Cada día, más empresas migran su información a la nube sin dimensionar los riesgos que esto implica para los datos personales de sus clientes, empleados o proveedores. Aunque la computación en la nube ofrece eficiencia, escalabilidad y ahorro, también expone a las organizaciones a amenazas como fugas de información, accesos no autorizados y pérdida de control sobre los datos. La Superintendencia de Industria y Comercio (SIC) ha sido clara: la externalización no exime al responsable de cumplir la Ley 1581 de 2012 ni de garantizar la confidencialidad, integridad y disponibilidad de la información. Ignorar estas obligaciones puede derivar en sanciones millonarias, pérdida de reputación y demandas por vulneración de derechos fundamentales.
Si tu empresa ya usa la nube —o planea hacerlo—, este artículo te abrirá los ojos sobre cómo hacerlo correctamente y con garantías.
La nube: oportunidad y riesgo
Migrar a la nube es una decisión inteligente… solo si se hace con responsabilidad. Este modelo, que permite almacenar y procesar información a través de servidores remotos, reduce costos y aumenta la disponibilidad, pero también abre un campo de riesgo inexplorado para muchas organizaciones.
La SIC, en su cartilla Protección de los Datos Personales en los Servicios de Computación en la Nube, señala que todo responsable del tratamiento debe identificar, medir y mitigar los riesgos asociados a la información que externaliza
La Ley 1581 de 2012, el Decreto 1377 de 2013 y el Decreto Único 1074 de 2015 establecen que, aun cuando una empresa contrate un proveedor externo, la responsabilidad del tratamiento sigue siendo del cliente (Responsable del Tratamiento). El proveedor, denominado Encargado, solo actúa por cuenta del responsable y debe acatar las políticas de tratamiento definidas por este.
¿Qué está en juego?
Imagina una empresa que migra toda su base de datos a un proveedor extranjero sin verificar su cumplimiento normativo. Si ese proveedor sufre un ciberataque o permite accesos indebidos, los titulares afectados no demandarán al proveedor, sino a tu empresa.
Casos recientes en Colombia demuestran la gravedad del incumplimiento. La SIC ha sancionado a compañías por no informar adecuadamente sobre el uso de datos en servicios cloud, por transferencias internacionales sin autorización, y por falta de medidas de seguridad adecuadas. En 2023, por ejemplo, Rappi fue multada por vulnerar el principio de seguridad en la custodia de datos de sus usuarios, y en 2024 se han abierto procesos contra empresas que subcontratan plataformas de almacenamiento sin cumplir con el régimen de transmisión internacional.
El marco colombiano y sus obligaciones
La Ley 1581 de 2012 impone a los responsables el deber de:
-
Adoptar medidas de seguridad administrativas, técnicas y jurídicas.
-
Garantizar los derechos de los titulares.
-
Exigir a los encargados la confidencialidad y el cumplimiento de la norma.
Por su parte, el numeral 2.2.2.25.5.2 del Decreto 1074 de 2015 establece que, cuando el tratamiento de datos se realiza fuera del país, el contrato debe asegurar que el control y responsabilidad sigan en cabeza del responsable. Si no se ajusta a estas condiciones, deberá solicitarse una declaración de conformidad ante la SIC.
En pocas palabras: contratar un proveedor cloud no significa transferir tus obligaciones. Eres tú, como empresa, quien responde ante la autoridad y los titulares.
Riesgos identificados por la SIC y la Unión Europea
El Grupo de Trabajo del Artículo 29 —órgano consultivo de las autoridades europeas de protección de datos—, en su Dictamen 05/2012, advirtió que los principales riesgos del cloud computing son la falta de control y la falta de información sobre el tratamiento
En Colombia, la SIC adopta esta visión e identifica cuatro focos críticos:
-
Disponibilidad: pérdida o inaccesibilidad de la información.
-
Integridad: alteración no autorizada de datos.
-
Confidencialidad: exposición o fuga de información sensible.
-
Tercerización excesiva: desconocimiento de subencargados o localización de servidores.
Estos riesgos deben analizarse dentro de un sistema de administración de riesgos de datos personales, siguiendo las guías de Accountability (Responsabilidad Demostrada) publicadas por la SIC. Este enfoque, alineado con el GDPR europeo, obliga a las organizaciones a demostrar con evidencias sus prácticas de cumplimiento, no solo a declararlas.
El contrato: tu escudo jurídico
La cartilla enfatiza que el contrato entre el responsable y el proveedor de nube debe contemplar cláusulas específicas sobre:
-
Finalidad del tratamiento.
-
Manejo de incidentes de seguridad.
-
Subcontratación y cadena de encargados.
-
Confidencialidad de empleados y terceros.
-
Retorno y destrucción segura de datos.
-
Niveles de servicio y sanciones por incumplimiento
Si el proveedor se encuentra fuera de Colombia, el contrato debe incorporar las obligaciones de transmisión internacional previstas en el Decreto 1074 de 2015. En ningún caso puede alegarse desconocimiento o delegar completamente el control del tratamiento.
Comparativo internacional
Estas normas internacionales son referentes para Colombia, que avanza hacia la armonización regulatoria en materia de privacidad, impulsando la adopción de políticas de accountability corporativo, una línea que TODO EN UNO.NET promueve activamente desde hace más de una década.
Cómo TODO EN UNO.NET lo resuelve
Nuestra metodología integra tres fases complementarias:
Así garantizamos que tu empresa no solo cumpla la ley, sino que transforme el cumplimiento en confianza y reputación positiva.
“Si hoy solucionas este problema con nosotros, seguiremos acompañándote para que no vuelva a ocurrir.”
Una empresa de servicios tecnológicos en Manizales contrató un proveedor extranjero para almacenar los datos de sus usuarios. Todo funcionó bien hasta que un error del subencargado provocó la pérdida de parte de su base de clientes.
Agendamiento: Agenda una consulta
YouTube: Todo En Uno
NET
Twitter (X): Todo En Uno NET
Facebook: Todo En Uno
NET
Instagram: Todo En Uno
NET
LinkedIn: Todo En Uno NET
Comunidad de WhatsApp: Únete a
nuestros grupos
Comunidad de Telegram: Únete a nuestro canal
PAGINA WEB: Todo En Uno Net S.A.S. – Tecnología que no se
detiene
Blog: CUMPLIMIENTO HABEAS DATA -
DATOS PERSONALES
👉 “¿Quieres más tips como este? Únete al grupo exclusivo de WhatsApp o
Telegram”.
“Cumplir la ley es importante, pero hacerlo con sentido transforma la cultura digital de tu empresa.”
