Qué pasa con sus datos y cuándo deben eliminarlos para reducir el riesgo de suplantación

Conseguir empleo, arrendar un apartamento, abrir una línea celular o solicitar un crédito digital puede exigir cédula, selfie, extractos, desprendibles de nómina, referencias e incluso la dirección de residencia. El problema aparece después: cuando termina el trámite, pocas personas saben quién conserva esas copias, con qué terceros fueron compartidas o durante cuánto tiempo permanecerán almacenadas.

La Superintendencia de Industria y Comercio (SIC) reportó 13.983 reclamaciones por suplantación de identidad entre 2022 y mayo de 2026; 11.365 estuvieron vinculadas con telecomunicaciones. Además, hasta agosto había iniciado 101 investigaciones por vulneraciones de datos personales e impuesto multas que sumaban $5.157 millones.

La legislación obliga a quienes recolectan información personal a respetar la finalidad para la cual fue entregada, protegerla y limitar su circulación. La Ley 2573 de 2026, promulgada el 19 de mayo, estableció nuevas obligaciones frente a la suplantación para operadores de telecomunicaciones, entidades financieras o crediticias y comercios que ofrecen productos o servicios a crédito. Su régimen general entrará en vigencia en noviembre.

Un informe de la compañía tecnológica AUCO llama la atención sobre un punto poco visible: una persona puede entregar legítimamente sus documentos y, una vez finalizado el proceso, perderles el rastro.

“El trámite termina, pero la información no necesariamente desaparece. El ciudadano debería poder saber quién la conserva, con qué finalidad, durante cuánto tiempo y qué terceros tuvieron acceso”, explica Santiago Montoya, CEO de AUCO.

¿Quién cuida entonces la información que usted envió o entregó?

La empresa que solicita la información no siempre es la única que termina procesándola. Una inmobiliaria puede apoyarse en una aseguradora o firma especializada; un empleador, en un proveedor de validación; y una entidad financiera, en compañías tecnológicas contratadas para verificar o almacenar datos.

Legalmente existen responsables del tratamiento de esa información, que deciden para qué se recopila y cómo se utiliza, y encargados, que la procesan por cuenta de los primeros.

Para la persona, conocer esa diferencia resulta clave para saber quién tiene sus datos, con qué finalidad los maneja y ante quién puede ejercer sus derechos.

Tampoco existe un plazo único para conservar una cédula, selfie o extracto bancario. El tiempo depende de la finalidad para la cual fueron solicitados y de las obligaciones legales o contractuales aplicables. Por eso, cuando termina un proceso laboral, de arrendamiento o comercial, el ciudadano puede preguntar qué información continua almacenada, por qué se conserva y solicitar su eliminación cuando ya no exista una razón legal para mantenerla. Si considera que hubo un tratamiento indebido, primero debe reclamar ante el responsable o encargado; agotado este trámite, puede acudir a la SIC.

Antes de enviar documentos conviene revisar la política de tratamiento de datos, verificar el canal de entrega, preguntar si la información será compartida con terceros y conservar prueba de qué se envió, cuándo y a quién. Si solicitan información adicional, también vale formular una pregunta básica: ¿para qué la necesitan? Ese registro puede resultar decisivo meses después, porque permite reconstruir la ruta que siguieron los documentos e identificar qué organizaciones tuvieron acceso legítimo a ellos.

Muchos fraudes comienzan obteniendo información, incluso, si usted va por la calle y le piden llenar una encuesta, y le piden todos sus datos, desconfíe un poco, pues es probable que esos datos que usted entregó voluntariamente, sean vendidos o manejados por un tercero, el cual les puede dar un uso indebido.

“Recolectar más datos de los necesarios aumenta la exposición. Una empresa no solo debe proteger lo que recibe: necesita controlar quién accede, registrar ese acceso y definir qué información elimina cuando deja de ser necesaria”, concluye Montoya.