LA SIC ENDURECE LAS REGLAS PARA USAR DATOS PERSONALES EN CAMPAÑAS POLÍTICAS Y PUBLICIDAD ELECTORAL

LA SIC ENDURECE LAS REGLAS PARA USAR DATOS PERSONALES EN CAMPAÑAS POLÍTICAS Y PUBLICIDAD ELECTORAL

Categoría: Protección de datos / Publicidad / Marketing digital / Electoral Tipo: NORMA VIGENTE Autoridad: Superintendencia de Industria y Comercio — SIC Norma: Circular Externa 002 de 2026 Fecha: 15 de enero de 2026 Publicación: Diario Oficial No. 53.368 del 15 de enero de 2026 Impacto: ALTO para campañas, candidatos, partidos políticos, agencias de publicidad, empresas de marketing digital, proveedores tecnológicos, plataformas y empresas que administren bases de datos utilizadas con fines políticos o electorales

¿QUÉ OCURRIÓ?

La Superintendencia de Industria y Comercio expidió nuevas instrucciones sobre:

tratamiento de datos personales con fines políticos o electorales

y especialmente sobre actividades de:

publicidad → marketing → prospección política → segmentación → perfilamiento → contacto con posibles electores.

La regla fundamental es sencilla:

UNA CAMPAÑA POLÍTICA NO CONVIERTE LOS DATOS PERSONALES EN INFORMACIÓN DE LIBRE UTILIZACIÓN.

El régimen colombiano de protección de datos continúa aplicándose.

Y cuando la información permite conocer, evaluar o inferir:

orientación política → preferencias ideológicas → afinidades políticas,

el nivel de protección aumenta porque puede tratarse de:

datos personales sensibles.

¿POR QUÉ LA SIC EXPIDIÓ LA CIRCULAR?

Las campañas electorales ya no funcionan únicamente mediante:

reuniones → volantes → radio → televisión → plazas públicas.

Ahora pueden utilizar:

bases de datos → redes sociales → mensajería instantánea → publicidad digital → algoritmos → segmentación → inteligencia artificial → análisis de comportamiento.

Estas tecnologías permiten identificar grupos de personas y enviarles mensajes diferentes dependiendo de:

edad → ubicación → comportamiento digital → intereses → interacción con contenidos → características inferidas.

El problema aparece cuando esa información permite además:

inferir o predecir la orientación política de una persona.

La SIC considera que ese tratamiento requiere una protección especialmente rigurosa.

PRIMERA REGLA: NO SE PUEDE CONTACTAR A UNA PERSONA SIMPLEMENTE PORQUE SU NÚMERO ESTÉ EN UNA BASE DE DATOS

Tener acceso a:

nombre + celular + correo electrónico

no significa automáticamente:

autorización para enviar publicidad política.

Debe verificarse:

origen del dato → autorización → finalidad autorizada → responsable del tratamiento → posibilidad de ejercer derechos.

Por tanto:

POSEER EL DATO ≠ ESTAR AUTORIZADO PARA UTILIZARLO CON FINES ELECTORALES.

EJEMPLO

Una empresa tiene una base de:

40.000 clientes

que autorizaron el tratamiento de sus datos para:

facturación → servicio al cliente → promociones comerciales.

Un candidato solicita utilizar esos números para enviar:

mensajes de campaña.

La empresa no puede concluir:

“como los clientes autorizaron el tratamiento de datos, podemos entregar la base”.

Debe preguntarse:

¿autorizaron el uso de sus datos para esa finalidad política?

La autorización otorgada para una relación comercial:

no se transforma automáticamente en autorización electoral.

SEGUNDA REGLA: COMPRAR UNA BASE DE DATOS NO SOLUCIONA EL PROBLEMA

Una campaña contrata una empresa de marketing que afirma tener:

500.000 números celulares de posibles votantes.

La campaña no debería limitarse a preguntar:

“¿cuánto cuesta la base?”

Debe preguntar:

¿de dónde provienen los datos?

¿quién obtuvo la autorización?

¿qué finalidad fue informada?

¿la autorización permite comunicación política?

¿puede demostrarse documentalmente?

La Circular establece que no debe contactarse a las personas mediante:

bases adquiridas o suministradas por terceros

sin verificar previamente:

la existencia y validez de la autorización.

TERCERA REGLA: EL WEB SCRAPING NO CONVIERTE LOS DATOS EN LIBRES

También se aborda una práctica cada vez más utilizada:

web scraping.

Es decir:

herramienta automatizada → recorre sitios o plataformas → extrae grandes cantidades de información → construye una base de datos.

