Un gerente de tecnología en una empresa mediana decidió contratar un servicio en la nube con servidores en el extranjero. Lo que parecía una solución práctica se convirtió en un problema jurídico: la Superintendencia de Industria y Comercio (SIC) le notificó una investigación por transferir datos personales fuera del país sin medidas adecuadas de responsabilidad demostrada. No importó que el proveedor estuviera en un país con nivel “adecuado” de protección. La sanción fue inevitable.
Este escenario se repite cada vez más en Colombia. Las transferencias internacionales de datos no solo exigen cumplir la Ley 1581 de 2012, sino demostrarlo activamente. La responsabilidad demostrada (accountability) es hoy una obligación verificable, no un documento decorativo.
Privacidad que cruza fronteras: el riesgo invisible
La globalización digital convirtió a los datos personales en pasajeros permanentes de las fronteras. En un clic, una base de clientes puede alojarse en Irlanda, Estados Unidos o Corea. Pero cada transferencia internacional activa una cadena de obligaciones bajo la Ley 1581 de 2012 y el Decreto 1377 de 2013, reforzadas por las Circulares 5 y 8 de 2017 de la SIC
El principio de responsabilidad demostrada establece que las organizaciones deben ser capaces de probar —no solo prometer— que han implementado medidas efectivas para proteger los datos personales que salen del país. No basta con que el destino tenga un “nivel adecuado” de protección. El responsable debe documentar, evaluar y demostrar cumplimiento.
Esta exigencia nació del mismo espíritu que inspira el GDPR europeo, donde la “accountability” exige evidencia verificable de cumplimiento. Colombia adoptó esta lógica en su propio modelo, obligando a toda empresa o entidad a mostrar pruebas tangibles de protección efectiva antes, durante y después de transferir información.
La regla de oro: demostrar, no declarar
Según la Guía SIC, el responsable debe implementar medidas apropiadas y efectivas, revisadas de forma continua
“Apropiadas” significa ajustadas a los riesgos del tratamiento; “efectivas”, que logren realmente evitar daños o accesos no autorizados. En otras palabras, no sirven políticas genéricas o plantillas sin vida jurídica.
Cuando una empresa exporta datos, debe demostrar:
-
Que tiene autorización válida de los titulares o amparo legal.
-
Que el país receptor garantiza derechos equivalentes.
-
Que ha realizado una evaluación de impacto en privacidad (PIA) antes de enviar los datos.
-
Que su contrato internacional de transferencia incorpora cláusulas de seguridad, confidencialidad y límites de uso.
La SIC enfatiza que el cumplimiento se evidencia con documentación, auditorías, y sobre todo, con coherencia entre lo que se dice y lo que se hace.
Colombia y el principio de continuidad de protección
El artículo 26 de la Ley 1581 de 2012 prohíbe transferir datos a países sin nivel adecuado de protección, salvo que el titular autorice expresamente o exista norma especial. Pero incluso con un país “aprobado”, como España o Canadá, el responsable colombiano sigue obligado a demostrar que garantizó los derechos del titular.
Casos reales que marcaron precedente
En los últimos años, la SIC ha sancionado empresas de todos los sectores:
-
Movistar Colombia: por compartir datos con filiales sin consentimiento.
-
Rappi: por transferencias sin medidas verificables de seguridad.
-
Colegios privados: por tratar datos de niños sin consentimiento de los padres.
-
Empresas de videovigilancia: por transmitir imágenes a servidores externos sin contrato de transmisión válido.
Cada caso confirma que el riesgo no está en la intención, sino en la falta de evidencia. El cumplimiento no se presume, se prueba.
Comparativo internacional: GDPR, CCPA y LGPD
Colombia converge en esos estándares: la responsabilidad demostrada es su equivalente funcional. Aunque las sanciones locales aún no alcanzan magnitudes europeas, las investigaciones de la SIC se han multiplicado. La diferencia entre una amonestación y una multa de 2.000 SMLV puede depender de una política documentada o una simple omisión.
Privacidad desde el diseño y por defecto
Una de las recomendaciones centrales de la Guía SIC es incorporar la privacidad, ética y seguridad desde el diseño
Esto significa que la protección de datos debe integrarse desde el nacimiento del proyecto, no como un parche final.
El contrato internacional: donde se prueba la responsabilidad
Toda transferencia internacional debe sustentarse en un contrato ajustado a las particularidades de la operación. La Guía SIC lo define como el vehículo jurídico que articula las medidas de accountability
Debe incluir:
-
Finalidades específicas del tratamiento.
-
Derechos del titular garantizados por ambas partes.
-
Cláusulas de confidencialidad y seguridad.
-
Mecanismos para resolver incidentes y recuperar la información.
-
Responsabilidades conjuntas ante la autoridad.
Un contrato mal diseñado puede convertir un simple envío de datos en un delito, especialmente bajo la Ley 1273 de 2009, que penaliza la violación de datos personales con prisión de hasta ocho años.
Cómo se demuestra el cumplimiento
-
Auditorías periódicas internas y externas.
-
Evaluaciones de impacto y gestión de riesgos.
-
Designación de un Delegado de Protección de Datos (DPO) o su equivalente.
-
Programas de capacitación documentados.
-
Monitoreo de incidentes y trazabilidad de decisiones.
La SIC puede requerir en cualquier momento la demostración de estas medidas. Quien no pueda probarlas, incumple, aunque haya actuado de buena fe.
Cómo TODO EN UNO.NET puede ayudarte
En TODO EN UNO.NET aplicamos la Metodología de Cumplimiento Funcional Inteligente™, estructurada en tres fases:
📅 Agenda tu diagnóstico gratuito aquí: https://outlook.office365.com/owa/calendar/TodoEnUnoNET1@todoenuno.net.co/bookings/s/WMFJVeIvH0mCnhkPc_MDgA2
“Si hoy solucionas este problema con nosotros, seguiremos acompañándote para que no vuelva a ocurrir.”
Hace un año, un conjunto residencial en Bogotá fue sancionado por compartir imágenes de videovigilancia con su proveedor extranjero de seguridad sin contrato válido. Tras la sanción, acudieron a TODO EN UNO.NET.
“Proteger los datos no es un trámite: es un acto de respeto hacia quienes confían en tu empresa.”
