3.1 El derecho a la privacidad y los datos personales

El derecho a la privacidad es fundamental para proteger la dignidad y libertad individual, especialmente en una sociedad digital donde la exposición de datos es constante. Como indican ^{Díaz-Alabart (2024)} y ^{Bertoni (2016)}, la digitalización exige una gobernanza adecuada de la ciudadanía digital, lo que implica ajustes jurídicos como señala ^{Orza-Linares (2011)}.

Según ^{Estrada (2003)}, la privacidad otorga a cada persona control sobre su información personal, protegiéndola de intromisiones sin consentimiento y este derecho garantiza que cada individuo decida quién accede a sus datos y bajo qué condiciones, lo que resulta esencial para la libertad y la dignidad humana.

A nivel internacional, la Declaración Universal de los Derechos Humanos (DUDH), de la Organización de las Naciones Unidas (ONU, 1984) y el Convenio Europeo de Derechos Humanos (CEDH) (Consejo de Europa, 1950), reconocen el derecho a la vida privada; el artículo 12 de la DUDH prohíbe injerencias arbitrarias en la vida personal, y el artículo 8 del CEDH establece que las autoridades no deben intervenir, salvo por razones justificadas como la seguridad nacional.

El Reglamento General de Protección de Datos (RGPD) de la UE (Parlamento Europeo & Consejo Europeo, 2016) regula el tratamiento de datos personales, exigiendo consentimiento y condiciones claras para su uso; establece figuras como el responsable y encargado del tratamiento, así como derechos para los titulares: acceso, rectificación, supresión, oposición, entre otros. Además, exige notificar violaciones de seguridad y promueve la privacidad desde el diseño.

Los datos personales incluyen información identificable (nombre, dirección), biométrica (huellas, reconocimiento facial), y derivados del uso digital (navegación, redes sociales). Algunos, como los de salud o ideología, requieren protección reforzada.

Organismos como la ONU y la OCDE, han promovido marcos éticos para el tratamiento de datos, por ejemplo, destaca que la protección debe ser proporcional a la sensibilidad de los datos. Y, además en entornos digitales, el uso inadecuado de información puede derivar en violencias, como la violencia de género digital, reconocida por la Organización de Estados Americanos (OEA, 2022), que se manifiesta mediante acoso, amenazas y difusión de contenido sin consentimiento.

Rojas (2017) clasifica los datos en públicos, semiprivados y privados, con distintos niveles de protección. Mientras que ^{Ariza et al. (2020}), resaltan principios clave en el tratamiento de datos: transparencia, finalidad y minimización, y que el aumento de dispositivos conectados intensifica la necesidad de actualización normativa, dado que se estima que para 2025 habrá 75 mil millones de dispositivos, lo que incrementa el flujo de datos y los riesgos asociados.

Asimismo, tecnologías como el blockchain y el cloud computing ofrecen ventajas en la gestión de información, pero también presentan desafíos éticos y de control, especialmente en cuanto a la eliminación de datos y la seguridad delegada a terceros, como asegura ^{Lecuit (2019}).

3.2 Desafíos de las nuevas tecnologías a la protección de datos

En la era digital, herramientas como redes sociales, aplicaciones móviles, Inteligencia Artificial (IA), Big Data, blockchain e Internet de las cosas (IoT) han transformado radicalmente las formas de interacción, circulación y tratamiento de la información personal (^{Benítez-Arrieta & Cantillo-Velásquez, 2025}). Esta exposición constante ha dado lugar a lo que ^{Lévano y Porchia (2023}) denominan la “cultura del anonimato”, caracterizada por el uso de identidades ficticias, alias o avatares que, si bien pueden fomentar la igualdad en la expresión, también facilitan prácticas como el trolling, la suplantación de identidad o la manipulación mediante bots.

