Respuesta corta: si tu pyme guarda nombres, teléfonos, correos o historiales de compra en un CRM, eres responsable del tratamiento de datos personales y la Ley 1581 de 2012 te obliga a pedir autorización previa e informada, publicar una política de tratamiento, atender consultas en 10 días hábiles y reclamos en 15, proteger los datos y poder probar todo ante la SIC. La inscripción en el Registro Nacional de Bases de Datos (RNBD) solo es obligatoria para sociedades con activos superiores a 100.000 UVT; las demás obligaciones aplican a todas.
Actualizado: octubre de 2026
Este artículo es información general y no reemplaza la asesoría de un abogado. Las normas se citan para que sepas qué preguntar y qué documentar; la interpretación para tu caso debe validarla un profesional.
¿Qué es el Habeas Data y por qué afecta a tu CRM?
El Habeas Data es el derecho fundamental de toda persona a conocer, actualizar y rectificar la información que sobre ella se recoge en bases de datos. En Colombia lo desarrolla la Ley Estatutaria 1581 de 2012.
Un CRM es una base de datos personales: cada contacto tiene identificación, teléfono, correo, empresa e historial de conversaciones. La ley no prohíbe tenerlo; exige que sepas qué datos guardas, para qué, con qué permiso y por cuánto tiempo. Tres figuras ordenan todo:
- Titular: la persona dueña de los datos (cliente, prospecto, proveedor o empleado).
- Responsable: quien decide sobre la base y su tratamiento. Casi siempre, tú.
- Encargado: quien trata datos por cuenta del responsable: el proveedor de tu CRM, tu agencia que carga leads, el freelance que envía tus correos.
No puedes trasladar tu obligación al proveedor del software. Puedes y debes exigirle un contrato, pero la relación con el titular sigue siendo tuya.
¿Qué normas aplican hoy y cuáles cambiaron?
| Norma | Qué regula |
|---|---|
| Ley 1581 de 2012 | Principios, autorización, derechos, deberes y sanciones |
| Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015 (Libro 2, Parte 2, Título 2, Capítulo 25) | Autorización, aviso de privacidad, política, transmisiones y accountability |
| Decreto 1074 de 2015, Capítulo 26 (modificado por el Decreto 1759 de 2016) | Registro Nacional de Bases de Datos (RNBD) |
| Circular Externa 002 de 2024 de la SIC | Lineamientos para tratar datos personales en sistemas de IA |
| Ley 2300 de 2023 | Horarios y canales para contactar consumidores, incluida la publicidad |
El Decreto 1377 sigue siendo la referencia que todos citan, pero su contenido hoy vive dentro del Decreto 1074 de 2015. Si un contrato o una auditoría menciona uno u otro, hablan del mismo cuerpo de reglas. Los plazos iniciales de inscripción en el RNBD (2017 y 2018) ya vencieron; sigue vigente inscribir las bases nuevas dentro de los dos meses siguientes a su creación.
¿Hay una reforma de la Ley 1581 en trámite?
En agosto de 2025 el Gobierno radicó en la Cámara un proyecto para actualizar la ley: nuevas bases legales para tratar datos, reglas sobre perfilamiento y menores, accountability como principio y multas de hasta 10.000 salarios mínimos. Pasó primer debate en la Comisión Primera en octubre de 2025. A la fecha, el registro de la Cámara lo consigna como archivado por el artículo 190 de la Ley 5 de 1992 (la página no explica el motivo), así que sigue rigiendo la Ley 1581 de 2012 sin esos cambios. No pudimos verificar si hay una nueva versión radicada; pregúntalo a tu abogado antes de rediseñar procesos. Minimizar datos y dejar trazabilidad te sirve en cualquier escenario.
¿Qué principios debe respetar el tratamiento de datos en un CRM?
El artículo 4 de la Ley 1581 enumera ocho: legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad. Si recuerdas dos, que sean finalidad (usar los datos solo para lo que el titular autorizó: recoger un correo para facturar y usarlo para campañas es el error clásico) y seguridad (donde las pymes tienen huecos reales: exportaciones a Excel por WhatsApp, todo el equipo con permisos de administrador, vendedores que se llevan su cartera al salir). La veracidad también pesa: duplicados y contactos desactualizados que nadie depura son incumplimiento silencioso.
