Datos de clientes y normas · Para dueños de negocio
Datos de tus clientes: guía de la Ley 1581 para negocios pequeños
Qué le exige la Ley 1581 de 2012 a un negocio con cita que pide nombre, cédula, correo y celular para reservar: autorización, aviso y política, datos sensibles, menores, plazos de respuesta, seguridad y Registro Nacional de Bases de Datos.
Por Equipo de Tecnotics · · 12 min de lectura
En 30 segundos
- Autorización previa e informada, por un medio que se pueda consultar después (Ley 1581, art. 9). El silencio nunca cuenta (Decreto 1074 de 2015, art. 2.2.2.25.2.4).
- Política de tratamiento con seis contenidos mínimos, y aviso de privacidad cuando no puedas mostrar la política en el momento (Decreto 1074, arts. 2.2.2.25.3.1 a 2.2.2.25.3.3).
- Datos sensibles: los de salud, vida sexual y biométricos piden autorización explícita, y ningún servicio puede condicionarse a entregarlos.
- Plazos: consulta en 10 días hábiles (prorrogables 5) y reclamo en 15 días hábiles (prorrogables 8) (Ley 1581, arts. 14 y 15).
- Registro Nacional de Bases de Datos (RNBD): solo sociedades y entidades sin ánimo de lucro con activos de más de 100.000 UVT, y entidades públicas.
¿La Ley 1581 aplica a una barbería o a un spa pequeño?
Sí. La Ley 1581 de 2012 es el régimen general de protección de datos personales en Colombia. No distingue entre una cadena de salones y una barbería de dos sillas: se aplica a los datos personales que estén en cualquier base de datos que permita tratarlos, sea de una empresa o de una persona natural.
Un dato personal es cualquier información vinculada o que pueda asociarse a una persona natural (art. 3, lit. c). El nombre del cliente, su cédula, su correo, su celular, la hora de su cita y el servicio que reservó son datos personales. Una base de datos es el conjunto organizado de esos datos (lit. b): la agenda en papel, el Excel, los contactos del celular del negocio o el software de reservas.
La autoridad es la Superintendencia de Industria y Comercio (SIC). Lo que sí cambia con el tamaño es la forma de demostrar que cumples: el Decreto 1074 de 2015 pide medidas proporcionales al tamaño del responsable (micro, pequeña, mediana o gran empresa), a la naturaleza de los datos y a los riesgos (art. 2.2.2.25.6.1).
¿Quién responde por los datos: tu negocio o el software?
La ley distingue dos papeles (art. 3):
- Responsable del tratamiento: quien decide sobre la base de datos y sobre el tratamiento de los datos.
- Encargado del tratamiento: quien trata los datos por cuenta del responsable.
Tu negocio decide qué datos pide, para qué los usa, a quién le escribe y cuánto tiempo los guarda. Por eso, frente a la base de clientes que tú construyes, la lectura más prudente es que el responsable eres tú. El papel exacto que cumple cada proveedor de software depende de sus términos y de su política, y conviene leerlos antes de contratar.
La regla práctica: el software es una herramienta, no un cumplimiento. La autorización, la política y la atención de reclamos siguen siendo tuyas. Entre los deberes del responsable están pedir y conservar copia de la autorización, informar la finalidad, conservar la información con seguridad, tramitar consultas y reclamos y adoptar un manual interno de políticas (Ley 1581, art. 17).
¿Qué datos de una reserva son personales y cuáles son sensibles?
Casi todo lo que pide una agenda es dato personal no sensible: nombre, documento, correo, celular, fecha y hora. Se tratan con autorización y con cuidado, pero sin las reglas reforzadas de los sensibles.
Los datos sensibles son los que afectan la intimidad o cuyo uso indebido puede generar discriminación. La ley nombra expresamente «los datos relativos a la salud, a la vida sexual y los datos biométricos» (art. 5). Su tratamiento está prohibido salvo excepciones, como la autorización explícita del titular (art. 6).
