Decreto 368 de 2026

DECRETO 368 DE 2026

DECRETO 368 DE 2026

(abril 07) por medio del cual se modifica el Decreto niimero 2555 de 2010 en lo relacionado con el Sistema de Finanzas Abiertas.

ESTADO DE VIGENCIA: Vigente Los datos publicados en SUIN-Juriscol son exclusivamente informativos, con fines de divulgacion del ordenamiento juridico colombiano, cuya fuente es el Diario Oficial y la pertinente. La actualizacién es periédica. El seguimiento y verificacion de la evolucién normativa y | no implica una funcion de certificacion, ni interpretacion de la vigencia de las normas por parte del Ministerio.

Subtipo: DECRETO REGLAMENTARIO El Presidente de la Republica de Colombia, en ejercicio de las facultades constitucionales y legales, en especial de las que le confieren el numeral 11 y 25 del articulo 189 de la Constitucion Politica, el literal e) del articulo 88 y el articulo 89 de la Ley 2294 de 2023 y el literal r) del numeral 1 del articulo 48 del Decreto nimero 663 de

1993,y CONSIDERANDO: Que la Ley 2294 de 2023 mediante la cual se expide el Plan Nacional de Desarrollo 20222026 “Colombia Potencia Mundial de la Vida" cataloga el acceso, uso y aprovechamiento de datos como un catalizador del eje de seguridad humana y justicia social que permite impulsar la transformacion social. Que el literal e) del articulo 88 de la Ley 2294 de 2023 establece que el Ministerio de Hacienda y Crédito Publico impulsara instrumentos y programas para promover la inclusion financiera y crediticia de la Economia Popular y de las Pyme y la innovacion a

Que el literal e) del articulo 88 de la Ley 2294 de 2023 establece que el Ministerio de Hacienda y Crédito Publico impulsara instrumentos y programas para promover la inclusion financiera y crediticia de la Economia Popular y de las Pyme y la innovacion a través de una mayor disponibilidad de informacién para su caracterizacion y perfilamiento crediticio. Que el articulo 89 de la Ley 2294 de 2023 establece que la totalidad de las entidades publicas y privadas deberan dar acceso y suministrar toda aquella informacion que pueda ser empleada para facilitar el acceso a productos y servicios financieros; y ordend al Gobierno nacional reglamentar sus disposiciones para garantizar un adecuado funcionamiento del esquema. Que de conformidad con el literal r) del numeral 1 del articulo 48 del Estatuto Organico del Sistema Financiero el Gobierno nacional tiene la facultad de dictar normas y establecer instrumentos que faciliten el acceso a servicios financieros y de seguros por parte de la poblacién de menores recursos y las micro, pequefias y medianas empresas. Que el sistema de finanzas abiertas obligatorio corresponde a un primer paso en la construccion de un esquema de datos abiertos que promueva la inclusién financiera y crediticia de la poblacion tradicionalmente excluida mediante el acceso a nuevas fuentes de informacién, la entrada de nuevos competidores al sistema financiero y el desarrollo de nuevos modelos de negocio que respondan a las necesidades particulares de los consumidores financieros.DECRETO 368 DE 2026 Que el Decreto nimero 1297 de 2022, compilado en el Decreto numero 2555 de 2010, establecié un esquema de finanzas abiertas de caracter voluntario que brindé seguridad juridica sobre la facultad de las entidades vigiladas por la Superintendencia Financiera

