La protección de datos personales constituye una obligación para quienes recolectan, almacenan, utilizan o circulan información relacionada con personas naturales. En Colombia, este régimen se encuentra establecido principalmente en la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias, entre ellas los decretos 1377 de 2013 y 886 de 2014, cuyas disposiciones fueron incorporadas al Decreto Único Reglamentario 1074 de 2015.

De acuerdo con la Ley 1581 de 2012, un dato personal es cualquier información vinculada o que pueda asociarse con una persona natural determinada o determinable. En esta categoría pueden encontrarse datos como el número de identificación, la fecha de nacimiento, el estado civil, la dirección de residencia y la información académica o laboral, entre otros.

Ahora bien, no todas las organizaciones están obligadas a inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD), administrado por la Superintendencia de Industria y Comercio (SIC). El Decreto 090 del 18 de enero de 2018 modificó el ámbito de aplicación de este registro y estableció que deben inscribir en él las bases de datos sujetas al régimen de protección de datos personales las sociedades y entidades sin ánimo de lucro cuyos activos totales superen las 100.000 Unidades de Valor Tributario (UVT), así como las personas jurídicas de naturaleza pública.

Para el año 2026, la UVT fue fijada en $52.374, de conformidad con la Resolución 238 del 15 de diciembre de 2025, expedida por la DIAN. En consecuencia, el umbral de 100.000 UVT equivale a $5.237.400.000. Por tanto, las sociedades y entidades sin ánimo de lucro deben verificar el valor de sus activos totales para determinar si superan dicho límite. Es importante aclarar que el criterio legal corresponde a los activos totales, no al patrimonio, y que la norma exige superar el umbral, no simplemente igualarlo.

Sin embargo, la ausencia de obligación de inscripción en el RNBD no exime a las organizaciones de cumplir las demás disposiciones sobre protección de datos personales. La SIC ha precisado que quienes no están obligados a realizar este registro deben continuar observando los deberes previstos en la Ley 1581 de 2012 y sus normas reglamentarias.

Entre estas obligaciones se encuentran contar con políticas de tratamiento de datos personales y, cuando corresponda, avisos de privacidad; informar a los titulares sobre las finalidades del tratamiento; obtener su autorización previa, expresa e informada cuando sea legalmente necesaria; habilitar mecanismos para atender consultas y reclamos; y adoptar medidas de seguridad que protejan la información frente a pérdida, alteración, consulta o acceso no autorizado.

En consecuencia, las empresas deben diferenciar entre la obligación específica de inscribir sus bases de datos en el RNBD y el deber general de proteger la información personal que administran. El cumplimiento de este último no depende exclusivamente del tamaño de la organización, sino de las obligaciones que le resulten aplicables según la ley.