El procesamiento de datos personales es hoy un eje central de la economía digital. Según ^{Sánchez (2023}), esta realidad demanda una reflexión ética y legal profunda sobre la responsabilidad de quienes recolectan y utilizan dicha información, especialmente cuando los avances tecnológicos superan el alcance de la normativa vigente, generando tensiones con los derechos fundamentales. La inteligencia artificial, por ejemplo, emplea grandes volúmenes de datos sensibles para tomar decisiones automatizadas (^{Puentes-Aguillón et al., 2025}). ^{Morales (2020}) advierte que, sin marcos regulatorios robustos, esto puede derivar en riesgos significativos como la discriminación algorítmica, evidenciada en casos como el de Google Photos (2015) o el chatbot Tay de Microsoft.

Otro fenómeno creciente es la perfilación digital, práctica que rastrea la actividad del usuario para crear perfiles conductuales con fines comerciales o delictivos. Esta técnica, señala ^{Sánchez (2023}), puede facilitar delitos como el ciberacoso, la extorsión o la violencia digital, especialmente contra mujeres y grupos vulnerables. Por ello, es fundamental que el uso de tecnologías emergentes respete principios como la legalidad, el consentimiento informado y la finalidad específica del tratamiento de datos. A estos se suman otros principios derivados, como la proporcionalidad, la seguridad, la calidad y la protección efectiva, según ^{Morales (2020}).

La automatización y la inteligencia artificial también presentan riesgos sociales más amplios. ^{Clúa de Yarza (2020}) advierte sobre el impacto de la automatización en el empleo, subrayando la necesidad de garantizar una gestión ética y segura de los datos personales en entornos laborales digitalizados. Por su parte, ^{Aristizábal (2019}) plantea que una verdadera protección de datos requiere no solo marcos legales sólidos, sino sistemas funcionales de autorregulación, con compromisos gubernamentales efectivos. Destaca también el derecho al olvido como una garantía esencial frente al tratamiento masivo y permanente de la información digital.

Como expone ^{Mendivelso (2024}), el control de la información se ha convertido en una forma de poder. Grandes corporaciones y conglomerados, muchas veces ocultos tras el anonimato digital, gestionan y manipulan datos personales con fines lucrativos o estratégicos, sin que los titulares tengan control real sobre el destino de su información. Este panorama exige, más que nunca, una regulación estricta y mecanismos eficaces para evitar que las tecnologías, lejos de garantizar derechos, los vulneren.

3.3 Normativa vigente en Colombia

Colombia reafirma su compromiso con la protección de los datos personales a nivel nacional mediante el artículo 15 de la Constitución Política de Colombia (1991), que garantiza el derecho a la intimidad, la vida privada y la buena reputación. Este artículo impone al Estado la obligación de respetar y hacer cumplir dichas garantías, además de reconocer el derecho de los ciudadanos a acceder, actualizar y rectificar la información recopilada sobre ellos en bases de datos públicas o privadas.

La normativa nacional también asegura la inviolabilidad de las comunicaciones privadas, salvo en circunstancias excepcionales bajo orden judicial. Para robustecer este derecho, el país ha adoptado un marco normativo que incluye:

La Ley 1266 de 2008, que regula el Habeas Data en el ámbito crediticio; La Ley 1581 de 2012, que establece el régimen general de protección de datos personales; La Ley 1273 de 2009, que introduce delitos informáticos y protege la información digital; y la Ley 1712 de 2014, que garantiza el acceso a la información pública, protegiendo los datos sensibles.

Este conjunto normativo busca armonizar el derecho a la privacidad con los principios de acceso a la información y seguridad nacional, promoviendo un uso responsable y transparente de los datos personales.

Las leyes colombianas, reforzadas por jurisprudencia de la Corte Constitucional, fortalecen el derecho a la privacidad, incluyendo la inviolabilidad del domicilio y de las comunicaciones. Un ejemplo representativo es la Sentencia C-308 de 2019, que evaluó el artículo 33 de la Ley 1801 de 2016 (Código Nacional de Policía y Convivencia), en donde la Corte avaló el ingreso a domicilios sin orden judicial únicamente en casos de “imperiosa necesidad” como emergencias o rescates, estableciendo que dicha excepción debe aplicarse de manera restrictiva y proporcional (Corte Constitucional de Colombia, 2019,).

