La SPDP cierra comentarios a tres proyectos sobre datos crediticios, salud y portabilidad

La Superintendencia de Protección de Datos Personales (SPDP) fijó del 24 de septiembre al 22 de octubre de 2026 el período para recibir observaciones sobre tres proyectos normativos: la Norma General para el Tratamiento de Datos Crediticios; la Norma General para el Tratamiento de Datos Personales Relativos a la Salud y su Ciclo de Vida en los Sectores Público y Privado; y una norma general que regula el ejercicio del derecho de portabilidad. El portal institucional señala que el término de veinte días inclusive ya concluyó.

La novedad es el cierre de una etapa de consulta pública, no la expedición de las normas. Los documentos consultados aún muestran campos sin completar en el número de resolución y en algunos datos de trámite, rasgo compatible con textos en borrador. Al cierre de esta nota, la información pública revisada no permite afirmar que la SPDP haya adoptado las versiones finales ni que sus reglas propuestas estén vigentes.

El texto sobre datos crediticios busca establecer garantías para el tratamiento de información que describe el comportamiento económico de personas naturales. El borrador plantea lineamientos sobre ejercicio de derechos, bases de legitimación, datos obtenidos de fuentes públicas, límites de tiempo para comunicar información y tratamientos asociados a nuevas tecnologías y modelos de innovación financiera. La LOPDP ya contiene reglas sobre finalidad y derechos respecto de datos crediticios; el proyecto pretende desarrollar cómo se aplicarían, pero sus propuestas no deben citarse como obligaciones adicionales hasta una expedición formal.

El proyecto de salud abarca datos personales relativos a la salud y su ciclo de vida en sectores público y privado. Es importante para prestadores sanitarios, aseguradoras, laboratorios y proveedores tecnológicos que tratan información sensible. El proyecto de portabilidad aborda un derecho reconocido en el marco de protección de datos y la posibilidad de que el titular solicite que sus datos se transmitan o entreguen bajo condiciones específicas. La publicación institucional confirma los temas y plazos, mientras que el detalle de cada regla debe leerse en su propio borrador.

La propuesta crediticia tiene relevancia para fuentes de información, prestadores de servicios de referencias crediticias, acreedores y organizaciones que usan datos personales para evaluar capacidad de pago. La LOPDP contempla datos crediticios de personas naturales, así que una empresa no debería extender automáticamente estas disposiciones a cualquier dato financiero corporativo. La normativa sectorial de la Junta de Política y Regulación Financiera y de la Superintendencia de Bancos mantiene su ámbito y competencias; el borrador de la SPDP no las reemplaza.

El texto de salud afecta potencialmente a entidades públicas y privadas que recogen o usan información clínica, incluyendo organizaciones de investigación y proveedores encargados. El proyecto de portabilidad podría tener consecuencias operativas para responsables que almacenan datos en plataformas que no facilitan su extracción o transferencia. Sin embargo, el alcance, los supuestos, excepciones y plazos concretos deben contrastarse con la versión final si llega a expedirse. La sola participación en una consulta no equivale a una determinación legal para cada actor.

La consulta pública permite que personas y organizaciones presenten aportes motivados; el portal no informa cuántos comentarios recibió, qué cambios introdujo la institución ni cuándo resolverá el proceso. Tampoco se encontró en la página citada una resolución de aprobación final. Es correcto registrar el fin del plazo y los títulos de los borradores; no es correcto presentar el cierre como promulgación, ni inferir que cada sugerencia fue aceptada.

Las entidades pueden usar los textos como señal de asuntos regulatorios bajo discusión. Aun así, una evaluación de cumplimiento debe apoyarse en la LOPDP, su reglamento, normas secundarias ya expedidas y reglas sectoriales vigentes. La página de la SPDP describe las invitaciones como proyectos; por tanto, el criterio editorial es tratarlos como propuestas no vinculantes hasta que se publique un acto final con fecha, número y texto aprobado.

Organizaciones que administran información de crédito, salud o sistemas con portabilidad deberían preservar una copia de los borradores y mapear qué procesos podrían verse afectados. Ese análisis puede identificar brechas de inventario, calidad de datos, atención de solicitudes, transferencias entre proveedores, límites de conservación y trazabilidad, pero no convierte el texto consultado en obligación vigente. La tarea concreta es mantener seguimiento de la versión final y documentar qué cambió respecto de la propuesta.

Para bancos y cooperativas, conviene separar el análisis de protección de datos del cumplimiento prudencial: identificar quién decide y trata los datos, qué proveedores intervienen y cómo se atienden derechos de titulares, y luego verificar con asesoría interna las normas específicas del segmento supervisado. Para servicios de salud, revisen accesos, minimización, conservación y contratos con encargados. Una vez que la SPDP publique una resolución final, las organizaciones podrán establecer responsables y plazos sobre la base de disposiciones ya adoptadas.