Que una información pueda encontrarse técnicamente en Internet no significa que pueda utilizarse indiscriminadamente para:

crear perfiles electorales → enviar propaganda → clasificar personas políticamente.

La Circular exige verificar la legitimidad del tratamiento y la autorización correspondiente.

EJEMPLO

Un software extrae de diferentes plataformas:

nombre → ciudad → publicaciones → comentarios → “me gusta” → grupos seguidos.

Después un algoritmo concluye:

Persona A probablemente apoya determinada corriente política.

Aunque algunos datos iniciales estuvieran visibles en Internet, existe un nuevo tratamiento:

RECOLECCIÓN

→ AGRUPACIÓN

→ ANÁLISIS

→ INFERENCIA

→ PERFIL POLÍTICO

→ PUBLICIDAD PERSONALIZADA.

Ese proceso está sometido a las reglas de protección de datos.

CUARTA REGLA: LA ORIENTACIÓN POLÍTICA ES UN DATO SENSIBLE

La Ley 1581 de 2012 incluye dentro de los datos sensibles aquellos que revelan:

orientación política.

Esto tiene una consecuencia especialmente importante.

Como regla general:

el tratamiento de datos sensibles está prohibido

salvo las excepciones legalmente autorizadas.

Cuando corresponda obtener autorización del titular, esta debe ser:

previa → explícita → informada.

NO IMPORTA SOLAMENTE LO QUE LA PERSONA DIJO EXPRESAMENTE

La Circular extiende la atención al:

dato inferido.

Una persona puede nunca haber escrito:

“mi orientación política es X”.

Pero un algoritmo puede inferirla mediante:

publicaciones → páginas visitadas → interacciones → ubicación → contenido consumido → perfiles seguidos → comportamiento digital.

La SIC advierte que también existe tratamiento de información sensible cuando se:

evalúa → predice → clasifica

la orientación política de una persona.

Por tanto:

DATO POLÍTICO DECLARADO

y:

DATO POLÍTICO INFERIDO

pueden quedar sometidos a protección.

EJEMPLO

Una agencia analiza 100.000 perfiles y clasifica:

Grupo A → probable simpatizante.

Grupo B → indeciso.

Grupo C → probable opositor.

Después entrega publicidad diferente a cada grupo.

El hecho de que las personas nunca hayan diligenciado un formulario diciendo:

“soy simpatizante”

no elimina el problema.

La clasificación fue producida mediante:

perfilamiento e inferencia.

Si revela o pretende predecir orientación política, entra en el espacio especialmente protegido por la Circular.

QUINTA REGLA: LA INTELIGENCIA ARTIFICIAL NO ELIMINA LA RESPONSABILIDAD

Una campaña puede contratar una herramienta que utilice IA para:

segmentar electores → seleccionar destinatarios → personalizar mensajes → analizar comportamiento.

La respuesta:

“eso lo hizo el algoritmo”

no elimina las obligaciones de protección de datos.

Los responsables deben poder informar al titular sobre:

cómo fueron utilizados sus datos

y, cuando corresponda:

criterios de segmentación → fuente de los datos → utilización de inteligencia artificial.

EJEMPLO

Una persona recibe en su celular un anuncio político extremadamente específico.

Pregunta:

“¿por qué recibí este mensaje?”

El responsable no debería limitarse a contestar:

“porque el sistema lo seleccionó”.

Debe existir trazabilidad suficiente para explicar, según corresponda:

origen de la información → finalidad → tratamiento → criterios utilizados → intervención de IA.

SEXTA REGLA: LA FINALIDAD DEBE SER DETERMINADA Y LEGÍTIMA

No es válido recolectar información diciendo:

“utilizaremos sus datos para fines generales”

y después utilizarla indiscriminadamente para:

campañas → propaganda → perfilamiento → terceros → análisis político.

La finalidad debe ser:

legítima → determinada → transparente.

La SIC rechaza:

finalidades engañosas → tratamientos opacos → recolección para una finalidad y utilización posterior incompatible.

EJEMPLO EMPRESARIAL

Una empresa realiza un concurso:

“registre su celular y participe por un premio”.

Obtiene:

20.000 números.

Posteriormente vende esa información a una agencia electoral.

La existencia del formulario inicial no significa:

autorización para publicidad política.

Debe comprobarse qué finalidad fue realmente informada y autorizada.

SÉPTIMA REGLA: SALIR DE UNA BASE DEBE SER SENCILLO

La SIC exige mecanismos:

sencillos → ágiles → permanentemente disponibles

para que las personas puedan:

conocer → actualizar → rectificar → suprimir

sus datos.

Y establece un criterio práctico especialmente importante:

el mecanismo para retirar, rectificar o suprimir información debe ser tan sencillo como el utilizado para recolectarla.

