REPÚBLICA DE COLOMBIA

CORTE CONSTITUCIONAL

-Sala Cuarta de Revisión-

 

Sentencia T-208 de 2026

 

Referencia: expediente T-11.797.502

 

Asunto: acción de tutela presentada por Victoria María del Castillo Mulgannon contra el Ministerio de Relaciones Exteriores y la Registraduría Nacional del Estado Civil

 

Tema: derecho al habeas data. Exigencia de toma de datos biométricos para los trámites de expedición y renovación de pasaporte

 

Magistrado ponente:

Juan Carlos Cortés González

 

Bogotá D.C., catorce (14) de julio de dos mil veintiséis (2026)

 

La Sala Cuarta de Revisión de la Corte Constitucional, integrada por la magistrada Lina Marcela Escobar Martínez y los magistrados Vladimir Fernández Andrade y Juan Carlos Cortés González, quien la preside, en ejercicio de sus competencias constitucionales y legales, profiere la presente

 

SENTENCIA

 

En el trámite de revisión de los fallos de tutela dictados, en primera instancia, por el Juzgado 11 Civil del Circuito de Bogotá, el 28 de octubre de 2025 y, en segunda instancia, por la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá, el 12 de noviembre de 2025, con ocasión de la solicitud de amparo promovida por Victoria María del Castillo Mulgannon en contra de la Registraduría Nacional del Estado Civil y del Ministerio de Relaciones Exteriores.

SÍNTESIS DE LA DECISIÓN

 

 

I. ANTECEDENTES

 

1. Hechos[1]

 

1. Victoria María del Castillo Mulgannon indicó que es nacional colombiana. Afirmó que acudió al Ministerio de Relaciones Exteriores con el fin de adelantar los trámites necesarios para la “renovación/expedición” de su pasaporte[2]. Relató que “habl[ó] con un (...) funcionario de la [C]ancillería para iniciar el trámite, lista a cumplir con los requisitos de cita y pago”.

 

2. Sin embargo, de acuerdo con el escrito de tutela, el 25 de septiembre de 2025, la entidad accionada “negó” su solicitud bajo el argumento de que era necesaria la actualización de sus datos, en particular la realización del registro biométrico[3] de su rostro. A juicio de la accionante este requisito constituye un obstáculo injustificado y una exigencia desproporcionada e innecesaria, dado que su información reposa en las bases de datos de la Registraduría Nacional del Estado Civil y del Ministerio de Relaciones Exteriores.

 

3. La accionante manifestó que la exigencia del registro biométrico: (i) vulnera su derecho fundamental a la intimidad, al libre desarrollo de la personalidad y a la libre circulación; (ii) le genera un perjuicio irremediable, pues requiere el pasaporte para atender asuntos familiares y de salud; (iii) constituye un registro e incautación de datos irrazonable, al tratar a todos los ciudadanos como “sujetos de sospecha”; (iv) facilita la “vigilancia masiva y rastreo permanente” de las personas, lo que, además, vulnera sus derechos a la privacidad y al debido proceso; y (v) expone a los ciudadanos a riesgos por el uso indebido de datos y al robo de identidad.

 

2. Fundamentos de la acción de tutela

 

4. Acción de tutela[4]. El 17 de octubre de 2025, Victoria María del Castillo Mulgannon, actuando en nombre propio, promovió acción de tutela en contra del Ministerio de Relaciones Exteriores y de la Registraduría Nacional del Estado Civil, por la presunta vulneración de sus derechos fundamentales a la dignidad humana, intimidad, habeas data, libre desarrollo de la personalidad, libre circulación y debido proceso. Esto, como consecuencia de la negativa de esa cartera de expedir su pasaporte tras su oposición a la toma de datos biométricos.

 

5. Pretensiones. La actora solicitó que: (i) se protejan sus derechos fundamentales; (ii) en el término de 48 horas se ordene al Ministerio de Relaciones Exteriores expedir o renovar su pasaporte utilizando la información que ya reposa en las bases de datos de las accionadas o en las demás instituciones estatales, sin imponer requisitos desproporcionados; y que (iii) se ordene al referido ministerio abstenerse de exigir documentación o información que resulte innecesaria o excesiva para la expedición de pasaportes.

 

3. Trámite de la acción de tutela.

 

6. Admisión de la tutela. El 17 de octubre de 2025[5], el Juzgado 11 Civil del Circuito de Bogotá admitió la acción de tutela y ordenó notificar a la parte accionada.

 

7. Respuestas de las partes y entidades vinculadas. A continuación, la Sala presenta una síntesis de las respuestas emitidas por las partes:

 

Tabla 1. Respuestas obtenidas por el juez de primera instancia en el trámite de la acción de tutela

 

4. Decisiones judiciales objeto de revisión

 

8. Decisión de primera instancia[10]. El 28 de octubre de 2025, el Juzgado 11 Civil del Circuito de Bogotá negó el amparo[11]. La providencia explicó que la recolección de datos biométricos constituye una exigencia proporcional de verificación de identidad dentro del trámite de expedición del pasaporte[12]. Dicho requisito persigue fines constitucionalmente legítimos, tales como la identificación del solicitante, la prevención del fraude y la seguridad nacional. En el caso concreto, concluyó que la accionante no demostró un perjuicio irremediable, no presentó una petición previa ante el ministerio ni agotó los mecanismos administrativos disponibles.

 

9. Impugnación[13]. La accionante impugnó la decisión y manifestó que el juez de primera instancia no valoró adecuadamente las pruebas ni los principios constitucionales. Reiteró los hechos que sustentaron la acción de tutela y señaló que se vulneraron sus derechos fundamentales a la privacidad, habeas data, dignidad humana y libre circulación por el requerimiento de datos biométricos. Expuso que tal exigencia constituye una recolección de datos excesiva e innecesaria, pues el Estado cuenta con su información biométrica. Además, sostuvo que la medida no cumple con los principios de necesidad y proporcionalidad[14].

 

10. Decisión de segunda instancia^[15]. El 12 de noviembre de 2025, la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá confirmó el fallo de primera instancia. El Tribunal consideró que la exigencia de toma de datos biométricos no vulneró las garantías fundamentales de la accionante, al estar ajustada a la normativa aplicable. Además, señaló que existen otros mecanismos judiciales disponibles para controvertir dicha exigencia. Asimismo, consideró que la actora no aportó pruebas sobre la asignación de cita para la renovación del pasaporte, ni existe registro alguno del trámite.

 

5. Actuaciones en sede de revisión ante la Corte Constitucional

 

11. Selección y reparto^[16]. El 26 de febrero de 2026, la Sala de Selección de Tutelas Número Dos de la Corte Constitucional seleccionó el asunto de la referencia[17] y, por sorteo, lo asignó a la Sala Cuarta de Revisión. El 12 de marzo siguiente[18], la Secretaría General de esta Corporación remitió el expediente al despacho del magistrado sustanciador.

 

12. Autos de pruebas[19]. Mediante autos del 20 de marzo, 21 de abril y 5 de mayo de 2026[20], el magistrado ponente decretó la práctica de pruebas. Para el efecto, ofició a la parte accionante y a las accionadas con el propósito de (i) recaudar mayores elementos de juicio sobre el estado actual de la solicitud de renovación o expedición del pasaporte de la accionante; (ii) verificar la existencia de la solicitud de renovación o expedición del pasaporte referida por la actora y, en particular, para (iii) obtener información sobre aspectos relacionados con la recolección y el tratamiento de datos biométricos.

 

13. Respuestas a los autos de decreto de pruebas. A continuación, la Sala sintetiza las respuestas obtenidas dentro del trámite de revisión.

 

Tabla 2. Respuestas recibidas durante el trámite de revisión[21]

 

14. Una vez recibidas las pruebas, la Secretaría de la Corte Constitucional  corrió traslado de aquellas a las partes[29]. Asimismo, la Sala advierte que la accionante no respondió al auto de pruebas proferido en sede de revisión, pese a haber sido requerida para el efecto[30].

 

II. CONSIDERACIONES

 

1. Competencia

 

15. La Sala Cuarta de Revisión de la Corte Constitucional es competente para revisar las sentencias proferidas dentro del proceso de tutela de la referencia, de conformidad con lo dispuesto en los artículos 86 y 241.9 de la Constitución y 31 a 36 del Decreto 2591 de 1991.

 

2. Análisis sobre la procedencia de la acción de tutela

 

16. La Sala Cuarta de Revisión considera que la presente acción de tutela cumple con la totalidad de los requisitos de procedencia, como pasa a exponerse.   

 

17. La acción de tutela cumple con el requisito de legitimación en la causa por activa^[31]. En este caso, la Sala considera satisfecho este presupuesto por cuanto la accionante es la titular de los derechos fundamentales alegados. En efecto, la solicitud de amparo fue promovida por Victoria María del Castillo Mulgannon, en nombre propio.

 

18. La acción de tutela satisface el requisito de legitimación en la causa por pasiva^[32]. La solicitud de amparo se dirigió en contra de la Registraduría Nacional del Estado Civil y el Ministerio de Relaciones Exteriores. En consecuencia, se procederá con el estudio del requisito respecto de las accionadas.

 

Tabla 3. Análisis del requisito de legitimación por pasiva

 

19. La acción de tutela cumple con el requisito de inmediatez. La inmediatez como requisito de procedibilidad implica que la acción de tutela debe ser presentada dentro de un plazo razonable, contabilizado a partir del momento en que se generó la vulneración o amenaza del derecho fundamental, de forma que el amparo responda a la exigencia constitucional de ser un instrumento de aplicación inmediata y urgente.

