El Directorio del Banco Central del Paraguay (el «BCP”), a través de Resolución Nro. 3 de Acta Nro. 8 de fecha 21 de febrero de 2023 (la “Resolución”), aprobó el reglamento de Burós de Información Crediticia (“BIC”) y protección de la información personal crediticia en el marco de la Ley N° 6534/2020 de Protección de Datos Personales Crediticios (la “Ley de Protección de Datos Personales Crediticios”). Las disposiciones de la Resolución entrarán en vigor a partir del 1 de junio del 2023.
Los puntos más resaltantes de la Resolución son las disposiciones aplicables a las BIC y a los usuarios de información crediticia. Es importante notar que los usuarios de información crediticia no necesariamente son entidades reguladas por el BCP (bancos, financieras, casas de cambio u otorgantes de crédito dinerario); sin embargo, deberán cumplir con las disposiciones de la Resolución en lo referente a usuarios de información crediticia.
(i) BIC
Los BIC, que a la fecha de la Resolución presten servicios de referencias crediticias, deben presentar al BCP una solicitud de autorización para operar como BIC, adecuándose a los requisitos establecidos en la Ley de Protección de Datos Personales Crediticios. Dichas solicitudes deberán presentarse dentro del plazo de 30 días contados desde la publicación de la Resolución. La Resolución dispone que la Superintendencia de Bancos será la encargada de divulgar y mantener el Registro de BICs.
A partir del 1 de enero del 2024 solo podrán prestar servicios de información crediticia las sociedades habilitadas por el BCP.
a. Proceso de inscripción y requisitos para los BICs
Las sociedades que a partir de la fecha de la Resolución deseen prestar servicios de información crediticia deberán ser previamente autorizadas por el BCP. Para la apertura de un BIC se deben tener en cuenta los siguientes tres pasos:
Primer paso: Presentación de la solicitud en mesa de entrada del BCP por una persona física debidamente autorizada para ello. La solicitud debe estar firmada por los representantes legales de la sociedad. La Resolución establece los requisitos de los documentos que deben presentarse para la solicitud del registro.
Segundo paso: Una vez recibida la solicitud, el BCP procederá a la revisión formal de la misma.
Tercer paso: Una vez emitida la resolución favorable por parte del BCP, la sociedad autorizada procederá a iniciar sus operaciones en el plazo de ciento ochenta (180) días, contados a partir de la fecha de resolución de autorización. En caso de que no se cumpla con el plazo, previo informe de la Superintendencia de Bancos, se podrá declarar la revocación de la autorización para operar, no pudiendo presentar una nueva presentación en un periodo de 1 (un) año.
b. Regulación de la operativa de los BIC
La Resolución regula las siguientes cuestiones que hacen a la operativa de los BIC, entre las cuales se encuentran:
- Incompatibilidades e inhabilidades de aquellas personas que no podrán ocupar cargos en la plana ejecutiva o directiva de los BIC;
- el capital mínimo, que deberá ser integrado y aportado en efectivo al momento de la constitución, actualmente (el BCP puede aumentar el importe del capital mínimo exigido otorgando un plazo razonable de adecuación) la Resolución establece que el capital mínimo deberá ser de 400 salario mínimos y los BIC que ya se encuentran operando tendrán 12 meces para adecuar su capital;
- el derecho de acceso a los datos personales crediticios, estableciendo que titular de la información crediticia o su representante podrá acceder, gratuitamente, a la información que se encuentre registrada en las bases de datos administradas por los BIC;
- el procedimiento para ejercer el derecho a la actualización, rectificación y supresión de datos personales crediticios, estableciendo plazos máximos de respuestas de los BIC a los pedidos de los titulares;
- el derecho al olvido;
- el contenido de la información crediticia, el cual comprenderá todas las obligaciones activas y contingentes y demás obligaciones contraídas en el sector comercial o de cualquier otro tipo, salvo por la información que pueda ser considerada sensible;
- el protocolo de actuación de los BIC, que deberá ser aprobado por el BCP;
- reportes complementarios;
- el deber de confidencialidad;
- el consentimiento previo;
- el contrato de prestación de servicios de información crediticia;
- las principales obligaciones de los BIC, tales como reportar la información crediticia sin alteración o modificación alguna, rectificar la información crediticia, a pedido de la fuente o del titular de datos, mantener actualizados los datos del registro que gestiona, no tramitar ni divulgar datos que cumplan con lo dispuesto en la Resolución, conservar la información bajo las condiciones de seguridad acordes, entre otras.
Entre los puntos resaltantes que regula la Resolución, cabe mencionar el derecho al olvido. El plazo de publicación y conservación de los datos personales crediticios que pudieran afectar al titular no podrá exceder 5 años, a contar desde el incumplimiento de la obligación. Sin embargo, existen excepciones que pueden hacer que se extienda dicho plazo. Por otro lado, los datos personales crediticios que sean considerados positivos deberán publicarse y conservarse mínimamente por 10 años.
En cuanto a la seguridad de la información, la Resolución establece que los BIC deberán adoptar medidas de seguridad y control que resulten necesarias para evitar el manejo indebido de la información, incluyendo las salvaguardias administrativas, técnicas y físicas diseñadas para garantizar la seguridad y confidencialidad de la información. Los BIC deberán implementar lo dispuesto en el Manual de Gobierno y Control de Tecnologías de Información (Resolución SB SG. N° 00124/2017 del Directorio del BCP).
