La reforma de la Ley 1581 de 2012 fue radicada de nuevo ante la Cámara de Representantes en agosto de 2026, como proyecto de ley estatutaria presentado ante el Congreso de la República, después de dos intentos previos que no completaron su trámite en 2024 y 2025. El texto tiene 23 artículos y toca desde las bases legales del tratamiento hasta el régimen sancionatorio. Este artículo se concentra en lo que afecta directamente a un sistema de verificación biométrica: la reclasificación de la biometría de identificación como dato sensible, la evaluación de impacto, el oficial de protección de datos, la explicabilidad de decisiones automatizadas y las transferencias internacionales.
Qué se radicó y en qué punto está el trámite
Es un proyecto de ley estatutaria, todavía sin número de radicación: el texto disponible lo identifica como «Proyecto de Ley Estatutaria No. ____ de 2026», en blanco, porque ese número solo se asigna una vez la Secretaría General de la Cámara de Representantes formaliza el registro del proyecto — un paso administrativo posterior a la presentación, que tuvo lugar en agosto de 2026. Es, en otras palabras, el estado normal de cualquier proyecto recién presentado, no una omisión del documento. Actualizaremos este artículo en cuanto ese número se conozca.
No es la primera vez que este esfuerzo legislativo llega al Congreso. Según la exposición de motivos del propio proyecto, la iniciativa ya se había radicado en la legislatura 2024-2025 (PLE 152 de 2024 Cámara) y en la legislatura 2025-2026 (PLE 274 de 2025 Cámara), sin completar el trámite en ninguna de las dos ocasiones. De forma paralela, en agosto de 2025 el Gobierno Nacional —a través de los ministerios de Ciencia, Tecnología e Innovación y de Comercio, Industria y Turismo, junto con la Superintendencia de Industria y Comercio (SIC)— había anunciado su propia iniciativa para actualizar la misma ley, según el comunicado oficial de la SIC. Si ese anuncio y el proyecto de agosto de 2026 son la misma iniciativa o dos radicaciones distintas con el mismo objeto es, con la información disponible hoy, una pregunta abierta — no lo cerramos aquí para no afirmar algo que las fuentes no confirman.
Por tratarse de una ley estatutaria, el trámite exige los cuatro debates ordinarios (dos en Cámara, dos en Senado) dentro de una sola legislatura y, antes de la sanción presidencial, el control previo y automático de constitucionalidad por parte de la Corte Constitucional, conforme al artículo 153 de la Constitución Política. Mientras ese trámite no concluya, el régimen aplicable sigue siendo la Ley 1581 de 2012 vigente, con el Decreto 1377 de 2013 como su desarrollo reglamentario.
La biometría de identificación pasa a categoría de dato sensible
Bajo la Ley 1581 de 2012 vigente, los datos biométricos no aparecen listados de forma expresa como dato sensible: reciben protección reforzada por vía interpretativa y jurisprudencial, no por una categoría cerrada en la norma. El proyecto lo hace explícito. El artículo 3, literal l), incluye entre los datos sensibles «los datos biométricos dirigidos a identificar de manera unívoca a una persona natural», junto con otras categorías ya reconocidas: origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, datos genéticos, datos de salud, orientación sexual e identidad o expresión de género.
La consecuencia práctica es un cambio de régimen. Un dato sensible no se trata bajo la regla general de bases legitimadoras: el artículo 6 del proyecto mantiene la prohibición general del tratamiento de datos sensibles, con excepciones tasadas. El interés legítimo genérico del responsable —una de las bases habituales para tratamiento de datos ordinarios— deja de bastar por sí solo.
Una precisión que conviene mantener en cualquier comunicación sobre esta reforma: la reclasificación aplica a la biometría dirigida a identificar de manera unívoca a una persona natural, no a cualquier tratamiento que involucre una característica física, fisiológica o conductual. Generalizarlo a «todo tratamiento biométrico» es una sobreextensión jurídica que el texto del proyecto no respalda.
Base legal: sobre qué se apoya el tratamiento biométrico en KYC
Para una entidad financiera que usa biometría en el onboarding o en la verificación continua de identidad, el proyecto deja dos vías realistas.
