Violación de datos personales en Colombia: artículo 269F, pena y defensa
Una base de datos de clientes que se vende por debajo de la mesa. Un empleado que se lleva los correos y cédulas de miles de usuarios al cambiar de trabajo. Una empresa que compra listados de contactos que jamás autorizaron su uso. Detrás de todas estas escenas hay un mismo delito: la violación de datos personales.
En Estudio Penal Abogados defendemos a empresas y directivos investigados por el manejo indebido de datos, y representamos a quienes ven vulnerada su información. Esta guía explica el artículo 269F del Código Penal, su pena —de 4 a 8 años de prisión— y su estrecha relación con el habeas data. Podemos ayudarle a denunciar violación de datos personales.
El origen del 269F: un delito con acento colombiano
El artículo 269F tiene una particularidad frente a sus vecinos de la Ley 1273. Mientras el resto del capítulo proviene casi textualmente del Convenio de Budapest de 2001 —del que Colombia solo pasó a ser parte con la Ley 1928 de 2018—, la protección penal de los datos personales tiene un sello más propio, ligado al derecho fundamental al habeas data (artículo 15 de la Constitución) y desarrollado luego por la Ley 1581 de 2012 de protección de datos.
Dicho de otro modo: el 269F es el brazo penal de un régimen más amplio de protección de datos. Por eso su lectura no se agota en la informática; dialoga con toda la normativa de habeas data.
¿Qué es el delito de violación de datos personales?
El artículo 269F castiga a quien, sin autorización y con provecho propio o de un tercero, manipula datos personales ajenos: los obtiene, compila, sustrae, ofrece, vende, intercambia, envía, compra, divulga, modifica o emplea. Protege la autodeterminación informática: el derecho de cada persona a controlar quién usa sus datos y para qué.
Lo característico del tipo es su amplísima lista de verbos rectores. No hace falta «robar» la información: basta con emplearla o comercializarla sin permiso. Y exige un ingrediente adicional —el «provecho propio o de un tercero»—, lo que orienta el delito hacia el uso interesado de los datos, no hacia el simple descuido.
Texto vigente del artículo 269F del Código Penal
Artículo 269F. Violación de datos personales. El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.
Ley 599 de 2000, art. 269F, adicionado por la Ley 1273 de 2009. Norma vigente.
La conducta recae sobre «datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes». La referencia es deliberadamente amplia: cubre desde la base de datos de una empresa hasta un simple listado en una hoja de cálculo, siempre que contenga información de personas identificables.
¿Lo investigan por manejo de bases de datos? Hable con un penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269F?
La producción jurisprudencial sobre este delito es escasa, aunque empieza a aparecer. En una sentencia reciente —CSJ SP065-2026, 11 feb. 2026, rad. 69530— la Sala de Casación Penal abordó un caso de violación de datos personales, con un análisis relevante sobre la prescripción de la acción. Al ser todavía un terreno con pocas subreglas nacionales, en Estudio Penal Abogados complementamos su estudio con el marco de protección de datos y con el derecho comparado, donde la conducta se persigue como descubrimiento y revelación de secretos.
Glosario: 5 términos para entender el artículo 269F
- Dato personal: cualquier información asociada a una persona identificada o identificable: nombre, cédula, correo, teléfono, ubicación.
- Dato sensible: el que afecta la intimidad o puede generar discriminación —salud, orientación sexual, datos biométricos—, con protección reforzada.
- Habeas data: derecho fundamental a conocer, actualizar y controlar la información personal que reposa en bases de datos.
- Base de datos: conjunto organizado de datos personales; el objeto típico sobre el que recae este delito.
- Exfiltración: extracción no autorizada de datos desde los sistemas de una organización hacia el exterior.
Un caso real: los datos personales sustraídos y usados sin permiso
La conducta más frecuente combina la sustracción y el uso posterior de la información. Un caso resuelto por el Tribunal Supremo español lo ilustra: se juzgó el apoderamiento de correos electrónicos y datos personales de una persona —almacenados en sus equipos— y su posterior manejo, sin que el titular hubiera prestado jamás su consentimiento.
En la STS 111/2025, el Tribunal analizó la frontera entre obtener la información y difundirla, y advirtió que estas figuras exigen un análisis cuidadoso porque su redacción es compleja. Es una idea clave para la defensa: no toda intervención sobre datos ajenos encaja automáticamente en el tipo; hay que examinar con precisión la conducta concreta, el consentimiento y el provecho perseguido. Si es el investigado, ofrecemos defensa en delitos de datos.
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
La inteligencia artificial multiplica el riesgo sobre los datos personales: permite cruzar y perfilar información a gran escala y raspar datos de miles de fuentes en minutos. El Comité de la Convención de Budapest creó un Grupo de Trabajo sobre Inteligencia Artificial, encargado de un estudio (2025-2026) sobre el impacto de la IA en el cibercrimen y en la evidencia electrónica. Es la discusión que marcará el futuro de la protección penal de los datos.
¿Qué hacer si lo investigan por violación de datos personales?
Para una empresa, este delito suele nacer de un tratamiento de datos mal gestionado. La defensa —y también la prevención— pasa por demostrar la existencia de autorización, la finalidad legítima y las políticas de protección de datos. Revisar la trazabilidad de cómo se obtuvieron y usaron los datos es decisivo. Si su compañía enfrenta una investigación de este tipo, contáctenos aquí.
Para la persona natural señalada, los ejes son el consentimiento y el provecho: ¿había autorización para usar los datos? ¿existió realmente un provecho propio o de un tercero? ¿la prueba digital se obtuvo con las autorizaciones judiciales necesarias? Antes de responder cualquier requerimiento, programe una consulta con un especialista.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre la violación de datos personales
¿Qué es la violación de datos personales?
Es el delito del artículo 269F del Código Penal que castiga obtener, vender, compilar, divulgar, modificar o emplear datos personales ajenos sin autorización y con provecho propio o de un tercero. Protege el derecho de cada persona a controlar su información.
¿Cuántos años de cárcel tiene la violación de datos personales?
La pena es de prisión de 48 a 96 meses, es decir, de 4 a 8 años, y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Con una agravación del artículo 269H, la pena se aumenta de la mitad a las tres cuartas partes.
¿Vender o comprar una base de datos sin autorización es delito?
Sí. Comprar, vender o intercambiar bases de datos personales sin autorización de sus titulares, buscando un provecho, encaja directamente en el artículo 269F. Es una de las conductas más frecuentes de este delito.
¿Qué relación tiene con la Ley 1581 de habeas data?
La Ley 1581 de 2012 regula el tratamiento de datos personales y su vigilancia administrativa; el artículo 269F es su respaldo penal. Un mismo hecho puede generar sanciones de la Superintendencia de Industria y Comercio y, además, responsabilidad penal.
¿La empresa puede responder penalmente por el manejo de datos?
En Colombia la responsabilidad penal es individual, así que responden las personas naturales que realizan la conducta —directivos o empleados—. La empresa puede enfrentar sanciones administrativas y su exposición se reduce con políticas de protección de datos y controles internos.
¿En cuánto tiempo prescribe la violación de datos personales?
Antes de la formulación de imputación, la acción penal por violación de datos personales prescribe en un tiempo igual al máximo de la pena —ocho años—, sin que pueda ser inferior a cinco (artículo 83 del Código Penal). La imputación interrumpe ese término y, desde ella, vuelve a correr por la mitad, sin que pueda ser inferior a tres años (artículo 292 del Código de Procedimiento Penal) ni superior a diez (artículo 86 del Código Penal). Para este delito, entonces, el término posterior a la imputación es de cuatro años.
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.