BANCO CENTRAL DE LA REPÚBLICA ARGENTINA

16/09/2016

A LAS ENTIDADES FINANCIERAS.
A LAS EMPRESAS NO FINANCIERAS EMISORAS DE TARJETAS DE CRÉDITO,
A LOS ADMINISTRADORES DE CARTERAS CREDITICIAS DE EX-ENTIDADES FINANCIERAS,
A LOS FIDUCIARIOS DE FIDEICOMISOS FINANCIEROS COMPRENDIDOS EN LA LEY DE ENTIDADES FINANCIERAS,
A LAS EMPRESAS NO FINANCIERAS EMISORAS DE TARJETAS DE COMPRA:
Nos dirigimos a Uds. para comunicarles que esta Institución adoptó la siguiente resolución:
“1. Sustituir el punto 1.1.5. de las normas sobre “Gestión crediticia” por lo siguiente: “1.1.5. Aspectos formales.
El legajo y los anexos podrán llevarse en medios magnéticos, electrónicos u otra tecnología similar. En estos dos últimos casos no será de aplicación lo previsto en el punto 1.1.4., en tanto que deberán observarse los requisitos incluidos en el punto X. de las normas sobre “Instrumentación, conservación y reproducción de documentos”.”
2. Sustituir el punto 3.4.5. de las normas sobre “Clasificación de deudores” por lo siguiente: “3.4.5. Aspectos formales.
El legajo y los anexos podrán llevarse en medios magnéticos, electrónicos u otra tecnología similar. En estos dos últimos casos deberán observarse los requisitos incluidos en el punto X. de las normas sobre “Instrumentación, conservación y reproducción de documentos”.”
3. Sustituir el título de las normas sobre “Conservación y reproducción de documentos” por “Instrumentación, conservación y reproducción de documentos”.
4. Incorporar como punto X. de las normas sobre “Instrumentación, conservación y reproducción de documentos” —texto según el punto 3. de la presente comunicación— lo siguiente:
“X. Instrumentación de documentos.
X.1. Soportes admitidos.
Adicionalmente a los soportes originados en papel, se admiten los electrónicos de características similares en la medida que los documentos sean inalterables y que se pueda efectuar sobre éstos verificaciones periciales que permitan probar su autoría y autenticidad.
No se admiten los soportes electrónicos en los casos en que la legislación y/o reglamentación exijan una forma específica de instrumentación.
X.2. Firma.
Se admiten las firmas ológrafas efectuadas originalmente sobre documentos electrónicos u otras tecnologías similares en la medida que puedan efectuarse sobre aquellas verificaciones periciales que permitan probar su autoría y autenticidad.
X.3. Entrega de copias.
Las entidades financieras deberán remitir a la dirección de correo electrónico informada por el cliente los archivos que incluyan la totalidad de la documentación suscripta o incorporar al “hom banking” de este último las correspondientes imágenes digitalizadas.
Sin perjuicio de ello, el cliente podrá solicitar personalmente las copias de la citada documentación en la correspondiente sucursal de radicación de la cuenta y/o legajo.
X.4. Requisitos de seguridad de la información.
Cuando se trate de la instrumentación de documentos en soportes electrónicos de características similares —según lo previsto en el punto X.1.—, las entidades financieras deberán observar lo siguiente:
X.4.1. Se denominan “Documentos firmados en soporte electrónico” (DFE) a los archivos de datos en formato electrónico que posean asociada de manera indivisible una firma ológrafa digitalizada verificable, tal que admita efectuar verificaciones periciales que permitan probar su autoría y autenticidad y que resulte equivalente al documento en papel firmado en su versión original, constituyendo un documento firmado original, legítimo, único e inalterable durante su uso y vigencia e irrecuperable después de su descarte o vencimiento.
X.4.2. Se deberán satisfacer los siguientes requisitos generales para la protección de los DFE en cada etapa de su ciclo de vida:
X.4.2.1. Creación. Se trata de la generación de nuevos DFE o la actualización del contenido existente:
i) La digitalización de la firma ológrafa deberá cumplir con los requisitos biométricos indicados por la ISO IEC 19794-7.
ii) El DFE deberá tener una relación univoca con la firma ológrafa.
iii) Toda actualización de un DFE equivaldrá a la creación de una nueva relación entre documento y firma, generando un nuevo DFE que sustituye e invalida el anterior.
X.4.2.2. Almacenamiento. Es la acción de ubicar a los DFE en alguna clase de repositorio de almacenamiento y podrá realizarse en simultáneo con su creación.
i) Los DFE creados deberán ser resguardados, protegiendo la confidencialidad del datagrama biométrico de la firma ológrafa mediante encripción, acorde a la evaluación de riesgos, en línea con lo requerido por las normas sobre “Requisitos mínimos de gestión, implementación y control de los riesgos relacionados con tecnología informática, sistemas de información y recursos asociados para las entidades financieras”.
ii) Deberá garantizarse que el documento no sea eliminable, no pueda ser modificado y tampoco reemplazado una vez creado.
X.4.2.3. Uso. Es el acceso a los DFE para su lectura, procesamiento u otro tipo de actividad, siempre que no incluya su modificación.
i) Deberá garantizarse el acceso a los DFE a los usuarios autorizados acorde al concepto “necesidad de uso/conocimiento”.
