--- title: "Analítica y protección de datos: Colombia y México | SUMāTO" description: Cómo diseñar analítica que cumpla Habeas Data en Colombia y la LFPDPPP en México, qué exige la finalidad declarada y cuándo conviene anonimizar. image: https://sumatogroup.com/hubfs/BRANDING/SUM%C4%81TO%20%7C%20LOGO%201000x500.png --- [Skip to content](https://sumatogroup.com/insights/blog/analitica-proteccion-datos-personales#main-content) - [INSIGHTS](https://sumatogroup.com/insights) - [SOPORTE](https://sumatogroup.com/soporte) - [CONTACTO](https://sumatogroup.com/contacto) ES [Español](https://sumatogroup.com/insights/blog/analitica-proteccion-datos-personales) [English](https://sumatogroup.com/en/insights/blog/analitica-proteccion-datos-personales) [![SUMāTO Group — inicio](https://sumatogroup.com/hs-fs/hubfs/BRANDING/SMT%20-%20LOGO.png?width=40&height=40&name=SMT%20-%20LOGO.png)](https://sumatogroup.com/) - [INICIO](https://sumatogroup.com) - Nosotros #### SUMāTO - [Nosotros→](https://sumatogroup.com/nosotros) - [Términos→](https://sumatogroup.com/legal) - [Legal→](https://sumatogroup.com/legal) - [Cookies→](https://sumatogroup.com/legal) - [Protección de datos→](https://sumatogroup.com/legal) #### METODOLOGÍAS - [Design Thinking→](https://sumatogroup.com/metodologias#design-thinking) - [Lean Startup→](https://sumatogroup.com/metodologias#lean-startup) - [PMI→](https://sumatogroup.com/metodologias#pmi) - [SCRUM→](https://sumatogroup.com/metodologias#scrum) #### Fabricantes - [AWS→](https://sumatogroup.com/fabricantes#aws) - [Cisco→](https://sumatogroup.com/fabricantes#cisco) - [Dahua→](https://sumatogroup.com/fabricantes#dahua) - [Fortinet→](https://sumatogroup.com/fabricantes#fortinet) - [Huawei→](https://sumatogroup.com/fabricantes#huawei) - [Microsoft→](https://sumatogroup.com/fabricantes#microsoft) - [OCI→](https://sumatogroup.com/fabricantes#oci) - [Panduit→](https://sumatogroup.com/fabricantes#panduit) - Capacidades #### TECNOLOGÍA - [Inteligencia Artificial→](https://sumatogroup.com/inteligencia-artificial) - [Analítica de Datos→](https://sumatogroup.com/analitica) - [Automatización→](https://sumatogroup.com/automatizacion-rpa) - [Ciberseguridad→](https://sumatogroup.com/ciberseguridad) - [Nube→](https://sumatogroup.com/cloud) #### SEGMENTOS - [Medianas Empresas→](https://sumatogroup.com/pyme) - [Corporativos→](https://sumatogroup.com/corporativos) - [Gobierno→](https://sumatogroup.com/gobierno) - Consultoría #### Fast Track - [Fast Track AI→](https://sumatogroup.com/fasttrack-ai) - [Fast Track BPM→](https://sumatogroup.com/fasttrack-bpm) - [Fast Track Ciberseguridad→](https://sumatogroup.com/fasttrack-ciberseguridad) #### Assessments - [AI Readiness→](https://sumatogroup.com/preparacion-ia-assessment) - [Analytics→](https://sumatogroup.com/madurez-datos-assessment) - [Arquitectura Empresarial→](https://sumatogroup.com/arquitectura-empresarial-assessment) - [Automatización de Procesos→](https://sumatogroup.com/automatizacion-procesos-assessment) - [Ciberseguridad→](https://sumatogroup.com/ciberseguridad-assessment) - [Cloud→](https://sumatogroup.com/preparacion-nube-assessment) - [Estrategia IT→](https://sumatogroup.com/estrategia-tecnologica-assessment) - [Madurez IT→](https://sumatogroup.com/madurez-ti-assessment) #### Consultoría & Arquitectura - [AI First→](https://sumatogroup.com/ai-first) - [Arquitectura Empresarial→](https://sumatogroup.com/arquitectura-empresarial) - [BCP→](https://sumatogroup.com/bcp) - [Consultoría Estratégica→](https://sumatogroup.com/consultoria-estrategica) - [DRP→](https://sumatogroup.com/drp) - [PETI→](https://sumatogroup.com/peti) - [Transformación Empresarial→](https://sumatogroup.com/transformacion-empresarial) - Operación #### INFRAESTRUCTURA - [Centro de Datos→](https://sumatogroup.com/centro-de-datos) - [Servicios Administrados→](https://sumatogroup.com/servicios-administrados) - [VDI→](https://sumatogroup.com/vdi) - [Videovigilancia Inteligente→](https://sumatogroup.com/videovigilancia) #### SEGURIDAD - [NOC→](https://sumatogroup.com/noc) - [SOC→](https://sumatogroup.com/soc) #### USUARIOS - [Escritorios Modernos→](https://sumatogroup.com/escritorios-modernos) - [Help Desk→](https://sumatogroup.com/help-desk) - Industrias Industrias - [Banca & Finanzas→](https://sumatogroup.com/banca-finanzas) - [Seguros→](https://sumatogroup.com/seguros) - [Gobierno→](https://sumatogroup.com/gobierno) - [Salud→](https://sumatogroup.com/salud) - [Telecomunicaciones→](https://sumatogroup.com/telecomunicaciones) - [Retail & Consumo→](https://sumatogroup.com/retail) - [Manufactura→](https://sumatogroup.com/manufactura) - [Energía, Petróleo & Gas→](https://sumatogroup.com/energia-petroleo-gas) - [Educación→](https://sumatogroup.com/educacion) - [Logística & Transporte→](https://sumatogroup.com/logistica-transporte) - [Servicios Legales→](https://sumatogroup.com/servicios-legales) - [Ingeniería & Construcción→](https://sumatogroup.com/ingenieria-construccion) - Recursos #### CONTENIDO - [Blog→](https://sumatogroup.com/insights) - [Casos de uso→](https://sumatogroup.com/casos-de-uso) #### EVENTOS - [Webinars→](https://sumatogroup.com/webinars) ES [Español](https://sumatogroup.com/insights/blog/analitica-proteccion-datos-personales) [English](https://sumatogroup.com/en/insights/blog/analitica-proteccion-datos-personales) Search - No hay sugerencias porque el campo de búsqueda está vacío. [Datos y Analítica](https://sumatogroup.com/insights/tag/datos-y-analítica) # Analítica y protección de datos personales en Colombia y México [Andrés Lozada](https://sumatogroup.com/insights/author/andres-lozada) · Nov 12, 2024, 7:00:00 AM · 5 min de lectura **Analizar datos personales es legítimo cuando existe una finalidad declarada que lo ampare. Habeas Data en Colombia y la LFPDPPP en México coinciden en el principio: el titular autorizó un uso concreto, y usar el dato para otro distinto exige revisar esa autorización antes, no después del análisis.** A continuación: qué exige la finalidad declarada, cuándo conviene anonimizar, cómo se diseña el acceso y qué conviene dejar registrado. La conversación sobre datos personales suele llegar tarde al proyecto de analítica: cuando el tablero ya está construido y alguien pregunta si se puede usar. En ese punto las opciones son caras. Llevarla al inicio no la vuelve más lenta; la vuelve más barata, porque las decisiones de diseño que la resuelven cuestan poco cuando aún no hay nada construido. ## La finalidad declarada, y por qué manda Ambos marcos parten de lo mismo: el titular de los datos autorizó un tratamiento con una finalidad determinada. Ese consentimiento no es un cheque en blanco, y la pregunta operativa no es «¿tenemos el dato?» sino «¿para qué dijimos que lo íbamos a usar?». En la práctica esto define qué análisis son directos y cuáles requieren una revisión previa. Analizar el comportamiento de pago para gestionar cartera suele estar amparado por la relación contractual. Usar esos mismos datos para construir un modelo comercial dirigido a otro producto es un uso distinto, y conviene resolverlo antes de construir. Cuando la finalidad no cubre el uso previsto, hay tres caminos: ampliar la autorización, apoyarse en otra base legal aplicable, o trabajar con datos que ya no identifiquen a nadie. ## Cuándo conviene anonimizar La mayoría de los análisis no necesita saber quién es la persona. Necesita saber cuántos, de qué tipo y con qué comportamiento. Si el resultado no cambia al reemplazar el identificador por un código, ese análisis no debería estar tocando datos identificables. Conviene distinguir dos cosas que se confunden. **Seudonimizar** es reemplazar el identificador conservando la posibilidad de revertirlo: sigue siendo dato personal y sigue sujeto a la norma. **Anonimizar** es hacer irreversible esa asociación, y solo entonces el dato sale del alcance. La irreversibilidad es más difícil de lo que parece: la combinación de pocos atributos puede reidentificar a una persona en un conjunto