En un negocio con cita, el riesgo aparece por donde menos se espera:
| Lo que anotas | ¿Puede ser sensible? | Por qué |
|---|---|---|
| «Corte y barba» | No | Describe un servicio sin revelar nada íntimo |
| «Consulta de psicología», «sesión de fisioterapia» | Puede serlo | El servicio dice algo de la salud del cliente |
| «Alérgica a la cera», «diabetes», «embarazo» en las notas | Sí | Son datos relativos a la salud |
| Huella o reconocimiento facial para entrar al gimnasio | Sí | Son datos biométricos |
| Fotos de antes y después de un tratamiento facial | Puede serlo | La foto identifica y puede mostrar una condición de la piel |
Si de verdad necesitas un dato sensible, el Decreto 1074 pide informar que el cliente no está obligado a autorizarlo, decirle cuáles datos son sensibles y para qué, y obtener su consentimiento expreso. Además, «ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles» (art. 2.2.2.25.2.3). Un spa no puede negar un masaje porque el cliente no quiso contar su historia médica en un formulario.
Las reglas para spa, estética y consultorios están en datos sensibles en la agenda.
¿Cómo pedir la autorización de tus clientes?
La autorización es el «consentimiento previo, expreso e informado del Titular» (art. 3, lit. a). Las reglas:
- Cuándo: a más tardar en el momento de recoger los datos (Decreto 1074, art. 2.2.2.25.2.2). No sirve pedirla tres meses después.
- Cómo: por escrito, de forma oral o por conductas inequívocas que permitan concluir que la dio. «En ningún caso el silencio podrá asimilarse a una conducta inequívoca» (art. 2.2.2.25.2.4).
- Qué informar (Ley 1581, art. 12): el tratamiento y su finalidad; que es facultativo responder sobre datos sensibles o de menores; los derechos del titular; y tu identificación, dirección y teléfono.
- Prueba: debes conservarla (Decreto 1074, art. 2.2.2.25.2.5).
- Una finalidad por casilla: recordar la cita y enviar promociones son finalidades distintas. Pídelas por separado.
Hay casos en que no se necesita autorización, como los datos públicos o las urgencias médicas o sanitarias (Ley 1581, art. 10), pero ninguno cubre la gestión comercial normal de un negocio. Un modelo listo para el formulario, el mostrador y WhatsApp está en autorización de tratamiento de datos.
¿Qué es el aviso de privacidad y qué es la política?
Son dos documentos distintos, y el primero no reemplaza al segundo.
- La política de tratamiento es obligatoria para el responsable. Va por escrito, en lenguaje claro, y debe incluir como mínimo: tus datos de identificación y contacto; el tratamiento y la finalidad; los derechos del titular; la persona o el área que atiende solicitudes; el procedimiento para ejercer los derechos; y la fecha de vigencia de la política y de la base (Decreto 1074, art. 2.2.2.25.3.1).
- El aviso de privacidad es la comunicación corta que informa que la política existe, cómo consultarla y para qué usarás los datos. Se usa cuando no es posible poner la política a disposición en el momento (art. 2.2.2.25.3.2). Su divulgación no te exime de dar a conocer la política (art. 2.2.2.25.3.3).
Los cambios sustanciales de la política, como cambiar de responsable o de finalidad, se comunican antes de aplicarlos; si cambia la finalidad, necesitas una nueva autorización (art. 2.2.2.25.2.2). Una plantilla adaptada a un negocio con cita está en política de tratamiento de datos personales.
¿Qué pasa con los clientes menores de edad?
La ley prohíbe tratar datos de niños, niñas y adolescentes, salvo los de naturaleza pública (art. 7). El Decreto 1074 permite tratarlos cuando el tratamiento responde y respeta su interés superior y sus derechos fundamentales, y la autorización la da su representante legal, después de escuchar al menor (art. 2.2.2.25.2.9).
Para un corte infantil o una terapia de un adolescente, lo más prudente es que la cuenta y la autorización sean del acudiente. La guía de clientes menores de edad, al final, explica qué datos pedir y la regla especial de la cosmetología.
¿Qué derechos tiene tu cliente y en qué plazo debes responder?
El titular puede conocer, actualizar y rectificar sus datos; pedir prueba de la autorización; saber qué uso les has dado; quejarse ante la SIC; revocar la autorización o pedir la supresión; y acceder gratis a sus datos (Ley 1581, art. 8). A eso se le llama habeas data.
| Trámite | Plazo | Norma |
|---|---|---|
| Consulta (qué datos tienes de mí) | 10 días hábiles, prorrogables hasta 5 más avisando el motivo | Ley 1581, art. 14 |
| Reclamo (corregir, actualizar, suprimir, revocar) | 15 días hábiles desde el día siguiente al recibo, prorrogables hasta 8 más | Ley 1581, art. 15 |
| Reclamo incompleto | Pides que lo complete dentro de los 5 días; si en 2 meses no lo hace, se entiende desistido | Ley 1581, art. 15 |
| Leyenda «reclamo en trámite» | Dentro de los 2 días hábiles siguientes al reclamo completo | Ley 1581, art. 15 |
| Consulta gratuita | Al menos una vez cada mes calendario | Decreto 1074, art. 2.2.2.25.4.2 |
La supresión y la revocatoria no proceden cuando el titular tiene un deber legal o contractual de permanecer en la base (Decreto 1074, art. 2.2.2.25.2.6). Cómo responder paso a paso, con un modelo, está en un cliente pide que borres sus datos.
