La ley de protección de datos en Colombia es la Ley 1581 de 2012. Define cómo se pueden recoger, guardar, usar y compartir los datos personales, y qué derechos tiene cada persona sobre su información.

Para un consultorio, una IPS o un hospital, esta ley no es opcional: cada historia clínica, cada cita y cada factura contiene datos personales, y muchos de ellos son sensibles. En esta guía le explicamos, en lenguaje sencillo, qué exige la ley y cómo cumplirla en el sector salud.

¿Qué es la ley de protección de datos en Colombia?

Es la Ley Estatutaria 1581 de 2012, que desarrolla el derecho de habeas data del artículo 15 de la Constitución. Su reglamentación principal es el Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015.

La autoridad que vigila su cumplimiento es la Superintendencia de Industria y Comercio (SIC).

Conceptos básicos, explicados fácil

Los 8 principios de la ley de protección de datos

El artículo 4 de la Ley 1581 establece los principios que guían todo tratamiento de datos:

1. Legalidad: el tratamiento debe seguir lo que dice la ley.
2. Finalidad: debe tener un propósito legítimo, que se le informa al paciente.
3. Libertad: solo con consentimiento previo, expreso e informado, salvo mandato legal o judicial.
4. Veracidad o calidad: la información debe ser cierta, completa y actualizada.
5. Transparencia: el titular puede saber en cualquier momento qué datos suyos existen.
6. Acceso y circulación restringida: solo acceden las personas autorizadas. Los datos no pueden estar disponibles en internet sin control de acceso.
7. Seguridad: se deben tomar medidas técnicas, humanas y administrativas para evitar pérdida, adulteración o acceso no autorizado.
8. Confidencialidad: quien trate datos debe guardar reserva, incluso después de terminar su relación laboral.

Datos de salud: la categoría más protegida por la ley de protección de datos

El artículo 5 clasifica los datos relativos a la salud como datos sensibles, junto con los datos biométricos, la vida sexual, el origen étnico y las convicciones religiosas o políticas.

El artículo 6 prohíbe tratarlos, salvo en casos concretos. Los más relevantes en salud son:

• Cuando el paciente da su autorización explícita.
• Cuando es necesario para proteger su interés vital y el paciente no puede autorizarlo. En ese caso, autorizan sus representantes legales.
• Cuando la finalidad es histórica, estadística o científica, eliminando la identidad de los titulares.

Le explicamos este punto en detalle en autorización de tratamiento de datos en salud.

Qué le exige la ley de protección de datos a una IPS o consultorio

El artículo 17 fija los deberes del responsable. En la práctica, se resumen así:

1. Pedir y guardar la autorización de cada paciente.
2. Informar para qué se usan los datos y qué derechos tiene el paciente.
3. Proteger la información contra pérdida, adulteración o acceso no autorizado.
4. Mantener los datos actualizados y rectificarlos cuando estén mal.
5. Atender consultas y reclamos en los plazos de la ley.
6. Tener un manual interno de políticas y procedimientos.
7. Exigir seguridad al encargado, por ejemplo al proveedor del software.
8. Informar a la SIC cuando haya violaciones a los códigos de seguridad.

¿Y si el software guarda los datos fuera de Colombia?

Es una pregunta frecuente cuando se usa un software en la nube. El artículo 26 prohíbe transferir datos personales a países que no ofrezcan un nivel adecuado de protección, según los estándares de la SIC. Hay excepciones, por ejemplo cuando el titular lo autoriza de forma expresa o cuando se trata de intercambio de datos médicos por razones de salud.

Lo práctico: pregúntele a su proveedor de software dónde están alojados los datos y qué medidas de seguridad aplica. Vea historia clínica en la nube vs. local.

Sanciones por incumplir la ley de protección de datos

La SIC puede imponer a las entidades privadas multas de hasta 2.000 salarios mínimos mensuales, suspender las actividades de tratamiento hasta por seis meses, ordenar el cierre temporal y, en el caso de datos sensibles, el cierre inmediato y definitivo de la operación de tratamiento.

Lista de verificación de la ley de protección de datos

• ☐ Formato de autorización para pacientes, con datos sensibles explícitos.
• ☐ Política de tratamiento de datos publicada.
• ☐ Manual interno y responsable de atender consultas y reclamos.
• ☐ Usuarios con contraseña y permisos según el rol.
• ☐ Registro de quién consulta cada historia clínica.
• ☐ Contrato con el proveedor de software que incluya la protección de datos.
• ☐ Procedimiento para reportar incidentes a la SIC.
• ☐ Revisión de si debe inscribir sus bases en el Registro Nacional de Bases de Datos.

Cómo ayuda Clinova PRO a cumplir la ley de protección de datos

Una buena parte de los deberes de la ley se resuelve con la herramienta correcta. Clinova PRO incluye usuarios super administrador, médicos y administrativos con permisos configurables por rol, una historia clínica 100% en la nube con acceso controlado y plantillas de consentimientos informados archivadas en la misma historia del paciente.

Conozca más en nuestra página de seguridad.

Preguntas frecuentes sobre la ley de protección de datos

¿Cuál es la ley de protección de datos en Colombia?

La Ley Estatutaria 1581 de 2012, reglamentada principalmente por el Decreto 1377 de 2013.

¿Los datos de salud son datos sensibles?

Sí. El artículo 5 de la Ley 1581 incluye expresamente los datos relativos a la salud entre los datos sensibles.

¿Quién vigila el cumplimiento?

La Superintendencia de Industria y Comercio (SIC).

¿El proveedor de software es responsable de los datos?

Normalmente actúa como encargado. La IPS o el médico sigue siendo el responsable y debe exigirle condiciones de seguridad.

Lecturas relacionadas

• Autorización de tratamiento de datos en salud
• ¿Quiénes tienen acceso a la historia clínica?
• Custodia y conservación de la historia clínica

Cumplir la ley de protección de datos, sin complicarse

La ley de protección de datos pide algo que todo profesional de la salud ya conoce: cuidar la información del paciente como cuida su salud. Con autorizaciones claras, accesos controlados y un software seguro, cumplir es parte natural del día a día.

Contenido informativo para prestadores de servicios de salud en Colombia, actualizado al 16 de octubre de 2026. No constituye asesoría jurídica. Fuentes: Ley 1581 de 2012 (artículos 4, 5, 6, 17, 23 y 26) y Decreto 1377 de 2013. Consulte también a la Superintendencia de Industria y Comercio.