¿Es obligatorio designar a un Oficial de Protección de Datos Personales en Colombia?

Por Poliana C. Valderrama, abogada Senior de DG&A Abogados

---

En los últimos años, la figura del Oficial de Protección de Datos Personales (en adelante OPD) ha tomado relevancia dentro de las compañías como apoyo clave para demostrar la implementación y existencia de medidas apropiadas y efectivas de Responsabilidad Demostrada que propenden por el cumplimiento de las obligaciones del Régimen de Protección de Datos Personales en Colombia.

La figura del OPD no es una figura nueva. En la Unión Europea fue reconocida como “Delegado de Protección de Datos” y se introdujo con la entrada en vigor del Reglamento General de Protección de Datos (RGPD) en el año 2018. En Colombia, la Superintendencia de Industria y Comercio le dio mayor visibilidad al OPD al publicar una guía sobre el Oficial de Protección de Datos Personales en 2023.

Aunque la Superintendencia de Industria y Comercio expidió una guía sobre el OPD, vale la pena aclarar que esta no constituye un concepto legal y no implica una obligación legal del nombramiento del Oficial, ya que la figura no está expresamente contemplada en la Ley 1581 de 2012, el Decreto 1377 de 2013 (compilado en el Decreto Único 1074 de 2015) ni en la Ley 1266 de 2008.

De acuerdo con el artículo 23 del Decreto 1377 de 2013 (Compilado en el artículo 2.2.2.25.4.4 del Decreto 1074 de 2015) existe una obligación de todo responsable y encargado de designar a una persona o área que asuma la función de protección de datos personales, que de trámite a las solicitudes de los titulares, para el ejercicio de los derechos contenidos en la Ley 1581 de 2012. De lo anterior, se evidencia que, si bien el responsable y encargado deben designar un área encargada para el tratamiento de los datos personales, la obligación de nombrar a un OPD no existe en la legislación colombiana.

No obstante, si bien la denominación de un OPD no es obligatoria, es vista como una buena práctica en materia de protección de datos personales y es un mecanismo idóneo que ayuda a demostrar el cumplimiento del Principio de Responsabilidad Demostrada que se basa en que los responsables del tratamiento de datos personales deben ser capaces de demostrar, a petición de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012.  

Por consiguiente, su designación es recomendable e incluso necesaria, especialmente para empresas medianas o grandes, o aquellas que manejan datos sensibles o de alto volumen. Las funciones que el oficial de cumplimiento puede desempeñar en una empresa pueden incluir la atención de consultas de titulares, coordinación de políticas internas, reporte de incidentes a la SIC y gestión del Registro Nacional de Bases de Datos (RNBD).

En conclusión, aunque la designación de ODP no es obligatoria, en la práctica resulta útil e incluso necesaria. Esta designación no solo ayuda al cumplimiento normativo, sino que reduce significativamente los riesgos legales y reputacionales de las compañías.

Junio 2025