Superindustria recuerda que no se puede exigir datos biométricos para el control de acceso en conjuntos residenciales u edificios
La seguridad es una de las principales preocupaciones de los conjuntos cerrados y edificios, y así como hay casos en los cuales la noción de seguridad significa tener una llave de la puerta de acceso y «confiar» en que las personas actúen con sentido común y tengan todas las nociones de seguridad debidas (ideal lejano de la realidad), pero en otros casos, la noción de seguridad significa llevar a propietarios, residentes y visitantes a ingresar al conjunto u edificio con datos biométricos, registrando huellas digitales o incluso mediante reconocimiento facial porque esto permitiría una «identificación única», pero este tipo de control de acceso biométrico en conjuntos residenciales o comerciales, debe regirse bajo la normatividad de ley vigente.
Sabemos que el acceso a un conjunto o un edificio siempre es un foco principal de la seguridad, y al menos para las personas con sentido común les preocupa que cualquiera pueda tener llaves de acceso
como en aquellos casos donde residentes o propietarios de forma unilateral, le entregan las llaves a terceros en los que ellos dicen «confían», por ejemplo, a un celador de cuadra, a un trabajador de obra temporal u otro, no obstante que quienes entregan las llaves del acceso, omiten que afectan la tranquilidad de otros residentes y propietarios que no tienen por qué confiar la tranquilidad de su hogar y de su propiedad en lo que otro decidió sobre las demás personas del conjunto.
Por razones como las anteriores, es que en algunos casos en las copropiedades, las asambleas de propietarios toman medidas buscando establecer un control de acceso para identificar de forma inequívoca a quienes acceden, y para ello, determinan instalar controles de acceso biométricos con huella dactilar o reconocimiento facial, pero este tipo de controles de acceso no es algo que puedan implementar libremente los conjuntos como medida de seguridad y control como recientemente lo ha vuelto a recordar Superindustria (Superintendencia de Industria y Comercio) el 19 de junio de 2025 en un post en la red social X (antes twitter):
«¿Te exigen huella o rostro para entrar a tu edificio?, ¡Ojo! No estás obligado a darlos. Las copropiedades no pueden recolectar datos biométricos, salvo en casos excepcionales, ¡Proteger tu identidad es un derecho!» – Superintendencia de Industria y Comercio.
¿Qué son datos sensibles biométricos según la ley colombiana?
En Colombia está prohibido el tratamiento de datos sensibles en el artículo 5° y 6° de la ley 1581 de 2012, donde dice:
«Artículo 5°. Datos sensibles. Para los propósitos de la presente ley, se entiende por datos sensibles aquellos que afectan la intimidad del Titular…»
«Artículo 6°. Tratamiento de datos sensibles. Se prohíbe el Tratamiento de datos sensibles, excepto cuando:
a) El Titular haya dado su autorización explícita a dicho Tratamiento, salvo en los casos que por ley no sea requerido el otorgamiento de dicha autorización;
b) El Tratamiento sea necesario para salvaguardar el interés vital del Titular y este se encuentre física o jurídicamente incapacitado. En estos eventos, los representantes legales deberán otorgar su autorización;
c) El Tratamiento sea efectuado en el curso de las actividades legítimas y con las debidas garantías por parte de una fundación, ONG, asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o a las personas que mantengan contactos regulares por razón de su finalidad. En estos eventos, los datos no se podrán suministrar a terceros sin la autorización del Titular;
d) El Tratamiento se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
e) El Tratamiento tenga una finalidad histórica, estadística o científica. En este evento deberán adoptarse las medidas conducentes a la supresión de identidad de los Titulares.«
y de lo anterior, se puede determinar varias cosas, cuando la ley se refiere a datos sensibles que afectan la intimidad, como lo es el caso de una huella dactilar o el dato biométrico del rostro, porque estos son únicos para las personas, no se pueden cambiar tal y como se cambia una clave digital y por supuesto, el tratamiento de datos biométricos como huellas digitales, o reconocimiento facial, así como en el caso del reconocimiento mediante el iris en los ojos, requieren de muy altas medidas de seguridad (procedimentales, legales y técnicas) para que estos datos no caigan en manos de terceros y sean usados en casos de fraude, como por ejemplo, en casos de suplantación de identidad y de lo cual, ya existe precedente jurídico en el año 2022 mediante la sentencia T-360-22 donde la Corte Constitucional trató el caso de un ciudadano a cuyo nombre fueron adquiridos 3 productos financieros de forma fraudulenta y a quien la entidad bancaría le hacía responsable, fraude mediante suplantación de la identidad que fue realizado mediante la aplicación bancaria usando la huella digital y el número de la cédula de la persona afectada.
