¿Qué cambia en la autorización para tratar datos personales en las finanzas abiertas?

¿Qué cambia con el Decreto 368 de 2026?

Por regla general, en Colombia, el tratamiento de datos personales requiere que el titular otorgue una autorización previa, expresa e informada y, al respecto, el nuevo escenario planteado en el Decreto 368 de 2026 implica revisar el entendimiento que se tiene frente a las autorizaciones de tratamiento y a la información que se le da a conocer a una persona antes de decidir si autoriza el tratamiento de sus datos.

El decreto en mención establece reglas específicas para el sistema de finanzas abiertas y desarrolla unos requisitos concretos para las autorizaciones otorgadas dentro de este sistema; reglas que deben entenderse específicamente en el marco de las finanzas abiertas y no como una modificación general de los requisitos de autorización aplicables a cualquier responsable del tratamiento de datos personales en virtud de la Ley 1581 de 2012.

¿Qué son las finanzas abiertas?

Hay que decir que la Ley 1581 de 2012 constituye el marco general para el tratamiento de datos personales en Colombia, mientras que el Decreto 368 de 2026 establece criterios aplicables específicamente al sistema de finanzas abiertas, que permite el acceso y suministro estandarizado de datos entre distintos actores.

Una de las diferencias que encontramos en este sistema es, precisamente, el nombre que se les da a los actores involucrados, ya que, si bien en la Ley 1581 se habla de responsables, encargados y titulares, en el Decreto 368 de 2026 se habla de:

• Proveedores de datos: entidades vigiladas por la Superintendencia Financiera de Colombia que brindan acceso y suministran los datos personales e información comprendidos en el sistema de finanzas abiertas.
• Terceros receptores de datos vigilados y no vigilados: entidades vigiladas por la Superintendencia Financiera de Colombia y personas jurídicas no vigiladas que acceden a los datos personales e información comprendidos en el sistema de finanzas abiertas, de acuerdo con las condiciones establecidas en el decreto.
• Titulares: personas naturales o jurídicas cuyos datos personales son objeto de tratamiento en el sistema de finanzas abiertas.

Para lo que interesa a este artículo, podemos establecer que este decreto define el sistema de finanzas abiertas como un conjunto de normas, estándares y participantes que interactúan entre sí para permitir el acceso y suministro estandarizado de datos personales de los clientes de las entidades vigiladas por la Superintendencia Financiera de Colombia, previa autorización de su titular.

Este sistema busca facilitar la circulación de información financiera entre los participantes para desarrollar servicios y modelos de negocio, pero bajo unas reglas específicas de acceso y tratamiento de los datos personales; lo que no quiere decir que la Ley 1581 deje de ser aplicable, ya que el mismo decreto establece que los tratamientos realizados en el sistema deben cumplir con las normas de protección de datos personales y habeas data previstas en las Leyes 1266 de 2008 y 1581 de 2012, según corresponda.

Una autorización que debe responder cinco preguntas

El artículo 2.35.8.3.2 del Decreto en mención establece que la solicitud de autorización debe presentarse de manera sencilla, clara y precisa, de tal manera que le permita al titular comprender los elementos que respondan a las siguientes preguntas:

1. ¿Quién va a tratar los datos?
2. ¿Qué datos autoriza el titular?
3. ¿Qué tratamiento se realizará?
4. ¿Para qué se utilizarán?
5. ¿Cuál es el tiempo de la finalidad para la cual se autoriza el tratamiento?

¿Por cuánto tiempo se autoriza la finalidad?

La respuesta a la quinta pregunta es la que resulta especialmente interesante en esta regulación, pues la norma incorpora expresamente una dimensión temporal dentro de los elementos mínimos que debe conocer el titular antes de autorizar el tratamiento de sus datos en el sistema de finanzas abiertas.

El tiempo de la finalidad resulta interesante porque nos permite pensar en una autorización que no solo informa para qué serán tratados los datos, sino que también incorpora información sobre el tiempo asociado a esa finalidad; y hay que hacer una precisión importante, ya que el decreto del que hablamos no pretende establecer un plazo general de conservación y retención de la información en una base de datos, sino que insta a las entidades a informar el tiempo de la finalidad para la cual el titular autoriza el tratamiento, antes de obtener su autorización.

¿Estamos avanzando hacia autorizaciones más específicas?

Estamos ante una reglamentación que no solo establece elementos mínimos de una autorización, sino que señala que los terceros receptores deben abstenerse de solicitar autorizaciones generales o abiertas que impidan al titular conocer la finalidad, el término y el tratamiento específico que se dará a sus datos personales.

Lo anterior podría ser una señal de una tendencia hacia autorizaciones cada vez más específicas que, aunque por el momento corresponde específicamente al sistema de finanzas abiertas, resulta interesante observar cómo se pone el foco en que el titular cuente con información cada vez más concreta para decidir y conocer el tratamiento que se dará a sus datos personales.

La autorización va más allá de un clic

Existen, además, otros dos elementos que permiten entender que el decreto no se limita a decir que se debe obtener una autorización, sino que establece mecanismos adicionales alrededor de esta, y que van más allá de una firma o un clic:

• Primero, antes de la circulación de la información, el proveedor de datos debe confirmar con el titular que el tercero receptor cuenta con su autorización, confirmación que debe evidenciar el contenido mínimo de la autorización y permitir al titular autorizar o negar el suministro;
• Segundo, los participantes deben utilizar mecanismos fuertes de autenticación para las acciones relacionadas con otorgar, modificar o revocar la autorización.

¿Qué significa esto para el titular?

El Decreto reconoce, además, derechos específicos dentro del sistema: conocer la autorización y obtener copia de esta, revocarla o actualizarla, abstenerse de autorizar el tratamiento de sus datos y obtener explicaciones sobre el uso dado a sus datos; lo que para el titular significa que la autorización no es un paso más dentro de una aceptación general para que se utilicen sus datos, pues antes de autorizar debería poder conocer quién va a tratar esos datos, qué datos serán tratados, qué tratamiento se realizará, con qué finalidad y cuál es el tiempo de esa finalidad.

En consecuencia, aunque no podamos afirmar que se esté haciendo un cambio profundo a las reglas generales de protección de datos personales en Colombia, el Decreto 368 de 2026 plantea unas reglas que, dentro del sistema de finanzas abiertas, nos permiten pensar que se está avanzando hacia autorizaciones cada vez más específicas en las que el titular pueda conocer con mayor detalle qué ocurrirá con sus datos antes de decidir si autoriza o no su tratamiento, y que refuerzan la obligatoriedad de los principios del régimen general de protección de datos personales.

Evalúe el impacto del Decreto 368 de 2026 en los procesos de tratamiento de información de su entidad. Contacte a los especialistas de Data Protected para recibir acompañamiento experto en la implementación y gestión de autorizaciones en el entorno de finanzas abiertas.