SIC - Circular 002 de 2025

CIRCULAR EXTERNA No. 002 DE 2025 (7 de octubre de 2025) Para: Entidades vigiladas por la Superintendencia de Industria y Comercio en su rol de Autoridad de Proteccién de Datos personales.

Asunto: Instrucciones aplicables a los procesos de transferencia de tecnologia en los que - se transfieran datos personales o en los que se transfieran tecnologias que permitan o tengan como objeto el tratamiento de datos personales.

Consideraciones La transferencia de tecnologia es el proceso de compartir, intercambiar o transferir conocimientos, resultados de investigacién cientifica, creaciones o tecnologias de un ' proveedor (centro de investigacién, universidad, empresa o entidad publica) a un receptor que adquiere la tecnologia a cambio de una contraprestacién!. Los procesos de trasferencia de tecnologia permiten que los desarrollos cientificos y tecnolégicos sean accesibles a una gran variedad de usuarios, tanto del sector publico como del sector privado. Los receptores de la transferencia de tecnologia pueden usar, . desarrollar, complementar y explotar los conocimientos y tecnologias recibidos en nuevos procesos, productos o aplicaciones. La Politica Nacional de Ciencia, Tecnologia e Innovacién 2022-2031 (Documento CONPES 4069) reconocié la importancia de los procesos de transferencia de tecnologia en tanto estos mejoran las capacidades y condiciones para innovar en beneficio de la sociedad de manera cooperativa. Por eso, uno de los ejes estratégicos de dicha politica es <aumentar 8Ja adopcion y la Transferencia de Tecnologia=. 1 Esta definici6n se basa en la sistematizacién de las definiciones adoptadas por el gobierno colombiano y por distintos organismos multilaterales. En concreto, véanse las siguientes fuentes: Ministerio de Ciencia,

8Ja adopcion y la Transferencia de Tecnologia=. 1 Esta definici6n se basa en la sistematizacién de las definiciones adoptadas por el gobierno colombiano y por distintos organismos multilaterales. En concreto, véanse las siguientes fuentes: Ministerio de Ciencia, Tecnologia e Innovacién. (2022). Guia para fa transferencia de tecnologia. Disponible en: httos://minciencias.gov.co/sites/default/files/271022 quia para la transferencia de tecnologia.pdf; Anwar _ Aridi y Lisa Cowey. (2018). <Technology Transfer from Public Research Organization=, The World Bank.

Disponible en: https: //documentsi.worldbank.org/curated/en/384851539285043693/pdf/TechnoloayTransfer-from-Public-Research-Oraganizations-A-Framework-for-Analysis.pdf; Miria Pigato et al. (2020). <Technology Transfer and Innovation for Low-Carbon Development=, The World Bank. Disponible en: https: //documents1.worldbank.org/curated/en/1386815851115567659/pdf/Tecnnoloay-Transfer-andInnovation-for-Low-Carbon-Development.odf; World Intellectual Property Organization. (2024 <Incentives in Technology Transfer. A guide to encourage, recognize and reward researchers and professionals=. Disponible en: https://www.wipo.int/edocs/pubdocs/en/wipo-pub-2002-en-incentives-in-technology-transfer. pdf _2 Departamento Nacional de Planeacién. Consejo Nacional de Politica Econdémica y Social, <Politica Nacional de Ciencia, Tecnologia e Innovacion 2022-2031". Disponible en: https: //minciencias.gov.co/sites/default/files/upload/paginas/conpes 4069.pdfEn ciertos y muy particulares casos, la transferencia de tecnologia tiene relacién con el tratamiento de datos personales. Esto ocurre sobre todo en dos escenarios. Primero, cuando lo que se transfiere no es solo la herramienta tecnolégica (software, sistema otratamiento de datos personales. Esto ocurre sobre todo en dos escenarios. Primero, cuando lo que se transfiere no es solo la herramienta tecnolégica (software, sistema omodelo), sino que también se transfiere un conjunto de datos o dataset que incluye datos personales. Segundo, cuando la tecnologia objeto de transferencia permite o tiene por objeto el tratamiento de datos personales. En ambas hipdtesis es importante que durante el proceso de transferencia de tecnologia se garantice el cumplimiento de la legislacién de proteccién de datos personales.

