RESUMEN: ¿El software de propiedad horizontal debe cumplir la Ley de datos? La Superintendencia de Industria y Comercio (SIC) emitió un concepto en el que analiza si los programas de software utilizados en propiedades horizontales para gestionar información de residentes, visitantes y empleados deben someterse al régimen de protección de datos personales en Colombia. El documento, basado en la Ley 1581 de 2012 y el Decreto 1074 de 2015, aclara las responsabilidades tanto de las copropiedades como de las empresas proveedoras de software. La pregunta central es: ¿qué obligaciones concretas existen para garantizar la seguridad, privacidad y legalidad en el tratamiento de esta información?
¿Qué establece el Concepto?
El pronunciamiento de la SIC señala que:
- Los datos de residentes, visitantes y empleados en copropiedades son datos personales según la Ley 1581 de 2012.
- La copropiedad es considerada responsable del tratamiento de datos, mientras que el proveedor del software actúa como encargado del tratamiento.
- Ambos deben cumplir con los deberes legales establecidos en los artículos 17 y 18 de la Ley 1581 de 2012.
- Se exige la adopción de políticas de tratamiento de la información, manuales internos y medidas de seguridad administrativas, técnicas y humanas.
- El software debe diseñarse bajo el enfoque de Privacidad desde el diseño y por defecto (Privacy by Design and by Default), garantizando protección en todo el ciclo de vida de los datos.
- El principio de responsabilidad demostrada obliga a que las copropiedades y proveedores puedan probar ante la SIC la implementación de medidas efectivas de protección.
¿A quiénes aplica y cuáles son los efectos?
Este concepto tiene un impacto directo en:
- Copropiedades y conjuntos residenciales:
- Deben contar con políticas de tratamiento de datos.
- Están obligados a informar a residentes y visitantes sobre el uso de su información.
- Tienen el deber de garantizar seguridad, acceso restringido y actualización de datos.
- Empresas proveedoras de software:
- Son encargados del tratamiento, y deben implementar protocolos de seguridad en el manejo de bases de datos.
- Están obligadas a respetar las instrucciones de la copropiedad y cumplir con las disposiciones de la Ley 1581 de 2012.
👉 Ejemplo práctico: Una administración que use un software para registrar ingresos de visitantes deberá contar con una política clara sobre el uso de esos datos, garantizar que no se filtren a terceros y que el proveedor del sistema cumpla con estándares de seguridad como encriptación y control de accesos.
Recomendaciones y cumplimiento
La SIC recuerda que:
- Las copropiedades y proveedores deben adoptar políticas internas y manuales de tratamiento.
- Las bases de datos deben registrarse en el Registro Nacional de Bases de Datos (RNBD) cuando aplique.
- Es obligatorio implementar medidas de seguridad para evitar pérdida, adulteración o acceso no autorizado a los datos.
- En caso de incidentes de seguridad, se debe reportar a la SIC y a los titulares de los datos afectados.
- El incumplimiento puede generar sanciones administrativas, que van desde multas hasta la suspensión de actividades de tratamiento.
Ver a continuación Superintendencia de Industria y Comercio sobre: ¿El software de propiedad horizontal debe cumplir la Ley de datos?
Protección de datos en propiedad horizontal:
SIC aclara reglas sobre software de gestión y responsabilidad empresarial
Identificación de la norma
- Tipo de documento: Concepto jurídico
- Entidad emisora: Superintendencia de Industria y Comercio (SIC) – Oficina Asesora Jurídica
- Radicado: 25-167843
- Fecha: mayo de 2025
Introducción
El manejo de la información personal en copropiedades y conjuntos residenciales se ha convertido en un tema sensible, especialmente por el creciente uso de software para gestionar datos de residentes, visitantes, empleados y proveedores.
Ante consultas de empresas y administradores de propiedad horizontal, la Superintendencia de Industria y Comercio (SIC) emitió el concepto Radicado 25-167843 de mayo de 2025, en el que recuerda los alcances de la Ley 1581 de 2012, el Decreto 1074 de 2015 y la obligación de cumplir con los principios de seguridad, responsabilidad demostrada y privacidad desde el diseño.
Este pronunciamiento aclara responsabilidades tanto para las copropiedades como para las empresas proveedoras de software, subrayando que todas las entidades que recolectan y tratan datos personales deben garantizar la protección de la información y los derechos de los titulares.
1. Contexto normativo y social
La Ley 1581 de 2012 estableció el marco general para la protección de datos en Colombia, consagrando el derecho fundamental al hábeas data. Posteriormente, el Decreto 1074 de 2015 reforzó el principio de responsabilidad demostrada, que exige a empresas y entidades no solo cumplir la norma, sino también poder probar que han adoptado políticas, medidas y controles adecuados.
En el ámbito de la propiedad horizontal, la recolección y administración de información personal ha aumentado con la digitalización de procesos: sistemas de ingreso vehicular, registro de visitantes, pagos en línea y bases de datos de residentes. Sin embargo, este uso intensivo de software también implica riesgos de filtraciones, accesos no autorizados y usos indebidos de los datos.
La SIC, en línea con guías previas sobre propiedad horizontal, incidentes de seguridad y cloud computing, busca orientar a administradores y proveedores para prevenir vulneraciones y cumplir con estándares internacionales como el Privacy by Design (privacidad desde el diseño).
2. Contenido clave del concepto
a) Sujetos obligados
La SIC enfatiza que tanto la copropiedad como el proveedor del software son responsables en el tratamiento de datos personales:
- Responsable del tratamiento: La copropiedad (persona jurídica) que decide sobre el uso y finalidad de los datos.
