Una entidad pública puede tener políticas, avisos, contratos y sistemas seguros, y aun así haber perdido el control sobre los datos que administra. Basta una integración en la nube, un reconocimiento facial innecesario, una automatización sin trazabilidad o una IA conectada a información institucional para que el riesgo deje de ser documental y se vuelva estructural.
La verdadera pregunta ya no es únicamente si la entidad cumple la Ley 1581 de 2012. Es si todavía sabe qué datos tiene, quién los usa, para qué los usa, dónde circulan, qué tecnología los procesa y qué ocurriría si mañana necesitara detener ese tratamiento.
Esa diferencia separa el cumplimiento formal del verdadero gobierno de la información.
👉 LEE NUESTRO BLOG…
La administración pública está entrando en una etapa en la que proteger datos personales será cada vez menos un problema de archivos y cada vez más un problema de arquitectura organizacional.
Durante años fue relativamente sencillo visualizar el tratamiento de información: formularios, expedientes, hojas de cálculo, bases de datos, cámaras, correos electrónicos y sistemas institucionales. Hoy una misma información puede atravesar plataformas de atención ciudadana, servicios en la nube, contratistas, sistemas biométricos, herramientas de analítica, automatizaciones, integraciones API, aplicaciones móviles, WhatsApp, proveedores tecnológicos y soluciones de inteligencia artificial.
La información ya no permanece quieta.
Se mueve.
Se replica.
Se transforma.
Y precisamente allí aparece uno de los riesgos menos visibles de la transformación digital: que una organización siga siendo jurídicamente responsable de información sobre la cual operacionalmente ha comenzado a perder control.
El documento analizado parte de una premisa que conserva plena relevancia: las entidades estatales también son Responsables del Tratamiento y deben observar los principios y deberes de protección de datos aun cuando determinadas actividades puedan realizarse sin autorización del titular por existir una habilitación legal. El mismo documento insiste en evaluación de impacto, privacidad desde el diseño, responsabilidad demostrada, gestión de encargados, seguridad, eliminación de información, interoperabilidad y construcción de confianza.
Ese planteamiento adquiere todavía más importancia en 2026.
La Ley Estatutaria 1581 de 2012 continúa constituyendo el eje central del régimen general colombiano de protección de datos personales. Su aplicación comprende, con las excepciones previstas en la propia ley, el tratamiento realizado en territorio colombiano y determinadas situaciones en las que responsables o encargados no establecidos en Colombia están sometidos a la legislación nacional.
Su desarrollo reglamentario está compilado fundamentalmente en el Decreto 1074 de 2015. Posteriormente, el Decreto 255 de 2022 incorporó al régimen las condiciones relacionadas con las Normas Corporativas Vinculantes para transferencias de datos dentro de grupos empresariales.
Pero entender la protección de datos únicamente como una colección de normas sería quedarse mirando el problema desde atrás.
La transformación relevante está ocurriendo en la forma en que las organizaciones producen, utilizan y comparten información.
Una entidad puede tener perfectamente publicada su Política de Tratamiento de Información y, al mismo tiempo, desconocer qué información personal está siendo enviada a una herramienta tecnológica contratada seis meses atrás.
Puede saber quién administra su base de datos principal, pero no qué proveedor procesa las grabaciones de voz de su contact center.
Puede conocer dónde están alojados sus servidores, pero ignorar qué información utilizan los modelos de inteligencia artificial incorporados en una plataforma adquirida como servicio.
Puede exigir cláusulas de confidencialidad y aun así no disponer de trazabilidad suficiente para responder una pregunta aparentemente sencilla:
¿Quién tuvo acceso a este dato?
Ahí comienza la diferencia entre tener documentos y tener gobierno de información.
La Arquitectura de Protección de Datos y Confianza Digital empieza precisamente donde termina el simple cumplimiento documental.
https://t.mtrbio.com/habeas-data
Una autorización no gobierna una organización
Uno de los errores más frecuentes consiste en imaginar que la protección de datos comienza y termina con una autorización.
No es así.
En determinadas actuaciones de una entidad pública incluso puede no requerirse autorización cuando la información es necesaria para el ejercicio de funciones legales. Pero esa excepción no convierte la información en un recurso disponible sin límites.
