{"id":2704,"date":"2026-04-22T16:20:18","date_gmt":"2026-04-22T16:20:18","guid":{"rendered":"https:\/\/cuellar-abogados.com\/?p=2704"},"modified":"2026-04-22T16:27:02","modified_gmt":"2026-04-22T16:27:02","slug":"decreto-0368-de-2026-colombia-establece-las-finanzas-abiertas-obligatorias","status":"publish","type":"post","link":"https:\/\/cuellar-abogados.com\/en\/decreto-0368-de-2026-colombia-establece-las-finanzas-abiertas-obligatorias\/","title":{"rendered":"Decreto 0368 de 2026: Colombia establece las finanzas abiertas obligatorias."},"content":{"rendered":"<p><em>Lo que deben saber \u2014 y hacer \u2014 los participantes del sistema desde ya<\/em>.<\/p>\n\n\n\n<p>El 7 de abril de 2026, el Ministerio de Hacienda y Cr\u00e9dito P\u00fablico expidi\u00f3 el <strong>Decreto 0368 de 2026<\/strong>, incorporando al ordenamiento jur\u00eddico colombiano un sistema de finanzas abiertas de car\u00e1cter <strong>obligatorio<\/strong>. La norma, que modifica el Decreto 2555 de 2010 y desarrolla el mandato del Plan Nacional de Desarrollo (Ley 2294 de 2023), representa el cambio estructural m\u00e1s significativo en la regulaci\u00f3n del sistema financiero colombiano en materia de datos desde la expedici\u00f3n de la Ley 1581 de 2012.<\/p>\n\n\n\n<p>Para los participantes del ecosistema \u2014bancos, aseguradoras, fintechs, administradoras de fondos de pensiones, comisionistas de bolsa y terceros no vigilados que deseen vincularse\u2014 este decreto no es una norma que puede archivarse a la espera de que la Superintendencia Financiera expida los est\u00e1ndares t\u00e9cnicos. Hay obligaciones que nacen hoy, y hay trabajo que puede y debe comenzar ahora.<\/p>\n\n\n\n<p>Este art\u00edculo explica qu\u00e9 cambi\u00f3, qu\u00e9 obliga el decreto directamente y qu\u00e9 queda pendiente de regulaci\u00f3n posterior, con foco en las implicaciones de privacidad y gobernanza de datos.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">1. \u00bfQu\u00e9 es el sistema de finanzas abiertas seg\u00fan el Decreto 0368?<\/h2>\n\n\n\n<p>El decreto define el sistema de finanzas abiertas como <em>&#8220;el conjunto de autoridades, normas, est\u00e1ndares, infraestructuras y participantes que interact\u00faan para permitir el acceso y suministro de datos personales de los clientes de entidades vigiladas por la SFC&#8221;<\/em>, siempre bajo consentimiento previo, expreso e informado del titular.<\/p>\n\n\n\n<p>En t\u00e9rminos pr\u00e1cticos: los datos financieros pertenecen al usuario, no a la entidad que los custodia. Bajo este modelo, un consumidor puede autorizar que su historial transaccional, sus productos financieros activos o su informaci\u00f3n de vinculaci\u00f3n sean compartidos con otra entidad \u2014un banco competidor, una fintech, una aseguradora\u2014 para obtener mejores condiciones de cr\u00e9dito, nuevos productos o servicios personalizados.<\/p>\n\n\n\n<p>Lo que hasta antes del decreto era voluntario, ahora es una obligaci\u00f3n para todas las entidades vigiladas por la SFC.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">2. El cambio de fondo: de voluntario a obligatorio<\/h2>\n\n\n\n<p>El antecedente inmediato es el <strong>Decreto 1297 de 2022<\/strong>, que habilitaba a las entidades vigiladas a tratar y comercializar datos bajo un esquema completamente voluntario. Pocos participantes lo adoptaron, y el ecosistema no despeg\u00f3.<\/p>\n\n\n\n<p>El Decreto 0368 cambia esa ecuaci\u00f3n de ra\u00edz. Las entidades vigiladas \u2014sin excepci\u00f3n\u2014 deben participar como proveedoras de datos. No hay margen de voluntariedad para el sector regulado. La decisi\u00f3n de participar o no qued\u00f3 reservada \u00fanicamente para los terceros no vigilados, como las empresas del sector <em>Fintech<\/em>.<\/p>\n\n\n\n<p><strong>El principio central del nuevo sistema:<\/strong><br>La informaci\u00f3n financiera es del usuario. Las entidades que la custodian tienen la obligaci\u00f3n de compartirla cuando el titular lo autorice, bajo reglas comunes y est\u00e1ndares t\u00e9cnicos definidos por la SFC.