Autor: Ana María Ceballos Álvarez – Abogada Junior
La Superintendencia de Industria y Comercio (SIC) expidió la Circular Externa No. 001 del 18 de septiembre de 2025, dirigida a los actores que realizan tratamiento de datos personales en el contexto de la oferta de productos y servicios de financiación, depósitos de bajo monto y otros servicios afines mediante tecnologías digitales. Esta regulación aplica específicamente a entidades que no están bajo la vigilancia de la Superintendencia Financiera de Colombia, como personas naturales o jurídicas que otorgan crédito directamente, fintech, billeteras digitales, y otros modelos de negocio que promueven la inclusión financiera a través de medios tecnológicos.
A continuación, compartimos un resumen de las principales instrucciones dadas por la SIC al sector fintech:
- El tratamiento solo puede realizarse para fines constitucionalmente legítimos, limitando la recolección a los datos estrictamente necesarios. Ejemplo: una app de microcréditos no puede acceder a la galería de imágenes o lista de contactos del usuario con fines de cobranza
- Antes de recolectar datos, debe obtenerse una autorización clara del titular. Esta autorización debe diferenciar entre finalidades necesarias (ej. autenticación) y accesorias (ej. envío de publicidad). El usuario puede negar estas últimas sin que se le restrinja el acceso al servicio.
- Al ser datos sensibles, su recolección exige autorización explícita y medidas reforzadas de seguridad. Además, deben borrarse una vez cesa la relación contractual, salvo que subsistan las finalidades autorizadas.
- Los mecanismos para actualizar, rectificar o suprimir datos deben ser tan sencillos como el proceso de recolección. La información debe presentarse de manera clara, accesible y sin barreras técnicas.
- Los usuarios tienen derecho a recibir explicaciones comprensibles sobre decisiones automatizadas que les resulten desfavorables (ej. la negación de un crédito). Cuando se trate de sistemas de inteligencia artificial, deben observarse también los lineamientos de la Circular Externa 002 de 2024 (“Lineamientos sobre el Tratamiento de Datos personales en Sistemas de Inteligencia Artificial»).
- Se exige adoptar medidas de seguridad proporcionales al nivel de riesgo: tecnológicas, administrativas, físicas y contractuales. Además, deben revisarse periódicamente para ajustarse a la evolución de amenazas.
- Las empresas no pueden contactar a las referencias personales o a los contactos de los dispositivos de los usuarios para gestiones de cobranza, salvo autorización expresa del titular.
- Las transferencias de datos a otros países deben realizarse únicamente cuando el Estado receptor ofrezca un nivel adecuado de protección, o se ajuste a las excepciones de la Ley 1581. De lo contrario, deberá solicitarse declaración de conformidad a la SIC.
En OCH Group, seguimos de cerca estas regulaciones y acompañamos a las organizaciones para traducirlas en prácticas efectivas de cumplimiento y crecimiento. ¡Contáctanos!
Fuente:
- Circular Externa No. 001 del 18 de septiembre de 2025. https://sedeelectronica.sic.gov.co/transparencia/normativa/circular-externa-001-del-18-de-septiembre-de-2025