 

20. En el caso bajo estudio, de acuerdo con lo manifestado por la actora, el 25 de septiembre de 2025 el Ministerio de Relaciones Exteriores “negó” su solicitud de expedición de pasaporte bajo el argumento de que era necesaria la actualización de sus datos, en particular, el registro biométrico de su rostro. Posteriormente, el 17 de octubre de 2025, la accionante acudió a la acción de tutela para solicitar la protección de sus derechos fundamentales. Así, la Sala encuentra acreditado el requisito de inmediatez, pues entre el presunto hecho vulnerador de los derechos de la accionante y la solicitud de amparo tan solo transcurrieron 22 días, lo que se considera un término razonable.

 

21. La acción de tutela satisface el requisito de subsidiariedad. Los artículos 86 de la Constitución y 6° del Decreto 2591 de 1991 disponen que la acción de tutela es un mecanismo residual y subsidiario, es decir, que sólo se puede utilizar cuando no exista otro medio de defensa judicial disponible en el ordenamiento jurídico. En este sentido, la acción de tutela es procedente (i) de forma definitiva, si no existen medios judiciales de protección que sean idóneos y eficaces para resolver el asunto sometido a consideración del juez y (ii) de forma transitoria en el caso en que la persona disponga de dichos medios, pero exista la posibilidad de que se configure un perjuicio irremediable. En este caso, la protección se extenderá hasta tanto se produzca una decisión definitiva por parte del juez ordinario. Por el contrario, la acción de tutela será improcedente cuando exista un mecanismo de defensa judicial idóneo y eficaz para resolver el problema jurídico sometido a decisión y no exista el riesgo de que opere un perjuicio irremediable respecto de los derechos alegados.

 

22. Asimismo, es pertinente recordar que, de conformidad con el artículo 6 del Decreto 2591 de 1991[45] y la jurisprudencia reiterada de esta Corporación^[46], la aptitud del mecanismo ordinario de defensa no se valora en abstracto, sino que debe analizarse en cada caso concreto, en consideración a las características procesales del mecanismo, a las circunstancias particulares del accionante y al derecho fundamental comprometido. En este sentido, la Corte Constitucional ha señalado que el medio ordinario de defensa “es idóneo si es materialmente apto para producir el efecto protector de los derechos fundamentales, y eficaz si permite brindar una protección oportuna a los derechos amenazados o vulnerados”[47].

 

23. En el caso concreto, la Sala considera que la acción cumple con el requisito de subsidiariedad porque los mecanismos ante la jurisdicción de lo contencioso administrativo no resultan idóneos ni eficaces, por las razones que se explican enseguida.

 

24. En primer lugar, el debate se centra en la exigencia de toma de datos biométricos para expedir o renovar el pasaporte. Dicha exigencia está contenida en un acto administrativo general[48] por lo que, en principio, la accionante tendría la posibilidad de acudir al medio de control de nulidad previsto en el artículo 137 del CPACA. Sin embargo, el reproche de la actora no recae directa ni indirectamente sobre tales resoluciones, por lo que el mecanismo mencionado carece de idoneidad para resolver la controversia planteada. Así, aquella no formuló un cuestionamiento general sobre la validez o la legalidad de los actos administrativos que regulan la captura de los datos biométricos[49]. De hecho, ni siquiera invocó ni mencionó las resoluciones que establecen la toma de datos biométricos en su escrito de tutela. Su pretensión se circunscribe a que, en su caso, se le permita la expedición del pasaporte sin la recolección de tales datos[50].

 

25. De este modo, la actora pone de presente una situación particular que, si bien podría estar mediada por la aplicación de un acto administrativo de alcance general, no comporta un reproche sobre la legalidad o validez de este. Aunado a lo anterior, el mecanismo en mención exige la configuración de alguna de las causales taxativas previstas por la ley. Sin embargo, los argumentos de la actora se refieren a su situación personal y concreta[51], lo que se opone al carácter abstracto y general del medio de control de nulidad.

 

26. De igual manera, el mecanismo referido tampoco resulta eficaz para satisfacer la pretensión de la accionante. En efecto, la eventual declaratoria de nulidad del acto administrativo que establece la toma de datos biométricos como etapa del procedimiento no se traduciría, por sí misma, en la expedición del pasaporte sin la captura de tales datos, que es el propósito perseguido por la accionante. De este modo, aun cuando se dejara sin efectos la disposición administrativa, ello no garantizaría la protección concreta que la accionante reclama, lo que evidencia la ausencia de eficacia del mecanismo para amparar el derecho invocado. Por lo tanto, dicha herramienta procesal no constituye un escenario apto para debatir la aplicación al caso concreto de un requisito contenido en un acto administrativo general, particularmente cuando no se controvierte su legalidad.

 

27. En suma, para la Sala, la presente acción no se dirige a cuestionar los actos administrativos que sustentan la exigencia de toma de datos biométricos para la obtención del pasaporte. En realidad, la actora pretende que se le expida o se le renueve dicho documento sin que se capturen estos datos, bajo la premisa de que ellos se encuentran en las bases de datos de la Registraduría.

 

28. En segundo lugar, el medio de control de nulidad y restablecimiento del derecho tampoco resulta idóneo en el caso concreto. En este sentido, el inicio del trámite de expedición del pasaporte no se materializa en un documento o acto administrativo, ni se genera ningún tipo de soporte o trazabilidad, en caso de que el usuario no autorice el tratamiento de sus datos sensibles[52]. En consecuencia, la accionante no podría demandar o controvertir, en principio, este hecho ante la jurisdicción de lo contencioso administrativo, así como tampoco podría agotar ningún procedimiento adicional para solicitar la expedición de su pasaporte, en la medida en que no cuenta con una manifestación expresa del Ministerio de Relaciones Exteriores que descarte la expedición del pasaporte o siquiera una respuesta que pueda considerarse como acto administrativo presunto, pues no surgiría una omisión respecto de una decisión administrativa ni quedaría ninguna respuesta pendiente por parte de la entidad.

 

29. Al respecto, la Sala precisa que, si bien no se acreditó que la accionante hubiera formulado una solicitud formal ante el Ministerio de Relaciones Exteriores –por ejemplo, una petición en ejercicio del derecho fundamental previsto en el artículo 23 superior–, lo cierto es que el trámite de expedición o renovación del pasaporte no exige el agotamiento de esa clase de formalidad para su iniciación[53]. En consecuencia, los mecanismos dispuestos para controvertir la legalidad de los actos administrativos carecen de idoneidad y de eficacia para el propósito que persigue la actora. En este caso, la imposibilidad de continuar con el trámite de expedición o cambio del pasaporte debido a la decisión de la accionante de no autorizar el tratamiento de los datos personales no se materializa en una decisión susceptible de control por la jurisdicción de lo contencioso administrativo[54].

 

30. En suma, en el presente asunto no se configura un acto administrativo —expreso ni presunto— que habilite la procedencia del medio de control de nulidad y restablecimiento del derecho. De un lado, no existe un acto administrativo expreso pues, según lo informó el Ministerio de Relaciones Exteriores, cuando el titular no autoriza el tratamiento de sus datos biométricos el sistema no almacena la solicitud y no se produce una decisión que resuelva sobre la expedición del documento. De otro, tampoco se configura un acto administrativo presunto, pues no se presentó una petición que, una vez vencidos los términos legales, diera lugar al silencio administrativo. Por consiguiente, ante la inexistencia de un acto administrativo de carácter particular el mecanismo judicial referido carece de idoneidad y de eficacia.

 

31. En tercer lugar, la Sala advierte que los mecanismos previstos en la legislación estatutaria sobre protección de datos carecen igualmente de idoneidad. De una parte, dichos mecanismos no constituyen medios de defensa de naturaleza judicial[55], de modo que carecen de la aptitud para desplazar a la acción de tutela. De otra, es pertinente anotar que, en el presente asunto, se discute si la exigencia de toma de datos biométricos para la expedición o renovación del pasaporte desconoce derechos fundamentales como el habeas data y la intimidad personal. En este sentido, los mecanismos administrativos establecidos en la Ley Estatutaria de Protección de Datos, esto es, la consulta y el reclamo, no se encuentran previstos para aquellos casos en los que se solicita la expedición de un documento haciendo uso de datos biométricos previamente registrados, ni para aquellos en los que se controvierte la toma de datos biométricos en el trámite de un pasaporte colombiano.

 

32. Por un lado, a través del primer mecanismo, el titular puede consultar su información en cualquier base de datos y la entidad deberá responder en un término máximo de 10 días. En caso de no poder atender la consulta en dicho plazo, el responsable indicará al titular tal situación y la fecha en que se dará respuesta, lo cual no podrá superar cinco días hábiles siguientes al vencimiento del primer término^[56]. Por otro lado, mediante el reclamo, el titular puede solicitar la corrección, actualización o supresión de sus datos o reclamar por incumplimiento de la ley, trámite que debe resolverse en un término de 15 días desde su recepción; de no ser posible, el responsable debe informar la demora y fijar una nueva fecha, que no puede exceder ocho días hábiles adicionales[57].

