Cumplimiento Ley Habeas Data Colombia en Cobranza Automatizada: Guía 2026

En Colombia, automatizar la cobranza sin dominar el marco de protección de datos no es solo un riesgo legal: es una amenaza directa a la operación. La Ley 1266 de 2008 (Habeas Data financiero), la Ley 1581 de 2012 (protección general de datos) y la Ley 2300 de 2023 (prácticas de cobranza) forman un triángulo regulatorio que toda empresa que cobre carteras en Colombia debe entender antes de activar cualquier voice agent o sistema automatizado.

Esta guía está escrita para gerentes de cobranza, directores de compliance y CFOs que necesitan implementar automatización sin exponer a su empresa a sanciones de la Superintendencia de Industria y Comercio (SIC) o la Superintendencia Financiera (SFC).

¿Qué es el Habeas Data financiero y por qué aplica a tu operación de cobranza?

El Habeas Data es el derecho constitucional de toda persona a conocer, actualizar y rectificar la información que sobre ella reposa en bases de datos. En el contexto de cobranza, esto significa que cada dato de contacto, historial de deuda y registro de interacción con el deudor está sujeto a regulación.

La Ley 1266 de 2008 regula específicamente el habeas data financiero, crediticio y comercial: el que usan las centrales de riesgo (DataCrédito, TransUnion), los bancos y las empresas de cobranza. La Ley 1581 de 2012 amplía esa protección a cualquier tratamiento de datos personales, incluyendo nombres, teléfonos, correos y grabaciones de llamadas.

Para una operación de cobranza automatizada, esto implica que:

• Cada llamada grabada es tratamiento de datos personales.
• Cada SMS o WhatsApp enviado requiere canal autorizado por el deudor.
• Cada reporte negativo a centrales de riesgo exige proceso formal de autorización previa.
• Los sistemas de IA que perfiladuedores o predicen probabilidad de pago están sujetos al régimen completo de habeas data.

El marco regulatorio completo: Ley 1266, Ley 1581 y Ley 2300

Las tres normas se complementan y deben leerse en conjunto:

NormaQué regulaImpacto directo en cobranza automatizada

Ley 1266/2008Habeas Data financiero y crediticioAutorización para reportar negativamente; acceso a información de deudores en centrales de riesgo; plazos de permanencia de reportes

Ley 1581/2012Protección general de datos personalesConsentimiento para grabar llamadas; uso de datos de contacto; transferencia a operadores de cobranza externos; política de privacidad

Ley 2300/2023Prácticas de cobranza extrajudicialHorarios de contacto (lunes a viernes 7–20 h, sábados 8–15 h); frecuencia máxima de llamadas; canales permitidos; prohibición de contactar a terceros

Antes de 2023, la Ley 2300 no existía y los horarios de cobranza eran regulados por circulares de la SFC. La nueva ley unificó y endureció las reglas para todas las empresas que cobren carteras en Colombia, no solo las entidades financieras.

Obligaciones concretas para sistemas de cobranza automatizada

Si tu empresa usa voice agents, marcadores predictivos o bots de WhatsApp para cobrar, estas son las obligaciones no negociables:

1. Autorización previa y expresa del deudor

El sistema automatizado solo puede contactar por los canales que el deudor autorizó al momento de contratar el crédito o servicio. Si el contrato original no incluía autorización para llamadas automatizadas, se requiere obtenerla por separado. Un voice agent que llame a un número no autorizado viola la Ley 1581 desde la primera llamada.

2. Identificación al inicio de la llamada

La Ley 2300 y la regulación de la SFC exigen que el agente (humano o automatizado) se identifique, mencione la empresa que representa y el propósito de la llamada antes de tratar cualquier información de la deuda. Un voice agent debe confirmar que está hablando con el titular antes de revelar montos o condiciones.

3. Registro documental de todas las interacciones

Cada intento de contacto, resultado y acuerdo de pago debe quedar registrado con fecha, hora, canal y contenido. La carga probatoria recae en la empresa: si un deudor reclama acoso o mal trato, la empresa debe demostrar que cumplió los límites. Un sistema sin trazabilidad automática es un pasivo legal.

4. Gestión de bases de datos conforme a la SIC

Las bases de datos con información de deudores deben estar registradas ante la SIC (Registro Nacional de Bases de Datos – RNBD). El responsable del tratamiento debe mantener una política de privacidad publicada, manual de políticas internas y medidas de seguridad documentadas.

5. Atención de derechos ARCO en 15 días hábiles

Acceso, Rectificación, Cancelación y Oposición. Si un deudor solicita eliminar o corregir su información, la empresa tiene 15 días hábiles para responder (prorrogables 8 días más). Los sistemas automatizados deben tener un canal habilitado para recibir y escalar estas solicitudes.

Prácticas prohibidas que los voice agents deben evitar

La Ley 2300 de 2023 enumera prácticas expresamente prohibidas. Un voice agent mal configurado puede incurrir en varias de ellas de forma automática y masiva. Las más críticas:

• Llamar fuera de horario permitido: antes de las 7 am o después de las 8 pm de lunes a viernes; antes de las 8 am o después de las 3 pm los sábados; domingos y festivos, prohibido.
• Exceder la frecuencia de contacto: la norma limita el número de intentos de contacto por período. El marcador debe respetar estos límites por número, no solo por deudor.
• Contactar a terceros no vinculados: el voice agent no puede llamar a referencias personales, familiares o empleadores para presionar el pago.
• Revelar la deuda a terceros: si alguien distinto al titular contesta, el sistema no puede mencionar montos, deudas ni condiciones.
• Presionar con lenguaje intimidatorio: cualquier script que sugiera consecuencias legales falsas o que niegue el derecho a abonos parciales viola la norma.
• No permitir oposición al tratamiento: el sistema debe ofrecer una vía para que el deudor solicite no ser contactado por ese canal.

