CIRCULAR EXTERNA 003 DE 2025
(diciembre 19)
Diario Oficial No. 53.355 de 2 de enero de 2025
SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO
| Para: | Entidades vigiladas por la Superintendencia de Industria y Comercio en su rol de Autoridad de Protección de Datos personales. |
| Asunto: | Instrucciones sobre cláusulas contractuales modelo para la transferencia y transmisión internacional de datos personales. |
CONSIDERACIONES:
El flujo transnacional de datos personales es central para el comercio internacional y para la economía digital. El intercambio de información entre actores ubicados en distintas jurisdicciones fomenta el comercio internacional y promueve el acceso a mejores bienes y servicios. Las dinámicas propias de la globalización, sobre todo en la era digital, trascienden las fronteras del Estado-nación y precisan nuevas herramientas para proteger los derechos humanos en un contexto marcado por la deslocalización. Todo esto genera retos para la protección de las personas en relación con sus datos personales y para la extensión más amplia posible de las relaciones comerciales, en especial, cuando las diferencias entre marcos regulatorios puedan generar tensiones e inseguridad jurídica.
El artículo 26 de la Ley 1581 de 2012 regula la transferencia internacional de datos personales. La transferencia internacional de datos personales está permitida cuando la misma se realice a países que "proporcionen niveles adecuados de protección de datos". Un país ofrece un nivel adecuado de protección de datos personales cuando cumple con los estándares fijados por la Superintendencia de Industria y Comercio sobre la materia, los cuales en ningún caso podrán ser inferiores a los exigidos por la Ley 1581 de 2012. Asimismo, el mencionado artículo 26, prohíbe la transferencia de datos personales a países que no proporcionen niveles adecuados de protección. Tal prohibición solo admite excepciones en los casos expresamente previstos en el mismo artículo, o cuando la Superintendencia de Industria y Comercio emita una declaratoria de conformidad para la transferencia internacional de datos personales.
El Parágrafo Segundo del numeral 3.2 del Título V de la Circular Única de esta Superintendencia establece que cuando la transferencia de datos personales se realice a un país no relacionado en la lista de países con niveles adecuados de protección de datos personales corresponderá al Responsable del tratamiento verificar si la operación está comprendida en una de las causales de excepción del artículo 26 de la Ley número 1581 de 2012, o si ese país cumple con los estándares fijados en el numeral 3.1 del capítulo tercero de dicha circular. En esos casos, podrá realizar la transferencia. En caso contrario, deberá solicitar la respectiva declaración de conformidad ante la Superintendencia de Industria y Comercio.
La figura del reconocimiento de países con niveles adecuados de protección de datos personales tiene como propósito garantizar que los datos personales mantengan, en el país de destino, el mismo nivel de salvaguarda y garantía de derechos que poseen en el país de origen. Este mecanismo permite generar equivalencias funcionales de protección normativa entre distintas jurisdicciones. Esto facilita el flujo de datos personales entre una y otra, y asegura la continuidad en la tutela jurídica de la información personal, evitando que su flujo transfronterizo implique una disminución en el estándar de protección aplicable.
El Decreto 255 de 2022 reglamentó lo dispuesto en el artículo 27 de la Ley número 1581 de 2012, relativo a "normas corporativas vinculantes para la certificación de buenas prácticas en protección de datos personales y su transferencia a terceros países". Las Normas Corporativas Vinculantes (NCV) constituyen una alternativa adicional a los mecanismos previstos en la normativa colombiana para facilitar la transferencia internacional de datos personales entre Responsables pertenecientes a un mismo grupo empresarial, ubicados en diferentes países.
La suscripción de cláusulas contractuales modelo es otro mecanismo para facilitar el flujo transfronterizo de datos personales y simultáneamente proteger los derechos de los titulares de los datos personales. Incluso, en los casos en que no exista un reconocimiento formal de un nivel adecuado entre dos jurisdicciones, los actores que deseen transferir datos personales entre ellos pueden optar por suscribir dichas cláusulas con el fin de comprometerse a unos estándares comunes. Las cláusulas contractuales modelo son disposiciones estandarizadas que recogen obligaciones recíprocas entre quienes participan en el flujo transfronterizo de datos, que buscan garantizar que el tratamiento de datos personales se realice debidamente. Estas cláusulas pueden emplearse tanto en escenarios de transferencia como de transmisión internacional de datos personales.