Estas instrucciones son aplicables en concreto a: (i) los procesos de transferencia de tecnologia en los que, como parte de los insumos a ser transferidos, se transfieran conjuntos de datos que incluyan datos personales; y (ii) los procesos de transferencia de tecnologias en los que la tecnologia a transferir permita o tenga por objeto el tratamiento de datos personales. La interseccion entre la transferencia de tecnologia y el tratamiento de datos personales9 exige que los actores que participan en estos procesos adopten un enfoque preventivo que asegure el cumplimiento de la Ley 1581 de 2012 y la proteccién del derecho fundamental a la proteccién de. datos personales. Asegurar que en los procesos de transferencia de tecnologia se tenga presente el respeto y garantia de los derechos fundamentales, se promueva el uso responsable de los datos personales y se potencie la innovacién sostenible, compromete de manera conjunta al sector publico, al sector privado, a la academia y a los demas actores del ecosistema de innovacion. Las actividades de tratamiento de datos personales estan reguladas por la Ley Estatutaria 1581 de 2012, reglamentada por el Decreto 1074 de 2015. Esta normatividad incluye un

innovacion. Las actividades de tratamiento de datos personales estan reguladas por la Ley Estatutaria 1581 de 2012, reglamentada por el Decreto 1074 de 2015. Esta normatividad incluye un destacado conjunto de principios, reconoce los derechos de los titulares de los datos personales, establece deberes a los responsables y encargados del tratamiento y sienta las bases de un sistema administrativo de garantias del derecho fundamental a la proteccién de datos personales. El cumplimiento de los deberes en materia de protecciédn de datos personales en los procesos de transferencia de tecnologia concreta el principio constitucional de primacia de. los derechos fundamentales, promueve un ambiente propicio para la regularidad de dichas transferencias y permite mejores condiciones para tomar provecho de los avances de la ciencia y de la técnica y <de los beneficios del progreso cientifico=, como uno de los derechos humanos. reconocidos en la Declaracién Universal de Derechos Humanos de 1948. Entre el elenco de los principios del tratamiento de datos personales destaca el principio: de responsabilidad demostrada. Este principio ha sido reconocido en el Decreto 1074 deSuperintencencia de Industria y Comercio 2015, en la Ley 2157 de 2021 que modificé la Ley Estatutaria 1266 de 2008, y en la jurisprudencia de la Corte Constitucional (en especial en las sentencias C-032 de 2021 y T-360 de 2022). Seguin el principio de responsabilidad demostrada <Jos Responsables del Tratamiento de Datos personales deben ser capaces de demostrar, a peticiédn de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este

Tratamiento de Datos personales deben ser capaces de demostrar, a peticiédn de la Superintendencia de Industria y Comercio, que han implementado medidas apropiadas y efectivas para cumplir con las obligaciones establecidas en la Ley 1581 de 2012 y este decreto= (art. 2.2.2.25.6.1, Decreto 1074 de 2015) La adopcién de medidas de proteccién de datos personales desde el disefio y por defecto es una de las multiples formas de cumplir con el contenido obligacional del principio de responsabilidad demostrada. En efecto, la implementaci6n de medidas orientadas a un debido tratamiento de los datos personales debe ser un componente esencial del proceso de transferencia en si mismo y de las tecnologias que seran objeto de transferencia. Por otro lado, el articulo 26 de la Ley 1581 de 2012 establece la prohibicién de transferir datos personales de cualquier tipo a paises que no proporcionen niveles adecuados de proteccién de datos personales; entendiéndose por nivel adecuado aquel que cumpla con los estandares fijados por la Superintendencia de Industria y Comercio, los cuales en ningun caso podran ser inferiores a los exigidos por la ley a sus destinatarios. En desarrollo de lo anterior, los articulos 2.2.2.25.5.1 y 2.2.2.25.5.2 del Decreto 1074 de 2015 reglamentan las transferencias y transmisiones internacionales de datos personales, estableciendo las condiciones bajo las cuales se deben realizar dichas operaciones, asi como las obligaciones de las partes intervinientes. En ese contexto, el Titulo V de la Circular Unica de la Superintendencia de Industria y Comercio establece que quienes realicen transferencias o transmisiones internacionales de