¿Cómo proteger los datos de tus clientes en el día a día?
La ley pide conservar la información con las medidas necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento (art. 4, lit. g, y art. 17, lit. d). En un negocio pequeño, eso se traduce en hábitos:
- Pide solo lo necesario. La recolección se limita a los datos pertinentes y adecuados para la finalidad (Decreto 1074, art. 2.2.2.25.2.1).
- Un usuario por persona. Que cada quien entre a la agenda con su propia cuenta y vea solo lo que necesita para su trabajo.
- Contraseñas propias y fuertes, que no se compartan en un papel pegado a la caja.
- Nada de bases en celulares personales. Cuando un empleado se va, la base del negocio no debería irse con él.
- Separa lo transaccional de lo publicitario. Recordar una cita no es lo mismo que mandar una promoción; la segunda necesita su propia autorización y respeta los horarios de la Ley 2300 de 2023 (qué mensajes puedes enviar).
- Cuida WhatsApp. Los grupos y las listas de difusión con clientes son una fuente común de problemas.
- Borra lo que ya no sirve. Los datos se guardan solo el tiempo razonable y necesario para la finalidad (art. 2.2.2.25.2.8).
¿Tu negocio debe inscribirse en el Registro Nacional de Bases de Datos?
Casi seguro que no. Solo están obligadas las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública (Decreto 1074, art. 2.2.2.26.1.2, modificado por el Decreto 90 de 2018). Con la UVT de 2026, 100.000 UVT equivalen a unos $5.237.400.000 de activos, según nuestro cálculo.
Una persona natural no se inscribe, ni una S.A.S. pequeña por debajo del tope. Pero no inscribirse no exime de lo demás: autorización, política, aviso, reclamos y seguridad siguen igual. El detalle está en ¿debes inscribir tu base en el RNBD?.
¿Qué puede sancionar la SIC?
La SIC puede imponer a responsables y encargados privados (Ley 1581, art. 23):
- multas de hasta 2.000 salarios mínimos mensuales legales vigentes, sucesivas mientras siga el incumplimiento;
- suspensión de las actividades de tratamiento hasta por 6 meses;
- cierre temporal si no se corrige;
- cierre inmediato y definitivo de la operación con datos sensibles.
Para graduarlas, mira el daño, el beneficio obtenido, la reincidencia, la resistencia a la investigación y el reconocimiento de la infracción (art. 24).
No es teoría. Según la SIC (noticia del 14/08/2025), abrió 55 investigaciones por datos personales en 2023, 83 en 2024 y 101 en lo corrido de 2025, y en marzo de 2025 multó con $214.405.120 a una empresa de comercio electrónico que condicionaba el acceso a la cuenta al reconocimiento facial. Y el 29/10/2025 informó que confirmó una multa de $670 millones a Colombia Telecomunicaciones (Movistar) por contactar con fines comerciales, por mensajes de texto, WhatsApp y llamadas, a personas que no lo habían autorizado.
Ejemplo: la revisión de datos de un spa
Valores y situaciones ilustrativos.
Supuestos: un spa de Bogotá, persona natural, con 3 terapeutas, una recepcionista, reservas por WhatsApp y por una página de reservas, y una ficha en papel donde se anotan alergias antes de los tratamientos faciales.
| Revisión | Hallazgo | Qué hacer |
|---|---|---|
| ¿Pide autorización? | No: se asume que quien reserva acepta | Casilla de autorización en la página y texto corto en WhatsApp |
| ¿Tiene política? | No | Redactar la política y publicarla con enlace en la página de reservas |
| ¿Datos sensibles? | Alergias en la ficha de papel | Autorización explícita, aviso de que responder es facultativo y ficha guardada con llave |
| ¿Promociones? | Mensajes de descuento a todos los contactos | Pedir autorización para publicidad aparte y ofrecer cómo darse de baja |
| ¿Accesos? | Todas usan la misma clave | Un usuario por persona |
| ¿RNBD? | No aplica: es persona natural | Cumplir todo lo demás |
Cómo se hace en MiTurno
MiTurno da acceso por roles: dueño, administrador, asesor y cliente, cada uno con lo que necesita para su trabajo, y las contraseñas se guardan cifradas. Según sus legales, el tratamiento se hace conforme a la Ley 1581. Eso ayuda en la parte de seguridad, pero no reemplaza lo que te toca como negocio: pedir la autorización de tus clientes, publicar tu política de tratamiento y atender sus consultas y reclamos.
