Clientes y ventas · Para dueños de restaurante

Base de datos de clientes del restaurante y la Ley 1581

Lo que exige la Ley 1581 de 2012 cuando tu restaurante guarda el nombre, el celular o la dirección de sus clientes: autorización, política de tratamiento, aviso de privacidad, quién va al RNBD, cómo atender una solicitud de borrado y qué hacer con las cámaras.

Por Equipo de Tecnotics · · 8 min de lectura

En 30 segundos

  • Para tratar datos personales se requiere la autorización previa e informada del titular, obtenida por un medio que se pueda consultar después (Ley 1581 de 2012, art. 9).
  • Al pedirla debes informar la finalidad, los derechos del titular y tus datos de contacto (art. 12), y conservar la prueba (art. 12, par.).
  • Debes tener una política de tratamiento con un contenido mínimo (Decreto 1377 de 2013, art. 13) o, si no puedes ponerla a disposición, un aviso de privacidad (arts. 14 y 15).
  • Consultas: 10 días hábiles. Reclamos: 15 días hábiles (Ley 1581, arts. 14 y 15).
  • El Registro Nacional de Bases de Datos (RNBD) es obligatorio solo para sociedades y entidades sin ánimo de lucro con activos totales de más de 100.000 UVT y para personas jurídicas públicas (Decreto 090 de 2018).

Esta guía hace parte del tema de cómo fidelizar clientes en un restaurante: conocer a tus clientes empieza por guardar sus datos de forma legal.

¿Qué datos puede pedir un restaurante y para qué?

Los que necesites para una finalidad concreta, y ninguno más. La finalidad es lo que justifica el dato:

Finalidad Datos razonables Datos que sobran
Entregar un pedido para recoger o asignar un turno Nombre o alias y celular Cédula, correo, fecha de nacimiento
Llevar un domicilio Nombre, celular y dirección Cédula
Expedir factura electrónica a nombre del cliente Nombre o razón social, tipo y número de identificación y, si quiere, correo Teléfono, dirección, RUT
Enviar promociones Celular o correo, con autorización expresa para eso Todo lo demás
Programa de clientes frecuentes Nombre, celular e historial de compras Datos sensibles

La fila de la factura sale de la Resolución DIAN 202 de 2025, que modificó la 165 de 2023: para expedir la factura o el documento POS a nombre del cliente solo puedes pedirle nombre o razón social, tipo y número de identificación y correo, y el correo sobra si el cliente prefiere la factura impresa.

Los datos sensibles, como los de salud, merecen cuidado especial: si alguien te cuenta que es alérgico o celíaco para que le prepares el plato, úsalo para eso y no lo guardes en una base comercial. Al pedir datos sensibles debes informar que responder es facultativo (Ley 1581, art. 12, lit. b).

Ojo con la carta: para ver los precios no puedes exigir registro ni datos personales. La Circular Única de la SIC lo prohíbe (Título II, num. 2.4). Pedir datos para hacer un pedido sí se puede, con autorización.

¿Cómo pedir la autorización de tratamiento de datos?

La autorización puede darse por escrito, de forma oral o mediante conductas inequívocas que permitan concluir que el titular la otorgó. El silencio nunca vale como autorización (Decreto 1377 de 2013, art. 7). Lo importante es que puedas probarla después.

Formas prácticas en un restaurante:

  1. Casilla en un formulario o en la carta en línea, sin marcar por defecto, con el texto de la autorización al lado.
  2. Texto en el mensaje de confirmación del pedido por chat, con la respuesta del cliente guardada.
  3. Formato en papel para inscribir a clientes frecuentes, firmado y archivado.

Un modelo corto, para adaptar con tu abogado o contador:

Autorizo a [Nombre del negocio], NIT [número], con domicilio en [dirección],
correo [correo] y teléfono [teléfono], para tratar mi nombre, celular y
dirección con la finalidad de gestionar mis pedidos y domicilios.
[ ] Autorizo además el envío de promociones por WhatsApp.
Conozco mis derechos a conocer, actualizar, rectificar y suprimir mis datos y
a revocar esta autorización. La política de tratamiento está en [enlace o lugar].

Separa la autorización del pedido de la autorización para promociones. Así el cliente puede aceptar una sin la otra, y la Ley 2300 de 2023 exige que, si una promoción sirve para alimentar bases de datos, el consumidor lo sepa y lo acepte de forma explícita (art. 5, par. 2). La guía de mensajes por WhatsApp a clientes explica los horarios y los canales.

¿Qué debe tener la política de tratamiento de datos?

El Decreto 1377 de 2013 (art. 13) pide que conste en medio físico o electrónico, en lenguaje claro, y que incluya por lo menos:

  1. Nombre o razón social, domicilio, dirección, correo y teléfono del responsable.
  2. El tratamiento y la finalidad de los datos.
  3. Los derechos del titular.
  4. La persona o el área que atiende peticiones, consultas y reclamos.
  5. El procedimiento para ejercer los derechos.
  6. La fecha de entrada en vigencia de la política y el periodo de vigencia de la base.

Cuando no puedas poner la política a disposición del cliente en el momento, debes informarle con un aviso de privacidad que existe y cómo consultarla (art. 14). El aviso lleva como mínimo los datos del responsable, el tratamiento y su finalidad, los derechos y cómo acceder a la política (art. 15).

