SFC propone nuevas reglas para implementar el sistema de finanzas abiertas en Colombia

La Superintendencia Financiera de Colombia (SFC) publicó para comentarios, hasta el 10 de agosto de 2026, el Proyecto de Circular Externa 10 de 2026. El proyecto establece instrucciones para actualizar las normas expedidas por la SFC a la luz del Decreto 368 de 2026, mediante el cual se incorporó el sistema de finanzas abiertas en Colombia.

A continuación, se destacan las principales novedades que incorporaría el proyecto.

Nueva estructura normativa

El proyecto propone una nueva estructura del capítulo IX, "Reglas relativas a las finanzas abiertas", del título I de la parte I de la Circular Básica Jurídica de la SFC. De esta forma, el capítulo se organiza en tres secciones:

• Sección I: disposiciones generales
• Sección II: disposiciones sobre el tratamiento de datos
• Sección III: disposiciones sobre el directorio de participantes

El proyecto de circular externa se limita a desarrollar las disposiciones contenidas en la sección I, mientras que las secciones II y III serán objeto de reglamentación mediante lineamientos posteriores que expedirá la SFC.

Participantes

Se establece una clara delimitación entre los proveedores de datos, las entidades vigiladas por la SFC que brindan acceso y suministran los datos personales y que se encuentran inscritas en el directorio de participantes, y los terceros receptores de datos, las entidades o personas jurídicas que acceden a los datos personales.

Los terceros receptores de datos pueden ser vigilados o no vigilados por la SFC. Cuando son vigilados, deben cumplir con los siguientes requisitos:

• La constitución y funcionamiento de los terceros receptores deben haber sido autorizados por la SFC, conforme al artículo 53 del Estatuto Orgánico del Sistema Financiero.
• Además, dichas entidades deben estar inscritas en el directorio de participantes.

Cuando se trate de personas jurídicas no vigiladas, su vinculación al sistema de finanzas abiertas debe realizarse a través de un proveedor de datos vigilado por la SFC con el que hayan celebrado un acuerdo bilateral de finanzas abiertas. En consecuencia, únicamente podrán acceder a los datos y la información de aquellos clientes del proveedor de datos con los que el receptor no vigilado haya suscrito dicho acuerdo bilateral de finanzas abiertas.

El proyecto de circular aclara que las demás entidades vigiladas por la SFC que no estén obligadas bajo el Decreto 368 de 2026 a participar en el sistema de finanzas abiertas podrán participar como proveedores de datos, siempre que se inscriban en el módulo correspondiente del directorio de participantes, de conformidad con las instrucciones previstas en la sección III de la circular, cuya reglamentación aún se encuentra pendiente de expedición.

Vinculación de los terceros receptores de datos no vigilados

Uno de los aspectos más relevantes del proyecto es la definición de los requisitos que deberán verificar los proveedores de datos antes de vincular a un tercero receptor de datos no vigilado. Para ello, los proveedores de datos deberán implementar mecanismos que les permitan verificar, entre otros, el cumplimiento de los siguientes requisitos:

• Estar inscrito en el Registro Nacional de Bases de Datos y, en caso de no estar obligado a dicha inscripción, contar con políticas y procedimientos adecuados para el tratamiento de datos personales.
• Contar con procedimientos para la atención de consultas y reclamos relacionados con el tratamiento de datos personales.
• Disponer de mecanismos adecuados para la obtención y gestión de las autorizaciones de tratamiento de datos personales.
• Cumplir con los estándares de infraestructura exigidos a los demás participantes y acreditar la capacidad humana, técnica y financiera necesaria para responder por eventuales incumplimientos frente a los consumidores financieros.
• Contar con políticas y mecanismos adecuados para la gestión de riesgos de seguridad de la información y ciberseguridad, incluyendo mecanismos para proteger los datos personales y reportar incidentes de seguridad.
• Obtener la certificación correspondiente al estándar de seguridad de datos para la industria de tarjetas de pago (PCI-DSS, por sus siglas en inglés) cuando pretendan almacenar, procesar o transmitir información de tarjetas débito y crédito.
• Mantener cifrados los datos personales en almacenamiento y tránsito mediante estándares de seguridad reconocidos.
• Implementar mecanismos para informar oportunamente a las entidades vigiladas sobre cualquier incidente o situación que pueda comprometer la seguridad de los datos personales.

La verificación del cumplimiento de estos requisitos deberá realizarse de forma periódica y quedar debidamente documentada. Asimismo, cuando una persona jurídica no vigilada acredite el cumplimiento de las condiciones exigidas, los proveedores de datos no podrán restringir injustificadamente su vinculación al sistema.

Infraestructura

El proyecto establece que los participantes deberán implementar sistemas de intercambio automático de información mediante interfaces de programación de aplicaciones (API) para gestionar las solicitudes de acceso y suministro de datos e información.

Asimismo, deberán cumplir con una serie de requisitos generales, entre los que se incluyen la segmentación y protección de los componentes asociados al sistema, el monitoreo de la información que circula en el ecosistema de finanzas abiertas, la protección de los repositorios de información para evitar su exposición pública, la garantía de la disponibilidad y accesibilidad de los sistemas y la realización de pruebas de calidad sobre los datos e información que circulan en el sistema.

Adicionalmente, los participantes deberán adoptar estándares tecnológicos internacionales en materia de arquitectura y seguridad.

Obligaciones de los participantes vigilados

• Los participantes vigilados no deberán implementar prácticas que dificulten o desincentiven el intercambio de datos.
• Además, dichos participantes deben abstenerse de obstaculizar los procesos de autorización, actualización y revocatoria del tratamiento de datos, de incorporar validaciones o mensajes innecesarios o redundantes y de utilizar expresiones, advertencias o diseños que resulten confusos y generen incertidumbre respecto del adecuado funcionamiento del sistema de finanzas abiertas.
• En caso de ofrecer servicios por banca móvil y banca por internet, se deberán habilitar las funcionalidades del sistema de finanzas abiertas.
• Los participantes vigilados deberán asegurar el correcto y continuo funcionamiento de los procesos de acceso y suministro de datos sin demoras injustificadas.

La circular externa entraría en vigor a partir de su publicación. Las entidades vigiladas que cuenten con esquemas o casos de uso de finanzas abiertas implementados con fundamento en la Circular Externa 004 de 2024, tendrán hasta el 7 de abril de 2027 para adecuarlos a las nuevas instrucciones.

Holland & Knight monitorea constantemente los desarrollos regulatorios del sector financiero en Colombia. Si desea conocer el alcance de estas propuestas o su posible impacto para su organización, contacte a los autores de esta alerta.

La información contenida en esta alerta es para la educación y el conocimiento general de nuestros lectores. No está diseñada para ser, y no debe ser usada como, la única fuente de información cuando se analiza y resuelve un problema legal, y no debe sustituir la asesoría legal, que se basa en un análisis específico de los hechos. Además, las leyes de cada jurisdicción son diferentes y cambian constantemente. Esta información no tiene por objeto crear, y su recepción no constituye, una relación abogado-cliente. Si tiene preguntas específicas sobre una situación de hecho concreta, le instamos a que consulte a los autores de esta publicación, a su representante de Holland & Knight o a otro asesor legal competente.