NCG 576 — Modifica la NCG N°540 (Normas de Funcionamiento Operativo del REDEC) y su MSI, y crea el Anexo Técnico REDEC

REF:

Introduce modificaciones a la NCG N°540 que contiene las Normas de Funcionamiento Operativo del Registro de Deuda Consolidada y a su Manual del Sistema de Información, y crea el documento Anexo Técnico REDEC.

_____________________________

14 de septiembre de 2026

Norma de Carácter General N° 576

Esta Comisión, en ejercicio de las facultades conferidas por la Ley N° 21.680 que crea un Registro de Deuda Consolidada (REDEC), en particular en el segundo inciso del artículo 3; y conforme a lo acordado por su Consejo en la Sesión Ordinaria N°513 del 10 de septiembre de 2026, ejecutado mediante Resolución Exenta N°9.967 del 11 de septiembre de 2026, ha resuelto modificar la Norma de Carácter General (NCG) N°540, su Manual del Sistema de Información (MSI REDEC) e introducir el documento Anexo Técnico REDEC, donde se establecen las Normas de Funcionamiento Operativo del REDEC.

Los ajustes acordados introducen lineamientos de distinto orden para los reportantes en torno a la gestión del consentimiento del deudor para el acceso a su información del REDEC, tanto para con el deudor como para con la Comisión. Lo anterior, con el objetivo de promover mejores prácticas en la obtención, registro, reporte y rendición de cuentas (accountability) del consentimiento del deudor y así velar por su protección como titular de los datos. Al respecto, dentro de las principales modificaciones se destacan la incorporación de las exigencias de una notificación al deudor al momento del otorgamiento de su consentimiento y la codificación encriptada del archivo del consentimiento, el cual el reportante debe mantener en su Sistema de Administración de Consentimientos. Otro ajuste relevante es la consagración del derecho del deudor para revocar las autorizaciones a terceros, figura que crea la Ley N° 21.680, antes del término de la vigencia de éstas.

En concordancia con lo anterior, además de otros ajustes de forma, se realizan cambios en las disposiciones de la NCG N°540 y el MSI REDEC.

Se introducen las modificaciones listadas en los siguientes numerales, además de otros ajustes formales:

i) Se reemplaza la definición de Auditoría, contenida en el numeral 1, por la siguiente:

“Auditoría: Revisión, evaluación y/o verificación del cumplimiento del cumplimiento de las disposiciones legales y normativas aplicables al REDEC, la eficacia del marco de gobierno, control y gestión de riesgos, el adecuado funcionamiento de los sistemas de información y la aplicación consistente de las políticas, procedimientos y procesos establecidos.”

ii) Se modifica la definición de Ciberseguridad del numeral 1, quedando de la siguiente forma:

“Ciberseguridad: Comprende el conjunto de acciones destinadas a la protección de la información presente en el ciberespacio y de la infraestructura que la soporta, que tiene por objeto la preservación de su confidencialidad, integridad y disponibilidad por parte de una entidad reportante.”

iii) Se reemplaza el término “aprobación expresa” del inicio de la definición de Consentimiento del numeral 1 por “Manifestación de la voluntad expresa” y se intercala la frase “con la sola finalidad de evaluar su riesgo comercial, crediticio y la gestión de riesgos para operaciones específicas” entre “a su información de deuda en el REDEC” y “de acuerdo con las disposiciones establecidas en el numeral 7”.

iv) Se añade la palabra “especialmente” posterior a “jurídicas” y al final de la definición de Mandatarios lo siguiente: “en los términos del artículo 6 de la Ley N°21.680”.

v) Se reemplaza la definición del numeral 1 para Reporte de Incidentes Operacionales por la siguiente:

“Reporte de Incidentes Operacionales: Comunicación de carácter obligatorio que los reportantes deben efectuar a la Comisión, a través del sistema habilitado para estos efectos, respecto de incidentes operacionales atingentes, en materia de seguridad y privacidad de la información del REDEC, en los términos y dentro del plazo establecido en el numeral 6 de esta norma.”