La existencia, el reconocimiento formal y el empleo voluntario de las cláusulas contractuales modelo en el contexto de los flujos transfronterizos de datos personales son una herramienta complementaria para reforzar las salvaguardas para la protección de los datos personales.
La Red Iberoamericana de Protección de Datos (RIPD), en su XIX encuentro, celebrado el 22 de octubre de 2021 en la ciudad de México(1), exhortó a los Estados Iberoamericanos y al sector empresarial a tomar en consideración la Guía de Implementación de las Cláusulas Contractuales Modelo desarrolladas por la propia Red para las Transferencias Internacionales de Datos Personales. Esta guía busca establecer herramientas jurídicas estandarizadas que permitan realizar transferencias internacionales desde países miembros de la RIPD hacia jurisdicciones que no cuenten todavía con la declaración de "nivel adecuado" de protección de datos personales.
Las Cláusulas Contractuales Modelo aprobadas por la RIPD constituyen un instrumento útil para facilitar el cumplimiento normativo, reducir los costos regulatorios y mitigar los riesgos jurídicos derivados del flujo transfronterizo de datos personales, especialmente en contextos donde no existen decisiones de adecuación por parte de las autoridades nacionales.
Argentina(2), Uruguay(3) y Perú(4) han adoptado oficialmente estas cláusulas modelo, reconociéndolas como mecanismos válidos para garantizar la continuidad de la protección de datos personales transferidos internacionalmente, promoviendo así la convergencia normativa y la seguridad jurídica regional.
Las presentes instrucciones relativas a las Cláusulas Contractuales Modelo aprobadas por la RIPD por parte de la Superintendencia de Industria y Comercio están orientadas a ofrecer a los sujetos vigilados, Responsables y Encargados, lineamientos uniformes para facilitar el cumplimiento de la Ley 1581 de 2012, la garantía del derecho fundamental a la protección de datos personales, la seguridad jurídica y la expansión del comercio internacional.
El Decreto número 1074 de 2025 introdujo una diferencia entre transferencia y transmisión de datos personales. La transferencia internacional de datos personales es aquella que tiene lugar cuando el Responsable y/o Encargado del tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del tratamiento y se encuentra fuera del país. Por otro lado, establece que la transmisión internacional de datos personales es aquella que tiene lugar cuando el envío de la información o los datos personales se realiza entre un Responsable ubicado en Colombia a un Encargado que se encuentra fuera del país.
Finalmente, la Superintendencia de Industria y Comercio recuerda que entre sus funciones están las de "velar por el cumplimiento de la legislación en materia de protección de Datos personales" e "impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley". Esto, según los literales a) y e) del artículo 21, de la Ley Estatutaria número 1581 de 2012.
Sobre las funciones de esta Superintendencia, fijadas en el citado artículo 21 de la Ley 1581 de 2012, la Corte Constitucional, mediante Sentencia C–748 de 2011, consideró:
"Esta disposición enlista las funciones que ejercerá la nueva Delegatura de protección de Datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estándares internacionales establecidos sobre la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigación y sanción por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promoción de la protección de datos.
Además, debe afirmarse que, tal como lo estableció la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia –a través de la Delegatura–, "caen dentro del ámbito de las funciones de policía administrativa que corresponden a esos órganos técnicos adscritos al ejecutivo (artículo 115 CP), en tanto expresión de la potestad de dirección e intervención del Estado en la economía (artículo 334), y de intervención reforzada del Gobierno en las actividades financiera, bursátiles y aseguradoras (artículo 335 CP)" (destacado fuera de texto).
