Ley 1581 y tu CRM: cómo cumplir la protección de datos personales en Colombia

Tu base de clientes es uno de los activos más valiosos de tu empresa. También es una responsabilidad legal. Cada nombre, teléfono, correo y conversación de WhatsApp que guardas en tu CRM es un dato personal protegido por la Ley 1581 de 2012. La mayoría de pymes colombianas lo sabe a medias: tiene un aviso de privacidad en la página web y una casilla en algún formulario, pero no sabe si su CRM, su WhatsApp comercial o sus campañas cumplen. Esta guía traduce la ley a la práctica diaria de ventas y mercadeo, y explica qué debe ofrecerte un software para cumplir sin complicarte.

Lo básico de la Ley 1581 en cinco minutos

La Ley Estatutaria 1581 de 2012 desarrolla el derecho constitucional de las personas a conocer, actualizar y rectificar la información que se haya recogido sobre ellas. Fue reglamentada principalmente por el Decreto 1377 de 2013, hoy compilado en el Decreto Único Reglamentario 1074 de 2015.

Conceptos clave

Concepto	Qué significa	Ejemplo
Dato personal	Información vinculada o que puede asociarse a una persona natural	Nombre, celular, correo, cédula, dirección
Titular	La persona a quien se refieren los datos	Tu cliente, prospecto o empleado
Tratamiento	Cualquier operación sobre los datos	Recolectar, guardar, usar, enviar, eliminar
Responsable	Quien decide sobre la base de datos y su tratamiento	Tu empresa, sobre los datos de sus clientes
Encargado	Quien trata datos por cuenta del responsable	El proveedor del CRM o del servicio de correo
Autorización	Consentimiento previo, expreso e informado del titular	Casilla aceptada en un formulario con enlace a la política
Dato sensible	Afecta la intimidad o puede generar discriminación	Salud, orientación sexual, origen étnico, datos biométricos

Los principios

La ley establece principios que deben guiar cualquier tratamiento: legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. En la práctica, se resumen en: pide permiso, explica para qué, usa los datos solo para eso, mantenlos correctos, protégelos y deja que el titular ejerza sus derechos.

Responsable y encargado: quién responde por qué

Esta distinción es fundamental cuando usas software en la nube. Cuando tu empresa guarda los datos de sus clientes en un CRM:

• Tu empresa es el responsable del tratamiento. Decide qué datos recoge, para qué los usa y cuánto tiempo los conserva. Debe obtener la autorización, tener una política de tratamiento y atender los derechos de los titulares.
• El proveedor del CRM es el encargado del tratamiento. Procesa los datos por cuenta de tu empresa, siguiendo sus instrucciones, y debe garantizar su seguridad y confidencialidad.

Lo recomendable es que la relación esté regulada por un contrato o cláusulas de transmisión de datos que definan las obligaciones del encargado: usar los datos solo para prestar el servicio, protegerlos, no compartirlos con terceros no autorizados, apoyar en la atención de solicitudes de titulares y devolver o eliminar la información al terminar.

En Gibra, por ejemplo, Logibrand S.A.S. actúa como encargado del tratamiento y cada empresa cliente es la responsable de los datos de sus clientes finales. Además, la información de cada empresa está aislada en la base de datos mediante políticas de seguridad por fila.

La autorización: el punto de partida

Sin autorización no hay tratamiento legítimo (salvo las excepciones que prevé la ley). Para que sea válida, la autorización debe ser:

• Previa: se obtiene antes de recoger o usar los datos.
• Expresa: el titular realiza una acción clara (marcar una casilla, enviar un mensaje aceptando, firmar), no se presume del silencio.
• Informada: el titular sabe quién es el responsable, qué datos se recogen, para qué finalidades, cuáles son sus derechos y cómo ejercerlos.

Y, muy importante, la empresa debe poder demostrar que la obtuvo. Aquí es donde muchas pymes fallan: tienen la casilla, pero no guardan evidencia de quién aceptó, cuándo, desde dónde y bajo qué versión de la política.

