El proyecto de Reglamento General del Sistema de Finanzas Abiertas

1. Contexto y problema

El 5 de octubre de 2026 se publicó en el Diario Oficial El Peruano la Resolución SBS N.º 02433-2026, de fecha 2 de octubre, que autoriza la difusión en consulta pública del proyecto que aprobaría el Reglamento General del Sistema de Finanzas Abiertas (SFA). Su artículo segundo otorga dieciocho días calendario para remitir comentarios, plazo que vence el 23 de octubre. Al ser un proyecto, ninguna de sus obligaciones es exigible hoy.

El problema que pretende atender es conocido: los datos que una persona genera al usar sus productos financieros quedan en poder de la entidad que los custodia, y si quiere comparar ofertas o pedir un crédito en otra entidad, debe reconstruirlos por su cuenta. Según sus considerandos, la propuesta desarrolla la Hoja de Ruta de Finanzas Abiertas publicada por la SBS en febrero de 2026, con la finalidad declarada de promover la competencia, la innovación y la inclusión financiera.

2. Régimen previo

Actualmente no existe en el Perú una obligación general de las entidades financieras de compartir los datos de sus clientes con terceros, y el acceso a esa información encuentra dos límites. El primero es el secreto bancario, al que se refiere la Constitución en su artículo 2, inciso 5, y que la Ley N.º 26702, Ley General del Sistema Financiero, desarrolla en su artículo 140 respecto de las operaciones pasivas. El segundo es la Ley N.° 29733, Ley de Protección de Datos Personales, que en su artículo 13, numeral 5, exige que el consentimiento para el tratamiento de datos sea previo, informado, expreso e inequívoco. El proyecto invoca además la Ley N.° 29985, que faculta a la SBS y al BCRP a establecer condiciones de interoperabilidad.

3. Contenido del cambio

De aprobarse, el reglamento introduciría estas reglas:

• Participantes: Las empresas supervisadas que figuren en la relación de obligados que publique la SBS actuarían como entidades proveedoras de datos (EPD) (artículos 1 y 18). Las empresas no supervisadas, como las Fintech, podrían participar voluntariamente como entidades receptoras de datos (ERD), previa inscripción en un registro y con un patrimonio neto no menor de S/ 678 000 (artículo 17.2).
• Datos: El sistema comprendería los datos de identificación del usuario y los de sus productos contratados, incluidos saldos e historial de transacciones de hasta 36 meses (artículo 9). Quedarían excluidas las evaluaciones internas de riesgo y la información de prevención del lavado de activos (artículo 9.6).
• Consentimiento: El acceso exigiría tres etapas sucesivas: consentimiento ante la ERD, autenticación y confirmación ante la EPD (artículo 27). El consentimiento debería otorgarse por cada finalidad, que debería corresponder a alguna de las previstas en el Anexo 1, listado que la SBS podría ampliar (artículos 27.4 y 28.3), sería independiente de la contratación de productos (artículo 28.1) y podría revocarse en cualquier momento, sin expresión de causa, desde un panel gratuito (artículos 34 y 36). Se prohibiría condicionar el otorgamiento de productos a consentimientos que no sean estrictamente necesarios (artículo 30.1, literal e) y que la entidad proveedora induzca al usuario a revocarlos (artículo 36.3).
• Responsabilidad: El Anexo 4 propone una matriz de escenarios con una atribución inicial de responsabilidad entre EPD y ERD. Sin embargo, aclara que esa atribución no es definitiva, no establece presunciones, no invierte la carga de la prueba y no genera por sí misma una obligación de indemnizar (numeral 1.3).

La implementación sería gradual, como resume la Tabla 1. Los Títulos V a X, que regulan infraestructura, marco de confianza, estándares, costos, disputas y sanciones, aún no tienen contenido y se aprobarían mediante resoluciones posteriores.

Tabla 1. Cronograma propuesto de implementación del SFA

Fuente: Elaboración propia a partir del artículo Tercero y de las Disposiciones Complementarias Transitorias del proyecto.

4. Consecuencias e interrogantes de aplicación

A mi criterio, el principal aporte civil del proyecto está en cómo regula el consentimiento. La definición del artículo 2, literal b, exige una manifestación libre, expresa e inequívoca, por lo que excluiría la manifestación tácita que el Código Civil admite con carácter general en su artículo 141. Además, se trataría de un consentimiento limitado a una finalidad, a unas categorías de datos y a un plazo. Este diseño plantea una pregunta que el texto no responde: qué efectos tendría la revocación sobre los actos ya celebrados con base en los datos compartidos. El artículo 36.2 solo impide que se siga accediendo a los datos o tratándolos. Considero que la revocación debería operar hacia el futuro, de modo que un crédito ya otorgado no se vería afectado, pero sería conveniente que el reglamento lo dijera expresamente.

En segundo lugar, la prohibición de condicionar la contratación al consentimiento funcionaría como un límite al contenido de los contratos por adhesión de las entidades financieras. Sin embargo, la fórmula «estrictamente necesarias» del artículo 30.1 dejaría un margen de interpretación que tendría que precisar la SBS.

En tercer lugar, la matriz de responsabilidad del Anexo 4 aportaría predictibilidad entre los participantes, pero no resuelve la posición del usuario. Si una ERD utiliza los datos para una finalidad no autorizada, el usuario tendría que acudir a las reglas generales: la responsabilidad por inejecución de obligaciones, si existe un contrato con la ERD, o la responsabilidad extracontractual del artículo 1969 del Código Civil. Asimismo, el Título IX, sobre disputas, permanece en blanco. Estimo que sería una oportunidad para prever un mecanismo especializado de solución de controversias entre participantes, en el que el arbitraje podría ofrecer la rapidez y la especialización técnica que estas controversias requieren.

Por último, existe un riesgo de superposición. El proyecto remite a la normativa de protección de datos personales, cuya autoridad no es la SBS sino el Ministerio de Justicia, conforme al artículo 32 de la Ley N.° 29733. Sin reglas de coordinación, un mismo hecho podría ser objeto de dos procedimientos sancionadores. Además, los obligados desconocen todavía cómo se repartirán los costos del sistema, materia que el Título VIII deja pendiente.

5. Conclusión

El proyecto de la SBS propone trasladar al cliente el control sobre sus datos financieros mediante un consentimiento exigente y revocable, y lo acompaña de un cronograma realista. Sin embargo, todavía es un esqueleto: seis de sus diez títulos están pendientes y aspectos centrales, como los efectos de la revocación, la protección del usuario frente al uso indebido de sus datos y la solución de controversias aún requieren mayor precisión. La consulta, abierta hasta el 23 de octubre, es la oportunidad para aportar en esos puntos.

Referencias

Superintendencia de Banca, Seguros y AFP. (2026, 5 de octubre). Resolución SBS N.° 02433-2026. Autorizan difusión en consulta pública del proyecto normativo que aprueba el Reglamento General del Sistema de Finanzas Abiertas. Diario Oficial El Peruano, pp. 22-23. https://busquedas.elperuano.pe/dispositivo/NL/2561262-1

Superintendencia de Banca, Seguros y AFP. (2026). Proyecto normativo que aprueba el Reglamento General del Sistema de Finanzas Abiertas [Proyecto en consulta pública]. Sede Digital de la SBS. https://www.sbs.gob.pe/normativa-y-estandares/normativa/prepublicacion-de-proyectos-normativos

Fuentes oficiales: Constitución Política del Perú, artículo 2, inciso 5; Código Civil, artículos 141 y 1969; Ley N.° 26702, artículo 140; Ley N.° 29733, artículos 13.5 y 32; Ley N.° 29985.