Habeas data en restaurantes: lo que la Ley 1581 exige con los datos de sus clientes

Si su restaurante toma reservas, usted ya administra una base de datos personales. El cuaderno con nombres y celulares, el historial de chats de WhatsApp, la hoja de cálculo con los correos de los clientes frecuentes, las grabaciones de las cámaras, el portal de Wi-Fi que pide un correo para conectarse: todo eso es tratamiento de datos personales según la ley colombiana. Y casi nadie en el sector gastronómico lo tiene presente.

La norma que lo regula es la Ley 1581 de 2012, la ley estatutaria de habeas data, vigilada por la Superintendencia de Industria y Comercio a través de su Delegatura para la Protección de Datos Personales. No es una ley para bancos y telefónicas: aplica a cualquier negocio, del gastrobar de barrio a la cadena con veinte sedes, desde el primer nombre anotado junto a un número de celular.

La buena noticia: cumplir no es complicado ni costoso, y de paso convierte sus datos en un activo comercial legítimo. Esta guía explica qué exige la ley a un restaurante, el matiz del registro de bases de datos que confunde a todo el mundo, y cómo montar un flujo de autorización que funcione en la web, por WhatsApp y en el cuaderno de papel.

¿Por qué su libro de reservas es una base de datos personales?

La Ley 1581 de 2012 protege cualquier información que permita identificar a una persona natural, registrada en cualquier base de datos "susceptible de tratamiento", sea un software o un cuaderno argollado. En un restaurante típico eso incluye:

• El libro de reservas, físico o digital: nombre, celular, fecha, número de personas, a veces alergias u ocasiones especiales.
• Los chats de WhatsApp donde los clientes reservan, y con mayor razón las listas de difusión para promociones.
• El CRM o la hoja de cálculo de clientes frecuentes, cumpleaños y correos.
• Las cámaras de videovigilancia: la imagen de una persona también es un dato personal, y la SIC pide informar su existencia con avisos visibles.
• El portal de Wi-Fi que pide correo o cédula a cambio de la clave.
• Las hojas de vida de meseros y cocineros que le llegan por correo (sus empleados y candidatos también son titulares de datos).

Quien decide para qué se usan esos datos es el "responsable del tratamiento": usted. Da igual que use un cuaderno, una hoja de cálculo o un sistema de reservas en línea: la responsabilidad legal es la misma, lo que cambia es lo fácil o difícil que resulta cumplirla.

¿Qué exige la Ley 1581 de 2012 a un restaurante?

Las obligaciones centrales caben en cinco puntos. Ninguna tiene excepción por tamaño: aplican igual al corrientazo de 40 almuerzos que al grupo gastronómico.

Autorización previa, expresa e informada

Antes de guardar los datos de un cliente, usted necesita su autorización, y el cliente debe saber para qué los entrega. El Decreto 1377 de 2013 precisa cómo obtenerla: puede ser por escrito, de forma verbal o mediante conductas inequívocas, pero nunca por silencio, y usted debe poder probar que la obtuvo. En la práctica: una casilla en el formulario de reserva, una frase estándar en WhatsApp o una nota visible junto al cuaderno (más abajo damos los textos).

Una política de tratamiento de datos publicada

Es el documento que describe quién es usted, qué datos recolecta, para qué, qué derechos tiene el titular y por qué canal puede ejercerlos. Debe estar disponible para los clientes: la página web es el lugar natural, y un aviso en el local puede remitir a ella.

Finalidad limitada

Los datos solo pueden usarse para lo que fueron autorizados. Este es el punto donde más restaurantes fallan, y le dedicamos una sección completa más abajo: el celular entregado para confirmar una mesa no es una autorización para enviar promociones.

Seguridad

Usted debe evitar que los datos se pierdan, se consulten sin permiso o se usen de forma fraudulenta. Medidas razonables para un restaurante: el cuaderno no se queda abierto en el mostrador, la hoja de cálculo tiene clave y no circula por el grupo de WhatsApp del personal, las cuentas del software tienen usuarios individuales y los accesos de un empleado que se va se eliminan ese mismo día.

Canales de consulta y reclamo

El titular tiene derecho a conocer, actualizar, rectificar y suprimir sus datos, y a revocar la autorización que dio. Usted debe ofrecer un canal para pedirlo (un correo basta) y responder: la ley fija términos de 10 días hábiles para consultas y 15 para reclamos. Si alguien pide que lo borren de su lista, se le borra, sin discusión.