establecié un esquema de finanzas abiertas de caracter voluntario que brindé seguridad juridica sobre la facultad de las entidades vigiladas por la Superintendencia Financiera de Colombia para tratar los datos personales de sus consumidores, previa autorizacion expresa e informada de sus titulares, y encargoé a la Superintendencia Financiera de Colombia la definicion de estandares tecnoldgicos y de seguridad para promover el desarrollo de la arquitectura financiera abierta. Que el Decreto nimero 2555 de 2010 requiere ser modificado para incorporar un marco normativo que permita a las entidades vigiladas por la Superintendencia Financiera de Colombia dar cumplimiento a las disposiciones del articulo 89 de la Ley 2294 de 2023 e incluir disposiciones que fomenten el desarrollo de modelos de negocio innovadores basados en el uso de informacién. Que el sistema de finanzas abiertas de caracter obligatorio, incorporado por el presente decreto, atiende a los objetivos de politica publica propuestos por el Gobierno nacional en materia de acceso, uso y aprovechamiento de datos para impulsar la transformacion social, el empoderamiento de las personas sobre sus datos y el reconocimiento e impulso a la economia popular y comunitaria. Que el sistema de finanzas abiertas de caracter obligatorio, que desarrolla el presente decreto, se estructura sobre el respeto irrestricto de la libertad del consumidor financiero para autorizar el acceso y suministro de sus datos personales de forma previa, expresa e informada. Que el tratamiento de datos personales dentro del sistema de finanzas abiertas debera adelantarse, en todo momento, de conformidad con lo establecido en las Leyes 1266 de 2008y 1581 de 2012 y sus decretos reglamentarios, asi como aquellas normas que las

adelantarse, en todo momento, de conformidad con lo establecido en las Leyes 1266 de 2008y 1581 de 2012 y sus decretos reglamentarios, asi como aquellas normas que las modifiquen, sustituyan o adicionen. Que la Superintendencia de Industria y Comercio, en cumplimiento de lo dispuesto en el articulo 7° de la Ley 1340 de 2009, emitié concepto previo sobre el presente decreto mediante oficio 25-552853- -3-0 de fecha 24 de noviembre de 2025 y efectu6 las siguientes recomendaciones: “1. En relacién con los articulos 2.35.8.3.8 y 2.35.8.3.9: Definir qué componentes pueden ser considerados costos recuperables, velando porque estos correspondan a costos promedio eficientes. ii) Establecer la entidad encargada de supervisar y auditar la razonabilidad de las tarifas. iii) Precisar el momento y la forma en que ocurriré el reconocimiento de dichos costos.

2. En relacion con los articulos 2.35.8.3.2. y 2.35.8.3.3: Justificar en la memoria Justificativa del proyecto la necesidad del esquema de autorizacién y confirmacién para el tratamiento de datos personales que implica una doble verificacion del consentimiento del titular.

3. En relacion con el articulo 2.35.8.3.7: Justificar en la memoria justificativa del proyecto el plazo seleccionado de doce meses -prorrogable por seis maspara que las entidades habiliten el acceso a cada categoria de datos una vez expedidos los estandares correspondientes por parte de la SFC.DECRETO 368 DE 2026

proyecto el plazo seleccionado de doce meses -prorrogable por seis maspara que las entidades habiliten el acceso a cada categoria de datos una vez expedidos los estandares correspondientes por parte de la SFC.DECRETO 368 DE 2026

4. En relacion con el articulo 2.35.8.6.1: Considerar implementar lineamientos generales para que, en el desarrollo reglamentario y operativo de los esquemas voluntarios y de los acuerdos bilaterales entre entidades vigiladas y no vigiladas, se incorporen principios orientadores que permitan: (i) asegurar que las condiciones de acceso a la informacioén en los acuerdos bilaterales se definan bajo criterios claros, objetivos y verificables; (i) prevenir practicas de discriminacion injustificada o condiciones que, de facto, limiten o dificulten la participacién de ciertos terceros receptores; y (iiij) promover mecanismos de transparencia contractual que permitan a los distintos actores evaluar y comparar las condiciones ofrecidas, reduciendo el riesgo de exclusion.

5. En relacion con los articulos 2.35.8.3.4 y 2.35.8.3.5: Aclarar si la inscripcion es obligatoria para todos los participantes e indicar el plazo con el que contara la SFC para expedir los lineamientos del directorio”.

Que segun el articulo 7° de la Ley 1340 de 2009 el concepto emitido por la Superintendencia de Industria y Comercio no es vinculante. Sin embargo, si la autoridad respectiva se aparta de dicho concepto debera manifestar de manera expresa dentro de las consideraciones de la decision los motivos por los cuales se aparta. Que revisado el contenido del concepto de la Superintendencia de Industria y Comercio