Cómo obtenerla en cada canal

Canal	Cómo obtener la autorización	Qué guardar como evidencia
Formulario web	Casilla no premarcada con enlace a la política	Fecha, hora, IP, formulario y versión de la política
WhatsApp	Mensaje inicial con enlace a la política y aceptación del usuario	Conversación con el mensaje de aceptación
Presencial / ferias	Formato físico o digital firmado	Documento escaneado o registro digital
Llamada telefónica	Lectura del aviso y aceptación verbal	Grabación o registro con fecha y responsable
Contratos con clientes	Cláusula de tratamiento de datos	Contrato firmado

El formulario de contacto de este sitio, por ejemplo, incluye una casilla de autorización con enlace a la política de tratamiento de datos y guarda la fecha, la hora y la IP de quien la acepta.

Finalidades: para qué usas los datos

La autorización vale para las finalidades que informaste. Si recogiste el celular de un cliente “para coordinar la entrega de su pedido”, usarlo luego para enviarle promociones requiere que esa finalidad haya sido informada y autorizada. Por eso conviene definir finalidades claras y completas desde el principio, por ejemplo:

• Gestionar solicitudes, cotizaciones y pedidos.
• Contactar por teléfono, correo o WhatsApp en relación con esas solicitudes.
• Facturar, cobrar y cumplir obligaciones legales.
• Enviar información comercial, promociones y novedades, cuando el titular lo haya autorizado.
• Realizar encuestas de satisfacción y estadísticas.

En el CRM, lo ideal es registrar por contacto qué finalidades autorizó, en especial la de mercadeo, para filtrar automáticamente las campañas.

Los derechos de los titulares y los plazos para responder

Los titulares pueden, entre otros derechos, conocer, actualizar y rectificar sus datos; solicitar prueba de la autorización; ser informados sobre el uso que se les ha dado; revocar la autorización o solicitar la supresión cuando proceda; y presentar quejas ante la SIC.

Tipo de solicitud	Plazo de respuesta	Prórroga
Consulta	Máximo 10 días hábiles desde su recibo	Hasta 5 días hábiles más, informando los motivos
Reclamo (corrección, actualización, supresión)	Máximo 15 días hábiles desde el día siguiente a su recibo	Hasta 8 días hábiles más, informando los motivos

Para cumplir estos plazos, conviene tener un canal definido (por ejemplo, un correo exclusivo), un responsable interno y un registro de cada solicitud con su fecha y respuesta. Un módulo de PQRS sirve perfectamente para esto. Ver el módulo de PQRS.

WhatsApp, campañas y protección de datos

WhatsApp es el canal comercial más usado en Colombia y, por lo mismo, donde más errores se cometen:

• Bases de datos compradas: enviar mensajes a números que no te dieron autorización es un riesgo legal y reputacional, y puede llevar al bloqueo del número.
• Grupos y difusiones sin consentimiento: agregar clientes a grupos expone sus números a otros participantes.
• Datos en celulares personales: si las conversaciones viven en el teléfono de un vendedor, la empresa pierde el control de datos de los que es responsable.
• Horarios y frecuencia: la Ley 2300 de 2023 estableció reglas sobre los canales, horarios y frecuencia para contactar a los consumidores con fines de cobranza y de publicidad. Revisa con tu asesor cómo aplica a tu empresa antes de diseñar campañas.

Usar la API oficial de WhatsApp Business conectada a un CRM resuelve buena parte de estos problemas: las conversaciones pertenecen a la empresa, quedan registradas con su autorización, el acceso se controla por rol y las campañas se filtran por quienes aceptaron recibirlas. Lo explicamos en CRM con WhatsApp y agentes de IA.

Seguridad: proteger lo que guardas

El principio de seguridad exige medidas técnicas, humanas y administrativas para evitar la pérdida, consulta, uso o acceso no autorizado de los datos. En un CRM, eso significa como mínimo:

• Control de acceso por rol: cada usuario ve solo lo que necesita. Un vendedor no necesita ver la cartera de otro; un operario no necesita ver los datos de los clientes.
• Autenticación robusta y políticas de contraseñas.
• Cifrado de la información en tránsito y buenas prácticas de protección en reposo.
• Aislamiento de datos entre empresas en plataformas en la nube.
• Registro de auditoría: quién consultó o modificó qué y cuándo.
• Copias de seguridad y plan de continuidad.
• Procedimiento ante incidentes: qué hacer si hay una fuga o un acceso indebido, incluyendo el reporte a la SIC cuando corresponda.

Al elegir proveedor, pregunta específicamente por estos puntos. La checklist para elegir un ERP en Colombia incluye un bloque completo de seguridad.