Es por lo anterior que el tratamiento de este tipo de datos, no pueden ser determinados como obligatorios en las copropiedades, sin importar si lo ha determinado una asamblea de propietarios en su 100%, puesto que las medidas de seguridad implementadas para el tratamiento de este tipo de datos sensibles deben ser muy altos y estrictos, también lo será el nivel de responsabilidad legal en su tratamiento, responsabilidad legal que puede ser tanto a nivel civil con sanciones y multas desde Superindustria, como en el ámbito penal.
Es por este tipo de casos donde datos sensibles pueden ser accedidos por terceros, es que las personas deben concientizarse de cómo y para qué sus datos biométricos están siendo requeridos, donde los está entregando, y por supuesto, cuando no es esencial que estos sean requeridos, como en el caso del acceso a conjuntos residenciales u edificios, donde el uso de claves de acceso, tarjetas, códigos QR u otros medios pueden ser utilizados como medidas de control de acceso en conjunto con otros sistemas de seguridad.
¿Es legal o ilegal el uso de datos biométricos según la ley colombiana?
El uso es legal pero en el estricto cumplimiento de la normatividad vigente tal y como se indica en el artículo 6° de la Ley 1581 de 2012, incluyendo informar previamente y por escrito, y de forma muy clara a las personas, que no están obligadas a entregar dichos datos y que pueden usar otros métodos, así como contar con todas las condiciones para la protección de estos datos, el acceso altamente restringido a los mismos (responsable del tratamiento de datos, política de tratamiento, medios técnicos y físicos, etc.) y acorde a la normatividad de ley.
Si la persona accede a entregar este tipo de datos biométricos (por supuesto puede cambiar de opinión y es obligación su remoción), debe ser consiente de lo que está accediendo a entregar y puede exigir conocer las medidas existentes sobre como se están asegurando estos datos, asegurándose que se cumplan altos estándares para el tratamiento de este tipo de datos según lo demanda la ley y en el caso de que no se garanticen dichos estándares y |o no se cumplan los requisitos de ley, proceder a reportar ello a ante Superindustria.
«¡Tus datos biométricos no son requisito para ingresar a tu conjunto!» – Superintendencia de Industria y Comercio.
¿En tu conjunto residencial u edificio se cumplen con los requerimientos de ley que garanticen la protección y seguridad de tus datos biométricos cuando entregas tu consentimiento para el tratamiento de datos sensibles como el reconocimiento facial de tu rostro o el de tu huella dactilar?
Tengamos presente que los altos estándares se cumplen tanto a nivel de tipo de dispositivos, la forma en que estos almacenan la información (técnicos), las medidas de seguridad que estos ofrecen para ello (físicos, de seguimiento y procedimentales) y por supuesto, la persona que tienen acceso a este tipo de datos (responsables del tratamiento de datos) y quienes tienen que mantener el cumplimiento estricto de las normas de ley, y no, no es un «debe», es un «tienen que seguir y cumplir».
«Cada vez más copropiedades implementan tecnologías de IA que procesan datos biométricos como tu rostro o tu huella Pero ¿se respetan tus derechos?« – Superintendencia de Industria y Comercio.
Las cámaras de vigilancia también capturan el rostro de las personas, ¿se tratan como datos sensibles?
