NUEVAS CIRCULARES BCU - Modificaciones en lo relativo a Tercerizaciones y Resguardo de Datos
· 11 minutos de lectura
El Banco Central del Uruguay (en adelante “BCU”) emitió las Circulares N.º 2.419 y N.º 2.420 por intermedio de las cuales se introducen modificaciones a la (En adelante “RNRCSF”) y a la Recopilación de Normas del Mercado de Valores (En adelante, “RNMV”) en lo relativo al régimen de tercerizaciones y resguardo de datos.
Las Circulares N.º 2.419 y N.º 2.420 (en adelante, las “Circulares”) introducen las mismas modificaciones a distintos artículos de las Recopilaciones, los cuales tienen la misma redacción sin distinción de figura regulada. Por este motivo, estaremos desarrollando las modificaciones introducidas distinguiendo entre el régimen de tercerizaciones y el régimen de resguardo de datos.
A continuación, realizaremos comentarios con respecto a las mencionadas modificaciones introducidas por las Circulares.
La Circular N.º 2419 introdujo modificaciones en los artículos 35.1.1, 35.1.2 y 35.3 de la RNRCSF, mientras que la Circular N.º 2420 introdujo modificaciones en los artículos 58.1.1, 58.1.2, 58.3, 59.19, 59.20, 59.22, 67.1.1, 67.1.2, 67.3, 76.2.1, 76.2.2, 76.4, 106.1, 106.1.1, 106.3, 127.1.1, 127.1.2, 127.3, 127.17.1, 127.17.2, 127.19, 135.1.1, 135.1.2, y 135.3 de la RNMV. Es importante recordar que los artículos en materia de tercerizaciones tienen la misma redacción sin distinción de figura ni Recopilación.
A) Autorización de Tercerizaciones:
En materia de tercerizaciones, la normativa establece que “las instituciones deberán solicitar la autorización de la Superintendencia de Servicios Financieros para la contratación de terceros”. Esta autorización puede ser tanto de forma expresa como tácita. La autorización expresa refiere a aquellos servicios prestados por terceros radicados en el exterior.
Las Circulares les dan nueva redacción a los artículos relativos a la autorización expresa de un servicio tercerizado en el exterior que deben solicitar los regulados, introduciendo que la autorización por parte del BCU se podrá dar sin perjuicio de la obligación de inscribir las bases de datos correspondientes a este servicio y solicitar la autorización de la transferencia internacional de datos personales ante la URCDP de la AGESIC. Esta obligación no es ninguna novedad ya que los regulados debían realizar este trámite una vez autorizados, únicamente se introdujo la obligación a la RNRCSF y RNMV.
A su vez, se introduce otra modificación en el mismo artículo, donde se establece que la Superintendencia podrá disponer que determinados servicios no requerirán autorización expresa para su contratación. Con respecto a esta modificación, recordemos que se encuentra vigente la Comunicación 2020/030 del 2 de marzo de 2020 donde se enumeran una serie de servicios que no requieren autorización. En línea con las Circulares, se publica la nueva Comunicación 2022/254 sumando otros servicios que tampoco requerirán autorización por parte de la Superintendencia (análisis de esta Comunicación más adelante).
B) Tercerización de servicios prestados en el país por terceros radicados en él:
La normativa establece que la tercerización de servicios prestados por terceros radicados en el país no requiere autorización expresa, si no que se encuentra tácitamente autorizada si cumple con determinados requerimientos. Entre estos requerimientos, se establece que los servicios tercerizados deberán estar detallados en un contrato que contenga, como mínimo, una serie de cláusulas determinadas por el BCU que se enumeran en la normativa.
En la cláusula que debe regular la confidencialidad y protección de datos, la Circular añade que además se deberá disponer en el contrato que los proveedores deberán estar obligados a transferir los datos personales de los clientes al regulado y asegurar que, una vez transferidos, se eliminen.
Con respecto a las auditorías o evaluaciones periódicas por parte de la Superintendencia de Servicios Financieros, se debía prever en la cláusula el acceso irrestricto a los datos y a toda la documentación e información técnica relacionada con los servicios prestados. Con las Circulares, se establece que este acceso irrestricto también debe alcanzar al responsable del proceso de intervención, resolución o liquidación de la regulada, en caso de existir.
Siguiendo, la normativa establece que se deben prever en los contratos procedimientos para obtener la información necesaria en caso de que el servicio prestado por el tercero se encuentre interrumpido. La modificación introducida por las Circulares dispone que se deberá prever, además, la obligación del tercero de informar al regulado sobre cualquier evento que pueda causar una interrupción en la prestación del servicio.
Por último, las Circulares introducen una nueva cláusula que deberá contener el contrato con el tercero. El mismo, establece la obligación del tercero de continuar prestando el servicio aun cuando el regulado se encuentre en proceso de intervención, resolución o liquidación, asegurando el normal funcionamiento del regulado.
C) Requisitos adicionales para el procesamiento de datos en o desde el exterior del país:
Los artículos que regulan este régimen establecen que, cuando el procesamiento de datos sea prestado por un tercero radicado en el exterior o en el país, pero el servicio se preste total o parcialmente en el exterior, se debe mantener una copia física en Uruguay del respaldo mantenido por el tercero en el exterior. A su vez, esta copia física debe permanecer accesible a los funcionarios de la Superintendencia de Servicios Financieros.
