La Superintendencia de Industria y Comercio dirigió una circular externa a los sujetos vigilados que realizan tratamiento de datos personales en el contexto de servicios financieros digitales. El documento enfatiza que el uso de tecnologías fintech debe cumplir con la Constitución Política y las leyes de protección de datos personales, en particular las leyes estatutarias 1266 de 2008 y 1581 de 2012.

Principales instrucciones para el tratamiento de datos personales

El tratamiento de datos personales debe limitarse a finalidades constitucionalmente legítimas y solo durante el tiempo necesario para tales fines. Se establece que los datos recolectados deben ser adecuados y pertinentes, atendiendo al principio de necesidad. Por ejemplo, las aplicaciones fintech no podrán acceder a la galería de imágenes o lista de contactos de los dispositivos sin autorización expresa. La autorización para el tratamiento debe ser libre, previa, expresa e informada, y diferenciada cuando existan finalidades accesorias, como el envío de publicidad o consultas a centrales de riesgo. Los titulares tienen derecho a oponerse al uso de sus datos para estas finalidades accesorias sin afectar el servicio principal. Respecto a los datos biométricos, considerados sensibles, se establecen medidas reforzadas, incluyendo la información clara sobre su uso, autorización explícita, prohibición de uso para fines no consentidos, y la obligación de eliminar estos datos al finalizar la relación contractual.

Derechos de los titulares y obligaciones de los responsables

Los sujetos vigilados deben facilitar mecanismos ágiles y permanentes para que los titulares puedan ejercer sus derechos de conocer, actualizar, rectificar y suprimir sus datos personales. Estos procedimientos deben ser tan sencillos como la recolección de datos. Se exige la adopción...