Datos en la nube y fuera de Colombia

Muchos servicios en la nube almacenan información en servidores ubicados fuera del país. La ley distingue dos situaciones: la transferencia, cuando los datos se envían a un responsable en otro país, y la transmisión, cuando se comunican a un encargado que los trata por cuenta del responsable. Para la transmisión a un encargado, un contrato que establezca sus obligaciones es la herramienta habitual. Para las transferencias internacionales, la norma exige que el país de destino ofrezca niveles adecuados de protección o que se cumpla alguna de las excepciones previstas.

En la práctica, pregunta a tu proveedor dónde se alojan los datos, con qué proveedores de infraestructura trabaja y qué garantías contractuales ofrece. Informa en tu política de tratamiento que los datos pueden alojarse en servicios en la nube y bajo qué condiciones.

Agentes de IA y protección de datos

Los agentes de IA que atienden clientes por WhatsApp o chat tratan datos personales en cada conversación, así que les aplican las mismas reglas. Algunas buenas prácticas:

• Informar al inicio: el agente puede presentarse como asistente virtual de la empresa e incluir el enlace a la política de tratamiento en el primer mensaje.
• Pedir solo lo necesario: para cotizar no hace falta la cédula; para facturar, sí. El agente debe solicitar datos según la etapa.
• No solicitar datos sensibles salvo que sea indispensable y con autorización explícita.
• Registrar todo en el CRM: la conversación, la autorización y las acciones del agente quedan como evidencia.
• Acceso mínimo: el agente solo consulta la información que necesita para su función.
• Proveedor con garantías: verifica cómo el proveedor de IA trata los datos de las conversaciones y que no se usen para fines ajenos al servicio.

Lo ampliamos en agentes de IA para empresas.

Cuánto tiempo conservar los datos

Los datos deben conservarse solo mientras sean necesarios para las finalidades autorizadas o mientras exista una obligación legal o contractual. Un prospecto que nunca compró y no ha tenido contacto en años, o un candidato a un empleo que no fue seleccionado, son ejemplos de datos que conviene revisar. Define una política de conservación por tipo de dato y aplícala periódicamente, depurando o anonimizando lo que ya no se necesita. Ten en cuenta que ciertos documentos, como los contables y laborales, tienen sus propios plazos legales de conservación.

Errores frecuentes en pymes

• Política copiada de internet que no describe lo que la empresa realmente hace con los datos.
• Casillas premarcadas o autorizaciones escondidas en textos largos.
• No poder demostrar la autorización cuando un titular la pide.
• Bases de datos en hojas de cálculo enviadas por correo o guardadas en memorias USB.
• Exempleados con acceso a sistemas o grupos de WhatsApp de clientes.
• Usar datos para finalidades no informadas, por ejemplo, enviar publicidad a quien solo autorizó el contacto por un pedido.
• Ignorar solicitudes de titulares o responderlas fuera de plazo.

Registro Nacional de Bases de Datos (RNBD)

El RNBD es el directorio público de las bases de datos sujetas a tratamiento que opera en el país, administrado por la SIC. Según la regulación vigente, la obligación de inscribir las bases de datos aplica a sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, además de las personas jurídicas de naturaleza pública. Aunque tu empresa no esté obligada a registrar, sí está obligada a cumplir el resto de la ley. Verifica tu situación en el sitio de la SIC.

Datos de empleados y proveedores

La ley no aplica solo a clientes. Tu empresa también trata datos de empleados (incluidos datos sensibles como información de salud en incapacidades o exámenes ocupacionales) y de proveedores. Los mismos principios aplican: autorización, finalidades, seguridad y acceso restringido. En un sistema integrado, los permisos por rol son esenciales para que, por ejemplo, la información médica de los trabajadores solo la vean las personas autorizadas en gestión humana y SG-SST. Ver gestión humana.

Sanciones: lo que está en juego

La SIC puede imponer sanciones que, según la ley, incluyen multas de hasta 2.000 salarios mínimos mensuales legales vigentes, suspensión de actividades relacionadas con el tratamiento, cierre temporal o cierre inmediato y definitivo de las operaciones de tratamiento. Más allá de la multa, un incidente de datos daña la confianza de los clientes, que es mucho más difícil de recuperar.