EJEMPLO

Si una campaña obtiene autorización mediante:

un clic,

no debería exigir para retirar los datos:

carta física → autenticación notarial → trámite presencial → múltiples formularios.

La lógica es:

ENTRAR FÁCIL → SALIR TAMBIÉN DEBE SER FÁCIL.

OCTAVA REGLA: LOS PARTIDOS TIENEN UNA EXCEPCIÓN, PERO ES LIMITADA

La Ley 1581 permite determinados tratamientos de datos sensibles cuando se realizan:

en el curso de actividades legítimas

por organizaciones con finalidad:

política → filosófica → religiosa → sindical,

siempre bajo las condiciones legales.

En el ámbito político esto permite que partidos y movimientos mantengan comunicación con:

afiliados → miembros → personas que mantienen contacto regular por razón de esa finalidad.

Pero la excepción no significa:

“el partido puede utilizar cualquier dato de cualquier ciudadano”.

EJEMPLO

Partido político tiene:

50.000 afiliados.

Puede utilizar los datos correspondientes dentro de la relación política legítima y bajo las garantías aplicables.

Pero no puede concluir:

“como somos un partido, podemos entregar toda nuestra base a una empresa comercial”.

La Circular recuerda que esos datos:

no pueden suministrarse a terceros sin autorización previa del titular.

UNA EMPRESA DE MARKETING TAMBIÉN PUEDE QUEDAR OBLIGADA

La Circular no está dirigida exclusivamente a:

candidatos y partidos.

También alcanza, dependiendo del papel que desempeñen, a:

agencias de publicidad → empresas de marketing digital → proveedores tecnológicos → operadores de bases de datos → plataformas → empresas que ejecutan campañas de mensajería.

Por tanto, una agencia no puede defenderse diciendo:

“nosotros solamente enviamos los mensajes; la base pertenece al candidato”.

Debe determinarse jurídicamente si actúa como:

responsable → encargado

y cuáles son sus obligaciones.

EJEMPLO PARA UNA AGENCIA

Cliente entrega:

base de 300.000 números

y solicita:

enviar propaganda electoral por WhatsApp.

Antes de ejecutar debería verificar:

origen de la base → autorización → finalidad → instrucciones → rol contractual → seguridad → procedimiento de supresión → trazabilidad.

La instrucción comercial:

“envíe estos mensajes”

no reemplaza el cumplimiento del régimen de habeas data.

¿QUÉ CAMBIÓ EN 2026?

La protección de datos políticos:

NO nació en 2026.

La Ley 1581 ya consideraba la orientación política:

dato sensible.

La SIC también había expedido instrucciones electorales anteriormente, incluida la Circular Externa 001 de 2023 para las elecciones territoriales.

La Circular 002 de 2026 actualiza y desarrolla ese marco frente a un entorno tecnológico mucho más avanzado:

segmentación digital → datos observados → datos inferidos → automatización → inteligencia artificial → extracción masiva de información → publicidad política personalizada.

Por tanto:

REGLA EXISTENTE → PROTECCIÓN DE DATOS.

CAMBIO 2026 → INSTRUCCIONES ESPECÍFICAS PARA EL NUEVO ENTORNO ELECTORAL Y TECNOLÓGICO.

¿A QUIÉN APLICA?

La Circular está dirigida a los sujetos vigilados por la SIC, en su calidad de:

Autoridad Nacional de Protección de Datos Personales,

cuando realicen tratamiento de datos con fines:

políticos o electorales.

En la práctica resulta especialmente relevante para:

precandidatos → candidatos → campañas → partidos → movimientos políticos → agencias de publicidad → empresas de marketing → empresas de marketing digital → proveedores tecnológicos → plataformas y servicios que intervengan en el tratamiento.

¿QUÉ DEBE HACER UNA EMPRESA ANTES DE PARTICIPAR EN UNA CAMPAÑA ELECTORAL?

No debería recibir una base y comenzar inmediatamente a enviar mensajes.

Debe construir una trazabilidad mínima:

BASE DE DATOS

→ ORIGEN

→ AUTORIZACIÓN

→ FINALIDAD

→ ¿HAY DATOS SENSIBLES?

→ ¿HAY INFERENCIAS POLÍTICAS?

→ ¿HAY SEGMENTACIÓN?

→ ¿SE UTILIZA IA?

→ ¿QUIÉN ES RESPONSABLE?

→ ¿QUIÉN ES ENCARGADO?

→ ¿CÓMO PUEDE EL TITULAR RETIRARSE?

→ ¿PUEDE DEMOSTRARSE TODO LO ANTERIOR?

