4dim / Notas
RNBD: quién tiene que registrar sus bases de datos ante la SIC
Sociedades y entidades sin ánimo de lucro con activos totales por encima de 100.000 UVT, que en 2026 son 5.237 millones de pesos. Los establecimientos y sucursales no registran. Y el inventario de bases que conviene tener aunque no estés obligado.
Qué es el RNBD
Si guardas nombres y teléfonos de clientes, alguien te habrá dicho que tienes que registrar esa lista ante el Estado. Esta nota te dice si te toca, con la cifra exacta de este año, y qué conviene hacer aunque no te toque.
El Registro Nacional de Bases de Datos es un inventario público de las bases de datos personales que administran las empresas en Colombia. Lo lleva la Superintendencia de Industria y Comercio, la autoridad que vigila el uso de datos personales en el país. Lo creó la Ley 1581 de 2012 y lo reglamenta el Decreto 1074 de 2015. Registrar una base no es pedir permiso. Es declarar que existe, qué contiene, para qué la usas y quién responde por ella.
La confusión más frecuente entre pymes es creer que registrar y cumplir la ley son lo mismo. No lo son. La Ley 1581 aplica a todo el que trate datos personales. El registro, solo a algunos.
Quién está obligado, según la SIC
La SIC lo responde en un concepto publicado en su sede electrónica. Están obligadas a inscribir sus bases: «las sociedades que tengan activos totales superiores a 100.000 Unidades de Valor Tributario (UVT)»; las «entidades sin ánimo de lucro que tengan activos totales superiores a 100.000 UVT»; y las entidades de naturaleza pública, sin umbral.
La UVT es una unidad de cuenta que la DIAN actualiza cada año, para que las leyes fijen cifras sin quedarse viejas con la inflación.
Lo que se mide son los activos totales, no las ventas ni el número de empleados. Activos es lo que la empresa tiene a su nombre: local, inventario, maquinaria, dinero en el banco. Una panadería que vende poco pero es dueña de su local puede estar obligada. Una agencia que factura mucho y no tiene nada a su nombre, no.
El umbral en pesos, este año
La UVT la fija la DIAN cada diciembre por resolución. Para 2026, la Resolución 000238 del 15 de diciembre de 2025 la dejó en 52.374 pesos. Cien mil UVT son, entonces, 5.237.400.000 pesos de activos totales.
| Año | UVT | 100.000 UVT |
|---|---|---|
| 2025 | 49.799 | 4.979.900.000 |
| 2026 | 52.374 | 5.237.400.000 |
Para ubicarla: la clasificación oficial de tamaño de empresa en Colombia, la del Decreto 957 de 2019, ya no mira los activos sino los ingresos, así que no hay una equivalencia directa con este umbral. Pero cinco mil doscientos millones en activos están muy por encima de lo que tiene casi cualquier pyme que vende por WhatsApp. La mayoría no está obligada a registrar.
Que no tengas que registrar la base no quiere decir que para la ley no exista. Quiere decir que no tienes que declararla. Protegerla sigue siendo tu obligación.
Establecimientos y sucursales no registran
El mismo concepto de la SIC lo aclara: «los establecimientos de comercio y las sucursales de las compañías no están obligados a registrar bases de datos». Quien registra es la sociedad, una sola vez, con todas sus bases. Una cadena de panaderías con doce locales no hace doce registros. Hace uno, y solo si la sociedad pasa el umbral.
Los plazos para actualizar el registro los fija la SIC cada año por circular. No los ponemos aquí porque cambian. Hay que mirar la circular vigente.
El inventario que sí necesitas, obligado o no
Registrar en el RNBD obliga a describir cada base: qué datos tiene, para qué los usas, cómo llegaron, quién más los trata por encargo tuyo y en qué país están.
Ese inventario sirve aunque nadie te lo pida. La Ley 1581 exige responsabilidad demostrada: no basta con cumplir, hay que poder enseñar cómo se cumple. El inventario es lo que se enseña. Para una clínica pequeña que atiende por WhatsApp con un CRM, el programa donde quedan guardados los clientes y sus conversaciones, el inventario real suele ser este:
| Base | Qué tiene | Quién más la toca |
|---|---|---|
| Contactos | Nombre, teléfono, canal, consentimiento con fecha y origen | El proveedor del CRM |
| Conversaciones | Mensajes, fechas, adjuntos que el cliente mandó | Meta, por donde pasan; el proveedor del CRM |
| Adjuntos | Fotos, documentos, notas de voz | El almacenamiento del CRM |
| Equipo | Usuarios, correos, roles | El proveedor del CRM |
| Lo que ve el asistente de IA | Fichas anonimizadas y texto barrido | El proveedor del modelo, en el país donde esté |
La última fila es la que casi nadie tiene escrita. Y es la que la Circular 002 de 2024 de la SIC obliga a pensar.
Qué hacer entonces
- Mirar los activos totales del último balance y compararlos con 5.237.400.000 pesos. Si están por encima, la sociedad registra; si no, no.
- Hacer el inventario de bases de todos modos. Cabe en una página, y es lo que se enseña si la SIC pregunta.
- Anotar, para cada base, quién más la toca y en qué país. Meta y el proveedor del modelo de IA son encargados del tratamiento, con nombre.
- Publicar la política de tratamiento de datos y decir en ella que hay un CRM y un asistente de IA. Esto sí aplica a todos.
- Volver a mirar el umbral cada enero: la UVT cambia y los activos también.
Esta nota sale de nuestro trabajo en Software a medida.