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">3. Los participantes y sus roles<\/h2>\n\n\n\n<p>El decreto define tres tipos de participantes:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Titular: <\/strong>la persona natural o jur\u00eddica cuyos datos son objeto de tratamiento. Es el eje del sistema: sin su autorizaci\u00f3n, no hay circulaci\u00f3n de datos.<\/li>\n\n\n\n<li><strong>Proveedor de datos: <\/strong>entidad vigilada por la SFC que brinda acceso y suministra los datos. Rol obligatorio para todos los establecimientos de cr\u00e9dito, SEDPE, fiduciarias, aseguradoras, comisionistas de bolsa, AFPs y dem\u00e1s entidades supervisadas.<\/li>\n\n\n\n<li><strong>Tercero receptor de datos: <\/strong>entidad vigilada o persona jur\u00eddica no vigilada que accede a los datos con autorizaci\u00f3n del titular. Para los no vigilados, la vinculaci\u00f3n es voluntaria y condicionada al cumplimiento de requisitos que deben verificar los propios proveedores.<\/li>\n<\/ul>\n\n\n\n<p>Este \u00faltimo punto merece atenci\u00f3n especial: el decreto elimin\u00f3 la figura de los &#8216;terceros de confianza&#8217; que hab\u00eda en el proyecto de norma, y traslad\u00f3 a los proveedores de datos la responsabilidad de verificar que los receptores no vigilados est\u00e9n habilitados para participar. Esto crea una carga de debida diligencia para las entidades vigiladas que ya es exigible.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">4. El r\u00e9gimen de consentimiento: doble verificaci\u00f3n como regla estructural<\/h2>\n\n\n\n<p>Desde la perspectiva de privacidad y protecci\u00f3n de datos, el elemento m\u00e1s relevante del decreto es el mecanismo de doble consentimiento. Su estructura es la siguiente:<\/p>\n\n\n\n<p><strong>Primera capa: autorizaci\u00f3n del titular al receptor<\/strong><\/p>\n\n\n\n<p>El tercero receptor de datos debe obtener del titular una autorizaci\u00f3n que contenga, como m\u00ednimo: (i) identificaci\u00f3n del receptor, (ii) datos personales cuyo tratamiento se autoriza, (iii) tipo de tratamiento, (iv) finalidad espec\u00edfica, y (v) plazo de la autorizaci\u00f3n.<\/p>\n\n\n\n<p><strong>Segunda capa: confirmaci\u00f3n por parte del proveedor<\/strong><\/p>\n\n\n\n<p>Antes de que el proveedor comparta la informaci\u00f3n, debe confirmar directamente con el titular que el receptor cuenta efectivamente con su autorizaci\u00f3n. No basta con que el receptor afirme tenerla.<\/p>\n\n\n\n<p>Este esquema es materialmente m\u00e1s exigente que los flujos de consentimiento que la mayor\u00eda de las entidades tienen implementados hoy. Los avisos de privacidad gen\u00e9ricos, las autorizaciones por defecto o los consentimientos agrupados no son compatibles con este modelo.<\/p>\n\n\n\n<p><strong>Implicaci\u00f3n pr\u00e1ctica inmediata:<\/strong><br>Las entidades deben revisar hoy sus mecanismos de consentimiento, sus avisos de privacidad y sus flujos de autorizaci\u00f3n. Esta obligaci\u00f3n no espera los est\u00e1ndares t\u00e9cnicos de la SFC: nace con el decreto.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">5. Qu\u00e9 informaci\u00f3n circula en el sistema<\/h2>\n\n\n\n<p>El decreto define tres categor\u00edas de datos objeto del sistema:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Informaci\u00f3n sobre productos y servicios a nombre del titular<\/strong>: incluyendo historial transaccional, condiciones particulares de productos de dep\u00f3sito, cr\u00e9dito, aseguramiento e inversi\u00f3n. La norma establece que debe compartirse al menos el historial de los \u00faltimos doce meses.<\/li>\n\n\n\n<li><strong>Informaci\u00f3n asociada al proceso de vinculaci\u00f3n del cliente<\/strong>: datos de conocimiento del cliente (KYC) y onboarding.