vi) Se modifica la definición de Servicio de Consultas del numeral 1 en los siguientes términos:

“Servicio de Consultas: API dispuesta por la Comisión para que los reportantes, directamente o por medio de mandatarios que actúen en su representación, consulten la información del REDEC sujeta a consentimiento.”

vii) Se modifica el título del numeral 2 que pasa a llamarse “Sobre el Registro de Deuda Consolidada y su Manual de Sistema de Información”.

viii) Se introducen en los numerales 3.1 y 3.2 los siguientes subnumerales para mejorar la estructura de las indicaciones: “3.1.1. Tipos de reportantes”, “3.1.2. Derechos del reportante”, “3.1.3. Deberes del reportante”, “3.2.1. Derechos de los deudores”, “3.2.2. Buenas prácticas de los deudores”, previo a los párrafos que describen tal contenido.

ix) Se agrega en la letra f) del numeral 3.1.1. en el segundo párrafo: “sin perjuicio de las normas particulares aplicables a cada tipo de reportante.”

x) Se reemplazan los términos “hubiesen” y ”así como” por “debieron haber” y “y por consiguiente, también lo pierden”, respectivamente, en el último párrafo del numeral 3.1.1.

xi) Se agrega al final del primer párrafo del nuevo numeral 3.1.2 Derechos de reportante el término “los siguientes”.

xii) Se reemplaza el término “otorga o mantiene” por “otorga y mantiene” del punto Acceder a la información del numeral 3.1.2 en su última frase.

xiii) Se reemplaza el punto Delegar el ejercicio de derechos y actividades operativas específicas del numeral 3.1.2 por el siguiente:

“Delegar el ejercicio de derechos y actividades operativas específicos: el reportante puede delegar actividades u obligaciones de reporte al REDEC, acceso al REDEC y evaluación de riesgo comercial utilizando información del REDEC a una persona natural o jurídica que lo represente legalmente en aquellas tareas establecidas en el mandato. Para efectos de esta norma, dicha entidad o persona es denominada mandatario.

Los mandatarios, al actuar a nombre del reportante, pueden ejercer los derechos del párrafo anterior en el marco del REDEC, en estricta observancia de las obligaciones que este mismo exige, particularmente la reserva de la información consultada. Los reportantes deberán informar a la CMF los mandatarios habilitados en los términos y canales que este Organismo disponga. En todo caso, los mandatarios no pueden subdelegar sus funciones a terceros. Asimismo, sus mandatos podrán ser revocados por los reportantes, debiendo informar inmediatamente a la Comisión.

El incumplimiento de los deberes en el manejo del REDEC por parte del mandatario es imputable al reportante, quien siempre es considerado como responsable para los efectos de esta norma. Por consecuencia natural, los mandatarios deben ajustarse a los mismos estándares y exigencias a que están obligados sus mandantes.

Los términos establecidos en este derecho del reportante deben constar en un contrato de mandato o instrumento afín entre el mandatario y el reportante.”.

xiv) En el punto del deber de Rectificación de información indicado en el numeral 3.1.3 se introduce la palabra “detectarla” a continuación del término “incompleta o incorrecta tras”.

xv) En el punto del deber de Gestión de consentimientos indicado en el numeral 3.1.3 se elimina la palabra “recibidos”.

xvi) En el punto del deber de Gestión de solicitudes del numeral 3.1.3 se reemplaza el término “acceso” por “actualización”.

xvii) Se agrega al final del punto Delegación del ejercicio de determinados derechos en el numeral 3.2.1 lo siguiente: “Asimismo, los deudores pueden revocar la autorización a terceros conforme con lo indicado al efecto en el numeral 5.2 de esta norma”.

xviii)

Se reemplaza el tercer párrafo del numeral 5 por el siguiente: “Quedan exceptuados de consentimiento los accesos a la información que cuenten con una justificación de licitud, en los términos del Título III de la Ley 19.628 que faculta a las entidades de crédito a reportar obligaciones crediticias al día o en mora al Boletín Comercial.”.

