El Capítulo IV del Título III del CPACA repite tres atributos como condición de toda actuación electrónica: autenticidad, integridad y disponibilidad. El artículo 57 los exige para emitir actos administrativos por medios electrónicos; el 59, modificado por la Ley 2080 de 2021, para el expediente, y obliga a la autoridad a garantizar su seguridad digital y el cumplimiento de los requisitos de archivo y conservación; el 61 exige sistemas con capacidad suficiente y medidas de protección de la información y de seguridad digital; y el 63 permite a los organismos colegiados deliberar, votar y decidir en conferencia virtual dejando constancia de lo actuado por el mismo medio con los atributos de seguridad necesarios. La confidencialidad aparece en otras normas: el artículo 60A la pone a cargo de las autoridades usuarias de la sede compartida.
La conservación tiene una regla específica en el artículo 58. Cuando el procedimiento se adelanta por medios electrónicos, los documentos deben archivarse en el mismo medio. Y la conservación de los documentos electrónicos que contengan actos administrativos de carácter individual debe asegurar la autenticidad e integridad de la información necesaria para reproducirlos y registrar las fechas de expedición, notificación y archivo. Esas fechas no son un detalle: de ellas dependen la firmeza del acto y los términos de recursos, de modo que un sistema que las pierda destruye prueba aunque conserve el texto.
La Ley 527 de 1999 fija las condiciones generales de conservación en su artículo 12: que la información sea accesible para su consulta posterior, que se conserve en el formato en que se generó, envió o recibió, o en uno que demuestre que reproduce con exactitud lo original, y que se conserve, si existe, la información que permita determinar el origen, el destino, la fecha y la hora del envío o recepción. No debe conservarse lo que sirve solo para facilitar el envío. El artículo 13 permite cumplir la obligación directamente o por terceros, siempre que se cumplan esas condiciones. El artículo 9 gradúa la confiabilidad exigible a la integridad según los fines y las circunstancias del caso.
La Ley 594 de 2000 aporta el marco archivístico. Su artículo 4 asigna a los archivos una función probatoria, garantizadora y perpetuadora; el 14 declara la documentación de la administración producto y propiedad del Estado y los archivos públicos no enajenables; y el 12 hace responsable a la administración de la gestión de sus documentos. Los artículos 46 y 47 exigen un sistema integrado de conservación en cada fase del ciclo vital y soportes de comprobada durabilidad y calidad, y permiten copiar a nuevos soportes los documentos de conservación permanente con un programa de transferencia de información. El texto de esas reglas no las limita al papel, y el artículo 48 encarga al Archivo General de la Nación dar pautas sobre la conservación de documentos en nuevos soportes; su aplicación a los soportes electrónicos que autoriza el artículo 19 es, por tanto, una lectura razonable, cuyas normas técnicas concretas no se leyeron.
La Ley 594 contiene también el régimen de control. Según su artículo 35, el Archivo General de la Nación y los consejos territoriales de archivos pueden ordenar la suspensión inmediata de prácticas que amenacen la integridad de los archivos públicos, con multas semanales sucesivas de hasta veinte salarios mínimos mensuales cuando no exista norma especial; el mismo artículo califica como faltas gravísimas las faltas contra el patrimonio documental cometidas por servidores públicos, remitiendo al artículo 25 de la Ley 200 de 1995. Qué régimen disciplinario vigente corresponde a esa remisión queda PENDIENTE DE VERIFICACIÓN. Por su parte, el artículo 29 de la Ley 1712 de 2014 remite al artículo 292 del Código Penal el ocultamiento, destrucción o alteración deliberada de información pública que haya sido objeto de una solicitud.
La seguridad se conecta con la clasificación de la información. La Ley 1712 distingue la información pública clasificada, protegida por daño a derechos de personas (artículo 18), de la reservada, protegida por daño a intereses públicos y solo si una norma legal o constitucional prohíbe expresamente su acceso (artículo 19), y exige mantener un índice actualizado con la motivación de cada calificación (artículo 20). Para el expediente electrónico, esa clasificación determina quién puede ver cada pieza; la seguridad digital incluye controles de acceso, no solo evitar pérdidas. El artículo 15 de la Constitución protege la intimidad y el derecho a conocer, actualizar y rectificar la información recogida en archivos de entidades públicas, y el artículo 54 del CPACA exige que el registro de usuarios respete el régimen general de protección de datos.
