Imagina que un operador de información sigue reportando una obligación negativa que un titular lleva meses disputando, argumentando que fue víctima de suplantación de identidad, y la fuente simplemente no responde. Hasta ahora, esa situación quedaba en un limbo: el titular afectado, su historial crediticio deteriorado y sin una consecuencia clara para quien guardó silencio.
Dicha situación cambia con el proyecto de resolución que la Superintendencia de Industria y Comercio tiene en trámite para modificar el Título V de su Circular Única, el cual incorpora las leyes estatutarias 2157 de 2021 y 2573 de 2026, y que actualiza las reglas del Registro Nacional de Bases de Datos y amplía el listado de países con nivel adecuado de protección para transferencias internacionales.
¿Qué cambió en el habeas data financiero?
La modificación más relevante para fuentes y operadores es el nuevo régimen de suplantación de identidad que incorpora la Ley 2573 de 2026.
Cuando un titular alegue haber sido víctima de falsedad personal, la fuente deberá cotejar los documentos utilizados para adquirir la obligación en disputa con los documentos aportados por el titular, y hacerlo dentro de los diez días hábiles siguientes a la recepción del reclamo, sin que pueda exigirse ningún requisito adicional.
En ese mismo plazo, la fuente debe solicitar al operador la modificación del dato negativo y la inclusión de la leyenda: «víctima de falsedad personal».
Ahora bien, esa leyenda no es un reporte negativo. No puede disminuir la calificación de riesgo, no puede afectar el score crediticio y no puede alterar los estudios financieros del titular. Su única finalidad es habilitar una verificación intensificada de identidad y prevenir que la suplantación se repita.
¿Y qué pasa si la fuente simplemente no responde?
El proyecto incorpora el silencio administrativo positivo: si la fuente no resuelve de fondo el reclamo dentro de los quince días hábiles siguientes a su recibo, prorrogables por ocho días adicionales, el reclamo se entiende como aceptado para todos los efectos, por lo que la fuente debe informar inmediatamente al operador para que rectifique la información y elimine el dato negativo.
¿Qué pasa con la comunicación previa al reporte negativo?
Frente a este punto, el proyecto de ley precisa algo que en la práctica generaba confusión, y esto es cuando se requería una o dos comunicaciones previas antes de reportar una obligación en mora.
La regla es así: si el monto completo de la obligación, no su saldo, es igual o inferior al 15% del SMLMV, la fuente debe enviar dos comunicaciones en días diferentes; si el monto supera ese umbral, basta con una. Una vez surtida la segunda comunicación, corre el término de veinte días calendario para que el titular realice el pago, demuestre el cumplimiento o controvierta la deuda antes de que proceda el reporte.
Asimismo, es menester destacar al proyecto, dado que fija un tope temporal que muchas fuentes desconocen: el reporte de información negativa debe realizarse máximo dieciocho meses después de la constitución en mora del titular, so pena de las sanciones correspondientes, conforme al numeral 11 del artículo 8 de la Ley 1266 de 2008, adicionado por el artículo 4 de la Ley 2157 de 2021.
¿Qué implica la actualización del RNBD?
En materia del Registro Nacional de Bases de Datos, el proyecto introduce una ventana anual de actualización que aplica a partir de 2027, y esto es que los responsables obligados, es decir, las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT y las personas jurídicas de naturaleza pública, deberán actualizar la información registrada entre el 1 de junio y el 30 de agosto de cada año.
Además, dentro de los quince primeros días hábiles de febrero, deberán actualizar el reporte consolidado de reclamos presentados por los titulares durante el año anterior.
Quien alcance el umbral de 100.000 UVT en activos totales tiene tres meses, contados desde el reporte oficial de estados financieros que lo acrediten, para completar la inscripción.
¿Cuándo hay nivel adecuado de protección para transferir datos al exterior?
El cambio que mayor impacto tiene para empresas con operaciones internacionales es la ampliación del listado de países con nivel adecuado de protección, conforme al artículo 26 de la Ley 1581 de 2012.