 

33. En este orden de ideas, se concluye que la accionante no contaba con un mecanismo específico que le permitiera controvertir la exigencia de toma de datos biométricos para la expedición o renovación de su pasaporte, en la medida en que la consulta y el reclamo resultan insuficientes para cuestionar la exigencia sobre la recolección de datos biométricos o para oponerse a su tratamiento dentro del trámite de pasaporte, además de que no se trata de medios judiciales. Por lo tanto, la Sala concluye que, en el presente caso, no existe un medio idóneo ni eficaz para garantizar lo pretendido por la accionante, esto es, la expedición de su pasaporte sin que se le exija la toma de sus datos biométricos.

34. En conclusión, el medio de control de nulidad carece de idoneidad, pues la accionante no formula un reproche general sobre la legalidad del acto administrativo, sino sobre su aplicación a su situación particular, y la eventual declaratoria de nulidad no garantizaría la protección concreta pretendida. Adicionalmente, no existe un acto administrativo expreso ni presunto que la accionante pueda controvertir, por lo que el medio de control de nulidad y restablecimiento del derecho tampoco resulta idóneo. Los medios administrativos dispuestos en la legislación estatutaria tampoco son idóneos. Por ende, la Sala estima que la acción de tutela satisface el requisito de subsidiariedad.

 

3. Delimitación del caso, planteamiento del problema jurídico y metodología de decisión  

 

35. Delimitación del caso. De acuerdo con los hechos y la argumentación expuesta por la accionante, la exigencia sobre la toma o actualización de sus datos biométricos para la “expedición/renovación”[58] de su pasaporte vulnera sus derechos fundamentales a la dignidad humana, intimidad, habeas data, libre desarrollo de la personalidad, libre circulación y debido proceso.

 

36. Ahora bien, la Sala considera pertinente resaltar que ni en sede de instancia ni durante el trámite de revisión, la accionante aportó prueba alguna que permita sustentar sus manifestaciones referentes a que la falta de expedición o renovación del pasaporte le ocasionaba “un perjuicio irremediable, pues necesito viajar por motivos de familia/salud urgentes y me impide ejercer mi derecho al libre desarrollo de la personalidad y libre circulación”[59]. En este sentido, cabe destacar que la actora no atendió los requerimientos formulados por el magistrado sustanciador ni aportó elementos probatorios que permitieran sustentar sus afirmaciones.

 

37. En contraste, el Ministerio de Relaciones Exteriores sostuvo que:

 

“según manifiesta la usuaria, se negó a realizar la autorización de tratamiento de datos a través del proceso de validación biométrica en el Sistema Integral de Trámites al Ciudadano (SITAC), dicho sistema no guardó la solicitud. Por tal motivo, no existe registro de una solicitud presentada el 25 de septiembre de 2025. En consecuencia, el Ministerio de Relaciones Exteriores no negó la expedición o renovación del pasaporte: el trámite no pudo continuar ante la ausencia de la autorización de tratamiento de datos, que constituye un requisito previo e indispensable para el almacenamiento de la solicitud en el sistema”[60].

 

38. En consecuencia, la Sala estima que no hay evidencia suficiente que permita verificar, siquiera de manera preliminar, la presunta vulneración de los derechos fundamentales a la dignidad humana, al libre desarrollo de la personalidad, a la libre circulación y debido proceso. Tampoco se acreditó la existencia de riesgos respecto de la vigilancia, uso o tratamiento indebido de sus datos personales.

 

39. Adicionalmente, la Sala estima necesario precisar que, si bien la accionante invocó la vulneración de otros derechos fundamentales, el sustento de su solicitud recae principalmente en la posible afectación de los derechos a la intimidad y al habeas data. En efecto, el reproche central de la actora consiste en que la exigencia de tomar nuevamente sus datos biométricos resulta excesiva e innecesaria, por cuanto, a su juicio, dicha información ya reposa en las bases de datos de las entidades estatales. Tal cuestionamiento se inscribe, por su naturaleza, en el ámbito de protección del dato personal y de la autodeterminación informativa, esto es, en el núcleo del derecho al habeas data y en su estrecha relación con la intimidad. En este sentido, la delimitación del problema jurídico a estos últimos derechos responde a la identificación del verdadero contenido de la controversia, conforme a la facultad de la Sala para interpretar el alcance de su pronunciamiento[61]. La vulneración de los derechos a la dignidad humana, el libre desarrollo de la personalidad, la libre circulación, la privacidad y el debido proceso, tiene como causa la exigencia de la toma de datos biométricos para renovar el pasaporte, por lo que se trata de una vulneración consecuencial respecto del desconocimiento de los derechos al habeas data y a la intimidad.

 

40. De conformidad con lo anterior, se encuentra probado a partir de la manifestación de la accionante en su escrito de tutela —que no fue desvirtuada y se presume de buena fe— y de la respuesta suministrada por el Ministerio de Relaciones Exteriores, que aquella inició el proceso para la renovación de su pasaporte pero, al negarse a autorizar el tratamiento de datos a través del proceso de validación biométrica en el Sistema Integral de Trámites al Ciudadano (SITAC), dicho trámite no pudo continuar y su solicitud no quedó registrada.

 

41. En virtud de lo expuesto, la Sala en ejercicio de su facultad para interpretar la acción, precisar los hechos y los derechos fundamentales invocados[62], circunscribirá el análisis del caso a (i) la proporcionalidad de la toma de datos biométricos para la expedición o renovación del pasaporte y (ii) la presunta vulneración de los derechos al habeas data y a la intimidad por parte del Ministerio de Relaciones Exteriores y la Registraduría Nacional del Estado Civil.

 

42. Lo anterior además se justifica en que la pretensión principal de la acción de tutela consiste en que el Ministerio de Relaciones Exteriores expida el pasaporte sin solicitar nuevamente los datos biométricos que, según la actora, fueron previamente recolectados. En este contexto, el magistrado sustanciador ofició a las entidades accionadas dentro del trámite de revisión para que informaran cuál era la justificación o fundamento normativo para una actualización de datos biométricos y si contaban con un protocolo para el tratamiento, almacenamiento y protección de datos sensibles, como los biométricos, cuál era el tiempo de conservación de dichos datos y el sustento constitucional o legal de su actualización.

 

43. En respuesta a dicho requerimiento, el citado ministerio señaló que: (i) la actualización de datos biométricos encuentra su fundamento normativo en la Resolución 6888 de 2021 y tiene como propósito verificar la identidad del solicitante, prevenir la suplantación de identidad y garantizar la correspondencia entre el ciudadano y el documento expedido; (ii) respecto al protocolo para el tratamiento de datos señaló que “[e]n relación con la vigencia y conservación de los datos biométricos, actualmente: no existe una política de retención explícita configurada en el sistema que establezca automáticamente el tiempo de conservación de la información biométrica. En la práctica, los datos biométricos se conservan de forma indefinida, tanto en la base de datos como en el sistema de archivos del aplicativo”[63]. Asimismo, precisó que “no cuenta con un procedimiento alternativo que permita adelantar el trámite sin la captura de datos biométricos, por cuanto dicho requisito se encuentra expresamente previsto en la normatividad que regula la materia”[64].

 

44. A su turno, la Registraduría Nacional del Estado Civil sostuvo que el tratamiento de datos personales que realiza no requiere autorización previa del titular, por cuanto se enmarca en el ejercicio de funciones misionales con respaldo constitucional directo en los artículos 120 y 266 de la Carta, lo que activa la excepción prevista en la Ley Estatutaria 1581 de 2012 para el tratamiento de datos por autoridades públicas. Precisó que los datos biométricos y biográficos se conservan indefinidamente, dado que resultan indispensables para el ejercicio de derechos fundamentales como la identificación, la personalidad jurídica y el sufragio. Resaltó que la actualización biométrica no obedece a una periodicidad obligatoria general. Finalmente, subrayó que, si bien las bases de datos de dicha entidad tienen naturaleza pública, su acceso es restringido y controlado.

 

45. Así las cosas, la Sala estima necesario verificar si la exigencia de toma de datos biométricos para la expedición o renovación del pasaporte[65] resulta una medida proporcional, necesaria y no vulnera los derechos fundamentales al habeas data y a la intimidad de la accionante. En consonancia con lo anterior, se debe determinar si existe alguna omisión por parte del Ministerio de Relaciones Exteriores o de la Registraduría Nacional del Estado Civil que constituya una afectación a los derechos fundamentales mencionados. Lo anterior, por cuanto se advierte una incongruencia en el tratamiento de datos de sus usuarios, derivada de la contradicción entre la exigencia de actualizar los datos biométricos y la ausencia de una política clara de conservación de estos, en el caso del Ministerio de Relaciones Exteriores. Esto resulta relevante dado que el principio de temporalidad y la caducidad del dato constituyen garantías fundamentales derivadas del derecho a la intimidad, al habeas data y a la protección de datos personales.

 

46. Planteamiento del problema jurídico. Una vez determinada la procedencia de la presente acción y definido el alcance de la litis, le corresponde a la Sala Cuarta de Revisión de la Corte Constitucional resolver el siguiente problema jurídico: ¿La exigencia de toma de datos biométricos para la expedición o renovación del pasaporte por parte del Ministerio de Relaciones Exteriores y la presunta omisión de la Registraduría Nacional del Estado Civil de suministrar la información de sus bases de datos para evitar que se deba realizar una nueva recolección de datos biométricos desconocen los derechos fundamentales al habeas data y a la intimidad de la accionante?

