06-11-2026 | az, Noticias, Tech
La Comisión de Constitución aprobó en particular el proyecto que propone trasladar la vigencia de la Ley N°21.719 al 15 de octubre del próximo año.
El pasado 1 de septiembre de 2026, el Ejecutivo ingresó al Senado el proyecto de ley (Boletín N° 18.623-07) que busca postergar la entrada en vigor de la Ley N°21.719, sobre protección y tratamiento de datos personales, actualmente fijada para el 1 de diciembre de 2026. La propuesta original del Ejecutivo trasladaba esa fecha al 1 de diciembre de 2027.
Tras su aprobación en general el 19 de octubre, la Comisión de Constitución, Legislación, Justicia y Reglamento del Senado aprobó el proyecto en particular en su sesión de este lunes 26 de octubre, luego de revisar las 15 indicaciones presentadas por senadores y por el Ejecutivo. El siguiente paso es la Comisión de Hacienda en el Primer Trámite Constitucional.
Nueva fecha de vigencia
Luego de la sesión del lunes 19, la nueva fecha de entrada en vigor que sería el 15 de octubre de 2027. Así, la prórroga sería de aproximadamente diez meses y medio, y no del año completo que contemplaba el proyecto original.
Consejo Directivo y nombramientos
En cuanto a la Agencia de Protección de Datos Personales (APDP), la Comisión adoptó los siguientes acuerdos:
- El Consejo Directivo tendría cinco integrantes, en lugar de los tres que hoy contempla la ley, y mantendría su renovación parcial cada dos años.
- Se rechazó reducir a cuatro séptimos la mayoría exigida en el Senado para aprobar a los consejeros; se mantiene la regla legal de dos tercios de los senadores en ejercicio.
- Para la primera designación, se eliminó la norma que daba por aceptada la propuesta presidencial si el Senado no se pronunciaba a tiempo, y se previó que el Ejecutivo presente una nueva nómina si la primera es rechazada.
¿Qué significa esto para las empresas?
Los acuerdos de la Comisión no modifican las obligaciones sustantivas de la ley: bases de licitud, deberes de información, derechos de los titulares, medidas de seguridad, notificación de vulneraciones y evaluaciones de impacto.
Postergar la ley no significa postergar la preparación. Las organizaciones que aprovechen este tiempo para levantar sus registros de actividades de tratamiento de datos, revisar sus contratos y políticas, entre otras acciones, llegarán en mejor posición a la nueva regulación.
Escríbenos a contacto@compliancelatam.legal o visita compliancelatam.legal/tech si necesitas más información.
29-10-2026 | az, Opinión
Por Luz María Barrientos, Gerente Legal en Alemana Seguros, Chile
Cuando hablamos de compliance, solemos pensar inmediatamente en las empresas: en sus obligaciones legales, en la prevención de incumplimientos y en la necesidad de instalar una cultura de integridad que permita “hacer las cosas bien”.
Sin embargo, existe una dimensión de la que se habla mucho menos y que resulta fundamental para que esa cultura realmente funcione: el rol de los clientes.
Es cierto que las empresas tienen mayores obligaciones legales. Son ellas quienes administran información, diseñan productos y servicios y, muchas veces, cuentan con un mayor poder de negociación. Pero los clientes también tienen su propio espacio de responsabilidad, una suerte de “compliance del cliente”, que se expresa en la utilización honesta y de buena fe de los productos y servicios contratados, conforme al contrato y a la ley, y respetando tanto a la empresa como a sus trabajadores y a los demás clientes.
Esta responsabilidad compartida adquiere especial relevancia en las empresas de servicios y, particularmente, en el mundo de los seguros.
En este ámbito, el cliente cumple un papel decisivo. Entregar información veraz al momento de declarar el riesgo y al informar un siniestro, pagar oportunamente la prima, presentar documentación auténtica y solicitar únicamente aquellos pagos o reembolsos que correspondan a la cobertura contratada, son conductas esenciales para que el sistema funcione correctamente.
Porque la calidad del servicio no depende únicamente de la empresa. El cliente también participa activamente en la construcción del resultado final.
A partir de esta idea surgen algunas preguntas y desafíos que las organizaciones debieran incorporar en su reflexión:
¿Cómo podemos ayudar a nuestros clientes a comprender mejor las condiciones de sus contratos, para que sepan utilizarlos y también exigir su cumplimiento cuando corresponda?
