Política de tratamiento de datos personales, lista en PDF
Toda empresa, conjunto o entidad que tenga clientes, empleados o visitantes debe tener y publicar su política de datos. Llena los datos de tu organización y recibe el documento completo (16 numerales según el Decreto 1377 de 2013) más la autorización para datos biométricos que deben firmar tus empleados, la cláusula para el contrato de trabajo y el formato de autorización general.
Tres cosas que la SIC revisa primero
Que la política exista y esté publicada
El Decreto 1377 de 2013 exige que el responsable adopte una política escrita, la publique y la entregue al titular cuando la pida. Sin documento no hay forma de probar las finalidades ni los plazos de respuesta.
Que puedas probar la autorización
La carga de la prueba es tuya. Un formato firmado, una casilla marcada con fecha e IP o una grabación. Para datos sensibles (huella, rostro, salud) la autorización tiene que ser explícita y separada, no una línea escondida en el contrato.
Que respondas a tiempo
Consultas en 10 días hábiles (más 5 de prórroga) y reclamos en 15 (más 8). La mayoría de las sanciones a pymes nacen de un reclamo que nadie contestó. El documento define el canal y el área responsable para que eso no pase.
Esta herramienta genera un documento base con el contenido mínimo exigido y las buenas prácticas de la Superintendencia de Industria y Comercio. No reemplaza la asesoría legal: revísalo con tu abogado antes de publicarlo, en especial si tratas datos de salud, de menores o haces transferencias internacionales.
Preguntas frecuentes sobre la política de datos
¿Qué empresas están obligadas a tener una política de tratamiento de datos personales?
Todas las personas naturales o jurídicas, públicas o privadas, que recolecten o traten datos personales en Colombia: una empresa con clientes y empleados, un conjunto residencial con planilla de visitantes, una IPS con historias clínicas, un colegio. La Ley 1581 de 2012 (art. 17) y el Decreto 1377 de 2013 (art. 13) exigen adoptar la política, publicarla y ponerla a disposición de los titulares. No depende del tamaño de la empresa.
¿Qué debe contener la política según el Decreto 1377 de 2013?
Como mínimo: nombre, domicilio, dirección, correo y teléfono del responsable; el tratamiento que se dará a los datos y su finalidad; los derechos de los titulares; la persona o área encargada de atender consultas y reclamos; el procedimiento para ejercer los derechos; y la fecha de entrada en vigencia y el período de vigencia de las bases de datos. La herramienta genera los 16 numerales con ese contenido más tres anexos.
¿Puedo usar la huella o el rostro de mis empleados para el control de asistencia?
Sí, con autorización previa, expresa e informada de cada trabajador, porque los datos biométricos son datos sensibles (art. 5 de la Ley 1581). La autorización debe explicar la finalidad, informar que la entrega es voluntaria y ofrecer una alternativa de identificación. El Anexo A del documento es exactamente ese formato. Sin autorización, el registro biométrico es una infracción sancionable por la SIC.
¿Qué pasa si un empleado no autoriza el uso de su huella o rostro?
Debes darle un medio alternativo (tarjeta, código o registro manual) y su negativa no puede ser causal de sanción ni afectar la relación laboral. En la práctica casi nadie se niega cuando se le explica que el equipo guarda una plantilla cifrada y no su foto. El Anexo B (cláusula contractual) y el Anexo A dejan esto por escrito.
¿Tengo que registrar mis bases de datos en el RNBD de la SIC?
El Registro Nacional de Bases de Datos es obligatorio para las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT (5.237.400.000 COP en 2026) y para las entidades públicas (Decreto 90 de 2018). Si tu empresa está por debajo de ese umbral, no debes registrar, pero sí debes tener y publicar la política.
¿Cuáles son las sanciones por no tener política o por tratar datos sin autorización?
La SIC puede imponer multas de hasta 2.000 salarios mínimos mensuales por infracción (art. 23 de la Ley 1581), suspender las actividades de tratamiento hasta por seis meses y ordenar el cierre temporal o definitivo de las operaciones relacionadas con el tratamiento. Las sanciones más frecuentes en pequeñas y medianas empresas son por no atender reclamos a tiempo y por no acreditar la autorización.
¿La herramienta tiene costo? ¿Reemplaza al abogado?
No tiene costo. Llenas los datos, recibes el PDF en tu correo y lo descargas. El documento recoge el contenido mínimo exigido y las buenas prácticas de la SIC, pero cada operación tiene particularidades: pide a tu asesor legal que lo revise antes de publicarlo, en especial si tratas datos de salud, de menores o haces transferencias internacionales.
¿Cómo pruebo que la persona autorizó?
Guardando el formato firmado (Anexos A o C), el registro del clic en una casilla con fecha, IP y texto aceptado, o la grabación de la autorización verbal. La Ley 1581 pone la carga de la prueba en el responsable: si no puedes demostrar la autorización, para la SIC no existe. Esta misma herramienta guarda la prueba de tu autorización al enviarte el PDF.
La política es el papel. ¿Tu sistema biométrico cumple lo que dice?
Revisamos cómo guarda las plantillas tu equipo, quién tiene acceso al software, si se borran los retirados y en qué red está conectado. Te lo entregamos por escrito, sin costo, de cualquier marca.