¿Cómo debe ser la autorización para guardar a alguien en tu CRM?
El artículo 9 exige autorización previa e informada, obtenida por un medio que permita consulta posterior. El Decreto 1377 agrega que se pide a más tardar al recolectar los datos, con finalidades específicas, que puede ser escrita, verbal o resultar de conductas inequívocas, y que el silencio nunca equivale a autorización. Tú debes conservar la prueba.
¿Qué debe decir el texto de autorización?
El artículo 12 define lo que debes informar. Úsalo como contenido mínimo:
- Quién eres: razón social, NIT y un canal de contacto para datos.
- Qué datos recoges y para qué finalidades, separadas (atender la solicitud, cotizar, enviar información comercial).
- Que responder sobre datos sensibles o de menores es facultativo.
- Los derechos del titular: conocer, actualizar, rectificar, pedir prueba de la autorización, revocarla, acceder gratis y quejarse ante la SIC.
- Dónde está publicada la política de tratamiento.
Ejemplo de redacción corta para un formulario (adáptala con tu abogado):
Autorizo a [Razón social], NIT [número], para tratar mis datos (nombre, teléfono, correo y empresa) con el fin de responder mi solicitud y enviarme la cotización. Marco por separado si también deseo recibir información comercial. Conozco mis derechos y la política disponible en [enlace]. Para consultas o reclamos escribo a [correo].
¿Qué evidencia debes guardar en el CRM?
Por contacto: fecha y hora de la autorización, canal (formulario, WhatsApp, evento, llamada grabada), versión del texto aceptado y finalidades aceptadas. Si cambias la finalidad, necesitas nueva autorización; por eso conviene tener dos casillas independientes y desmarcadas, una operativa y una comercial.
¿Qué pasa con tarjetas de presentación, bases compradas y contactos antiguos?
- Tarjetas de ferias: entregar una tarjeta puede entenderse como permiso para contactarte sobre lo conversado, no para cualquier campaña. Envía un primer mensaje que informe la política y ofrezca salirse.
- Bases compradas o prestadas: si no puedes demostrar que el titular autorizó esa finalidad, no las cargues. La carga de la prueba juega en tu contra.
- Datos públicos en internet: que un dato sea accesible no lo vuelve público a efectos legales; la SIC lo dejó explícito en su circular sobre IA.
- Contactos antiguos sin autorización documentada: deja de usarlos para marketing, pide autorización por un canal de bajo riesgo o depúralos.
¿Qué datos exigen más cuidado: sensibles y de menores?
Los datos sensibles (origen racial o étnico, orientación política, convicciones religiosas, sindicatos, salud, vida sexual, biometría) solo pueden tratarse en los casos del artículo 6, como la autorización explícita, y nada puede condicionarse a que los entregues. En un CRM aparecen sin planearlo: notas donde el vendedor escribe que el cliente “está enfermo”, historiales de salud en una óptica o gimnasio, huellas para control de acceso, fotos de cédulas archivadas por chat. Prohíbe por política escribir datos sensibles en campos libres y, si tu negocio los necesita, aíslalos con permisos reducidos y autorización específica.
Con niños, niñas y adolescentes la regla es no tratar sus datos salvo los de naturaleza pública y, cuando sea posible, con autorización del representante legal y respeto a su interés superior. Si vendes ropa infantil o inscribes alumnos, documenta quién autorizó.
¿Qué son la política de tratamiento y el aviso de privacidad?
La política es el documento completo: datos del responsable, tratamiento y finalidades, derechos, área y procedimiento para consultas y reclamos, y fecha de vigencia. Va en tu sitio web, accesible desde todo formulario. El aviso de privacidad es la versión corta para cuando no puedes mostrar la política (ferias, llamadas, chats): responsable, finalidad, derechos y cómo consultar la política. Los cambios sustanciales se comunican antes de aplicarse y debes guardar cada versión del aviso. La SIC aclara que quienes no deben inscribirse en el RNBD igualmente deben tener política, aviso, procedimiento de reclamos y medidas de seguridad: no existe la pyme exenta.