xix) Se agregan los numerales “5.1. Notificación al deudor y gestión de accesos”, “5.2. Seguridad en el acceso” y “5.3. Plazo para acceder a la información” en el numeral 5 Sobre el acceso a la información, previo a los párrafos que describen tal contenido.

xx) Se reemplazan los párrafos del nuevo numeral 5.1 por los siguientes:

“Cuando se acceda a la información individual sujeta a consentimiento, y en la medida que el deudor se haya registrado previamente en la plataforma dispuesta para ello, la Comisión le notificará por vía electrónica, indicando el nombre de la entidad reportante que ha accedido a su información, ya sea directamente o a través de un mandatario, la fecha y hora. Lo anterior, solo tendrá lugar cuando la Comisión observe el primer acceso de un reportante a la información del REDEC de un deudor.

De manera complementaria, la Comisión entregará, al menos trimestralmente, a los deudores que lo soliciten, a través del sitio web habilitado para ello, un informe con los reportantes que, directamente o a través de un mandatario, han accedido a su información sujeta a consentimiento en los últimos doce meses (Historial o Resumen de accesos).”

xxi) Se reemplaza el primer párrafo del nuevo numeral 5.2 por el siguiente:

“El acceso a la información individual sujeta a consentimiento es a través del Servicio de Consultas de la Comisión, el cual proporciona una Interfaz de Programación de Aplicaciones (API, por sus siglas en inglés), la que requiere la identificación y autenticación de los reportantes y se detalla en la API1 del Anexo Técnico REDEC. El personal de la entidad reportante, o de sus mandatarios, que haga uso de la información del REDEC debe identificarse y sus accesos deben quedar anotados en registros electrónicos, los que serán trazables y disponibles para la revisión de la función de auditoría propia de los reportantes y de la Comisión, en caso de que ésta así lo disponga. Una vez consultada la información sujeta a consentimiento y cumplida la finalidad de la consulta, la información debe ser completamente eliminada de los sistemas de información del reportante y/o de sus mandatarios, en conformidad con los procedimientos que haya establecido el reportante para estos efectos.”

xxii) Se reemplaza el último párrafo del nuevo numeral 5.2 por el siguiente:

“Los terceros autorizados pueden acceder a la información personal del deudor. Para ello, el deudor deberá autorizarlo mediante un procedimiento dispuesto en un portal seguro habilitado por la Comisión, bajo su exclusiva responsabilidad, en el cual deberá indicar el nombre completo, RUT y el correo electrónico del tercero autorizado. Una vez que el deudor haya confirmado a la persona a autorizar y los términos de su autorización, el tercero autorizado será notificado por la Comisión de tal situación, lo que le dará el derecho de acceso a la información del deudor por un periodo de hasta 15 días hábiles bancarios, salvo que el deudor revoque dicha autorización en el mismo portal seguro habilitado por la Comisión. Habiéndose cumplido el plazo, caducará el permiso de acceso”.

xxiii) Se reemplaza el nuevo numeral 5.3 por el siguiente:

“Conforme con lo mandatado por el artículo 5 de la Ley N°21.680, el reportante podrá acceder a la información sujeta a consentimiento por un plazo de 15 días hábiles bancarios, o bien, en un plazo menor en caso de que el deudor revoque el consentimiento conforme a lo indicado en el numeral 7 de esta norma, en los casos que ello proceda. El consentimiento siempre debe obtenerse con el fin exclusivo de evaluar el riesgo comercial, crediticio y la gestión de riesgos para operaciones específicas del deudor.

Asimismo, si habiendo sido otorgado originalmente por el deudor en forma previa, expresa e inequívoca con la finalidad de permitir la evaluación de su riesgo crediticio o comercial para una operación específica, esta se otorga, dicho consentimiento se entenderá extendido para el acreedor durante toda la vigencia de la obligación o hasta la ejecución de la cláusula de aceleración de la obligación reportable, con el fin exclusivo de que pueda efectuar la gestión de riesgo de dicha obligación, incluyendo la constitución de provisiones y otras exigencias regulatorias, sin necesidad de requerir una nueva manifestación de voluntad por parte del deudor.

