Biometría y habeas data: control de asistencia con la Ley 1581

Pasar del libro de firmas a un control de asistencia con selfie o con cotejo facial resuelve un problema real: que un compañero marque por otro. Pero en Colombia también abre otro frente, el de la protección de datos personales, que vigila la Superintendencia de Industria y Comercio (SIC) y no el Ministerio del Trabajo. La cara de una persona procesada para confirmar su identidad es un dato biométrico, y la Ley 1581 de 2012 lo trata como dato sensible. Esta guía baja a lo práctico qué debes tener antes de encender la biometría en tus sedes.

En la nota de datos biométricos por país comparamos siete legislaciones; aquí nos quedamos en Colombia y en el día a día de RR. HH.

¿Por qué la biometría es un dato sensible en Colombia?

El artículo 5 de la Ley 1581 define como sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, e incluye expresamente "los datos biométricos". El artículo 6 prohíbe tratarlos, salvo excepciones; la que aplica a un empleador es la autorización explícita del titular.

Una foto común no es biometría por sí sola. Lo es cuando un sistema la procesa para identificar o confirmar a alguien. Comparar la cara de quien marca contra su propia foto de referencia, aunque sea un cotejo 1:1, es tratamiento biométrico. La diferencia técnica entre prueba de vida y reconocimiento la explicamos en prueba de vida y reconocimiento facial.

Lo que debe decir la autorización

La Ley 1581 y el Decreto 1377 de 2013 piden una autorización previa, expresa e informada (art. 3 y art. 4 de la ley), obtenida por un medio que pueda consultarse después (art. 9). Para datos sensibles, el artículo 6 del Decreto 1377 agrega dos obligaciones y una prohibición:

1. Informar que no está obligado a autorizar el tratamiento por tratarse de datos sensibles.
2. Informar de forma explícita y previa cuáles datos son sensibles y para qué se usarán, y obtener su consentimiento expreso.
3. Ninguna actividad puede condicionarse a que el titular entregue datos sensibles.

Además, el artículo 12 de la ley exige informar el tratamiento y su finalidad, el carácter facultativo de responder sobre datos sensibles, los derechos del titular y los datos de contacto del responsable. Y tienes que conservar la prueba de cada autorización (art. 12, parágrafo, y art. 8 del decreto).

Un texto mínimo para tu formato de autorización:

• Quién es el responsable (razón social, NIT, dirección y correo).
• Qué se recoge: una foto de referencia y una foto en cada marcación, que se procesan para confirmar que quien marca es el titular.
• Que se trata de un dato sensible y que no está obligado a autorizarlo.
• Qué alternativa de marcación tendrá si no autoriza.
• Cuánto tiempo se guardan las fotos y cuándo se borran.
• Quién puede verlas.
• Cómo consultar, actualizar, suprimir o revocar.

Si cambias de forma sustancial la finalidad o el responsable, el artículo 5 del Decreto 1377 obliga a comunicarlo y a pedir una nueva autorización. Guardar la versión del texto que cada persona aceptó deja de ser opcional.

La alternativa para quien no acepta

Como ninguna actividad puede condicionarse a entregar datos sensibles, no puedes poner como requisito del cargo marcar con la cara. Una persona que no autoriza debe poder registrar su jornada de otra forma, sin perder el registro que te exige la ley laboral: por ejemplo, identificándose con su número de colaborador o con el código QR de su gafete, y que un supervisor revise esas marcaciones. Si te preocupa la suplantación, combina geocercas, red autorizada y revisión, como explicamos en cómo evitar que un compañero marque por otro.

Conservación, acceso y derechos de los trabajadores

¿Cuánto tiempo guardar las fotos?

El artículo 11 del Decreto 1377 permite tratar los datos solo durante el tiempo razonable y necesario según la finalidad; cumplida esta, deben suprimirse, salvo que una obligación legal o contractual exija conservarlos. Una forma de razonarlo: la marcación (hora, sede, turno) puede ser necesaria hasta que prescriban las acciones laborales, que hoy es de tres años (art. 488 del Código, modificado por la Ley 2466 de 2025); la foto de cada marcación, en cambio, sirve sobre todo para resolver dudas de suplantación en las semanas siguientes. Define un plazo corto para las fotos, documéntalo y aplícalo. El plazo exacto es una decisión de tu empresa: consulta con tu asesor.

Quién las ve

El principio de acceso y circulación restringida (art. 4, literal f) y el de seguridad (literal g) piden que solo personas autorizadas accedan a los datos y que haya medidas para evitar su consulta no autorizada. El artículo 23 del Decreto 1377 exige designar a una persona o área responsable de tramitar las solicitudes de los titulares.

Consultas y reclamos

Si un trabajador pide ver qué datos tienes de él, la consulta debe responderse en máximo 10 días hábiles, prorrogables 5 días hábiles más informando el motivo (art. 14). Si pide corregir o suprimir, se tramita como reclamo (art. 15). Y si trabaja de forma remota, la Ley 2121 de 2021 (art. 17) recuerda que el control con herramientas tecnológicas debe respetar su intimidad y privacidad.

¿Qué arriesgas si no cumples?

El artículo 23 de la Ley 1581 permite a la SIC imponer multas de hasta 2.000 salarios mínimos mensuales, sucesivas mientras subsista el incumplimiento; con el mínimo de 2026 eso es hasta COP 3.501.810.000. También prevé la suspensión de las actividades relacionadas con el tratamiento hasta por seis meses, el cierre temporal si no se corrigen las fallas y cierre inmediato y definitivo de la operación que involucre datos sensibles.

El artículo 25 crea el Registro Nacional de Bases de Datos, que administra la SIC. Por confirmar: qué empresas están obligadas a inscribirse y con qué umbral, porque lo define la reglamentación y no la ley; consulta con tu asesor.

Cómo lo resuelve Time Dalton

En Time Dalton el consentimiento biométrico queda registrado con su versión y el texto exacto que la persona aceptó. Sin un consentimiento vigente, la foto no se guarda ni se coteja, y la marcación pasa a revisión en lugar de rechazarse. El cotejo es 1:1: la persona se identifica primero con su número o el QR de su gafete y después se compara su cara con su propia foto de referencia; Time Dalton no identifica a nadie solo con la cara (1:N) ni usa huella. El acceso a las fotos se limita por permisos, queda registro de quién las ve y cada empresa define cuánto tiempo conservarlas; las más viejas se depuran solas.

Revisa la página de control de asistencia en Colombia o prueba la demo para ver cómo se registra un consentimiento.