Además, la Corte ha sostenido que toda intervención en estos derechos debe ser justificada, respetando la dignidad y autonomía del titular de los datos. Por ejemplo, ^{Basto y Salcedo (2014}) proponen que el Estado puede acceder a documentos privados para fines fiscales o de inspección, siempre dentro de los límites establecidos por la ley.

En un entorno digital, donde la generación de huellas en línea es constante (a través de redes sociales, plataformas digitales, etc.), el derecho a la privacidad se vuelve aún más crucial. Este permite a las personas controlar el acceso a su información, limitando su uso no autorizado y resguardando su integridad.

No obstante, a pesar de los avances normativos, persisten vacíos legales que dificultan una protección integral. Muchas empresas carecen de los recursos o conocimientos para implementar mecanismos adecuados de seguridad. Un caso preocupante es el del SECOP (Sistema Electrónico para la Contratación Pública), donde datos sensibles como cédulas, hojas de vida y estados financieros están expuestos, aunque el principio de publicidad ampara esta práctica, la ausencia de filtros adecuados puede vulnerar derechos fundamentales.

Desde una perspectiva legal, la Ley 1581 de 2012 (Congreso de la República de Colombia, 2012, art. 4) establece principios rectores como la confidencialidad, finalidad y proporcionalidad. Sin embargo, la disponibilidad de información mediante identificadores como la cédula puede contradecir el principio de minimización de datos, que busca limitar la recolección y divulgación al mínimo necesario para un fin determinado.

El Sistema Electrónico para la Contratación Pública (SECOP), aunque promueve la transparencia en la contratación estatal colombiana, carece de mecanismos de autenticación y verificación de propósito, lo que abre la puerta al uso indebido de información personal. Por ello, se hace urgente reforzar los protocolos de seguridad y establecer medidas que equilibren el derecho al acceso a la información con la protección de datos sensibles.

En marzo de 2023, Colombia suscribió la Carta de Principios y Derechos Digitales, junto a otros países de la región, siendo un instrumento que busca estandarizar la protección de los derechos digitales y adaptar las normativas a la era de la información, y su implementación representa un avance hacia un ecosistema digital más seguro, alineado con las mejores prácticas internacionales.

3.4 La Ley 1581 de 2012 y el rol de la SIC

La Ley 1581 de 2012, conocida como Ley de Protección de Datos Personales, regula el tratamiento de datos conforme al derecho a la privacidad consagrado en el artículo 15 constitucional, siendo norma que garantiza a los titulares el derecho a conocer, actualizar y rectificar su información, y se fundamenta en principios como: Legalidad dado que el tratamiento debe ceñirse a lo establecido por la ley; la libertad que requiere consentimiento libre, previo y expreso; y la seguridad que se impone medidas técnicas y administrativas de protección.

La entidad encargada de hacer cumplir esta ley es la Superintendencia de Industria y Comercio (SIC). Entre sus funciones se encuentran: supervisar la recolección y tratamiento de datos personales; garantizar la información clara a los titulares; proteger especialmente los datos sensibles; prohibir, salvo excepciones legales, el tratamiento de datos de menores; e investigar y sancionar violaciones mediante multas y medidas correctivas, citado en ^{Cabezas-Azuero (2023}). Además, emite directrices (no siempre vinculantes) para orientar el uso responsable de los datos, y supervisa el cumplimiento del Decreto 1377 de 2013, que reglamenta parcialmente la Ley 1581.

Sin embargo, la implementación de esta ley enfrenta múltiples desafíos. A diferencia del Reglamento General de Protección de Datos (RGPD) europeo, Colombia no exige evaluaciones de impacto ni pruebas de cumplimiento, y permite el tratamiento bajo “interés legítimo”, lo que puede debilitar la protección. La falta de formación técnica y pedagógica en entidades públicas, sumada a una débil fiscalización, limita la efectividad del marco legal.

