Colômbia ajusta prazos em finanças abertas

Atualização 3 de setembro de 2026: a Superintendência Financeira da Colômbia abriu comentários sobre um novo projeto de circular externa para GERCO e publicou o cronograma de padrões de intercâmbio de informação do sistema de finanças abertas. Também manteve uma versão complementar do projeto em formato de tabela.

A Superintendência Financeira da Colômbia publicou a Circular Externa 007, de 26 de agosto de 2026, para que as entidades supervisionadas adotem medidas para mitigar o impacto da situação de desastre sobre os consumidores financeiros afetados. A medida se soma a outra rodada de ajustes regulatórios no país, em um momento em que a agenda de finanças abertas já opera com novos prazos de segurança, rastreabilidade dos dados e exigências mais altas de controle sobre identidade digital.

¿Qué ordenó la Superintendencia Financiera?

A Circular Externa 007 determinou que as entidades supervisionadas adotem medidas para reduzir o impacto da situação de desastre sobre os consumidores financeiros afetados. O comunicado foi divulgado pela própria Superintendência Financeira da Colômbia em 27 de agosto de 2026, como parte de suas circulares externas daquele ano.

O texto disponível na fonte oficial não detalha aqui as instruções operacionais, mas confirma que o objetivo regulatório é proteger os usuários atingidos pela situação de desastre e orientar a resposta das entidades sob supervisão.

O jornal La República também informou que a Circular Externa 007, de 26 de agosto de 2026, foi expedida para ordenar alívios a devedores afetados pela situação de desastre, em uma janela temporal na qual a Superintendência manteve atividade supervisora adicional.

¿Qué cambió en la hoja de ruta de finanzas abiertas?

O regime de transição ligado ao perfil de segurança da Circular Externa 004, de fevereiro de 2024, expirou em 7 de agosto de 2026, após duas extensões semestrais adicionais, segundo uma análise técnica da Ozone API sobre o roteiro de finanças abertas na Colômbia.

O mesmo estudo descreve um modelo escalonado para a exposição de entidades supervisionadas depois da publicação dos padrões de dados por categoria. O prazo-base é de 12 meses, com uma ampliação única de até 6 meses adicionais, mais 6 meses extras exclusivamente para dados de grandes empresas.

Com essa sequência, o limite regulatório fica em 18 meses para pessoas físicas e MIPYMEs, e em 24 meses para empresas grandes. O observatório Facephi acrescenta que a obrigatoriedade das finanças abertas a partir de 2026 se articula com requisitos de governança de dados e auditoria da Superintendência Financeira, com rastreabilidade de qual dado foi usado, sob qual consentimento explícito e para qual decisão.

Em paralelo, a Superintendência Financeira da Colômbia publicou o Projeto de carta circular de 31 de agosto de 2026 com o cronograma para expedição dos padrões de intercâmbio de informação do sistema de finanças abertas, e abriu comentários até 15 de setembro de 2026, às 17h. A entidade também manteve uma publicação complementar do mesmo projeto em formato de tabela.

¿Qué implica el nuevo proyecto sobre GERCO?

O Projeto de Circular Externa 14 de 2026 busca estabelecer instruções sobre a Gestão do Risco de Condutas que afetam consumidores financeiros, sob um processo de consulta pública aberto até 15 de setembro de 2026, às 17h.

A Superintendência Financeira da Colômbia publicou esse documento como parte de sua atividade normativa de 2026, o que mostra continuidade na agenda de supervisão sobre conduta de mercado e proteção ao consumidor financeiro. A publicação não é apresentada como uma norma já expedida, mas como um projeto sujeito a comentários.

¿Cómo impacta esto en datos sensibles e identidad digital?

A combinação de finanças abertas, governança de dados e auditoria reforça o controle sobre dados sensíveis e sobre a identidade digital em produtos hiperpersonalizados, segundo o Facephi Observatory. Nesse contexto, o uso de informações para decisões financeiras precisa ficar rastreado e vinculado a um consentimento explícito, de acordo com a análise citada.

Esse foco regulatório convive com um caso recente sobre dados biométricos em Cartagena. O Infobae informou que uma resolução datada de 18 de junho de 2026 ordenou a supressão definitiva de dados pessoais sensíveis, incluindo códigos de íris, coletados desde o início de certas atividades ligadas a uma suposta fraude de identidade.

A mesma reportagem diz que a resolução ratificou uma ordem anterior, de outubro de 2025, e recomendou que os afetados exerçam direitos de habeas data. Entre as medidas estão pedir a exclusão nas plataformas, enviar solicitações formais à área de privacidade, desvincular contas e, se necessário, denunciar à Superintendência de Indústria e Comércio.

Veículos especializados também indicam que, no plano regulatório colombiano, a Superintendência Financeira da Colômbia e a Lei 1581 de Proteção de Dados Pessoais impõem parâmetros rígidos de responsabilidade demonstrada para gateways de pagamento e agentes de comércio eletrônico, incluindo exigências de segurança da informação e proteção de dados pessoais aplicáveis a serviços de pagamento ligados ao sistema financeiro.

Uma análise da imprensa econômica nacional aponta ainda que a Colômbia não conta com uma lei integral de cibersegurança, e que o marco jurídico aplicável ao ambiente digital e financeiro depende de normas dispersas como a Lei 1273 de 2009, o Decreto 338 de 2022 e a Estratégia Nacional de Cibersegurança 2025-2027, apresentada em junho de 2026.

¿Qué pasa con los criptoactivos y los PSAV?

Na Colômbia, não existe hoje um registro formal de PSAV, apesar da adoção do CARF pela DIAN, porque o projeto de lei que buscava criá-lo foi arquivado em agosto de 2026, segundo o relatório da Fluyez. Isso deixa o país sem uma autoridade que registre, autorize ou supervisione de forma integral as exchanges que operam no mercado local.

Em paralelo, uma análise jurídica da Nieto & Nieto Lawyers lembra que a DIAN trata criptoativos como ativos intangíveis sob as regras gerais do Estatuto Tributário. O mesmo estudo sustenta que o uso de wallets de autocustódia não elimina as obrigações tributárias e cita uma resposta oficial de maio de 2026, na qual a DIAN disse não dispor de uma ferramenta automática para associar todas as wallets privadas a contribuintes.

A relação oficial de projetos normativos da Superintendência Financeira em 2026 mostra atividade regulatória contínua, mas nos documentos disponíveis não há referências explícitas à normativa de cibersegurança do BCRA nem a regulações da CNBV ou do Banxico, o que indica ausência de alinhamento formal direto com exigências específicas da Argentina ou do México nos projetos colombianos recentes.