El plazo contemplado en este apartado debe ser contabilizado desde el momento de la obtención del consentimiento. En caso de vencer dicho plazo, la entidad no puede acceder a la información individual de deuda sujeta a consentimiento, salvo que obtenga un nuevo consentimiento del deudor.”

xxiv)

Se crea una sub-numeración en el numeral 6 Sobre seguridad y privacidad de la información para incorporar párrafos de tales numerales en: “6.1 Elementos generales de política y procedimientos” y “6.2 Elementos de gestión de riesgo”. Dentro de 6.2 se incorporan los sub-numerales provenientes de los inicios de párrafos relativos a los elementos de gestión de riesgo.

xxv) Se incorpora el siguiente nuevo cuarto párrafo en el numeral 6.1:

“Los reportantes también deben establecer dentro de sus políticas, los procesos y controles relacionados con la administración de consentimientos de que trata el numeral 7 de esta norma.”

xxvi) Se reemplaza el título del numeral 6.2.1 que refería a “Externalización a través de mandatarios” por “Responsabilidad del reportante sobre la acción de sus mandatarios”.

xxvii) Se reemplaza en el último párrafo del numeral 6.2.1 la frase “…, debiendo el mandatario hacer propias …” por “… debiendo el reportante exigir al respectivo mandatario que haga propias…”.

xxviii) Se elimina el término “A su turno” del numeral 6.2.

xxix) Se reemplaza el párrafo “La entidad deberá considerar los siguientes procedimientos adaptados a su modelo de negocios, su volumen de operaciones, el número y tipo de clientes:” del numeral 6.2.3 por “La entidad reportante debe considerar en su gestión los siguientes procedimientos, adaptándolos a su modelo de negocios, a su volumen de operaciones, y el número y tipo de clientes:”

xxx) Se añade el término “y/o capturada” tras el término “documentación descargada” del quinto punto del numeral 6.2.3.

xxxi) Se reemplazan los párrafos del numeral 6.2.4 “Reporte de incidentes operacionales” por lo siguiente:

“Los reportantes deben comunicar a la Comisión los incidentes operacionales relacionados con la seguridad de la información y el normal funcionamiento del REDEC a través de un Reporte de Incidentes Operacionales (RIO) disponible en CMF Supervisa. Sin perjuicio de la obligación de reportar indicada, cuando la Comisión así lo estime, puede requerir a la entidad un informe que contenga un análisis de las causas del incidente, la generación de documentación e informes de la investigación, un análisis del impacto, las medidas para evitar que el incidente se repita, y otras materias adicionales que estime pertinentes.

La comunicación de los incidentes operacionales debe realizarse en un plazo de 30 minutos una vez el reportante haya tomado conocimiento del hecho. La comunicación de incidentes, para efectos de esta norma, aplica cuando entre los canales afectados se encuentre el REDEC, esto sin perjuicio de que la entidad reportante tiene la obligación de informar este reporte sobre eventos atingentes a otro tipo de normativa vigente que resulte aplicable.

Cuando corresponda, el RIO se debe complementar con nuevas comunicaciones para el seguimiento del incidente indicando: sus causas, las acciones a tomar y su resolución.

La información indicada en este numeral debe ser enviada por el funcionario responsable que el reportante defina, y cuya designación y/o reemplazo debe ser comunicado a la Comisión mediante CMF Supervisa. La eventual falta de algún antecedente que refiera a las características del incidente operacional de este numeral, en ningún caso debe ser impedimento para el debido envío del RIO en el plazo definido.

Una vez superado el incidente, el reportante deberá igualmente informarlo a esta Comisión, indicando al menos, la fecha y hora de cierre del incidente, las causas identificadas, las medidas adoptadas y detalle de las entidades involucradas (por ejemplo, proveedores) y afectados (por ejemplo, clientes).

