Lo que comenzó como un ejercicio académico a partir del hallazgo de ciertas necesidades que tiene la Ley 1581 de 2012 se ha convertido en una travesía llena de experiencias, aprendizajes e intercambio de ideas que, poco a poco, ha enriquecido cada versión que ha tenido el proyecto que busca actualizar el actual régimen de protección de datos en Colombia.
En el año 2021, mi socia y colega Sara Mora se acercó con una idea que partía de una necesidad del ejercicio de la profesión, debido a las constantes transferencias que algunos clientes realizan a Colombia, y de la curiosidad académica por conocer qué se tenía en el país. Aunque para algunos puede ser muy mezquino, a veces los contrastes son los únicos lugares desde los que podemos identificar carencias. Y esto lo digo porque, para alguien acostumbrada a trabajar con referentes normativos más recios, la Ley 1581 de 2012 puede verse como una norma insuficiente.
Pero el camino que ha transitado Colombia en materia de protección de datos no comenzó con la Ley 1581 de 2012. Más bien, esta ley fue un hito que permitió materializar todo lo construido. Con la Constitución de 1991, se consagró en su artículo 15 el derecho que tienen todas las personas de conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas.
Y con este primigenio reconocimiento constitucional, se fue desarrollando una jurisprudencia que buscaba explorar y entender el alcance del derecho que en Colombia decidimos bautizar como el hábeas data.
Buscando modernizar una norma que ya se sentía anacrónica e incapaz de enfrentar los desafíos del tratamiento de datos personales en una era de hiperconexión, se comenzó, de manera transparente y abierta, a pavimentar el camino que permitiera una actualización normativa.
Proyecto de ley 156-2023C
Como ya lo mencionaba, existía una necesidad que provenía de la preocupación de la práctica profesional por regularizar las transferencias de datos que realizan algunos clientes a Colombia y de la falta de declaración de adecuación por parte de la Unión Europea.
El primer error fue asumir que lo de Colombia era insuficiente y tenía que desaparecer desde sus cimientos. En un primer ejercicio, por medio del Proyecto de Ley 156 de 2023C, se propuso un Régimen General de Protección de Datos que buscaba derogar por completo la Ley 1581 de 2012 y construir un nuevo punto de partida normativo, más parecido al Reglamento General de Protección de Datos.
En su momento, fue un proyecto que generó mucho malestar desde diferentes rincones académicos, sectores económicos y profesionales de la privacidad, porque barría con una cultura que había sido construida con jurisprudencia y una participación activa de la autoridad de protección de datos, la Superintendencia de Industria y Comercio (en adelante la SIC). Llegaron a calificar este proyecto como “colonialismo legislativo”.
El mayor pecado cometido era trazar un nuevo punto de partida, ignorando el camino que ya se había recorrido, pero fue algo que el intercambio y la sana crítica nos ayudaron a ver a tiempo.
Este primer proyecto era bastante extenso porque nos inundó la emoción de poder entregar una normativa más robusta al ciudadano, que hiciera frente a los fenómenos tecnológicos que se avecinaban y cubriera muchos vacíos normativos que se identificaron durante su desarrollo. Pero se erró en la metodología porque, dado el estado de la técnica, el punto de partida siempre debió ser la Ley 1581 de 2012.
Este primer proyecto fue percibido como una apuesta agresiva y arrogante. Pero, lejos de querer traer una visión impositiva, se pretendía armonizar la normativa colombiana con estándares internacionales ya aceptados por el país, como los de la Red Iberoamericana de Protección de Datos, y también entendiendo que, indirectamente, el efecto Bruselas ya se encontraba impactando las relaciones comerciales en Colombia.
Este primer proyecto tenía apuestas ambiciosas, como regular tratamientos específicos realizados por tecnologías de rastreo, los relacionados con la actividad comercial y profesional e incluso los realizados por neurotecnologías. No obstante, después de diferentes conversaciones, se hizo necesario realizar una reducción a esta primera propuesta.
Proyecto de ley 152-2024C
Luego de una primera experiencia, en la que se realizó una audiencia pública y se escucharon las preocupaciones de diferentes sectores que podrían verse impactados con la derogación total de la Ley 1581 de 2012, se propuso un nuevo cuerpo normativo en el Proyecto de Ley 152 de 2024C.
Este proyecto no solamente buscaba reducir drásticamente el contenido propuesto, sino, entregar la libertad de desarrollar a través de decretos regulatorios temas que fuera sectoriales o demasiado específicos para ser abordados en una norma que tiene vocación a la generalidad.
Este proyecto, al igual que su antecesor, también se proponía a derogar la Ley 1581 de 2012 e introducir instituciones jurídicas más homologas a los Estándares Iberoamericanos de Protección de Datos y al Reglamento General de Protección de Datos.
El anterior proyecto, pese a las críticas, sirvió para abrir la puerta al dialogo sobre la necesidad de actualizar la ley 1581 de 2012, y eso en sí mismo fue un logro. En esta segunda oportunidad, existieron aportes de diferentes sectores y todo y cada uno de ellos fueron tenidos en cuenta para la reestructuración del proyecto.