Las Circulares incorporan una excepción a esta copia física, estableciendo que se admitirá que la copia no deba ser mantenida en Uruguay cuando el regulado implemente un espacio físico con la infraestructura tecnológica necesaria para permitir el acceso y control total y continuo de todos los datos procesados en el exterior, así como sus resguardos y claves para la eventual desencriptación. Se prevé que este espacio físico deba radicarse en el país, tanto en la casa central o alguna independencia, y su localización deberá ser informada al BCU para que este pueda acceder a él.
La Circular N.º 2419 introdujo modificaciones en los artículos 490, 492, 495, 587, 620, 645, 653.1 y 661.2 de la RNRCSF, mientras que la Circular N.º 2420 introdujo modificaciones en los artículos 143, 255, 255.2 y 255.5 de la RNMV. Los artículos en materia de resguardo de datos tienen la misma redacción sin distinción de figura ni Recopilación.
a. Personal superior
En cuanto a el resguardo de datos, las Circulares prevé que se considerará personal superior al responsable del resguardo de datos, software y documentación. Esta función se encontraba prevista anteriormente, la modificación busca distribuir la responsabilidad entre diferentes personas y que no se encuentre directamente en los cargos directivos como era dispuesto anteriormente, quedando la responsabilidad en la persona que se designe.
Se debe designar un responsable por la ejecución de los procedimientos de resguardo de datos, software y documentación. La persona designada será responsable del resguardo de claves para el acceso y desencriptación de los datos, así como asegurar que la institución disponga de un procedimiento para dicho acceso y desencriptación que no involucre requerir autorizaciones o acciones de personal que no esté bajo la dependencia de la institución supervisada.
b. Acceso a la información
Las Recopilaciones disponen que El BCU tendrá acceso a toda la información y documentación que estime necesaria para el cumplimiento de sus cometidos legales. Las Circulares disponen que esta información y documentación deberá estar disponible en todo momento para el BCU, sea cual sea la jurisdicción donde este radicada. Sin prejuicio de las sanciones que le puedan corresponder a la institución por el incumplimiento de esta obligación, los miembros del directorio, órgano administrador o los administradores sociales, serán responsable ante el BCU por dicho incumplimiento.
c. Resguardo de la información
Las Recopilaciones establecen que se deberán implementar procedimientos de resguardo de datos y software. Las Circulares incorporan en este resguardo de datos a la mensajería instantánea que pueda ser relevante a los efectos de que se pueda reconstruir las operaciones a solicitud del BCU o de un requerimiento judicial. A su vez, se deberán de resguardar las claves que permitan la desencriptación de los datos.
Las instituciones deberán de realizar pruebas formales y debidamente documentadas de la recuperación e integridad de los resguardos de datos. Estas pruebas deberán de asegurar la capacidad de la institución de recuperar la totalidad de la información resguardada.
Las Circulares N. 2419 y N. 2420 establecen que el BCU podrá disponer que determinados servicios tercerizados no requieran autorización expresa. Estos servicios surgen de la nueva Comunicación 2022/254 del 30 de diciembre de 2022, la cual aplica para todos los mercados, sin distinción de figura ni Recopilación. De todos modos, y como fue mencionado anteriormente, es importante recordar que aún se encuentra vigente la Comunicación 2020/030 del 2 de marzo de 2020 donde se enumeran una serie de servicios que tampoco requieren autorización.
La nueva Comunicación 2022/254 establece que, a los efectos de la contratación de servicios con terceros radicados en el exterior del país o terceros radicados en el país cuyos servicios se prestan total o parcialmente en o desde el exterior, no deberá solicitarse la autorización expresa de la Superintendencia de Servicios Financieros cuando se trate de servicios en modalidad de Software como Servicio (SaaS), esto es, servicios de correo electrónico, mensajería instantánea y herramientas ofimáticas; almacenamiento y resguardo de archivos; y firma electrónica, herramientas colaborativas y gestión documental. Además, tampoco se requerirá autorización cuando se trate de servicios de procesamiento de datos que no incluyan datos personales de clientes o los mismos hayan sido disociados[1].
[1] Según definición dada por el artículo 4 de la Ley 18.331
Un cambio relevante que introducen las Circulares en cuanto a la tercerización es que la Superintendencia podrá establecer que ciertos servicios no requerirán autorización expresa para su contratación.
En cuanto a los contratos que prevén la tercerización de un servicio, se establece la obligación de que los proveedores, una vez finalizada la prestación del servicio, deberán transferir los datos personales de los clientes al regulado y asegurar que, una vez transferidos, se eliminen. A su vez, se deberá prever en una cláusula la obligación del tercero de informar al regulado sobre cualquier evento que pueda causar una interrupción en la prestación del servicio.
Por otro lado, en las modificaciones relativas al resguardo de datos se establece la obligación de designar a un responsable del resguardo de datos, software y documentación, quien sea el encargado de resguardo de claves para el acceso y desencriptación de los datos. Se deberán de resguardar las claves que permitan la desencriptación de los datos y se deberán realizar pruebas que aseguren la capacidad de la institución de recuperar la totalidad de la información.
Si bien el BCU actualmente tiene acceso a la información de las reguladas, se deja expresa constancia que el BCU podrá acceder en todo momento a la información y documentación sin importar la jurisdicción.