¿Cómo podemos compartir nuestro conocimiento y experiencia para que las personas tomen mejores decisiones y el servicio contratado se convierta en una verdadera ayuda, en lugar de ser una fuente adicional de estrés?
Las posibles soluciones son muchas, pero todavía queda camino por recorrer. Los problemas, conflictos y fricciones continúan existiendo y, con frecuencia, tienen un origen común: la falta de información o el uso de lenguajes técnicos que dificultan la comprensión y alejan a las personas.
Por eso, uno de los grandes desafíos para las empresas es contribuir activamente al compliance del cliente. No se trata de trasladarle responsabilidades ni de aumentar las exigencias, sino de entregarle herramientas para que comprenda con claridad qué contrató, qué necesidad está cubriendo y cómo debe utilizar correctamente el producto o servicio.
Un cliente informado puede ejercer mejor sus derechos, cumplir adecuadamente sus obligaciones y relacionarse de manera más transparente con la empresa.
Y es precisamente en esa relación, basada en la claridad, la buena fe y la responsabilidad compartida, donde puede construirse la lealtad que tantas organizaciones buscan: la que nace de un servicio entregado conforme a lo pactado, sin letras chicas y con total transparencia.
En el caso de los seguros, esa confianza tiene un valor todavía más profundo: permite que el producto contratado cumpla su verdadero propósito, que es entregar tranquilidad y seguridad para enfrentar el futuro.
Luz María Barrientos, Gerente Legal en Alemana Seguros, Chile
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
28-10-2026 | az, FERRERE, Opinión, Tech
Por Juan Pablo González, presidente del directorio, Chile; y Gimena Areal, vicepresidenta del directorio, Uruguay | ComplianceLatam Tech
Panorama general de la ciberseguridad en la región
En pocos años, la ciberseguridad dejó de ser un asunto exclusivamente técnico para convertirse en una cuestión de gobierno corporativo, cumplimiento normativo y política pública. La acelerada transformación digital de América Latina, impulsada por la migración a la nube, la digitalización de los servicios públicos y financieros y la expansión del trabajo remoto, amplió la superficie de ataque a un ritmo mayor que el desarrollo de los controles de seguridad, los modelos de gobernanza y las capacidades institucionales. En este contexto, distintos informes especializados coinciden en señalar un crecimiento sostenido de los ciberataques en la región[1].
El ransomware continúa siendo una de las amenazas más disruptivas. Según Intel 471, las filtraciones publicadas por grupos de ransomware en la región aumentaron un 78% entre 2024 y 2025[2]. A ello se suman campañas de phishing cada vez más sofisticadas, potenciadas por el uso de inteligencia artificial.
Este escenario ha llevado a los países de la región a fortalecer sus marcos regulatorios en materia de ciberseguridad, estableciendo nuevas obligaciones de prevención, gestión y notificación de incidentes. Chile y Uruguay son dos ejemplos de esta tendencia, aunque cada uno ha seguido un camino regulatorio diferente.
El marco de la ciberseguridad en Uruguay
Uruguay cuenta con un alto nivel de desarrollo digital, resultado de una política sostenida de modernización del Estado y de incorporación de tecnologías en la prestación de servicios públicos. Este avance se refleja en el E-Government Survey 2024 de Naciones Unidas, que posicionó al país como líder en gobierno digital en América Latina y el Caribe y en segundo lugar en las Américas, únicamente por detrás de Estados Unidos[3].
Sin embargo, este proceso de digitalización también plantea importantes desafíos en materia de ciberseguridad. La creciente dependencia de los sistemas informáticos, la interconexión entre organismos públicos y privados y el volumen de información que se gestiona a través de plataformas digitales aumentan la exposición a posibles incidentes de seguridad. Estos incidentes pueden comprometer no solo la información de las organizaciones, sino también la continuidad de servicios esenciales, los derechos de las personas y el funcionamiento de actividades fundamentales para el país.
Frente a este escenario, Uruguay ha desarrollado su marco de ciberseguridad de manera gradual, a través de normas de distinto rango y sin contar, hasta el momento, con una ley marco única sobre la materia.