Con el fin de garantizar que la información sea íntegra y esté disponible en el REDEC, los reportantes deben ceñirse a las disposiciones sobre calidad de la información del reportante, especificadas en el numeral 8 de esta norma; así como las referidas a auditoría de procedimientos definidas en su numeral 10.”

xxxii) Se reemplaza el numeral 7 “Sobre la Administración del Consentimiento” por el siguiente:

“

7. Sobre la Administración del Consentimiento

7.1. Consentimiento y su otorgamiento

El acceso a la información del deudor sujeta a consentimiento debe garantizar una adecuada administración de ésta, con el fin de garantizar el acceso lícito a la información financiera del REDEC. Los reportantes deben contar con el consentimiento previo, expreso e inequívoco del deudor antes de acceder y/o utilizar sus datos sujetos a consentimiento del REDEC. La voluntad del deudor debe constar de manera expresa e inequívoca, en los siguientes términos:

a) En el caso de persona natural: por el respectivo deudor o su representante legal que acredite de forma suficiente su debida representación.

b) En el caso de persona jurídica: por el o los representantes legales o apoderados.

El consentimiento otorgado por el deudor debe ser obtenido por escrito, por medio verbal o por medios electrónicos, y, cualquiera sea el caso, almacenado en un soporte digital duradero, que sea apto para resguardar su seguridad, integridad y acceso por parte del reportante, deudor, auditoría o la Comisión, si esta así lo solicita. El consentimiento otorgado debe permitir la verificación de que fue manifestado de manera libre, informada, expresa y específica en cuanto al tipo de información requerida y la finalidad. El consentimiento otorgado debe estar debidamente emitido por el deudor y es responsabilidad del reportante tomar todas las medidas y resguardos necesarios para garantizar su autenticidad.

La persona, o sistema informático que interactúe con el deudor, no debe ejercer ninguna influencia indebida sobre éste para inducirlo a manifestar su voluntad. Por ejemplo, debe evitarse el uso de interfaces que induzcan a los usuarios a tomar decisiones no intencionadas, involuntarias o potencialmente contraproducentes para sus intereses; exigir que el consentimiento sea otorgado para la aplicación de un descuento u obtención de beneficios; o que las opciones empleadas para que éste se otorgue estén marcadas por defecto, estén con colores, tamaños o estilos de fuentes que las destaquen por sobre aquellas opciones que se refieran a no otorgar el consentimiento.

Al momento de solicitar el consentimiento para acceder a los datos del REDEC del deudor, se debe poner en conocimiento de éste, de manera clara, el tipo de información a la que accederá el reportante, la finalidad del acceso, el procedimiento para evaluación del riesgo comercial, el riesgo crediticio y la gestión de riesgos para operaciones específicas. El formato de la solicitud no puede contener otra información o requerir el consentimiento del deudor para actos o fines distintos a los establecidos en esta norma, además de mantenerse disponible para la supervisión de esta Comisión.

Asimismo, se debe procurar que la información que se pone en conocimiento del deudor para obtener el consentimiento esté expresada en un lenguaje sencillo, claro, preciso y evitando tecnicismos, salvo en los casos en que resulte estrictamente necesario, debiendo explicarlos claramente. Además, debe disponer de mecanismos que permitan a personas en situación de discapacidad acceder a esta información.

El consentimiento no puede utilizarse para fines distintos a los indicados explícitamente en este numeral, esto es, para operaciones o actos que no se enmarquen dentro de la finalidad para la cual debió ser otorgado.

7.2. Notificación del consentimiento al deudor

Tan pronto obtenido el consentimiento, el reportante o un mandatario de este, debe remitir y/o entregar directamente al deudor una constancia de su otorgamiento, que indique claramente, al menos, la fecha y hora, así como el canal por el cual fue emitido, y el código interno generado para dicho consentimiento.

El reportante deberá almacenar tanto el consentimiento otorgado como la evidencia del envío de la notificación en su Sistema de Administración de Consentimientos.

