Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el

del Decreto 663 de 1993 y CONSIDERANDO Que la Ley 2294 de 2023 mediante la cual se expide el Plan Nacional de Desarrollo 2022-2026 "Colombia Potencia Mundial de la Vida" cataloga el acceso, uso y aprovechamiento de datos como un catalizador del eje de seguridad humana y justicia social que permite impulsar la transformación social. Que el literal e) del artículo 88 de la Ley 2294 de 2023 establece que el Ministerio de Hacienda y Crédito Público impulsará instrumentos y programas para promover la inclusión financiera y crediticia de la Economía Popular y de las Pyme y la innovación a través de una mayor disponibilidad de información para su caracterización y perfilamiento crediticio . Que el artículo 89 de la Ley 2294 de 2023 establece que la totalidad de las entidades públicas y privadas deberán dar acceso y suministrar toda aquella información que pueda ser empleada para facilitar el acceso a productos y servicios financieros; y ordenó al Gobierno nacional reglamentar sus disposiciones para garantizar un adecuado funcionamiento del esquema. Que de conformidad con el literal r) del numeral 1 del artículo 48 del Estatuto Orgánico del Sistema Financiero el Gobierno nacional tiene la facultad de dictar normas y establecer instrumentos que faciliten el acceso a servicios financieros y de seguros por parte de la población de menores recursos y las micro, pequeñas y medianas empresas. Que el sistema de finanzas abiertas obligatorio corresponde a un primer paso en la construcción de un esquema de datos abiertos que promueva la inclusión financiera y crediticia de la población tradicionalmente excluida mediante el acceso a nuevas fuentes de información, la entrada de nuevos competidores al sistema financiero y el desarrollo de nuevos modelos de negocio que respondan a las necesidades particulares de los consumidores financieros. . 1, DECRETO 0368 DE Página 2 de 14 Continuación del Decreto "Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas." Que el Decreto 1297 de 2022, compilado en el Decreto 2555 de 2010, estableció un esquema de finanzas abiertas de carácter voluntario que brindó seguridad jurídica sobre la facultad de las entidades vigiladas por la Superintendencia Financiera de Colornbia para tratar los datos personales de sus consumidores, previa autorización expresa e informada de sus titulares , y encargó a la Superintendencia Financiera de Colombia la definición de estándares tecnológicos y de seguridad para promover el desarrollo de la arquitectura financiera abierta. Que el Decreto 2555 de 2010 requiere ser modificado para incorporar un marco normativo que permita a las entidades vigiladas por la Superintendencia Financiera de Colombia dar cumplimiento a las disposiciones del artículo 89 de la Ley 2294 de 2023 e incluir disposiciones que fomenten el desarrollo de modelos de negocio innovadores basados en el uso -de información. Que el sistema de finanzas abiertas de carácter obligatorio, incorporado por el presente decreto, atiende a los objetivos de política pública propuestos por el Gobierno nacional en materia de acceso, uso y aprovechamiento de datos para impulsar la transformación social, el empoderamiento de las personas sobre sus datos y el reconocimiento e impulso a la economía popular y comunitaria. Que el sistema de finanzas abiertas de carácter obligatorio, que desarrolla el presente decreto, se estructura sobre el respeto irrestricto de la libertad del consumidor financiero para autorizar el acceso y