En el centro de este sistema se encuentra la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento (Agesic), que actúa a través de su Dirección de Seguridad de la Información y del Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy). Desde 2020, la Ley 19.924 atribuye a Agesic facultades para regular, fiscalizar y auditar la seguridad de la información tanto en entidades públicas como en entidades privadas vinculadas a servicios o sectores críticos. En materia de datos personales, la Ley 19.670 obliga a informar de inmediato las vulneraciones de seguridad a la Unidad Reguladora y de Control de Datos Personales (URCDP), que coordina la respuesta con el CERTuy.
Un avance particularmente relevante se produjo con los artículos 78 a 84 de la Ley 20.212 de 2023. La norma impuso a las entidades públicas y a determinadas entidades privadas vinculadas a sectores críticos la obligación de adoptar medidas de seguridad, designar un responsable de seguridad de la información y comunicar los incidentes de ciberseguridad a AGESIC dentro de las 24 horas desde su detección. Asimismo, creó el Registro Nacional de Incidentes de Ciberseguridad.
El régimen fue posteriormente reglamentado por el Decreto 66/025, que estableció la aplicación obligatoria del Marco de Ciberseguridad de Uruguay, alineado con el NIST Cybersecurity Framework. Mas recientemente, en julio de 2026, el Decreto 168/026 incorporó nuevas obligaciones para la Administración Central. Ante un incidente de ciberseguridad, la entidad afectada debe iniciar de inmediato los procedimientos administrativos correspondientes y, cuando el incidente derive de una falta de previsión o de la utilización de sistemas obsoletos, adoptar los ajustes necesarios e informar a Agesic.
También se han producido avances en materia penal. La Ley 20.327 de agosto de 2024, incorporó al ordenamiento uruguayo delitos como el daño informático, el acceso ilícito, la interceptación ilícita y la suplantación de identidad, adecuando el marco penal a las exigencias necesarias para avanzar en la adhesión al Convenio de Budapest.
Estos desarrollos se enmarcan en la Estrategia Nacional de Ciberseguridad del Uruguay 2024 - 2030 | Agesic , organizada en ocho pilares y orientada a fortalecer las capacidades nacionales de prevención, detección y respuesta frente a amenazas digitales. Entre sus objetivos se encuentra la identificación de las infraestructuras de información crítica del país y el fortalecimiento de la cooperación entre los sectores público y privado.
Aspectos generales de Chile
Chile es el primer país de Latinoamérica en contar con una normativa específica de ciberseguridad, la Ley Nº 21.663 Marco de Ciberseguridad, que entre sus materias se encuentra la creación de una Agencia Nacional de Ciberseguridad (ANCI), de un Equipo de Respuesta a Incidentes de Seguridad Informática Nacional (CSIRT) y de Defensa Nacional, Consejo Multisectorial y el reconocimiento vía legal del Comité Interministerial de Ciberseguridad, instancia que reúne a varias subsecretarías que tienen incidencia en la materia.
Esta normativa, que toma de referencia varios elementos de la Directiva Europea (NIS2), posee entre sus elementos más distintivos definir aquellos sujetos regulados, a saber, los prestadores de servicios esenciales, estableciéndose una serie de sectores económicos que están obligados a adoptar medidas para prevenir y contener los incidentes de ciberseguridad; y además, la declaración de Operadores de Importancia Vital (OIV), que serían instituciones específicas del páis, que por su rol, la “afectación, interceptación, interrupción o destrucción de sus servicios tienen un impacto significativo en la seguridad y el orden público, en la provisión continua y regular de servicios esenciales, en el efectivo cumplimiento de las funciones del Estado, o en general, de los servicios que éste debe proveer o garantizar”. Esta declaración se realiza a través de un proceso reglado de carácter administrativo, que incluye proceso de reponer ante la resolución que declara a una organización, así como la ilegalidad de la resolución ante la Corte de Apelaciones competente.
Además, uno de los deberes transversales de la normativa es el deber de reporte de los incidentes de impacto significativo, y que se aplica tanto a los prestadores de servicios esenciales como a los OIV. Los plazos que establece este deber son máximo 3 horas desde el conocimiento de la ocurrencia del incidente (alerta temprana); dentro de las 72 horas (siendo 24 horas para los OIV) una evaluación inicial del incidente; y dentro de los 15 días corridos desde la alerta temprana, un informe final. Un incidente tiene impacto significativo cuando “es capaz de interrumpir la continuidad de un servicio esencial o afectar la integridad física o la salud de las personas, así como en el caso de afectar sistemas informáticos que contengan datos personales”.