¿Debe inscribir sus bases de datos en el RNBD? Probablemente no

Aquí está el matiz que más confusión genera. El Registro Nacional de Bases de Datos (RNBD) es un directorio público que administra la SIC, y mucha asesoría genérica asusta a los pequeños negocios con él. La realidad, desde el Decreto 90 de 2018: solo están obligadas a registrar sus bases de datos las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, además de las personas jurídicas de naturaleza pública. Con la UVT de 2026 ($52.374 COP), ese umbral equivale a unos $5.237 millones de pesos en activos.

Traducción: la inmensa mayoría de los restaurantes colombianos, personas naturales incluidas, está exenta de registrarse en el RNBD. Puede verificar su caso en la página oficial del RNBD de la SIC.

Lo que nadie debe confundir: estar exento del registro no exime de nada más. La autorización, la política de tratamiento, la seguridad y los derechos del titular aplican a todos, con o sin RNBD. El registro es un trámite; la ley es para todos.

Reservar no es aceptar publicidad: el error que más cuesta

Un cliente le escribe por WhatsApp, reserva mesa para cuatro y le deja su número. ¿Puede agregarlo a la lista de difusión de los "martes de promociones"? No. La finalidad autorizada fue gestionar la reserva: confirmarla, recordarla, avisar un cambio. Enviarle publicidad es una finalidad distinta que necesita su propia autorización previa y expresa.

Es el error más común del sector, y no es teórico: la SIC sanciona el envío de publicidad no autorizada y el uso de datos para fines distintos de los consentidos, como recuerda la prensa jurídica especializada (Asuntos Legales). Esas sanciones han caído sobre empresas de otros sectores; que todavía no se conozca un caso contra un restaurante no es un salvoconducto, es una ventaja de quien cumple antes de que llegue el primero.

La solución es simple: en el momento de la reserva, pida las dos autorizaciones por separado. Una para gestionar la reserva (necesaria), otra para recibir novedades y promociones (opcional, y el cliente debe poder decir que no sin perder la mesa). Quien dice que sí vale oro: es la base legítima de su lista de WhatsApp para reservas y promociones y de sus campañas de email marketing para restaurantes.

¿Qué pasa si incumple? Las sanciones de la SIC

El artículo 23 de la Ley 1581 le da a la SIC un arsenal escalonado: multas personales e institucionales de hasta 2.000 salarios mínimos legales mensuales vigentes, multas sucesivas mientras persista el incumplimiento, suspensión de las actividades de tratamiento hasta por seis meses, cierre temporal de las operaciones de tratamiento y, en caso extremo, cierre inmediato y definitivo del tratamiento de datos sensibles.

Para un restaurante, una orden de suspensión del tratamiento significa algo muy concreto: no poder usar su propia base de clientes. Y el detonante típico no es una inspección sorpresa, sino el reclamo de un cliente molesto por mensajes que nunca autorizó y que nadie atendió cuando pidió salir de la lista.

Cómo cumplir en la práctica: el flujo de autorización en la reserva

Nada de esto exige un abogado de planta. Exige tres textos cortos, un documento y cuatro hábitos.

En el formulario web de reservas

Debajo del botón de confirmar, una casilla obligatoria: "Autorizo el tratamiento de mis datos para gestionar esta reserva, según la política de tratamiento de datos" (con enlace a la política). Y una casilla opcional, desmarcada por defecto: "Quiero recibir novedades y promociones del restaurante". Dos finalidades, dos casillas, prueba automática de la autorización con fecha y hora.

Por WhatsApp

Un texto estándar que el equipo copia y pega al confirmar: "Su reserva quedó confirmada para el sábado a las 7:30 p. m. Usamos sus datos solo para gestionar esta reserva (política de datos: [enlace]). ¿Le gustaría además recibir nuestras promociones por este medio? Responda SÍ para aceptar". Si no responde SÍ, no entra a la lista. El chat mismo queda como prueba.

En el cuaderno de papel

Una nota plastificada junto al teléfono o al cuaderno, y una frase que el equipo dice al tomar la reserva: "Sus datos los usamos solo para gestionar su reserva; la política de tratamiento está en nuestra web". Para promociones en papel (rifas, buzones de tarjetas), el formato debe incluir la autorización escrita y la finalidad.

La política de tratamiento mínima

Un documento de una o dos páginas con: identificación del restaurante (razón social, NIT, dirección, correo), datos que recolecta (nombre, celular, correo, historial de reservas, imágenes de videovigilancia), finalidades (gestionar reservas; enviar promociones a quienes lo autorizaron; seguridad del local), derechos del titular (conocer, actualizar, rectificar, suprimir, revocar), canal para ejercerlos (un correo dedicado, por ejemplo datos@surestaurante.co) y plazos de respuesta. Publíquela en su web y revísela una vez al año.