respectiva se aparta de dicho concepto debera manifestar de manera expresa dentro de las consideraciones de la decision los motivos por los cuales se aparta. Que revisado el contenido del concepto de la Superintendencia de Industria y Comercio se decide no acoger la recomendacion 1 teniendo en cuenta que los componentes que pueden ser considerados como costos recuperables podran variar atendiendo al nivel de madurez tecnolégica y tamafio de cada entidad, que la infraestructura necesaria para el cumplimiento del mandato de obligatoriedad podra ser diferente entre entidades y, por lo tanto, los componentes del costeo pueden no coincidir entre ellas. Que se acogieron las recomendaciones 2, 3, 4 y 5 del concepto previo emitido por la Superintendencia de Industria y Comercio, ajustdndose la memoria justificativa y modificandose el contenido de los articulos 2.35.8.5.4 y 2.35.8.5.6, asi como el Capitulo 6 del Titulo 8 del Libro 35 de la Parte 2 del Decreto nimero 2555 de 2010, incorporados por el articulo 1° y el numeral 2 del articulo 4° del presente decreto. Que dentro del tramite del proyecto de decreto se cumplié con las formalidades previstas en el numeral 8 del articulo 8° de la Ley 1437 de 2011 y el Decreto nimero 1081 de 2015. Que el Consejo Directivo de la Unidad Administrativa Especial Unidad de Proyeccion Normativa y Estudios de Regulacion Financiera (URF) aprobo el contenido del presente decreto mediante Acta nimero 22 del 19 de diciembre de 2025.

DECRETA: Articulo 1°. Sustittyase el Titulo 8 del Libro 35 de la Parte 2 del Decreto numero 2555

decreto mediante Acta nimero 22 del 19 de diciembre de 2025.

DECRETA: Articulo 1°. Sustittyase el Titulo 8 del Libro 35 de la Parte 2 del Decreto numero 2555

de 2010, el cual quedara asi:

“TITULO 8

SISTEMA DE FINANZAS ABIERTAS

CAPITULO 1

Disposiciones GeneralesDECRETO 368 DE 2026 Articulo 2.35.8.1.1. Objeto. Las disposiciones que integran el presente Titulo tienen por objeto establecer el alcance, los principios, objetivos y reglas que rigen el sistema de finanzas abiertas. Articulo 2.35.8.1.2. Sistema de finanzas abiertas. Se entendera como sistema de finanzas abiertas el conjunto de autoridades, normas, estandares, infraestructuras y participantes que interactian entre si para permitir el acceso y suministro estandarizado de datos personales de los clientes de las entidades vigiladas por la Superintendencia Financiera de Colombia, previa autorizacion de su Titular, y de la demas informacion y servicios definidos en el Capitulo 2 del presente Titulo. La circulacion de los datos personales y demas informacion incluida dentro del alcance del sistema de finanzas abiertas debera facilitar el desarrollo de modelos de negocio innovadores orientados a atender los objetivos definidos en el articulo 2.35.8.1.4 del presente decreto. Articulo 2.35.8.1.3. Definiciones. Para efectos del presente Titulo se adoptan las siguientes definiciones:

1. Autorizacion: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales en el marco del sistema de

siguientes definiciones:

1. Autorizacion: Consentimiento previo, expreso e informado del Titular para llevar a cabo el tratamiento de sus datos personales en el marco del sistema de finanzas abiertas. El consentimiento debera atender lo establecido en las Leyes 1266 de 2008 y 1581 de 2012, y demas normas que las reglamenten, modifiquen, sustituyan o adicionen.

2. Dato personal: Pieza de informacion vinculada a una o varias personas determinadas o determinables o que pueda asociarse con una persona natural o juridica.

3. Proveedor de datos: Entidad vigilada por la Superintendencia Financiera de Colombia que brinda acceso y suministra los datos personales e informacion comprendidos en el sistema de finanzas abiertas. 4.Tercero receptor de datos vigilado: Entidad vigilada por Ila Superintendencia Financiera de Colombia que accede a los datos personales e informacion comprendidos en el sistema de finanzas abiertas en las condiciones del articulo 2.35.8.2.3 del presente decreto.

5. Tercero receptor de datos no vigilado: Persona juridica no vigilada por la Superintendencia Financiera de Colombia que accede a los datos personales e informacion comprendidos en el sistema de finanzas abiertas en las condiciones de los articulos 2.35.8.6.1 y 2.35.8.6.2 del presente decreto.

6. Titular: Persona natural o juridica cuyos datos personales son objeto de tratamiento en el sistema de finanzas abiertas.

