¿Mi página web necesita política de tratamiento de datos?

Sí, su página necesita política de tratamiento de datos personales si por ella le llegan datos de clientes: un formulario, un botón de WhatsApp que termina en su lista de contactos, una cotización por correo. La Ley 1581 de 2012 aplica también a la persona natural con negocio, y la política es corta si su negocio es pequeño. Normas revisadas el 21 de octubre de 2026; esto no es asesoría legal.

¿La ley le aplica a un negocio pequeño?

La Ley 1581 no trae un tamaño mínimo. Aplica “a los datos personales registrados en cualquier base de datos” de entidades públicas o privadas, y define al Responsable del Tratamiento como la “persona natural o jurídica, pública o privada” que decide sobre la base de datos. Una peluquería de un solo dueño cabe ahí igual que una cadena.

Tres definiciones del artículo 3 resuelven casi todas las dudas:

• Dato personal: “Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”. El nombre y el celular de su cliente lo son.
• Base de datos: “Conjunto organizado de datos personales”. Los contactos de WhatsApp Business con etiquetas, una hoja de cálculo de clientes o el cuaderno de citas encajan, en nuestra lectura.
• Tratamiento: “la recolección, almacenamiento, uso, circulación o supresión”. Recibir un formulario ya es tratamiento.

La única salida para un negocio es estrecha. El artículo 2 excluye las bases “mantenidas en un ámbito exclusivamente personal o doméstico”. La agenda de su familia lo es; la lista de clientes de su negocio no.

Lo que sí cambia con el tamaño es cuánto le van a exigir. El artículo 2.2.2.25.6.1 del Decreto 1074 de 2015 pide demostrar medidas apropiadas “en una manera que sea proporcional” al “tamaño empresarial, teniendo en cuenta si se trata de una micro, pequeña, mediana o gran empresa”, al tipo de dato y a los riesgos. Un taller con cien clientes no necesita el manual de un banco.

Qué recoge su página: formulario, WhatsApp y cookies

Antes de escribir la política, haga el inventario. Cada pieza de la página recoge cosas distintas:

Sobre el formulario, el Decreto 1377 de 2013 (hoy compilado en el Decreto 1074) dice que la recolección “deberá limitarse a aquellos datos personales que son pertinentes y adecuados para la finalidad”. Si para una cotización le basta el nombre y el celular, no pida la cédula ni la fecha de nacimiento.

Sobre WhatsApp, cuando el cliente le escribe desde la página le está pidiendo información, y eso le permite contestarle. Usar ese número para promociones es otra finalidad, con otras reglas: las explicamos en si es legal mandar publicidad por WhatsApp. La política de WhatsApp Business, además, les pide a las empresas “mantener una política de privacidad publicada”.

Sobre las cookies, no encontramos una norma colombiana ni una guía vigente de la SIC dedicada a ellas. Nuestra lectura: si una herramienta de analítica o un píxel permite asociar la navegación a una persona, eso cabe en la definición de dato personal, y la política debe decir qué herramienta usa y para qué. Si su página no carga ninguna, no tiene nada que declarar ahí.

Los seis puntos que la política debe tener

El artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 (antes artículo 13 del Decreto 1377) pide que la política conste “en medio físico o electrónico, en un lenguaje claro y sencillo” y que se ponga en conocimiento de los titulares. Como mínimo, seis puntos. Así se ven en un negocio pequeño:

Los derechos del punto 3 están en el artículo 8 de la Ley 1581. El ejemplo de la segunda columna es para que vea el nivel de detalle, no un texto para copiar: quien conoce sus finalidades reales es usted.

Dos reglas más del decreto. Si va a cambiar algo sustancial, por ejemplo una finalidad nueva, debe comunicarlo a los titulares antes de aplicarlo. Y si recoge datos sensibles, como los de salud en un consultorio o un gimnasio, la Ley 1581 pide decir que responder esas preguntas es facultativo. Los datos de niños, niñas y adolescentes tienen su propia restricción en el artículo 7.

Política y aviso de privacidad no son lo mismo

Son dos piezas distintas y la norma pide las dos cosas en momentos distintos.

El aviso de privacidad es, según el Decreto 1377, una “comunicación verbal o escrita” que le dice a la persona que existe una política, cómo leerla y para qué usará el dato. Va donde se recoge el dato y “a más tardar al momento de la recolección”. El artículo 2.2.2.25.3.3 le fija cuatro contenidos: su nombre y contacto, el tratamiento y la finalidad, los derechos, y cómo consultar la política.

