conversación fuera entre pares y no una sucesión de presentaciones.

• Martha Elena DelgadoDirectora Comercial de ISOLUCION
• Raúl EcheverryDirector Técnico de Global Colombia Certificación
• Gina Paola PeñaAsesora de Gobierno, Riesgo y Cumplimiento
• Rosa María GonzálesAsesora del Sector Gobierno en Gestión Institucional
• Orlando LemaitreLíder de T.I. para la Ciberseguridad, la Seguridad de la Información y la Protección de Datos

La moderación y la organización estuvieron a cargo de AXONA, desde su línea de servicio SIGEN, y la sesión cerró con una encuesta de satisfacción e identificación de necesidades entre los asistentes.

Las cuatro conversaciones del foro

El programa se armó en torno a cuatro conversaciones, pensadas para recorrer el camino completo —del riesgo a la ventaja competitiva— en dos horas:

Lo que no cambió: la Ley 1581 de 2012 sigue siendo la norma

Es la confusión más extendida en las conversaciones sobre protección de datos en Colombia. Se ha hablado tanto de la reforma que muchas organizaciones asumen que ya hay un régimen nuevo, o que conviene esperar a que salga para empezar. No hay régimen nuevo. A la fecha de publicación de este artículo, la norma vigente sigue siendo la Ley Estatutaria 1581 de 2012, reglamentada por el Decreto 1074 de 2015.

El registro del Congreso lo explica. Tres proyectos han intentado reemplazarla y ninguno llegó a ser ley:

• Proyecto de ley 156 de 2023 Cámara — «Por la cual se dictan disposiciones para el Régimen General de Protección de Datos Personales». Radicado el 22 de agosto de 2023 y retirado el 8 de mayo de 2024, en aplicación del artículo 155 de la Ley 5 de 1992.
• Proyecto de ley 152 de 2024 Cámara — mismo título, radicado el 6 de agosto de 2024 y archivado el 24 de junio de 2025, en aplicación del artículo 190 de la Ley 5 de 1992.
• Proyecto de ley estatutaria 274 de 2025 Cámara — «Por la cual se modifica parcialmente la Ley 1581 de 2012 y se dictan otras disposiciones relativas al derecho fundamental a la protección de datos personales». Es el que radicó el Gobierno el 27 de agosto de 2025 a través del Ministerio de Comercio, Industria y Turismo y el Ministerio de Ciencia, Tecnología e Innovación. Tuvo audiencia pública el 25 de septiembre de 2025, surtió primer debate en la Comisión Primera Constitucional Permanente según el Acta 18 del 28 de octubre de 2025, se acumuló con el proyecto 214 de 2025 Cámara y hoy figura archivado en el registro de la Cámara de Representantes.

Lo que ese proyecto proponía sigue siendo el mejor mapa de hacia dónde va la regulación: derecho de supresión, portabilidad, protección frente a decisiones automatizadas sin revisión humana, prohibición de perfilamiento y publicidad dirigida a menores de 18 años, notificación obligatoria de incidentes, evaluaciones de impacto, designación de un oficial de protección de datos en ciertos casos y una autoridad con independencia reforzada dentro de la Superintendencia de Industria y Comercio. Nada de eso obliga hoy. Todo eso conviene tenerlo previsto, porque la dirección del cambio es clara y porque casi todo se apoya en prácticas que un sistema de gestión maduro ya tiene.

Lo que sí cambió: ISO/IEC 27701 dejó de ser un anexo

El movimiento relevante del último año no vino del Congreso sino de ISO. La versión 2019 de ISO/IEC 27701 era una extensión: no se podía certificar por sí sola, había que tener primero un sistema de gestión de seguridad de la información bajo ISO/IEC 27001 y añadirle encima los requisitos de privacidad.

El 14 de octubre de 2025 se publicó ISO/IEC 27701:2025, «Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance», ya como norma de sistema de gestión independiente. La privacidad pasa a ser un sistema certificable por derecho propio, con su propia estructura de requisitos, que puede integrarse con el SGSI o sostenerse aparte.

Para una organización colombiana el efecto práctico es concreto: la manera de demostrarle a un cliente, a un aliado o a un ente de control que la protección de datos personales está gestionada ya no depende de tener primero un certificado de ISO/IEC 27001. Las reglas de transición para quienes están certificados bajo la edición 2019 todavía las está definiendo el IAF, así que no hay urgencia para los certificados vigentes; pero cualquier implementación que arranque hoy debería hacerlo directamente sobre la edición 2025.

