| Marco colombiano | Ley 1581 de 2012 y normas reglamentarias |
| Referente internacional | ISO/IEC 27701:2025, sistema de gestión de privacidad |
| Cambio de fondo | La privacidad pasa de anexo del SGSI a sistema con requisitos propios |
| Autoridad | Superintendencia de Industria y Comercio |
| Evidencia que se pide | Inventario de tratamientos, roles, contratos de encargo y autorizaciones |
Durante años la privacidad se trató como una extensión: se montaba un sistema de gestión de seguridad de la información y encima se le añadían controles de datos personales. Vivía colgada de otra cosa, y por eso se gestionaba como un apéndice.
Ya no. Hoy la protección de datos personales tiene su propio sistema de gestión, con requisitos propios y certificable por sí sola. La referencia técnica es ISO/IEC 27701 en su edición 2025, que la reescribió como norma autónoma.
Por qué importa en Colombia
La Ley 1581 de 2012 exige medidas demostrables sobre datos personales, pero no dice cómo se demuestran. Ahí es donde una empresa se queda sin respuesta cuando un cliente grande, un contrato o la autoridad le piden evidencia.
Un sistema de gestión es hoy la forma más limpia de contestar esa pregunta: no con una política publicada, sino con un cuerpo de evidencia que alguien externo puede revisar.
Lo que sigue siendo cierto
- La seguridad de la información sigue siendo la base: quien ya tiene un SGSI parte con ventaja real, no simbólica.
- Sin inventario de tratamientos no hay sistema. Hay intenciones.
- Responsable y encargado no son sinónimos, y la mayoría de los contratos los mezcla.
- Se mide con evidencia, no con políticas bien redactadas.
Lo que vemos en campo
La mayoría de las empresas que nos consultan por privacidad tienen la política publicada y el inventario incompleto. Y el inventario es lo único que no se puede improvisar: reconstruirlo después de un requerimiento cuesta el triple.
Si quiere saber si su privacidad es un sistema o una política, ese es el trabajo de la línea CYBER de AXONA.
Referencia: ISO/IEC 27701:2025 · Ley 1581 de 2012.
Preguntas frecuentes
¿Tener política de tratamiento de datos es suficiente?
No. La política es necesaria y se publica, pero no demuestra funcionamiento. Lo que se audita es el inventario de tratamientos actualizado, los roles definidos, los contratos con encargados y la evidencia de cada autorización.
¿Qué es el inventario de tratamientos?
El registro de qué datos personales trata la organización, con qué finalidad, bajo qué base legal, por cuánto tiempo, quién accede y con quién se comparten. Es lo único que no se puede improvisar la semana de la auditoría.
¿ISO/IEC 27701 reemplaza a la Ley 1581?
No. La ley es de obligatorio cumplimiento en Colombia; la norma internacional es un marco voluntario de gestión que ayuda a organizar y demostrar ese cumplimiento.
¿Se debe registrar la base de datos ante la SIC?
Las obligaciones de registro en el Registro Nacional de Bases de Datos dependen del tipo y tamaño del responsable. Conviene verificar el estado del registro antes de una auditoría de cliente.
Fuentes primarias
¿Necesita acompañamiento en este tema? Hacemos un diagnóstico inicial de alcance sin costo.
Hablemos de su caso →Sobre el autor
Evaluador Líder del ONAC desde 2012 y Auditor Líder de Sistemas de Gestión ISO desde 2005 en organismos de certificación acreditados. Ingeniero Industrial, Magíster en Gestión Organizacional y Especialista en Seguridad y Salud en el Trabajo. Docente de posgrado en especializaciones y maestrías de universidades colombianas. Más de 25 años de experiencia en manufactura y servicios, sector público y privado.
Ver perfil profesional en LinkedIn →