Finalmente, la ANCI tiene facultades de fiscalización y sanción, y la propia Ley establece un régimen diferencial de infracciones leves, graves y gravísimas tanto para los prestadores de servicios esenciales como para los OIV. En el caso de los primeros, aquellas leves (hasta 5.000 UTM), graves (hasta 10.000 UTM) y gravísimas (hasta 20.000 UTM); y en el caso de los OIV, leves (hasta 10.000 UTM), graves (hasta 20.000 UTM) y gravísimas (hasta 40.000 UTM).
Para concluir, el avance de la regulación en Chile responde una política de Estado de promover la ciberseguridad como un asunto transversal, y que se ve reflejado en la actualización de la Política de Ciberseguridad, contando actualmente con una segunda versión (2023-2028).
Desafíos para la región
Uno de los principales desafíos que ha tenido que sortear Chile es la falta de alfabetización digital en regiones y, especialmente, la cultura en los entornos digitales, puesto que se cuenta con un alto nivel de acceso a Internet. Así, si bien la normativa de ciberseguridad está vigente, esto implica no sólo un enfoque preventivo y fiscalizador a través de la ANCI, sino que requiere ajustes importantes en los currículum de enseñanza y fomentar programas de concientización en la ciudadanía.
En el caso de Uruguay, si bien el país ha avanzado significativamente en la construcción de su marco normativo e institucional, el principal desafío sigue siendo acompañar su desarrollo digital con capacidades efectivas de prevención y respuesta frente a incidentes. Para ello, resulta fundamental que las organizaciones incorporen la ciberseguridad como parte de su gestión cotidiana y no únicamente como una obligación de cumplimiento normativo.
A nivel de la región, el trabajo de iniciativas como CSIRT Americas de OEA ha permitido que varios países trabajen de manera colaborativa sobre las amenazas en el ciberespacio y, por ende, los incidentes para compartir información desde un enfoque de inteligencia de amenazas; pero a nivel regulatorio existe una fragmentación que impide que existan marcos similares para promover la colaboración no solo desde el enfoque técnico. En ese sentido, iniciativas desde LAC4 (Centro de Competencia Cibernética de América Latina y el Caribe) como CyberPolicy Bootcamp, sin duda, permite aunar diálogos a nivel normativo en las iniciativas legislativas de ciberseguridad en la región.
[1] Check Point Research, Latin America Sees Sharpest Rise in Cyber Attacks in December 2025 as Ransomware Activity Accelerates, enero de 2026. https://blog.checkpoint.com/research/latin-america-sees-sharpest-rise-in-cyber-attacks-in-december-2025-as-ransomware-activity-accelerates/
[2] Intel 471, Informe sobre el panorama de amenazas en América Latina, citado por Kiteworks, 2026. https://www.kiteworks.com/es/gestion-de-riesgos-de-ciberseguridad/panorama-de-amenazas-ciberneticas-en-america-latina-2026-informe-intel-471/
[3] Naciones Unidas, E-Government Survey 2024, citado por Montevideo Portal. https://www.montevideo.com.uy/Noticias/Uruguay-se-posiciona-como-lider-regional-en-desarrollo-de-gobierno-digital--segun-la-ONU-uc900538
Juan Pablo González, presidente del directorio, Chile; y Gimena Areal, vicepresidenta del directorio, Uruguay | ComplianceLatam Tech
Para más información sobre ComplianceLatam Tech, visita compliancelatam.legal/tech o escríbenos a contacto@compliancelatam.legal.
21-10-2026 | az, Opinión
Por Andrés Cuevas Cárdenas*, Director de Compliance para Latinoamérica en Emergent Cold, Chile
En 2021, Boeing pagó US$237,5 millones para cerrar una demanda derivativa de accionistas por los accidentes del 737 MAX. Este agosto, la Corte de Cancillería de Delaware desestimó una demanda casi idéntica contra prácticamente el mismo directorio, esta vez por el panel de fuselaje que se desprendió de un avión de Alaska Airlines en enero de 2024. Misma empresa, mismo tipo de crisis de seguridad, resultados opuestos.