En efecto las cámaras de seguridad y vigilancia capturan los rostros de las personas, no obstante, en esto hay una diferencia respecto de lo que es convertir el rostro en un dato biométrico (transformar la imagen del rostro o la huella en una plantilla digital) con la finalidad de, por ejemplo, validar el acceso al edificio o conjunto de forma automatizada, y lo que se corresponde con el registro de una persona en un sistema de seguridad y vigilancia donde las cámaras registran a la persona se refiere a una imagen, o conjunto de imágenes seriadas (video).
Si el caso fuera que el sistema de seguridad, utilizando los videos e imágenes captadas, tuvieran la capacidad tecnológica para convertir dichas imágenes en datos biométricos para su almacenamiento, considerando además que los datos biométricos pueden incluir otras características morfológicas o comportamentales que permiten individualizar a un individuo de forma única e identificarlo para diferentes funciones como el control de acceso, en dicho caso, se estaría configurando de hecho la vulneración de norma de ley toda vez que tal cosa, no se sucedería solo para residentes y propietarios que hubieran dado su consentimiento previo, habiendo sido informados y cumpliendo todos los requerimientos legales que esto implica, esto también se sucedería para visitantes y todos aquellos expuestos al dicho sistema.
Como ya mencionados antes, las Propiedades Horizontales u copropiedades, como entidades de naturaleza privada (persona jurídica) están obligadas a cumplir estrictamente la normatividad vigente del Habeas Data para el tratamiento de datos según se corresponda en cada caso, lo que incluye el sistema de seguridad con las cámaras de vigilancia, y de allí que el no cumplimiento en cualquier copropiedad regida bajo el régimen de propiedad horizontal (ley 675 de 2001), puede acarrear serias sanciones, algunas de ellas equivalentes a 80 salarios mínimos mensuales legales vigentes en Colombia.
Ahora, es necesario tener presente que desde Superindustria, a través de su delegado para la protección de datos personales, el Sr. Juan Carlos Upegui, en 16 de julio de 2025 recalcó:
«Los datos biométricos son una especie compleja de datos personales que se construye o que se obtiene a partir de unas circunstancias específicas y únicas que tenemos todos los seres humanos. como las huellas, el iris de los ojos, el tono de voz, la imagen facial o incluso la forma en que caminamos.
no pueden ser sometidos a tratamiento, el tratamiento de los datos biométricos está prohibido, Incluso un decreto es muy específico al decir que ninguna actividad, por ejemplo el ingreso a una copropiedad, puede estar sometida a la recolección o tratamiento de datos sensibles, en este caso de datos biométricos«
Fuente: Superintendente Delegado para la Protección de Datos Personales Juan Carlos Upegui de la Superintendencia de Industria y Comercio – 16 de Julio de 2025, Red+ Noticias, Bogotá – https://redmas.com.co/colombia/Ley-tumba-moderna-norma-de-los-conjuntos-residenciales-espaldarazo-a-duenos-de-vivienda-y-arrendatarios-20250716-0049.html
El decreto al cual hace referencia el Sr. Juan Carlos Upegui desde Superindustria, es el Decreto 1377 de 2013, el cual en su artículo 6° reza expresamente:
«Artículo 6°. De la autorización para el Tratamiento de datos personales sensibles.
El Tratamiento de los datos sensibles a que se refiere el artículo 5° de la Ley 1581 de 2012 está prohibido, a excepción de los casos expresamente señalados en el artículo 6° de la citada ley.
En el Tratamiento de datos personales sensibles, cuando dicho Tratamiento sea posible conforme a lo establecido en el artículo 6° de la Ley 1581 de 2012, deberán cumplirse las siguientes obligaciones:
1. Informar al titular que por tratarse de datos sensibles no está obligado a autorizar su Tratamiento.
2. Informar al titular de forma explícita y previa, además de los requisitos generales de la autorización para la recolección de cualquier tipo de dato personal, cuáles de los datos que serán objeto de Tratamiento son sensibles y la finalidad del Tratamiento, así como obtener su consentimiento expreso.