7.3. Preservación del consentimiento

Tan pronto obtenido el consentimiento, el reportante debe asignarle un código único, el cual será utilizado para efectos de gestión interna y se denominará “código interno del consentimiento”.

Los consentimientos otorgados deberán ser almacenados por al menos cinco años, utilizando mecanismos que resguarden su integridad, autenticidad, confidencialidad y fidelidad a lo largo del tiempo y que sean verificables, todo conforme a los siguientes principios:

a) Integridad: Cualidad que permite asegurar que el consentimiento no haya sido alterado o modificado desde su otorgamiento.

b) Autenticidad: Cualidad que permite identificar inequívocamente al deudor que otorgó el consentimiento o a quien haya actuado en su representación.

c) Fidelidad: Cualidad que permite verificar fielmente el contenido y las condiciones bajo las cuales fue otorgado el consentimiento.

d) Confidencialidad: Disposición que evita el acceso o lectura del consentimiento por terceros no autorizados. Esto incluye, cuando resulte apropiado, el cifrado de la información.

e) Verificabilidad: Cualidad que permite comprobar con mecanismos técnicos y/o antecedentes provistos por el reportante, que los consentimientos obtenidos cumplen con las condiciones de integridad, autenticidad, fidelidad y confidencialidad.

Cada consentimiento debe ser almacenado con su código interno, el que deberá mantenerse en un registro, de forma que pueda identificarse inequívocamente.

Tratándose de consentimientos obtenidos por medios escritos, deberá almacenarse su copia digitalizada, conforme a lo exigido en el presente numeral.

7.4. Revocación del consentimiento

Los deudores pueden revocar su consentimiento en cualquier momento y, al menos, mediante canales y procedimientos de autenticación homólogos a aquellos a través de los cuales fue otorgado. Se entenderá por canales homólogos aquellos que permitan al deudor revocar el consentimiento, al menos, mediante una modalidad equivalente a la utilizada para otorgarlo, sin imponerles mayores cargas o exigencias.

El reportante debe asegurar que el proceso de revocación sea accesible, claro y sin obstáculos injustificados para el deudor. Asimismo, debe generar internamente registros que respalden esta acción, los cuales deben estar disponibles para consultas por parte del deudor o la Comisión.

Al igual que con el otorgamiento, tan pronto sea revocado el consentimiento, el reportante, o un mandatario de este, debe remitir, y/o entregar directamente, al deudor una notificación de su revocación, la cual indique claramente, al menos, la fecha y hora de tal acto, así como el canal por el cual fue revocado.

El respaldo de la revocación y la copia de la notificación deben ser almacenados en el Sistema de Administración de Consentimientos del reportante.

El consentimiento extendido originado por una obligación reportable vigente no es susceptible de revocación.

7.5. Mecanismos de revocación del consentimiento

Los reportantes deben habilitar canales digitales y/o presenciales, para la presentación de solicitudes de revocación de consentimiento, los cuales deben ser homólogos a los dispuestos para su otorgamiento. En el caso de solicitudes presenciales que no se cursen a través de un medio electrónico, estas deben ser resueltas en un plazo no superior a 1 día hábil; en el caso de solicitudes electrónicas, éstas deben aplicar la revocación de manera inmediata. Tras la revocación del consentimiento, el reportante y sus mandatarios deberán cesar el acceso y eliminar la información proveniente del REDEC de los deudores referidos de manera inmediata, a menos que el reportante se encuentre habilitado para continuar accediendo a ella conforme a la Ley.

7.6. Sistema de gestión del consentimiento para el deudor

Una vez que el deudor haya otorgado el consentimiento, los reportantes deben mantener individualmente un sistema de gestión del consentimiento con una funcionalidad de acceso al deudor donde pueda conocer, verificar y revocar los consentimientos otorgados. Los sistemas del reportante deben eliminar los datos del deudor cuando este haya revocado el consentimiento, o pierda licitud. Para ello, el sistema de gestión de consentimientos debe permanecer conectado en línea con los sistemas de acceso al REDEC.