pequeño. En una base de clientes de una ciudad intermedia, tres o cuatro campos pueden bastar. ## Cómo se diseña el acceso La regla práctica es que el acceso siga a la función y no a la jerarquía. Quien gestiona cartera necesita ver el detalle de un cliente; quien analiza tendencias no. Eso se implementa en la capa donde se definen las métricas, no en cada tablero. Repartir las reglas de acceso entre veinte reportes garantiza que alguno quede abierto y que nadie sepa cuál. Y conviene revisar el acceso cuando alguien cambia de rol, que es el momento en que las organizaciones acumulan permisos sin retirarlos. Esa acumulación silenciosa es lo que convierte un incidente menor en uno reportable. ## El error de diseño que más cuesta corregir Copiar la base completa a un entorno analítico «para explorar» es la decisión que más exposición crea y la más difícil de revertir. Una vez que existen tres copias del maestro de clientes en tres lugares distintos, nadie sabe cuántas hay realmente ni quién accede a cada una. La alternativa no es prohibir la exploración: es acordar dónde vive el dato identificable y trabajar contra esa fuente en lugar de replicarla. Lo que se copia a los entornos de análisis debería salir ya seudonimizado, salvo que el caso justifique lo contrario y alguien lo autorice de forma explícita. Esa decisión cuesta poco al inicio del diseño y mucho después, porque cada copia adicional tiene sus propios consumidores que hay que migrar. ## Qué conviene dejar registrado Tres cosas, y las tres sirven además para operar mejor. **Qué datos personales se usan en cada análisis** y con qué finalidad. **Quién accedió a qué** y cuándo. Y **durante cuánto tiempo se conserva** cada conjunto, con un criterio de eliminación que efectivamente se ejecute. Ese último punto es el que más se descuida. Conservar indefinidamente «por si acaso» aumenta la exposición sin aportar valor analítico: los datos muy antiguos rara vez mejoran un modelo y siempre amplían la superficie de un incidente. ## Cómo encaja con el resto de la capacidad La protección de datos no es un requisito que se satisface al final: es una restricción de diseño que ordena decisiones de arquitectura. Por eso se evalúa junto con el gobierno del dato y no aparte. Un [assessment de madurez de datos y analítica](https://sumatogroup.com/madurez-datos-assessment) revisa el gobierno contra la norma que le aplica en Colombia o en México, y la parte de custodia y control de acceso se trabaja con [ciberseguridad](https://sumatogroup.com/ciberseguridad). El resultado es una capacidad de [analítica](https://sumatogroup.com/analitica) que puede crecer sin rehacerse. ## Preguntas frecuentes ### ¿Se pueden analizar datos personales de clientes? Sí, cuando existe una finalidad declarada que ampare ese uso. La pregunta operativa no es si se tiene el dato, sino para qué se dijo que se iba a usar. Un uso distinto al autorizado exige revisar la autorización antes de construir el análisis. ### ¿Anonimizar y seudonimizar son lo mismo? No. Seudonimizar reemplaza el identificador conservando la posibilidad de revertirlo, así que sigue siendo dato personal sujeto a la norma. Anonimizar hace irreversible esa asociación, y solo entonces el dato sale del alcance. ### ¿Qué norma aplica en Colombia y en México? En Colombia el régimen de Habeas Data, cuyo eje es la Ley 1581. En México la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Coinciden en el principio de finalidad, y difieren en procedimientos y en la autoridad competente. ### ¿Cuánto tiempo conviene conservar los datos? El que la finalidad justifique, con un criterio de eliminación que efectivamente se ejecute. Conservar indefinidamente amplía la exposición sin aportar valor: los datos muy antiguos rara vez mejoran un modelo. Siguiente paso [Analítica de Datos](https://sumatogroup.com/analitica)[Assessment de Madurez de Datos](https://sumatogroup.com/madurez-datos-assessment)[Ciberseguridad](https://sumatogroup.com/ciberseguridad) [Datos