Articulo 2.35.8.1.4. Objetivos del sistema de finanzas abiertas. Seran objetivos del sistema de finanzas abiertas:

1. Promover lainclusion financiera y crediticia de la poblacion a través del acceso

Articulo 2.35.8.1.4. Objetivos del sistema de finanzas abiertas. Seran objetivos del sistema de finanzas abiertas:

1. Promover lainclusion financiera y crediticia de la poblacion a través del acceso y uso de productos y servicios.DECRETO 368 DE 2026

2. Promover la competencia y la innovacion en el sistema financiero.

3. Promover el bienestar financiero de la poblacion.

4. Promover la interoperabilidad del sistema, de conformidad con las reglas establecidas en el presente decreto.

5. Respetar y garantizar los derechos de los titulares.

6. Velar por la seguridad, transparencia y confianza en el sistema financiero.

Articulo 2.35.8.1.5. Principios del sistema de finanzas abiertas. Ademas de los principios que rigen el tratamiento de datos personales contenidos en las Leyes 1266 de 2008 y 1581 de 2012 y demas normas que las modifiquen, sustituyan o adicionen, seran aplicables al sistema de finanzas abiertas los siguientes principios:

1. Acceso a datos personales: Sera facultad exclusiva del Titular autorizar a los Terceros Receptores de Datos para tratar sus datos personales en el sistema de finanzas abiertas. El acceso y suministro a los datos personales comprendidos en el sistema de finanzas abiertas debera obedecer a una finalidad acorde con los objetivos establecidos en el articulo 2.35.8.1.4 del presente decreto.

2. Transparencia: El sistema de finanzas abiertas debera contar con informacion clara, suficiente y oportuna que permita identificar, como minimo: sus participantes, los datos personales e informaciéon que seran objeto de

presente decreto.

2. Transparencia: El sistema de finanzas abiertas debera contar con informacion clara, suficiente y oportuna que permita identificar, como minimo: sus participantes, los datos personales e informaciéon que seran objeto de circulacion, los mecanismos de circulacion y su calidad, las autorizaciones otorgadas y los mecanismos para el ejercicio de los derechos de los titulares.

3. Seguridad y circulacion restringida de los datos personales: Los datos personales que circulen en el sistema de finanzas abiertas deberan ser protegidos mediante mecanismos robustos de seguridad de la informacién y ciberseguridad que eviten su consulta o uso no autorizado.

4. Calidad de la informacioén: Los datos personales e informacion que circulen en el sistema de finanzas abiertas deberan ser precisos, completos, actualizados y pertinentes para el cumplimiento de los objetivos definidos en el articulo 2.35.8.1.4 del presente decreto.

5. Trato no discriminatorio: El acceso y suministro de datos personales y demas informacién en el sistema de finanzas abiertas debera realizarse en igualdad de condiciones para todos los participantes y de conformidad con la autorizacion previa, expresa e informada de su Titular y las condiciones definidas en el presente decreto.

6. Interoperabilidad: Los protocolos de intercambio automatico de informacion que implementen los participantes del sistema de finanzas abiertas se regiran por estandares comunes que permitan una interaccion eficiente, segura y transparente.DECRETO 368 DE 2026

CAPITULO 2

Alcance del sistema de finanzas abiertas Articulo 2.35.8.2.1. Datos y servicios. El sistema de finanzas abiertas comprende la

transparente.DECRETO 368 DE 2026

CAPITULO 2

Alcance del sistema de finanzas abiertas Articulo 2.35.8.2.1. Datos y servicios. El sistema de finanzas abiertas comprende la circulacion de los datos personales e informacion que hacen parte de las siguientes categorias de informacion y la prestacion de los siguientes servicios:

