Open Finance y el tratamiento de datos personales en Colombia

El 25 de julio del 2022, se expidió el Decreto 1297 de 2022 “Por medio del cual se modifica el Decreto 2555 de 2010 en lo relacionado con la regulación de las finanzas abiertas en Colombia y se dictan otras disposiciones”, con el objetivo de generar una dinámica más competitiva entre los distintos actores que integran el sistema financiero, permitiendo un mejor perfilamiento de los usuarios para mejorar o generar nuevos productos o servicios que se adecuen a sus necesidades.

El indicado Decreto resulta ser muy especial, porque i) precisa las reglas aplicables al intercambio de datos de los usuarios de distintas entidades financieras; ii) se dirige también a las plataformas digitales y de servicios de las entidades; iii) reglamenta la iniciación de pagos; y iv) fortalece los estándares de protección hacia los consumidores financieros.

Ahora bien, para que las entidades financieras puedan generar provecho de esta nueva reglamentación a la cual pueden acogerse voluntariamente, el elemento habilitador para que puedan tener y permitir el acceso a los datos de los usuarios, es que estos como titulares de los datos otorguen su autorización para compartir su información , situación que hace del titular un interviniente esencial en el ecosistema del Open Finance, porque le otorga el control sobre sus datos, teniendo la posibilidad de elegir entre una mayor oferta de servicios y proveedores.

Frente a los datos que se pueden compartir, recordemos que en principio el dato personal “(…) cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables”  

La información que se puede compartir bajo el modelo de Open Finance va más allá de identificar el nombre, la edad, identificación o ubicación de una persona, sino que va tratarse de cualquier información que pueda asociarse a una persona natural, lo que abre un espectro enorme de lo que puede entenderse como dato personal.

Es en este punto, que la configuración de la autorización para el tratamiento de datos se vuelve compleja porque como sabemos i) las finalidades deben ser claras y legitimas, pero además ii) deben solicitar la autorización para compartir distintos tipos de datos, incluidos los que se puedan inferir de los perfiles de los titulares o en los procesos de analítica, iii) y en caso de realizar el tratamiento de datos sensibles o de menores de edad, deben ser explicitas frente al tratamiento de estos datos.

Es así que las entidades financieras que deseen acogerse al modelo de Open Finance consagrado en el Decreto 1297 de 2022, si bien están frente a un universo de posibilidades frente al uso de los datos de los titulares, tienen un desafío técnico y jurídico consistente en cumplir con la obtención de las autorizaciones que sean plenamente aplicables para todos usos que se realicen con los datos.