Las obligaciones que hoy se incumplen con más frecuencia

Estas son las cuatro que aparecen una y otra vez en los diagnósticos, y ninguna depende de la reforma:

1. Registro Nacional de Bases de Datos (RNBD). Deben registrarse las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT —que con la UVT de 2026, fijada en $52.374 por la Resolución 000238 del 15 de diciembre de 2025 de la DIAN, equivalen a $5.237.400.000— y todas las personas jurídicas de naturaleza pública, sin umbral. Las bases creadas después del plazo inicial deben registrarse dentro de los dos meses siguientes a su creación.
2. Política de tratamiento y aviso de privacidad. No basta con que existan y estén publicados: tienen que describir lo que la organización realmente hace con los datos. La inconsistencia entre la política publicada y la operación real es el hallazgo más común.
3. Autorización previa, expresa e informada, y respeto de la finalidad. Usar datos para un fin distinto del que se autorizó es una infracción autónoma, aunque la autorización original sea impecable.
4. Plazos de consultas y reclamos. Las consultas se atienden en un máximo de diez días hábiles, prorrogables por cinco. Los reclamos, en quince días hábiles, prorrogables por ocho. Sin un procedimiento asignado a alguien concreto, esos plazos se vencen solos.

Cuánto cuesta incumplir

El artículo 23 de la Ley 1581 de 2012 faculta a la Superintendencia de Industria y Comercio para imponer, a responsables y encargados del tratamiento:

• Multas de carácter personal e institucional hasta por 2.000 salarios mínimos mensuales legales vigentes al momento de imponer la sanción. Con el salario mínimo de 2026 —$1.750.905, fijado por los Decretos 1469 y 1470 del 29 de diciembre de 2025— el tope es de $3.501.810.000.
• Suspensión de las actividades relacionadas con el tratamiento hasta por seis meses.
• Cierre temporal de las operaciones cuando, vencida la suspensión, no se hayan corregido las causas.
• Cierre inmediato y definitivo de la operación que involucre tratamiento de datos sensibles.

La multa es personal e institucional. Esa palabra suele pasar desapercibida y es la que cambia la conversación en un comité directivo.

Dónde encaja el sistema de gestión

La pregunta que atraviesa todo el foro es por qué una organización debería montar un sistema de gestión si la ley no se lo exige de forma expresa. La respuesta es que la ley sí exige el resultado —demostrar diligencia, trazabilidad y control— y el sistema de gestión es la única forma ordenada de producir esa evidencia antes de que alguien la pida.

ISO/IEC 27001:2022 reorganizó el Anexo A en 93 controles agrupados en cuatro temas —organizacionales, de personas, físicos y tecnológicos— e introdujo once controles nuevos, entre ellos inteligencia de amenazas, seguridad en servicios en la nube y enmascaramiento de datos. Varios de esos controles son, literalmente, los que la Superintendencia pide ver cuando investiga un incidente.

ISO/IEC 27701:2025 añade encima el vocabulario que la ley colombiana ya usa —responsable y encargado del tratamiento— y convierte en requisitos auditables el consentimiento, la finalidad, la minimización, la retención y la atención de los derechos del titular. Un sistema integrado ISO/IEC 27001 + ISO/IEC 27701 cubre, en un solo cuerpo documental, lo que la Ley 1581 exige hoy y buena parte de lo que la reforma propondrá cuando vuelva al Congreso.

Qué hacer en los próximos 90 días

1. Inventario de bases de datos. Cuáles hay, quién es responsable de cada una, qué datos contienen, con qué finalidad y por cuánto tiempo. Sin esto no se puede hacer nada más.
2. Verificar el umbral del RNBD. Revisar los activos totales del último cierre contra los 100.000 UVT y, si aplica, registrar o actualizar el reporte.
3. Contrastar la política publicada con la operación real y corregir la que esté desalineada, que casi siempre es la política.
4. Revisar las autorizaciones: que existan, que sean demostrables y que la finalidad declarada cubra el uso actual de los datos.
5. Asignar por nombre la atención de consultas y reclamos, con plazos y registro de respuestas.
6. Decidir el alcance del sistema de gestión: si se protege información en general (ISO/IEC 27001), si se protegen datos personales (ISO/IEC 27701) o ambas cosas en un sistema integrado.