Cómo un voice agent bien configurado garantiza cumplimiento automático

La paradoja del cumplimiento en cobranza es que un equipo humano comete más errores regulatorios que un voice agent correctamente configurado. Un agente humano puede olvidar verificar el horario, llamar dos veces en un día o revelar información a quien contesta el teléfono. Un voice agent parametrizado con las reglas de la Ley 2300 no puede hacerlo.

Obligación regulatoriaAgente humanoVoice agent con IA

Respetar horarios de contactoDepende de supervisor y turnosBloqueo automático fuera de ventana permitida

Identificarse antes de revelar deudaVaría según entrenamientoScript obligatorio pre-configurado

Confirmar identidad del titularVariableVerificación en cada llamada, sin excepción

Registrar interaccionesManual, propenso a omisionesTrazabilidad automática 100% de llamadas

No contactar tercerosRequiere disciplina operacionalParametrizable por número y relación con titular

Respetar opción de no contactoRequiere actualización manualActualización en tiempo real de listas de exclusión

Kleva opera en 7 países de Latinoamérica con 0 violaciones regulatorias registradas en más de 900,000 minutos mensuales de llamadas. Eso no es casualidad: es el resultado de construir el cumplimiento normativo dentro del propio motor de los voice agents, no como capa adicional.

Para empresas en Colombia, la plataforma gestiona automáticamente los horarios de la Ley 2300, la verificación de identidad del titular según los lineamientos de la SFC, y la trazabilidad completa de interacciones. Más información en Kleva cumplimiento Colombia y en la guía de cobranza con IA en LATAM.

Sanciones por incumplimiento: qué arriesga tu empresa

La SIC es el principal ente sancionador en materia de protección de datos. Las sanciones establecidas en la Ley 1581 incluyen:

• Multas de hasta 2,000 salarios mínimos mensuales (aproximadamente COP 2,600 millones a tasas de 2026).
• Suspensión de actividades hasta 6 meses.
• Cierre temporal o permanente de operaciones de tratamiento de datos.
• Cierre inmediato y definitivo cuando se involucren datos sensibles tratados sin autorización.

La Ley 2300 de 2023 agregó sanciones específicas para prácticas abusivas de cobranza, con multas aplicables por cada infracción individual. En una operación que realiza decenas de miles de llamadas al mes, una configuración incorrecta puede multiplicar las infracciones de forma exponencial.

El riesgo reputacional también es real: las quejas ante la SIC son públicas, y en sectores como fintech y servicios financieros, una sanción por cobranza abusiva puede afectar relaciones con fondeadores y socios comerciales.

Checklist de cumplimiento antes de activar tu operación automatizada en Colombia

• ☑ Política de privacidad publicada y base de datos registrada en el RNBD de la SIC.
• ☑ Contratos con deudores incluyen autorización para contacto automatizado y canales autorizados.
• ☑ Horarios de llamada configurados según Ley 2300 (no solo estimados).
• ☑ Script de identificación obligatorio al inicio de cada llamada.
• ☑ Sistema de verificación de identidad del titular antes de revelar información de deuda.
• ☑ Trazabilidad automática: fecha, hora, canal, resultado, grabación.
• ☑ Canal habilitado para derechos ARCO con respuesta en 15 días hábiles.
• ☑ Lista de exclusión actualizable en tiempo real (deudores que solicitaron no ser contactados).
• ☑ Contrato con proveedor de voice agent incluye cláusulas de responsabilidad por incumplimiento normativo.

Las empresas que buscan automatizar cobranza en Colombia sin asumir este riesgo legal trabajan con plataformas que integran el cumplimiento regulatorio como funcionalidad nativa. Conoce cómo Kleva gestiona este marco en cobranza fintech Colombia.

Preguntas frecuentes

¿Los voice agents de cobranza deben identificarse como robots en Colombia?

La regulación colombiana actual no exige que un agente automatizado se identifique explícitamente como IA, pero sí obliga a identificar la empresa que representa y el propósito de la llamada. Sin embargo, las mejores prácticas de cumplimiento —y la tendencia regulatoria global— apuntan a mayor transparencia sobre el uso de agentes automatizados.

¿Qué pasa si el voice agent llama a alguien que no es el titular?

Si una persona distinta al titular contesta, el voice agent no puede revelar información de la deuda. Debe terminar la llamada o solicitar comunicación con el titular sin mencionar el propósito. Los sistemas que revelan información a terceros violan simultáneamente la Ley 1266 y la Ley 1581.

¿Cuántas veces puede llamar un voice agent al mismo deudor en Colombia?

La Ley 2300 de 2023 establece límites a la frecuencia de contacto, aunque los parámetros específicos deben revisarse con el texto oficial y la regulación complementaria de la SFC. Como regla general, las plataformas configuran un máximo de 1–2 intentos diarios por deudor en días hábiles.

¿La cobranza por WhatsApp también está regulada bajo Habeas Data?

Sí. El envío de mensajes por WhatsApp o SMS es tratamiento de datos personales y requiere autorización previa del deudor para ese canal específico. Además, aplican las restricciones de horario y contenido de la Ley 2300. Los mensajes que revelen información de deuda a números de grupo o que no sean del titular constituyen una violación.

¿Un proveedor de voice agents externo asume la responsabilidad por incumplimiento de Habeas Data?

No automáticamente. La empresa que contrata el servicio es el responsable del tratamiento ante la SIC; el proveedor actúa como encargado del tratamiento. La responsabilidad se divide según el contrato, pero la empresa contratante responde frente al regulador. Es fundamental que el contrato con el proveedor incluya cláusulas claras de responsabilidad y auditoría.