¿Es legal el cold email en Colombia? Ley 1581, Dejen de Fregar y el RNE (2026)

Sí, en Colombia se puede mandar cold email B2B. Pero el país tiene dos particularidades que las guías genéricas no cuentan. La primera: la Ley 1581 de 2012 pide autorización previa para tratar datos personales, una regla más estricta que la de casi toda la región. La segunda: desde 2023, la Ley 2300 (la de "Dejen de fregar") fija horarios para mandar publicidad por mail, y el Registro de Números Excluidos ya no cubre solo SMS: también correos, apps de mensajería y llamadas.

Nuestras campañas de outbound en LatAm incluyen Colombia. La duda que más aparece es si un mail a un gerente necesita su permiso antes. Depende de qué dato uses, y la SIC tiene una posición sobre los datos corporativos que conviene conocer con sus límites.

Este artículo resume los textos legales vigentes al 7 de octubre de 2026 y nuestra lectura práctica para equipos de outbound. No es asesoramiento legal. Para tu caso concreto, consultá con un abogado especializado en protección de datos en Colombia.

Respuesta rápida

• Se puede hacer cold email B2B en Colombia: sí, con condiciones. La Ley 1581 pide autorización previa para tratar datos personales, salvo excepciones como los datos públicos.
• El correo corporativo: en el concepto 23-571469, la SIC dijo que los datos corporativos de una empresa (correo institucional, celular corporativo) quedan fuera de la Ley 1581. No es obligatorio y no resuelve del todo el caso de nombre.apellido@empresa.co.
• Horarios (Ley 2300): la publicidad por mail, SMS, apps y llamadas solo se manda de lunes a viernes de 7:00 a 19:00 y los sábados de 8:00 a 15:00. Nunca domingos ni festivos.
• Registro de Números Excluidos (RNE): desde el 10 de abril de 2024 cubre correos, mensajes por aplicaciones (WhatsApp incluido), SMS y llamadas. Lo tenés que consultar antes de contactar.
• WhatsApp: además del RNE, la política de Meta pide que la persona te haya dado su número y aceptado tus mensajes. En frío, no.
• Multas: hasta 2.000 salarios mínimos mensuales, unos COP 3.500 millones en 2026.
• ¿Aplica todo esto a B2B? La Ley 2300 habla de "consumidor comercial" y no lo define. No está claro, y por eso la cumpliríamos igual.

Qué pide la Ley 1581 para escribirle a alguien que no te conoce

La Ley 1581 de 2012 define dato personal como "cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables" (artículo 3). Su artículo 9 pide "la autorización previa e informada del Titular" para tratarlos.

Las excepciones están en el artículo 10. La que importa para outbound es la de los datos de naturaleza pública. El Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015 (artículo 2.2.2.25.1.3), dice que son datos públicos, entre otros, los relativos a la "profesión u oficio" y a la "calidad de comerciante" de una persona. Y aclara que los datos de fuentes de acceso público se pueden tratar "siempre y cuando, por su naturaleza, sean datos públicos".

En la práctica: que alguien sea gerente de compras de una empresa es un dato público. Su celular personal no lo es, aunque aparezca en una base comprada.

¿El correo corporativo es un dato personal?

En enero de 2024, la Oficina Asesora Jurídica de la SIC respondió una consulta (radicado 23-571469) con esta frase: "los datos corporativos de una persona jurídica tales como correo institucional, celular corporativo, cuenta bancaria, dirección de contacto, entre otras, escapan de la órbita de protección de la ley 1581 de 2012". El mismo concepto aclara que el correo personal, el teléfono privado y la dirección de residencia del representante legal sí son datos personales.

Antes de apoyarte en ese concepto, tené en cuenta tres límites:

• No es obligatorio. El propio documento dice que no es "de obligatorio cumplimiento".
• Habla de los datos de la empresa. Un contacto@empresa.co o un ventas@ encajan de lleno. Un nombre.apellido@empresa.co queda en zona gris: es corporativo, pero identifica a una persona natural, que es justo la definición del artículo 3.
• No habilita escribir para pedir permiso. En la misma consulta preguntaron si se podía contactar a alguien sin autorización para pedírsela en ese primer contacto. La SIC no respondió el caso y repitió que la autorización tiene que ser previa.