El documento adjunto lo explica con especial claridad: la ausencia de autorización no elimina la protección del hábeas data ni libera a la entidad de principios como finalidad, legalidad, circulación restringida, seguridad, transparencia y confidencialidad.
Una entidad estatal no debería preguntarse solamente:
“¿Podemos recolectar este dato?”
La pregunta organizacional más madura es:
“¿Es realmente necesario incorporarlo a nuestro ecosistema de información?”
La diferencia parece pequeña, pero cambia completamente el tratamiento.
Cada dato adicional crea obligaciones.
Cada copia genera exposición.
Cada integración crea dependencia.
Cada tercero aumenta la superficie organizacional que debe gobernarse.
Cada nuevo sistema tecnológico introduce decisiones sobre acceso, conservación, transmisión, seguridad, interoperabilidad y eliminación.
Por eso el principio de minimización adquiere un significado empresarial profundo: la información que una organización no necesita posiblemente tampoco debería asumir el costo y el riesgo de administrarla.
La guía analizada propone que el tratamiento se limite a información adecuada, pertinente y necesaria para las finalidades establecidas, además de recomendar evaluaciones de impacto cuando exista un riesgo elevado para los titulares.
En tiempos de inteligencia artificial esa lógica deja de ser solamente jurídica.
Se convierte en arquitectura.
La IA cambió silenciosamente la pregunta
En agosto de 2024, la Superintendencia de Industria y Comercio expidió la Circular Externa 002 de 2024 con lineamientos específicos sobre el tratamiento de datos personales mediante sistemas de inteligencia artificial.
Ese desarrollo resulta significativo porque confirma algo que muchas organizaciones todavía están descubriendo: utilizar inteligencia artificial no crea una zona paralela en la que dejan de operar las obligaciones sobre datos personales.
Por el contrario.
Una organización continúa necesitando comprender qué información entra al sistema, cuáles son las finalidades, qué riesgos existen, qué actores intervienen, cómo funciona la circulación de los datos y cuáles son las medidas adoptadas para proteger los derechos de las personas.
El problema empresarial aparece cuando la IA se incorpora informalmente.
Un funcionario copia información de un ciudadano en un asistente generativo.
Un contratista carga documentos institucionales para resumirlos.
Una dependencia automatiza respuestas utilizando una aplicación externa.
Un proveedor incorpora inteligencia artificial dentro de una solución que originalmente fue contratada con otra arquitectura.
Ninguna de estas escenas necesita parecer dramática para producir exposición.
La pérdida de control suele ser silenciosa.
No ocurre necesariamente mediante una gran fuga.
Puede empezar simplemente cuando la entidad deja de saber hacia dónde está viajando su información.
Biometría: cuando comodidad y necesidad dejan de ser lo mismo
La biometría refleja perfectamente este conflicto.
Reconocimiento facial, huellas digitales, geometría del rostro, identificación por voz y otras tecnologías pueden ofrecer eficiencia operacional. Pero los datos biométricos son datos sensibles y por ello requieren una diligencia reforzada.
La propia guía analizada advertía ya sobre la necesidad de aplicar mayores niveles de seguridad, confidencialidad, circulación restringida y limitación en el uso de este tipo de información.
La práctica reciente de la autoridad colombiana refuerza esa dirección. En actuaciones de 2025 la SIC recordó que la biometría constituye tratamiento de datos sensibles y cuestionó esquemas en los que el acceso a un servicio se condicionaba al reconocimiento facial sin alternativas adecuadas.
La discusión, entonces, no debería reducirse a determinar si una tecnología biométrica funciona.
También debería analizarse si era necesaria.
Ese criterio es esencial.
Tecnológicamente posible no significa organizacionalmente justificable.
Y una arquitectura responsable necesita poder demostrar por qué una tecnología invasiva fue elegida frente a alternativas menos intensivas.
La nube tampoco elimina responsabilidad
La migración tecnológica ha creado otra ilusión empresarial: creer que al entregar infraestructura o procesamiento a un proveedor también se transfiere la responsabilidad sobre la información.
No ocurre así.
El documento adjunto recuerda expresamente que los proveedores de computación en la nube, seguridad privada y otros terceros pueden actuar como Encargados del Tratamiento y que deben ser gestionados mediante obligaciones claras sobre confidencialidad, seguridad, finalidad, devolución de información y cumplimiento de las políticas del Responsable.
