BCU regula tercerizaciones de servicios críticos

La Superintendencia de Servicios Financieros del Banco Central del Uruguay publicó un nuevo proyecto normativo sobre el régimen aplicable a las tercerizaciones de servicios para instituciones supervisadas del sistema financiero, mercado de valores, seguros, reaseguros y fondos previsionales. La propuesta incluye servicios de gestión de riesgos, tecnología y seguridad de la información, y fija una comunicación previa con una anticipación mínima de 180 días corridos para ciertos casos que involucren datos de clientes, operaciones o infraestructura tecnológica crítica.

¿Qué servicios quedan bajo este proyecto?

El alcance incluye tercerizaciones relacionadas con gestión de riesgos, tecnología y seguridad de la información, según el material revisado. También abarca determinados servicios vinculados con alojamiento o procesamiento masivo de datos de clientes u operaciones, además de cambios en infraestructura tecnológica crítica.

El análisis publicado por PPV Abogados agrega que el proyecto no trata a todos los servicios por igual. En algunos supuestos, la exigencia central pasa por la comunicación previa al regulador, mientras que en otros se activa el plazo reforzado de 180 días corridos.

¿Qué pasa con SaaS y PaaS?

El análisis sobre el proyecto del BCU señala que SaaS y PaaS quedan exceptuados del plazo de 180 días en determinadas condiciones. Si esos servicios no manejan datos personales de clientes, o si los tienen disociados, deberían comunicarse previamente a la contratación, pero sin ese plazo reforzado.

Esa distinción vuelve más precisa la regla para esquemas de nube y servicios tercerizados que no implican, según el análisis citado, el mismo nivel de exposición sobre datos personales. El material no agrega más detalles sobre requisitos adicionales o sobre el texto final que eventualmente apruebe el BCU.

¿Cómo se conecta con la agenda regulatoria uruguaya?

El proyecto del BCU aparece en paralelo a una reforma reciente sobre prevención del lavado de activos en Uruguay, que según El Observador amplió el alcance de los sujetos obligados y endureció varias obligaciones de control. Esa cobertura ubica a la tecnología y a la seguridad de la información dentro de una agenda regulatoria más amplia para entidades supervisadas.

Según la exposición reseñada por El Observador, la Ley N.° 20.469, aprobada el 19 de marzo de 2026, modificó la Ley Integral contra el Lavado de Activos N.° 19.574. La especialista citada por el medio sostuvo que incorporó determinados ciberdelitos como delitos precedentes del lavado cuando superan las 100.000 unidades indexadas y amplió la exposición a sanciones de directivos y alta gerencia por incumplimientos preventivos.

La misma cobertura indicó que la reforma también sumó como nuevos sujetos obligados a organismos públicos, personas públicas no estatales y sociedades con participación estatal. Además, reforzó la confidencialidad de los reportes de operaciones sospechosas y estableció colaboración obligatoria entre organismos públicos, fiscalías, la UIAF y la SENACLAFT.

El texto reseñado por El Observador añadió otros cambios: la ampliación de 72 horas a cinco días hábiles del plazo de bloqueo de operaciones sospechosas por parte de la UIAF, la incorporación de investigaciones patrimoniales paralelas a las penales y la habilitación del decomiso ampliado de bienes cuyo origen lícito no pueda justificarse, incluso cuando estén a nombre de terceros o testaferros.