ii) Los datagramas de la firma ológrafa deberán ser utilizados para autenticar al individuo firmante.
iii) Toda la actividad de uso de los DFE deberá ser trazable; es decir, deberá quedar registro de quién accedió al documento, cuando, cómo y qué se hizo durante ese acceso.
iv) Las llaves de encripción para acceder a los datagramas deberán ser resguardadas y gestionadas de manera segura.
X.4.2.4. Distribución. El DFE se hace accesible a otros, tales como otros usuarios, clientes y/o colaboradores.
i) El DFE deberá tener identificado un propietario que podrá acceder al documento y será responsable de autorizar cómo y con quien se lo comparte, y que también definirá su archivo o destrucción. Toda la actividad relacionada con su distribución deberá ser trazable.
ii) El DFE deberá contar con una clasificación (criterio de criticidad) acorde con la política de seguridad de la organización, en línea con lo requerido por las normas sobre “Requisitos mínimos de gestión, implementación y control de los riesgos relacionados con tecnología informática, sistemas de información y recursos asociados para las entidades financieras”.
X.4.2.5. Archivo histórico. Los DFE dejarán de estar disponibles en línea y se albergarán en un almacenamiento electrónico de largo plazo. El almacenamiento de un DFE deberá realizarse en medios que garanticen su confidencialidad, integridad y disponibilidad por el tiempo determinado legalmente según su naturaleza.
X.4.2.6. Destrucción. Los DFE serán destruidos de forma permanente.
i) La acción de destrucción del DFE deberá estar debidamente registrada y formalizada.
ii) Deberá garantizarse la no recuperación parcial o total de los datos mediante técnicas de borrado seguro.
X.4.3. Todos los documentos relativos a contratos/acuerdos con el cliente bancario, datos personales y financieros del cliente en poder de la entidad financiera y aquellos protegidos por la Ley 25.326 de Protección de Datos Personales deberán poseer la máxima criticidad que permita la metodología de gestión de riesgo de la entidad y ser tratados conforme a tal condición en el ciclo de vida de los DFE.
X.4.4. Complementariamente, las entidades financieras deberán tomar como referencia lo previsto por las normas sobre “Requisitos mínimos de gestión, implementación y control de riesgos relacionados con tecnología informática, sistemas de información y recursos asociados para las entidades financieras” respecto del tratamiento de la información de las entidades y sus clientes.”
5. Sustituir el segundo párrafo del punto 1. y el primer párrafo del punto 2.1. de las normas sobre “Instrumentación, conservación y reproducción de documentos” —texto según el punto 3, de la presente comunicación— por lo siguiente:
“Toda documentación original en papel cuya reproducción se admite o admita, que efectivamente haya sido realizada según lo establecido en el presente régimen, previo a su destrucción física deberá ser puesta a disposición de los interesados, mediante notificación fehaciente o con alguna de las modalidades previstas en las normas sobre “Información a clientes por medios electrónicos para el cuidado del medio ambiente” —en este último caso, sujeto a la observancia de las condiciones establecidas en esas normas—, por el plazo de 6 meses a contar desde dicha notificación.”
“Las entidades financieras pueden conservar, en sustitución de los originales en papel —en la medida en que no se opongan a ello disposiciones legales— fotografías, microfilmaciones o reproducciones digitalizadas de los comprobantes vinculados a su operatoria.”
6. Sustituir el tercer párrafo del punto 2.3.1.1. de las normas sobre “Protección de los usuarios de servicios financieros” por lo siguiente:
“Cuando se trate de solicitudes de productos o servicios que serán sometidas a la aprobación posterior del sujeto obligado, deberá entregarse al usuario de servicios financieros un ejemplar de la totalidad de los formularios que firma en ese acto, intervenido por el sujeto obligado en carácter de constancia de recepción, con ajuste a lo previsto en las normas sobre “Instrumentación, conservación y reproducción de documentos”, de corresponder. En dicha oportunidad el sujeto obligado le deberá además notificar —conservando constancia de ello— que una vez aprobada la solicitud se le proporcionará —dentro de los diez días hábiles contados a partir de la fecha de su aprobación o de la disponibilidad efectiva del producto o servicio, lo que suceda último— el contrato con la firma autorizada del sujeto obligado.”
Asimismo, les informamos que posteriormente les haremos llegar las hojas que, en reemplazo de las oportunamente provistas, corresponderá incorporar en las normas sobre “Gestión crediticia”, “Clasificación de deudores”, “Protección de los usuarios de servicios financieros” e “Instrumentación, conservación y reproducción de documentos” —texto según el punto 3. de la presente comunicación—.
Saludamos a Uds. atentamente.
BANCO CENTRAL DE LA REPÚBLICA ARGENTINA
DARÍO C. STEFANELLI, Gerente Principal de Emisión y Aplicaciones Normativas. — AGUSTÍN TORCASSI, Subgerente General de Normas.

e. 21/10/2016 N° 77390/16 v. 21/10/2016