Colombia: La Superintendencia de Industria y Comercio expide instrucciones para el tratamiento de datos personales por parte de las ‘fintech’

A través de la Circular Externa No. 001 de 2025, la Superintendencia de Industria y Comercio expidió importantes instrucciones para efectuar el tratamiento de datos personales por parte de prestadores de servicios financieros mediante tecnologías digitales (fintech).

Entre las principales novedades, esta circular exige que el tratamiento de datos personales únicamente se realice durante el tiempo que resulte razonable y necesario, de acuerdo con las finalidades que lo justificaron. En la misma línea, las fintech solo deberán tratar los datos idóneos y necesarios para cumplir las finalidades, por lo cual se deberán aplicar criterios para minimizar el uso de datos personales.

La autorización debe diferenciar entre las finalidades necesarias y aquellas adicionales, permitiendo al titular oponerse a las finalidades accesorias sin que se afecte la continuidad del servicio principal. Así las cosas, finalidades como el envío de publicidad o la oferta de otros servicios se considerarán accesorias, por lo cual no tendrán que ser autorizadas para acceder al servicio principal.

Por otra parte, el tratamiento de los datos biométricos deberá cumplir con deberes especiales de diligencia al tratarse de datos sensibles.Por esta razón, las fintech deberán recolectar una autorización explícita y adoptar medidas de seguridad adicionales para asegurar su proteccion.

Finalmente, los titulares tendrán derecho a recibir una explicación clara y comprensible sobre cualquier decisión automatizada que les resulte desfavorable. Lo anterior resulta especialmente relevante cuando el tratamiento se efectúe a través de sistemas de inteligencia artificial.