[{"data":1,"prerenderedAt":172},["ShallowReactive",2],{"blog-\u002Fblog\u002Fcolombia-proyecto-ley-282-2026-reforma-1581\u002F":3,"related-\u002Fblog\u002Fcolombia-proyecto-ley-282-2026-reforma-1581":171},{"id":4,"title":5,"author":6,"body":7,"category":148,"date":149,"dateModified":150,"description":151,"extension":152,"featured":153,"image":154,"imageAlt":155,"meta":156,"navigation":159,"path":160,"readTime":161,"seo":162,"stem":163,"tags":164,"__hash__":170},"blog\u002Fblog\u002Fcolombia-proyecto-ley-282-2026-reforma-1581.md","Colombia discute reformar la Ley 1581, qué le pediría el proyecto 282 a una empresa","Equipo Normatic AI",{"type":8,"value":9,"toc":136},"minimark",[10,14,17,22,25,28,31,35,38,41,45,48,51,54,63,67,70,73,77,80,83,87,95,98,106,110,113,116,119,127,130],[11,12,13],"p",{},"El Proyecto de Ley Estatutaria 282 de 2026 Cámara, publicado en la Gaceta del Congreso 1217 del 8 de septiembre de 2026, propone reformar buena parte de la Ley 1581 de 2012, la norma general de protección de datos personales de Colombia. Es un proyecto en trámite. Nada de lo que sigue obliga hoy a una empresa, y la Ley 1581 continúa rigiendo tal como está.",[11,15,16],{},"Lo radicaron en agosto de 2026 la representante a la Cámara María Fernanda Carrascal Rojas y el senador Duvalier Sánchez Arango. Si avanza, cambiaría sobre todo tres cosas en la vida de una empresa colombiana, quién responde por los datos, qué ocurre en las horas siguientes a un incidente y cómo salen los datos del país. Veamos cada una desde el texto de la Gaceta, porque los resúmenes que han circulado simplifican más de lo que conviene.",[18,19,21],"h2",{"id":20},"un-trámite-especial-y-una-piedra-conocida","Un trámite especial y una piedra conocida",[11,23,24],{},"Por ser estatutaria, esta ley sigue un camino más exigente que el de una ley ordinaria. El artículo 153 de la Constitución pide mayoría absoluta de los miembros del Congreso, aprobación dentro de una sola legislatura y revisión previa de la Corte Constitucional.",[11,26,27],{},"Es interesante notar lo que cuenta la propia exposición de motivos. La iniciativa ya se había radicado dos veces, como PLE 152 de 2024 Cámara y PLE 274 de 2025 Cámara, y en ninguna de las dos se logró completar el trámite. Quien lea esto reconocerá a Sísifo, con una legislatura como pendiente y la roca que vuelve abajo cuando esta se acaba. Pero el giro de esta historia es otro, porque la piedra no regresa igual. Según la Gaceta, de esos intentos quedaron audiencias públicas, mesas de trabajo y recomendaciones de la Superintendencia de Industria y Comercio que entraron al articulado.",[11,29,30],{},"A la fecha de este artículo, el registro de Congreso Visible muestra la radicación y la publicación en Gaceta, sin ponentes asignados. Esa fuente puede ir con retraso, así que conviene confirmar el estado en la Cámara de Representantes antes de tomar una decisión.",[18,32,34],{"id":33},"qué-cambiaría-de-un-vistazo","Qué cambiaría de un vistazo",[11,36,37],{},"El proyecto toca 15 artículos de la ley, subroga otros 2 y le agrega 4 nuevos. Incorpora definiciones de datos biométricos, datos genéticos y elaboración de perfiles (artículo 3), suma como principios la responsabilidad demostrada, la minimización y la explicabilidad (artículo 4), y amplía los datos sensibles a la geolocalización y los neurodatos, entre otros (artículo 5). También extiende el alcance de la ley a quien, sin estar en Colombia, ofrezca bienes o servicios a titulares ubicados en el país o monitoree su comportamiento (artículo 2).",[39,40],"diagrama-reforma-ley-1581-colombia",{},[18,42,44],{"id":43},"el-oficial-de-protección-de-datos-no-sería-para-todos","El oficial de protección de datos no sería para todos",[11,46,47],{},"Se ha dicho que el proyecto vuelve obligatorio al oficial de protección de datos, y eso es cierto solo en parte. Los artículos 12 y 13 lo exigen a responsables y a encargados en tres supuestos, cuando hay tratamiento de datos personales a gran escala, cuando el tratamiento de datos sensibles es parte de la actividad principal y cuando quien