LUCES LEGALES

Estimados clientes y amigos: a continuación les compartimos las principales novedades publicadas el 24
de septiembre de 2026 en el Registro Oficial No. 376 y sus Suplementos.

SPDP · RE SOLUCIÓN SPDP- SPD- 2 0 2 6 – 0 0 3 9 -R
Norma General para el Tratamiento de Datos Biométricos
Vigente desde el 24 de septiembre de 2026 · 12 meses para adecuarse Se regula el uso de huellas dactilares, reconocimiento facial, voz, iris y otros rasgos biométricos con fines de identificación, en los sectores público y privado. Antes de implementar cualquier sistema biométrico se exige un análisis de riesgos y una evaluación de impacto (EIPD), que debe actualizarse cada doce meses. Cuando el tratamiento se base en el consentimiento, deberá ofrecerse al titular al menos una alternativa no biométrica, salvo imposibilidad técnica debidamente documentada. Se prohíbe reutilizar estos datos para fines distintos, la identificación masiva en espacios públicos y, como regla general, el tratamiento de datos biométricos de niños, niñas y adolescentes.
IMPACTO
Empresas que usan relojes biométricos para control de asistencia, accesos por reconocimiento facial o
validación de identidad de clientes deben revisar sus procesos. Quienes ya operan estos sistemas tienen 12 meses para adecuarse.

SPDP · RE SOLUCIÓN SPDP- SPD- 2 0 2 6 – 0 0 4 0 -R
Notificación de vulneraciones de seguridad de datos personales
Vigente desde el 24 de septiembre de 2026
Se expide la norma técnica que regula cómo deben notificarse los incidentes que afecten la
confidencialidad, integridad o disponibilidad de datos personales. El encargado del tratamiento
debe comunicar la vulneración al responsable en un plazo máximo de 2 días, y este a su vez
notificarla a la Superintendencia en el término de 5 días, a través del sistema SISPDP. La falta de
notificación, tanto a la Superintendencia como a los titulares afectados, constituye infracción
grave. La comunicación a los titulares debe hacerse en lenguaje claro, por los canales habituales
de la empresa.
IMPACTO
Es recomendable contar con un protocolo interno de respuesta a incidentes y revisar los contratos con
proveedores tecnológicos que actúan como encargados, para fijar el canal y los tiempos de aviso.

SPDP · RE SOLUCIÓN SPDP- SPD- 2 0 2 6 – 0 0 3 8 -R
Reforma al Reglamento de Denuncias y Solicitudes
Vigente desde el 24 de septiembre de 2026
Las denuncias y solicitudes ante la Superintendencia se presentarán exclusivamente por canal
digital. En las actuaciones previas, el sujeto investigado tendrá un término de 10 días para
pronunciarse sobre el informe preliminar, y la decisión deberá notificarse en un plazo máximo de
6 meses. La Superintendencia podrá apoyarse en herramientas de inteligencia artificial, sin que
ninguna decisión pueda sustentarse exclusivamente en ellas. La reforma se aplica también a los
trámites en curso.
IMPACTO
Empresas con actuaciones previas abiertas deben controlar el nuevo término de 10 días para presentar su criterio, pues de no hacerlo el informe final se emitirá con lo que conste en el expediente.