<\/li>\n\n\n\n<li><strong>Caracter\u00edsticas generales de los productos y servicios ofrecidos por los participantes<\/strong>: informaci\u00f3n que permite a los usuarios comparar opciones del mercado.<\/li>\n<\/ul>\n\n\n\n<p>Este alcance es amplio y toca los activos de informaci\u00f3n m\u00e1s sensibles de las entidades financieras. La implementaci\u00f3n requerir\u00e1 no solo adaptaciones tecnol\u00f3gicas, sino una revisi\u00f3n profunda de los programas de privacidad y gobernanza de datos existentes.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">6. Lo que est\u00e1 sujeto a regulaci\u00f3n posterior de la SFC<\/h2>\n\n\n\n<p>El decreto opera en dos niveles: establece el marco jur\u00eddico con obligaciones directas, pero delega en la SFC la definici\u00f3n de los detalles operativos. Los plazos son los siguientes:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>6 meses (hasta octubre 7 de 2026): <\/strong>la SFC debe publicar el cronograma de expedici\u00f3n de est\u00e1ndares t\u00e9cnicos, tecnol\u00f3gicos, funcionales y operacionales del sistema, por categor\u00eda de informaci\u00f3n.<\/li>\n\n\n\n<li><strong>12 meses desde los est\u00e1ndares: <\/strong>las entidades vigiladas tienen ese plazo para habilitar el acceso a los datos de cada categor\u00eda, con posibilidad de pr\u00f3rroga de 6 meses adicionales a criterio de la SFC.<\/li>\n\n\n\n<li><strong>12 meses (hasta abril de 2027): <\/strong>la SFC debe poner en funcionamiento el directorio de participantes y definir los indicadores de seguimiento trimestrales.<\/li>\n<\/ul>\n\n\n\n<p>En la pr\u00e1ctica, el cumplimiento efectivo del intercambio de datos no ocurrir\u00e1 antes del segundo semestre de 2027. Sin embargo, esto <strong>no significa que las entidades puedan esperar.<\/strong> Las que lleguen al momento de expedici\u00f3n de los est\u00e1ndares con el diagn\u00f3stico hecho, las pol\u00edticas actualizadas y la arquitectura tecnol\u00f3gica avanzada tendr\u00e1n una ventaja real. Las que comiencen en ese momento encontrar\u00e1n que seguramente 12 meses no es suficiente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">7. Qu\u00e9 pueden hacer los participantes desde ya<\/h2>\n\n\n\n<p>Con base en lo que el decreto ya defini\u00f3 \u2014categor\u00edas de datos, roles, r\u00e9gimen de consentimiento, responsabilidad demostrada\u2014 hay un conjunto de acciones disponibles hoy:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Mapeo de activos de informaci\u00f3n: <\/strong>identificar qu\u00e9 datos caen dentro de las categor\u00edas del sistema, d\u00f3nde est\u00e1n almacenados y bajo qu\u00e9 condiciones se tratan actualmente.<\/li>\n\n\n\n<li><strong>Revisi\u00f3n de pol\u00edticas de privacidad y mecanismos de consentimiento: <\/strong>verificar si los flujos actuales son compatibles con el doble consentimiento que el decreto exige.<\/li>\n\n\n\n<li><strong>Diagn\u00f3stico de madurez en APIs: <\/strong>la Circular 004 de 2024 ya anticip\u00f3 los est\u00e1ndares t\u00e9cnicos m\u00ednimos. Las entidades que no han iniciado ese proceso est\u00e1n en mora t\u00e9cnica.<\/li>\n\n\n\n<li><strong>Dise\u00f1o de procedimientos para onboarding de terceros no vigilados: <\/strong>los proveedores deben poder verificar la habilitaci\u00f3n de los receptores no vigilados sin incurrir en tratos discriminatorios.<\/li>\n\n\n\n<li><strong>Revisi\u00f3n de contratos con proveedores tecnol\u00f3gicos: <\/strong>verificar si los contratos permiten la interoperabilidad y el acceso v\u00eda API que el sistema exigir\u00e1.<\/li>\n\n\n\n<li><strong>Seguimiento al proceso regulatorio de la SFC: <\/strong>participar activamente en las consultas p\u00fablicas cuando se publiquen los proyectos de circular es una oportunidad de influir en est\u00e1ndares que los afectan directamente.