1. Informacion sobre los productos y servicios a nombre del Titular.

2. Informacién asociada al proceso de vinculacion del Titular como cliente.

3. Informacion sobre las caracteristicas generales de los productos y servicios ofrecidos por los participantes.

Los productos y servicios a los que hace referencia el presente articulo incluyen, entre otros, productos de depdsito, aseguramiento, crédito e inversion. Paragrafo 1°. Los datos especificos de cada una de las categorias de informacion seran definidos y estandarizados por la Superintendencia Financiera de Colombia. Estos datos podran ser definidos a partir de casos de uso, los cuales deberan ser pertinentes para dar cumplimiento a los objetivos establecidos en el articulo 2.35.8.1.4 del presente decreto. Sin perjuicio de lo previsto en el inciso anterior, la informacion sobre los productos de deposito a la vista que estén a nombre del Titular debera incluir, como minimo, el historial transaccional de los ultimos doce (12) meses contados a partir del momento en que el Proveedor de Datos recibe la solicitud de acceso a dicha informacion. En aquellos eventos en los que el tiempo de vinculacion del Titular con el Proveedor de Datos sea inferior a doce (12) meses debera estar disponible la totalidad del historial transaccional del respectivo Titular. Paragrafo 2°. La informacion a la que hace referencia el numeral 1 del presente articulo

Datos sea inferior a doce (12) meses debera estar disponible la totalidad del historial transaccional del respectivo Titular. Paragrafo 2°. La informacion a la que hace referencia el numeral 1 del presente articulo incluira, entre otros aspectos, la informacion sobre el saldo, el historial transaccional, el uso y las condiciones particulares de los productos y servicios vigentes que estén a nombre del Titular. Paragrafo 3°. La informacion a la que hace referencia el numeral 2 del presente articulo corresponde a la informacion recolectada y actualizada sobre el Titular para efectuar el proceso de conocimiento del cliente conforme a las disposiciones expedidas por la Superintendencia Financiera de Colombia. Paragrafo 4°. La informacion a la que hace referencia el numeral 3 del presente articulo corresponde a aquella que facilita la comprensiéon y comparacion de productos y servicios por parte de los consumidores financieros en virtud del derecho establecido en el literal b) del articulo 5° y la obligacion establecida en el articulo 9° de la Ley 1328 de 2009, asi como lo dispuesto en el numeral 1 del articulo 97 del Estatuto Organico del Sistema Financiero. Paragrafo 5°. La informacion generada a partir del andlisis, procesamiento o transformacion de los datos personales e informaciéon comprendidos dentro de lasDECRETO 368 DE 2026 categorias a las que hace referencia el presente articulo no hara parte del sistema de finanzas abiertas. Esta disposicion no exime a los Proveedores de Datos de brindar acceso a los datos personales e informacion sobre los cuales se efectud dicho andlisis, procesamiento o transformacion, previa autorizacion del Titular. Articulo 2.35.8.2.2. Participantes. Seran participantes del sistema de finanzas abiertas

acceso a los datos personales e informacion sobre los cuales se efectud dicho andlisis, procesamiento o transformacion, previa autorizacion del Titular. Articulo 2.35.8.2.2. Participantes. Seran participantes del sistema de finanzas abiertas las entidades vigiladas por la Superintendencia Financiera de Colombia que sean Proveedores de Datos y Terceros Receptores de Datos y que estén inscritas en el directorio de que trata el Capitulo 5 del Titulo 8 del Libro 35 de la Parte 2 del presente decreto y las personas juridicas no vigiladas por la Superintendencia Financiera de Colombia que se vinculen conforme a lo establecido en el Capitulo 6 del Titulo 8 del Libro 35 de la Parte 2 del presente decreto. Articulo 2.35.8.2.3. Obligatoriedad. Los establecimientos de crédito, las sociedades especializadas en depositos y pagos electronicos, las sociedades fiduciarias, las sociedades comisionistas de bolsa de valores, las sociedades comisionistas de bolsa de bienes y productos agropecuarios, agroindustriales o de otros commodities, las sociedades administradoras de fondos de pensiones y cesantias, las sociedades administradoras de inversion, las entidades administradoras del componente complementario de ahorro individual del pilar contributivo, las entidades autorizadas para desarrollar la actividad de financiacion colaborativa, las entidades aseguradoras, las entidades con regimenes especiales de las que trata la Parte Décima del Decreto ndmero 663 de 1993 que desarrollan actividades propias de los establecimientos de crédito y las Instituciones Oficiales Especiales que fueron definidas como un establecimiento de crédito en su acto de creacion, deberan brindar acceso y suministrar

ndmero 663 de 1993 que desarrollan actividades propias de los establecimientos de crédito y las Instituciones Oficiales Especiales que fueron definidas como un establecimiento de crédito en su acto de creacion, deberan brindar acceso y suministrar los datos personales comprendidos en el sistema de finanzas abiertas de manera obligatoria a los Terceros Receptores de datos vigilados por la Superintendencia Financiera de Colombia.