(ii) Usuarios de información crediticia
El uso de la información es otro tema importante que reglamenta la Resolución. Como se menciona al inicio de este artículo, los usuarios de información crediticia no necesariamente son entidades reguladas por el BCP (bancos, financieras, casas de cambio u otorgantes de crédito dinerario); sin embargo, deberán cumplir con las disposiciones de la Resolución en lo referente a usuarios de información crediticia. La Resolución define a los usuarios de información crediticia a toda persona, física o jurídica, con interés legítimo que contrata la prestación de servicios de referencias crediticias. El interés legítimo está configurado por el empleo del crédito bajo sus diversas modalidades o la intermediación para el perfeccionamiento de este tipo de operaciones, como herramienta habitual de gestión en la actividad económica desarrollada, incluidos los contratos con prestaciones diferidas que impliquen pagos periódicos de sumas de dinero por plazos determinados, así como relaciones comerciales que pudieran existir entre los usuarios y titular del derecho.
Los usuarios de información crediticia solo podrán usar el reporte de referencias crediticias como insumo informativo en el análisis crediticio. Excepcionalmente los reportes de referencias crediticias podrán ser utilizados en procesos de due diligence, en materia de prevención de lavado de activos, financiamiento contra el terrorismo y proliferación de armas de destrucción masiva. El servicio de referencias crediticias solo podrá ser prestado a las personas físicas y jurídicas que detenten la calidad de usuarios de la información crediticia, tal como se dispone en el artículo 14 de la Ley de Protección de Datos Personales Crediticios. Se prohíbe a los usuarios de información crediticia utilizar o proveer a terceros datos crediticios para que éstos sean utilizados para la toma de decisiones laborales, acceso al empleo, promoción, traslado o despido de personal. Asimismo, queda expresamente prohibido el uso de la información crediticia para negar o restringir el acceso a la medicina prepaga, así como negar o restringir al acceso a la atención médica de urgencia a cualquier persona.
Entre las obligaciones principales, además de lo mencionado en el párrafo anterior, se encuentran:
a) Proveer regularmente a todos los BIC, con los que tenga celebrado un contrato, los datos actualizados de los clientes de su cartera crediticia.
b) Utilizar la información crediticia consultada en forma confidencial y destinarla solo a la evaluación de riesgos crediticios y al proceso de debida diligencia en el conocimiento de clientes.
c) Informar a los BIC, con los que tenga celebrado un contrato, sobre la venta o cesión de carteras de crédito a empresas especializadas.
d) En caso de denegación al titular de los datos de la celebración de un contrato de crédito comercial o financiero, basado en un informe crediticio, el usuario deberá informar tal circunstancia al titular de datos, así como la de proveer el informe accedido, entregando copia de éste.
e) Informar al titular de los datos personales sobre la consulta a realizarse sobre su información crediticia, la empresa que proveerá los datos, el uso que se dará a los datos accedidos, copia del informe accedido en caso de que el titular de los datos lo requiera y los derechos que le asisten.
f) Solicitar y conservar copia física, electrónica o digital del consentimiento otorgado por el titular de datos.
g) Informar debidamente al titular de datos sobre la finalidad de la recolección y los derechos que le asisten por virtud del consentimiento otorgado.
h) Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento.
i) Garantizar que la información que se suministre al BIC sea veraz, completa, exacta, actualizada, comprobable y comprensible.
j) Rectificar la información cuando sea incorrecta y comunicar lo pertinente a los BIC que corresponda.
k) Suministrar al BIC, según el caso, únicamente datos cuyo tratamiento esté previamente autorizado.
l) Exigir al BIC, en todo momento, el respeto a las condiciones de seguridad y privacidad de la información del titular de datos.
m) Tramitar las consultas y reclamos formulados en los términos señalados en la Resolución.
n) Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la Ley de Protección de Datos Personales Crediticios.
ñ) Informar al BIC, cuando determinada información se encuentra en discusión por parte del titular de datos, una vez se haya presentado el reclamo y no haya finalizado el trámite respectivo
o) Cumplir las instrucciones y requerimientos de obligada observancia que imparta la Superintendencia de Bancos, tratándose de usuarios de información crediticia regulados y supervisados por el BCP. Tratándose de usuarios de información crediticia que no sean regulados por el BCP deberán cumplir con las instrucciones y requerimientos de obligada observancia que imparta la Secretaría de Defensa del Consumidor (“SEDECO”).
En cuanto al consentimiento previo, la Resolución agrega que se considerará que las cláusulas contenidas en contratos de otorgamiento de crédito o de venta a plazo, que se refieren al consentimiento para aportar información, implica la autorización para aportar información tanto positiva como negativa respecto al cumplimiento de las obligaciones por parte del titular de datos. El consentimiento podrá ser revocado de forma expresa en las mismas condiciones y a título gratuito ante el usuario de información crediticia al que se le prestó el consentimiento. La revocación no generará efecto retroactivo.
(iii) Sanciones
Finalmente, la Resolución también dispone que el BCP podrá imponer sanciones a los BIC, usuarios de información crediticia, sus representantes legales y administradores, por la comisión de las infracciones listadas en la Ley de Protección de Datos Personales Crediticios. La SEDECO podrá imponer sanciones cuando las infracciones sean cometidas por los usuarios de información crediticia que no sean supervisados por el BCP. La comisión de las infracciones deberá ser probada en sumario administrativo.