La primera es la autorización previa, expresa e informada del titular, en los términos que fija el artículo 10 del proyecto: obtenida antes del tratamiento, para una o varias finalidades específicas, sin que el silencio, las casillas preseleccionadas o la inacción se consideren manifestaciones válidas.
La segunda es el nuevo literal f) del artículo 6: el tratamiento de datos sensibles es lícito cuando «sea necesario para el cumplimiento de obligaciones legales y el ejercicio de derechos específicos del Responsable del Tratamiento o del Titular». Para procesos de conocimiento del cliente (KYC) y prevención de lavado de activos regulados por la Superintendencia Financiera, esta segunda vía es la natural: la verificación de identidad no es una elección comercial, es una obligación legal del sujeto vigilado. Conviene documentar esa base con precisión, porque el interés legítimo genérico del artículo 9 —válido para datos ordinarios— no habilita por sí solo el tratamiento de datos sensibles.
Evaluación de impacto: cuándo deja de ser opcional
El proyecto incorpora la evaluación de impacto en protección de datos como obligación expresa de los responsables, algo que la Ley 1581 de 2012 vigente no contempla de forma explícita. El nuevo literal s) del artículo 17 (modificado por el artículo 12 del proyecto) exige esta evaluación cuando hay tratamiento a gran escala, tratamiento automatizado o semiautomatizado, elaboración de perfiles o probabilidad de alto riesgo para los derechos del titular —e, «en todo caso», cuando el tratamiento automatizado recae sobre datos sensibles.
Esa última cláusula no deja margen de interpretación para un sistema de verificación biométrica: al ser tratamiento automatizado de un dato que el propio proyecto clasifica como sensible, la evaluación de impacto pasa de buena práctica a requisito legal. El deber se traslada también a los encargados del tratamiento, que deben apoyar al responsable en su elaboración (artículo 13, literal m).
Oficial de Protección de Datos: cuándo hay que designarlo
El artículo 12 del proyecto (nuevo literal u) del artículo 17) fija tres supuestos en los que la designación de un oficial de protección de datos deja de ser voluntaria: tratamiento de datos personales a gran escala, tratamiento de datos sensibles como parte de la actividad principal, o tratamiento realizado por una autoridad u organismo público. La misma obligación aplica a los encargados del tratamiento (artículo 13, literal ñ).
Una nota operativa que vale la pena registrar: el proyecto convierte la existencia de un oficial de protección de datos —incluso cuando no era obligatorio— en un criterio atenuante para graduar sanciones (artículo 21, nuevo literal i) del artículo 24 de la Ley 1581 de 2012). Tenerlo antes de que sea exigible no es solo una buena práctica de gobierno del dato: reduce exposición sancionatoria si algo falla.
Explicabilidad de las decisiones automatizadas
El proyecto introduce el principio de explicabilidad entre los principios rectores del tratamiento (artículo 4) y lo convierte en un derecho concreto del titular: no ser objeto de decisiones que limiten sus derechos fundamentales, tengan efectos discriminatorios o le afecten significativamente cuando se basen únicamente en tratamiento automatizado o en elaboración de perfiles (artículo 8, literal g). Cuando eso ocurra, el titular puede exigir una explicación clara, accesible y suficiente sobre la lógica, los criterios y los factores determinantes, además de la intervención de una persona.
Esto afecta de forma directa al scoring de fraude y a las decisiones de riesgo de cuenta que se apoyan en verificación biométrica o en señales de comportamiento. El requisito operativo es concreto: la lógica del modelo, los factores considerados y la ruta de escalado a revisión humana tienen que quedar documentados, no solo diseñados.