¿En qué plazos debes responder consultas y reclamos?
| Solicitud | Plazo | Prórroga |
|---|---|---|
| Consulta (ver sus datos) | 10 días hábiles | Hasta 5 días hábiles más, con motivo y nueva fecha |
| Reclamo (corregir, suprimir, revocar) | 15 días hábiles desde el día siguiente a la recepción | Hasta 8 días hábiles más, con motivo |
| Reclamo incompleto | Pides subsanar en 5 días | A los 2 meses sin respuesta se entiende desistido |
Dentro de 2 días hábiles de recibido un reclamo completo debes marcar el dato con la leyenda “reclamo en trámite”. La supresión procede salvo deber legal o contractual de conservar: un cliente con factura vigente no puede exigir que borres lo que la sustenta, pero sí que dejes de enviarle publicidad.
¿Cómo operarlos desde el CRM?
- Un canal único (por ejemplo, datos@tuempresa.com) publicado en la política.
- Cada solicitud es un caso con fecha de recepción y fecha límite en días hábiles.
- Un responsable interno y un suplente.
- Un campo “reclamo en trámite” que bloquea las campañas a ese contacto.
- Respuesta escrita archivada, con la acción tomada.
- Contador semestral de reclamos, que necesitarás si estás obligado al RNBD.
Ejemplo ilustrativo: una tienda de repuestos en Cali recibe un lunes un reclamo completo para eliminar un contacto. Marca el registro en 2 días hábiles, excluye al contacto de las campañas por WhatsApp desde el primer día y responde dentro de los 15 días hábiles.
¿Debe tu pyme inscribir su CRM en el RNBD?
El RNBD es el directorio de bases de datos que administra la SIC. Según la SIC, están obligados las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas públicas. Los establecimientos de comercio y las sucursales no están obligados. Con la UVT de 2026 fijada por la DIAN en $52.374 (Resolución 000238 de 2025), 100.000 UVT equivalen a $5.237.400.000 en activos totales.
| Situación (ejemplos ilustrativos) | ¿Inscribir en RNBD? | ¿Resto de la Ley 1581? |
|---|---|---|
| S.A.S. con activos totales de $1.800 millones | No | Sí |
| S.A.S. con activos totales de $6.000 millones | Sí | Sí |
| Establecimiento de comercio | No | Sí, a través de su titular |
Si estás obligado, las fechas operativas que hemos podido verificar son: bases nuevas, dentro de los dos meses siguientes a su creación; cambios sustanciales, dentro de los primeros 10 días hábiles del mes siguiente; actualización anual, antes del 31 de marzo; y reporte semestral de reclamos (en 2026, el del primer semestre venció el 25 de agosto). Confirma el calendario vigente en el portal de la SIC, porque se ajusta por circular.
¿Cómo hacer el inventario de datos en una tarde?
Reúne todas las bases con datos personales, no solo el CRM: hojas de cálculo, WhatsApp Business, software contable, plataforma de correos, formularios y el drive.
| Base | Finalidad | Autorización | Encargado | Retención (ilustrativa) |
|---|---|---|---|---|
| CRM comercial | Cotizar y vender | Formulario web y WhatsApp con registro | Proveedor del CRM | 2 años sin actividad |
| Plataforma de correos | Boletín | Casilla independiente | Proveedor de correos | Hasta la baja |
| Hoja de ferias | Seguimiento | Tarjeta y primer mensaje informativo | Ninguno | 6 meses |
Define tus plazos de retención con abogado y contador: ciertas obligaciones contables y tributarias exigen conservar documentos. La regla general del Decreto 1377 es suprimir los datos cuando se cumplen las finalidades, salvo obligación legal o contractual.
¿Qué seguridad y qué contrato necesitas con tu proveedor de CRM?
La ley no fija una lista técnica cerrada: exige medidas apropiadas y proporcionales, y que puedas demostrarlas. Para una pyme, un mínimo razonable:
- Usuarios individuales con autenticación en dos pasos; nada de cuentas compartidas.
- Roles con permisos mínimos y exportación restringida a un administrador.
- Registro de auditoría: quién vio, editó o exportó qué.
- Copias de seguridad cifradas, con prueba de restauración anual.
- Baja inmediata de accesos cuando alguien sale de la empresa.
- Plan de incidentes: quién decide, a quién se avisa y cómo se documenta.
Los artículos 17 y 18 obligan a responsables y encargados a informar a la SIC sobre violaciones a los códigos de seguridad. Define quién hace ese reporte y consulta el canal y plazo vigentes en la Circular Única.
