A inicios de 2026, tras un proceso de consulta pública, la Superintendencia de Industria y Comercio (la “SIC”) expidió la Circular Externa No. 3 de 2025, mediante la cual adoptó formalmente las cláusulas contractuales modelo para la transferencia y transmisión de datos personales de la Red Iberoamericana de Protección de Datos (“RIPD”). Esta adopción fue parte de una tendencia regional, ya que países como Argentina, Uruguay y Perú habían adoptado estas cláusulas entre 2022 y 2023.
La adopción de mecanismos alternativos para la transferencia y transmisión de datos, a los cuales debe sumarse también la reglamentación de las Normas Corporativas Vinculantes por medio del Decreto 255 de 2022, es positiva y genera flexibilidad para el flujo transfronterizo de datos personales, pero requiere un análisis cuidadoso, teniendo en cuenta la cultura y necesidades de cada Responsable.
Dado que las cláusulas modelo de la RIPD no son obligatorias, sino una alternativa más de las que ofrece la regulación colombiana, es necesario evaluar ciertos aspectos clave antes de optar por este mecanismo, como los siguientes:
Potencial limitado de modificación
Tanto la Circular Externa en su instrucción No. 6 como las cláusulas modelo establecen que estas únicamente podrán ser modificadas para añadir deberes, obligaciones o garantías adicionales, pero no para reducir, alterar o limitar las ya previstas en ellas. Esto, sin embargo, no es una característica exclusiva de las cláusulas modelo de la RIPD, toda vez que también está previsto en las cláusulas contractuales tipo de la Comisión Europea.
Consecuencias del incumplimiento
Al tomar la decisión si optar por las cláusulas modelo, debe tenerse en cuenta que en la instrucción No. 9 de la Circular Externa se define que su incumplimiento, más allá de un simple incumplimiento contractual, podrá ser valorado como una vulneración de la Ley 1581 de 2012 y por lo tanto podrá estar sujeto a las consecuencias previstas en ella.
Responsabilidad civil
Así mismo, las cláusulas modelo establecen un reconocimiento expreso del derecho de los titulares a ser indemnizados por lo daños y perjuicios que sufran ante una vulneración de sus derechos. Esto, sin embargo, es el reconocimiento de una posibilidad que ya existe bajo el régimen de responsabilidad civil en Colombia.
Jurisdicción aplicable
Por último, las cláusulas modelo contienen una disposición sobre la jurisdicción aplicable, según la cual el importador de datos se obliga a someter cualquier disputa a los tribunales de la jurisdicción del exportador de datos. Esto implica, por ejemplo, que un Responsable colombiano que actúe como importador podría verse obligado a resolver sus disputas en otra jurisdicción.
Esto, al margen de una posible discusión sobre la validez de este pacto bajo el artículo 869 del Código de Comercio y la jurisprudencia de la Corte Suprema de Justicia sobre la elección de jurisdicción.
A modo de conclusión, la adopción de nuevos mecanismos para la transferencia y transmisión internacional de datos es un aspecto positivo que da mayor flexibilidad a los Responsables en el flujo transfronterizo de datos personales, más aún cuando la Comisión Europea ha reconocido que las cláusulas modelo de la RIPD están basadas en principios convergentes que también son compartidos por las de la UE.
Sin embargo, su utilización debe evaluarse caso por caso para determinar si resulta el mecanismo más adecuado para cada Responsable considerando los aspectos descritos.
¿Quiere publicar su edicto en línea?
Contáctenos vía WhatsApp