Un ejemplo de estas debilidades es la aplicación CoronApp, desarrollada durante la pandemia, que recopiló datos sin el debido consentimiento, facilitando su uso potencialmente indebido. Así lo evidenció un foro académico organizado por la Universidad Externado de Colombia que fue recopilado por ^{Quiñones (2022}), concluyendo que la Ley 1581 es insuficiente ante los retos de la automatización, el control algorítmico y la transferencia internacional de datos.

Aunque el sector privado ha mostrado avances en pedagogía y cumplimiento, el Estado aún presenta rezagos importantes, en el que el fortalecimiento normativo y la implementación efectiva de la Carta de Principios y Derechos Digitales podrían impulsar una reforma legal integral, más acorde con los desafíos contemporáneos.

En consecuencia, si bien la Ley 1581 de 2012 ha sido un hito para la protección de datos en Colombia, se requieren reformas urgentes en aspectos como: Clarificación del consentimiento expreso y mecanismos de validación; Regulación de tecnologías emergentes (IA, Big Data, blockchain); Establecimiento de directrices de la SIC con carácter obligatorio; Fortalecimiento de la supervisión y sanción; y la regulación clara sobre transferencias de datos interinstitucionales e internacionales.

3.5 Algunos casos colombianos relacionados con la protección de datos y el derecho a la privacidad

En Colombia, la protección de los datos personales enfrenta múltiples desafíos estructurales y prácticos. A pesar de la existencia de un marco normativo robusto, como la Ley 1581 de 2012, persisten vulneraciones frecuentes al derecho a la privacidad. Según datos citados por la relatora de la ONU, Ana Brian Nougrères, la Superintendencia de Industria y Comercio (SIC) recibe en promedio 2.300 quejas mensuales por infracciones en el tratamiento de datos, lo que evidencia una deficiente aplicación de las normas vigentes (^{Remolina, 2023}).

Entre las problemáticas más comunes reportadas, de acuerdo con ^{Mesa (2015}), se encuentran: llamadas comerciales no solicitadas, reportes crediticios incorrectos e intentos de estafa. Estas prácticas indican no solo el uso indebido de los datos, sino también una falta de conocimiento de la ciudadanía sobre sus derechos, lo que limita la interposición de denuncias y genera un subregistro significativo.

La relatora ^{Nougrères (2021}), ha insistido en la necesidad de educar a las personas sobre los riesgos de una gestión inadecuada de sus datos y la importancia de prácticas básicas como la lectura de términos y condiciones de privacidad. En la misma línea, la profesora María Solange Maqueo Ramírez, del CIDE (México), advierte que, sin una cultura sólida de protección de datos, las normas resultan insuficientes. Señala que tanto el Estado como las empresas deben asumir un rol activo en la protección de la información, dada su influencia en derechos conexos como el acceso al crédito o a servicios de salud (^{Remolina, 2023}).

Un caso emblemático es el fallo de la Corte Interamericana de Derechos Humanos (CIDH) del 18 de marzo de 2024, en el caso Miembros de la Corporación de Abogados José Alvear Restrepo (CAJAR) vs. Colombia. En este, la Corte reconoció el derecho a la autodeterminación informativa en contextos de vigilancia estatal, condenando a Colombia por interceptaciones ilegales, seguimiento, robo de datos y otras formas de vigilancia contra defensores de derechos humanos y sus familias, que derivaron incluso en desplazamientos forzados (^{Camacho, 2024}).

El fallo estableció que las personas tienen derecho a conocer, corregir y eliminar la información recolectada por organismos de inteligencia, incluyendo la obtenida mediante actividades como el ciberpatrullaje. La Corte advirtió que prácticas de vigilancia digital sin control pueden violar gravemente el derecho a la privacidad, e instó a Colombia a depurar sus bases de datos y adoptar medidas concretas para garantizar un tratamiento ético y legal de la información (^{Camacho, 2024}).