Transferencias internacionales y despliegue de biometría
El artículo 22 del proyecto rediseña el artículo 26 de la Ley 1581 de 2012 sobre un esquema de dos niveles, más cercano al modelo de decisión de adecuación que al de excepciones tasadas que rige hoy. Primero, la transferencia está permitida hacia países que ofrezcan un nivel adecuado de protección según el estándar que fije la Autoridad Nacional de Protección de Datos Personales. Segundo, hacia el resto de países, la transferencia exige garantías adicionales equivalentes: declaración de conformidad ante la propia Autoridad, normas corporativas vinculantes o cláusulas contractuales modelo aprobadas por ella. Las excepciones que hoy contempla el artículo 26 vigente (consentimiento expreso, ejecución de un contrato, entre otras) se mantienen, pero como última alternativa frente a la ausencia de una decisión de adecuación o de garantías adicionales.
La consecuencia arquitectónica es directa para cualquier stack de identidad: procesar o almacenar plantillas biométricas fuera de Colombia añade una capa de cumplimiento que el despliegue local no tiene. Vale la pena revisar, desde ya, dónde residen hoy esas plantillas y bajo qué mecanismo se transfieren.
Sanciones: hasta 10.000 SMMLV o el 5% de los ingresos operacionales
El artículo 20 del proyecto sustituye el artículo 23 de la Ley 1581 de 2012. El régimen vigente contempla multas de hasta 2.000 salarios mínimos mensuales legales vigentes (SMMLV). El proyecto las eleva hasta el equivalente de 10.000 SMMLV, o hasta el 5% de los ingresos operacionales del infractor en el año fiscal inmediatamente anterior, lo que resulte aplicable según el caso. Las multas pueden ser sucesivas mientras subsista el incumplimiento, y el catálogo de sanciones conserva la suspensión de actividades y el cierre definitivo de las operaciones de tratamiento cuando no se adoptan los correctivos ordenados. Estas sanciones aplican a personas de naturaleza privada, sociedades de economía mixta y empresas industriales y comerciales del Estado; cuando el presunto infractor es una autoridad pública, la actuación se traslada a la Procuraduría General de la Nación.
Qué revisar antes de que la reforma entre en vigor
| Requisito | Artículo del proyecto | Qué revisar en el stack actual |
|---|---|---|
| Base legal del tratamiento biométrico | Art. 6 lit. f) y Art. 9 | Si el onboarding se apoya solo en interés legítimo o en una autorización genérica, documentar la base de obligación legal para KYC/AML |
| Reclasificación como dato sensible | Art. 3 lit. l) | Confirmar que las plantillas biométricas de identificación se tratan con el régimen de datos sensibles, no con el régimen general |
| Evaluación de impacto (DPIA) | Art. 17 lit. s) (mod. Art. 12) | Verificar si existe una DPIA vigente para el sistema de verificación biométrica y cuándo se actualizó por última vez |
| Oficial de Protección de Datos | Art. 17 lit. u) y Art. 18 lit. ñ) | Confirmar si la entidad ya designó DPO; si no, evaluar si califica por gran escala o datos sensibles como actividad principal |
| Explicabilidad de decisiones automatizadas | Art. 4 y Art. 8 lit. g) | Revisar si el modelo de scoring de fraude documenta lógica, factores y ruta de intervención humana |
| Transferencias internacionales de plantillas biométricas | Art. 26 (mod. Art. 22) | Localizar dónde residen las plantillas biométricas y bajo qué mecanismo se transfieren fuera de Colombia |
| Deberes de los encargados del tratamiento (subcontratación y auditorías) | Art. 18 lit. p) y r) (mod. Art. 13) | Si trabaja con encargados externos (verificación biométrica, nube, BPO), confirmar que sus contratos de encargo ya prohíben subcontratar sin autorización expresa del responsable y que incluyen el deber de facilitar auditorías e inspecciones técnicas |
| Exposición sancionatoria | Art. 23 y Art. 24 (mod. Art. 20 y 21) | Estimar el impacto de una sanción de hasta el 5% de ingresos operacionales frente al coste de cerrar las brechas anteriores |
Este checklist da contexto de cumplimiento normativo en Colombia, pero no sustituye la revisión de SARLAFT y la regulación de la Superintendencia Financiera ni el trabajo previo sobre suplantación de identidad bajo la Ley 2573 de 2026, que son territorios normativos distintos. Tampoco reemplaza el detalle operativo del proceso de verificación KYC, del screening AML, de la identidad digital para banca ni de la defensa frente a ataques de inyección en el flujo de decisiones automatizadas: son las piezas donde conviene profundizar cada punto de este checklist.