Higiene de datos: cuatro hábitos del equipo

1. Un solo lugar. Los datos viven en el sistema de reservas o en una única hoja protegida, no regados en celulares personales del personal.
2. Exportar y depurar. Una vez al año, exporte su base, elimine contactos inactivos de hace años y corrija duplicados. Menos datos viejos, menos riesgo.
3. Borrar cuando lo piden. Cualquier "no me escriban más" se ejecuta el mismo día y se deja constancia. Un reclamo bien atendido muere ahí; uno ignorado termina en la SIC.
4. Salidas de personal. El día que alguien deja el equipo, pierde el acceso al sistema y sale de los grupos donde circule información de clientes.

Su base de datos, bien administrada, es su mejor activo comercial

Cumplir el habeas data tiene un premio que la asesoría jurídica rara vez menciona: una base de datos de clientes limpia, autorizada y suya es la herramienta de mercadeo más rentable de un restaurante. Clientes que dijeron "sí quiero recibir sus novedades" abren los mensajes, vuelven y traen gente. Y es un activo que ningún marketplace le puede quitar: cuando las reservas entran por plataformas de terceros, los datos suelen quedarse en la plataforma, no con usted.

Un buen software ayuda a cumplir sin esfuerzo. ViteUneTable, por ejemplo, captura la autorización en el momento de la reserva, registra cada consentimiento, y su base de datos es 100% suya y exportable en todo momento, en la versión gratuita ilimitada, con 0% de comisión y sin permanencia. Los packs de pago agregan recordatorios automáticos por email y el botón de reservar en Google: el Pack Estándar cuesta 29 € al mes IVA no incluido (unos $107.000 COP al tipo de cambio de octubre de 2026). Seamos honestos con los límites: la facturación es en euros y los recordatorios de hoy son por email, no por SMS ni WhatsApp. El panorama completo de opciones para el país está en nuestra guía del sistema de reservas para restaurantes en Colombia.

Dos aclaraciones finales que evitan gastos innecesarios: la Ley 1581 no obliga a un restaurante a nombrar un oficial de protección de datos, y en Colombia no existe una ley de avisos de cookies como las europeas. Desconfíe de quien le venda esos "requisitos": lo exigible es lo de esta guía, y está a su alcance.

Preguntas frecuentes

¿La Ley 1581 aplica a un restaurante pequeño o de persona natural?

Sí. La ley aplica a cualquier persona natural o jurídica que trate datos personales en Colombia, sin umbral de tamaño. Lo único que depende del tamaño es la inscripción en el RNBD, obligatoria solo para sociedades y entidades sin ánimo de lucro con activos superiores a 100.000 UVT (unos $5.237 millones COP con la UVT de 2026) y para entidades públicas.

¿Un cuaderno de reservas en papel también cuenta como base de datos?

Sí. La Ley 1581 cubre cualquier conjunto organizado de datos personales susceptible de tratamiento, sea físico o digital. Un cuaderno con nombres y celulares ordenados por fecha es una base de datos: requiere autorización, finalidad clara y custodia razonable, igual que un software.

¿Puedo enviar promociones por WhatsApp a quienes han reservado?

Solo a quienes autorizaron expresamente esa finalidad. El número entregado para una reserva autoriza gestionar esa reserva, no recibir publicidad. Pida la autorización de mercadeo por separado, guarde la prueba y saque de la lista, el mismo día, a cualquiera que lo pida.

¿Qué derechos puede ejercer un cliente sobre sus datos?

Los derechos de habeas data: conocer qué datos tiene usted sobre él, actualizarlos, rectificarlos si son erróneos, suprimirlos y revocar la autorización que dio. Usted debe ofrecer un canal para recibir esas solicitudes y responder consultas en 10 días hábiles y reclamos en 15.

¿Cuáles son las multas por incumplir el habeas data?

La SIC puede imponer multas de hasta 2.000 salarios mínimos legales mensuales vigentes, ordenar la suspensión del tratamiento de datos hasta por seis meses y llegar al cierre temporal o definitivo de las operaciones de tratamiento (artículo 23, Ley 1581 de 2012). El monto en pesos cambia cada año con el salario mínimo.

¿Necesito registrarme en el RNBD si solo tengo un restaurante?

Casi seguro que no. Desde el Decreto 90 de 2018, el registro solo obliga a sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y a las entidades públicas. Eso sí: la exención es solo del trámite de registro; todas las demás obligaciones de la Ley 1581 siguen aplicando a su restaurante.