En el ámbito nacional, la SIC ha emitido múltiples sanciones por incumplimientos a la normativa de protección de datos. En 2019, sancionó al Banco Falabella (Resolución 9766 de 2019) y a Rappi S.A.S. (Resolución 9800 de 2019) por vulnerar el derecho de supresión y tratar datos sin autorización. El Banco Falabella incumplió solicitudes de eliminación de información personal y excedió ampliamente el plazo legal para responder. Rappi, por su parte, manejó datos sin verificación de identidad ni consentimiento, y envió comunicaciones no autorizadas, lo que derivó en multas y medidas correctivas (SIC, 2019).

Más recientemente, en 2024, se documentaron casos que muestran un patrón de incumplimiento. La empresa Baguer S.A.S. fue sancionada (Resolución 1016 de 2024) por transferir datos sensibles a terceros sin consentimiento. La Clínica Nueva Sonrisa Calima S.A.S. fue sancionada por no implementar medidas de seguridad adecuadas (Resolución 1332 de 2024). En la Resolución 16851 (2024), la Fundación para el Desarrollo Integral del Sistema de Seguridad Social fue multada por no acreditar políticas de tratamiento de datos. Asimismo, Credivalores - Crediservicios S.A. recibió una sanción significativa (259 smlmv, Resolución 29069 de 2024) por reportar negativamente a titulares sin previa notificación (SIC, 2024a; 2024b; 2024c; 2024d).

Otros casos como el de Carlos Mario Soto Duque - Modas y Modas La Diagonal y Needish Colombia S.A.S., sancionados por no contar con autorización previa y políticas de tratamiento (Resoluciónes 31523 y 33982 de 2024), y Datsoft S.A.S., por consultar historiales crediticios sin consentimiento (Resolución 34528 de 2024), reafirman esta tendencia. En las Resoluciones 40286 y 41965 de 2024, se sancionó al Fondo de Empleados de Credibanco y al Foemiseg por incumplir requerimientos en políticas de tratamiento, seguridad y atención a reclamos, permitiendo incluso accesos no autorizados (SIC, 2024e; 2024f; 2024g; 2024h; 2024i).

Como señala ^{Remolina (2023}), no basta con consagrar el derecho a la privacidad en el ordenamiento jurídico; se requiere una implementación activa y un compromiso real por parte de las entidades encargadas del tratamiento de datos. La mayor parte de las sanciones en 2024 se relaciona con la falta de adopción de políticas adecuadas en almacenamiento, uso, circulación y supresión de datos personales.

Esto evidencia un desfase entre la normativa existente y su aplicación efectiva. Además, las nuevas tecnologías como la inteligencia artificial, el big data, la cadena de bloques (blockchain) y el internet de las cosas plantean desafíos complejos. La protección de los datos personales debe adaptarse a estos escenarios, considerando el riesgo de nuevas formas de vigilancia y explotación de la información.

Entonces, la efectividad del derecho a la protección de datos no reside únicamente en su regulación formal, sino en el cumplimiento efectivo de las obligaciones por parte de quienes tratan la información. La falta de conciencia de los titulares sobre sus derechos propicia un bajo nivel de denuncias y un elevado subregistro, debilitando el sistema de protección. La responsabilidad recae, en última instancia, en las organizaciones que deben garantizar la confidencialidad, seguridad y actualización de los datos recolectados (^{Morelos-Gómez et al., 2024}).

3.4 Discusión

Los resultados permiten evaluar la hipótesis: aunque Colombia tiene un marco legal para la protección de datos, existen vacíos que limitan su aplicación y afectan la privacidad digital. El análisis de leyes, estudios doctrinales y casos de la SIC revela que, pese a la Ley 1581 de 2012 y otras normativas, su implementación sigue presentando debilidades.

Respecto a la aplicabilidad de la ley y el respeto por la misma, se evidencia que en Colombia se incumplen las obligaciones de supresión y autorización de datos, y en general de protección de datos, reflejando una falta de cumplimiento práctico que la normativa no ha logrado controlar de forma efectiva. Estos casos y datos, como el de la CIDH, ilustran la dificultad de aplicar la normativa de forma exhaustiva y proteger adecuadamente los derechos de los ciudadanos, validando parcialmente la hipótesis.