suministro de sus datos personales de forma previa, expresa e informada . Que el tratamiento de datos personales dentro del sistema de finanzas abiertas deberá adelantarse, en todo momento, de conformidad con lo establecido en las Leyes 1266 de 2008 y 1581 de 2012 y sus decretos reglamentarios , así como aquellas normas que las modifiquen, sustituyan o adicionen. Que la Superintendencia de Industria y Comercio, en cumplimiento de lo dispuesto en el artículo 7 de la Ley 1340 de 2009, emitió concepto previo sobre el presente decreto mediante oficio 25-552853- -3-0 de fecha 24 de noviembre de 2025 y efectuó las siguientes recomendaciones : "1. En relación con los artículos 2.35.8.3.8 y 2.35.8.3.9: Definir qué componentes pueden ser considerados costos recuperables, velando porque estos correspondan a costos promedio eficientes. ií) Establecer la entidad encargada de supervisar y auditar la razonabilidad de las tarifas. iii) Precisar el momento y la forma en que ocurrirá el reconocimiento de dichos costos. 2. En relación con los artículos 2.35.8.3.2. Y 2.35.8.3.3: Justificar en la memoria justificativa del proyecto la necesidad del esquema de autorización y confirmación para el tratamiento de datos personales que implica una doble verificación del consentimiento del titular. 3. En relación con el artículo 2.35.8.3. 7: Justificar en la memoria justificativa del proyecto el plazo seleccionado de doce meses -prorrogable por seis más- para que las entidades habiliten el acceso a cada categoría de datos una vez expedidos los estándares correspondientes por parte de la SFC. 4. En relación con el artículo 2.35.8.6. 1: Considerar implementar lineamientos generales para que, en el desarrollo reglamentario y operativo de los esquemas voluntarios y de los acuerdos bilaterales entre entidades vigiladas y no vigiladas, se incorporen principios 0368 Página 3 de 14 Continuación del Decreto "Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas." orientadores que permitan: (i) asegurar en los bilaterales se definan prevenir de discriminación dificulten la participación de contractual que las condiciones de acceso a información criterios claros, objetivos y verificables; (ii) o condiciones que, limiten o y (íii) promover de actores y las 5. En con los artículos 2. 8.3.4 Y 2.35.8.3.5: Aclarar si la inscripción es obligatoria todos los participantes e el plazo con el que la SFC para expedir los lineamientos del directorio. ¡¡ el artículo 7 de la Ley 1340 de 2009 el concepto emitido por la no es vinculante. Sin de Industria y si la autoridad manifestar de manera respectiva se aparta de dicho concepto dentro de por los cuales se las de la decisión los el contenido del y Comercio la recomendación 1 en cuenta que los componentes que no ser considerados como recuperables podrán variar al nivel de madurez tecnológica y tamaño que la infraestructura para el cumplimiento mandato de podrá ser diferente y por lo tanto componentes del costeo pueden no coincidir entre ellas. emitido por la las recomendaciones 2, 3, 4 Y 5 del concepto Industria y ajustándose la memoria justificativa y modificándose el contenido de los artículos 2 y 2.35.8.5.6, como el Capítulo 6 Título 8 del Libro 35 de la 2 2555 de O, el 1 y el numeral 2 del artículo 4 se cumplió con las formalidades 2011 y el Decreto 1081 Directivo de la Unidad Administrativa Especial Unidad de Proyección de Regulación aprobó el contenido del Acta No. 22 del 19 de el Título 8 Libro la 2 del Decreto 2010, "TíTULO 8 SISTEMA DE ABIERTAS CAPiTULO 1 DISPOSICIONES

