Protección de datos en tu programa de fidelización: la Ley 1581 explicada para negocios
En Colombia, la Ley 1581 de 2012 (Habeas Data) aplica a cualquier negocio que guarde datos personales de sus clientes, como el nombre y el celular de una tarjeta de sellos. En la práctica pide cuatro cosas: pedir autorización antes de guardar los datos, decir para qué se van a usar y no usarlos para otra cosa, atender a quien quiera consultarlos, corregirlos o borrarlos, y no convertir el programa en una fuente de mensajes no deseados. Esta guía es información general, no asesoría legal: para tu caso concreto, consulta a un abogado.
Cuando un cliente se inscribe en tu tarjeta de sellos, te deja algo más que una visita: te deja su nombre, su celular y a veces su fecha de cumpleaños. Esos son datos personales, y en Colombia la ley dice cómo se pueden guardar y usar. No hace falta ser abogado para hacer las cosas bien, pero sí conviene conocer las reglas básicas. En esta guía te explicamos, en lenguaje sencillo, qué pide la Ley 1581 de 2012 y cómo aplicarla a un programa de fidelización de un negocio pequeño.
Importante: esta guía es información general para que entiendas el tema. No es asesoría legal y no reemplaza la opinión de un abogado. Las normas cambian y cada negocio es distinto: antes de tomar decisiones, consulta a un profesional.
Qué es la Ley 1581 y por qué te aplica
La Ley 1581 de 2012 es la ley general de protección de datos personales en Colombia. Desarrolla el derecho de Habeas Data: el derecho de toda persona a conocer, actualizar y corregir la información que se tiene sobre ella. Fue reglamentada principalmente por el Decreto 1377 de 2013, hoy incorporado en el Decreto 1074 de 2015.
La ley aplica a quien recoge, guarda, usa o comparte datos de personas en Colombia. No importa si eres una cadena o una barbería de un solo puesto. Si tienes una lista de clientes con nombre y celular, estás tratando datos personales.
Algunos términos que vas a ver:
- Titular: la persona dueña de los datos. En tu caso, tu cliente.
- Responsable del tratamiento: quien decide para qué se usan los datos. En tu programa, normalmente eres tú, el negocio.
- Encargado del tratamiento: quien procesa los datos por cuenta del responsable. Por ejemplo, una plataforma tecnológica que usas para tu programa.
- Tratamiento: cualquier cosa que hagas con los datos: recogerlos, guardarlos, consultarlos, usarlos para enviar avisos o borrarlos.
La entidad que vigila el cumplimiento es la Superintendencia de Industria y Comercio (SIC), que puede investigar quejas e imponer sanciones.
1. Autorización: pide permiso antes de guardar
La regla central es que necesitas la autorización previa, expresa e informada del cliente para tratar sus datos. En palabras sencillas:
- Previa: se pide antes de guardar los datos, no después.
- Expresa: el cliente hace algo para aceptar, como marcar una casilla o tocar un botón. El silencio no cuenta.
- Informada: el cliente sabe qué datos le pides, para qué y qué derechos tiene.
Además, debes poder demostrar que obtuviste esa autorización. En un formulario digital es más fácil: queda el registro de que el cliente aceptó. En una libreta de papel en la caja, es casi imposible.
Qué debe saber el cliente al inscribirse
- Quién es el responsable de sus datos (el nombre de tu negocio y cómo contactarte).
- Para qué los vas a usar.
- Que no está obligado a responder preguntas sobre datos sensibles.
- Cuáles son sus derechos y cómo ejercerlos.
- Dónde puede leer tu política de tratamiento de datos.
Un caso especial son los menores de edad. Si en tu heladería o en tu clase de patinaje se inscriben niños, la ley exige reglas adicionales y la participación de su representante. Consúltalo con tu abogado antes de abrir el programa a menores.
2. Finalidad: usa los datos solo para lo que dijiste
Los datos solo se pueden usar para la finalidad que le informaste al cliente. Si le dijiste que su celular es para identificar su tarjeta de sellos y avisarle de sus premios, no lo puedes usar para otra cosa sin pedirle una nueva autorización.
Algunos ejemplos para aterrizarlo:
| Situación | ¿Encaja con la finalidad? |
|---|---|
| Avisarle al cliente que le falta un sello o que su premio está listo | Sí, si informaste que los datos son para el programa |
| Enviarle promociones de tu propio negocio | Solo si informaste esa finalidad y la aceptó |
| Saludarlo en su cumpleaños con un regalo | Solo si pediste la fecha para eso y lo informaste |
| Pasarle la lista de clientes a la tienda de al lado | No, salvo autorización específica para compartirla |
| Vender la base de datos | No |
Dos principios ayudan a no equivocarse:
- Pide solo lo necesario. Para una tarjeta de sellos no necesitas la cédula, la dirección ni el estado civil. Menos datos es menos riesgo.
- Guárdalos bien. La ley pide medidas de seguridad razonables. Una lista en un cuaderno que cualquiera puede leer, o en un chat del equipo, no lo es.
3. Derechos del cliente: consultar, corregir y borrar
Tu cliente tiene derecho a:
- Conocer qué datos suyos tienes.