¿Quién debe inscribirse en el Registro Nacional de Bases de Datos?

El Decreto 090 de 2018 modificó el Decreto 1074 de 2015 y limitó la obligación de inscripción a:

  • Sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT.
  • Personas jurídicas de naturaleza pública.

La mayoría de los restaurantes pequeños, y todas las personas naturales con negocio, quedan por fuera. Con la UVT de 2026 ($52.374), 100.000 UVT equivalen aproximadamente a $5.237 millones; es un cálculo, y la norma no dice con qué año de UVT ni con qué estados financieros se mide, así que si tu empresa está cerca de ese umbral pregúntale a tu contador.

¿Qué hacer si un cliente pide que lo borren?

El titular puede pedir la supresión de sus datos o revocar la autorización en cualquier momento, presentando un reclamo (Decreto 1377 de 2013, art. 9; Ley 1581, art. 15). El procedimiento:

  1. Recibe la solicitud por el canal que indica tu política, y deja constancia.
  2. Si está incompleta, pide lo que falta dentro de los 5 días siguientes (Ley 1581, art. 15, num. 1).
  3. Marca el dato con la leyenda «reclamo en trámite» en máximo 2 días hábiles (num. 2).
  4. Responde en máximo 15 días hábiles, prorrogables 8 más si informas el motivo (num. 3).
  5. Borra los datos de todas tus listas, incluidos los chats de difusión, salvo los que debas conservar por una obligación legal, como los de las facturas.

Para una consulta (qué datos tienes del cliente), el plazo es de 10 días hábiles, prorrogables 5 (art. 14). El titular solo puede quejarse ante la SIC después de agotar la consulta o el reclamo contigo (art. 16).

¿Y las cámaras de seguridad?

Las imágenes de personas identificables son datos personales. La guía de la SIC sobre videovigilancia recomienda:

  • Avisos visibles en las zonas vigiladas, con quién es el responsable, la finalidad, los derechos y dónde está la política.
  • Finalidad definida y captar solo lo necesario para ella.
  • Conservar las imágenes solo el tiempo necesario y verlas en un área de acceso restringido.
  • No instalar cámaras donde se afecte la vida privada o íntima de las personas, como baños o vestidores.
  • Informar si también se graba audio.

La guía es de 2016 y menciona la inscripción en el RNBD de la base de imágenes; esa obligación hoy aplica solo a quienes cumplen las condiciones del Decreto 090 de 2018.

¿Cómo mantener la base ordenada?

  1. Una sola base, no listas sueltas en varios celulares.
  2. Acceso restringido: solo quien la necesita.
  3. Depuración periódica: borra a quien no ha vuelto en el plazo que fijaste en tu política.
  4. Registro de autorizaciones: cuándo y cómo autorizó cada cliente.
  5. Proveedores con contrato: si un tercero maneja tus datos, por escrito y con condiciones de seguridad.

Con la base en orden puedes hacer lo que explica la guía de clientes frecuentes: reconocer a quien vuelve y ofrecerle algo útil, sin riesgos.

Organiza los pedidos de tus clientes con su nombre y su turno, y arma la lista de clientes de cada local en un solo lugar.

Prueba 30 días gratis

Fuentes

Verificado el 26/10/2026.

Preguntas frecuentes

¿Qué es el habeas data en Colombia?

Es el derecho de toda persona a conocer, actualizar y rectificar la información que se haya recogido sobre ella en bases de datos. La Constitución lo reconoce en su artículo 15 y la Ley 1581 de 2012 lo desarrolla para los datos personales en general. Para un restaurante significa que el cliente decide si te da sus datos, para qué los usas y cuándo pide que los corrijas o los borres.

¿Necesito un abogado para hacer la política de tratamiento de datos?

No es obligatorio. La política puede redactarla el propio negocio, siempre que tenga el contenido mínimo que exige la norma: quién es el responsable y cómo contactarlo, para qué se usan los datos, los derechos del titular, quién atiende las solicitudes, el procedimiento para ejercerlos y la fecha de vigencia. Si manejas datos sensibles o tienes una base grande, sí conviene que la revise un abogado.

¿Puedo pedir la cédula del cliente para hacerle un pedido?

Solo pide los datos que necesitas para la finalidad. Para entregar un pedido o asignar un turno basta normalmente con un nombre y un celular; para un domicilio, la dirección. La cédula se necesita si el cliente quiere factura electrónica a su nombre, y allí la norma de facturación limita lo que puedes exigir. Pedir más datos de los necesarios va contra el principio de finalidad.

¿Cuánto tiempo puedo guardar los datos de un cliente?

El tiempo que sea razonable y necesario para la finalidad por la que los recogiste, teniendo en cuenta tus obligaciones contables, tributarias y legales. Cumplida la finalidad, debes suprimirlos, salvo que una norma o un contrato te obliguen a conservarlos. Define en tu política cuánto tiempo guardas cada tipo de dato, por ejemplo los de clientes que no han vuelto en un año.

¿Puedo compartir mi base de clientes con otro negocio?

Solo si el cliente lo autorizó de forma previa e informada para esa finalidad, o si la ley lo permite. Pasarle tu lista a un aliado, a una agencia de publicidad o a otro local sin esa autorización es un uso no autorizado. Si contratas a un tercero para que maneje los datos por ti, debe actuar como encargado, con instrucciones y condiciones de seguridad por escrito.

Sigue leyendo