Casi todo el comentario sobre este fallo se pregunta qué significa para los directorios. Es la pregunta correcta en Wilmington. No lo es tanto para quienes construimos programas de compliance en una docena de sistemas jurídicos, ninguno de los cuales es Delaware, para directorios que probablemente nunca pisarán una corte de ese estado. La pregunta más útil aquí es otra: ¿qué nos termina exigiendo, de todos modos, una doctrina que técnicamente no se nos aplica?
Desde In re Caremark, el derecho de Delaware sostiene que un directorio puede ser responsable por no supervisar los riesgos que le corresponden, no porque un riesgo se haya materializado, sino porque nunca existió un sistema para enterarse de que existía. La vicecanciller Morgan Zurn lo reafirma con claridad en su fallo de agosto: lo que importa no es si la supervisión tuvo éxito, sino si los directores le dieron la espalda de manera consciente a una señal de alerta que tenían enfrente. Un programa de compliance puede fallar, puede ocurrir una infracción grave y, aun así, no hay responsabilidad a menos que el demandante pruebe que el directorio abandonó deliberadamente su deber, de mala fe.
Lo que revelan los resultados opuestos de Boeing
En 2021, el expediente mostró que el directorio de Boeing dependía casi por completo de las auditorías de la FAA, sin un comité de seguridad propio. En 2026, el expediente mostró un comité dedicado, reportes sustantivos, discusión reiterada a nivel de directorio y seguimiento documentado de las medidas de remediación. Es tentador resumirlo en una sola palabra: documentación; pero eso invierte la causalidad. La documentación no es el control. Es la evidencia de que el control existió y operó. El rastro documental no creó la supervisión en 2026; es lo que permitió probarla, años después, ante un tribunal.
El fallo de Zurn precisa el estándar en dos aspectos que vale la pena conocer. Primero: la ley de Delaware “does not demand omniscience” (no exige omnisciencia). Un directorio puede razonablemente dejar ciertos riesgos en manos de la administración sin que eso sea evidencia de haber mirado hacia el lado. Segundo, la corte rechazó un argumento cada vez más frecuente en las demandas Caremark: usar en contra del directorio el volumen de reportes que recibió, como si un reporting extenso probara que los directores sabían todo y no hicieron nada.
Su formulación es difícil de mejorar: “If everything is a red flag, then nothing is” (si todo es una señal de alerta, entonces nada lo es). Los demandantes, señala el fallo, estaban en la práctica “recasting the volume and depth of Boeing’s reporting from a best practice into evidence of disloyalty” (convirtiendo el volumen y la profundidad del reporting de Boeing, de una buena práctica, en evidencia de deslealtad), y la corte rechazó esa maniobra. El analista de compliance Michael Volkov planteó un punto relacionado poco después del fallo: las demandas Caremark recientes han tendido a tratar cualquier información negativa que recibió un directorio como una señal de alerta ignorada, vista en retrospectiva, una lectura que, llevada lo suficientemente lejos, borra la línea entre la supervisión del directorio y la gestión del día a día.
Por qué Caremark importa más allá de Delaware
Aquí es donde esto deja de ser una historia de Delaware. Caremark no tiene fuerza directa sobre un directorio con sede en São Paulo, Ciudad de México o Bogotá. Y aun así gobierna el comportamiento en toda la región: a través de matrices o accionistas controladores con exposición en Estados Unidos que bajan políticas de gobierno corporativo diseñadas para sobrevivir un test Caremark, y a través del contagio reputacional, ya que un incidente grave en una filial latinoamericana puede convertirse en el hecho que sustenta una demanda derivativa contra la matriz en Delaware, exactamente como ocurrió aquí. El directorio que realmente enfrenta el test de Zurn no es el local: es el que está por encima. Pero el registro probatorio que ese directorio necesita tiene que construirse abajo, dentro de las filiales operativas, muchas veces años antes de que alguien sepa que va a importar.
Eso traslada el peso real de la doctrina a un lugar donde el comentario no ha mirado. La discreción de Zurn, decidir qué amerita la atención directa del directorio, rara vez la ejerce el directorio mismo en tiempo real. Se ejerce antes, por quien diseña los umbrales de escalamiento y la estructura de reporte que determina qué llega a ver un director. Alguien tiene que decidir, mucho antes de que nada de esto se ponga a prueba, qué es lo suficientemente material como para escalar: no un juez que trabaja hacia atrás, sino un compliance officer que trabaja hacia adelante, sin saber cuál de las cosas que hoy tiene sobre su escritorio un tribunal podría pasar una semana decidiendo si calificar como señal de alerta dentro de cinco años.