 

47. Metodología de decisión. Para resolver el problema jurídico referido esta Sala (i) abordará el estudio del derecho al habeas data y los principios que rigen el tratamiento de datos personales. Seguidamente, (ii) examinará el marco normativo aplicable a datos biométricos en el contexto de expedición de pasaportes y, a partir de esto, las obligaciones del Ministerio de Relaciones Exteriores respecto del tratamiento de datos. Con base en el análisis anterior, procederá a (iii) resolver el caso concreto.

 

4. El derecho al habeas data y los principios que rigen el tratamiento de datos personales

 

48. El artículo 15 de la Constitución Política prevé el derecho al habeas data a través del cual toda persona puede conocer, actualizar y rectificar aquella información que se haya recogido sobre ella en bancos de datos y en archivos de entidades públicas y privadas. En virtud de lo anterior, los datos personales deben ser tratados con respeto de las libertades y garantías constitucionales. En cuanto al dato personal, la Ley Estatutaria 1581 de 2012[66] lo definió como “[c]ualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”.

 

49. De acuerdo con esta corporación, el habeas data es un derecho fundamental autónomo[67] que otorga al titular[68] de los datos personales la facultad de “exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en la posibilidad de divulgación, publicación o cesión de estos, conforme a los principios que informan el proceso de administración de bases de datos personales”[69].

 

50. En este mismo sentido, la jurisprudencia de la Corte Constitucional ha establecido que el núcleo esencial de la garantía fundamental del habeas data se encuentra conformado por unos contenidos mínimos, entre ellos: (i) el derecho a acceder a la información que se encuentra en bases de datos; (ii) el derecho a incluir nuevos datos, para efectos de completar la información del titular; (iii) el derecho a actualizar la información; (iv) el derecho a corregir la información; y (v) el derecho a suprimir o excluir información contenida en bases de datos[70].

 

51. Además, tanto la Ley Estatutaria 1581 de 2012 como la jurisprudencia de esta corporación, han establecido una serie de principios que deben prevalecer en el tratamiento de los datos, los cuales se describen a continuación.

 

Tabla 4. Principios rectores del tratamiento de datos personales

 

52. Este grupo de principios constituye el núcleo esencial del derecho al habeas data, en tanto establecen las condiciones, los límites y las garantías que deben observar los responsables y los encargados del tratamiento de los datos personales. En este sentido, el desconocimiento de uno de ellos no solo compromete la legalidad del tratamiento de los datos, sino que se configura la vulneración del derecho al habeas data.

 

53. Ahora bien, en el marco de este derecho y del dato personal, las normas que regulan la materia y esta Corporación han clasificado los datos personales, así: (i) en virtud del interés que recae sobre aquellos y (ii) según los límites para su acceso, esto es, atendiendo a la sensibilidad del dato o al riesgo que representa para el titular su uso[79].

 

Tabla 5. Clasificación de los datos[80]

 

54. Sobre este particular, la Sala precisa que la información biométrica constituye un dato sensible por expresa definición legal. En efecto, el artículo 5 de la Ley Estatutaria 1581 de 2012 incluyó los datos biométricos dentro de la categoría de datos sensibles, esto es, aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, definición que esta Corte declaró ajustada a la Constitución en la Sentencia C-748 de 2011. En este orden de ideas, teniendo en cuenta que en el presente asunto se debate el tratamiento de datos sensibles, en particular, los datos biométricos, la Sala considera necesario profundizar en el análisis del tratamiento de esta categoría de datos.

 

55. En relación con el tratamiento de datos sensibles, la Ley Estatutaria 1581 de 2012 establece que en principio está prohibido. Sin embargo, pueden ser tratados de manera excepcional cuando: (i) existe autorización expresa del titular, salvo en casos en los que el legislador disponga que dicha autorización no es necesaria[84]; (ii) sea necesario para proteger un interés vital del titular; (iii) se efectúe en el curso de actividades legítimas por parte de una fundación, ONG o un organismo sin ánimo de lucro; (iv) sea requerido en un proceso judicial; (v) el manejo tenga fines históricos, estadísticos, o científicos, siempre garantizando medidas de protección adecuadas tendientes a la supresión de la identidad de los titulares[85].  

 

56. Ahora bien, cuando sea posible el tratamiento de datos sensibles, el Decreto 1377 de 2013[86] dispone que el titular debe ser informado de que no está obligado a autorizar el tratamiento. Asimismo, se le debe comunicar de manera previa y explícita cuáles de los datos son sensibles, la finalidad del tratamiento y obtener su consentimiento expreso.

 

57. Al respecto, la Política de Tratamiento de Datos del Ministerio de Relaciones Exteriores prevé que el tratamiento de datos sensibles debe garantizar que (i) se tenga la declaración expresa e inequívoca del tratamiento; (ii) el titular sea informado de que no está obligado a autorizar el tratamiento, y que (iii) el titular conozca cuáles son los datos sensibles y cuál es la finalidad de su uso[87].

 

58. Igualmente, la Sala considera pertinente tener en cuenta algunas referencias sobre la regulación del tratamiento de datos biométricos a nivel internacional, particularmente en la Unión Europea. Por ejemplo, el artículo 10 de la Directiva (UE) 2016/680, relativa a la protección de datos personales por parte de autoridades para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o sanciones, dispone que los datos biométricos dirigidos a identificar de manera unívoca a una persona física hacen parte de los datos personales sensibles y solo pueden tratarse cuando sea estrictamente necesario.

 

59. En este ámbito, recientemente el Tribunal de Justicia de la Unión Europea, en Sentencia del 20 de noviembre de 2025, asunto C-57/23, estudió la compatibilidad de recogida y conservación de datos biométricos y genéticos (huellas dactilares, ADN) de personas investigadas o acusadas de delitos dolosos, por parte de fuerzas policiales. Se trata de un caso en el que, en 2015, la Policía checa investigó a un ciudadano por incumplimiento de deberes y, pese a su oposición, se tomaron sus datos biométricos y genéticos (huellas dactilares y muestra de saliva), los cuales fueron incorporados en las bases de datos de la policía. En 2022, el Tribunal Municipal de Praga ordenó eliminar los datos recolectados al considerar ilegal su obtención y conservación. La policía interpuso recurso de casación contra dicha decisión ante el Tribunal Supremo de lo Contencioso Administrativo. Este último tribunal, mediante resolución del 26 de enero de 2023, suspendió el procedimiento y planteó tres cuestiones prejudiciales al Tribunal de Justicia de la UE[88], relacionadas con la distinción entre interesados y minimización de datos, plazos y reglas de conservación y concepto de Estado miembro.

 

60. En términos generales, el Tribunal de Justicia de la Unión Europea concluyó que (i) todo tratamiento de datos realizado sin consentimiento del interesado debe ser efectuado en virtud de un fundamento legítimo previsto en la ley; (ii) el tratamiento de los datos sensibles debe ser el estrictamente necesario, lo cual debe apreciarse a la luz de los fines que se persiguen. En este sentido, debe demostrarse que el fin perseguido no puede alcanzarse con la misma eficiencia mediante otros medios menos invasivos o con otras categorías de datos[89]. (iii) No es obligatorio fijar plazos de conservación de datos sensibles siempre y cuando la normatividad nacional establezca la obligación de controles periódicos para determinar la necesidad de conservar los datos o prolongar su conservación.

 

61. Finalmente, que (iv) la necesidad de conservación de datos sensibles sea evaluada por autoridades policiales no es contraria a la Directiva 2016/680, siempre que se cumpla con el requisito de estricta necesidad en lo que respecta a conservar ese tipo de datos, lo que exige valorar los riesgos para los derechos de los titulares y la importancia de la finalidad que se busca. En particular, debe analizarse si el tratamiento responde a objetivos específicos, como la prevención o persecución de infracciones o amenazas a la seguridad pública, así como considerar “las circunstancias concretas en que se efectúa el tratamiento”[90].

 

62. En este orden de ideas, resulta relevante destacar cómo la jurisprudencia europea en materia de tratamiento de datos sensibles por parte de autoridades o entidades estatales, ha sostenido que el tratamiento de datos sensibles puede ser compatible con las normas de protección de datos personales, siempre y cuando exista una justificación o un fin claro y determinado, se acredite su necesidad y la proporcionalidad de la medida y, en ausencia de una norma específica que regule el periodo de conservación, se establezcan mecanismos de control o revisión periódica sobre la permanencia de dicha información.

 

5. Marco normativo aplicable a datos biométricos en el contexto de expedición de pasaportes

 

63. En 1947 el Estado colombiano se adhirió al Convenio sobre la Aviación Civil Internacional de la Organización de Aviación Civil Internacional (OACI), ratificado mediante la Ley 12 del mismo año. Dicho instrumento establece que toda persona que ingrese o salga de un país debe cumplir con las normas migratorias de dicho Estado[91]. En este sentido, los Estados se encuentran facultados para establecer las medidas de control de ingreso y salida de personas de su territorio.

 

64. En concordancia con lo anterior, el artículo 24 de la Constitución dispone que todo colombiano tiene derecho, dentro de los límites que establezca la ley, a desplazarse libremente por el territorio nacional, ingresar y salir del país. Asimismo, la Ley 2136 de 2021[92] reconoce el derecho de los nacionales colombianos a obtener su pasaporte, tanto en el territorio nacional como en el exterior[93]. Con todo, el artículo 57 de dicha normativa supedita el ejercicio de ese derecho al cumplimiento de las disposiciones que regulan la materia. Por lo tanto, la expedición o el cambio del pasaporte se sujeta al acatamiento de las normas que regulan estos procedimientos.

