Protección de datos en la nube en Colombia
La protección de datos en la nube en Colombia se rige por la Ley Estatutaria 1581 de 2012 y su reglamentación, con la Superintendencia de Industria y Comercio (SIC) como autoridad. Para la SIC, el proveedor de nube actúa como encargado del tratamiento, y enviarle los datos es una transmisión, no una transferencia: no exige informar al titular ni pedir su consentimiento si existe un contrato de transmisión con un contenido mínimo. Los incidentes de seguridad se reportan a la SIC en quince días hábiles.
Protección de datos en la nube en Colombia: transmitir no es transferir
Una agencia de marketing de Bogotá que guarda en la nube las bases de datos de sus clientes, o un consultorio odontológico de Medellín que digitaliza sus fichas, trata datos personales bajo la Ley Estatutaria 1581 de 2012, vigente en octubre de 2026 y sin leyes posteriores que la hayan reformado. Esta página traslada al caso colombiano el repaso de las obligaciones legales de los servicios en la nube.
La clave del sistema colombiano está en una distinción de vocabulario: si el proveedor trata los datos por tu cuenta, hay una transmisión; si los entregas a alguien que los usará para sus propios fines, hay una transferencia. La primera se resuelve con un contrato; la segunda tiene reglas más estrictas cuando sale del país. Esta página es información general: para tu caso concreto, valida las decisiones con un abogado que ejerza en Colombia.
Tu proveedor de nube es un encargado
La ley distingue entre el responsable, que «decida sobre la base de datos y/o el Tratamiento», y el encargado, que realiza el tratamiento «por cuenta del Responsable» (art. 3). En un concepto de enero de 2025, la SIC recordó que el proveedor de servicios de computación en la nube «actúa como Encargado del Tratamiento» y que la relación debe formalizarse mediante un contrato (SIC, concepto 24-538790).
Como encargado, el proveedor asume deberes propios: conservar la información con las condiciones de seguridad necesarias e informar a la SIC de las violaciones de los códigos de seguridad (art. 18). Tú, como responsable, mantienes los tuyos, entre ellos garantizar la seguridad de los datos (art. 17).
Transmisión o transferencia: la tabla para decidir
El Decreto 1377 de 2013, compilado en buena parte en el Decreto Único Reglamentario 1074 de 2015, define las dos figuras y sus requisitos:
| Pregunta | Transmisión | Transferencia |
|---|---|---|
| ¿Quién recibe los datos? | Un encargado que los trata por tu cuenta | Un tercero que se convierte en responsable |
| ¿Dentro o fuera de Colombia? | Puede ser en ambos casos | Puede ser en ambos casos |
| ¿Qué necesitas? | Un contrato de transmisión (Decreto 1377, art. 25) | Fuera del país, un destino con nivel adecuado o una excepción del art. 26 de la ley |
| ¿Hay que informar al titular o pedir su consentimiento? | No, si existe el contrato (Decreto 1377, art. 24) | Sí: su autorización debe cubrir esa entrega, salvo excepciones legales |
| Ejemplo | Guardar la base de clientes en un servicio de almacenamiento | Ceder la base a un socio comercial de otro país |
Fuentes: Ley 1581 de 2012 y Decreto 1377 de 2013 (normograma del MinTIC), consultados el 13 de octubre de 2026.
Qué debe decir el contrato de transmisión
El artículo 25 del Decreto 1377 pide que el contrato fije el alcance del tratamiento, las actividades que el encargado realizará por tu cuenta y sus obligaciones frente al titular y frente a ti. Como mínimo, el encargado debe comprometerse a:
- Tratar los datos según los principios de la ley.
- Salvaguardar la seguridad de las bases de datos.
- Guardar confidencialidad sobre el tratamiento.
Con un gran proveedor, ese contrato suele ser su anexo de tratamiento de datos. Compruébalo frente a estos tres puntos y guarda una copia fechada.
Si los datos se transfieren fuera de Colombia
Para las transferencias, la SIC publica en el título V de su Circular Única la lista de países con nivel adecuado. En su versión del 9 de enero de 2026 incluye, entre otros, España y los demás países de la Unión Europea citados, Estados Unidos, México, Perú, Reino Unido, Japón y Corea del Sur, además de los países declarados adecuados por la Comisión Europea. Aun así, la SIC exige poder demostrar las medidas adoptadas para proteger los datos transferidos. Desde diciembre de 2025 ofrece, además, unas cláusulas contractuales modelo de uso voluntario. En mayo de 2026 publicó un proyecto para modificar esa lista; a 14 de octubre de 2026 no se ha adoptado.
Registro e incidentes
El Registro Nacional de Bases de Datos (RNBD), que administra la SIC, es obligatorio para las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100 000 UVT y para las personas jurídicas de naturaleza pública (Decreto 090 de 2018). Muchas pymes quedan por debajo de ese umbral, pero no de las demás obligaciones.
Los incidentes de seguridad, como el acceso no autorizado a una carpeta compartida, se reportan a la SIC dentro de los quince días hábiles siguientes a su detección: a través del RNBD si estás obligado a registrarte; si no, por el aplicativo o los canales que la SIC habilita para ello. Las multas pueden llegar a 2000 salarios mínimos mensuales legales vigentes (art. 23).
Una reforma reciente para comparar
México cambió de ley y de autoridad en 2025, y allí la comunicación de datos al proveedor tampoco es una transferencia. El resumen de la normativa mexicana para datos en la nube permite comparar.
Chile, a punto de estrenar agencia
En Chile, el contrato con el encargado tendrá un contenido mínimo detallado desde el 1 de diciembre de 2026. Las fechas y los cambios se explican en la reforma chilena de datos personales.
Salud, biometría y otros datos sensibles
La ley colombiana considera sensibles los datos relativos a la salud, a la vida sexual y los biométricos, y solo permite tratarlos en supuestos tasados, empezando por la autorización explícita del titular (arts. 5 y 6). Las precauciones para datos delicados en la nube completan esta página.