Publicado 22 de septiembre de 2026 · Fabio Castro Forero

Checklist: qué le van a pedir en una visita de inspección de la SIC

Lo que le van a pedir no es arbitrario: son los 15 deberes del art. 17, con el documento que acredita cada uno y la prueba de recuperación.

Category Administrative Sanctioning Law Published 22 de septiembre de 2026 Author Fabio Castro Forero

Administrative Sanctioning Law

Antes de responder

Revise sus plazos antes de responder. Cada etapa del procedimiento sancionatorio tiene un término propio. Ordene documentos y fechas antes de escribir a la autoridad.

Lo que la SIC verifica en materia de datos personales no es una lista arbitraria: son los quince deberes del artículo 17 de la Ley 1581 de 2012, y cada uno tiene un documento que lo acredita o no lo acredita. Esta guía los recorre en el orden en que se piden, con el soporte que corresponde a cada uno.

La base legal de la verificación

El artículo 21 enumera las funciones de la SIC en la materia. Tres son las que sustentan un requerimiento o una visita:

Literal b): «Adelantar las investigaciones del caso, de oficio o a petición de parte y, como resultado de ellas, ordenar las medidas que sean necesarias para hacer efectivo el derecho de hábeas data».
Literal f): «Solicitar a los Responsables del Tratamiento y Encargados del Tratamiento la información que sea necesaria para el ejercicio efectivo de sus funciones».
Literal e): «Impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones… a las disposiciones previstas en la presente ley».

Y el literal o) del artículo 17 cierra el círculo desde el lado del responsable: «Cumplir las instrucciones y requerimientos que imparta la Superintendencia de Industria y Comercio».

No responder tiene precio propioEl artículo 51 del CPACA sanciona con multa hasta de 100 salarios mínimos a quienes se rehúsen a presentar los informes o documentos requeridos, los oculten, impidan el acceso a sus archivos, o los remitan «con errores significativos o en forma incompleta». Y el literal d) del artículo 24 de la Ley 1581 hace de «la resistencia, negativa u obstrucción a la acción investigadora» un criterio de graduación. Responder mal cuesta dos veces.

El checklist, deber por deber

Bloque 1 — Legitimidad del tratamiento

Deber	Documento que lo acredita	Statute
Autorización previa e informada, obtenida por medio consultable después	Registro por titular, con fecha y canal	Art. 9º
Solicitar y conservar copia de la autorización	Repositorio recuperable por titular	Art. 17 b)
Haber informado finalidad, carácter facultativo, derechos e identificación del responsable	Versión del aviso vigente en cada fecha, con control de versiones	Art. 12 y su parágrafo
Informar al titular la finalidad de la recolección y sus derechos	El mismo aviso	Art. 17 c)
Suministrar al encargado únicamente datos autorizados	Contrato y alcance de la autorización	Art. 17 h)

Bloque 2 — Seguridad y calidad del dato

Deber	Document	Statute
Conservar la información «bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento»	Política y controles de seguridad, matriz de accesos, registros	Art. 17 d)
Garantizar que la información suministrada al encargado sea «veraz, completa, exacta, actualizada, comprobable y comprensible»	Procedimiento de calidad del dato	Art. 17 e)
Actualizar la información y comunicar novedades al encargado	Registro de novedades con fechas	Art. 17 f)
Rectificar cuando sea incorrecta y comunicarlo	Bitácora de rectificaciones	Art. 17 g)
Exigir al encargado el respeto de las condiciones de seguridad y privacidad	Cláusulas contractuales y verificación	Art. 17 i)

Bloque 3 — Atención de titulares

Deber	Document	Statute
Tramitar consultas y reclamos en los términos legales	Registro con fechas de recibo y de respuesta	Art. 17 j), arts. 14 y 15
Manual interno de políticas y procedimientos, «en especial, para la atención de consultas y reclamos»	El manual, con fecha de adopción	Art. 17 k)
Informar al encargado cuando la información esté en discusión	Comunicación con fecha	Art. 17 l)
Informar, a solicitud del titular, sobre el uso dado a sus datos	Respuestas emitidas	Art. 17 m)

Bloque 4 — Relación con la autoridad

Informar a la autoridad «cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares» (art. 17 n).
Cumplir las instrucciones y requerimientos de la SIC (art. 17 o).

Lo que se verifica del lado del encargado

El artículo 18 impone deberes propios a quien trata datos por cuenta del responsable. Tres con efecto verificable en un solo registro:

Actualizar la información reportada por el responsable «dentro de los five (5) business days contados a partir de su recibo».
Registrar la leyenda «reclamo en trámite» y, cuando corresponda, «información en discusión judicial» una vez notificado por la autoridad competente.
Abstenerse de circular información controvertida por el titular «cuyo bloqueo haya sido ordenado» por la SIC.