trata los datos es una autoridad u organismo público.",[11,49,50],{},"El punto delicado es la primera condición. El proyecto define la gran escala como aquella que afecta a una gran cantidad de datos, referidos a un elevado número de titulares, y que entraña un alto riesgo para los derechos fundamentales (artículo 3). No hay umbral numérico, de modo que cada empresa tendría que hacer su propio análisis y dejarlo documentado.",[11,52,53],{},"Fuera de esos casos, nombrar un oficial seguiría siendo voluntario y tendría un premio. El artículo 21 agrega su existencia, cuando no fuere obligatoria, a los criterios para graduar las sanciones. Hoy el Decreto 1377 de 2013, en su artículo 23, pide a todo responsable y encargado una persona o área que asuma la función de protección de datos y dé trámite a las solicitudes de los titulares. Una figura no borra necesariamente a la otra, y el proyecto mantiene esa alternativa en el deber de informar del artículo 11.",[11,55,56,57,62],{},"Quien ya tiene un ",[58,59,61],"a",{"href":60},"\u002Fblog\u002Fcolombia-circular-100-000020-sagrilaft-ptee","oficial de cumplimiento por SAGRILAFT o PTEE"," no debería darlo por resuelto. Es otro cargo, con otra fuente, y el proyecto no dice si ambas funciones pueden recaer en la misma persona.",[18,64,66],{"id":65},"setenta-y-dos-horas-después-de-un-incidente","Setenta y dos horas después de un incidente",[11,68,69],{},"Hoy la Ley 1581 ordena informar a la autoridad cuando se presentan violaciones a los códigos de seguridad y existen riesgos en la administración de la información, y la ley no fija un plazo. El artículo 12 del proyecto sí lo hace. El responsable informaría a la Autoridad Nacional de Protección de Datos Personales dentro de las 72 horas siguientes a la detección, y comunicaría a los titulares afectados cuando el incidente implique un alto riesgo para sus derechos y libertades.",[11,71,72],{},"El encargado, por su parte, tendría que avisar al responsable en tiempo oportuno y entregarle la información necesaria para notificar (artículo 13). El reloj corre desde la detección, así que la pregunta práctica es quién detecta en su empresa, y en cuánto tiempo se entera quien tiene que decidir. Si el proveedor que aloja sus datos no tiene ese deber escrito en el contrato, las 72 horas pueden gastarse en buscar a alguien al otro lado del teléfono.",[18,74,76],{"id":75},"transferencias-con-tres-escalones","Transferencias con tres escalones",[11,78,79],{},"La regla actual del artículo 26 está redactada como una prohibición con excepciones. El artículo 22 del proyecto la ordena en tres escalones. Primero, la transferencia está permitida hacia países con niveles adecuados de protección, según los estándares que fije la autoridad. Segundo, si el país no los ofrece, se exigen garantías adicionales, que pueden ser una declaración de conformidad ante la autoridad, normas corporativas vinculantes aprobadas por ella o cláusulas contractuales modelo también aprobadas por ella. Tercero, si eso no es posible, la transferencia solo se admite de forma excepcional en los casos que enumera la norma, entre ellos la autorización expresa e inequívoca del titular.",[11,81,82],{},"Para una empresa con servicios en la nube o casa matriz en otro país, el segundo escalón es el que traería trabajo, porque las cláusulas modelo y las normas corporativas necesitarían la aprobación de la autoridad.",[18,84,86],{"id":85},"la-autoridad-las-multas-y-lo-demás","La autoridad, las multas y lo demás",[11,88,89,90,94],{},"La Superintendencia de Industria y Comercio seguiría siendo la autoridad, a través de su Delegatura para la Protección de Datos Personales, ahora con un superintendente delegado nombrado por cuatro años tras una convocatoria pública (artículo 14). La Procuraduría tendría una delegada para el sector público (artículo 15). Si quiere ver cómo se compara ese diseño con el de otros países, lo explicamos en ",[58,91,93],{"href":92},"\u002Fblog\u002Fquien-fiscaliza-proteccion-datos-cuatro-paises","quién fiscaliza la protección de datos",".",[11,96,97],{},"Las multas