 

65. Al respecto, la OACI ha establecido algunos parámetros para la expedición de documentos de viaje. En particular, el Documento 9957[94] dispone que los Estados pueden implementar mecanismos tecnológicos de verificación de identidad, incluidos pasaportes de lectura mecánica y datos biométricos, lo cual “[aumenta] la seguridad de la aviación y la protección contra la usurpación de identidad”[95] y ayuda al control fronterizo.

 

66. De acuerdo con el Documento 9957, los pasaportes con datos biométricos deben cumplir con las especificaciones técnicas establecidas en el Documento 9303[96]. En términos generales, dicho documento técnico establece que los pasaportes deben incorporar medidas de seguridad y elementos tecnológicos que permitan verificar la identidad del titular y la autenticidad del documento. Los documentos de viaje pueden incluir elementos biométricos de verificación mecánica como “perfil del iris, huella digital o rasgos faciales”[97], que “establezca[n] un vínculo entre el documento y su titular legítimo”[98] para protegerlos contra imitaciones fraudulentas, falsificaciones y otras formas de alteración.

 

67. En esta misma línea, el ordenamiento jurídico colombiano ha establecido que el Ministerio de Relaciones Exteriores, como órgano rector del Sector Administrativo de Relaciones Exteriores[99], tiene a su cargo, entre otras funciones, reglamentar “todo lo concerniente a las clases de pasaportes, a los requisitos para la expedición de los documentos de viaje y a los demás trámites y procedimientos relacionados con la materia”[100], así como dirigir y coordinar su expedición[101].

 

68. En desarrollo de dichas competencias, el referido ministerio a través de la Resolución 6888 de 2021, modificada por la Resolución 10829 de 2024, reglamentó el procedimiento administrativo para la expedición, renovación y la entrega de pasaportes, tal como se expondrá a continuación.

 

Tabla 6. Aspectos generales y principales características de los pasaportes[102]

 

6. Obligaciones del Ministerio de Relaciones Exteriores respecto del tratamiento de datos

 

69. Esta Corporación ha reconocido que “el Estado tiene la obligación de garantizar la materialización de los derechos fundamentales y para ello resulta necesario que la administración cumpla con los preceptos establecidos en la Constitución”[105]. En este mismo sentido, ha recordado que las autoridades administrativas deben garantizar la efectividad de los derechos fundamentales y actuar conforme a los principios constitucionales.

 

70. En esta línea, de acuerdo con el artículo 15 de la Carta Política previamente referido, una autoridad al manejar datos personales de terceros debe respetar los derechos y garantías previstos en la Constitución, en concreto, cuando se recolecta, usa, trata y almacena esa clase de información. Lo anterior implica que el tratamiento de los datos debe respetar los derechos, libertades y garantías constitucionales.

 

71. Asimismo, y de conformidad con las disposiciones de la Ley Estatutaria 1581 de 2012, el tratamiento de datos personales debe realizarse con plena observancia de los principios de legalidad, finalidad, libertad, veracidad o calidad, transparencia, acceso y circulación restringida, seguridad y confidencialidad, con especial cuidado del tratamiento de los datos sensibles, entre los cuales se encuentran los datos biométricos, cuyo uso indebido puede afectar la intimidad del titular y generar escenarios de discriminación.  

 

72. De igual forma, el tratamiento de tales datos debe sujetarse a los principios que la jurisprudencia constitucional ha reconocido como núcleo esencial del derecho al habeas data, entre ellos, los de necesidad, utilidad, incorporación, individualidad, temporalidad, caducidad del dato, integridad y responsabilidad demostrada.

 

73. En consecuencia, dado que el procedimiento de expedición de pasaporte implica la recolección y tratamiento de datos biométricos de los solicitantes, el Ministerio de Relaciones Exteriores, como responsable del tratamiento, debe ceñirse al marco constitucional, legal y jurisprudencial en materia de protección de datos.

 

7. Análisis del caso concreto

 

74. La accionante aseguró que acudió al Ministerio de Relaciones Exteriores con el fin de adelantar los trámites necesarios para la renovación de su pasaporte colombiano. No obstante, el 25 de septiembre de 2025, decidió no continuar con su solicitud debido a que se le informó que era necesaria la actualización de sus datos biométricos, particularmente, la captura biométrica de su rostro. Manifestó en el trámite de la acción que dicha exigencia constituía un obstáculo injustificado, desproporcionado e innecesario, dado que su información reposaba en las bases de datos de la Registraduría Nacional del Estado Civil y del Ministerio de Relaciones Exteriores. En consecuencia, solicitó el amparo de sus derechos fundamentales y pidió que se ordenara al aludido ministerio (i) expedir o renovar su pasaporte haciendo uso de la información que reposa en sus bases de datos o en bases de datos estatales; y (ii) abstenerse de exigir documentación o información innecesaria o excesiva para la realización de este trámite.

 

75. El Ministerio de Relaciones Exteriores señaló que, desde 2015, la accionante no solicitó la renovación o expedición de pasaporte, razón por la cual actualmente el estado del documento de la actora es “vencido”. Además, indicó que adelantar dicho trámite exige obligatoriamente la captura de datos biométricos, de acuerdo con la Resolución 6888 de 2021, con el fin de verificar la identidad de quien lo solicita y prevenir suplantaciones. En este sentido, precisó que los datos biométricos deben ser actualizados con cada nueva solicitud y que los datos de la actora correspondientes al último pasaporte expedido (2015) no pueden utilizarse para el efecto, dado que esta modalidad solo aplica para las personas que tuvieron una autenticación biométrica con pasaportes expedidos desde noviembre de 2017 (fecha en que entró en vigor un convenio con la Registraduría que permite verificar la identidad mediante el cotejo de huellas dactilares).

 

76. El citado ministerio indicó que el tratamiento de datos para la expedición o renovación del pasaporte requiere autorización expresa del titular, sin la cual el proceso no puede continuar. También precisó que los datos biométricos se protegen bajo la Ley 1581 de 2012, aunque no existe una política definida de conservación de aquellos y en la práctica se mantienen de manera indefinida. Sostuvo que no negó la expedición ni la renovación del pasaporte de la actora, sino que el trámite no avanzó porque no se autorizó el tratamiento de datos por la solicitante, requisito necesario para continuar con el trámite. Aseveró que la exigencia de toma de datos biométricos para la expedición de pasaporte responde a normas nacionales e internacionales, previstas en la regulación de la OACI, así como en la Resolución 6888 de 2021, modificada por la Resolución 10829 de 2024. Asimismo, señaló que la captura de datos biométricos es obligatoria para cada solicitud (sea de expedición o de cambio del pasaporte) con el fin de verificar la identidad del solicitante y prevenir su suplantación.

 

77. A su turno, la Registraduría Nacional del Estado Civil precisó que las entidades públicas y privadas pueden consultar sus bases de datos de información biométrica, siempre que se suscriban los convenios regulados mediante la Resolución 27145 de 2023, bajo un esquema de acceso restringido y controlado. Respecto al Ministerio de Relaciones Exteriores, aclaró que no existe un “cruce de información” sino un proceso de validación de identidad regulado por el Convenio Interadministrativo No. 075 de 2018, el cual habilita al Ministerio de Relaciones Exteriores para consultar la base de datos biométrica exclusivamente en el marco de la expedición y renovación de pasaportes; en ese contexto, dicha entidad obtuvo aprobación como Operador de Autenticación de Identidad Digital Nivel 1 (OAID).

 

78. Adicionalmente, de acuerdo con lo establecido en la Resolución 6888 de 2021[106], modificada por la Resolución 10829 de 2024[107], para la expedición o renovación del pasaporte de mayores de edad, deben acreditarse una serie de requisitos, entre otros, realizar la formalización de la solicitud, lo que incluye la captura y procesamiento de datos del solicitante. Por su parte, el pasaporte en línea, que se expide en circunstancias particulares[108], impone la exigencia adicional de ser titular de pasaporte ordinario electrónico o ejecutivo electrónico. En ambos casos el pasaporte debe estar vigente y haber sido expedido después del 17 de noviembre de 2017, además de haberse realizado una autenticación biométrica exitosa durante el proceso de expedición del pasaporte anterior y diligenciar el formulario de solicitud en línea del pasaporte[109]. Por lo tanto, conforme lo indicado por el Ministerio de Relaciones Exteriores[110], los datos biométricos tomados en 2015 no pueden ser utilizados para la expedición de un nuevo pasaporte, pues el procedimiento SC-PT-054 requiere la captura de aquellos en una nueva solicitud.

 

79. De este modo, dado que el procedimiento para la expedición o renovación de pasaporte impone la captura obligatoria de datos biométricos, sin que se tenga la posibilidad de utilizar registros previamente recolectados (con excepción de los pasaportes expedidos con posterioridad al 17 de noviembre de 2017) y dado que se trata de un trámite reglado, la Sala observa que, en principio, no existe una alternativa respecto de la presunta negativa de suministrar dichos datos, pues de acuerdo con lo indicado por el ministerio accionado, esta entidad “no cuenta con un procedimiento alternativo que permita adelantar el trámite sin la captura de datos biométricos, por cuanto dicho requisito se encuentra expresamente previsto en la normatividad que regula la materia”[111] y cuando el titular no otorga la autorización para el tratamiento de sus datos biométricos, el trámite no puede continuar.

