Cada vez que pides el documento de un huésped para cumplir con el SIRE o la TRA, pasas a ser responsable de esos datos ante la Superintendencia de Industria y Comercio. La buena noticia: reportar a las autoridades no requiere autorización, y la mayoría de anfitriones no tiene que registrarse en ningún lado. La contrapartida: guardar las fotos de los documentos sí tiene reglas, y las sanciones llegan a 2.000 SMLMV.
Empezar gratis con RapitraAquí es donde muchos anfitriones se confunden, y es lo primero que hay que tener claro:
NO necesitas autorización del huésped. El artículo 10 de la Ley 1581 de 2012 exceptúa expresamente la información requerida por una entidad pública o administrativa en ejercicio de sus funciones legales. Migración Colombia y el MinCIT te exigen ese reporte por ley, así que transmitirlo no es opcional ni negociable con el huésped.
SÍ necesitas autorización, y ahí sí aplican todas las reglas: informar para qué los usas, guardarlos de forma segura, no usarlos para otra cosa, y atender al huésped si te pide consultarlos o eliminarlos. La excepción del artículo 10 cubre el reporte, no tu base de datos.
El Registro Nacional de Bases de Datos asusta a mucha gente, pero según el Decreto 1074 de 2015 solo están obligados: sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y las personas jurídicas de naturaleza pública. Las personas naturales están expresamente excluidas.
Traducido: si eres un anfitrión persona natural, no tienes que registrar nada en el RNBD — sin importar cuántas propiedades tengas. Si operas a través de una sociedad, solo aplica si superas ese tope de activos, que se calcula con la UVT vigente en cada año. Ojo: no estar obligado al registro NO te exime del resto de la ley.
El artículo 5 de la Ley 1581 clasifica los datos biométricos como datos sensibles, la categoría más protegida. Una fotografía del rostro en una cédula o pasaporte cae en esa zona, y eso cambia las reglas:
La autorización debe ser explícita, no puede darse por implícita ni escondida en un texto largo
Debes informar expresamente que se trata de datos sensibles y para qué los usas
El huésped no está obligado a autorizar el tratamiento de datos sensibles (artículo 6)
No puedes condicionar el hospedaje a que entregue más datos de los necesarios
Consecuencia práctica: pide la foto del documento solo si de verdad la necesitas. Si puedes cumplir con el SIRE capturando los datos del documento sin conservar la imagen, estás reduciendo tu exposición legal sin perder cumplimiento.
Pedir autorización informada
Antes de recolectar, el huésped debe saber quién eres, qué datos vas a tratar, para qué, y cuáles son sus derechos. Un checkbox de "acepto" sin explicación no cumple.
Tener una política de tratamiento de datos
Es obligatoria para todo responsable, sin importar el tamaño. Debe ser un documento consultable donde expliques finalidades, derechos del titular y tu canal de contacto.
Guardar prueba de la autorización
La carga de la prueba es tuya: si la SIC pregunta, debes poder demostrar cuándo y cómo autorizó cada huésped. Un registro con fecha y hora es la forma más simple de tenerlo.
Proteger la información
Los documentos de identidad no pueden quedar en un WhatsApp, en la galería del celular o en una carpeta compartida en la nube. Se exigen medidas de seguridad razonables contra acceso no autorizado.
Atender consultas y reclamos
El huésped puede pedirte conocer, actualizar, rectificar o suprimir sus datos. Tienes plazos de ley para responder: 10 días hábiles para consultas y 15 para reclamos.
No guardarlos para siempre
Los datos solo pueden conservarse mientras sean necesarios para la finalidad que los justificó; guardarlos indefinidamente "por si acaso" es una infracción. Sobre los datos que viven en Rapitra el plazo se aplica automáticamente. Sobre las copias que tengas por fuera — en tu correo, en el celular o en una hoja de cálculo — el plazo lo tienes que aplicar tú.
Usarlos para marketing sin una autorización aparte y específica para eso
Compartirlos o venderlos a terceros que el huésped no autorizó
Publicarlos, mostrarlos a otros huéspedes o subirlos a grupos
Conservarlos indefinidamente una vez cumplida la finalidad
Condicionar el servicio a entregar datos sensibles que no son necesarios
Negarte a eliminarlos cuando el titular lo solicita y ya no hay obligación legal de conservarlos
La Superintendencia de Industria y Comercio investiga y sanciona. Según el artículo 23 de la Ley 1581 de 2012 puede imponer:
Multas hasta por 2.000 SMLMV, personales e institucionales
Suspensión de las actividades de tratamiento hasta por 6 meses
Cierre temporal de las operaciones de tratamiento
Cierre inmediato y definitivo cuando se trate de datos sensibles
El Gobierno radicó en agosto de 2025 un proyecto para subir ese tope a 10.000 SMLMV e introducir un criterio alternativo del 5% de los ingresos operacionales del infractor. Alcanzó primer debate, pero se archivó sin completar su trámite — igual que un intento anterior ese mismo año —, porque una ley estatutaria debe aprobarse dentro de una sola legislatura. Hoy siguen vigentes los 2.000 SMLMV; que sea el segundo intento en dos años marca hacia dónde empuja la autoridad.
El cumplimiento de esta ley sigue siendo tuyo: la política de tratamiento y la atención de consultas y reclamos las defines tú como responsable. Lo que Rapitra te quita de encima es la parte donde más sanciones se generan por simple olvido — el reporte de la TRA y el SIRE por cada huésped —, para que los datos que ya recolectas cumplan la finalidad legal que los justifica y no se te acumulen reportes pendientes. Y aplica por ti el plazo de supresión sobre los datos que viven en la plataforma.
Los documentos de identidad se eliminan a los 30 días calendario siguientes al check-out, y los datos de identificación del huésped se anonimizan a los 6 meses. El proceso es automático y diario: no depende de que alguien lo solicite.
No. El artículo 10 de la Ley 1581 de 2012 exceptúa la información requerida por una entidad pública en ejercicio de sus funciones legales. Migración Colombia te exige ese reporte, así que no depende del consentimiento del huésped. Lo que sí requiere autorización es recolectar y guardar esos datos en tu propio sistema.
Si eres persona natural, no: están expresamente excluidas. Si operas como sociedad, solo si tus activos totales superan 100.000 UVT. La gran mayoría de anfitriones queda fuera de esa obligación — pero sigue aplicándote el resto de la ley.
Es mala idea. Los documentos de identidad exigen medidas de seguridad razonables, y una galería de fotos o un chat de WhatsApp no las cumple: se respaldan en la nube, se comparten por accidente y quedan accesibles a cualquiera que desbloquee el teléfono.
La ley no fija un número: dice que solo mientras sean necesarios para la finalidad. Cuidado con un razonamiento frecuente pero equivocado: guardarlos "para poder demostrar que reportaste" no te protege, porque el registro de ese reporte lo llevan MinCIT y Migración Colombia en sus propios sistemas. Un huésped en tu base sin transmisión asociada es evidencia en contra, no a favor. En Rapitra las imágenes de documento se eliminan a los 30 días del check-out y los datos de identificación se anonimizan a los 6 meses; para las copias que manejes por fuera, define tu propio plazo y consúltalo con un asesor.
Tienes 15 días hábiles para responder un reclamo. Si ya cumpliste la finalidad y no hay una obligación legal que te exija conservarlos, debes eliminarlos. Si sí existe esa obligación, puedes negarte, pero tienes que explicarle el fundamento.
Rapitra automatiza el reporte de la TRA y el SIRE por cada reserva, para que la finalidad que justifica recolectar esos datos se cumpla a tiempo y sin depender de tu memoria.
Empezar gratis