EJEMPLO COMPLETO

Una agencia recibe:

100.000 números celulares.

El cliente solicita clasificarlos mediante IA en:

simpatizantes → indecisos → opositores

y enviar mensajes distintos.

La agencia debe detectar inmediatamente que no está ejecutando simplemente:

un servicio de mensajería.

Existe:

TRATAMIENTO DE DATOS

→ PERFILAMIENTO

→ POSIBLE INFERENCIA DE ORIENTACIÓN POLÍTICA

→ DATO SENSIBLE

→ SEGMENTACIÓN ELECTORAL

→ PUBLICIDAD PERSONALIZADA.

El nivel de cumplimiento exigido es mucho mayor.

¿QUÉ DEBE CONSERVARSE?

Una organización que intervenga en estas operaciones debería poder acreditar, según su función:

fuente de los datos → autorizaciones → finalidades informadas → contratos con encargados → políticas de tratamiento → procedimientos de consultas y reclamos → solicitudes de supresión → criterios de segmentación → utilización de IA → medidas de seguridad → trazabilidad del tratamiento.

No basta:

“el cliente aseguró que la base era legal”.

La operación debe poder auditarse.

¿A QUIÉN BENEFICIA?

Principalmente a:

titulares de datos personales → electores → usuarios de plataformas digitales.

Les permite exigir información sobre:

por qué reciben determinados mensajes → quién posee sus datos → de dónde fueron obtenidos → cómo fueron clasificados → cómo pueden retirarlos.

Para las empresas representa:

mayor responsabilidad documental y tecnológica.

ESTADO ACTUAL

La Circular Externa 002 del 15 de enero de 2026 fue publicada en el:

Diario Oficial No. 53.368 del 15 de enero de 2026.

No se trata de:

proyecto → recomendación → comunicado de prensa.

Se trata de instrucciones expedidas por la:

Superintendencia de Industria y Comercio

como Autoridad Nacional de Protección de Datos Personales.

La regla operativa es:

DATO PERSONAL

→ FINALIDAD POLÍTICA O ELECTORAL

→ APLICACIÓN DEL RÉGIMEN DE PROTECCIÓN DE DATOS.

Y cuando existe:

ORIENTACIÓN POLÍTICA DECLARADA O INFERIDA

→ DATO SENSIBLE

→ PROTECCIÓN REFORZADA

→ AUTORIZACIÓN PREVIA, EXPLÍCITA E INFORMADA CUANDO CORRESPONDA, O VERIFICACIÓN DE UNA EXCEPCIÓN LEGAL.

BASE JURÍDICA Y FUENTES OFICIALES

Artículo 15 de la Constitución Política: protege la intimidad, el habeas data y los derechos de las personas frente a la recolección, tratamiento y circulación de información.

Ley Estatutaria 1581 de 2012: establece el régimen general colombiano de protección de datos personales.

Artículo 5 de la Ley 1581 de 2012: reconoce como datos sensibles, entre otros, aquellos que revelan la orientación política.

Artículo 6 de la Ley 1581 de 2012: establece como regla la prohibición del tratamiento de datos sensibles y determina las excepciones legales.

Artículo 6, literal c), de la Ley 1581 de 2012: permite determinados tratamientos realizados legítimamente por organizaciones, entre otras, de finalidad política respecto de sus miembros, afiliados o personas que mantienen contacto regular, bajo las condiciones legales.

Circular Externa 001 de 2023 — SIC: antecedente de instrucciones sobre tratamiento de datos con fines políticos y electorales.

Circular Externa 002 del 15 de enero de 2026 — SIC: fuente principal y regulación administrativa vigente analizada.

La regla empresarial final es:

TENER UNA BASE DE DATOS NO SIGNIFICA TENER DERECHO A UTILIZARLA PARA UNA CAMPAÑA.

Y:

TENER INFORMACIÓN PÚBLICAMENTE ACCESIBLE NO SIGNIFICA PODER CONVERTIRLA LIBREMENTE EN UN PERFIL POLÍTICO.

Antes de enviar publicidad electoral debe existir:

ORIGEN LEGÍTIMO → FINALIDAD LEGÍTIMA → AUTORIZACIÓN O EXCEPCIÓN LEGAL → TRANSPARENCIA → SEGURIDAD → TRAZABILIDAD → MECANISMO DE SUPRESIÓN.

Y si mediante algoritmos o inteligencia artificial se pretende determinar:

“QUÉ PIENSA POLÍTICAMENTE ESTA PERSONA”,

la empresa debe reconocer que está entrando en uno de los espacios de mayor protección del régimen colombiano de datos personales.