y Analítica](https://sumatogroup.com/insights/tag/datos-y-analítica) ![Andrés Lozada](https://sumatogroup.com/hs-fs/hubfs/SPEAKERS/AL.jpeg?width=56&height=56&name=AL.jpeg) Andrés Lozada Nov 12, 2024, 7:00:00 AM [LinkedIn](https://www.linkedin.com/in/andreslozada/) ### Explore más de SUMāTO [Inteligencia Artificial](https://sumatogroup.com/inteligencia-artificial) [Transformación Empresarial](https://sumatogroup.com/transformacion-empresarial) [Consultoría Estratégica](https://sumatogroup.com/consultoria-estrategica) [AI Agent](https://sumatogroup.com/inteligencia-artificial) [AI Contact Center](https://sumatogroup.com/inteligencia-artificial) [Ciberseguridad](https://sumatogroup.com/ciberseguridad) ### Publicaciones relacionadas #### [Arquitectura de datos: qué conviene a una operación mediana](https://sumatogroup.com/insights/blog/arquitectura-datos-que-conviene) **Un almacén de datos guarda información ya estructurada y modelada para responder preguntas conocidas. Un lago guarda datos en su forma original para...** #### [Conectividad hacia la nube: el detalle que se olvida](https://sumatogroup.com/insights/blog/conectividad-hacia-la-nube) **Una migración técnicamente impecable puede percibirse como un retroceso si el enlace no acompaña. Cuando la aplicación deja de estar en el mismo...** #### [Datos maestros: llegar a una vista única del cliente](https://sumatogroup.com/insights/blog/datos-maestros-cliente-unico) **El mismo cliente aparece tres veces porque tres sistemas lo capturaron en tres momentos, sin una regla común sobre qué lo identifica. La vista única...** ![SUMāTO](https://sumatogroup.com/hs-fs/hubfs/BRANDING/SUM%C4%81TO%20%7C%20LOGO%201000x500.png?width=200&height=100&name=SUM%C4%81TO%20%7C%20LOGO%201000x500.png) Consultores en planeación estratégica de tecnología. AI, Analítica, Nube y Ciberseguridad ## Navegación [Inicio](https://sumatogroup.com/) [Capacidades](https://sumatogroup.com/inteligencia-artificial) [Consultoría](https://sumatogroup.com/consultoria-estrategica) [Operación](https://sumatogroup.com/servicios-administrados) [Industrias](https://sumatogroup.com/banca-finanzas) [Recursos](https://sumatogroup.com/insights) ## SUMāTO [Nosotros](https://sumatogroup.com/nosotros) [Términos](https://sumatogroup.com/legal#terminos) [Legal](https://sumatogroup.com/legal) [Protección de datos](https://sumatogroup.com/legal) Cookies ## [Contacto](https://sumatogroup.com/contacto) [sales@sumatogroup.com](mailto:sales@sumatogroup.com) México HQ Ciudad de México, México [+52 55 8897 5791](tel:+525588975791) Bogotá Bogotá, Colombia [+57 601 724 5059](tel:+576017245059) © 2026 SUMāTO Group. Todos los derechos reservados. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Andrés Lozada", "url" : "https://sumatogroup.com/insights/author/andres-lozada" }, "datePublished" : "2024-11-12T13:00:00.000Z", "headline" : "Analítica y protección de datos: Colombia y México | SUMāTO", "mainEntityOfPage" : { "@id" : "https://sumatogroup.com/insights/blog/analitica-proteccion-datos-personales", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://sumatogroup.com/hubfs/BRANDING/Logo_SUMATO_Original%20-%201000x500.png" }, "name" : "SUMāTO Group" } } ``` ```json { "@context" : "https://schema.org", "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Sí, cuando existe una finalidad declarada que ampare ese uso. La pregunta operativa no es si se tiene el dato, sino para qué se dijo que se iba a usar. Un uso distinto al autorizado exige revisar la autorización antes de construir el análisis." }, "name" : "¿Se pueden analizar datos personales de clientes?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "No. Seudonimizar reemplaza el identificador conservando la posibilidad de revertirlo, así que sigue siendo dato personal sujeto a la norma. Anonimizar hace irreversible esa asociación, y solo entonces el dato sale del alcance." }, "name" : "¿Anonimizar y seudonimizar son lo mismo?