 

80. De acuerdo con la delimitación del problema jurídico realizada por la Sala, si bien la accionante alegó la vulneración de otros derechos fundamentales como la dignidad humana, el libre desarrollo de la personalidad, la libre circulación y el debido proceso, lo cierto es que la controversia se circunscribe a los derechos fundamentales a la intimidad y al habeas data, pues no hay prueba siquiera sumaria de la vulneración de otros derechos fundamentales.

 

81. En relación con los derechos a la intimidad y al habeas data, la Sala reitera que para adelantar el trámite de expedición o renovación de pasaporte, conforme a las normas que regulan la materia, es obligatoria la autorización del titular para la toma y el tratamiento de datos biométricos. En consecuencia, de conformidad con lo informado por el Ministerio de Relaciones Exteriores[112], si la persona solicitante no autoriza dicho tratamiento no se puede continuar con el trámite de expedición o de renovación.

 

82. Solución del problema jurídico. En este punto, le corresponde a la Sala analizar si la exigencia de la toma de datos biométricos en el trámite de expedición o renovación de pasaporte por parte del Ministerio de Relaciones Exteriores resulta compatible con los derechos a la intimidad y al habeas data de la accionante. Para ello, se aplicará un test de proporcionalidad con el fin de determinar si la medida vulnera las garantías constitucionales señaladas.

 

83. El juicio de proporcionalidad[113] es una metodología argumentativa que esta Corporación ha utilizado para establecer si una medida que restringe o limita derechos fundamentales resulta admisible a la luz de la Constitución[114]. La Corte Constitucional ha señalado que dicha herramienta resulta “útil para analizar las limitaciones o restricciones a los derechos fundamentales de las personas, en la medida en que incorpora exigencias básicas de razonabilidad, medios-fines, y justificación de la actividad estatal”[115]. Desde esta perspectiva, la proporcionalidad “es un criterio de interpretación constitucional que pretende impedir los excesos o defectos en el ejercicio del poder público, como una forma específica de protección o de realización de los derechos y libertades individuales”[116].

 

84. En el presente caso la Sala estima pertinente adelantar un juicio de proporcionalidad de intensidad estricta[117]. Ello debido a que la medida, en principio, limitaría el goce de derechos fundamentales como la intimidad y el habeas data. Bajo estos parámetros, procede a aplicar el test de proporcionalidad a la medida cuestionada.

 

85. Medida analizada. La medida objeto de análisis es la exigencia de toma de datos biométricos para la expedición o renovación del pasaporte de la accionante.

 

86. Finalidad de la medida. Para la Sala, la medida evaluada persigue finalidades relacionadas con el cumplimiento de normas nacionales e internacionales de seguridad[118]. Como se explicó, estas disposiciones tienen como propósito garantizar la autenticidad del documento de identificación mencionado, verificar la identidad del solicitante, así como prevenir fraudes y suplantaciones. Además, es una medida que contribuye a la seguridad nacional, así como a la protección de los propios titulares de la información, pues evita la usurpación de identidad. Estas finalidades no están prohibidas constitucionalmente; por el contrario, se trata de objetivos que la Carta promueve y que incluso pueden considerarse imperiosos. El pasaporte, para cuya expedición se requiere la toma de datos biométricos, es un instrumento relacionado con el derecho a la libre locomoción (art. 24 C.P.), a la identidad personal (art. 14 C.P.) y a la nacionalidad (art. 96 C.P.). Además, al Estado le corresponde “asegurar la convivencia pacífica y la vigencia de un orden justo” y las autoridades están instituidas “para proteger a todas las personas residentes en Colombia, en su vida, honra, bienes, creencias, y demás derechos y libertades” (art. 2 C.P.).

 

87. Idoneidad de la medida[119]. La Sala considera que la captura de datos biométricos para el trámite de pasaporte resulta una medida efectivamente conducente para cumplir las finalidades que busca la normativa aplicable. Esto, porque se trata de un mecanismo técnico que, mediante el uso de características físicas y fisiológicas como iris, huella digital o rasgos faciales, permite corroborar la identidad de la persona solicitante y luego de ello, cotejar la información con las bases de datos de la Registraduría Nacional del Estado Civil. Esta medida contribuye efectivamente a reducir riesgos de suplantación o falsificación, asegurar la seguridad nacional e internacional en relación con la expedición de documentos de viaje, atendiendo compromisos internacionales del Estado colombiano.

 

88. Necesidad de la medida[120]. En principio, la Sala no advierte que exista otro mecanismo menos lesivo para verificar la identidad de los solicitantes de pasaportes y garantizar la autenticidad de dicho documento. En efecto, la normativa internacional ha establecido que implementar mecanismos tecnológicos de verificación de identidad, incluidos pasaportes de lectura mecánica y datos biométricos, “[aumenta] la seguridad de la aviación y la protección contra la usurpación de identidad”[121] y ayuda al control fronterizo.

 

89. Al respecto, la respuesta de la Registraduría Nacional del Estado Civil en sede de revisión es ilustrativa, en tanto aclara que “no hay cruce de información, sino validación de la identidad del ciudadano contra las bases de datos de la Registraduría Nacional del Estado Civil”[122]. En tal sentido, el Ministerio de Relaciones Exteriores adelanta un cotejo “entre la información capturada desde el lector biométrico ubicado en la entidad pública o privada autorizada por la ley y la que reposa en la base de datos biométrica de la Registraduría”. Al finalizar ese proceso, el operador biométrico determina si existe similitud suficiente entre los datos de la persona que utiliza el lector –por ejemplo, para expedir o renovar su pasaporte– y la información disponible en la base de datos.

 

90. En suma, no podría prescindirse de la recolección de los datos para la expedición o renovación del pasaporte, por cuanto el propósito de los datos disponibles en la Registraduría Nacional del Estado Civil es el de cotejar la información para verificar la identidad. De este modo, el propósito de la recolección del dato biométrico en el Ministerio de Relaciones Exteriores no puede reemplazarse por otra medida como el traslado de la información desde la Registraduría.

 

91. Proporcionalidad de la medida en sentido estricto[123]. En este punto, para la Sala es importante precisar que, contrario a lo señalado por la accionante, la exigencia de toma de datos biométricos en su caso particular no resulta desproporcionada. Aunque puede existir una tensión con los derechos a la intimidad y al habeas data, en la medida en que se usan características físicas y fisiológicas como iris, huella digital o rasgos faciales y su uso indebido podría eventualmente generar un riesgo de tratos discriminatorios, la exigencia en cuanto a la toma de datos biométricos para el trámite de expedición o renovación del pasaporte se ve compensada por el cumplimiento de los fines que persigue la medida, como se explicó anteriormente. Dicha medida, además, permite el cumplimiento del principio de responsabilidad demostrada debido a que la entidad dispone de una estructura técnica y administrativa que debe garantizar la protección de los datos y el ejercicio efectivo del derecho al habeas data.

 

92. Además, de acuerdo con lo informado por el ministerio accionado, la captura de este tipo de datos se adelanta conforme a lo dispuesto en la Ley Estatutaria 1581 de 2012 y para protegerlos se cuenta con medidas técnicas y administrativas como el cifrado y la aplicación de estrictos protocolos de seguridad, entre ellos, el control de acceso basado en roles, registros de auditoría (logs), comunicación segura vía HTTPS y uso de tokens de autenticación. Estas medidas compensan las afectaciones eventuales a los derechos a la intimidad y al habeas data.

 

93. Aunado a lo anterior, la accionante no argumentó ni demostró circunstancias particulares que permitieran considerar que la exigencia de toma de datos biométricos le genera una afectación o un riesgo concreto.

 

94. Igualmente, esta Corporación ha reconocido que, aunque la prohibición del tratamiento de datos sensibles es una garantía a los derechos del habeas data y a la intimidad, en algunos casos el tratamiento de dichos datos es necesario para la prestación del servicio[124], razón por la cual existe la posibilidad de que las personas naturales otorguen la autorización expresa para que sus datos sean sometidos a tratamiento, de acuerdo con los principios aplicables al efecto. En este orden de ideas, la medida resulta proporcional siempre que se garantice que el tratamiento no excederá la finalidad para la cual fueron recolectados los datos.

 

95. Ahora bien, aunque para la Sala es claro que la negativa de la persona a autorizar el tratamiento de sus datos personales (incluidos los biométricos) le impide renovar su pasaporte, lo cual genera una tensión con el derecho a su identificación, dicha consecuencia jurídica resulta razonable en la medida en que la exigencia se encuentra justificada en fines legítimos, como la seguridad nacional, la verificación de identidad del solicitante y la prevención de suplantación.

 

96. Con todo, la Sala estima pertinente precisar que, en materia de datos sensibles como los biométricos, los principios de necesidad y proporcionalidad exigen que el tratamiento se limite estrictamente a los datos que resulten imprescindibles para alcanzar la finalidad perseguida, que en este caso es la verificación de identidad del solicitante dentro del trámite de expedición o renovación del pasaporte. De acuerdo con los principios de necesidad y utilidad reconocidos por esta Corporación, se prohíbe el tratamiento de datos que no guarden una relación directa y suficiente con ese objetivo, y se impone al responsable la carga de demostrar que no es posible alcanzar la misma finalidad a través de medios menos invasivos o con menor cantidad de información personal.

