Esta sería la nueva circular dirigida al sector fintech sobre tratamiento de datos personales

En respuesta al crecimiento sostenido del ecosistema fintech en Colombia, la Superintendencia de Industria y Comercio (SIC) publicó un proyecto de Circular Externa dirigida a los prestadores de servicios financieros mediante tecnologías digitales, con el propósito de reforzar las obligaciones legales en materia de tratamiento de datos personales, especialmente frente a los derechos fundamentales de los usuarios.

Alcance y sujetos obligados

La circular está dirigida a todos los responsables, encargados, fuentes o usuarios de datos personales en el ecosistema fintech que estén vigilados por la SIC. No aplica a entidades vigiladas por la Superintendencia Financiera de Colombia.

La iniciativa reconoce que el uso de tecnologías digitales ha democratizado el acceso a servicios financieros, pero advierte que ello debe hacerse respetando plenamente los principios y deberes del régimen de protección de datos personales, establecidos en la Constitución Política, la Ley 1266 de 2008, la Ley 1581 de 2012, y la Ley 2300 de 2023.

Principales instrucciones

A continuación, los lineamientos más relevantes:

1. Finalidades legítimas y minimización de datos

El tratamiento debe tener finalidades constitucionalmente legítimas, ser proporcional y ceñirse al principio de necesidad. No se permite el acceso indiscriminado a funciones del dispositivo, como la galería o la lista de contactos, con fines de cobranza.

2. Autorización diferenciada

Las empresas deben diferenciar entre:

• Finalidades necesarias (vinculadas a la prestación del servicio).

• Finalidades accesorias (como reportes a centrales de riesgo o envío de publicidad).
  Los usuarios tienen derecho a negarse al tratamiento de datos para fines accesorios sin que esto afecte el servicio principal.

3. Tratamiento de datos biométricos

Se exige:

• Autorización explícita y adicional.

• Medidas de seguridad reforzadas.

• Prohibición de alimentar bases centralizadas.

• Borrado oportuno tras el fin del contrato.

4. Gestión de derechos de los titulares

Deben habilitarse mecanismos simples y ágiles para el ejercicio de los derechos de hábeas data (acceso, rectificación, actualización y supresión), con la misma facilidad con la que se recogen los datos.

5. Seguridad de la información

Se requiere implementar y documentar medidas tecnológicas, humanas, físicas y contractuales, y revisar su eficacia periódicamente.

6. Transparencia y decisiones automatizadas

Las empresas deben:

• Explicar las decisiones automatizadas desfavorables.

• Implementar mecanismos visibles para gestionar preferencias de privacidad.

• Informar claramente los riesgos del tratamiento de datos.

7. Cobranza responsable

Queda prohibido contactar a referencias o personas de la lista de contactos del usuario sin su autorización previa y explícita.

8. Transferencia internacional de datos

Se establecen reglas detalladas para asegurar la legalidad y seguridad de las transferencias internacionales de datos, incluyendo la validación del nivel de protección del país receptor y, en algunos casos, la autorización expresa de la SIC.

Herramientas de cumplimiento

La Circular recomienda el uso de las Cláusulas Contractuales Modelo adoptadas por la Red Iberoamericana de Protección de Datos como buena práctica para transferencias internacionales y como muestra del principio de responsabilidad demostrada.

Consulte aquí el documento: