ARTÍCULO 2. Modifíquese el numeral 4 del artículo 2.17.2.1.14 del Decreto 2555 de 2010, el cual quedará así:
"4. Podrán usar la información a la que tengan acceso en el desarrollo de alguna de las actividades aquí autorizadas para el desarrollo o ejecución de la otra actividad, siempre que permitan a terceros el acceso a esta información en los términos del numeral 1 del artículo 2.17.2.1.5. y den cumplimiento a lo dispuesto en las Leyes 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen."
17.4.1.1. De la iniciación de pagos. La actividad de iniciación de pagos podrá ser desarrollada por los establecimientos de crédito, las sociedades especializadas en depósitos y pagos electrónicos -SEDPES-, las entidades administradoras de sistemas de pago de bajo valor y por sociedades no vigiladas por la Superintendencia Financiera de Colombia.
En todo caso, la iniciación de pagos requerirá de la autorización previa por parte del ordenante y deberá tramitarse a través de una Entidad Administradora de Sistema de Pago de Bajo Valor.
El iniciador de pagos, en desarrollo de esta actividad, no podrá administrar o entrar en tenencia de los fondos del ordenante.
17.4.1.2. Acceso de los iniciadores de pago. Con el fin de garantizar el libre acceso y promoción a la competencia, al iniciador de pagos le serán aplicables las siguientes reglas:
1. Las entidades administradoras de sistemas de pago de bajo valor se abstendrán de restringir arbitrariamente el acceso de iniciadores de pago a sus sistemas y aplicarán las mismas condiciones y el mismo tratamiento a todas las órdenes de pago iniciadas por los iniciadores que hagan parte de su sistema de pago.
2. El sistema de pago de bajo valor a través del cual se inicien las órdenes de pago o sus participantes, no podrán bloquear arbitrariamente las órdenes de pago iniciadas por los iniciadores de pago. Así mismo, se abstendrán de pactar la exclusividad en la prestación de sus servicios.
3. Las entidades administradoras de sistemas de pago de bajo valor deberán cumplir, en relación con los iniciadores de pago que hagan parte de su sistema, los deberes establecidos en el artículo 2.17.2.1.5 del presente Decreto.
4. Los iniciadores de pago deberán cumplir con las reglas y estándares operativos, técnicos y de seguridad que establezca la entidad administradora del sistema de pagos de bajo valor, que permitan el desarrollo de sus operaciones en condiciones de seguridad, transparencia y eficiencia, conforme a lo dispuesto en el artículo 2.17.2.1.5. del presente Decreto.
5. Las entidades administradoras de sistemas de pago de bajo valor deberán informar a los iniciadores de pagos las características del sistema y los requisitos y costos de acceso al sistema.
17.4.1.3 Reglas de operación de la iniciación de pagos. Dentro de las reglas que defina la entidad administradora en el reglamento de funcionamiento del sistema de pago de bajo valor, deberá incluirse, como mínimo, lo siguiente:
1. Los iniciadores de pagos no podrán iniciar órdenes de pago sin haber sido autorizados previamente por el ordenante.
2. Cada orden de pago o transferencia de fondos iniciada deberá ser autorizada por el ordenante.
3. Para que las órdenes de pago sean tramitadas en el sistema de pagos, las entidades emisoras deberán, en todos los casos, autenticar al ordenante. Esta autenticación y confirmación del resultado de la operación deberá realizarse de acuerdo con las reglas que para el efecto dicte la Superintendencia Financiera de Colombia.
El resultado de la autenticación y confirmación de la operación debe ser informada al iniciador de pago por medio de la entidad administradora del sistema de pago de bajo valor a través de la cual recibió la orden de pago o transferencia de fondos.
4. Los iniciadores de pagos no podrán solicitar a los ordenantes más información de la estrictamente necesaria para iniciar la orden de pago o transferencia de fondos. En ningún caso podrán tener acceso a las claves, contraseñas o mecanismos de autenticación del ordenante con su entidad emisora.
La Superintendencia Financiera de Colombia podrá impartir instrucciones a sus entidades vigiladas, con el fin de que las actividades desarrolladas por los iniciadores de pago se ejecuten en condiciones de seguridad, transparencia y eficiencia.
17.4.1.4 Prestación de otros servicios. En caso de que una entidad administradora de sistemas de pago de bajo valor, o alguna de sus filiales, subsidiarias, controlantes o accionistas, desarrolle la actividad de iniciación de pagos, le serán aplicables las siguientes reglas:
1. La prestación de los servicios de iniciación de pagos y los servicios prestados en calidad de entidad administradora de sistemas de pago de bajo valor, estará sujeta a la observancia de las reglas establecidas en los numerales 1, 2, 3 y 4 del artículo 2.17.2.1.14 del presente Decreto.
2. Las solicitudes de acceso de los iniciadores de pago a los sistemas de pago de bajo valor será decidida por el Comité de Acceso del que trata el artículo 2.17.2.1.8 del presente Decreto, siguiendo el trámite allí establecido.
3. Las entidades administradoras de sistemas de pago de bajo valor deberán contar con los mecanismos de solución de conflictos de interés del artículo 2.17.4.1.5 del presente Decreto.
17.4.1.5. Conflictos de interés relativos a la iniciación de pagos. En caso de que una entidad administradora de sistemas de pago de bajo valor, o alguna de sus filiales, subsidiarias, controlantes o accionistas, desarrolle la actividad de iniciación de pagos, esta deberá incluir en su reglamento un capítulo específico de políticas y procedimientos para identificar, prevenir, administrar y revelar conflictos de interés que se puedan derivar de la relación aquí prevista.
Las políticas y procedimientos a que se refiere el presente artículo deberán incluir, como mínimo, lo siguiente:
1. Identificación de las situaciones de conflicto de interés en que pueda estar incursa la entidad, sus accionistas, miembros de Junta Directiva y empleados y la forma de administrarlos.
2. Reglas para que la realización simultánea de actividades en el sistema de pago de bajo valor no dé lugar a situaciones de conflicto de interés que afecten la actividad de compensación y liquidación o la iniciación de pagos.
3. Reglas relativas a los flujos de información para que no se afecte el cumplimiento de la actividad de compensación y liquidación o la iniciación de pagos.
4. Mecanismos que permitan informar de manera oportuna a los participantes y demás actores del sistema de pago de bajo valor sobre los conflictos de interés y la forma en que son administrados por la entidad.
5. Contar con los mecanismos para que las áreas, funciones y sistemas de toma de decisiones susceptibles de entrar en conflicto de interés, estén separadas decisoria, física y operativamente.
La Superintendencia Financiera de Colombia podrá ampliar el contenido de las políticas y procedimientos requeridos por el presente artículo y fijar los criterios técnicos para su elaboración.
PARÁGRAFO . Lo dispuesto en este artículo también aplicará a los proveedores de servicios de pago que envíen la orden de pago o transferencia de fondos a la entidad emisora a través de conexiones o tecnologías dispuestas bilateralmente entre las partes, cuya propiedad sea de una entidad administradora de sistemas de pago de bajo valor, o alguna de sus filiales, subsidiarias, controlantes o accionistas."
35.8.1.1. Tratamiento de la información. Las entidades vigiladas por la Superintendencia Financiera de Colombia podrán tratar la información que los consumidores financieros autoricen de manera previa, expresa e informada. En todos los casos debe darse estricto cumplimiento a las normas relacionadas con protección de datos y habeas data de las que tratan las Leyes 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen.
En desarrollo a lo establecido en el Capítulo 25 del Decreto 1074 de 2015 y el artículo 19A de la Ley 1266 de 2008, las entidades a las que se refiere este artículo deberán adoptar medidas de responsabilidad demostrada para garantizar el debido tratamiento de los datos personales que recolecten, usen, almacenen o traten. Dichas medidas deben ser apropiadas, efectivas, útiles, eficientes, demostrables y garantizar la seguridad, la confidencialidad, la veracidad, la calidad, el uso y la circulación restringida de esa información.
Parágrafo 1
PARÁGRAFO 1. En todo caso, la supervisión de las actividades relacionadas con Tratamiento de Datos Personales se regirá por lo dispuesto en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen.
Parágrafo 2
PARÁGRAFO 2. Lo establecido en el presente Título no modifica la obligación de las entidades vigiladas por la Superintendencia Financiera de Colombia de mantener la reserva bancaria de sus consumidores financieros.
35.8.1.2. Comercialización de la información. Salvo lo exceptuado expresamente en la ley, las entidades vigiladas por la Superintendencia Financiera de Colombia podrán comercializar el uso, almacenamiento y circulación de los datos personales objeto de tratamiento, siempre que cuenten con la autorización expresa del titular de los datos y se dé estricto cumplimiento a las normas relacionadas con protección de datos y habeas data de las que tratan las Leyes 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen. Lo anterior de acuerdo a lo establecido en el artículo 2.35.8.1.1 de este Decreto."
