Chile aperta regras de dados para bancos

A Lei 21.719 de Proteção de Dados Pessoais no Chile adiciona uma nova camada de exigências para empresas, incluindo as do setor financeiro. Segundo análise divulgada pela Câmara de Comércio de Santiago e pela BigBuda, a norma obriga a mapear os tratamentos de dados, definir bases legais, revisar incidentes e adotar medidas corretivas, além de comunicar uma violação que represente risco para direitos e liberdades em até 5 dias úteis a partir do momento em que a empresa toma conhecimento do caso.

Novo fluxo de reporte

Essa comunicação precisa ser enviada tanto à futura Agência de Proteção de Dados quanto aos titulares afetados. Na prática, o modelo cria um canal de reporte específico, somado aos deveres que já recaem sobre bancos e fintechs diante da CMF e do CSIRT Nacional. O efeito é um regime de notificação mais rigoroso para incidentes ligados a dados pessoais e segurança da informação.

Sanções e risco financeiro

A mesma lei prevê um regime sancionatório que pode chegar a 5.000 UTM para infrações leves, 10.000 UTM para infrações graves e 20.000 UTM ou 4% das vendas globais anuais para infrações gravíssimas, valendo o maior valor. De acordo com o resumo da BigBuda sobre a análise da Garrigues, isso eleva de forma importante o risco financeiro associado a vazamentos e à gestão inadequada de dados em bancos e fintechs em relação ao regime anterior.

Mais funções internas de compliance

A Câmara de Comércio de Santiago também publicou um guia para PMEs sobre proteção de dados pessoais, com uma metodologia em dez etapas. Entre elas estão a designação de um responsável interno por proteção de dados, o mapeamento de tratamentos e a análise de falhas. Essa estrutura indica que até em serviços financeiros menores, como fintechs e comércios com meios de pagamento, será necessária uma função interna formal dedicada ao compliance de dados e segurança.

Marco de segurança já em vigor

A mudança ocorre em um ambiente regulatório que já vinha ampliando as exigências técnicas. Nas fontes usadas nesta nota aparecem a norma da CMF para gestão da segurança da informação e cibersegurança, a Lei Fintech Chile, a Lei 21.663 de cibersegurança e o guia da Biblioteca do Congresso Nacional sobre cibersegurança de órgãos do Estado e infraestrutura crítica da informação. Em conjunto, esse marco aponta para mais obrigações de gestão de riscos, inventários de ativos críticos, registro e relatórios periódicos para atores regulados do sistema financeiro chileno.