como las obligaciones de las partes intervinientes. En ese contexto, el Titulo V de la Circular Unica de la Superintendencia de Industria y Comercio establece que quienes realicen transferencias o transmisiones internacionales de datos personales deben validar que el destinatario esté en un pais con nivel adecuado de proteccion o, en su defecto, verificar que la operacién esté amparada por las excepciones del articulo 26 de la Ley 1581 de 2012. Asimismo, esta norma ofrece, instrucciones para la formalizacién de transferencias y transmisiones internacionales de datos personales. Finalmente, la Superintendencia de Industria y Comercio recuerda que entre sus funciones estan las de <velar por el cumplimiento de Ia legislacién en materia de proteccién de Datos personales= e <impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuacién de las operaciones de los Responsables del Tratamiento y Encargados del Tratamiento a las disposiciones previstas en la presente ley=. Esto, segun los literales a) y e) del articulo 21, de la Ley Estatutaria 1581 de 2012. Sobre las funciones de esta Superintendencia, fijadas en el citado articulo 21 de la Ley 1581 de 2012, la Corte Constitucional, mediante Sentencia C-748 de 2011, consider6o: <Esta disposicién enlista las funciones que ejercera la nueva Delegatura de proteccién de Datos personales. Al estudiar las funciones a ella asignadas, encuentra esta Sala que todas corresponden y despliegan los estandares internacionales establecidos sobreSuperintendencia de industria y Comercio OER la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigacion y sancién por su incumplimiento, de

industria y Comercio OER la autoridad de vigilancia. En efecto, desarrollan las funciones de vigilancia del cumplimiento de la normativa, de investigacion y sancién por su incumplimiento, de vigilancia de la transferencia internacional de datos y de promocion de /a proteccién de datos. Ademés, debe afirmarse que, tal como lo establecié la Corte en la Sentencia C-1011 de 2008, la naturaleza de las facultades atribuidas a la Superintendencia 4a través de la Delegatura4, <caen dentro del 4mbito de las funciones de policia administrativa que corresponden a esos o6rganos técnicos adscritos al ejecutivo (Art. 115 C.P.), en tanto expresién de la potestad de direcciédn e intervencién del Estado en la economia (Art.334), y de intervencién reforzada del Gobierno en las actividades financiera, bursdtiles y aseguradoras (Art. 335 C.P.)= (destacado fuera de texto). La alusi6n pertinente sobre la funciédn de <impartir instrucciones= de la autoridad de vigilancia y control, contenida en la Sentencia C-1011 de 2008 de la Corte Constitucional, es la siguiente: <Para cumplir con esta obligacién de proteccién y garantia de los derechos del sujeto concernido, e/ legislador estatutario establecid en el articulo 17 que las Superintendencias de Industria y Comercio y Financiera ejerceréan la funciédn de vigilancia (...). Estas funciones de vigilancia consisten, entre otros aspectos, en impartir instrucciones y érdenes sobre la manera como deben cumplirse las disposiciones previstas por la normatividad estatutaria, relacionadas con fa

vigilancia (...). Estas funciones de vigilancia consisten, entre otros aspectos, en impartir instrucciones y érdenes sobre la manera como deben cumplirse las disposiciones previstas por la normatividad estatutaria, relacionadas con fa administraci6n de la mencionada informacién, para lo cual las Superintendencias fijaran los criterios que faciliten su cumplimiento y sefialaran procedimientos para su cabal aplicacién.= (Destacado fuera de texto). Por todo lo anterior, la Superintendencia de Industria y Comercio, en ejercicio de la facultad de <impartir instrucciones sobre las medidas y procedimientos necesarios para la adecuacién [a la ley] de las operaciones de los Responsables y Encargados del Tratamiento=, conferida por la Ley 1581 de 2012 (articulo 21, literal e), instruye a sus sujetos vigilados, en el contexto de los procesos de transferencia de tecnologia en los que se transfieran datos personales o en los que se transfieran tecnologias que permitan o tengan como objeto el tratamiento de datos personales, en los siguientes términos: Instrucciones

1. Verificacién preliminar del cumplimiento de la normativa de proteccién de datos En el contexto de los procesos de transferencia de tecnologia objeto de esta circular, los proveedores y receptores deben:1.1.