Asimismo, la investigación señala que la regulación no ha avanzado al mismo ritmo que las nuevas tecnologías, como la IA, Big Data, tecnología blockchain e IoT, pues, la legislación actual carece de mecanismos específicos para abordar asuntos como consentimiento, regulación de entornos digitales, terminologías y nuevas formas de tratamientos, aplicación de sanciones, estipulación de responsabilidades claras a los responsables y encargados, exigencias de cargas y demostración de cumplimientos a las entidades responsables, estimación de riesgos y reglas para la transferencia de datos (^{Martínez, 2019}). Lo anterior indica que existen grandes limitaciones para la protección completa de la privacidad digital, que distan en gran medida de los avances en términos de regulación de la Unión Europea.

Por lo tanto, los resultados confirman la validez de la hipótesis, señalando que, aunque el marco legal colombiano representa un avance importante, no es suficiente en su estado actual para enfrentar los desafíos tecnológicos y brindar una protección integral y eficaz de los datos personales.

Los resultados de esta investigación evidencian que, aunque Colombia cuenta con un marco legal para la protección de datos personales, representado principalmente por la Ley 1581 de 2012, existen vacíos y limitaciones significativas que dificultan una protección efectiva de la privacidad en el contexto digital. Estos hallazgos se alinean con la pregunta de investigación, que buscaba determinar en qué medida las regulaciones actuales abordan los riesgos asociados a las nuevas tecnologías emergentes.

En primer lugar, se observa que la Ley 1581 de 2012, aunque establece principios fundamentales como la legalidad, finalidad y seguridad en el tratamiento de datos, no ha evolucionado al ritmo de los avances tecnológicos. Esto se refleja en la falta de mecanismos específicos para abordar desafíos como el consentimiento expreso en entornos digitales, la portabilidad de datos, la transferencia internacional de información y la regulación de tecnologías emergentes. Estos vacíos normativos limitan la capacidad del marco legal colombiano para garantizar una protección integral de los datos personales, especialmente en un contexto donde la recolección y el análisis masivo de información se han vuelto omnipresentes.

En segundo lugar, la investigación revela que la Superintendencia de Industria y Comercio (SIC), encargada de supervisar el cumplimiento de la Ley 1581, enfrenta desafíos en su capacidad para aplicar sanciones y garantizar el cumplimiento de las normativas. Aunque se han impuesto multas a empresas por incumplimientos, como en los casos de Rappi y Banco Falabella, persisten prácticas recurrentes de manejo inadecuado de datos, lo que sugiere una falta de efectividad en la supervisión y una necesidad de fortalecer los mecanismos de control. Esto se relaciona con el marco teórico, que destaca la importancia de una supervisión robusta y adaptativa para garantizar la protección de los derechos digitales en un entorno tecnológicamente dinámico.

Además, los resultados muestran que la falta de conciencia social y educación sobre los derechos digitales contribuye a un subregistro de denuncias y a una baja tasa de cumplimiento por parte de las empresas. Esto coincide con lo expuesto por ^{Camargo-Bedoya (2014}), que enfatiza la necesidad de fomentar una cultura de protección de datos tanto en los ciudadanos como en las organizaciones. Desde esta perspectiva, la educación en derechos digitales se perfila como un componente crucial para empoderar a los ciudadanos y garantizar que ejerzan un control informado sobre su información personal.

En cuanto a las implicaciones prácticas, los hallazgos sugieren que Colombia debe avanzar hacia una actualización normativa que incorpore estándares internacionales, como los establecidos en el Reglamento General de Protección de Datos (RGPD) de la Unión Europea. Esto incluiría la adopción de principios como el consentimiento expreso, la minimización de datos, la portabilidad y la obligación de notificar violaciones de seguridad en plazos específicos. Asimismo, se requiere una mayor inversión en recursos y capacitación para la SIC, con el fin de mejorar su capacidad de supervisión y aplicación de sanciones.