El escenario se ha vuelto todavía más complejo con proveedores internacionales, plataformas SaaS, subencargados, infraestructura distribuida y tecnologías que pueden procesar información en distintas jurisdicciones.
En octubre de 2025, la SIC expidió además la Circular Externa 002 de 2025 sobre procesos de transferencia de tecnología cuando se transfieren datos personales o tecnologías destinadas a tratarlos. La autoridad posteriormente precisó en 2026 aspectos relacionados con su alcance territorial y con la diferencia entre transferencia y transmisión internacional.
Ese cambio debería modificar la forma de contratar tecnología.
Ya no basta preguntar cuánto cuesta una plataforma o qué funcionalidades ofrece.
Antes de adoptarla deberían poder responderse preguntas sobre arquitectura de datos, ubicación del procesamiento, subcontratistas, retornabilidad de información, eliminación, continuidad, portabilidad, entrenamiento de algoritmos, seguridad, incidentes, auditoría y terminación contractual.
Porque cuando una organización desconoce cómo salir de una plataforma, también puede haber perdido una parte de su soberanía informacional.
Interoperabilidad no significa circulación ilimitada
La transformación digital del Estado necesita interoperabilidad.
Pero interoperar no equivale a convertir todas las bases de información en recursos libremente disponibles entre instituciones.
La propia guía recuerda que el intercambio electrónico entre entidades debe coexistir con la protección de datos personales y con las reglas que determinan quién puede recibir determinada información.
Además, la Ley 1712 de 2014 introduce categorías de información pública, pública clasificada y pública reservada. Esa arquitectura obliga a comprender que transparencia y privacidad no son enemigos: deben diseñarse para coexistir.
Anonimizar, segmentar accesos, producir versiones públicas, aplicar perfiles y limitar campos pueden permitir que la información cumpla una finalidad institucional sin exponer innecesariamente a las personas.
La madurez digital no consiste en compartir más.
Consiste en compartir correctamente.
El dato olvidado también representa riesgo
Otro problema silencioso aparece después de que la información deja de ser útil.
Muchas organizaciones saben recolectar.
Muy pocas saben borrar.
Bases heredadas, respaldos antiguos, formularios almacenados, videos de vigilancia, archivos de contratistas, copias locales y documentos compartidos pueden permanecer durante años simplemente porque nadie definió su ciclo de vida.
La guía advierte que los datos deben conservarse solamente durante el período razonable y necesario para las finalidades del tratamiento o cuando exista una obligación legal o contractual que justifique su conservación. También señala la importancia de documentar los procedimientos de conservación y supresión.
Esto transforma la eliminación en una capacidad organizacional.
Una entidad madura debería poder determinar qué conserva, por qué lo conserva, durante cuánto tiempo y qué evidencia tendrá cuando llegue el momento de eliminarlo.
Guardar indefinidamente no es necesariamente proteger.
A veces es simplemente acumular riesgo.
Seguridad no es únicamente ciberseguridad
Cuando se habla de protección de datos, muchas organizaciones imaginan servidores, contraseñas, antivirus y controles técnicos.
Pero un dato también puede vulnerarse mediante una fotografía enviada por WhatsApp.
Un correo enviado con destinatarios visibles.
Un contratista que conserva copias después de terminar su vínculo.
Una planilla abandonada.
Una cámara orientada hacia un espacio innecesario.
Un funcionario que utiliza una cuenta personal.
Una herramienta de IA a la que se cargó un expediente completo.
Por eso el principio de seguridad debe comprender controles tecnológicos, contractuales, administrativos, físicos y humanos. La guía señala precisamente esta combinación y plantea la necesidad de contar con planes para enfrentar incidentes y mitigar sus efectos.
La cultura organizacional es parte del sistema de seguridad.
Una entidad puede comprar tecnología extraordinaria y seguir siendo vulnerable si sus personas no saben reconocer cuándo están tratando información personal.
Aquí la capacitación deja de ser una charla anual.
Se convierte en criterio operativo.
Responsabilidad demostrada: poder explicar por qué confiamos en usted
El documento adjunto utiliza un concepto especialmente importante: responsabilidad demostrada o accountability.
No basta decir que se cumple.
Debe existir capacidad de demostrarlo.
Eso significa evidencia.