La alusión pertinente sobre la función de "impartir instrucciones" de la autoridad de vigilancia y control, contenida en la Sentencia C-1011 de 2008 de la Corte Constitucional, es la siguiente:
"Para cumplir con esta obligación de protección y garantía de los derechos del sujeto concernido, el legislador estatutario estableció en el artículo 17 que las Superintendencias de Industria y Comercio y Financiera ejercerán la función de vigilancia (…). Estas funciones de vigilancia consisten, entre otros aspectos, en impartir instrucciones y órdenes sobre la manera como deben cumplirse las disposiciones previstas por la normativa estatutaria, relacionadas con la administración de la mencionada información, para lo cual las Superintendencias fijarán los criterios que faciliten su cumplimiento y señalarán procedimientos para su cabal aplicación." (Destacado fuera de texto).
Por todo lo anterior, la Superintendencia de Industria y Comercio, en ejercicio de la facultad de "impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuación [a la ley] de las operaciones de los Responsables y Encargados del Tratamiento", conferida por la Ley 1581 de 2012 (artículo 21, literal e), instruye a sus sujetos vigilados, en los siguientes términos:
INSTRUCCIONES
1. Las Cláusulas Contractuales Modelo para la transferencia internacional de datos personales a las que se refiere la Guía de implementación de cláusulas contractuales modelo para la transferencia internacional de datos personales, aprobada por la Red Iberoamericana de Protección de Datos (RIPD), y los Modelos de cláusulas contractuales incluidos en el anexo correspondiente, esto es: "I. Acuerdo Modelo de Transferencia Internacional de Datos Personales entre Responsable y Responsable" para transferencias internacionales de datos personales y el "II. Acuerdo Modelo de Transferencia Internacional de Datos Personales entre Responsable y Encargado" para transmisiones internacionales de datos personales constituyen una herramienta óptima para garantizar que las transferencias y transmisiones internacionales de datos personales se realicen bajo estándares de seguridad y respeto a los derechos de los titulares, cuando el país de destino no esté en la lista de países con un nivel adecuado de protección de datos personales definida por esta entidad, y se encuentre dentro de las excepciones establecidas en el artículo 26 de la Ley 1581 de 2012.
Estas cláusulas ofrecen un marco jurídico confiable, homogéneo y adaptable que protege los derechos y preserva las garantías de los titulares de los datos personales objeto de transferencia o transmisión internacionales, lo que asegura que el estándar fijado por la legislación colombiana se mantenga.
2. Las Cláusulas Contractuales Modelo y su guía de implementación se encuentran disponibles para consulta en el sitio web de la Superintendencia de Industria y Comercio y en el repositorio digital de la RIPD. Tales cláusulas contractuales modelo están también incluidas en el anexo a esta circular para efectos de transparencia y consulta oficial.
3. Las Cláusulas Contractuales Modelo podrán utilizarse en los instrumentos jurídicos que formalicen, tanto la transferencia internacional como la transmisión internacional de datos personales, de conformidad con las definiciones previstas en la Ley 1581 de 2012 y sus decretos reglamentarios. En consecuencia, en el caso del 'II. Acuerdo Modelo de Transferencia Internacional de Datos Personales entre Responsable y Encargado', cuando el instrumento jurídico emplee de manera indistinta el término "transferencia" se deberá entender como "transmisión". Esta interpretación no altera la clasificación jurídica del tratamiento, ni las obligaciones propias del Responsable y del Encargado, según la legislación colombiana.
4. La suscripción de las Cláusulas Contractuales Modelo a las que se refiere la presente circular es facultativa, no excluye otros mecanismos de cumplimiento y puede hacerse sin perjuicio de que los Responsables cumplan con los requisitos establecidos en el artículo 26 de la Ley 1581 de 2012. En especial, cuando el país de destino no se encuentre en la lista de países con nivel adecuado de protección de datos personales reconocidos por la Superintendencia de Industria y Comercio. Dichas cláusulas podrán también emplearse como medida adicional en cualquier transferencia o transmisión internacional de datos personales. Las Cláusulas Contractuales Modelo no sustituyen la verificación de las excepciones del artículo 26 de la Ley 1581 de 2012; por el contrario, se integran a ellas como salvaguarda adicional.