Nuestra lectura: el terreno firme es escribirle a direcciones corporativas, por su cargo, con un mensaje que tenga que ver con su trabajo. Lo que no haríamos nunca es usar celulares o correos personales que vengan de una base comprada.

La Ley 2300 ("Dejen de fregar"): horario, baja y frecuencia

La Ley 2300 de 2023 nació para frenar el acoso de las cobranzas, pero su artículo 5 la extiende a "las relaciones comerciales entre los productores y proveedores de bienes y servicios privados o públicos y el consumidor comercial frente al envío de mensajes publicitarios" por SMS, aplicaciones o web, correos electrónicos y llamadas. Rige desde el 10 de octubre de 2023.

Lo que pide para la publicidad:

• Horario (artículo 5, parágrafo 3, que remite al artículo 3): de lunes a viernes de 7:00 a 19:00 y sábados de 8:00 a 15:00. Nada los domingos ni los festivos.
• Baja (artículo 5, parágrafo 2): "un mecanismo ágil, sencillo y eficiente para cancelar en cualquier momento la recepción de mensajes y correos".
• Frecuencia: el artículo 3 dice que, una vez establecido un contacto directo, no se puede contactar a la persona "mediante varios canales dentro de una misma semana ni en más de una ocasión durante el mismo día". Está escrito para cobranzas, pero el artículo 5 aplica la ley "en los mismos términos" a la publicidad. Y la Circular Externa 001 de 2024 de la SIC incluye, entre las quejas por publicidad que tramita, la de quien "fue contactado por un canal no autorizado, o por más de un canal".

La frecuencia pega de lleno en una secuencia multicanal (mail, LinkedIn y WhatsApp en la misma semana). La ley no es clara sobre cómo se aplica a la publicidad. La lectura prudente: un toque por día como máximo y, una vez que hubo contacto directo, un solo canal por semana.

¿Aplica a un mail B2B?

No está claro. La ley no define "consumidor comercial". El Estatuto del Consumidor (Ley 1480 de 2011, artículo 5) llama consumidor a la persona natural o jurídica que adquiere un producto "como destinatario final", incluso para una necesidad "empresarial cuando no esté ligada intrínsecamente a su actividad económica". Con esa definición, una empresa que compra un software para uso interno podría ser consumidora; una que compra insumos para su negocio, probablemente no.

Una señal en contra de descartarla: en un concepto de mayo de 2024, un comerciante inscrito en el RNE preguntó si la Cámara de Comercio le podía mandar invitaciones, y la CRC respondió que la Cámara tiene que respetar la ley cuando contacta "con fines comerciales o publicitarios".

Nuestra lectura: cumplir el horario y la baja cuesta poco, así que lo haríamos siempre.

El Registro de Números Excluidos (RNE): ahora incluye el mail

El RNE de la Comisión de Regulación de Comunicaciones (CRC) existía para SMS. La Ley 2300 ordenó ampliarlo y, según el ABC de la CRC, desde el 10 de abril de 2024 una persona puede excluirse de SMS, mensajes por aplicaciones o web (WhatsApp incluido), correos electrónicos y llamadas.

Cómo funciona:

• Se inscriben los consumidores, en el Portal de Trámites de la CRC, y eligen qué canales bloquear.
• Las empresas se registran en ese portal para consultar la lista antes de contactar. No ven los datos de los inscritos: solo si una persona pidió no ser contactada por un canal.
• Si después de inscribirse la persona autoriza expresamente a una empresa, esa empresa sí le puede escribir.
• Lo vigila y sanciona la SIC, no la CRC.

En una campaña, eso significa cruzar la lista contra el RNE antes de cargarla y, si la campaña dura semanas, volver a cruzarla.

WhatsApp en Colombia

Se suman tres capas:

1. El RNE incluye los mensajes por aplicaciones: si el número está excluido para ese canal, no se escribe.
2. La Ley 2300 aplica el mismo horario a la mensajería.
3. La política de WhatsApp Business (actualizada el 23 de septiembre de 2026) dice que solo podés contactar a alguien si te dio su número y aceptó recibir tus mensajes o llamadas, y que tenés que respetar cualquier pedido de baja, "tanto dentro como fuera de WhatsApp". Un primer mensaje en frío va contra las reglas, y el que se arriesga es tu número.