Trazabilidad.
Decisiones documentadas.
Análisis de riesgos.
Evaluaciones de impacto.
Roles claros.
Contratos coherentes.
Controles.
Auditoría.
Seguimiento.
Correcciones.
Y personas que sepan por qué existen esas medidas.
También exige entender que la protección de datos nunca será un proyecto que pueda declararse terminado.
La organización cambia.
Los proveedores cambian.
Las aplicaciones cambian.
La normatividad cambia.
La inteligencia artificial cambia.
Las amenazas cambian.
La información cambia.
Por eso una Arquitectura de Protección de Datos y Confianza Digital necesita mantenerse viva.
Asesoría, elaboración documental, implementación, capacitación y auditoría adquieren sentido cuando trabajan como partes de un mismo sistema y no como servicios aislados.
La asesoría define criterio.
La elaboración convierte ese criterio en reglas organizacionales.
La implementación conecta esas reglas con procesos reales.
La capacitación lleva el gobierno de información a las personas.
La auditoría comprueba si la arquitectura continúa funcionando cuando nadie la está observando.
https://t.mtrbio.com/habeas-data
El RNBD tampoco debería verse como un trámite aislado
El Registro Nacional de Bases de Datos continúa formando parte del régimen colombiano. La SIC señaló nuevamente en un concepto publicado en febrero de 2026 que las entidades de naturaleza pública deben registrar las bases de datos sometidas a esta obligación sin depender del valor de sus activos.
El propio sistema oficial del RNBD explica que el registro funciona como un directorio público de bases de datos sometidas a tratamiento y aclara que no se cargan allí los datos personales contenidos en cada base, sino la información exigida reglamentariamente.
Pero incluso este punto revela la diferencia doctrinal.
Registrar una base no significa gobernarla.
Una entidad puede tener correctamente actualizado el RNBD y aun así desconocer todos los flujos secundarios que esa información genera internamente.
El cumplimiento registral es necesario cuando corresponde.
El control organizacional exige mucho más.
Confianza digital es saber que alguien conserva el control
La guía de 2021 termina abordando un elemento que, paradójicamente, puede ser más importante hoy que cuando fue publicada: la confianza.
La confianza no surge porque una organización publique una política extensa.
Surge cuando las personas perciben coherencia entre lo que la organización promete y lo que efectivamente hace con su información.
En un Estado cada vez más digital, esa confianza dependerá de decisiones invisibles.
Qué datos se decidieron no recolectar.
Qué aplicación se rechazó porque no ofrecía suficientes garantías.
Qué proceso biométrico fue reemplazado por uno menos invasivo.
Qué proveedor fue auditado.
Qué información fue eliminada.
Qué algoritmo fue sometido a evaluación antes de utilizarse.
Qué acceso fue restringido.
Qué incidente fue gestionado con transparencia.
Qué funcionario aprendió a detenerse antes de compartir información.
Esas decisiones rara vez aparecen en una política.
Pero son precisamente las decisiones que construyen confianza digital.
La mayor amenaza para una entidad pública no siempre será que alguien robe su información.
Puede ser algo mucho más silencioso: que continúe acumulando datos, contratando tecnología, automatizando procesos, utilizando biometría, conectando plataformas e incorporando inteligencia artificial hasta llegar a un punto en el que nadie pueda explicar con precisión dónde termina la información institucional y dónde comienza la infraestructura tecnológica de terceros.
Allí la protección de datos deja de ser un requisito.
Se convierte en gobierno.
Y el gobierno de información necesita arquitectura.
La Arquitectura de Protección de Datos y Confianza Digital permite revisar el tratamiento desde una perspectiva integral: diagnóstico, criterios jurídicos, procesos, documentación, implementación, capacitación, proveedores, tecnología, riesgo, responsabilidad demostrada, trazabilidad y auditoría.
No para detener la transformación digital.
Para evitar que la transformación digital termine controlando a la organización.
Si su entidad o empresa quiere saber si todavía conserva verdadero control sobre la información que administra, este es el momento correcto para revisarlo.
https://t.mtrbio.com/habeas-data
La organización verdaderamente digital no es la que más datos consigue procesar, sino la que sabe exactamente por qué los tiene, quién puede utilizarlos y cuándo debe dejar de tenerlos.
“Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.”