5. Las Cláusulas Contractuales Modelo a las que se refiere la presente circular podrán utilizarse en los instrumentos jurídicos que formalicen la transferencia o la transmisión internacional de datos personales, siempre que no contravengan las disposiciones de la legislación colombiana en materia de protección de datos personales. La suscripción de dichas cláusulas no implica el levantamiento ni la inaplicación de la prohibición establecida en el artículo 26 de la Ley 1581 de 2012. En caso de contradicción entre dichas cláusulas y lo previsto en la Ley 1581 de 2012, sus decretos reglamentarios o las instrucciones impartidas por esta Superintendencia, prevalecerá el marco jurídico colombiano.
6. Las Cláusulas Contractuales Modelo a las que se refiere la presente circular podrán ser objeto de modificaciones siempre que tales cambios no reduzcan, limiten ni alteren las garantías en ellas previstas o previstas en la legislación colombiana de protección de datos personales. En todo caso, será posible complementarlas con deberes, obligaciones o garantías adicionales, aun cuando no estén contemplados expresamente en la legislación vigente o en desarrollos normativos futuros, siempre que: ello implique un nivel igual o superior de protección para los titulares y se utilice un lenguaje compatible con el régimen colombiano de protección de datos personales. De manera particular, los Responsables deberán valorar las condiciones específicas de cada transferencia o transmisión internacional de datos personales, incorporando las medidas adicionales que resulten pertinentes para garantizar un nivel de protección equivalente o superior al exigido en Colombia, sin que cualquier ajuste contractual pueda entenderse como una disminución o flexibilización de las salvaguardas legales aplicables.
7. Cuando se empleen Cláusulas Contractuales Modelo que incorporen conceptos, figuras o plazos no previstos en el régimen colombiano de protección de datos personales (como "terceros beneficiarios", "subencargados" o términos distintos para la notificación de incidentes, entre otros) dichos conceptos tendrán efectos para el caso particular en que sean utilizados. Su validez dependerá de que no reduzcan las garantías del titular ni las obligaciones establecidas en la Ley 1581 de 2012 y sus decretos reglamentarios. Las diferencias en definiciones, procedimientos o tiempos pueden coexistir contractualmente siempre que el Responsable garantice el estándar colombiano; por ejemplo, si la cláusula modelo fija un plazo menor para notificación de incidentes, podrá adoptarse sin afectar el cumplimiento del término previsto en la legislación colombiana. En ningún caso estos instrumentos pueden ser utilizados para desatender o rebajar los estándares de protección del ordenamiento jurídico colombiano.
8. Sin perjuicio del derecho de los titulares a presentar reclamaciones y acciones judiciales ante las autoridades competentes, la Superintendencia precisa que las controversias contractuales entre las partes podrán someterse, en ejercicio de la autonomía de la voluntad, a mecanismos de resolución de disputas y a la elección de un foro principal para las controversias interpartes. Los acuerdos entre las partes sobre distribución de riesgos o límites de responsabilidad aplican exclusivamente entre exportadores e importadores de los datos personales y no afectarán, restringirán ni sustituirán los derechos de los titulares ni las facultades de supervisión de esta Superintendencia.
9. Los Responsables que suscriban las Cláusulas Contractuales Modelo a las que se refiere la presente circular se obligan a cumplirlas. El incumplimiento total o parcial de las mismas podrá ser valorado por esta Superintendencia como un posible incumplimiento del deber de cumplir las instrucciones de esta Superintendencia, de que trata el literal o) del artículo 17 de la Ley 1581 de 2012.
Cordialmente,
La Superintendente de Industria y Comercio,
Cielo Elainne Rusinque Urrego
<Anexo publicado en el Diario Oficial>
<Consultar PDF del Diario Oficial directamente en el siguiente enlace:
https://normograma.com/documentospdf/PDF/C_SIyC_0003_2025_ANEXO.pdf
NOTAS AL FINAL:
1. https://www.repipd.org/documento/declaracion-final-xix-encuentro.pdf
2. https://www.argentina.gob.ar/noticias/la-aaip-aprobo-clausulas-contractuales-modelo-de-la-ripd-paratransferencias
3. https://www.gub.uy/unidad-reguladora-control-datos-personales/institucional/normativa/resolucion-n-50022
4. https://www.gob.pe/institucion/minjus/normas-legales/3617286-0074-2022-jus-dgtaipd