En esta ocasión, los esfuerzos se concentraron en fortalecer institucionales jurídicas esenciales para el régimen de protección de datos, como el ámbito de aplicación, los principios, derechos y las obligaciones de los diferentes actores en materia de protección de datos.
Pero este proyecto, con su propuesta derogatoria, también desaparecía el Registro Nacional de Bases de Datos (RNBD). Aunque esta último fue celebrado por muchos profesionales y sujetos obligados, significó uno de los primeros acercamientos comprensivos al trabajo que viene realizando la Superintendencia de Industria y Comercio.
La autoridad de protección de datos, desde la radicación del primer proyecto, propició espacios de discusión respetuosa sobre los puntos del proyecto. Entre sus variadas preocupaciones, las 2 principales fueron: partir de una derogación y no una modificación normativa; y la desaparición completa del RNBD.
Para la SIC, el RNBD desde su establecimiento, significó un instrumentó que ayudó a las empresas a crear cultura en torno a la protección de datos en Colombia, y era una base de datos que facilitaba las labores de vigilancia y control.
Esta preocupación fue tenida en cuenta en los proyectos de ley venideros.
Proyectos de Ley 214 de 2025 y 274 de 2025SC
El año pasado fue uno bastante emocionante desde que emprendimos esta travesía. Se logró un primer y segundo debate. Eso fue mucho más de lo que habíamos logrado antes.
En esta ocasión, nuestro camino se encontró con el de la Superintendencia de Industria y Comercio. La autoridad de protección de datos también, de forma paralela, pero mucho más reservada, venía trabajando en una propuesta legislativa que buscaba la modificación parcial de la Ley 1581 de 2012. Y lo que muchos podrían llamar coincidencia, yo lo llamaría resultado de una escucha activa. Esto nos llevó a tener proyectos que tenían un mismo objetivo: la modificación de la Ley 1581 de 2012.
Por el lado de la SIC, encontramos un proyecto que aumentaba los compromisos de protección de datos en el sector público, un clamor que venía desde distintos sectores y que señalaba, con justa razón, que el sector encargado de poner el ejemplo era uno de los ámbitos donde mayormente se identificaban vulneraciones. Sin embargo, la Ley 1581 de 2012, en un afán de resolver el conflicto de intereses que supone que una autoridad de la rama ejecutiva sancione a entidades de otras ramas del sector público, dejó esta labor en manos de la Procuraduría General de la Nación.
Pese a esto, y después de más de 10 años de existencia de la Ley, no ha habido mayores consecuencias para el sector, más allá de las órdenes impartidas por la SIC. En el proyecto de la SIC se crea una Procuraduría Delegada para la Protección de Datos y un régimen disciplinario para los servidores públicos.
Por este lado, se presentaba una propuesta construida a partir de diferentes comentarios y aportes de expertos, incluso aquellos realizados por la misma autoridad de protección de datos. Por lo que decidimos presentar un proyecto de modificación de la Ley 1581 de 2012 y no uno de derogatoria total.
Un proyecto que respetaba la cultura que ya se había construido e introducía, de forma respetuosa, aquellas instituciones jurídicas necesarias para poder hacer frente a la era del tratamiento de datos a gran escala, como las bases de legitimación para el tratamiento y quitar el papel protagónico a la autorización como única figura central; la introducción de los principios de explicabilidad, minimización y limitación del plazo de conservación; y derechos como la oposición, la portabilidad y el derecho a no ser sujeto de decisiones automatizadas.
En este punto, ambos proyectos resultaron en una acumulación por versar sobre la misma materia y juntos avanzaron en el debate legislativo, pero no lograron llegar a esta nueva legislatura, que se posesionó en julio de 2026.
Proyecto de Ley 282 de 2026
A día de hoy, para quien se encuentre leyendo esto en septiembre de 2026, y honrando el camino recorrido, las preocupaciones de diferentes sectores y el trabajo realizado por la SIC, se radicó el Proyecto de Ley 282 de 2026, cuyo enlace dejaré en las notas de este blog para quien así lo desee pueda consultarlo (1).
En esta propuesta, no solamente se recoge la apuesta de la SIC por vincular aún más al sector público en las responsabilidades que tienen que ver con la protección de datos personales, sino que se introducen reglas frente al tratamiento automatizado y a gran escala, impulsado por el vertiginoso desarrollo de modelos de inteligencia artificial con capacidad para procesar grandes volúmenes de información, y un refuerzo a las reglas que aplican a las transferencias internacionales en materia de protección de datos, que tienen como objetivo garantizar que los datos personales de los ciudadanos colombianos continúen contando con niveles adecuados de protección cuando sean tratados fuera del país.
Esperamos que buenos vientos legislativos acompañen esta nueva propuesta y llegue mucho más lejos que sus antecesoras. Sabíamos que no sería una travesía corta y que estaría llena de muchos desafíos, pero, por lo pronto, esperamos que llegue a buen puerto.