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Conclusi\u00f3n<\/h2>\n\n\n\n<p>El Decreto 0368 de 2026 no es una norma program\u00e1tica. Es un marco jur\u00eddico que crea obligaciones directas hoy y que establece una hoja de ruta regulatoria con plazos definidos. Para los participantes del sistema financiero colombiano, la pregunta debe ser como se preparan desde ya para lo que se viene. Desde la perspectiva de privacidad y gobernanza de datos, el decreto implica una revisi\u00f3n estructural de c\u00f3mo las entidades gestionan el consentimiento, documentan el tratamiento de datos personales y verifican el cumplimiento de sus contrapartes. Ese trabajo puede y debe comenzar ahora.<\/p>\n\n\n\n<p><em>Cuellar Abogados asesora a entidades financieras, fintechs y empresas de tecnolog\u00eda en la estructuraci\u00f3n de programas de privacidad, gobernanza de datos y cumplimiento regulatorio. Si tiene preguntas sobre las implicaciones del Decreto 0368 para su organizaci\u00f3n,<\/em> &nbsp;<a href=\"https:\/\/cuellar-abogados.com\/en\/contact\/\">cont\u00e1ctenos.<\/a><\/p>\n\n\n\n<p><\/p>","protected":false},"excerpt":{"rendered":"<p>Lo que deben saber \u2014 y hacer \u2014 los participantes del sistema desde ya. El 7 de abril de 2026, el Ministerio de Hacienda y Cr\u00e9dito P\u00fablico expidi\u00f3 el Decreto 0368 de 2026, incorporando al ordenamiento jur\u00eddico colombiano un sistema de finanzas abiertas de car\u00e1cter obligatorio. La norma, que modifica el Decreto 2555 de 2010 [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":2706,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_uag_custom_page_level_css":"","footnotes":""},"categories":[14,27,26,24],"tags":[],"class_list":["post-2704","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-banking-finance","category-fintech","category-open-finance","category-privacy"],"blocksy_meta":[],"aioseo_notices":[],"uagb_featured_image_src":{"full":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-scaled.jpg",2560,1707,false],"thumbnail":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-150x150.jpg",150,150,true],"medium":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-300x200.jpg",300,200,true],"medium_large":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-768x512.jpg",768,512,true],"large":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-1024x683.jpg",1024,683,true],"1536x1536":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-1536x1024.jpg",1536,1024,true],"2048x2048":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-2048x1366.jpg",2048,1366,true],"trp-custom-language-flag":["https:\/\/cuellar-abogados.com\/wp-content\/uploads\/2026\/04\/pexels-photo-6771899-6771899-18x12.jpg",18,12,true]},"uagb_author_info":{"display_name":"Arturo Cuellar","author_link":"https:\/\/cuellar-abogados.com\/en\/author\/arturo\/"},"uagb_comment_info":0,"uagb_excerpt":"Lo que deben saber \u2014 y hacer \u2014 los participantes del sistema desde ya. El 7 de abril de 2026, el Ministerio de Hacienda y Cr\u00e9dito P\u00fablico expidi\u00f3 el Decreto 0368 de 2026, incorporando al ordenamiento jur\u00eddico colombiano un sistema de finanzas abiertas de car\u00e1cter obligatorio. La norma, que modifica el Decreto 2555 de 2010&hellip;","_links":{"self":[{"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/posts\/2704","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/comments?post=2704"}],"version-history":[{"count":2,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/posts\/2704\/revisions"}],"predecessor-version":[{"id":2707,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/posts\/2704\/revisions\/2707"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/media\/2706"}],"wp:attachment":[{"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/media?parent=2704"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/categories?post=2704"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cuellar-abogados.com\/en\/wp-json\/wp\/v2\/tags?post=2704"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}