Nuevo Proyecto de la SIC sobre Protección de Datos y Hábeas Data Financiero: Lo que Empresas, Fuentes y Operadores Deben Revisar

Informe Ejecutivo

La Superintendencia de Industria y Comercio publicó un proyecto de resolución que busca modificar el Título V de la Circular Única, actualmente dedicado a la protección de datos personales. El proyecto fue publicado el 26 de mayo de 2026 y estuvo abierto para comentarios entre el 27 de mayo y el 10 de junio de 2026. (Superintendencia de Industria y Comercio)

La modificación propuesta no debe entenderse todavía como una regla definitiva, sino como un proyecto normativo sujeto al trámite correspondiente.

No obstante, su contenido anticipa ajustes relevantes para empresas que actúan como fuentes, operadores o usuarios de información financiera, crediticia, comercial, de servicios y proveniente de terceros países.

El proyecto incorpora desarrollos asociados a la Ley 2157 de 2021 y a la Ley 2573 de 2026, especialmente en materia de reportes negativos, suplantación de identidad, certificaciones de autorización, atención de reclamos, actualización del Registro Nacional de Bases de Datos —RNBD— y transferencias internacionales de datos personales.

Desde el enfoque empresarial, el mensaje es claro: las compañías deben revisar sus procesos de tratamiento de datos, cartera, reportes a centrales de riesgo, atención de reclamos y gestión documental, para anticiparse a posibles exigencias de cumplimiento.

Informe Técnico

Estado del Proyecto y Alcance Empresarial

El documento revisado corresponde a un proyecto de resolución de la SIC que modificaría el Título V de la Circular Única. El Título V vigente fue actualizado por la Circular 001 del 9 de enero de 2026 y regula materias relacionadas con protección de datos personales. (Superintendencia de Industria y Comercio)

El proyecto impacta principalmente a:

• Operadores de información.

• Fuentes de información.

• Usuarios de información.

• Responsables y Encargados del Tratamiento de datos personales.

• Empresas obligadas a registrar bases de datos en el RNBD.

• Compañías que realizan transferencias internacionales de datos personales.

En especial, resulta relevante para empresas que gestionan cartera, reportan información a centrales de riesgo, administran bases de datos de clientes, tramitan reclamaciones de titulares o realizan operaciones con terceros ubicados fuera de Colombia.

Principales Cambios Propuestos

Incorporación de Nuevas Referencias Normativas

El proyecto propone ajustar el ámbito de aplicación del Capítulo Primero del Título V, incorporando expresamente la Ley Estatutaria 2157 de 2021, la Ley Estatutaria 2573 de 2026 y las sentencias C-282 de 2021 y C-413 de 2025.

Esto busca armonizar las instrucciones de la SIC con las reglas recientes sobre hábeas data financiero, reportes negativos y protección frente a casos de suplantación de identidad.

Trámites Digitales Sin Intermediarios Obligatorios

El proyecto aclara que las peticiones o consultas de los titulares podrán realizarse directamente por medios digitales, sin necesidad de intermediarios ni presencia obligatoria de abogado.

En la práctica, esto exige que las empresas cuenten con canales claros, verificables y seguros para atender solicitudes de titulares de datos personales.

Nuevas Cargas Para Operadores de Información

A partir de 2027, los operadores de información deberían elaborar un informe anual sobre el cumplimiento del deber de solicitar a las fuentes la certificación de autorización para reportar información. Este informe debería estar finalizado el 15 de marzo y conservarse por un mínimo de tres años.

Además, cuando una fuente no remita la certificación semestral correspondiente, el operador tendría que bloquear la información reportada dentro de los 20 días hábiles siguientes al vencimiento del plazo aplicable. El bloqueo suspendería temporalmente la visualización y circulación del dato, sin implicar eliminación definitiva.

Reglas Especiales Para Casos de Suplantación

Uno de los puntos más relevantes del proyecto es el tratamiento de casos de suplantación. Los operadores deberían incluir la leyenda “víctima de falsedad personal” cuando corresponda, sin que esta pueda entenderse como reporte negativo ni afectar la calificación de riesgo del titular.

También se propone que las fuentes cotejen, dentro de los 10 días hábiles siguientes al recibo del reclamo, los documentos usados para adquirir la obligación discutida frente a los documentos aportados por el titular. Si se verifica la situación, la fuente debería solicitar al operador la modificación del dato negativo, del score o de cualquier dato que refleje el supuesto comportamiento crediticio del titular víctima de suplantación.

Comunicación Previa Antes del Reporte Negativo

El proyecto desarrolla reglas sobre la prueba de la comunicación previa al reporte negativo. La fuente debería conservar soportes de envío a la última dirección física o electrónica informada por el titular, y la comunicación debe ser clara, legible y comprensible.

También se precisa que, antes del reporte, el titular debe contar con 20 días calendario para pagar, demostrar el cumplimiento de la obligación o controvertir aspectos relativos al monto, la mora o la existencia de la deuda.

Límite Para Reportar Información Negativa

El proyecto propone incluir el deber de reportar información negativa máximo dentro de los 18 meses siguientes a la constitución en mora del titular, so pena de las sanciones correspondientes.

