Más datos, mayores obligaciones: nuevas reglas para el tratamiento de información crediticia
La Junta de Política y Regulación Financiera y Monetaria expidió la Resolución No. JPRFM-2026-033-F, mediante la cual amplía las fuentes de información que podrán utilizarse para evaluar el riesgo crediticio. La reforma incorpora disposiciones específicas para garantizar que la obtención, intercambio, conservación y uso de esta información se realicen conforme a la Ley Orgánica de Protección de Datos Personales.
¿Cuáles son las principales disposiciones?
1. Base jurídica para el tratamiento de datos
La información crediticia deberá obtenerse y tratarse con fundamento en una habilitación legal expresa o en una base jurídica válida. El tratamiento de la información deberá respetar los principios de: finalidad específica, proporcionalidad, minimización de datos, veracidad y seguridad de la información. Esto implica que únicamente podrán recopilarse y utilizarse los datos necesarios, adecuados y pertinentes para evaluar el riesgo crediticio, el comportamiento de pago o la capacidad de endeudamiento.
2. Información que no podrá utilizarse
La reforma prohíbe incorporar:
- 1. Datos personales sensibles.
- 2. Información sujeta a reserva legal.
- 3. Información protegida por regímenes especiales.
- 4. Datos que puedan generar efectos discriminatorios o excluyentes.
En particular, la inclusión del pago de tributos como información complementaria no autoriza el acceso automático a información tributaria individualizada, debido a su carácter reservado.
4. Acuerdos para el intercambio de información
Las entidades autorizadas para prestar servicios de referencias crediticias podrán celebrar acuerdos con instituciones que registren obligaciones de pago.
Estos acuerdos deberán garantizar:
- 1. La obtención lícita de los datos.
- 2. La existencia de una base jurídica válida.
- 3. El cumplimiento de la normativa de protección de datos.
- 4. La confidencialidad y seguridad de la información.
5. Conservación y reporte de datos
| TRATAMIENTO DE LA INFORMACIÓN | PLAZO |
|---|---|
| Antigüedad máxima de la información de riesgo crediticio. | 4 años desde la extinción legal de la operación. |
| Periodo que podrá reflejarse en los reportes crediticios. | 2 años anteriores a la fecha de emisión. |
Transcurridos los 4 años, la información podrá eliminarse de la base de datos en línea. Si se conserva en otros medios, su tratamiento deberá continuar sujeto a una finalidad legítima, a las medidas de seguridad correspondientes y a la normativa de protección de datos personales.
6. Impacto empresarial
Las organizaciones que obtengan, administren, intercambien o reporten información crediticia deberán revisar: las bases jurídicas utilizadas para el tratamiento, los convenios con fuentes y proveedores de información, las políticas de conservación y eliminación de datos, los controles de acceso y las medidas de seguridad, los mecanismos de actualización, rectificación y trazabilidad, así como la pertinencia y proporcionalidad de los datos utilizados en la evaluación crediticia, a fin de verificar que sus procedimientos y políticas internas se ajusten a la Ley Orgánica de Protección de Datos Personales y a las disposiciones de la Resolución No. JPRFM-2026-033-F.
Punto clave: La ampliación de las fuentes de información ofrece nuevas posibilidades para fortalecer el análisis del riesgo, pero también exige mayor responsabilidad, control y transparencia en el tratamiento de datos personales.
Gissel Moreta, Abogada