Objeto. Las disposiciones el presente Título el los principios, objetivos y reglas que rigen el Artículo finanzas participantes por de Sistema de finanzas entenderá como el conjunto de autoridades, normas, estándares, infraestructuras y interactúan entre sí para permitir el acceso y suministro DECRETO r ,-, í'· () LJL0 DE Página 4 de 14 Continuación del Decreto "Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas." de datos personales de los clientes de las entidades vigiladas por la Superintendencia Financiera de Colombia, previa autorización de su Titular, y de la demás información y servicios definidos en el Capítulo 2 del presente Título. La circulación de los datos personales y demás información incluida dentro del alcance del sistema de finanzas abiertas deberá facilitar el desarrollo de modelos de negocio innovadores orientados a atender los objetivos definidos en el artículo 2.35 .8.1.4 del presente Decreto.

Definiciones. Para efectos del presente Título se adoptan las siguientes definiciones : 1. Autorización: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales en el marco del sistema de finanzas abiertas. El consentimiento deberá atender lo establecido en las Leyes 1266 de 2008 y 1581 de 2012, y demás normas que las reglamenten, modifiquen, sustituyan o adicionen. 2. Dato personal: Pieza de información vinculada a una o varias personas determinadas o determinables o que pueda asociarse con una persona natural o jurídica . 3. Proveedor de datos: Entidad vigilada por la Superintendencia Financiera de Colombia que brinda acceso y suministra los datos personales e información comprendidos en el sistema de finanzas abiertas. 4. Tercero receptor de datos vigilado: Entidad vigilada por la Superintendencia Financiera de Colombia que accede a los datos personales e información comprendidos en el sistema de finanzas abiertas en las condiciones del artículo 2.35.8.2.3 del presente decreto. 5. Tercero receptor de datos no vigilado: Persona jurídica no vigilada por la Superintendencia Financiera de Colombia que accede a los datos personales e información comprendidos en el sistema de finanzas abiertas en las condiciones de los artículos 2.35.8.6.1 y 2.35.8.6.2 del presente decreto. 6. Titular: Persona natural o jurídica cuyos datos personales son objeto de tratamiento en el sistema de finanzas abiertas.

Objetivos del sistema de finanzas abiertas. Serán objetivos del sistema de finanzas abiertas: 1. Promover la inclusión financiera y crediticia de la población a través del acceso y uso de productos y servicios 2. Promover la competencia y la innovación en el sistema financiero . 3. Promover el bienestar financiero de la población . 4. Promover la interoperabilidad del sistema , de conformidad con las reglas establecidas en el presente Decreto. 5. Respetar y garantizar los derechos de los titulares. 6. Velar por la seguridad, transparencia y confianza en el sistema financiero.

Principios del sistema de finanzas abiertas. Además de los principios que rigen el tratamiento de datos personales contenidos en las Leyes 1266 de 2008 y 1581 de 2012 y demás normas que las modifiquen, sustituyan o adicionen, serán aplicables al sistema de finanzas abiertas los siguientes principios : DECRETO e368 DE Página 5 de 14 Continuación del Decreto "Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas. " 1. Acceso a datos personales: Será facultad exclusiva del Titular autorizar a los

s Receptores de Datos para tratar sus datos personales en el sistema de finanzas abiertas. El acceso y suministro a los datos personales comprendidos en el sistema de finanzas abiertas deberá obedecer a una finalidad acorde con los objetivos establecidos en el artículo 2.35.8.1.4 del presente decreto. 2. Transparencia: El sistema de finanzas abiertas deberá contar con información clara, suficiente y oportuna que permita identificar, como mínimo: sus participantes, los datos personales e información que serán objeto de circulación, los mecanismos de circulación y su calidad, las autorizaciones otorgadas y los mecanismos para el ejercicio de los derechos de los titulares . 3. Seguridad y circulación restringida de los datos personales: Los datos personales que circulen en el sistema de finanzas abiertas deberán ser protegidos mediante mecanismos robustos de seguridad de la información y ciberseguridad que eviten su consulta o uso no autorizado. 4. Calidad de la información: Los datos personales e información que circulen en el sistema de finanzas abiertas deberán ser precisos , completos , actualizados y pertinentes para el cumplimiento de los objetivos definidos en el artículo 2.35.8.1.4 del presente decreto. 5. Trato no discriminatorio: El acceso y sumin istro de datos personales y demás información en el sistema de finanzas abiertas deberá realizarse en igualdad de condiciones para todos los participantes y de conformidad con la autorización previa, expresa e informada de su Titular y las condiciones definidas en el presente decreto. 6. Interoperabilidad: Los protocolos de intercambio automático de información que implementen los participantes del sistema de finanzas abiertas se regirán por estándares comunes que permitan una interacción eficiente, segura y transparente. CAPITULO 2 ALCANCE DEL SISTEMA DE FINANZAS ABIERTAS