Régimen vigente frente a régimen propuesto
| Categoría | Ley 1581 de 2012 (vigente) | Proyecto de 2026 (en trámite) |
|---|---|---|
| Categoría del dato biométrico de identificación | Protección reforzada por vía interpretativa; no aparece listado de forma expresa como dato sensible | Dato sensible expreso (Art. 3 lit. l), con régimen de prohibición general y excepciones tasadas |
| Base legal para el tratamiento | Autorización del titular como regla general, sin vía diferenciada para datos sensibles | Autorización expresa o cumplimiento de obligación legal (Art. 6 lit. f); el interés legítimo genérico no basta |
| Evaluación de impacto (DPIA) | No está prevista como obligación expresa | Obligatoria para tratamiento automatizado de datos sensibles, gran escala o elaboración de perfiles (Art. 17 lit. s) |
| Oficial de Protección de Datos | No existe como figura legal obligatoria | Obligatorio en tres supuestos: gran escala, datos sensibles como actividad principal, o entidad pública (Art. 17 lit. u) |
| Transferencias internacionales | Prohibidas salvo excepciones tasadas (consentimiento expreso, ejecución de contrato, entre otras) | Permitidas hacia países con nivel adecuado o con garantías adicionales; las excepciones tasadas pasan a ser la última alternativa |
| Sanción máxima | Hasta 2.000 SMMLV | Hasta 10.000 SMMLV o el 5% de los ingresos operacionales del año fiscal anterior |
Preguntas frecuentes
El proyecto modifica parcialmente la Ley Estatutaria 1581 de 2012. Amplía las bases legales del tratamiento, incorpora nuevas categorías de datos sensibles —entre ellas los datos biométricos de identificación unívoca—, exige evaluaciones de impacto, obliga a designar Oficial de Protección de Datos en determinados supuestos y eleva las sanciones.
Todavía no está vigente. Es un proyecto de ley estatutaria radicado en la Cámara de Representantes en agosto de 2026. Requiere cuatro debates y control previo de constitucionalidad por la Corte Constitucional. Hasta que se promulgue, el régimen aplicable sigue siendo la Ley 1581 de 2012 vigente.
Bajo la Ley 1581 vigente, los datos biométricos ya reciben protección reforzada por vía interpretativa. El proyecto lo hace explícito: incluye los datos biométricos dirigidos a identificar de manera unívoca a una persona natural en el listado de datos sensibles, con régimen de prohibición general y excepciones tasadas.
Russian Coms operaba como «Tech Support as a Service» criminal: por 350 libras al mes ofrecía 5.000 minutos de llamadas cifradas, soporte 24/7, música en espera y cambio de voz. Realizó 1,3 millones de llamadas falsas suplantando bancos a 500.000 números en UK.
Dos vías. La autorización previa, expresa e informada del titular, o el cumplimiento de una obligación legal exigible al responsable. Para procesos KYC y AML regulados por la Superintendencia Financiera, la obligación legal es la vía natural. El interés legítimo genérico no habilita el tratamiento de datos sensibles.
Cuando hay tratamiento a gran escala, tratamiento automatizado o semiautomatizado, elaboración de perfiles, o probabilidad de alto riesgo para los derechos del titular. El proyecto incluye, en todo caso, el tratamiento automatizado de datos sensibles, lo que abarca cualquier sistema de verificación biométrica.
Las que realicen tratamiento de datos personales a gran escala, las que traten datos sensibles como parte de su actividad principal, y las autoridades u organismos públicos. La obligación alcanza a responsables y a encargados del tratamiento.
Multas de carácter personal e institucional hasta 10.000 salarios mínimos mensuales legales vigentes, o hasta el 5% de los ingresos operacionales del infractor del año fiscal anterior. Las multas pueden ser sucesivas mientras subsista el incumplimiento, y el proyecto contempla el cierre definitivo de las operaciones de tratamiento.