Este punto es especialmente relevante para áreas de cartera, cobranza, crédito y cumplimiento, porque obliga a controlar con precisión la fecha de mora y el momento en que se realiza el reporte.

Gratuidad de Consulta Para el Titular

La consulta de información financiera, crediticia, comercial, de servicios y proveniente de terceros países por parte del titular deberá ser gratuita en toda ocasión y por todos los medios, según lo previsto en el proyecto.

Los operadores deberán informar de manera clara los canales gratuitos disponibles para que los titulares accedan a su información.

Atención de Reclamos y Efectos del Silencio

En casos de suplantación, las fuentes deberían resolver de fondo el reclamo o solicitud de corrección dentro de los 15 días hábiles siguientes a su recibo, prorrogables por 8 días hábiles. Si no responden de fondo, el reclamo se entendería aceptado y la fuente tendría que informar al operador para rectificar la información y eliminar el dato negativo correspondiente.

Este punto exige fortalecer la trazabilidad interna de reclamos, tiempos de respuesta, responsables asignados y soportes de decisión.

Cambios Relacionados Con el RNBD

El proyecto mantiene como obligados a inscribir bases de datos en el Registro Nacional de Bases de Datos a las sociedades y entidades sin ánimo de lucro con activos totales iguales o superiores a 100.000 UVT, así como a las personas jurídicas de naturaleza pública.

Para 2026, la DIAN fijó la UVT en $52.374, por lo que 100.000 UVT equivalen aproximadamente a $5.237.400.000. (DIAN)

El proyecto también propone que los responsables obligados actualicen la información del RNBD:

• Dentro de los 10 primeros días hábiles del mes siguiente a la realización de cambios sustanciales.

• Anualmente, entre el 1 de junio y el 30 de agosto, a partir de 2027.

• Dentro de los 15 primeros días hábiles de febrero, respecto de la información de reclamos presentados por los titulares.

Esto implica que las empresas deben revisar si superan el umbral de activos, si sus bases de datos están correctamente inscritas y si sus políticas, finalidades, encargados, canales de atención, medidas de seguridad y transferencias internacionales están actualizadas.

Transferencias Internacionales de Datos Personales

El proyecto actualiza el listado de países que contarían con un nivel adecuado de protección de datos personales. Dentro del análisis de la SIC se mencionan Brasil, Ecuador, Kenia, Panamá y Sudáfrica como países que satisfacen los requisitos previstos.

Cuando la transferencia se realice a un país no incluido en el listado, el responsable deberá verificar si aplica una excepción del artículo 26 de la Ley 1581 de 2012, si el país cumple los estándares exigidos o, en su defecto, solicitar la respectiva declaración de conformidad ante la SIC.

Para empresas con proveedores tecnológicos, matrices, clientes o aliados internacionales, este punto exige revisar contratos, flujos de información y soportes de transferencia internacional de datos.

Riesgos Empresariales a Revisar

Las empresas deben prestar atención a los siguientes riesgos prácticos:

• Reportar información sin autorización previa, expresa y verificable.

• No conservar evidencia suficiente de comunicaciones previas al reporte negativo.

• No responder de fondo reclamos por suplantación dentro de los plazos previstos.

• Mantener reportes negativos sin atender alertas, reclamos o decisiones de autoridad.

• No actualizar oportunamente la información inscrita en el RNBD.

• Realizar transferencias internacionales sin validar país receptor, excepción aplicable o declaración de conformidad.

• No contar con trazabilidad documental suficiente frente a requerimientos de la SIC.

Recomendaciones de NBA Asesores S.A.S.

Desde NBA Asesores S.A.S. recomendamos a las empresas no esperar a que la modificación sea definitiva para iniciar una revisión preventiva.

Las acciones prioritarias son:

• Identificar si la empresa actúa como fuente, operador, usuario, responsable o encargado del tratamiento.

• Revisar los soportes de autorización para reportes a operadores de información.

• Auditar los procesos de comunicación previa antes de reportes negativos.

• Ajustar los procedimientos de reclamos, especialmente en casos de suplantación.

• Verificar si la empresa está obligada a inscribir o actualizar bases de datos en el RNBD.

• Revisar contratos y operaciones que impliquen transferencias internacionales de datos.

• Capacitar a las áreas de cartera, servicio al cliente, tecnología, cumplimiento y gestión documental.

Conclusión

Aunque el documento revisado corresponde a un proyecto normativo, su contenido muestra una tendencia clara: mayor exigencia en trazabilidad, prueba documental, protección del titular, gestión de reclamos y actualización permanente de la información.

Para las empresas, la protección de datos personales ya no puede verse como un asunto meramente jurídico. Es un componente operativo, reputacional y estratégico que impacta cartera, crédito, servicio al cliente, tecnología, contratación y cumplimiento.

NBA Asesores S.A.S. acompaña a sus clientes en la interpretación de estos cambios, la identificación de riesgos y la adopción de medidas preventivas para una gestión empresarial segura y alineada con las exigencias regulatorias.

Cordialmente,

NBA Asesores S.A.S.

Somos compañía para tu compañía.