Datos y servicios. El sistema de finanzas abiertas comprende la circulación de los datos personales e información que hacen parte de las siguientes categorías de información y la prestación de los siguientes servicios: 1. Información sobre los productos y servicios a nombre del Titular. 2. Información asociada al proceso de vinculación del Titular como cliente . 3. Información sobre las características generales de los productos y servicios ofrecidos por los participantes. Los productos y servicios a los que hace referencia el presente artículo incluyen, entre otros, productos de depósito, aseguramiento, crédito e inversión . DECRETO 0368 6 DE 14 Continuación del relacionado con el "Por medio del cual se modifica el Decreto 2555 de 2010 en lo de finanzas lo depósito a la vista historial transaccional que el Proveedor en el inciso anterior, la información sobre los productos a nombre del Titular deberá incluir, como mínimo, el los últimos doce (12) meses contados a partir del momento en recibe la solicitud de acceso a dicha información. En aquellos en los que el tiempo Datos sea inferior a (12) meses transaccional del Titular con el la totalidad del historial 2 del presente artículo el Titular para el la procesamiento o dentro parte del sistema de de brindar dicho análisis,

Participantes. participantes del de finanzas abiertas entidades vigiladas por la Superintendencia Financiera Colombia que sean Proveedores de Datos y Receptores de Datos y inscritas en el directorio de que trata el Capítulo 5 Título 8 del Libro 2 del presente y las personas no vigiladas por la Financiera de que se vinculen a lo establecido en el Capítulo 6 del Título 8 del de la Parte 2 2.35.8.2.3. Obligatoriedad. establecimientos sociedades especializadas en depósitos y electrónicos, las fiduciarias, las comisionistas valores, las sociedades comisionistas de bolsa y productos agropecuarios, agroindustriales o de commodities, las administradoras fondos de pensiones y las sociedades administradoras de inversión, entidades administradoras del componente complementario de ahorro individual del pilar contributivo, autorizadas desarrollar la actividad financiación colaborativa, aseguradoras, entidades con regimenes las que trata la del Decreto 1993 que desarrollan propias de los crédito y Oficiales definidas como un de brindar acceso y los datos en su acto finanzas abiertas de manera obligatoria a los comprendidos en el vigilados por la Superíntendencia Financiera de Receptores bia. DECRETO 7 de 14 Continuación del medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas. ¡¡ CAPITULO 3 ACCESO Y TRATAMIENTO LA INFORMACiÓN

Tratamiento de la información. Los participantes el finanzas abiertas tratarán la información a que se consumidores financieros autoricen manera previa, los casos debe estricto cumplimiento a normas relacionadas con protección de y data las que tratan Leyes 1 de 2008 y 1581 2012 Y demás normas que reglamenten, modifiquen, sustituyan o adicionen. del 1074 de 2015 y el concordancia con lo establecido en el Capítulo

de la 1 2008, participantes del finanzas abiertas deberán adoptar medidas de responsabilidad demostrada para garantizar el debido tratamiento datos comprendidos en el sistema finanzas deberán ser apropiadas, efectivas, útiles, eficientes, demostrables y seguridad, la confidencialidad, la veracidad, la calidad, el uso y la circulación restringida de esa información de Colombia y la

Autorización.

decreto. La solicitud autorización debe presentarse en forma clara y precisa, de tal manera que sea de fácil comprensión para el Titular. la la autorización deberá contener, como mínimo: 1. La identificación del Receptor de Datos, indicando como mínimo su razón social y domicilio. 2. datos personales cuyo tratamiento autoriza el Titular. 3. tratamiento al cual los personales del Titular por parte del Tercero Receptor de Datos, La finalidad específica para la cual el Titular el tratamiento sus datos 5, El tiempo de la finalidad personales. Los generales o abiertas tratamiento abiertas, la cual el Titular autoriza el tratamiento a sus sus abstenerse de solicitar autorizaciones y el conocer la finalidad, el personales en el sistema finanzas Datos no podrán condicionar la prestación de un producto la autorización a la que hace referencia el presente artículo. DECRETO Página 8 de 14 Continuación del Decreto "Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas." Parágrafo. El acceso y suministro de la información a la que hace referencia el numeral 3 del artículo 2.35.8.2.1 del presente Decreto no requiere autorización previa de su Titular.

Confirmación. Los Proveedores de Datos deberán confirmar con el Titular, de forma previa a la circulación de la información a la que hacen referencia los numerales 1 y 2 del artículo 2.35.8.2.1. del presente decreto, que el Tercero Receptor de Datos cuenta con su autorización para acceder y efectuar el tratamiento de sus datos personales en el marco del sistema de finanzas abiertas. Esta confirmación debe evidenciar el contenido mínimo de la autorización otorgada al Tercero Receptor de Datos y facultar al Titular para autorizar o denegar el suministro de los datos por parte del Proveedor de Datos.

