Ley 1581 de 2012 y habeas data: tracking, cookies y formularios

La Ley 1581 de 2012 exige que tu sitio web obtenga una autorización previa, expresa e informada del titular antes de tratar sus datos personales, salvo en los casos que la ley exceptúa, y que conserves una copia de esa autorización. Para formularios de contacto, cookies de publicidad y píxeles, esto significa pedir el permiso antes de recoger los datos y guardar la prueba.

La Ley 1581 de 2012 desarrolla el derecho de habeas data, es decir, el derecho constitucional de toda persona a conocer, actualizar y rectificar la información que se haya recogido sobre ella. Esta guía explica cómo se aplica al seguimiento en un sitio web y a la medición de leads. Este artículo no es asesoría legal.

¿Qué exige la Ley 1581 de 2012?

La Ley 1581 de 2012 define la autorización como el consentimiento previo, expreso e informado del titular para el tratamiento de sus datos personales. El artículo 9 exige obtenerla por un medio que pueda ser objeto de consulta posterior, y el artículo 17 obliga al responsable a solicitar y conservar copia de la autorización. El artículo 12 añade el deber de informar al titular, de forma clara y expresa, el tratamiento y su finalidad, sus derechos y la identificación del responsable.

La reglamentación de la ley, hoy recogida en el Decreto 1074 de 2015, permite que la autorización se dé por escrito, de forma oral o mediante conductas inequívocas del titular. El silencio no cuenta como conducta inequívoca. Además, todo responsable debe tener una política de tratamiento de la información y ponerla a disposición de los titulares.

Cookies y píxeles bajo la Ley 1581

Las cookies y los píxeles caen bajo la Ley 1581 cuando tratan datos que permiten identificar a una persona, por ejemplo un identificador único asociado a su navegación. Los píxeles de Meta, TikTok o LinkedIn y las audiencias de remarketing de Google Ads construyen perfiles publicitarios, una finalidad que el visitante no espera al entrar a un sitio. Por eso conviene pedir autorización antes de activarlos.

En la práctica, un banner con opciones por finalidad es la forma más clara de obtener una conducta inequívoca: el visitante hace clic en aceptar o rechazar, y el sitio guarda esa decisión. Un aviso que solo informa que el sitio usa cookies, sin opción de rechazar, no deja prueba de voluntad. Las cookies técnicas, como las del carrito de compras, se pueden explicar en la política sin pedir autorización.

→ Banner de cookies con Consent Mode v2: conforme, sin cuota mensual

Formularios y leads: la prueba de la autorización

Los formularios son el punto donde la Ley 1581 más pesa para el marketing, porque recogen nombre, correo electrónico y teléfono. La autorización debe darse antes de enviar el formulario, con un texto que explique la finalidad, por ejemplo responder la solicitud y enviar información comercial, y un enlace a la política de tratamiento.

La copia de la autorización que exige el artículo 17 tiene que estar donde la puedas encontrar. Si el lead pasa a un CRM como HubSpot o Pipedrive, guarda allí también la fecha, la hora, el texto aceptado y la página de origen. Un caso típico: una empresa de servicios B2B de Medellín recibía leads por correo electrónico y no podía mostrar, meses después, cuándo y cómo cada contacto había autorizado el envío de información comercial.

• Casilla sin marcar con texto de finalidad y enlace a la política
• Envío de la autorización junto con el lead al CRM
• Campos ocultos con fecha, hora y página de origen
• Mismo registro para la fuente de la campaña, como utm_source o gclid

Transferencia internacional de datos

El artículo 26 de la Ley 1581 prohíbe transferir datos personales a países que no ofrezcan niveles adecuados de protección, con excepciones y con la posibilidad de que la SIC emita declaraciones de conformidad. Casi todas las plataformas de medición y publicidad procesan datos fuera de Colombia. Revisa los términos de tratamiento de datos de cada una, nómbralas en tu política y explica que los datos pueden salir del país.

→ Configuración correcta del Consent Mode v2: sin advertencias en Tag Assistant

Configurar Google Tag Manager y medir sin perder la prueba

En Google Tag Manager, el modo de consentimiento de Google (Consent Mode v2) aplica la decisión del visitante a las etiquetas de Google: ad_storage, ad_user_data y ad_personalization quedan denegados por defecto y se conceden solo cuando el visitante acepta la publicidad; lo mismo puedes hacer con analytics_storage para la analítica. Las etiquetas de Meta, TikTok y LinkedIn necesitan activadores que revisen el mismo estado. Prueba el resultado en el modo de vista previa de Google Tag Manager, una vez rechazando y otra aceptando.

Ten especial cuidado con las páginas que revelan datos sensibles, como la salud, la orientación sexual o las convicciones religiosas. La ley les da una protección reforzada y el titular no está obligado a autorizar su tratamiento. Una clínica u organización que tenga píxeles en páginas de tratamientos o servicios delicados debería retirarlos de esas páginas o limitarlos a un evento genérico sin detalles.

Revisa qué carga tu sitio hoy

Para revisar tu sitio, la revisión gratuita de Trackum en trackum.app/check abre tu página de inicio tres veces en un navegador real, sin responder el banner, rechazándolo y aceptándolo, más dos páginas internas, y muestra qué etiquetas y cookies se cargan, sin registro. Sobre una instalación base de Google Tag Manager, GA4 y Consent Mode v2 por 150 € en un solo pago, Trackum puede enviar los leads a tu CRM como extra por 50 €, y conservar en cada solicitud los parámetros UTM y los identificadores de clic de la campaña es otro extra de 50 €. Precios más impuestos.