La frase de Zurn describe lo que ve un tribunal en retrospectiva. Quien diseña el sistema de reporte no cuenta con esa retrospectiva, y la lógica corre en ambos sentidos: si todo es riesgo, nada lo es. Una función que escala todo no está siendo cuidadosa: está dejando de ejercer lo único que el directorio realmente necesita de ella, y puede estar construyendo el tipo de rastro documental indiferenciado que un futuro demandante podría intentar presentar como prueba de que el directorio “sabía todo y no hizo nada”.
Qué deberían hacer ahora los programas de compliance
Nada de esto cambia lo que los programas de compliance deben hacer día a día. Cambia el porqué. Identificar qué es genuinamente material y asignar responsables claros. Calibrar los criterios de escalamiento al perfil de riesgo real de cada jurisdicción, en lugar de usar una sola plantilla para todos los mercados. Lograr que el escalamiento active un seguimiento real y documentado, no solo una alerta inicial. Y construir el registro antes de saber si lo vas a necesitar. Cuando alguien pregunte si un directorio actuó de buena fe, la única evidencia que importará es lo que ya estaba escrito.
Caremark no exige omnisciencia, ni exige que todos los directorios, en cualquier lugar, se comporten como si Delaware los estuviera mirando. Exige un sistema de buena fe que identifique lo que importa, lo haga llegar a quienes pueden actuar y pueda demostrar, si se le pregunta, que lo hizo. Construir eso antes de saber si alguna vez habrá que demostrarlo es, en la práctica, la mayor parte del trabajo.
Sobre el autor
Andrés Cuevas Cárdenas es abogado chileno y Director de Compliance para Latinoamérica en Emergent Cold LatAm. Con más de 15 años de experiencia en compañías multinacionales, se especializa en diseñar e implementar programas de compliance en entornos complejos, de alto riesgo y multijurisdiccionales.
Versión en español de un artículo publicado originalmente en inglés en The Compliance & Ethics Blog de la SCCE.
Para más información, escríbenos a contacto@compliancelegal.latam.
16-10-2026 | az, Noticias
La iniciativa modifica la Ley N°20.009 y propone nuevos estándares de diligencia para usuarios y cambios al régimen de restitución de fondos fraudulentos.
El pasado 9 de septiembre, el Ejecutivo ingresó al Congreso el proyecto de Ley de Reforma al Mercado de Capitales y Financiamiento de la Casa Propia (Boletín N° 18.643-05), que modifica, entre otros cuerpos legales, la Ley N°20.009, conocida como Ley de Fraudes, que regula el régimen de responsabilidad aplicable al uso de medios de pago y transacciones electrónicas en casos de extravío, hurto, robo o fraude.
A poco más de dos años de la última reforma a esta ley, la propuesta busca volver a modificar el estándar de cuidado exigible a los usuarios, la restitución de fondos y la distribución de responsabilidad entre quienes intervienen en la cadena de pagos.
Estos cambios se fundamentan en el aumento de los fraudes y en las dificultades que, a su juicio, presenta la regulación vigente tanto para acreditar el dolo o culpa grave del usuario como para ejercer el derecho a restitución, entre ellas la falta de un formato único para la declaración jurada.
La propuesta ya ha generado las primeras reacciones de diferentes actores relevantes. Mientras la Comisión para el Mercado Financiero (CMF) y BancoEstado han respaldado los cambios al régimen de fraudes, algunos parlamentarios han planteado reparos, particularmente frente a la rebaja del estándar de culpa grave a culpa leve y sus eventuales efectos sobre la protección de los usuarios.
Las modificaciones
Nuevo estándar de diligencia: de culpa grave a culpa leve
Actualmente, la Ley N° 20.009 impone a los usuarios el deber de informarse y adoptar las medidas necesarias para prevenir el uso indebido, el fraude u otros riesgos asociados a los medios de pago y sus mecanismos de autenticación. Sin embargo, para que el incumplimiento de estos deberes permita atribuir responsabilidad al usuario, la regulación vigente exige acreditar dolo o culpa grave.
El proyecto reduce ese umbral. El usuario pasaría a responder hasta de culpa leve por el incumplimiento de sus deberes de cuidado y, en concordancia con ello, se elimina la referencia a la culpa grave en las disposiciones que regulan la oposición del emisor a la restitución.