Cuando entregas datos a un proveedor, el Decreto 1377 habla de transmisión: no requiere nueva autorización del titular si existe un contrato que defina alcance, actividades y obligaciones del encargado (tratar según los principios, garantizar seguridad, mantener confidencialidad). Pide además lista de subencargados, ubicación del almacenamiento, plazo para devolver o borrar tus datos, aviso de incidentes y apoyo para atender reclamos. Si los datos salen del país, aplica el régimen de transferencias del artículo 26 de la Ley 1581; consulta con tu abogado cuál es tu caso.
¿Cómo cumplir al enviar publicidad por WhatsApp, correo o SMS?
Se juntan la Ley 1581 (autorización) y la Ley 2300 de 2023, que según su texto extiende sus reglas a la publicidad por SMS, aplicaciones de mensajería, correo y llamadas comerciales: contacto de lunes a viernes de 7:00 a. m. a 7:00 p. m. y sábados de 8:00 a. m. a 3:00 p. m., sin domingos ni festivos salvo aceptación expresa en un instrumento aparte; inclusión en bases promocionales solo con aceptación explícita; prohibido condicionar una compra a aceptar publicidad; y mecanismo sencillo para dejar de recibirla. En el CRM: envíos programados por horario, una etiqueta “no contactar” que bloquee todos los canales y la casilla comercial separada. Para WhatsApp, revisa también cómo operar un agente de IA con permisos, alertas y paso a humano.
¿Qué cambia si conectas IA a tu CRM?
Un asistente que lee el historial de clientes o resume llamadas es un tratamiento más. La Circular Externa 002 de 2024 de la SIC establece que la Ley 1581 aplica sin importar la tecnología; que los datos privados, semiprivados o sensibles obtenidos de internet requieren autorización previa; que cuando el riesgo para los titulares es alto debe documentarse una evaluación de impacto antes de diseñar el sistema; y que se espera privacidad desde el diseño y capacidad de probar que las medidas funcionan. Antes de activar una función de IA, revisa qué datos le envías, si el proveedor del modelo los usa para entrenar, dónde se procesan y si tu autorización cubre esa finalidad. Si el agente además genera documentos, mira cómo cotiza y guarda todo en el CRM.
¿Cuáles son los errores más frecuentes?
- Una política copiada de otra empresa, que menciona finalidades que tu negocio no tiene.
- Autorización escondida en términos y condiciones, sin casilla ni registro.
- Casillas premarcadas o silencio como consentimiento.
- Una sola casilla para cotizar y para publicidad.
- Nadie responsable de reclamos: el plazo de 15 días hábiles corre aunque el correo esté sin leer.
- Bases compradas y datos sensibles en notas libres.
¿Qué sanciones prevé la Ley 1581?
El artículo 23 faculta a la SIC para imponer multas de hasta 2.000 salarios mínimos mensuales (sucesivas mientras persista el incumplimiento), suspender el tratamiento hasta por seis meses, ordenar cierre temporal y, si hay datos sensibles, cierre definitivo de las operaciones. El artículo 24 gradúa la sanción según el daño, el beneficio obtenido, la reincidencia y si reconociste la infracción antes. Lectura práctica: la SIC pesa la diligencia que puedas probar. Una pyme con política, autorizaciones registradas y reclamos documentados queda en otra posición que una sin nada por escrito.
Lista de chequeo de Habeas Data en tu CRM
- Política de tratamiento propia, con fecha, publicada en el sitio.
- Aviso de privacidad para ferias, llamadas y chats.
- Autorización con finalidades separadas y casilla comercial independiente.
- Campos de evidencia: fecha, canal, versión del texto, finalidades.
- Etiqueta “no contactar” y campo “reclamo en trámite”.
- Canal de reclamos, responsable y suplente designados.
- Roles mínimos, doble autenticación y registro de auditoría.
- Contratos de transmisión con proveedores y agencias.
- Inventario de bases, retención definida y depuración semestral.
- Verificación anual de activos frente al umbral de 100.000 UVT.
Un plan de 30 días: semana 1, inventario; semana 2, documentos con tu abogado; semana 3, configuración del CRM; semana 4, contratos, flujo de reclamos y capacitación. Estos requisitos encajan con la guía para elegir un CRM para tu pyme colombiana: inclúyelos en tu lista de evaluación.