- Actualizar y corregir los que estén mal.
- Pedir prueba de la autorización que te dio.
- Saber cómo has usado sus datos.
- Revocar la autorización y pedir que borres sus datos, cuando no exista un deber legal o contractual de conservarlos.
- Presentar quejas ante la SIC si no lo atiendes.
Plazos que debes conocer
La ley fija tiempos para responder. Como referencia general: las consultas deben responderse en un máximo de 10 días hábiles, y los reclamos (por ejemplo, una solicitud de corrección o de supresión) en un máximo de 15 días hábiles. Ambos plazos se pueden prorrogar en ciertos casos. Confirma los detalles con tu abogado.
Cómo prepararte en la práctica
- Ten un canal claro: un correo o un WhatsApp del negocio donde el cliente pueda pedir lo que necesite. Ponlo en tu política.
- Define quién responde. Si nadie es responsable, las solicitudes se pierden.
- Lleva un registro sencillo de cada solicitud: fecha, qué pidió y cuándo respondiste.
- Sabe cómo borrar a un cliente en la herramienta que usas. Revisa en su documentación o con su soporte cómo se hace antes de que te lo pidan.
4. Mensajes sin spam: el respeto también es fidelización
El programa de fidelización te permite hablarle a tu cliente. Eso es valioso, y por lo mismo es fácil abusar. Más allá de la ley, un cliente que se siente bombardeado borra la tarjeta y no vuelve.
Desde lo legal, ten en cuenta:
- Los mensajes comerciales deben corresponder a la finalidad que el cliente aceptó.
- El cliente puede revocar su autorización en cualquier momento, y debes respetarlo.
- La Ley 2300 de 2023 fija límites de horario y frecuencia para ciertos contactos comerciales y de cobranza. Revisa con tu abogado si aplica a tu negocio y cómo.
Desde lo práctico, unas reglas que funcionan:
- Pocos mensajes y útiles. «Te falta 1 sello» o «tu premio está listo» son mensajes que el cliente agradece. Tres promociones por semana, no.
- Nada de horarios raros. Ningún aviso a las 11 de la noche ni un domingo a las 7 de la mañana.
- Mensajes para quien le interesan. Si es posible, envía la promoción del almuerzo ejecutivo a quien almuerza contigo, no a todos.
Una ventaja de los avisos en la billetera del celular (Google Wallet, Apple Wallet o Samsung Wallet) es que llegan dentro de la tarjeta que el cliente decidió guardar, en lugar de llenar su WhatsApp. Igual aplican las mismas reglas de respeto. Si además usas WhatsApp, lee WhatsApp para tu negocio: mensajes que venden sin spam.
Tu política de tratamiento de datos
Todo responsable del tratamiento debe tener una política de tratamiento de la información por escrito y ponerla a disposición de sus clientes. Normalmente incluye:
- Nombre del negocio, dirección, correo y teléfono.
- Qué datos recoges y para qué.
- Los derechos del titular.
- Quién atiende las consultas y reclamos, y cómo presentarlos.
- El procedimiento y los plazos para responder.
- La fecha desde la que rige.
Hay negocios que, según su tamaño o naturaleza, también deben inscribir sus bases de datos en el Registro Nacional de Bases de Datos (RNBD) de la SIC. Esa obligación depende de criterios que fija la reglamentación, así que pregúntale a tu abogado o contador si te aplica.
Si usas una plataforma para tu programa, lee también su política de privacidad para entender qué hace con los datos. La de Sella está en política de privacidad.
Lista de chequeo antes de lanzar tu programa
- Decidí qué datos voy a pedir y eliminé los que no necesito.
- Escribí para qué voy a usar cada dato.
- Tengo una política de tratamiento de datos publicada y fácil de encontrar.
- El cliente acepta de forma expresa antes de inscribirse, y queda registro.
- Tengo un canal y una persona para consultas, correcciones y borrados.
- Sé cómo borrar los datos de un cliente en mi herramienta.
- Tengo una regla interna sobre cuántos mensajes envío y en qué horarios.
- Mi equipo sabe que la lista de clientes no se comparte ni se copia a chats personales.
- Consulté con un abogado los puntos que no tengo claros.
Si vas a lanzar tu programa pronto, combina esta lista con el plan de la guía cómo lanzar un programa de fidelización.
Preguntas frecuentes
¿La Ley 1581 aplica a un negocio pequeño?
Sí. La ley aplica a quien trate datos personales en Colombia, sin importar su tamaño. Algunas obligaciones, como el registro de bases de datos ante la SIC, dependen de criterios adicionales que conviene revisar con un abogado.
¿Puedo usar el celular de la tarjeta de sellos para mandar promociones?
Solo si informaste esa finalidad al cliente y él la aceptó. Si no, necesitas pedirle una nueva autorización.
¿Qué hago si un cliente pide que borre sus datos?
Atiéndelo dentro de los plazos de ley, borra sus datos si no hay un deber legal de conservarlos y déjale constancia de la respuesta. Revisa antes cómo se hace en la herramienta que usas.
¿Esta guía reemplaza la asesoría de un abogado?
No. Es información general para entender el tema. Para tu caso concreto, consulta a un abogado.