CAPITULO 3

Del acceso y tratamiento de la informacion Articulo 2.35.8.3.1. Tratamiento de la informacién. Los participantes del sistema de finanzas abiertas trataran la informacion a que se refiere el presente decreto, que los consumidores financieros autoricen de manera previa, expresa e informada. En todos los casos debe darse estricto cumplimiento a las normas relacionadas con proteccion de datos y habeas data de las que tratan las Leyes 1266 de 2008 y 1581 de 2012 y demas normas que las reglamenten, modifiquen, sustituyan o adicionen. En concordancia con lo establecido en el Capitulo 25 del Decreto nimero 1074 de 2015 y el articulo 19A de la Ley 1266 de 2008, los participantes del sistema de finanzas abiertas deberan adoptar medidas de responsabilidad demostrada para garantizar el debido tratamiento de los datos personales comprendidos en el sistema de finanzas abiertas. Dichas medidas deberan ser apropiadas, efectivas, utiles, eficientes, demostrables y garantizar la seguridad, la confidencialidad, la veracidad, la calidad, el uso Yy la circulacion restringida de esa informacion. Paragrafo 1°. La Superintendencia Financiera de Colombia y la Superintendencia de

demostrables y garantizar la seguridad, la confidencialidad, la veracidad, la calidad, el uso Yy la circulacion restringida de esa informacion. Paragrafo 1°. La Superintendencia Financiera de Colombia y la Superintendencia de Industria y Comercio ejerceran las funciones de inspeccion, vigilancia y control, segiin el ambito personal y material de aplicacion de las leyes 1266 de 2008 y 1581 de 2012,DECRETO 368 DE 2026 respecto del tratamiento de datos personales por parte de los participantes del sistema de finanzas abiertas. Paragrafo 2°. Lo establecido en el presente Titulo no modifica la obligacion de las entidades vigiladas por la Superintendencia Financiera de Colombia de mantener la reserva bancaria respecto de aquella informacion que no ha sido previa y expresamente autorizada por su Titular para ser compartida en el sistema de finanzas abiertas. Articulo 2.35.8.3.2. Autorizacién. Los Terceros Receptores de Datos deberan contar con autorizacion del Titular para acceder y tratar la informacion a la que hacen referencia los numerales 1 y 2 del articulo 2.35.8.2.1 del presente decreto. La solicitud de autorizacion debe presentarse en forma sencilla, clara y precisa, de tal manera que sea de facil comprension para el Titular. En este sentido, la solicitud de la autorizacién debera contener, como minimo:

1. La identificacion del Tercero Receptor de Datos, indicando como minimo su razon social y domicilio.

2. Los datos personales cuyo tratamiento autoriza el Titular.

3. El tratamiento al cual seran sometidos los datos personales del Titular por parte del Tercero Receptor de Datos.

4. La finalidad especifica para la cual el Titular autoriza el tratamiento de sus

2. Los datos personales cuyo tratamiento autoriza el Titular.

3. El tratamiento al cual seran sometidos los datos personales del Titular por parte del Tercero Receptor de Datos.

4. La finalidad especifica para la cual el Titular autoriza el tratamiento de sus datos personales.

5. El tiempo de la finalidad para la cual el Titular autoriza el tratamiento de sus datos personales.

Los Terceros Receptores de Datos deberan abstenerse de solicitar autorizaciones generales o abiertas que le impidan al Titular conocer la finalidad, el término y el tratamiento especifico que le daran a sus datos personales en el sistema de finanzas abiertas. Los Terceros Receptores de Datos no podran condicionar la prestacion de un producto o servicio al otorgamiento de la autorizaciéon a la que hace referencia el presente articulo. Paragrafo. El acceso y suministro de la informacion a la que hace referencia el numeral 3 del articulo 2.35.8.2.1 del presente decreto no requiere autorizacion previa de su Titular. Articulo 2.35.8.3.3. Confirmacion. Los Proveedores de Datos deberan confirmar con el Titular, de forma previa a la circulacion de la informacion a la que hacen referencia los numerales 1y 2 del articulo 2.35.8.2.1. del presente decreto, que el Tercero Receptor de Datos cuenta con su autorizacion para acceder y efectuar el tratamiento de sus datos personales en el marco del sistema de finanzas abiertas. Esta confirmacion debe evidenciar el contenido minimo de la autorizacion otorgada al Tercero Receptor de Datos y facultar al Titular para autorizar o denegar el suministro de los datos por parte del Proveedor de Datos.DECRETO 368 DE 2026