35.9.1.1. Conexidad. Las entidades vigiladas por la Superintendencia Financiera de Colombia podrán ofrecer para su comercialización, en sus canales no presenciales, productos o servicios de terceros no vigilados por la Superintendencia Financiera de Colombia, siempre que dicho ofrecimiento tenga conexidad con sus operaciones autorizadas, es decir que promuevan el uso de los productos o servicios de la entidad vigilada.
Las entidades vigiladas por la Superintendencia Financiera de Colombia podrán cobrar contraprestaciones a los terceros que ofrezcan productos y servicios en sus canales no presenciales.
35.9.1.2. Uso de red. En caso de que el tercero que ofrezca sus productos o servicios sea otra entidad vigilada por la Superintendencia Financiera de Colombia, les será aplicable la regulación de uso de red de qué trata el Capítulo 2 del Título 2 del Libro 31 de la Parte 2 y el Título 1 del Libro 34 de la Parte 2 del presente Decreto.
35.9.1.3. Deber de información y alcance del ofrecimiento. Las entidades vigiladas por la Superintendencia Financiera de Colombia que ofrezcan para su comercialización, en sus canales no presenciales, servicios de terceros no vigilados por la Superintendencia Financiera de Colombia, deberán cumplir con las obligaciones y normas de la Ley 1328 de 2009 y la Ley 1480 de 2011.
Las entidades vigiladas por la Superintendencia Financiera de Colombia deberán observar lo establecido en el artículo 53 de la Ley 1480 de 2011 sobre portales de contacto y no podrán ser productores o proveedores de bienes o servicios distintos a los autorizados en su régimen legal. En consecuencia, tomarán las medidas necesarias para que en el ofrecimiento de productos o servicios de terceros en sus canales no presenciales, no se les considere productores o proveedores de estos bienes o servicios.
CAPÍTULO 2
OFRECIMIENTO DE SERVICIOS DE LAS ENTIDADES SUJETAS A LA INSPECCIÓN Y VIGILANCIA DE LA SUPERINTENDENCIA FINANCIERA DE COLOMBIA EN CANALES NO PRESENCIALES DE TERCEROS
35.9.2.1. Regulación de canales aplicables a los ecosistemas digitales. En caso de que el producto o servicio de la entidad vigilada sea ofrecido y prestado a través de la plataforma electrónica de un tercero no vigilado por la Superintendencia Financiera de Colombia, este tercero será considerado un corresponsal digital de la entidad vigilada y por lo tanto será aplicable la regulación prevista en el presente Decreto para este canal.
En caso de que el producto o servicio de la entidad vigilada por la Superintendencia Financiera de Colombia sea ofrecido en una plataforma electrónica de un tercero y el consumidor financiero sea redireccionado al canal virtual de la entidad vigilada para allí finalmente adquirir o hacer uso de los productos o servicios financieros, será aplicable el régimen de canales que corresponda.
CAPÍTULO 3
COMERCIALIZACIÓN DE TECNOLOGÍA E INFRAESTRUCTURA A TERCEROS
35.9.3.1. Autorización de operaciones. Las entidades vigiladas por la Superintendencia Financiera de Colombia podrán comercializar a terceros la tecnología e infraestructura que utilice la entidad vigilada para la prestación de sus servicios.
35.10.1.1. Estándares de la arquitectura financiera abierta. La Superintendencia Financiera de Colombia establecerá los estándares tecnológicos, de seguridad y otros que considere necesarios para el desarrollo de la arquitectura financiera abierta en Colombia, cuya regulación se encuentra en los Títulos 8 y 9 del presente Libro y el Título 4 del Libro 17 de la Parte 2 del presente Decreto, La Superintendencia Financiera de Colombia podrá crear una instancia con la participación del sector privado y otras autoridades para los fines de este artículo.
PARÁGRAFO . Se dará cumplimiento al presente artículo, sin perjuicio de la facultad de la Superintendencia de Industria y Comercio de emitir órdenes o instrucciones en materia de seguridad de la información, conforme lo establece el artículo 21, literal e) de la Ley Estatutaria 1581 de 2012 y el Decreto 1074 de 2015.
35.10.1.2. Reporte de información relativa a la arquitectura financiera abierta. Las entidades vigiladas por la Superintendencia Financiera de Colombia deberán informar a dicha superintendencia acerca de los avances en la implementación de la arquitectura financiera abierta, para lo cual deberán diligenciar los formatos e informes que la Superintendencia Financiera de Colombia defina."