La decisión surgió tras una investigación en Bogotá, pero fija un precedente para los conjuntos residenciales de todo el país y obliga a ofrecer alternativas de acceso.
¿Qué cambia para los conjuntos residenciales en Colombia?
La Superintendencia de Industria y Comercio, en su calidad de autoridad nacional de protección de datos personales, ordenó a un conjunto residencial de Bogotá eliminar los datos biométricos obtenidos mediante reconocimiento facial de los residentes que solicitaron su supresión.
Por esto, deberá habilitar mecanismos alternativos de ingreso que no impliquen el tratamiento de datos sensibles.
La decisión quedó consignada en la Resolución 52185 de 2025, expedida por la Dirección de Habeas Data.
La investigación determinó que el conjunto residencial Parque de los Cipreses – Edificio Vista al Parque Salitre Propiedad Horizontal, recolectó información biométrica sin contar con la autorización previa, expresa e informada de algunos residentes.
Además, la administración conservó esos datos incluso después de que varios titulares solicitaron su eliminación, conducta que la SIC consideró contraria al derecho fundamental al habeas data.
La autoridad recordó que la biometría como el reconocimiento facial, la huella dactilar o el escaneo del iris, corresponde a la categoría de datos sensibles prevista en la Ley 1581 de 2012.
Su tratamiento exige un nivel reforzado de protección y una autorización especial por parte del titular.
Según la SIC, ninguna persona está obligada a suministrar este tipo de información y, por esa razón, una administración no puede convertir el reconocimiento facial en el único mecanismo para ingresar a una vivienda.
Hacerlo resulta desproporcionado y puede vulnerar los derechos fundamentales al habeas data, la intimidad y la libre circulación.
La SIC prohíbe a las administraciones exigir datos biométricos para ingresar a conjuntos residenciales https://t.co/OvAFtqa9dg
— EL TIEMPO (@ELTIEMPO) August 3, 2026
¿Qué opciones de acceso deberán ofrecer los conjuntos?
La decisión también establece que las copropiedades deben implementar mecanismos de autenticación menos invasivos para quienes no deseen entregar sus datos biométricos.
Entre las alternativas mencionadas por la Superintendencia se encuentran las tarjetas de proximidad, códigos de acceso, controles mediante personal de vigilancia u otros sistemas que permitan verificar la identidad sin necesidad de tratar información sensible.
La SIC enfatizó que estas medidas no solo protegen la privacidad de los residentes, sino que permiten mantener los niveles de seguridad sin imponer condiciones que desconozcan los derechos de los ciudadanos.
La entidad recordó que los conjuntos residenciales, comerciales y mixtos actúan como responsables del tratamiento de datos personales cuando implementan tecnologías de reconocimiento biométrico.
En consecuencia, deben cumplir las obligaciones previstas en la Ley 1581 de 2012 y en el Decreto 1377 de 2013, incluyendo la obtención de autorizaciones válidas, la adopción de medidas de seguridad y la garantía de los derechos de acceso, actualización, rectificación y supresión de la información.
Asimismo, antes de poner en funcionamiento un sistema de reconocimiento facial, las administraciones deben evaluar los riesgos asociados al tratamiento de datos sensibles e implementar medidas de seguridad durante todo el ciclo de vida de la información.
La Superintendencia advirtió que los datos biométricos requieren una protección especial porque, a diferencia de una contraseña o una tarjeta de acceso, no pueden modificarse si llegan a ser robados o utilizados de manera indebida.
La decisión marca un precedente para miles de conjuntos residenciales que en los últimos años han incorporado sistemas de reconocimiento facial como mecanismo de control de acceso.
Si bien la SIC no prohibió el uso de estas tecnologías, dejó claro que solo podrán utilizarse cuando respeten plenamente las normas de protección de datos personales y nunca como requisito obligatorio para ingresar a una copropiedad.
Además, advirtió que el incumplimiento de estas obligaciones puede dar lugar a investigaciones y eventuales sanciones por parte de la autoridad de protección de datos.