Un ejemplo práctico: del formulario a la campaña

Veamos cómo se ve el cumplimiento en un flujo comercial normal de una empresa que vende por internet y WhatsApp:

1. Captura: una persona llena el formulario de la web para pedir una demo. Marca la casilla de autorización (no premarcada) que enlaza a la política. El sistema guarda la fecha, la hora, la IP y la página.
2. Registro en el CRM: el contacto se crea con la finalidad “atención de solicitudes” autorizada. Como en el formulario había una segunda casilla opcional para recibir novedades y la persona la marcó, también queda registrada la finalidad comercial.
3. Atención: un vendedor la contacta por WhatsApp desde el número oficial de la empresa. La conversación queda en la ficha del contacto.
4. Campaña: un mes después, mercadeo envía un boletín. El sistema lo envía solo a los contactos con la finalidad comercial autorizada, y cada mensaje incluye la opción de dejar de recibirlo.
5. Revocatoria: la persona responde que no quiere más mensajes. El CRM actualiza su autorización y la excluye de futuras campañas.
6. Solicitud: meses después pide conocer qué datos tiene la empresa sobre ella. Se registra como PQRS, el sistema muestra los datos y la evidencia de autorización, y se responde dentro del plazo.

Nada de esto requiere procesos complicados cuando el sistema está preparado para ello.

Cómo debe ayudarte tu CRM a cumplir

Plan de cumplimiento en ocho pasos para una pyme

1. Inventaria tus bases de datos: clientes, prospectos, empleados, proveedores; dónde están y quién accede.
2. Redacta o actualiza tu política de tratamiento y publícala.
3. Diseña los avisos de privacidad y autorizaciones para cada canal.
4. Centraliza los datos en sistemas controlados y elimina las copias en celulares y hojas de cálculo personales.
5. Configura roles y permisos en tu CRM y ERP.
6. Firma acuerdos con tus encargados (proveedores de software, mercadeo, mensajería).
7. Define el procedimiento de atención a titulares y un responsable.
8. Capacita al equipo, especialmente a ventas, mercadeo y servicio al cliente.

Conclusión

Cumplir la Ley 1581 no es un obstáculo para vender: es la base para vender con confianza. Cuando tus clientes saben que sus datos se usan para lo que autorizaron, que están protegidos y que pueden ejercer sus derechos, la relación se fortalece. Un CRM que registra autorizaciones, controla accesos y facilita la atención de solicitudes convierte el cumplimiento en parte natural del trabajo diario.

Si hoy tus datos están repartidos entre celulares, correos y hojas de cálculo, el primer paso no es legal sino operativo: centralizarlos en un sistema con control de acceso. A partir de ahí, actualizar la política, ajustar las autorizaciones y capacitar al equipo es mucho más sencillo, porque sabes dónde está cada dato y quién lo usa.

Si quieres ver cómo maneja Gibra la seguridad y el aislamiento de datos, agenda una demo o revisa el CRM.

Preguntas frecuentes

¿Qué es la Ley 1581 de 2012?

Es la ley estatutaria de protección de datos personales en Colombia. Regula la recolección, almacenamiento, uso y circulación de datos de personas naturales y establece los derechos de los titulares y las obligaciones de responsables y encargados.

¿Necesito autorización para escribirle a un cliente por WhatsApp?

Necesitas autorización para tratar sus datos y para las finalidades que vayas a usar, incluida la comercial o publicitaria. Además, debes respetar las reglas sobre canales, horarios y frecuencia de contacto que establece la normativa vigente.

¿Quién es responsable de los datos que guardo en un CRM en la nube?

Tu empresa es la responsable del tratamiento. El proveedor del CRM actúa normalmente como encargado y debe tratar los datos solo según tus instrucciones y con medidas de seguridad adecuadas.

¿Cuánto tiempo tengo para responder una solicitud de un titular?

Las consultas deben responderse en máximo 10 días hábiles, prorrogables 5 días más. Los reclamos, en máximo 15 días hábiles, prorrogables 8 días más, informando siempre los motivos de la prórroga.

¿Mi empresa debe inscribirse en el RNBD?

Según la regulación vigente, la obligación aplica a sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a personas jurídicas de naturaleza pública. Verifica tu caso en el sitio de la Superintendencia de Industria y Comercio.

Actualizado: 7 de noviembre de 2026