Cómo lo hacemos en Pixel & Ideas
Implementamos CRM para pymes con el cumplimiento configurado desde el primer día: campos de evidencia de autorización, etiquetas de no contactar, roles por cargo, registro de auditoría y flujos para atender consultas y reclamos con fechas límite. También conectamos agentes de IA con permisos acotados para que no accedan a más datos de los necesarios. Los textos legales los valida tu abogado; nosotros los traducimos a campos, reglas y automatizaciones que tu equipo cumpla sin trabajo manual. Si quieres revisar cómo está hoy tu base de clientes, escríbenos.
Preguntas frecuentes
¿Necesito autorización para guardar el teléfono de un cliente en mi CRM?
Sí, por regla general. El teléfono es un dato personal y la Ley 1581 exige autorización previa e informada, que puede ser escrita, verbal o derivada de conductas inequívocas, siempre con prueba disponible. Existen excepciones, como datos públicos o requeridos por una autoridad, pero en el comercio cotidiano lo prudente es informar la finalidad al recolectar el dato y registrar cómo y cuándo se obtuvo el permiso.
¿Mi pyme está obligada a inscribir el CRM en el Registro Nacional de Bases de Datos?
Solo si eres sociedad o entidad sin ánimo de lucro con activos totales superiores a 100.000 UVT, o una entidad pública. Con la UVT de 2026 ($52.374), el umbral es de $5.237.400.000. Los establecimientos de comercio y las sucursales no están obligados. Estar exento del registro no te exime de política, autorización, reclamos y seguridad.
¿En cuánto tiempo debo responder si un cliente pide ver o borrar sus datos?
Las consultas se responden en 10 días hábiles, prorrogables 5 días hábiles más con justificación. Los reclamos para corregir, suprimir o revocar, en 15 días hábiles, prorrogables 8 más. Dentro de los 2 días hábiles siguientes a recibir un reclamo completo debes marcar el dato con la leyenda “reclamo en trámite”.
¿Puedo enviar publicidad por WhatsApp a todos los contactos de mi CRM?
Solo a quienes autorizaron esa finalidad comercial de forma explícita y dentro del horario de la Ley 2300 de 2023: lunes a viernes de 7:00 a. m. a 7:00 p. m., sábados de 8:00 a. m. a 3:00 p. m., sin domingos ni festivos salvo aceptación expresa. Debes ofrecer una forma sencilla de dejar de recibir mensajes y respetarla de inmediato en todos los canales.
¿El proveedor de mi software de CRM responde por los datos de mis clientes?
Comparte responsabilidad, pero no te sustituye. Actúa como encargado y debe cumplir los deberes del artículo 18 de la Ley 1581, pero tú sigues siendo el responsable ante el titular y la SIC. Por eso necesitas un contrato de transmisión que defina alcance, seguridad, confidencialidad, subencargados, notificación de incidentes y devolución o borrado de datos.
¿La reforma de la Ley 1581 ya está vigente?
No hemos verificado una reforma vigente. El proyecto radicado en agosto de 2025 figura como archivado en el registro de la Cámara de Representantes, por lo que rige la Ley 1581 de 2012 y sus decretos. Pregunta a tu abogado si hay una nueva iniciativa en trámite antes de rediseñar procesos, y mientras tanto aplica minimización de datos y trazabilidad.
Fuentes y lecturas
- Ley 1581 de 2012 (compilación de la DIAN) — principios, autorización, derechos, plazos, deberes y sanciones
- Decreto 1377 de 2013 (Cancillería) — autorización, aviso, política, transmisiones y accountability
- Decreto 1759 de 2016 (SIC) — modificación del artículo 2.2.2.26.3.1 del Decreto 1074 de 2015 y plazos del RNBD
- SIC: quiénes deben registrarse en el RNBD — umbral de 100.000 UVT y obligaciones de quienes no se inscriben
- Resolución DIAN 000238 de 2025 — valor de la UVT 2026
- Circular Externa 002 de 2024 de la SIC — datos personales en sistemas de IA
- Ley 2300 de 2023 — horarios, canales y publicidad
- Cámara de Representantes: proyecto de protección de datos — estado del proyecto de reforma
- SIC: radicación del proyecto de actualización — contenido propuesto en agosto de 2025