¿Entregó su cédula para un empleo, arriendo o crédito? Lecontamos qué pasa después con sus datos y cuándo debeneliminarlos para reducir el riesgo de suplantación

Las empresas pueden conservar y compartir documentos personales bajo condiciones específicas. Le explicamos quién responde por esa información, cuánto tiempo puede permanecer almacenada, cómo saber quién la tiene y qué hacer si termina vinculada a una deuda que usted nunca adquirió.

Bogotá, agosto de 2026. Conseguir empleo, arrendar un apartamento, abrir una línea celular o solicitar un crédito digital puede exigir cédula, selfie, extractos, desprendibles de nómina, referencias e incluso la dirección de residencia. El problema aparece después: cuando termina el trámite, pocas personas saben quién conserva esas copias, con qué terceros fueron compartidas o durante cuánto tiempo permanecerán almacenadas.

La Superintendencia de Industria y Comercio (SIC) reportó 13.983 reclamaciones por suplantación de identidad entre 2022 y mayo de 2026; 11.365 estuvieron vinculadas con telecomunicaciones. Además, hasta agosto había iniciado 101 investigaciones por vulneraciones de datos personales e impuesto multas que sumaban $5.157 millones.

La legislación obliga a quienes recolectan información personal a respetar la finalidad para la cual fue entregada, protegerla y limitar su circulación. La Ley 2573 de 2026, promulgada el 19 de mayo, estableció nuevas obligaciones frente a la suplantación para operadores de telecomunicaciones, entidades financieras o crediticias y comercios que ofrecen productos o servicios a crédito. Su régimen general entrará en vigencia en noviembre.

Un informe de la compañía tecnológica AUCO llama la atención sobre un punto poco visible: una persona puede entregar legítimamente sus documentos y, una vez finalizado el proceso, perderles el rastro.

"El trámite termina, pero la información no necesariamente desaparece. El ciudadano debería poder saber quién la conserva, con qué finalidad, durante cuánto tiempo y qué terceros tuvieron acceso", explica Santiago Montoya, CEO de AUCO.

¿Quién cuida entonces la información que usted envió o entregó?

La empresa que solicita la información no siempre es la única que termina procesándola. Una inmobiliaria puede apoyarse en una aseguradora o firma especializada; un empleador, en un proveedor de validación; y una entidad financiera, en compañías tecnológicas contratadas para verificar o almacenar datos.

Legalmente existen responsables del tratamiento de esa información, que deciden para qué se recopila y cómo se utiliza, y encargados, que la procesan por cuenta de los primeros. Para la persona, conocer esa diferencia resulta clave para saber quién tiene sus datos, con qué finalidad los maneja y ante quién puede ejercer sus derechos.

Tampoco existe un plazo único para conservar una cédula, selfie o extracto bancario. El tiempo depende de la finalidad para la cual fueron solicitados y de las obligaciones legales o contractuales aplicables. Por eso, cuando termina un proceso laboral, de arrendamiento o comercial, el ciudadano puede preguntar qué información continúa almacenada, por qué se conserva y solicitar su eliminación cuando ya no exista una razón legal para mantenerla. Si considera que hubo un tratamiento indebido, primero debe reclamar ante el responsable o encargado; agotado este trámite, puede acudir a la SIC.

Antes de enviar documentos conviene revisar la política de tratamiento de datos, verificar el canal de entrega, preguntar si la información será compartida con terceros y conservar prueba de qué se envió, cuándo y a quién. Si solicitan información adicional, también vale formular una pregunta básica: ¿para qué la necesitan? Ese registro puede resultar decisivo meses después, porque permite reconstruir la ruta que siguieron los documentos e identificar qué organizaciones tuvieron acceso legítimo a ellos.

Muchos fraudes comienzan obteniendo información. Incluso si usted va por la calle y le piden llenar una encuesta con todos sus datos, desconfíe un poco: es probable que esa información que entregó voluntariamente sea vendida o manejada por un tercero, que puede darle un uso indebido.

"Recolectar más datos de los necesarios aumenta la exposición. Una empresa no solo debe proteger lo que recibe: necesita controlar quién accede, registrar ese acceso y definir qué información elimina cuando deja de ser necesaria", concluye Montoya.