En la práctica, el emisor ya no tendría que acreditar dolo o culpa grave del usuario para oponerse a la restitución, sino el incumplimiento del estándar de diligencia ordinaria propio de la culpa leve. El cambio amplía, por tanto, los supuestos en que la conducta del usuario puede incidir en la decisión sobre quién debe soportar el costo de una operación fraudulenta.
Autenticación reforzada: se amplían los casos en que se presume culpa leve del usuario
El proyecto establece que se presumirá la culpa leve del usuario cuando la operación desconocida haya sido realizada mediante autenticación reforzada, cualquiera sea el tipo de factores utilizados. La presunción operará para efectos de los procedimientos ante el juez de policía local.
Bajo la regulación vigente, no toda autenticación reforzada genera automáticamente una presunción. Depende de qué factores se usaron:
- Si hubo autenticación reforzada con biometría —huella, rostro, entre otros—, la ley presume dolo o culpa grave; y
- Si hubo autenticación reforzada sin biometría —por ejemplo, contraseña + código enviado al celular—, no existe esa presunción automática; solo puede servir al juez como antecedente para construir una presunción.
El proyecto elimina esa diferencia. Si la operación se hizo con cualquier autenticación reforzada, se presumiría culpa leve, haya o no biometría.
Esto no significa que el emisor pueda rechazar automáticamente el reclamo por el solo hecho de existir autenticación reforzada. La presunción opera ante el juez de policía local y, por tanto, el emisor deberá seguir recurriendo a esa sede para mantener la suspensión de la cancelación de cargos o restitución de fondos.
Nuevas reglas para distribuir la responsabilidad en la cadena de pagos
El proyecto introduce, además, cambios relevantes respecto de la distribución de responsabilidad entre las distintas entidades que intervienen en la cadena de pagos.
Actualmente, la responsabilidad frente al usuario recae en el emisor. El proyecto mantiene esa regla, pero reconoce expresamente al emisor que haya cancelado cargos, restituido fondos o indemnizado perjuicios el derecho a repetir contra las demás entidades que hayan contribuido, por acción u omisión, a la ocurrencia del fraude o a la imposibilidad de prevenirlo.
A su vez, el proyecto amplía las entidades sujetas a los deberes de seguridad establecidos en la Ley N°20.009, incorporando expresamente a operadores subadquirentes, proveedores de servicios de procesamiento de pagos, determinadas sociedades de apoyo al giro, titulares de marcas de tarjetas de pago, entidades que administren u operen sistemas de pago o compensación y participantes del Sistema de Finanzas Abiertas.
Este derecho de repetición agrega una dimensión contractual al régimen de fraudes: la asignación de obligaciones y responsabilidades entre emisores y los demás participantes de la cadena de pagos puede pasar a ser determinante para establecer quién soportará finalmente el costo del fraude. El propio proyecto deja a salvo las acciones que correspondan conforme a los términos y condiciones contractuales que vinculen a estas entidades.
Otros ajustes al procedimiento de restitución
El proyecto contempla además una serie de modificaciones al procedimiento aplicable frente a operaciones desconocidas:
- Amplía de 10 a 15 días hábiles el plazo general para cancelar cargos o restituir fondos y, tratándose de giros en avances en efectivo o cajeros automáticos, de 15 a 20 días hábiles.
- Establece un formato único para la declaración jurada, que será fijado por el Ministerio de Hacienda, y prohíbe al emisor exigir antecedentes adicionales al momento de su suscripción.
- Permite efectuar electrónicamente la denuncia exigida por la ley, reconociendo el respectivo comprobante electrónico como respaldo suficiente.
- Elimina la prohibición que actualmente impide a los emisores ofrecer seguros que cubran riesgos o siniestros que deban asumir conforme a la Ley N°20.009. La modificación reabre así la posibilidad de ofrecer coberturas para este tipo de operaciones, sin alterar las responsabilidades que la ley mantenga a cargo del emisor.
¿Cuándo entrarían en vigencia estas modificaciones?
De aprobarse el proyecto en los términos actualmente propuestos, las modificaciones a la Ley N°20.009 entrarían en vigencia desde su publicación en el Diario Oficial. Las nuevas reglas sobre culpa leve y autenticación reforzada se aplicarían únicamente a operaciones realizadas con posterioridad a dicha publicación. Los reclamos ante el emisor y procedimientos ante los juzgados de policía local iniciados previamente continuarían rigiéndose por la normativa anterior hasta su término.
