BCU regula terceirizações de serviços críticos

A Superintendência de Serviços Financeiros do Banco Central do Uruguai publicou um novo projeto normativo sobre o regime aplicável às terceirizações de serviços para instituições supervisionadas do sistema financeiro, mercado de capitais, seguros, resseguros e fundos previdenciários. A proposta inclui serviços de gestão de riscos, tecnologia e segurança da informação, e fixa comunicação prévia com antecedência mínima de 180 dias corridos para certos casos que envolvam dados de clientes, operações ou infraestrutura tecnológica crítica.

¿Qué servicios quedan bajo este proyecto?

O escopo inclui terceirizações relacionadas à gestão de riscos, tecnologia e segurança da informação, segundo o material revisado. Também abrange determinados serviços ligados à hospedagem ou ao processamento massivo de dados de clientes ou operações, além de mudanças em infraestrutura tecnológica crítica.

A análise publicada pelo PPV Abogados acrescenta que o projeto não trata todos os serviços da mesma forma. Em alguns cenários, a exigência central é a comunicação prévia ao regulador, enquanto em outros se aplica o prazo reforçado de 180 dias corridos.

¿Qué pasa con SaaS y PaaS?

A análise sobre o projeto do BCU indica que SaaS e PaaS ficam dispensados do prazo de 180 dias em determinadas condições. Se esses serviços não tratarem dados pessoais de clientes, ou se eles estiverem dissociados, a contratação deve ser comunicada previamente, mas sem esse prazo reforçado.

Essa distinção torna mais precisa a regra para esquemas de nuvem e serviços terceirizados que, segundo a análise citada, não implicam o mesmo nível de exposição sobre dados pessoais. O material não traz mais detalhes sobre requisitos adicionais nem sobre o texto final que eventualmente venha a ser aprovado pelo BCU.

¿Cómo se conecta con la agenda regulatoria uruguaya?

O projeto do BCU surge em paralelo a uma reforma recente sobre prevenção à lavagem de dinheiro no Uruguai, que, segundo El Observador, ampliou o alcance dos sujeitos obrigados e endureceu várias obrigações de controle. Essa cobertura coloca tecnologia e segurança da informação dentro de uma agenda regulatória mais ampla para entidades supervisionadas.

Segundo a exposição resumida por El Observador, a Lei N.° 20.469, aprovada em 19 de março de 2026, alterou a Lei Integral contra a Lavagem de Ativos N.° 19.574. A especialista citada pelo veículo afirmou que a norma incorporou determinados cibercrimes como delitos precedentes da lavagem quando superam 100.000 unidades indexadas e ampliou a exposição de diretores e da alta gestão a sanções por falhas preventivas.

A mesma cobertura indicou que a reforma também incluiu como novos sujeitos obrigados órgãos públicos, pessoas jurídicas de direito público não estatal e sociedades com participação estatal. Além disso, reforçou a confidencialidade dos relatórios de operações suspeitas e estabeleceu colaboração obrigatória entre órgãos públicos, promotorias, a UIAF e a SENACLAFT.

O texto resumido por El Observador acrescentou outras mudanças: a ampliação de 72 horas para cinco dias úteis do prazo de bloqueio de operações suspeitas pela UIAF, a inclusão de investigações patrimoniais paralelas às penais e a autorização do confisco ampliado de bens cujo origem lícita não possa ser comprovada, inclusive quando estejam em nome de terceiros ou laranjas.