Dos puntos que suelen quedar fuera del checklist interno

El Registro Nacional de Bases de Datos

El artículo 25 lo define como «el directorio público de las bases de datos sujetas a Tratamiento que operan en el país», administrado por la SIC y «de libre consulta para los ciudadanos». Y añade un requisito sustantivo:

«Para realizar el registro de bases de datos, los interesados deberán aportar a la Superintendencia de Industria y Comercio las políticas de tratamiento de la información, las cuales obligarán a los responsables y encargados del mismo, y cuyo incumplimiento acarreará las sanciones correspondientes. Las políticas de Tratamiento en ningún caso podrán ser inferiores a los deberes contenidos en la presente ley.»

Dos consecuencias que conviene medir antes de redactar una política: obliga como norma propia, y si promete más de lo que la ley exige, ese exceso también obliga.

La transferencia internacional

El artículo 26 prohíbe «la transferencia de datos personales de cualquier tipo a países que no proporcionen niveles adecuados de protección», entendiendo por tales los que cumplan «los estándares fijados por la Superintendencia de Industria y Comercio». La prohibición no rige en seis casos, entre ellos:

Autorización expresa e inequívoca del titular para la transferencia.
Datos médicos exigidos por el tratamiento del titular por razones de salud o higiene pública.
Transferencias bancarias o bursátiles conforme a su legislación.
Tratados internacionales de los que Colombia sea parte, con fundamento en la reciprocidad.
Ejecución de un contrato entre titular y responsable, o medidas precontractuales, «siempre y cuando se cuente con la autorización del Titular».
Salvaguardia del interés público o defensa de un derecho en proceso judicial.

Si su operación usa nube, casa matriz o proveedores en el exterior, este artículo es de verificación obligada — y el literal g) del artículo 21 asigna a la SIC «proferir las declaraciones de conformidad sobre las transferencias internacionales de datos».

Cómo prepararse

Haga la prueba de recuperación: elija tres titulares y recupere autorización, aviso vigente en esa fecha y trazabilidad de consultas.
Tenga el manual interno del literal k) actualizado y con fecha de adopción.
Coteje su política de tratamiento contra los deberes de la ley: no puede ser inferior, y lo que prometa de más obliga.
Mapee las transferencias internacionales y encuádrelas en el artículo 26.
Revise el cumplimiento de plazos of consultas y reclamos, con evidencia por caso.
Verifique los contratos con encargados: alcance de los datos, condiciones de seguridad y deberes del artículo 18.
Responda cada requerimiento completo y a tiempo, por el artículo 51 del CPACA y el criterio d) del artículo 24.

Un límite del alcanceLa Ley 1581 remite a la reglamentación en varios puntos —la forma de suministrar la información (art. 11) y la información mínima y las condiciones de inscripción en el Registro Nacional de Bases de Datos (parágrafo del art. 25)—. Esta guía se ciñe al texto legal; los requisitos formales y los umbrales de inscripción deben verificarse contra la norma reglamentaria vigente.

Laws and case law cited

Ley 1581 de 2012, artículos 9º, 12, 17 y 18 — Autorización previa e informada obtenida por medio consultable; contenidos del deber de informar y obligación de conservar prueba de su cumplimiento; los quince deberes del responsable del tratamiento, incluidos conservar copia de la autorización, condiciones de seguridad, calidad y actualización del dato, exigencia al encargado, trámite de consultas y reclamos, manual interno, información sobre el uso de los datos, aviso a la autoridad ante violaciones a los códigos de seguridad y cumplimiento de instrucciones de la SIC; y deberes del encargado, con actualización en cinco días hábiles, leyendas de reclamo y de discusión judicial y abstención de circular información bloqueada. Source
Ley 1581 de 2012, artículos 21, 24, 25 y 26 — Funciones de la Superintendencia de Industria y Comercio, incluidas adelantar investigaciones, solicitar información, impartir instrucciones y proferir declaraciones de conformidad sobre transferencias internacionales; criterios de graduación de las sanciones; Registro Nacional de Bases de Datos con la obligación de aportar las políticas de tratamiento, su carácter vinculante y la prohibición de que sean inferiores a los deberes legales; y prohibición de transferencia internacional a países sin nivel adecuado de protección, con sus seis excepciones. Source
Ley 1437 de 2011 (CPACA), artículo 51 — Sanción por renuencia a suministrar información, hasta de 100 salarios mínimos, con resolución motivada y traslado de diez días para explicaciones. Source

We answer your questions

Frequently asked questions

¿Qué me van a pedir en una visita de inspección de la SIC?

Lo que se verifica no es una lista arbitraria: son los quince deberes del artículo 17 de la Ley 1581 de 2012. Cada uno tiene un documento que lo acredita o no lo acredita.

¿Con qué documento acredito la autorización del titular?

Con el registro por titular, con fecha y canal, que exige el artículo 9 al pedir que la autorización se obtenga por un medio consultable después. Y con el repositorio recuperable por titular, que responde al literal b) del artículo 17: solicitar y conservar copia de la autorización.

¿Cómo pruebo que informé al titular?

Con la versión del aviso vigente en cada fecha, bajo control de versiones. Es lo que acredita el artículo 12 y su parágrafo, que obliga a conservar prueba del cumplimiento del deber de informar.

¿Qué piden sobre seguridad de la información?

La política y los controles de seguridad, la matriz de accesos y los registros. El literal d) del artículo 17 obliga a conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.