Transferencia internacional de datos: guía Colombia
| 7 Minutos de lectura
| Publicación agosto 31, 2026| Última actualización agosto 31, 2026
El almacenamiento y procesamiento de datos laborales en herramientas digitales o servidores ubicados en el exterior constituye una transferencia internacional de datos personales.
En Colombia, la Ley 1581 de 2012 y la regulación de la Superintendencia de Industria y Comercio (SIC) establecen reglas estrictas para enviar información fuera del territorio nacional.
En esta guía te explicaremos los mecanismos legales vigentes, las excepciones aplicables a las áreas de Gestión de Personas y los criterios para seleccionar proveedores tecnológicos en cumplimiento de la norma. ¡Empecemos!
¿Qué es la transferencia internacional de datos personales?
La transferencia internacional de datos ocurre cuando el responsable o encargado del tratamiento, ubicado en Colombia, envía información personal a un receptor situado en otro país, quien asume la calidad de responsable del tratamiento de dichos datos.
Para las áreas de Gestión de Personas, este escenario se presenta habitualmente al compartir información de la plantilla con filiales extranjeras, proveedores de plataformas internacionales de capacitación o sistemas de nómina cuya matriz opera desde el exterior.
A diferencia de la transmisión internacional (donde el receptor procesa los datos únicamente por cuenta y bajo las instrucciones del encargado o responsable en Colombia), la transferencia implica una cesión o envío donde el receptor internacional adquiere autonomía sobre el tratamiento de la información. Ambos esquemas exigen garantías legales específicas antes de emitir cualquier dato fuera del país.
¿Cuándo es legal transferir datos fuera de Colombia?
La legislación colombiana prohíbe de manera general la transferencia de datos personales a países que no garanticen niveles adecuados de protección. Para que una operación de este tipo sea legal, las organizaciones deben operar bajo una de las tres rutas jurídicas habilitadas por la normativa.
1. El país receptor tiene un nivel adecuado de protección
La primera vía consiste en verificar si el país de destino forma parte de las jurisdicciones aprobadas por la autoridad de control.
La Superintendencia de Industria y Comercio (SIC), mediante el Título V, Capítulo 3 de la Circular Única (adicionado por las Circulares Externas 005 y 008 de 2017 y posteriores actualizaciones), establece la lista de territorios que cuentan con un nivel adecuado de protección al cumplir los estándares de la Ley 1581 de 2012.
| Tipo de actualización | Periodo de reporte | Información que incluye |
|---|---|---|
| Actualización anual ordinaria | Entre el 2 de enero y el 31 de marzo de cada año. | Cambios sustanciales efectuados en la información registrada durante el año inmediatamente anterior. |
| Actualización por cambios sustanciales | Dentro de los primeros diez (10) días hábiles del mes siguiente a su ocurrencia. | Cambios en la finalidad del tratamiento, encargado del tratamiento, canales de atención o políticas de seguridad. |
| Reporte de reclamos de titulares | Semestral (primeros 15 días hábiles de febrero y agosto). | Total de reclamos presentados por los titulares de los datos y su estado de trámite. |
| Reporte de incidentes de seguridad | Dentro de los quince (15) días hábiles siguientes a su conocimiento. | Brechas de seguridad, accesos no autorizados o pérdidas de información que afecten las bases de datos. |
2. Se cumple una excepción del artículo 26 de la Ley 1581 de 2012
Si el país donde se encuentra el receptor no figura en el listado de territorios adecuados, la transferencia solo puede realizarse si la operación encaja en alguna de las salvaguardas legales explícitas de la ley, tales como el consentimiento del titular o la necesidad contractual.
3. La SIC emite una declaración de conformidad
Cuando el país de destino no es calificado como adecuado y la operación no aplica para las excepciones del artículo 26, el responsable debe solicitar a la Superintendencia de Industria y Comercio una Declaración de Conformidad individual.
Este trámite administrativo evalúa los contratos y garantías acordadas entre las partes antes de autorizar el flujo de datos.
Las 6 excepciones del artículo 26 que evitan trámites adicionales
El artículo 26 de la Ley 1581 de 2012 consagra seis causales en las que se autoriza la transferencia internacional de información sin requerir autorización previa de la SIC:
- Autorización expresa e inequívoca del titular: el empleado o candidato autoriza de manera previa, consciente e informada que sus datos sean enviados a un país específico. Para las áreas de Gestión de Personas, esta es una de las causales más frecuentes y operativas.
- Ejecución de un contrato: transferencias necesarias para cumplir el contrato de trabajo entre el titular y el empleador, o para la aplicación de medidas precontractuales.
- Intercambio de datos médicos: datos requeridos para el tratamiento del titular por razones de salud o de higiene pública.
- Transferencias bancarias o bursátiles: operaciones financieras realizadas al amparo de la legislación comercial y bancaria.
- Acuerdos en el marco de tratados internacionales: flujos aprobados bajo tratados suscritos por la República de Colombia en función del principio de reciprocidad.
- Salvaguardia del interés público o procesos judiciales: transferencias exigidas por ley para la defensa de un derecho en instancias judiciales.
Normas corporativas vinculantes: solo si la empresa es parte de un grupo empresarial
Las Normas Corporativas Vinculantes (BCR, por sus siglas en inglés, Binding Corporate Rules) son políticas internas de protección de datos adoptadas por grupos empresariales multilatinos o multinacionales.
