Bancos y Fintech frente a la Ley 21.719: guía de cumplimiento

El sector financiero es el más regulado en materia de protección de datos personales. Con la entrada en vigencia de la Ley 21.719, las instituciones bancarias, cooperativas de crédito y fintechs enfrentan obligaciones que van más allá de lo que la mayoría esperaba. No es solo guardar datos: ahora deben documentar cómo los usan, justificar cada decisión automatizada, entregar datos cuando el cliente lo pide y navegar transferencias internacionales sin exposición legal. Esta guía te explica qué aplica realmente a tu negocio financiero y cómo cumplir sin paralizar operaciones.

Scoring crediticio: cuando el algoritmo debe ser transparente

El scoring crediticio es el corazón de cualquier institución financiera. Un modelo que rechaza a un cliente porque cierta variable lo penaliza debe ahora poder explicar por qué. La Ley 21.719 obliga a las instituciones a informar al titular cuando se toman decisiones basadas únicamente en tratamiento automatizado (artículo 19).

En la práctica: si tu fintech usa un modelo de machine learning que rechaza un crédito porque detecta "comportamiento riesgoso", debes poder comunicar al cliente cuáles fueron los factores principales. No necesitas revelar el algoritmo completo, pero sí los criterios que incidieron.

• Documenta cada versión de tu modelo de scoring
• Crea plantillas de comunicación cuando rechazas una solicitud
• Audita regularmente que tu modelo no discrimina por género, edad o etnia
• Mantén trazabilidad de quién accede a estos datos y cuándo

Datos biométricos: autenticación con protección reforzada

Usar huella dactilar, reconocimiento facial o iris para autenticar a clientes es cada vez más común en apps bancarias. Pero los datos biométricos son especialmente sensibles bajo la Ley 21.719. El artículo 6 requiere consentimiento explícito y documentado para procesar datos biométricos.

Aquí el riesgo legal es mayor porque no puedes asumir que el cliente, al descargar tu app, autorizó usar su cara. Necesitas un consentimiento claro, separado y específico para cada tecnología biométrica.

• Almacena datos biométricos con encriptación de punta a punta
• Nunca guardes biométricos en servidores compartidos o en la nube sin cifrado
• Implementa un proceso explícito de consentimiento en la app antes de capturar datos biométricos
• Establece políticas claras de retención (máximo 5 años, o menos si la ley lo requiere)

Open Banking y portabilidad: obligación de entregar datos

La Ley 21.719 reconoce el derecho de portabilidad de datos (artículo 17): el cliente puede pedir copia de sus datos en formato estructurado y legible. Para el sector financiero, esto significa que si un cliente quiere migrar su historial crediticio a otro banco o fintech, tú debes entregarlo sin cobrar, en un plazo razonable.

Open Banking acelera esto. Ya no es un derecho teórico: es operacional. Los bancos deben conectar con otros proveedores y compartir datos de transacciones del cliente si él lo autoriza.

• Crea un proceso claro para solicitudes de portabilidad (máximo 10 días hábiles)
• Implementa APIs seguras si participas en ecosistemas open banking
• Documenta cada compartir de datos y con quién
• Mantén registro de consentimientos de portabilidad

Transferencias internacionales: dónde puedes enviar datos

Si tu institución fintech opera globalmente o usa servidores en el extranjero, la Ley 21.719 limita dónde puedes transferir datos de clientes. Solo es legal transferir a países con nivel de protección adecuado o con garantías contractuales suficientes (artículos 36-37).

Ejemplo: no puedes automáticamente enviar datos financieros de clientes a un servidor en Estados Unidos sin garantías. Debes evaluar si ese país tiene leyes de protección equivalentes o firmar cláusulas contractuales estándar con tu proveedor.

• Audita dónde físicamente residen tus servidores y datos
• Firma Data Processing Agreements con proveedores internacionales
• Revisa los términos de privacidad de Google, AWS u otros proveedores en nube
• Documenta la justificación legal para cada transferencia internacional

CMF, reportes regulatorios y privacidad: no son enemigos

La Comisión para el Mercado Financiero (CMF) requiere reportes de morosidad, fraude y exposición crediticia. Eso sigue siendo obligatorio bajo la Ley 21.719. Lo que cambió es cómo lo haces: debes anonimizar datos en la medida que sea posible, documentar accesos internos, e informar a clientes si sus datos se comparten con la CMF.

¿DPO obligatorio para tu institución financiera?

Las instituciones financieras reguladas por la CMF deben tener un Delegado de Protección de Datos (DPO). Si tienes menos de 50 empleados, puede ser rol de tiempo parcial. Si tienes más de 50, debe ser dedicado. El DPO responde ante la autoridad y actúa como interlocutor entre tu empresa y los clientes que reclamen por privacidad.

Conclusión: cumplimiento operacional, no burocrático

La Ley 21.719 no es un papeleo adicional: es una forma diferente de operar. Bancos y fintechs que hoy cumplen tienen mejor reputación, menos riesgos legales y menos filtración de datos. El desafío real no es entender la ley: es implementarla en cada proceso, desde scoring hasta transferencias internacionales.

Si gestionas una institución financiera, no deberías hacerlo a ciegas. PrivacTech te ayuda a mapear exactamente dónde están tus brechas de cumplimiento, generar documentación que la CMF y los abogados aceptan, y entrenar a tu equipo en privacidad. Haz un análisis gratuito de tu estado de cumplimiento en privactech.com y descubre qué acciones implementar primero.