Autenticación. Los Participantes del sistema de finanzas abiertas deberán autenticar al Titular para realizar cualquier acción que busque otorgar, modificar o revocar su autorización a través de mecanismos fuertes de autenticación de conformidad con las instrucciones impartidas por la Superintendencia Financiera de Colombia.

Derechos del Titular. Los Proveedores de Datos y los Terceros Receptores de Datos deberán garantizar al Titular, en todo momento, el ejercicio de los siguientes derechos: 1. 2. 3. 4. Conocer la autorización otorgada y obtener copia de esta. Revocar o actualizar la autorización otorgada. Abstenerse de autorizar el tratamiento de sus datos personales. Obtener explicación del uso dado a sus datos personales.

Infraestructura. Los Participantes del sistema de finanzas abiertas deberán implementar protocolos de intercambio automático de información que les permitan atender o realizar solicitudes de acceso y suministro de datos personales e información de forma expedita, segura y estandarizada. Los protocolos de intercambio automático de información deben funcionar a partir de interfaces de programación de aplicaciones (API), ser interoperables y cumplir con los estándares de arquitectura, seguridad y tecnología definidos por la Superintendencia Financiera de Colombia.

Plazos para habilitar el acceso. Las entidades a las que hace referencia el artículo 2.35.8.2.3 del presente decreto deberán habilitar el acceso a los datos personales e información comprendidos en cada una de las categorías de información y servicios definidos en el artículo 2.35.8.2.1 del presente Decreto en un plazo máximo de doce (12) meses contados a partir de la expedición de cada uno de los estándares requeridos para su suministro. La Superintendencia Financiera de Colombia podrá ampliar, por una única vez, el término previsto en el inciso anterior hasta por seis (6) meses. Sin perjuicio de lo anterior, la Superintendencia Financiera de Colombia podrá ampliar por un término adicional de máximo seis (6) meses el plazo para la habilitación del acceso a los datos personales de los clientes persona jurídica que no correspondan a las definidas en el artículo 2.2.1.13.2.2 del Decreto 1074 de 2015.

Costos de acceso. Los Proveedores de Datos podrán cobrar por el uso de su infraestructura para la circulación de la información en el sistema de finanzas abiertas, de acuerdo con los criterios establecidos en el artículo 2.35.8.3.9 del presente decreto. DECRETO C3G8 DE Página 9 de 14 Continuación del Decreto "Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con el sistema de finanzas abiertas." El cobro se realizará únicamente para recuperar el costo incurrido de manera directa en la implementación o mantenimiento de la infraestructura mencionada en el artículo 2.35.8.3.6 y para la implementación de los estándares mencionados en el artículo 2.35.8.4.1, Y deberá realizarse con base en factores objetivos, medibles y verificables que garanticen que estos no limitan el acceso de los Participantes.

Criterios para la recuperación de costos. Los Proveedores de Datos determinarán la recuperación de los costos de conformidad con los siguientes criterios: 1. El esquema de cobro deberá corresponder al volumen de consultas o del uso que haga cada Tercero Receptor de Datos. 2. Únicamente podrán trasladarse los costos para garantizar la disponibilidad de la información y su circulación en condiciones de seguridad y calidad. 3. Los costos aplicarán en igualdad de condiciones para todos los Terceros Receptores de Datos. En ningún caso podrán cobrar por la información que sea objeto de circulación en el sistema de finanzas abiertas.

Suficiencia de los requisitos de acceso. Los Proveedores de Datos no podrán restringir el acceso y suministro de la información comprendida en el sistema de finanzas abiertas a los Terceros Receptores de Datos Vigilados que cumplan con lo dispuesto en el presente decreto y con los requisitos establecidos por la Superintendencia Financiera de Colombia para el adecuado funcionamiento del sistema de finanzas abiertas. CAPITULO 4 ESTÁNDARES DEL SISTEMA DE FINANZAS ABIERTAS