Qué es el hábeas data en Colombia: el artículo 15 de la Constitución, la Ley 1581 de 2012 y el régimen financiero de la Ley 1266 de 2008.

El artículo 15 de la Constitución Política lo consagra con precisión: «Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas». Ese derecho a conocer, actualizar y rectificar es el núcleo del hábeas data.

Ideas clave

• El hábeas data es un derecho fundamental de rango constitucional, desarrollado por dos leyes principales: la Ley 1581 de 2012, que dicta el régimen general de protección de datos personales, y la Ley 1266 de 2008, que regula la información financiera, crediticia, comercial y de servicios.
• El tratamiento de datos personales requiere, como regla, la autorización previa e informada del titular, obtenida por cualquier medio que pueda ser objeto de consulta posterior (Ley 1581, art. 9).
• Hay datos sensibles con protección reforzada: los que afectan la intimidad o cuyo uso indebido puede generar discriminación, como los relativos a la salud, la vida sexual, las convicciones o los datos biométricos (Ley 1581, art. 5).
• El titular tiene derechos exigibles: conocer, actualizar y rectificar sus datos, revocar la autorización, presentar quejas ante la Superintendencia de Industria y Comercio y acceder gratuitamente a sus datos (Ley 1581, art. 8).
• Como regla, se prohíbe transferir datos a países sin nivel adecuado de protección. El artículo 26 contiene excepciones, entre ellas la autorización expresa e inequívoca del titular, y prevé una declaración de conformidad de la SIC para otros casos.
• En el ámbito financiero y crediticio se prohíbe administrar datos personales con información exclusivamente desfavorable (Ley 1266, art. 14, parágrafo 4o.).

La base constitucional y sus dos desarrollos legales

La Constitución protege además la inviolabilidad de las comunicaciones privadas, interceptables solo mediante orden judicial, y ordena respetar la libertad y las demás garantías en la recolección y circulación de datos. Sobre esa base, la Ley 1581 de 2012 dicta el régimen general aplicable a los datos personales contenidos en bases de datos públicas o privadas, y la Ley 1266 de 2008 desarrolla el mismo derecho en el terreno de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países (Ley 1266, art. 1o.), que abarca la referida al nacimiento, ejecución y extinción de obligaciones dinerarias.

El régimen general de la Ley 1581 de 2012

La ley define a los operadores del sistema: el titular, cuyos datos son objeto de tratamiento; el responsable, que decide sobre la base de datos; y el encargado, que realiza el tratamiento por cuenta de aquel (art. 3).

La regla central es la autorización: el tratamiento requiere el consentimiento previo, expreso e informado del titular, salvo excepciones tasadas, como la información requerida por una entidad pública o judicial o los datos de naturaleza pública (art. 10). Al solicitar la autorización, el responsable debe informar de manera clara y expresa el tratamiento al que serán sometidos los datos, su finalidad, los derechos del titular y los canales para ejercerlos (art. 12).

El régimen financiero de la Ley 1266 de 2008

La Ley 1266 se aplica a los datos de información personal registrados en bancos de datos públicos o privados, con excepciones como las bases destinadas a la inteligencia de Estado (art. 2o.). Sus definiciones estructuran el mercado de la información crediticia: la fuente es quien recibe o conoce los datos en razón de una relación comercial y los suministra al operador; el operador los administra y los pone en conocimiento de los usuarios; y el usuario accede a ellos en los términos de la ley (art. 3o.). La información se clasifica en pública, semiprivada —como el dato financiero y crediticio— y privada.

Entre sus principios destaca el de veracidad: la información debe ser veraz, completa, exacta, actualizada, comprobable y comprensible, y se prohíbe divulgar datos parciales o que induzcan a error (art. 4o.). El reporte distingue entre negativo, cuando la persona está en mora, y positivo, cuando está al día, y la consulta debe informar el estado actual del titular, quedando el resto como historial crediticio (art. 14).

Cómo se ejerce

El titular puede acudir al responsable u operador para conocer, actualizar o rectificar sus datos y revocar la autorización, así como a la Superintendencia de Industria y Comercio, que ejerce la vigilancia. Al ser un derecho fundamental, su vulneración también puede reclamarse mediante la acción de tutela, el mecanismo constitucional de protección inmediata de los derechos fundamentales.

Glosario mínimo

• Titular: la persona natural cuyos datos personales son objeto de tratamiento.
• Autorización: consentimiento previo, expreso e informado del titular para el tratamiento de sus datos.
• Dato sensible: el que afecta la intimidad del titular o cuyo uso indebido puede generar discriminación.
• Operador de información: quien recibe datos de varios titulares, los administra y los pone en conocimiento de los usuarios (Ley 1266).
• Reporte positivo y negativo: la información sobre el estado al día o en mora de las obligaciones del titular (Ley 1266, art. 14).

Preguntas frecuentes

¿Siempre se necesita autorización para tratar datos personales?

Como regla sí, previa e informada (Ley 1581, art. 9); el artículo 10 lista excepciones, como los datos públicos o los requeridos por autoridades.

¿Puedo saber qué reportan de mí las centrales de riesgo?

Sí: tienes derecho a conocer tus datos y a acceder gratuitamente a ellos (Ley 1581, art. 8), y la consulta debe informar tu estado actual, positivo o negativo (Ley 1266, art. 14).

¿Pueden mantenerme en una central solo con información negativa?

No: se prohíbe administrar datos personales con información exclusivamente desfavorable (Ley 1266, art. 14, parágrafo 4o.).

¿Se pueden enviar mis datos a otro país?

La regla del artículo 26 prohíbe la transferencia a países sin nivel adecuado, pero contempla excepciones. Debe comprobarse si la operación encaja en alguna de ellas o requiere la declaración de conformidad de la SIC.

Fuentes y límites

Constitución Política, artículo 15 (Función Pública, gestor normativo, consultado el 4 de noviembre de 2026); Ley 1581 de 2012, artículos 3, 5, 8, 9, 10, 12, 25 y 26 (consultada el 4 de noviembre de 2026); Ley 1266 de 2008, artículos 1o., 2o., 3o., 4o. y 14 (Secretaría del Senado, consultada el 4 de noviembre de 2026). Información, no asesoramiento jurídico.

Ley 1581 de 2012 · fuente oficial Ley 1266 de 2008 · fuente oficial