°. Adiciónese el Título 8 al Libro 35 de la Parte 2 del Decreto 2555 de 2010, el cual quedará así: “TÍTULO 8 TRATAMIENTO DE DATOS PERSONALES POR PARTE DE LAS ENTIDADES SUJETAS A LA INSPECCIÓN Y VIGILANCIA DE LA SUPERINTENDENCIA FINANCIERA DE COLOMBIA Artículo 2.35.8.1.1. Tratamiento de la información . Las entidades vigiladas por la Superintendencia Financiera de Colombia podrán tratar la información que los consumidores financieros autoricen de manera previa, expresa e informada. En todos los casos debe darse estricto cumplimiento a las normas relacionadas con protección de datos y hábeas data de las que tratan las Leyes 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen. En desarrollo a lo establecido en el Capítulo 25 del Decreto 1074 de 2015 y el artículo 19A de la Ley 1266 de 2008, las entidades a las que se refiere este artículo deberán adoptar medidas de responsabilidad demostrada para garantizar el debido tratamiento de los datos personales que recolecten, usen, almacenen o traten. Dichas medidas deben ser apropiadas, efectivas, útiles, eficientes, demostrables y garantizar la seguridad, la confidencialidad, la veracidad, la calidad, el uso y la circulación restringida de esa información.
En todo caso, la supervisión de las actividades relacionadas con Tratamiento de Datos Personales se regirá por lo dispuesto en las Leyes Estatutarias 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen.
Lo establecido en el presente Título no modifica la obligación de las entidades vigiladas por la Superintendencia Financiera de Colombia de mantener la reserva bancaria de sus consumidores financieros. Artículo 2.35.8.1.2. Comercialización de la información . Salvo lo exceptuado expresamente en la Ley, las entidades vigiladas por la Superintendencia Financiera de Colombia podrán comercializar el uso, almacenamiento y circulación de los datos personales objeto de tratamiento, siempre que cuenten con la autorización expresa del titular de los datos y se dé estricto cumplimiento a las normas relacionadas con protección de datos y habeas data de las que tratan las Leyes 1266 de 2008 y 1581 de 2012 o demás normas que las modifiquen, sustituyan o adicionen. Lo anterior de acuerdo a lo establecido en el artículo 2.35.8.1.1 de este Decreto.”