 

97. Este principio cobra especial relevancia cuando se trata de datos biométricos, cuya naturaleza los hace irrepetibles e irrenunciables para el titular. Ello, por cuanto a diferencia de una contraseña o un número de identificación, no pueden ser modificados en caso de uso indebido. En consecuencia, cualquier recolección que exceda lo estrictamente necesario para el fin declarado constituye, en sí misma, una afectación al derecho fundamental al habeas data[125].

 

98. Así las cosas, esta Corte concluye que la captura de datos biométricos para la renovación o expedición del pasaporte, en el caso particular de la accionante, es una medida que tiene una finalidad que responde a objetivos legítimos, entre los que se encuentran la seguridad nacional y la protección de los datos del titular, con el fin de evitar suplantaciones. Además, constituye un medio idóneo y necesario para garantizar la autenticidad del documento y realizar el respectivo cotejo de los datos con la Registraduría Nacional del Estado Civil, que resulta proporcional porque las eventuales afectaciones se ven compensadas por el cumplimiento de las finalidades buscadas con la medida. En este orden de ideas, la exigencia de toma de datos biométricos a la accionante no vulnera sus derechos a la intimidad ni al habeas data.

 

99. Por último, la Sala estima necesario precisar que la Registraduría Nacional del Estado Civil, aunque está legitimada en la causa, no vulneró los derechos fundamentales de la accionante. En efecto, como se ha reiterado en esta providencia, la función de los datos biométricos que dicha entidad almacena consiste en corroborar la identidad de quienes acuden a solicitar la expedición o renovación del pasaporte, sin que ello implique el traslado o la entrega de la información al Ministerio de Relaciones Exteriores pues, como la propia entidad lo explicó, no existe un cruce de datos, sino un proceso de validación de identidad. Por consiguiente, no se advierte conducta alguna de la Registraduría que comporte una afectación de los derechos a la intimidad y al habeas data de la actora.

 

100. Cuestión final: exhorto al Ministerio de Relaciones Exteriores. Como fue expuesto previamente, el trámite de renovación o expedición del pasaporte requiere de la toma de datos biométricos. Aunque en el caso concreto se determinó que esa medida cumple con un fin legítimo, es conducente y necesaria y no desproporcionada, para la Sala es procedente llamar la atención sobre las manifestaciones efectuadas por el Ministerio de Relaciones Exteriores respecto de la conservación de los datos biométricos. Concretamente, la entidad admitió que “no existe una política de retención explícita configurada en el sistema que establezca automáticamente el tiempo de conservación de la información biométrica” y que, en la práctica, se conservan de manera indefinida. La Sala advierte que esta conducta, en principio, resulta contraria a la propia Política de Protección de Datos Personales de la entidad accionada, en la cual se establecen los lineamientos frente al tratamiento de datos personales (recolección, almacenamiento, uso, circulación y supresión).

 

101. Dicha política contempla, entre otros criterios, la aplicación de manera integral de una serie de principios, entre ellos, el de temporalidad, según el cual “los datos personales se conservarán únicamente por el tiempo razonable y necesario para cumplir la finalidad del tratamiento, los usos relacionados y las exigencias legales o instrucciones de las autoridades de vigilancia y control u otras autoridades competentes. Los datos serán conservados cuando ello sea necesario para el cumplimiento de una obligación legal o contractual. Para determinar el término del tratamiento se considerarán las normas aplicables a cada finalidad y los aspectos archivísticos (valores administrativos, contables, fiscales, jurídicos e históricos de la información)”[126].  

 

102. Al respecto, de acuerdo con la jurisprudencia de la Corte Constitucional, la aplicación de este principio en el tratamiento de los datos personales implica que “los datos personales permanezcan únicamente por el tiempo necesario para el cumplimiento de los fines de la base de datos. De lo contrario, se configura una administración abusiva de esa información (lo cual también contradice los principios de finalidad y necesidad) al permitirse dicho tratamiento más allá del lapso en que resulta pertinente y necesario para cumplir con los propósitos de significación constitucional para los cuales se recaudaron, en un principio, datos personales (…)”[127]. En este sentido, la conservación indefinida de los datos solo resulta admisible cuando exista una finalidad constitucional o legal que la justifique, en concordancia con el artículo 15 de la Constitución y con las disposiciones de la Ley 1581 de 2012.

 

103. En este contexto y teniendo en cuenta que los datos sensibles son una categoría de datos personales, la Sala considera que, en atención a los principios que rigen la protección de esta información y el derecho al habeas data, su tratamiento debe sujetarse, entre otros, a los criterios de necesidad, proporcionalidad y temporalidad, de manera que su conservación y uso se limite al cumplimiento de las finalidades para las cuales fueron recolectados. Lo anterior resulta relevante especialmente en materia de datos biométricos, en la medida en que se trata de datos sensibles. Por esta razón, un eventual uso indebido o almacenamiento excesivo o indefinido injustificado de ellos podría generar mayores riesgos para los titulares.

 

104. Así las cosas, para esta Sala las manifestaciones del Ministerio de Relaciones Exteriores se aprecian contrarias a los principios rectores del tratamiento de datos personales y, en consecuencia, al derecho fundamental al habeas data. En efecto, el hecho de que la entidad cuente con una política de tratamiento de datos, pero en ella no se contemple el tiempo de conservación de la información biométrica y que, en la práctica su preservación resulte indefinida sin una justificación, desconoce el principio de temporalidad, pues genera el riesgo de que se conserven datos sensibles más allá del tiempo necesario para cumplir con las finalidades de su recolección.

 

105. En suma, es relevante que el Ministerio de Relaciones Exteriores establezca, en su política de tratamiento de datos, cuál es el tiempo de conservación de los datos biométricos en consonancia con las finalidades que motivan su recolección y custodia. Ello, en observancia del principio de temporalidad, como mandato rector del tratamiento de datos y el derecho al habeas data.

 

106. De conformidad con lo anterior, la Sala exhortará al Ministerio de Relaciones Exteriores para que, en un término razonable, ajuste sus políticas y procedimientos y defina de manera clara y expresa los criterios y los plazos de conservación de los datos biométricos, esto con el fin de garantizar la aplicación del principio de temporalidad y evitar un tratamiento indefinido de este tipo de datos de naturaleza sensible. Adicionalmente, en caso de que requiera conservar indefinidamente los datos, deberá justificar dicha decisión de conformidad con los parámetros constitucionales, legales y jurisprudenciales que rigen el tratamiento de datos personales.

 

Conclusiones

 

107. Por todo lo expuesto, la Sala concluye que la exigencia de toma de datos biométricos dentro del trámite de expedición o renovación del pasaporte no es desproporcionada, pues responde a fines legítimos de seguridad, resulta idónea, necesaria y proporcionada para garantizar la autenticidad del documento y proteger la identidad del solicitante evitando su suplantación, así como otros bienes, incluido el de la seguridad nacional. Por consiguiente, la Sala encontró que la mencionada exigencia no vulnera los derechos a la intimidad ni al habeas data de la accionante.

 

108. En consecuencia, la Sala confirmará la sentencia del 12 de noviembre de 2025 proferida por la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá, que a su turno confirmó el fallo de primera instancia del 28 de octubre de 2025 dictado por el Juzgado 11 Civil del Circuito de Bogotá, que negó el amparo en el asunto objeto de revisión.

 

109. Finalmente, exhortará al Ministerio de Relaciones Exteriores para que, en un término razonable, ajuste sus políticas y procedimientos y defina de manera clara y expresa los criterios y los plazos de conservación de los datos biométricos, esto con el fin de garantizar la aplicación del principio de temporalidad y evitar un tratamiento indefinido de este tipo de datos de naturaleza sensible. Adicionalmente, en caso de que requiera conservar indefinidamente los datos, deberá justificar dicha decisión de conformidad con los parámetros constitucionales, legales y jurisprudenciales que rigen el tratamiento de datos personales.

 

III. DECISIÓN

 

En mérito de lo expuesto, la Sala Cuarta de Revisión de la Corte Constitucional, en nombre del pueblo y por mandato de la Constitución

 

RESUELVE

 

Primero. CONFIRMAR las sentencias del 12 de noviembre y del 28 de octubre de 2025, proferidas por la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá y el Juzgado 11 Civil del Circuito de Bogotá, respectivamente, que negaron la acción de tutela presentada por Victoria María del Castillo Mulgannon contra el Ministerio de Relaciones Exteriores y la Registraduría Nacional del Estado Civil.

 

Segundo. EXHORTAR al Ministerio de Relaciones Exteriores para que, en un término razonable, ajuste sus políticas y procedimientos y defina de manera clara y expresa los criterios y los plazos de conservación de los datos biométricos para expedición y renovación de pasaportes, esto con el fin de garantizar la aplicación del principio de temporalidad y evitar un tratamiento indefinido de este tipo de datos de naturaleza sensible. Adicionalmente, en caso de que requiera conservar indefinidamente los datos, deberá justificar dicha decisión de conformidad con los parámetros constitucionales, legales y jurisprudenciales que rigen el tratamiento de datos personales.

 

Tercero. Por Secretaría General de la Corte Constitucional, LÍBRESE la comunicación prevista en el artículo 36 del Decreto 2591 de 1991.

 

Notifíquese, comuníquese y cúmplase.