evidenciar el contenido minimo de la autorizacion otorgada al Tercero Receptor de Datos y facultar al Titular para autorizar o denegar el suministro de los datos por parte del Proveedor de Datos.DECRETO 368 DE 2026 Articulo 2.35.8.3.4. Autenticacién. Los Participantes del sistema de finanzas abiertas deberan autenticar al Titular para realizar cualquier acciéon que busque otorgar, modificar o revocar su autorizacién a través de mecanismos fuertes de autenticacion de conformidad con las instrucciones impartidas por la Superintendencia Financiera de Colombia. Articulo 2.35.8.3.5. Derechos del Titular. Los Proveedores de Datos y los Terceros Receptores de Datos deberan garantizar al Titular, en todo momento, el ejercicio de los siguientes derechos:

1. Conocer la autorizacion otorgada y obtener copia de esta.

2. Revocar o actualizar la autorizacion otorgada.

3. Abstenerse de autorizar el tratamiento de sus datos personales.

4. Obtener explicacion del uso dado a sus datos personales.

Articulo 2.35.8.3.6. Infraestructura. Los Participantes del sistema de finanzas abiertas deberan implementar protocolos de intercambio automatico de informaciéon que les permitan atender o realizar solicitudes de acceso y suministro de datos personales e informacion de forma expedita, segura y estandarizada. Los protocolos de intercambio automatico de informacion deben funcionar a partir de interfaces de programacion de aplicaciones (API), ser interoperables y cumplir con los estandares de arquitectura, seguridad y tecnologia definidos por la Superintendencia Financiera de Colombia.

automatico de informacion deben funcionar a partir de interfaces de programacion de aplicaciones (API), ser interoperables y cumplir con los estandares de arquitectura, seguridad y tecnologia definidos por la Superintendencia Financiera de Colombia. Articulo 2.35.8.3.7. Plazos para habilitar el acceso. Las entidades a las que hace referencia el articulo 2.35.8.2.3 del presente decreto deberan habilitar el acceso a los datos personales e informacion comprendidos en cada una de las categorias de informacion y servicios definidos en el articulo 2.35.8.2.1 del presente decreto en un plazo maximo de doce (12) meses contados a partir de la expedicion de cada uno de los estandares requeridos para su suministro. La Superintendencia Financiera de Colombia podra ampliar, por una unica vez, el término previsto en el inciso anterior hasta por seis (6) meses. Sin perjuicio de lo anterior, la Superintendencia Financiera de Colombia podra ampliar por un término adicional de maximo seis (6) meses el plazo para la habilitacion del acceso a los datos personales de los clientes persona juridica que no correspondan a las definidas en el articulo 2.2.1.13.2.2 del Decreto nimero 1074 de 2015. Articulo 2.35.8.3.8. Costos de acceso. Los Proveedores de Datos podran cobrar por el uso de su infraestructura para la circulacion de la informacion en el sistema de finanzas abiertas, de acuerdo con los criterios establecidos en el articulo 2.35.8.3.9 del presente decreto. El cobro se realizara unicamente para recuperar el costo incurrido de manera directa en la implementacion o mantenimiento de la infraestructura mencionada en el articulo

presente decreto. El cobro se realizara unicamente para recuperar el costo incurrido de manera directa en la implementacion o mantenimiento de la infraestructura mencionada en el articulo 2.35.8.3.6 y para la implementacion de los estandares mencionados en el articulo 2.35.8.4.1, y debera realizarse con base en factores objetivos, medibles y verificables que garanticen que estos no limitan el acceso de los Participantes.DECRETO 368 DE 2026 Articulo 2.35.8.3.9. Criterios para la recuperacion de costos. Los Proveedor