La SIC realizó un estudio comparado de cinco jurisdicciones y concluyó que sus marcos normativos son funcionalmente equivalentes al estándar colombiano en los seis criterios fijados en el numeral 3.1 del Capítulo Tercero del Título V de la Circular Única, los cuales son:
- Existencia de normas aplicables.
- Principios rectores
- Derechos de los titulares
- Deberes de responsables y encargados
- Vías judiciales y administrativas.
- Autoridad de control independiente.
Los cinco países que se suman al listado son:
- Brasil, cuyo marco es la Ley General de Protección de Datos Personales del 2018
- Ecuador, con su Ley Orgánica de Protección de Datos Personales de 2021
- Kenia, con la Data Protection Act No. 24 de 2019
- Panamá, con la Ley 81 de 2019 y el Decreto Ejecutivo 285 de 2021
- Sudáfrica, con la Protection of Personal Information Act de 2013.
Esto es relevante en términos prácticos: una empresa colombiana que transfiere datos de clientes a un aliado en Brasil ya no necesita tramitar una declaración de conformidad ante la SIC ni verificar individualmente si ese país cumple los estándares.
La transferencia queda habilitada de pleno derecho. No obstante, la calificación de adecuación no es definitiva, ya que la SIC mantiene la competencia para revisar o excluir jurisdicciones si se evidencian cambios normativos o institucionales que afecten el nivel de protección verificado.
Para los destinos que aún no figuren en el listado, la alternativa a la declaración de conformidad es el uso de las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos, conforme a la Circular Externa 003 de 2025 del 19 de diciembre de 2025 de la SIC.
Conclusiones
El proyecto de resolución no es una reforma menor, reescribe el régimen de suplantación de identidad en centrales de riesgo, precisa las reglas de comunicación previa, introduce el silencio positivo como sanción al incumplimiento de las fuentes y establece un calendario concreto de actualización para el RNBD.
Asimismo, abre cinco nuevas jurisdicciones para que las empresas colombianas transfieran datos sin tramitar autorizaciones individuales, lo que reduce cargas operativas y facilita los flujos de información en operaciones con aliados en Brasil, Ecuador, Kenia, Panamá y Sudáfrica.
En definitiva, el cumplimiento ya no puede seguir siendo reactivo. Los plazos son concretos, las consecuencias de guardar silencio están tipificadas y el mapa de transferencias internacionales acaba de expandirse.
¿Sabe tu empresa si alguna de sus operaciones de datos cae dentro de los supuestos que esta resolución regula?
Preguntas frecuentes:
¿Qué cambia con el hábeas data financiero frente a la suplantación de identidad?
El proyecto refuerza el procedimiento para que las fuentes revisen los documentos usados en la obligación disputada y soliciten la modificación del dato negativo cuando el titular alegue falsedad personal.
¿La leyenda “víctima de falsedad personal” afecta el score crediticio?
No. Según el artículo, esa leyenda no constituye un reporte negativo ni debe disminuir la calificación de riesgo o alterar estudios financieros del titular.
¿Qué pasa si la fuente no responde un reclamo del titular?
El proyecto incorpora el silencio administrativo positivo: si la fuente no responde de fondo dentro del término previsto, el reclamo se entiende aceptado y debe rectificarse la información.
¿Qué implica la actualización del RNBD para las empresas?
Implica una ventana anual de actualización y el deber de reportar reclamos consolidados, especialmente para responsables obligados por activos o naturaleza jurídica.
El hábeas data financiero exige hoy una gestión más rigurosa, documentada y preventiva por parte de las empresas que reportan información, administran bases de datos o transfieren datos personales dentro y fuera de Colombia.
Revisar los procedimientos internos, los tiempos de respuesta y las políticas de tratamiento de datos puede marcar la diferencia entre un cumplimiento formal y una gestión realmente segura.
En Russell Bedford Colombia, acompañamos a las organizaciones en la identificación de riesgos legales y en la estructuración de procesos alineados con la normativa vigente.
Contáctanos y revisemos si tu empresa está preparada para estos nuevos escenarios de cumplimiento.