La política es el documento completo con los seis puntos. El decreto lo deja claro: el aviso “no eximirá al Responsable de la obligación de dar a conocer a los titulares la política”.

La autorización va aparte del aviso: el artículo 9 de la Ley 1581 pide obtenerla “por cualquier medio que pueda ser objeto de consulta posterior”, y el decreto aclara que “en ningún caso el silencio podrá asimilarse a una conducta inequívoca”. En un formulario, eso es una casilla sin marcar. En WhatsApp, un “Sí, autorizo” del cliente, como explicamos en la guía para pedir reseñas en Google.

Consultas y reclamos: los plazos que su política promete

El punto 5 de la política obliga a decir cómo se ejerce cada derecho, y la Ley 1581 ya le pone los plazos. Escríbalos en la política para no prometer otros:

Dos detalles del artículo 15 y del 16. Cuando el reclamo llega completo, en no más de dos días hábiles se marca el registro con la leyenda “reclamo en trámite”. Y el artículo 16 dice que la persona solo puede quejarse ante la SIC después de agotar el trámite con usted. Por eso conviene que el canal de su política funcione y que alguien lo revise.

El artículo 17 de la Ley 1581 suma un deber más: “adoptar un manual interno de políticas y procedimientos”, en especial para atender consultas y reclamos. En un negocio pequeño, en nuestra opinión, basta con una hoja que diga quién revisa el correo, cómo se anota la fecha de llegada y dónde se guardan las autorizaciones.

¿Tengo que inscribirme en el RNBD?

Probablemente no. El Registro Nacional de Bases de Datos (RNBD) lo administra la SIC, y desde el Decreto 090 de 2018 el artículo 2.2.2.26.1.2 del Decreto 1074 limita la inscripción a:

• Sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT.
• Personas jurídicas de naturaleza pública.

La DIAN fijó la UVT de 2026 en $52.374 (Resolución 000238 del 15 de diciembre de 2025). Con ese valor, 100.000 UVT son $5.237.400.000 COP en activos totales. El decreto no dice con la UVT de qué año se miden los activos; tome la cifra como referencia y confírmela con su contador.

El texto solo nombra sociedades, entidades sin ánimo de lucro y entidades públicas. No menciona a la persona natural comerciante, y la SIC lo resume igual en su página del registro. Esa es una lectura literal, no un concepto de la SIC.

Si su sociedad sí supera el umbral, cada base se inscribe por separado, y una base nueva se inscribe “dentro de los dos (2) meses siguientes” a su creación. Y estar por debajo no lo libera de nada más: el mismo decreto dice que inscribir la política en el RNBD “no exime” de darla a conocer a los titulares, y la política, el aviso y la autorización siguen siendo obligatorios para todos.

Qué arriesga y por dónde empezar

El artículo 23 de la Ley 1581 permite a la SIC multas “hasta por el equivalente de dos mil (2.000) salarios mínimos mensuales legales vigentes”, sucesivas mientras siga el incumplimiento, la suspensión del tratamiento hasta seis meses y el cierre, que es inmediato y definitivo cuando se trata de datos sensibles. Son topes. El artículo 24 manda graduarlos según el daño, el beneficio obtenido, la reincidencia y si el investigado reconoce la falta antes de la sanción.

El orden para empezar esta semana:

1. Haga el inventario de la tabla de arriba: qué piezas de su página recogen datos y adónde van a parar.
2. Escriba sus finalidades reales en una lista. Si no puede explicar para qué guarda un dato, deje de pedirlo.
3. Redacte la política con los seis puntos, en lenguaje claro, con su nombre, NIT y canal. Si trata datos de salud o de menores, pase el texto por un abogado.
4. Publíquela en una página propia y enlácela en el pie de cada página y junto al formulario, si tiene uno.
5. Ponga el aviso de tres líneas donde se recoge el dato y guarde una copia con fecha.
6. Defina quién responde consultas y reclamos, y anote la fecha de llegada de cada uno.
7. Si su sociedad tiene activos por encima de 100.000 UVT, inscriba sus bases en el RNBD.

Con eso en orden, el cliente que llega a la página puede escribirle tranquilo. Construir esa página es lo que hacemos en LocalBiz; la política y las autorizaciones son de usted.