Colombia aprueba las clausulas contractuales tipo de la RIPD

 El 18 de septiembre de 2025, la Superintendencia de Industria y Comercio (SIC) de Colombia aprobó mediante Circular Externa No. 001 de 2025 las instrucciones sobre el tratamiento de datos personales en servicios fintech.

La circular establece 13 instrucciones principales para actores del ecosistema fintech que procesan datos personales:

1. Finalidades legítimas: Solo tratar datos para fines constitucionalmente válidos y por tiempo razonable
2. Minimización: Limitar el tratamiento a datos necesarios e idóneos
3. Autorización informada: Obtener consentimiento libre, expreso e informado antes del tratamiento
4. Diferenciación de finalidades: Separar finalidades necesarias de accesorias en la autorización
5. Datos biométricos: Protección especial con autorización explícita y medidas de seguridad adicionales
6. Derechos de titulares: Establecer mecanismos ágiles para ejercer derechos de acceso, rectificación y supresión
7. Transparencia: Informar claramente sobre el uso de datos personales
8. Decisiones automatizadas: Explicar decisiones automatizadas desfavorables al titular
9. Medidas de seguridad: Implementar protecciones técnicas, administrativas y físicas apropiadas
10. Cobranza: No contactar referencias sin autorización del titular
11. Definición de roles: Documentar roles como responsable/encargado del tratamiento
12. Transferencias internacionales: Validar nivel adecuado de protección en países destino
13. Cláusulas contractuales modelo: Usar las cláusulas de la Red Iberoamericana de Protección de Datos (RIPD)

La circular concluye recomendando suscribir las cláusulas contractuales modelo de la RIPD como medida efectiva para transferencias internacionales. Estas cláusulas modelo ya fueron previamente aprobadas por Argentina, Perú y Uruguay, consolidando un marco regional armonizado para la protección de datos en transferencias internacionales.

NORMAS CORPORATIVAS VINCULANTES (NCV) para Colombia

Mediante decreto 255 del 23 de febrero de 2022 en Colombia se reglamentaron las NORMAS CORPORATIVAS VINCULANTES en materia de tratamiento de datos personales.

Derecho a la desconexión laboral en Colombia

El 6 de enero de 2022, el Congreso de Colombia profirió la Ley 2191 a través de la cual crea, regula y promueve la desconexión laboral, con el fin de garantizar el goce efectivo del tiempo libre y los tiempos de descanso, licencias, permisos y/o vacaciones para conciliar la vida personal, familiar y laboral.

Fallo colombiano admite acción de tutela por plataforma online de covid

La Alcaldía de Medellin (Colombia) sacó una plataforma online denominada "Medellin me cuida" donde se recopilaban datos de salud de los ciudadanos con fines de detectar posibles pacientes de coronavirus. Una persona presentó una acción de tutela (nuestro amparo) y el tribunal hizo lugar al reclamo minimizando la recolección de ciertos datos de salud.

En su parte pertinente el fallo dice:

De lo anterior se desprende que en primera medida va dirigido a mitigar las dificiles circunstancias en las que se encuentran las familias más vulnerables del área metropolitana y de los municipios aledaños, y de manera muy génerica se indica que se pretende obtener datos para gestionar los efectos producidos por la enfermedad COVID 19. Debe precisarse que no se está haciendo claridad a los ciudadanos para qué se usarán sus datos, pues conforme a la Ley Estatutaria 1581 de 2012, la finalidad es uno de los principios rectores respecto del trato de las bases de datos pues se debe tratar de una finalidad legítima de acuerdo con la Constitucion y la ley, esto es, el objeto de registrar cada uno de los datos, lo que no se encuentra suficientemente justificado en términos de gestionar o mitigar los efectos producidos por el virus.

Es decir que el juez no entiende que la finalidad declarada en los términos de uso justifiquen la recolección de esos datos. Esto se refuerza mas adelante cuando la misma sentencia dice, invocando la ley colombiana de datos personales que:

"...no se tienen claras las finalidades de la recepción de cada uno de los datos que son requeridos, por lo que se incumple con el principio de finalidad, siendo un derecho esencial del ciudadano el conocer el uso que se le dará a los mismos, pues pese a que efectivamente nos encontramos en uno de los casos en los que no es necesaria la autorización conforme al artículo 10 de la Ley Estatutaria 1581 de 2012, por tratarse de un asunto de urgencia médica o sanitaria, lo cierto es que el inciso final de dicho artículo también indica que “quien acceda a los datos personales sin que medie autorización previa deberá en todo caso cumplir con las disposiciones contenidas en la presente ley”, de manera que es claro que la regulación de la administración de datos debe cumplir con lo preceptuado en dicha Ley, con mayor razón si se considera que es la propia ciudadana quien debe de suministrar sus datos".

Gracias a José Alejandro Bermudez por la información.

Texto del fallo

Normativa colombiana sobre adecuación y transferencia internacional

 SIC: Circular Externa No. 05 del 10 de agosto de 2017

Por medio de la cual se adiciona un Capítulo Tercero al Título V de la Circular Única sobre Transferencia de datos personales a terceros países. (Publicada en el Diario Oficial, Año CLIII No 50.321, del 10 de agosto de 2017, pág. 10)

Circular Externa No. 005

Bogotá D.C., 10 AGO 2017

(Publicada en el Diario Oficial, Año CLIII No 50.321, del 10 de agosto de 2017, pág. 10)

Para: RESPONSABLES DEL TRATAMIENTO DE DATOS PERSONALES

Asunto: Adicionar un Capítulo Tercero [Transferencia de datos personales a terceros países] al Título V de la Circular Única.