Actualidad normativa
Sanciones de la SIC por no tener política de tratamiento de datos personales
La Superintendencia de Industria y Comercio (SIC) puede imponer multas hasta por 2.000 salarios mínimos mensuales legales vigentes, además de suspensión o cierre de actividades, a la empresa que trate datos personales sin una política de tratamiento ajustada a la Ley 1581 de 2012. No es una norma nueva ni una sanción teórica: en 2025 la SIC abrió 101 investigaciones, frente a 83 en 2024 y 55 en 2023, y las resoluciones muestran que el motivo más repetido no es una fuga de datos sofisticada, sino no tener el manual de políticas que la ley exige desde hace más de una década.
Agenda una asesoríaLa norma vigente, y un error de cita que delata a quien no la revisó
El régimen sancionatorio está en el artículo 23 de la Ley 1581 de 2012: multas de hasta 2.000 salarios mínimos mensuales legales vigentes al momento de la sanción, además de suspensión de hasta seis meses, cierre temporal o cierre inmediato y definitivo cuando hay datos sensibles de por medio. El decreto que reglamenta el contenido mínimo de la política de tratamiento no es, desde 2015, el Decreto 1377 de 2013: ese decreto fue derogado en su integridad y compilado en el Decreto 1074 de 2015, capítulo 25 del libro de Comercio, Industria y Turismo. Citar el decreto de 2013 como vigente es el primer error que un colega detecta al leer un concepto o un contrato.
Cinco sanciones de 2025 que muestran el patrón
Estos son casos reales, con número de resolución y cuantía verificados en la parte resolutiva de cada acto.
La Superintendencia sancionó a Confiar EES S.A.S. en liquidación (Resolución 24388 de 2025) con suspensión del tratamiento por seis meses por no contar con política de tratamiento ajustada a la ley ni con manual de procedimientos de seguridad. A Construcciones y Diseños Planificados S.A.S. (Resolución 17874 de 2025) le impuso una multa de 176.884.224 pesos por enviar un correo masivo que expuso datos de una persona sin autorización, sin acreditar tampoco el manual de políticas ni el de atención de consultas y reclamos. Ninguna de las dos es una empresa grande: es exactamente el perfil de empresa mediana que suele pensar que esta norma es para otros.
A Clínica Porvenir S.A.S. (Resolución 77220 de 2025) la SIC le impuso una multa de 107.202.560 pesos por no inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD). Un matiz importante: la Superintendencia no suele multar de entrada por no estar registrado, primero imparte una orden y después sanciona el incumplimiento de esa orden. Lo que sanciona con severidad es no corregir cuando ya se le advirtió.
A Vanti S.A. E.S.P. (Resolución 38583 de 2025) le impuso 412.729.856 pesos por no tener medidas de detección y monitoreo y por no reportar un incidente de seguridad al RNBD. Y a MercadoLibre Colombia Ltda. (Resolución 16582 de 2025) la sancionó con 214.405.120 pesos por condicionar el acceso a la cuenta del usuario a entregar datos biométricos y por negarse a suprimir esos datos cuando el titular lo pidió.
Los cinco puntos que evitan ser el próximo caso
Ninguno de estos cinco puntos es opcional, y los casos anteriores muestran que la SIC sanciona a la empresa que le falta uno solo.
Primero, un manual interno de políticas de tratamiento con seis contenidos mínimos: identificación del responsable, la finalidad del tratamiento, los derechos del titular, el área que atiende peticiones y reclamos, el procedimiento para ejercerlos, y la vigencia de la política y de la base de datos. Segundo, la autorización previa, expresa e informada de cada titular, con un reforzamiento adicional cuando el dato es sensible, como el de salud o el biométrico.
Tercero, el registro en el RNBD, que solo es obligatorio para sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 Unidades de Valor Tributario (UVT) y para las personas jurídicas de naturaleza pública: las empresas por debajo de ese umbral están exentas del registro, aunque no de las demás obligaciones. Cuarto, un canal de atención a los titulares para que puedan conocer, actualizar, rectificar, suprimir sus datos o revocar su autorización, con los plazos legales de diez y quince días hábiles según sea consulta o reclamo.
Quinto, un procedimiento para reportar incidentes de seguridad dentro de los quince días hábiles siguientes a que se detecten. Este punto sorprende a más empresas de lo que parece: la obligación de reportar aplica incluso a quienes están exentos de inscribirse en el RNBD por su tamaño. La exención del registro no es exención de reportar, y los casos de incidentes no reportados que ya ha sancionado la SIC lo confirman.
El punto ciego que conecta con la nómina de cualquier empresa
La Ley 1581 aplica a cualquier base de datos de una entidad pública o privada, sin más excepción que el ámbito estrictamente personal o doméstico. Eso incluye la nómina, las hojas de vida, los exámenes médicos ocupacionales y los procesos de selección de personal, con el agravante de que el examen de ingreso, la huella del reloj de marcación y el resultado ocupacional son datos sensibles que exigen consentimiento explícito y medidas de seguridad reforzadas. Un reglamento interno de trabajo actualizado no resuelve nada de esto: son documentos distintos, con contenidos distintos y obligaciones distintas.
No existe todavía una sanción de la SIC cuyo hecho central sea, en sí mismo, que un empleador carecía de política de datos para su nómina, y este artículo no afirma lo contrario. Lo que sí existe son casos que muestran la misma lógica aplicada al entorno de trabajo: la Resolución 79163 de 2025 sancionó a un proveedor de estudios de seguridad de personal con 201.004.800 pesos porque sus informes, con composición del hogar, antecedentes ocupacionales, referencias laborales y resultados de polígrafo de candidatos y empleados, quedaron accesibles en internet por una falla elemental de seguridad. Y dos resoluciones distintas de 2025 sancionaron a empresas que remitieron al empleador de una persona información sobre una deuda suya, mostrando que el lugar de trabajo es un escenario donde la SIC ya ha actuado por circulación indebida de datos. La empresa que ya actualizó su reglamento interno de trabajo por la Ley 2466 de 2025 tiene, en la misma nómina, una obligación distinta y todavía sin resolver.
Ninguno de los cinco puntos de cumplimiento exige una inversión grande. Exige, eso sí, que exista el documento correcto antes de que la Superintendencia lo pida. Las empresas sancionadas en 2025 no fueron elegidas al azar: fueron las que no tenían, cuando se les pidió, el papel que la ley exige desde 2012.