- Encargado del tratamiento: El proveedor de software que administra o procesa la información por encargo de la copropiedad.
Ambos deben cumplir los deberes previstos en los artículos 17 y 18 de la Ley 1581 de 2012.
b) Definición de datos personales
Se consideran datos personales cualquier información vinculada a personas naturales identificadas o identificables: nombres, cédulas, teléfonos, correos electrónicos, imágenes de cámaras de seguridad, huellas digitales y registros de acceso.
El tratamiento incluye recolección, almacenamiento, uso, circulación y supresión, sea mediante medios manuales o tecnológicos.
c) Principales obligaciones de las copropiedades y proveedores
- Autorización informada: Garantizar que cada titular conozca la finalidad de la recolección y otorgue su consentimiento.
- Política de tratamiento: Desarrollar y publicar una política clara, escrita en lenguaje sencillo y accesible en físico o digital.
- Manual interno: Adoptar procedimientos para atención de consultas y reclamos de titulares.
- Seguridad de la información: Implementar medidas técnicas, humanas y administrativas que eviten adulteración, pérdida o acceso fraudulento.
- Actualización y veracidad: Mantener la información actualizada y corregir errores cuando sea necesario.
- Registro de bases de datos: En caso de superar ciertos umbrales, registrar la base de datos en el sistema de la SIC.
- Responsabilidad demostrada: Probar, cuando la SIC lo requiera, que existen políticas internas, capacitación y controles adecuados.
d) Políticas y manuales obligatorios
El concepto recuerda que el artículo 2.2.2.25.3.1 del Decreto 1074 de 2015 obliga a los responsables a establecer políticas de tratamiento que incluyan:
- Identificación del responsable.
- Finalidad de la recolección de datos.
- Derechos de los titulares.
- Responsable del área de protección de datos.
- Procedimientos de consultas y reclamos.
- Periodo de vigencia de la base de datos.
e) Principio de seguridad
La protección de la información debe garantizarse a través de medidas proporcionales al riesgo, considerando:
- Naturaleza de los datos recolectados.
- Tamaño de la empresa.
- Posibles impactos en los derechos de los titulares.
Se recomienda aplicar protocolos de encriptación, autenticación multifactor, copias de seguridad y monitoreo de incidentes.
f) Privacidad desde el diseño y por defecto
El concepto introduce un estándar internacional que cobra especial relevancia en software: la privacidad debe integrarse desde la concepción del sistema, y no como un requisito adicional posterior. Esto incluye medidas preventivas, éticas y de seguridad en todo el ciclo de vida de los datos.
3. Relevancia práctica
El concepto de la SIC tiene implicaciones directas en tres niveles:
- Para copropiedades: Administradores deben actualizar sus políticas, capacitar a su personal y verificar que los proveedores de software cumplen con la normativa.
- Para empresas de software: Los desarrolladores deben garantizar que sus programas estén diseñados con medidas de protección integradas y alineadas con la Ley 1581.
- Para residentes y visitantes: Se fortalecen las garantías del derecho al hábeas data, dándoles mayor control sobre la información que entregan al ingresar o residir en un conjunto.
Además, el incumplimiento puede generar sanciones por parte de la SIC, que van desde multas económicas hasta la suspensión del uso de bases de datos.
4. Impacto territorial
Aunque el concepto aplica en todo el territorio nacional, tiene una relevancia especial en grandes ciudades como Bogotá, Cali y Medellín, donde el número de conjuntos residenciales y empresas proveedoras de software es significativamente mayor. La masificación tecnológica en estas urbes aumenta los riesgos y, en consecuencia, la necesidad de controles más estrictos.
Conclusión
El Concepto SIC Radicado 25-167843 de 2025 reafirma que el tratamiento de datos personales en copropiedades y a través de software de gestión debe regirse estrictamente por la Ley 1581 de 2012 y el Decreto 1074 de 2015.
Los principales aportes de este pronunciamiento son:
- Precisa que copropiedades y proveedores de software tienen responsabilidades diferenciadas como responsables y encargados del tratamiento.
- Reitera la obligación de contar con políticas claras, manuales internos y medidas de seguridad proporcionales al riesgo.
- Introduce la necesidad de aplicar el principio de privacidad desde el diseño, asegurando que la protección de datos sea parte integral de cualquier solución tecnológica.
- Refuerza la figura de la responsabilidad demostrada, que obliga a probar ante la SIC la adopción de medidas efectivas.
En términos prácticos, las copropiedades deben revisar sus contratos con proveedores, actualizar sus manuales internos y garantizar la capacitación de administradores y vigilantes. Por su parte, los proveedores de software deben ajustar sus sistemas a estándares internacionales de seguridad y privacidad.
El mensaje central de la SIC es claro: la protección de datos en propiedad horizontal no es opcional, es una obligación legal y ética que debe cumplirse con rigor. Las empresas y administraciones que se anticipen, implementando buenas prácticas y políticas sólidas, no solo evitarán sanciones, sino que generarán confianza entre residentes y usuarios.
Puedes ver aquí completo el Concepto SIC No. 167843 de 2025
Puedes encontrar más información sobre: ¿El software de propiedad horizontal debe cumplir la Ley de datos?, en buscadorconceptos.sic.gov.co
Además del tema relacionado con: ¿El software de propiedad horizontal debe cumplir la Ley de datos?, quizás te interese leer: ¿Qué límites tienen las consultas de datos financieros? Superfinanciera Concepto No. 2024096444-001