Estas permiten la transferencia de información entre filiales o empresas vinculadas sin acudir a contratos individuales por cada envío, garantizando un estándar homogéneo en todas las sedes.
| Criterio de evaluación | ¿Aplica la solución para tu organización? |
|---|---|
| Estructura organizacional | Aplica exclusivamente a grupos empresariales o conglomerados con presencia en múltiples jurisdicciones. No aplica para empresas independientes que contratan proveedores externos. |
| Aprobación regulatoria | Requiere validación previa y expresa por parte de la Autoridad de Protección de Datos (SIC en Colombia) o de las autoridades de la UE. |
| Obligatoriedad interna | Exige cumplimiento vinculante para todas las entidades del grupo, sus directivos y sus encargados de tratamiento. |
¿Contratar un software o nube extranjera para gestionar datos de empleados es una transferencia internacional?
Sí. Si el proveedor de un software de gestión de personas aloja la información de la nómina o expedientes laborales en servidores fuera de Colombia, existe un flujo transfronterizo de datos.
En este caso, la empresa en Colombia mantiene su rol de responsable del tratamiento y debe verificar la ubicación de los servidores y las garantías del proveedor.
En la práctica informática, cuando el proveedor actúa bajo las instrucciones estrictas de la empresa colombiana para prestar un servicio (como liquidación de nómina o evaluación de desempeño), la figura técnica es una transmisión internacional de datos.
Sin embargo, si no existe un contrato de transmisión de datos adecuado celebrado entre las partes (Data Processing Agreement o DPA), la operación se clasifica legalmente como una transferencia, quedando sometida a las restricciones de nivel adecuado de protección o autorización del titular.
¿Qué pasa si transfieres datos sin cumplir la norma?
El incumplimiento de los requisitos legales de transferencia o transmisión internacional faculta a la Superintendencia de Industria y Comercio a imponer las sanciones administrativas previstas en el artículo 23 de la Ley 1581 de 2012:
- Multas de carácter personal y sucesivo: sanciones económicas de hasta 2.000 salarios mínimos mensuales legales vigentes (SMMLV).
- Medidas operativas de bloqueo: suspensión de las actividades relativas al tratamiento de datos personales hasta por un término de seis meses.
- Cierre de operaciones: cierre temporal o definitivo de la base de datos o de las operaciones que involucren el tratamiento de la información afectada.
¿Cómo elegir un software de RRHH que cumpla con las reglas de transferencia internacional?
Al evaluar plataformas tecnológicas para la gestión de nómina, control de asistencia o desarrollo organizacional, el área de Gestión de Personas y los equipos de TI deben verificar los siguientes aspectos técnicos y contractuales:
- Soberanía y ubicación de la infraestructura: se debe confirmar que los centros de procesamiento de datos se encuentren en Colombia o en jurisdicciones aprobadas con nivel adecuado por la SIC.
- Acuerdos de tratamiento de datos (DPA) integrados: se deben exigir cláusulas de transmisión transfronteriza que comprometan al proveedor a procesar la información únicamente según las órdenes de la empresa.
- Políticas de ciberseguridad: se deben validar las certificaciones internacionales de seguridad de la información como ISO/IEC 27001 o informes SOC 2.
- Mecanismos de autorización: se debe verificar que el sistema permita incluir la casilla de autorización para el tratamiento de datos y eventuales transferencias desde el módulo de reclutamiento o en la firma del contrato.
En definitiva, un software integral de gestión de personas como el de Buk permite consolidar la información laboral, la nómina y los expedientes digitales en plataformas configuradas bajo la normatividad colombiana de protección de datos.
¿Y tú, qué estás esperando para automatizar tus procesos de recursos humanos de forma segura y en una sola plataforma? Agenda una llamada con uno de nuestros asesores y prepárate para tomar decisiones estratégicas.
Preguntas frecuentes
¿Qué es la transferencia internacional de datos personales?
La transferencia internacional de datos personales es el envío de información personal desde un responsable ubicado en Colombia a un receptor en el exterior que asume el control del tratamiento. Requiere autorización del titular, que el país receptor tenga un nivel adecuado de protección o una excepción legal explícita.
¿Cuándo es legal transferir datos fuera de Colombia?
Es legal cuando el país de destino tiene un nivel adecuado aprobado por la SIC, cuando aplica una excepción del artículo 26 de la Ley 1581 de 2012 (como el consentimiento expreso) o cuando se obtiene una Declaración de Conformidad.
¿Usar un software en la nube extranjero es una transferencia internacional?
Sí, si los servidores están fuera de Colombia, hay un flujo internacional. Si el proveedor procesa datos bajo las instrucciones de la empresa, es una transmisión que exige contrato firmado; de lo contrario, se rige como transferencia.
¿Qué son las Normas Corporativas Vinculantes?
Son políticas internas de protección de datos aprobadas por autoridades de control que adoptan los grupos multinacionales. Permiten transferir datos personales de forma segura entre sus distintas filiales sin contratos individuales.
¿Qué pasa si transfiero datos sin cumplir la ley?
La Superintendencia de Industria y Comercio puede imponer multas de hasta 2.000 SMMLV, la suspensión de operaciones de tratamiento hasta por seis meses o el cierre definitivo de las bases de datos afectadas.
Profesional en Estudios Literarios y Edición de la Universidad Jorge Tadeo Lozano, con formación complementaria en ...
¡Déjanos tu comentario!