Por eso usamos WhatsApp como segundo toque, con quien ya respondió por mail o por LinkedIn y nos dio su número y su OK. Cómo se arma está en WhatsApp como canal de outbound B2B.

Multas y autoridad

La autoridad es la Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales.

Con el salario mínimo de 2026 ($1.750.905), 2.000 salarios son unos COP 3.502 millones, cerca de USD 1,09 millones a la TRM del 7 de octubre de 2026 ($3.216,01).

Un detalle: en su circular, la Delegatura de Datos de la SIC dice que el horario y la periodicidad, sin un problema de datos personales de por medio, "escapan de la órbita" de sus competencias. Quién sanciona un envío fuera de horario no está claro.

Checklist para outbound B2B en Colombia

Lo que pide la ley:

1. Una política de tratamiento publicada con lo que exige el Decreto 1377 (artículo 13): quién sos, para qué usás los datos, los derechos del titular y quién atiende los reclamos.
2. Una base para cada dato: dato público, dato corporativo de la empresa o autorización.
3. Cruzar la lista con el RNE antes de contactar, canal por canal.
4. Enviar solo de lunes a viernes de 7:00 a 19:00 y sábados de 8:00 a 15:00, hora de Colombia.
5. Una forma de darse de baja ágil y sencilla en cada mail.
6. Responder consultas en 10 días hábiles (prorrogables 5) y reclamos, incluida la supresión, en 15 (prorrogables 8), según los artículos 14 y 15.
7. Si sos una sociedad con activos de más de 100.000 UVT, inscribir tus bases en el Registro Nacional de Bases de Datos de la SIC (Decreto 1074, artículo 2.2.2.26.1.2).

Lo que haríamos además (nuestra lectura, no la letra de la ley): 8. Escribir a direcciones corporativas, nunca a celulares o correos personales de una base comprada. 9. Guardar la fuente y la fecha de cada lead. 10. Un toque por día como máximo y, una vez que hubo contacto directo, no mezclar canales en la misma semana. 11. Una sola lista de exclusión para mail, LinkedIn y WhatsApp. 12. WhatsApp solo con quien ya respondió en otro canal y te dio su número y su OK.

Si una campaña falla y no sabés en qué etapa, en por qué una campaña de outbound no funciona están las 9 etapas. El método para escribir el mail está en prospección comercial B2B, y para el mercado local, generación de leads B2B en Colombia.

Preguntas frecuentes

¿Necesito autorización para mandar un cold email B2B en Colombia? Para datos personales, la Ley 1581 la pide previa, salvo excepciones como los datos públicos (el cargo de alguien). Según la SIC, tampoco la necesitan los datos corporativos de la empresa, aunque ese concepto no es obligatorio.

¿El correo corporativo de una persona es dato personal? Un correo genérico (contacto@, ventas@) no, según la SIC. Un nombre.apellido@empresa.co es zona gris. Lo trataríamos con cuidado: escribirle por su cargo y darle de baja al primer pedido.

¿La Ley Dejen de Fregar aplica a los correos B2B? No está claro: habla de "consumidor comercial" sin definirlo. Cumplir el horario y la baja cuesta poco, así que lo haríamos siempre.

¿Puedo escribir en frío por WhatsApp? La política de WhatsApp lo prohíbe, y además el RNE cubre las apps de mensajería. Lo usaríamos solo con quien ya respondió por otro canal.

¿Puedo usar una base de datos comprada? Solo si sabés de dónde salió cada dato y que quien te la vende podía cedértela. Los celulares y correos personales necesitan autorización.

---

Las mismas preguntas para el resto de la región: cold email en Chile, en Argentina y en México.

Operamos outbound para empresas B2B en toda LatAm, Colombia incluida. Si querés armar tu outbound a Colombia con el horario, el RNE y la baja resueltos desde el primer envío, te dejo mi calendario: calendly.com/zalesmachine/nick.

Textos verificados el 7 de octubre de 2026 en Función Pública (Ley 1581, Ley 2300, Decreto 1377, Decreto 1074), la Secretaría del Senado (Ley 1480 y Ley 1266), la SIC (concepto 23-571469 y Circular Externa 001 de 2024), la CRC (ABC del RNE y concepto de mayo de 2024) y la política de WhatsApp Business. No es asesoramiento legal.