El proyecto se encuentra actualmente en tramitación ante el Congreso Nacional, por lo que estas disposiciones pueden experimentar modificaciones durante su discusión legislativa.
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
01-10-2026 | az, Noticias
El Ambiente Tecnológico de Experimentación y Nuevas Aplicaciones (ATENA) es una infraestructura tecnológica que permitirá a las instituciones probar integraciones y desarrollos en un ambiente seguro y controlado.
La Comisión para el Mercado Financiero (CMF), con la colaboración del Banco Interamericano de Desarrollo (BID), lanzó el Sandbox Tecnológico ATENA (Ambiente Tecnológico de Experimentación y Nuevas Aplicaciones), una infraestructura tecnológica que permitirá a las instituciones probar integraciones y desarrollos en un ambiente seguro y controlado, facilitando su preparación para participar en el Sistema de Finanzas Abiertas (SFA).
El lanzamiento constituye un nuevo hito en el proceso de implementación del SFA establecido por la Ley N° 21.521, Ley Fintec. ATENA permitirá a las instituciones verificar su adecuación a los estándares técnicos definidos en la normativa, realizar pruebas de interoperabilidad con el Directorio de Participantes y avanzar tempranamente en la preparación del cumplimiento de los requisitos para participar en el SFA, antes de su entrada en vigencia prevista para julio de 2027.
Durante la apertura del evento, la presidenta de la CMF, Catherine Tornel, destacó que la implementación del SFA requiere no solo de regulación, sino también de infraestructura y espacios que permitan a los distintos participantes probar y validar sus soluciones antes de operar en producción.
"Más que un ambiente de pruebas, el Sandbox Tecnológico busca consolidarse como un espacio permanente de aprendizaje y colaboración entre la CMF y el ecosistema financiero. Permitirá reducir incertidumbres técnicas, facilitar la interoperabilidad entre distintos actores y promover una implementación más eficiente y uniforme de los estándares definidos", señaló la presidenta de la CMF.
Por su parte, la representante del BID para Chile, Katharina Falkner-Olmedo, resaltó que Chile cuenta con un marco normativo robusto, una mirada estratégica y de liderazgo por parte del regulador, lo que transforma al país en un referente para la región, que mira con mucha atención estos avances.
"Chile se ha convertido en un referente en la promoción de las finanzas abiertas en la región al ser el primer país al implementar la solución APIBox. Para el BID, acompañar a la CMF en este proceso es parte de nuestro compromiso con un sistema financiero más moderno, más innovador y que llegue a más personas", dijo Katharina Falkner-Olmedo.
Entre las herramientas disponibles en ATENA se encuentra el Directorio de Participantes, componente que permitirá probar procesos de identificación de participantes, credenciales digitales e interacciones necesarias para establecer relaciones de confianza entre las instituciones, elemento fundamental para la confianza, interoperabilidad y seguridad del SFA.
El desarrollo del Sandbox Tecnológico fue cofinanciado por el Banco Interamericano de Desarrollo (BID), en el marco de una iniciativa concebida como un bien público digital regional llamado APIBox, desarrollado bajo la iniciativa BIDPago. Su lanzamiento contó además con la participación de representantes de la industria financiera y tecnológica, asociaciones gremiales y delegaciones de reguladores de Perú, Uruguay, Ecuador y Bolivia, reforzando la dimensión regional de los desafíos asociados al desarrollo de las finanzas abiertas.
La jornada contempló presentaciones de la CMF y del BID, junto con el panel "Sandbox ATENA: el valor de construir un sistema más robusto", en el que representantes de la industria profundizaron en las oportunidades que ofrece el Sandbox Tecnológico y los desafíos y oportunidades asociados a la implementación del SFA.
La CMF invitó a las instituciones del ecosistema financiero a utilizar ATENA para testear sus componentes e integraciones, conocer el funcionamiento del Directorio de Participantes y validar modelos de negocio, generando aprendizajes que contribuyan a una implementación segura, interoperable y eficiente del SFA en Chile.
Fuente: Comisión para el Mercado Financiero - CMF (30 de septiembre de 2026)
Escríbenos a contacto@compliancelatam.legal si necesitas más información.