pasarían de un tope de 2.000 salarios mínimos mensuales a 10.000, o hasta el 5% de los ingresos operacionales del año fiscal anterior (artículo 20). Y el artículo 12 agrega deberes que hoy no están en la ley con esa forma, entre ellos evaluaciones de impacto en los tratamientos de mayor riesgo, medidas técnicas y organizativas por diseño y por defecto, contrato escrito con el encargado, formación del personal y una revisión interna o externa de los sistemas al menos cada dos años.",[11,99,100,101,105],{},"Los titulares también ganarían derechos que obligarían a rediseñar la atención de solicitudes, como recibir una copia de sus datos en un formato estructurado y no quedar sometidos a decisiones basadas solo en tratamiento automatizado (artículo 8). Si su procedimiento actual sigue el modelo clásico de ",[58,102,104],{"href":103},"\u002Fblog\u002Fderechos-arco-como-responder-solicitud","los derechos ARCO",", esa es la parte que habría que ampliar.",[18,107,109],{"id":108},"qué-haría-una-empresa-prudente-con-un-proyecto","Qué haría una empresa prudente con un proyecto",[11,111,112],{},"Nadie debería reescribir sus políticas por un texto que puede cambiar o caerse. Sin embargo, hay un dato que aconseja mirarlo ahora. El artículo 23 dice que la ley rige a partir de su promulgación, sin un período general de transición para las empresas. Los seis meses que aparecen en el texto son para que el Gobierno reglamente al representante de quienes no están domiciliados en Colombia (artículo 2) y para que la Procuraduría instale su delegada (artículo 15).",[11,114,115],{},"Por lo tanto, conviene hacer ahora lo que sirve con o sin reforma. Revise si algún tratamiento suyo podría calificar como gran escala o tener datos sensibles en el centro de su actividad. Ensaye cuánto tarda hoy un incidente en llegar a quien decide. Haga la lista de los datos que salen de Colombia, hacia qué países y con qué contrato.",[11,117,118],{},"Un hito de piedras en un campo no lo levanta una sola persona. Cada caminante deja la suya y sigue, y el montón crece aunque nadie vea el final. Este proyecto quizás tampoco llegue arriba esta vez, y aun así lo que una empresa apile hoy seguirá en su sitio cuando alguien vuelva a empujar la roca.",[11,120,121,122,126],{},"En ",[58,123,125],{"href":124},"\u002Fplataforma\u002Fgestor-cumplimientos","Normatic AI"," seguimos las obligaciones vigentes de cada país y las que vienen en camino, para que cada control tenga responsable, plazo y evidencia antes de que la norma lo exija.",[128,129],"hr",{},[11,131,132],{},[133,134,135],"em",{},"Este artículo describe un proyecto de ley en trámite, según su texto en la Gaceta del Congreso 1217 de 2026, que puede cambiar durante la discusión. No constituye asesoría legal. Para decisiones concretas sobre su organización, consulte con un profesional.",{"title":137,"searchDepth":138,"depth":139,"links":140},"",2,3,[141,142,143,144,145,146,147],{"id":20,"depth":138,"text":21},{"id":33,"depth":138,"text":34},{"id":43,"depth":138,"text":44},{"id":65,"depth":138,"text":66},{"id":75,"depth":138,"text":76},{"id":85,"depth":138,"text":86},{"id":108,"depth":138,"text":109},"Protección de Datos","2026-11-03",null,"El Proyecto de Ley Estatutaria 282 de 2026 Cámara, en la Gaceta 1217, propone oficial de protección de datos en tres supuestos, 72 horas para informar incidentes, nuevas reglas de transferencias y multas de hasta el 5% de los ingresos. Es un proyecto en trámite, y esto es lo que dice su texto.","md",false,"\u002Fimages\u002Fblog\u002Fcolombia-proyecto-ley-282-2026-reforma-1581.jpg","Pequeño montón de piedras apiladas sobre un campo de pasto seco, iluminado por una luz dorada de tarde",{"paises":157},[158],"co",true,"\u002Fblog\u002Fcolombia-proyecto-ley-282-2026-reforma-1581",8,{"title":5,"description":151},"blog\u002Fcolombia-proyecto-ley-282-2026-reforma-1581",[165,148,166,167,168,169],"Ley 1581","Oficial de Protección de Datos","Transferencias Internacionales","Superintendencia de Industria y Comercio","Colombia","2IirtziLEDnZ3zh5OVRSdeTsoJx6241Lqh7pF9O9BKU",[],1794078369346]