Guías de este tema
- Autorización de tratamiento de datos: un modelo para el formulario de reserva, el mostrador y WhatsApp.
- Política de tratamiento de datos personales: una plantilla con los seis contenidos mínimos.
- Registro Nacional de Bases de Datos: quién se inscribe y quién no.
- Qué es el habeas data: los derechos del cliente y cómo ejercerlos.
- Ley 2300 de 2023: qué mensajes puedes enviar y en qué horario.
- Datos de clientes en WhatsApp: siete errores comunes y cómo evitarlos.
- Un cliente pide que borres sus datos: cómo responder y en qué plazo.
- Clientes menores de edad: qué datos pedir y quién autoriza.
- Estatuto del Consumidor para negocios con cita: precios, condiciones y reservas.
- Datos sensibles en la agenda: lo que un spa o un consultorio no debería anotar.
Organiza tu agenda con un usuario por persona y acceso según el rol de cada quien, y deja de tener la base de clientes regada en celulares. Prueba MiTurno un mes gratis, sin tarjeta.
Fuentes
- Ley 1581 de 2012, Secretaría del Senado (consultada el 26/10/2026)
- Decreto 1074 de 2015, caps. 2.2.2.25 y 2.2.2.26, Función Pública (consultada el 26/10/2026)
- Decreto 1377 de 2013, Función Pública (consultada el 26/10/2026)
- SIC, noticia del 14/08/2025 sobre investigaciones por datos personales (consultada el 26/10/2026)
- SIC, comunicado del 29/10/2025 sobre la sanción a Movistar (consultada el 26/10/2026)
- Resolución DIAN 000238 de 2025 (UVT 2026), normograma de la DIAN (consultada el 26/10/2026)
- Ley 2300 de 2023, Secretaría del Senado (consultada el 26/10/2026)
Verificado el 26/10/2026.
Preguntas frecuentes
¿Puedo pedir la cédula de mis clientes para que reserven?
Puedes, si tienes una finalidad clara para pedirla, como identificar al cliente o facturar a su nombre, y la informas al pedir la autorización. El Decreto 1074 de 2015 (art. 2.2.2.25.2.1) limita la recolección a los datos pertinentes y adecuados para la finalidad. Si no la necesitas, pedir menos datos reduce tu riesgo y tu trabajo.
¿Cuánto tiempo puedo guardar los datos de un cliente?
Solo el tiempo razonable y necesario para la finalidad que informaste, teniendo en cuenta tus obligaciones contables, fiscales y jurídicas (Decreto 1074 de 2015, art. 2.2.2.25.2.8). Cumplida la finalidad, debes suprimirlos, salvo que una norma te obligue a conservarlos. Escribe en tu política cuánto conservas cada tipo de dato y por qué.
¿Necesito nombrar un encargado de protección de datos?
Sí, todo responsable debe designar una persona o un área que asuma la función de protección de datos y tramite las solicitudes de los titulares (Decreto 1074 de 2015, art. 2.2.2.25.4.4). En un negocio pequeño puede ser el dueño o quien administra; lo importante es que el cliente sepa a quién y por dónde dirigirse.
¿Qué hago si me roban el celular con los contactos de los clientes?
Trátalo como un incidente de seguridad. Cambia las contraseñas de las cuentas del negocio, cierra sesiones abiertas y registra qué pasó y qué datos había. La Ley 1581 (art. 17, lit. n) obliga al responsable a informar a la autoridad de protección de datos cuando hay violaciones a los códigos de seguridad y riesgos para los titulares.
¿La Ley 1581 aplica si solo tengo los datos en un cuaderno?
Sí. La ley se aplica a los datos personales registrados en cualquier base de datos que los haga susceptibles de tratamiento, y el Decreto 1074 de 2015 reconoce las bases manuales, es decir, los archivos organizados en papel. Un cuaderno de citas con nombres y celulares es una base de datos personales.