El Decreto 620 de 2020 detalla estos deberes en su Capítulo 5. Los artículos 2.2.17.5.1 a 2.2.17.5.5 imponen a los prestadores de servicios ciudadanos digitales actuar como responsables o encargados, evaluar el impacto del tratamiento antes de empezar, adoptar un programa integral de gestión de datos personales, designar un oficial de protección de datos y aplicar la privacidad por diseño y por defecto. El 2.2.17.5.6 va más allá de los prestadores: los actores que traten información en el marco del título deben contar con una estrategia de seguridad y privacidad, seguridad digital y continuidad del servicio, evaluar periódicamente el riesgo y adoptar los lineamientos del Ministerio. El 2.2.17.5.7 prohíbe comercializar o explotar económicamente la información generada en la prestación de esos servicios sin autorización expresa del titular. Distinguir a quién se dirige cada artículo evita aplicar obligaciones de prestadores a quien no lo es.
Las normas leídas tienen límites. El Decreto 620 se ocupa de los servicios ciudadanos digitales y de la sede, no de todo sistema de información de una entidad. Los instrumentos técnicos de conservación, como los acuerdos del Archivo General de la Nación que las notas de vigencia citan, y la Ley 1581 de 2012, a la que las normas remiten sin transcribirla, no se leyeron y quedan PENDIENTES DE VERIFICACIÓN. En consecuencia, cuando un proveedor externo custodia expedientes, la Ley 527 permite la conservación por terceros, pero no libera a la autoridad: la Ley 594 sigue haciéndola responsable de la gestión de sus documentos, lectura que este capítulo propone y que el texto de los artículos 12 y 13 respalda. El análisis de un caso identifica el atributo afectado, el soporte, la fase del ciclo vital y el régimen de clasificación de la información comprometida.
Ejemplo colombiano 1: ataque informático a una secretaría de salud
El 4 de agosto de 2026, un ataque cifra los servidores de la secretaría de salud de un departamento y los expedientes sancionatorios quedan inaccesibles durante nueve días. Varios investigados reclaman que sus términos de descargos corrieron sin acceso al expediente.
El artículo 59 impone garantizar la seguridad digital del expediente, y el 61 exige sistemas con medidas adecuadas de protección. La falla afectó la disponibilidad. El artículo 62 solo regula la falla para el envío de escritos; el Código no fija un remedio expreso para la indisponibilidad del expediente. Como lectura de este capítulo, lo razonable es que la secretaría reconozca la imposibilidad de acceso y restablezca la oportunidad de defensa. Además debe restaurar el servicio y documentar el incidente conforme a la estrategia de continuidad del artículo 2.2.17.5.6 del Decreto 620, si es sujeto de ese título.
Ejemplo colombiano 2: migración de un archivo que borra las fechas de notificación
En 2025, una superintendencia migra a un nuevo sistema el archivo digital de las resoluciones de 2014 a 2019. Al migrar, las fechas de notificación y archivo no se copian. En 2026, una empresa pide certificar la firmeza de una sanción de 2016, y la entidad no puede acreditar cuándo se notificó.
El artículo 58 del CPACA exige que la conservación de los actos individuales asegure la autenticidad e integridad de la información necesaria para reproducirlos y registre las fechas de expedición, notificación y archivo. El artículo 12 de la Ley 527 pide conservar la información sobre fecha y hora de envío o recepción. La migración dejó incompleta la conservación, y la entidad deberá reconstruir las fechas con otras evidencias, como el expediente físico o los registros de la empresa de mensajería.
Ejemplo colombiano 3: proveedor de nube que reutiliza los datos
Un municipio de Cundinamarca contrata a una empresa privada para alojar sus expedientes digitales. Meses después descubre que la empresa usa los datos de los ciudadanos para elaborar perfiles que vende a terceros, y que el contrato no lo prohibía expresamente.
El artículo 13 de la Ley 527 admite conservar por terceros bajo las condiciones del 12, pero el artículo 12 de la Ley 594 mantiene la responsabilidad del municipio y el 14 declara la documentación propiedad del Estado. El artículo 15 de la Constitución protege el derecho a conocer, actualizar y rectificar datos. La falta de cláusula expresa no vuelve lícita por sí sola la reutilización: el municipio debe exigir que cese, revisar el contrato y evaluar las consecuencias bajo la Ley 1581 de 2012, PENDIENTE DE VERIFICACIÓN.