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "En Colombia el régimen de Habeas Data, cuyo eje es la Ley 1581. En México la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Coinciden en el principio de finalidad, y difieren en procedimientos y en la autoridad competente." }, "name" : "¿Qué norma aplica en Colombia y en México?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "El que la finalidad justifique, con un criterio de eliminación que efectivamente se ejecute. Conservar indefinidamente amplía la exposición sin aportar valor: los datos muy antiguos rara vez mejoran un modelo." }, "name" : "¿Cuánto tiempo conviene conservar los datos?" } ] } ``` ```json { "@context" : "https://schema.org", "@id" : "https://sumatogroup.com/#organization", "@type" : "Organization", "address" : { "@type" : "PostalAddress", "addressCountry" : "MX", "addressLocality" : "Huixquilucan", "addressRegion" : "Estado de México", "postalCode" : "52787", "streetAddress" : "Av. Vialidad de la Barranca No. 6, Torre 1, Suite 400, Piso 4, Col. Bosques de las Palmas" }, "alternateName" : [ "SUMāTO Group", "SUMATO Group", "Sumato Group", "SUMATO", "SUMaTO", "SUMaTO Group", "SUMTO", "SUMTO Group" ], "areaServed" : [ { "@type" : "Country", "name" : "México" }, { "@type" : "Country", "name" : "Colombia" }, { "@type" : "Place", "name" : "Latinoamérica" } ], "contactPoint" : { "@type" : "ContactPoint", "areaServed" : "Latinoamérica", "availableLanguage" : [ "es", "en" ], "contactType" : "sales", "email" : "sales@sumatogroup.com" }, "description" : "SUMāTO es una firma latinoamericana de consultoría e integración tecnológica fundada en 2016, con presencia en México y Colombia. Diseña, implementa y opera inteligencia artificial, analítica de datos, automatización, ciberseguridad y nube sobre los sistemas que el cliente ya tiene, bajo marcos de gobierno como NIST AI RMF e ISO/IEC 42001.", "foundingDate" : "2016", "knowsAbout" : [ "Inteligencia Artificial", "IA Generativa", "Agentes de IA", "Analítica de Datos", "Big Data", "Automatización de Procesos (RPA)", "Ciberseguridad", "Computación en la Nube", "Continuidad del Negocio y Recuperación ante Desastres", "Arquitectura Empresarial", "Transformación Digital" ], "legalName" : "SUMāTO Group", "location" : [ { "@type" : "Place", "address" : { "@type" : "PostalAddress", "addressCountry" : "MX", "addressLocality" : "Huixquilucan", "addressRegion" : "Estado de México", "postalCode" : "52787", "streetAddress" : "Av. Vialidad de la Barranca No. 6, Torre 1, Suite 400, Piso 4, Col. Bosques de las Palmas" }, "name" : "SUMāTO MX", "telephone" : "+52 55 8897 5791" }, { "@type" : "Place", "address" : { "@type" : "PostalAddress", "addressCountry" : "CO", "addressLocality" : "Bogotá", "streetAddress" : "Cra. 45 # 103-34, Of. 202" }, "name" : "SUMāTO CO", "telephone" : "+57 601 724 5059" } ], "logo" : { "@type" : "ImageObject", "height" : 500, "url" : "https://sumatogroup.com/hubfs/BRANDING/SUM%C4%81TO%20%7C%20LOGO%201000x500.png", "width" : 1000 }, "name" : "SUMāTO", "sameAs" : [ "https://www.linkedin.com/company/sumatogroup", "https://www.youtube.com/@sumatogroup", "https://torre.ai/teams/SUMaTOGroup", "https://www.cbinsights.com/company/sumto-group", "https://elioplus.com/profiles/channel-partners/57295/sumato-group" ], "telephone" : "+52 55 8897 5791", "url" : "https://sumatogroup.com" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://sumatogroup.com/#website", "@type" : "WebSite", "description" : "Consultoría y tecnología en IA, datos, automatización, ciberseguridad y nube en Latinoamérica.", "inLanguage" : "es", "name" : "SUMāTO", "publisher" : { "@id" : "https://sumatogroup.com/#organization" }, "url" : "https://sumatogroup.com" } ``` ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://sumatogroup.com/", "name" : "Inicio", "position" : 1 }, { "@type" : "ListItem", "item" : "https://sumatogroup.com/insights/blog/analitica-proteccion-datos-personales", "name" : "Analítica y protección de datos personales en Colombia y México", "position" : 2 } ] } ```