Ninguna actividad podrá condicionarse a que el Titular suministre datos personales sensibles.»
Si bien los dispositivos de control de acceso biométrico pueden ofrecer una mayor comodidad para ingresar más rápidamente mediante una huella digital y ser parte de un sistema de seguridad más robusto, en este tipo de casos es necesario conocer y cumplir a cabalidad la normatividad de ley vigente, y contar con el cumplimiento estricto y las medidas de seguridad altamente robustas para mantener la seguridad de los datos sensibles de las personas.
Recuerde, las medidas de seguridad no solo deben estar en línea con la facilidad y agilidad, también deben estar alineadas con los derechos de ley y la normatividad vigente.
Algunas preguntas sobre tratamiento de datos biometricos sensibles en la copropiedad
¿Pueden sancionar al administrador por exigir o condicionar el que se entreguen datos biométricos para ingresar al edificio o conjunto?
La Superindustria no sancionará puntual y directamente a quien sea el administrador, la sanción recaerá sobre la personería jurídica de la propiedad horizontal (cuyo representante podría ser o no el administrador) o en su defecto, sobre el conjunto de propietarios responsables.
Recordemos que el administrador en la P.H. es quien se encarga de hacer cumplir lo que la asamblea de propietarios determina y establece como reglamento de la copropiedad y sus procedimientos. Es la administración quien ejecuta lo determinado por la asamblea de propietarios (como máximo órgano rector en la P.H.) mientras ello esté acorde a la normatividad de ley vigente, en muchos casos se hace administrador a una persona que no tiene ni los conocimientos, ni la preparación necesaria aun cuando la misma ley 675 de 2001 dice que dicho cargo debe ser ejercido por una persona idónea y competente en las diferentes áreas que le corresponde desempeñarse como administrador y esto se convierte en un agravante, por ejemplo, cuando el administrador es un propietario que toma partido sin importar que el proceder sea contrario a la ley.
¿Qué medidas puede tomar Superindustria?
Las medidas pueden ir desde ordenar el cese inmediato de la actividad de recolección y tratamiento de datos personales, su eliminación integral, ordenar que se cumplan todos los aspectos que demanda la normatividad de ley para garantizar el debido tratamiento de datos procedimental y técnico, así como altas sanciones económicas por la vulneración de ley detectada y|o denunciada, sanciones que podrían ser aún mucho más severas en el caso de no acatar lo determinado por la Superintendencia de Industria y Comercio o su reiteración.
¿Quién puede denunciar en la propiedad horizontal si le exigen registrar sus datos biométricos para ingresar?
Cualquier persona que se considere afectada por la recolección de datos biométricos sin su consentimiento o sin que se garantice sus derechos de ley, y esto incluye a propietarios, residentes, empleados y hasta visitantes si fuera el caso.
(previamente informado con sus derechos, incluye el que no es obligatorio, y cumpliendo y garantizando estrictamente los aspectos que demanda la ley para dicho tratamiento de datos sensibles)
Si un propietario es el que denuncia, ¿también será sancionado al ser propietario en la P.H?
Si el propietario ha establecido no estar de acuerdo en los procedimientos que tienen que llevar a cabo la P.H., pero desde la copropiedad se le quiere imponer tal cosa bajo el argumento de «decisión mayoritaria» (sin importar mayoría del 99.99% o incluso sin seguir los procedimientos que demanda la ley 675 de 2001), este podrá denunciar en Superindustria para que se protejan los derechos de ley.
Por supuesto, con su debido apoderado legal, el propietario denunciante podrá instruirse sobre como considerarse afectado en el caso de un proceso legal donde se le reclame desde la P.H. lo correspondiente (por coeficiente como copropietario) al pago de la sanción.
Recordemos que cualquier decisión de una asamblea de copropietarios contraria a las normas de ley se entenderá como no escrita (Art. 5° Ley 675 de 2001).
