La Superintendencia de Industria y Comercio (SIC) publicó un proyecto de resolución que actualiza el Título V de la Circular Única, implementando medidas de la Ley 2573 de 2026 y la Ley 2157 de 2021, nuevas reglas para el Registro Nacional de Bases de Datos (RNBD) y la actualización del listado de países con nivel adecuado de protección para transferencias internacionales de datos personales.
La SIC publicó para comentarios un proyecto de resolución mediante el cual pretende modificar el Título V de la Circular Única, relacionado con protección de datos personales y habeas data financiero.
Las modificaciones propuestas pueden agruparse en tres grandes bloques:
1. Implementación de las Leyes 2157 de 2021 y 2573 de 2026 en materia de habeas data financiero
En primer lugar, el proyecto incorpora expresamente las Leyes Estatutarias 2157 de 2021 y 2573 de 2026, así como las Sentencias C-282 de 2021 y C-413 de 2025, dentro del ámbito de aplicación de las instrucciones aplicables a operadores, fuentes y usuarios de información financiera, crediticia, comercial, de servicios y proveniente de terceros países.
En este frente, la SIC propone ajustar y ampliar distintas obligaciones relacionadas con:
- el deber de certificar la existencia de autorizaciones para el reporte de información;
- el bloqueo de información cuando las fuentes no acrediten dichas autorizaciones dentro de un término de 20 días hábiles al vencimiento del término previsto en el numeral 1.3.4 de la Circular Única;
- la gestión de reclamos y leyendas asociadas a información en discusión;
- el tratamiento de casos de suplantación y falsedad personal;
- los deberes de comunicación previa al reporte negativo;
- los términos máximos para el reporte de información negativa;
- la gratuidad en el acceso a la información crediticia por parte de los titulares; y
- nuevas obligaciones de reporte anual de reclamaciones para operadores y fuentes.
Asimismo, el proyecto desarrolla medidas especiales de protección para víctimas de suplantación de identidad, incluyendo la incorporación de la leyenda “víctima de falsedad personal” y reglas específicas sobre corrección, eliminación y bloqueo de información.
2. Modificaciones al RNBD y transferencias internacionales de datos personales
En segundo lugar, el proyecto incorpora modificaciones relacionadas con el RNBD y las transferencias internacionales de datos personales.
En relación con el RNBD, la SIC propone:
- modificar los plazos de actualización de la información registrada;
- incorporar nuevas obligaciones de reporte de reclamos de titulares; y aclarar reglas relacionadas con la inscripción y actualización de bases de datos por parte de responsables del tratamiento.
3. Transferencia de datos personales
Por otra parte, el proyecto actualiza el listado de países que cuentan con un nivel adecuado de protección de datos personales para efectos de transferencias internacionales, incluyendo nuevos países como Brasil, Ecuador, Kenia, Panamá y Sudáfrica.