El 5 de enero de 2026, la Superintendencia de Industria y Comercio de Colombia (“SIC”) publicó la Circular Externa 003/2025 (“Circular”), mediante la cual aprobó el uso de las cláusulas contractuales modelo de la Red Iberoamericana de Protección de Datos (“RIPD”) como mecanismo para validar transferencias y transmisiones internacionales de datos personales.
La Ley 1581 de 2012, que regula la protección de datos personales en el país, solo admite la transferencia internacional de datos personales a países que no cuenten con una decisión de adecuación en supuestos limitados, como cuando se cuenta con el consentimiento del titular o es necesario para ejecutar un contrato entre éste y el responsable.
De acuerdo con la Circular, las cláusulas pueden ser adoptadas con modificaciones, siempre que ello no represente un menoscabo a las garantías comprendidas allí o en la Ley 1581. En cierta forma vinculado a este razonamiento, la Circular admite que aquellos conceptos, figuras o plazos receptados en las cláusulas de la RIPD que no estén previstos en el régimen colombiano de protección de datos tengan plena validez, en tanto éstos no reduzcan las garantías del titular ni las obligaciones establecidas por la Ley 1581 y sus respectivos decretos reglamentarios. A modo de ejemplo, si las cláusulas receptaran un plazo para notificar incidentes de seguridad menor al de la Ley 1581, ello tendrá validez.
Esta medida se alinea con la tendencia actual de la región, donde varios países como Argentina, Chile, Ecuador, Perú y Uruguay ya han adoptado estas cláusulas. La adopción de estas cláusulas coloca a Colombia en una posición más integrada al ecosistema regional donde la transferencia internacional de datos tiene un rol preponderante en la economía global.