1.2. 1.3. Superintendencia de Industria y Comercio Identificar si la tecnologia transferida incluye funcionalidades que impliquen el tratamiento de datos personales, y si es del caso describir y caracterizar tales funcionalidades. Evaluar que la tecnologia objeto de transferencia cumpla con la normativa en materia de proteccién de datos personales. Si como parte de la transferencia de tecnologia se transfieren datos personales,

funcionalidades. Evaluar que la tecnologia objeto de transferencia cumpla con la normativa en materia de proteccién de datos personales. Si como parte de la transferencia de tecnologia se transfieren datos personales, asegurarse de que dicha operacién cumpla con las reglas para transferencia internacional de datos personales, cuando sea el caso.

2. Responsabilidad demostrada En el contexto de los procesos de transferencia de tecnologia objeto de esta circular, los proveedores y receptores deben implementar mecanismos efectivos de responsabilidad

demostrada como los siguientes: 2.1. 2.2. 2.3. 2.4. Identificar, medir y controlar los riesgos durante las distintas etapas del tratamiento de los datos personales. Establecer sistemas de administraci6n y gesti6n de riesgos que sean proporcionales a los riesgos para el derecho a la proteccién de datos personales que dicho tratamiento entrafe. Documentar las decisiones adoptadas, incluidas las relacionadas con las medidas de mitigaciédn, como evidencia de cumplimiento. Definir y adoptar acciones correctivas antes de la implementacidn definitiva de la tecnologia transferida.

3. Proteccién de datos personales desde el disefio y por defecto En el contexto de los procesos de transferencia de tecnologia objeto de esta circular, la incorporacién de medidas de proteccién de datos personales desde el disefio y por defecto es un mecanismo idéneo para concretar el principio de responsabilidad demostrada.

Cuando se implementen dichas medidas, se debe considerar que: 3.1. 3.2. 3.3. La arquitectura tecnolégica integre elementos o medidas orientadas al cumplimiento de los principios del tratamiento de datos personales; en especial,

Cuando se implementen dichas medidas, se debe considerar que: 3.1. 3.2. 3.3. La arquitectura tecnolégica integre elementos o medidas orientadas al cumplimiento de los principios del tratamiento de datos personales; en especial, los principios de libertad, necesidad, seguridad, circulacién restringida y confidencialidad, conforme al articulo 3 de la Ley 1581 de 2012. Se adopten las medidas de seguridad pertinentes segun el tipo de tecnologia, los costos de implementacién, la naturaleza, ambito, contexto y fines del tratamiento, las personas aliadas o colaboradoras, asi como los riesgos que entrafie dicho tratamiento para el derecho a la proteccién de datos personales. Se limite la recoleccién de datos personales a lo estrictamente necesario y se promueva la minimizacion del tratamiento, y la anonimizaci6n o seudonimizacion de los datos personales cuando ello sea posible.Superintendencia de industria y Comercio epee

4. Incorporacién de garantias contractuales En el contexto de los procesos de transferencia de tecnologia objeto de esta circular, en los contratos o acuerdos que se suscriban se recomienda incluir clausulas sobre: 4.1. Responsabilidades y obligaciones de las partes respecto al tratamiento de datos personales. 4.2. Medidas técnicas y administrativas que sean necesarias para otorgar seguridad a los datos personales evitando su adulteracién, pérdida, consulta, uso o acceso no autorizado o fraudulento. 4.3. Garantias exigibles en caso de transmisiones y transferencias internacionales de datos personales. 4.4. Mecanismos de supervisién, auditoria y/o control para la debida proteccién de los datos personales.

Cordialmente,

4.3. Garantias exigibles en caso de transmisiones y transferencias internacionales de datos personales. 4.4. Mecanismos de supervisién, auditoria y/o control para la debida proteccién de los datos personales. Cordialmente, Aothoyede Ul CIELO ELAIN RUSI JE URREGO SUPERINTENDENTE DE INDUSTRIA Y COMERCIO Cc Elaboro: Daniel Ospina celis ry Revisd: Juan Carlos Upegui /Adonia Arocat$ ui jy ui ACV Aprobo: Diego Solano / Alejandro Bustosy/ Juan Carlos Upeg