 

JUAN CARLOS CORTÉS GONZÁLEZ

Magistrado

 

 

LINA MARCELA ESCOBAR MARTÍNEZ

Magistrada

 

 

VLADIMIR FERNÁNDEZ ANDRADE

Magistrado

Salvamento de voto

 

 

ANDREA LILIANA ROMERO LOPEZ

Secretaria General

 

 

 

SALVAMENTO DE VOTO DEL MAGISTRADO

VLADIMIR FERNÁNDEZ ANDRADE

A LA SENTENCIA T-208/26

 

 

Expediente: T-11.797.502

 

Acción de tutela presentada por Victoria María del Castillo Mulgannon contra el Ministerio de Relaciones Exteriores y la Registraduría Nacional del Estado Civil

 

Magistrado ponente:

Juan Carlos Cortés González

 

 

Con el respeto acostumbrado por las decisiones de la Sala, salvo mi voto frente a la decisión adoptada en el expediente de la referencia. Aunque comparto la relevancia constitucional de la protección de los datos biométricos y la necesidad de que las autoridades públicas observen estándares estrictos en materia de habeas data e intimidad, considero que en este caso la acción de tutela debió declararse improcedente por incumplimiento del requisito de subsidiariedad.

La mayoría de la Sala decidió abordar el estudio de fondo de la acción de tutela presentada contra el Ministerio de Relaciones Exteriores y la Registraduría Nacional del Estado Civil. La accionante pretendía que se le permitiera renovar o expedir su pasaporte sin autorizar una nueva captura de datos biométricos, bajo el argumento de que esa información ya reposaba en bases de datos estatales. Sin embargo, no explicó de manera concreta por qué la exigencia resultaba desproporcionada en su caso, ni acreditó una afectación individual, actual y verificable de sus derechos fundamentales.

A mi juicio, la controversia no correspondía a un asunto excepcional reservado al juez constitucional. Por el contrario, se trataba de una inconformidad frente a una exigencia general, objetiva y reglada del trámite de expedición y renovación de pasaportes: la captura y tratamiento de datos biométricos prevista en la Resolución 6888 de 2021, modificada por la Resolución 10829 de 2024. En esas condiciones, la acción de tutela no podía desplazar los mecanismos ordinarios previstos por el ordenamiento jurídico para controvertir actos administrativos de carácter general.

El análisis de subsidiariedad no puede depender únicamente de la forma en que la parte accionante formula su pretensión. Corresponde al juez constitucional identificar la naturaleza material del debate que se le plantea y verificar si existen medios judiciales idóneos y eficaces para resolverlo. En este caso, aunque la accionante no promovió una demanda contra las resoluciones que regulan el trámite de pasaportes, su pretensión sí implicaba exceptuarla de una regla general del procedimiento administrativo. En otras palabras, detrás de la solicitud individual de no suministrar datos biométricos existía un cuestionamiento a la exigencia normativa que impone esa carga a quienes solicitan la expedición o renovación del pasaporte.

Por esa razón, no comparto la conclusión de la mayoría según la cual el medio de control de nulidad carecía de idoneidad porque la actora no cuestionó expresamente la legalidad del acto administrativo general. Esa aproximación resulta excesivamente formal. Si bastara presentar una controversia contra una regla general como una solicitud de inaplicación individual, cualquier requisito administrativo podría discutirse directamente por tutela, sin acreditar una afectación particular intensa, una situación de vulnerabilidad o un perjuicio irremediable. A mi juicio, ello desnaturaliza el carácter subsidiario de la acción de tutela y la convierte en un mecanismo alternativo de control.

Además, la sentencia reconoció que la exigencia cuestionada tiene fundamento normativo y responde a un trámite especialmente reglado. El pasaporte es un documento de identificación internacional cuya expedición está sometida a estándares internos e internacionales de seguridad, verificación de identidad y prevención de suplantación. En concreto, la Ley 2136 de 2021 reconoce el derecho de los nacionales colombianos a obtener pasaporte, pero condiciona su ejercicio al cumplimiento de las disposiciones que regulan la materia. En este contexto, no se trataba de una actuación arbitraria, sorpresiva o caprichosa de la administración, sino de la aplicación ordinaria de un requisito previsto en la regulación vigente.

Por su parte, tampoco existía una razón constitucional para flexibilizar la subsidiariedad. En el presente caso no se acreditó una circunstancia particular de indefensión, un perjuicio irremediable y no se aportaron elementos que permitieran verificar un riesgo concreto derivado de la captura o tratamiento de sus datos biométricos. Las afirmaciones de la acción de tutela se mantuvieron en un plano abstracto, a partir de sostener que la recolección biométrica era indiscriminada, trataba a los ciudadanos como sujetos de sospecha y podía facilitar escenarios de vigilancia masiva, rastreo permanente, robo de identidad o uso indebido de datos sensibles. Aunque no desconozco la relevancia constitucional de esas afirmaciones, estas no bastan para habilitar la tutela como mecanismo principal cuando existen cauces ordinarios para controvertir la regulación general que las origina.

A ello se suma que, en el presente caso, tampoco se acreditó una negativa administrativa concreta. El Ministerio informó que no encontró registro de una solicitud reciente de pasaporte a nombre de la actora, ni petición previa elevada por ella. También explicó que, cuando el usuario no autoriza el tratamiento de datos biométricos, el sistema no almacena la solicitud y el trámite no puede continuar. En ese contexto, no existía una actuación administrativa particular suficientemente identificada que permitiera predicar una vulneración actual de derechos fundamentales. La ausencia de acto particular no convertía automáticamente la tutela en procedente; por el contrario, evidenciaba la falta de un presupuesto fáctico mínimo para activar el amparo constitucional.

La accionante, además, contaba con alternativas para provocar una respuesta administrativa verificable. Podía presentar una petición formal ante el Ministerio, solicitar una decisión expresa sobre su caso o acudir a los mecanismos ordinarios para cuestionar la regla general que consideraba desproporcionada. La tutela no podía sustituir esas cargas mínimas, menos aún cuando la propia actora guardó silencio en sede de revisión y no atendió los requerimientos probatorios formulados por la Corte.

La mayoría de la Sala también omitió valorar con suficiencia que la jurisdicción de lo contencioso administrativo cuenta con herramientas cautelares robustas para la protección de derechos e intereses comprometidos en actos administrativos. El Código de Procedimiento Administrativo de lo Contencioso Administartivo amplió el alcance de las medidas cautelares, incluida la suspensión provisional, y previó medidas cautelares de urgencia. Por ello, frente a una controversia que recaía materialmente sobre una exigencia reglamentaria general, correspondía exigir a la accionante acudir a la jurisdicción competente, salvo que demostrara una situación apremiante que hiciera indispensable la intervención inmediata del juez constitucional, lo que no se demostró en el presente caso.

En efecto, el juicio de proporcionalidad desarrollado en sentencia confirma que el verdadero objeto del debate era la validez constitucional de la exigencia normativa de captura biométrica. La providencia aplicó una metodología propia del examen de restricciones generales a derechos fundamentales y concluyó que la medida perseguía fines legítimos, era idónea, necesaria y proporcionada. Ese análisis se asemeja a un control de constitucionalidad abstracto o legalidad de una regulación administrativa y se aleja de la solución de una afectación individual probada en sede de tutela.

Así pues, en ausencia de perjuicio irremediable, de vulnerabilidad especial y de una afectación concreta demostrada, el juez de tutela no debía asumir un examen general de proporcionalidad sobre el régimen de expedición de pasaportes. Ese debate correspondía, en principio, al juez contencioso administrativo, especialmente si lo cuestionado era la razonabilidad, necesidad o proporcionalidad de una exigencia contenida en un acto administrativo general.

Por lo demás, tampoco compartí el exhorto dirigido al Ministerio de Relaciones Exteriores para ajustar sus políticas y procedimientos sobre conservación de datos biométricos. Aunque la definición de criterios y plazos de conservación de datos sensibles es un asunto constitucionalmente relevante, el asunto objeto de revisión no ofrecía una base procesal sólida para introducir una determinación de alcance institucional. La sentencia confirmó la negativa del amparo y concluyó que la exigencia de captura biométrica no vulneró los derechos de la accionante. En ese contexto, impartir un exhorto general sobre la política de conservación de datos desbordaba el caso concreto y generaba una tensión con el principio de congruencia.

Si la Sala consideraba que la conservación indefinida de datos biométricos configuraba una vulneración del habeas data, debía explicar por qué concedía el amparo y cuál era la orden necesaria para proteger el derecho comprometido. Si, por el contrario, no encontró una vulneración concreta de los derechos fundamentales de la accionante, entonces no resultaba procedente incorporar en la parte resolutiva una directriz institucional sobre una materia que excedía la controversia.

En suma, me aparté de la decisión adoptada en la Sentencia T-208 de 2026, pues correspondía a la Sala declarar la improcedencia de la acción de tutela. La pretensión de la accionante recaía materialmente sobre una exigencia general del trámite de expedición y renovación de pasaportes; existían mecanismos judiciales ordinarios para controvertir esa regulación; no se acreditó perjuicio irremediable; no se probó una afectación individual concreta; y tampoco había razones para flexibilizar el requisito de subsidiariedad.

En los anteriores términos y con el acostumbrado respeto por las decisiones de la mayoría, salvo mi voto.

 

 

 

VLADIMIR FERNÁNDEZ ANDRADE

Magistrado