Contexto y Objetivo de la Circular
La circular responde a la creciente importancia del flujo transnacional de datos personales en la economía digital y el comercio internacional. Reconoce que la globalización y la deslocalización de actividades exigen nuevos mecanismos para proteger los derechos fundamentales relacionados con los datos personales. En este marco, la Superintendencia de Industria y Comercio, autoridad nacional de protección de datos, busca aclarar y uniformar los procedimientos para la transferencia internacional de datos personales, en especial cuando el país receptor no ha sido reconocido oficialmente como proveedor de un nivel adecuado de protección.
Alcance y Sujetos Obligados
La circular está dirigida a las entidades vigiladas por la Superintendencia en su rol de autoridad de protección de datos personales. Esto incluye a los responsables y encargados del tratamiento de datos personales en Colombia que realicen transferencias o transmisiones internacionales de datos. El documento establece lineamientos aplicables tanto en el ámbito público como privado, y es de cumplimiento obligatorio para los sujetos vigilados, constituyendo una herramienta para garantizar un estándar homogéneo de protección.
Validez Legal y Fuerza Vinculante
Emitida por una autoridad competente en materia de protección de datos, la circular tiene carácter vinculante para los sujetos vigilados. Su fundamento jurídico principal es la Ley 1581 de 2012 —que regula la protección de datos personales— y sus decretos reglamentarios, especialmente el artículo 26 sobre transferencia internacional. Además, la circular se inscribe en las funciones legales de vigilancia, instrucción y control conferidas a la Superintendencia, tal como lo ha confirmado la Corte Constitucional en múltiples sentencias. El incumplimiento de las instrucciones puede ser considerado infracción administrativa.
Contenido Principal y Medidas Clave
La circular detalla las instrucciones para el uso de cláusulas contractuales modelo aprobadas por la Red Iberoamericana de Protección de Datos (RIPD), que constituyen un mecanismo adicional para proteger los datos personales en transferencias internacionales, especialmente cuando no existe un reconocimiento formal de nivel adecuado entre jurisdicciones.
Entre los aspectos más relevantes se incluyen:
- Definiciones claras: diferencia entre transferencia (responsable a responsable) y transmisión (responsable a encargado) internacional de datos personales, según el Decreto 1074 de 2025.
- Uso facultativo pero recomendado: la adopción de estas cláusulas es voluntaria, pero su implementación refuerza la seguridad jurídica y protege los derechos de los titulares.
- Guía y modelos disponibles: la circular remite a la guía y modelos de cláusulas contractuales accesibles en los sitios web de la Superintendencia y la RIPD, promoviendo la transparencia.
- Ajustes permitidos: las cláusulas pueden modificarse siempre que no reduzcan las garantías previstas en la legislación colombiana, pudiendo incluso incorporar obligaciones adicionales para mejorar la protección.
- Compatibilidad con normas nacionales: las cláusulas no pueden contradecir la Ley 1581 de 2012 ni sus reglamentos; en caso de conflicto, prevalece el marco jurídico colombiano.
- Resolución de controversias: se permite la autonomía de la voluntad para definir mecanismos de solución de disputas entre las partes, sin afectar los derechos de los titulares ni la supervisión de la autoridad.
- Responsabilidad y sanciones: el incumplimiento de las cláusulas puede ser considerado como incumplimiento de instrucciones de la autoridad, sujeto a sanciones.
Importancia para el Comercio y la Protección de Datos
Esta circular representa un avance en la regulación colombiana para armonizar la protección de datos personales en el contexto internacional, alineándose con estándares regionales e internacionales. Facilita el comercio electrónico y la transferencia segura de información, al tiempo que protege los derechos fundamentales de los titulares de datos. Su aplicación contribuye a reducir incertidumbres jurídicas y a fortalecer la confianza entre los actores involucrados en el tratamiento transfronterizo de datos personales.
Para consultar la Circular Externa 003 de 2025 y sus anexos, así como la guía de la RIPD, se recomienda visitar los sitios oficiales de la
Superintendencia de Industria y Comercio y la
Red Iberoamericana de Protección de Datos.