Sobre lo anterior, el sistema de gestión del consentimiento debe cumplir con las siguientes características desde la perspectiva del deudor:

•

Debe ser de acceso gratuito.

•

Debe tener mecanismos de accesibilidad, seguridad y claridad con interfaces intuitivas y centradas en el deudor.

•

Debe contar con mecanismos de acreditación de identidad robustos y auditables.

•

Debe permitir obtener el detalle de cada consentimiento otorgado o revocado por el deudor. El detalle del consentimiento debe incluir, a lo menos, la fecha y hora de otorgamiento del consentimiento, el medio de obtención

(electrónico, verbal o escrito) y copia o evidencia del consentimiento otorgado o revocado.

•

Debe contar con una interfaz fácil de utilizar, esto es, que permita al deudor conocer y revocar los consentimientos de manera simple e intuitiva.

7.7. Sistema de Administración de Consentimientos

Los reportantes deben implementar individualmente un sistema digital o de gestión documental que permita almacenar y gestionar los consentimientos de manera segura, garantizando su fidelidad, trazabilidad y la facilidad de consulta. El sistema debe permitir la generación de informes sobre la vigencia y estatus de los consentimientos, así como el historial de su administración. El sistema debe cumplir, pero no limitarse solo a, las siguientes condiciones:

•

Contar con un mecanismo de registro que permita preservar, de manera íntegra y por al menos cinco años, contados desde la extinción de la obligación, la pérdida de vigencia o la revocación del consentimiento, según corresponda, los consentimientos otorgados y las revocaciones solicitadas por los deudores, conforme a lo establecido en los numerales 7.1 a 7.5 de esta norma.

•

Permitir la visualización de todos los consentimientos que han sido otorgados, revocados o caducados durante los últimos cinco años.

•

Permitir examinar los documentos y respaldos de revocación del consentimiento y el mecanismo de revocación utilizado.

•

Contar con un registro de los códigos internos de consentimientos y preservar los consentimientos en los términos y condiciones exigidas en el numeral 7.3 de esta norma.

•

Permitir el envío de las notificaciones de otorgamiento y/o revocación de los consentimientos al deudor, las cuales deben contener la información señalada en los numerales 7.2 y 7.4 de esta norma.

7.8. Canal de envío de archivos de consentimientos digitalizados a la Comisión

Los requerimientos de consentimientos digitalizados serán comunicados a los reportantes mediante la API2 indicada en el Anexo Técnico de esta norma, la cual es obligatoria para todos los reportantes. En tanto, el envío de los archivos de consentimientos digitalizados que solicite la Comisión se realizará mediante la API3, indicada en el mismo anexo técnico, o a través del portal CMF Supervisa. Lo anterior no limita que la Comisión pueda requerir el envío de documentación o información complementaria a través de cualquier otro medio. Los plazos de respuesta a los requerimientos de consentimientos digitalizados serán consignados en cada solicitud.

7.9. Excepción de los requerimientos asociados a la administración del consentimiento

Los reportantes que, sobre la base de sus modelos de negocio y/o estrategia, decidan no acceder a la información del deudor sujeta a consentimiento deben informarlo anualmente a la Comisión hasta el mes de agosto de cada año, quedando exentos de cumplir los requerimientos de los numerales 7 y 10.1 de la presente norma para el período siguiente. En consecuencia, los reportantes que se acojan a la exención no deberán utilizar el Servicio de Consultas, bajo su propia responsabilidad.”

xxxiii) Se agregan los numerales “8.1 Pruebas de calidad de la información” y “8.2 Comunicación de contingencias y rectificaciones” en el numeral 8 sobre Calidad de la información, previo a los párrafos que refieren a su contenido.

xxxiv) Se reemplaza en el segundo punto del numeral 8.1, sobre “Análisis de origen de errores” por el siguiente: “para aquellos casos en que se detecten diferencias entre la información de deudores respecto a otras fuentes de almacenamiento de la entidad o inconsistencias vinculadas con archivos normativos, la institución deberá identificar su origen. Sin perjuicio de lo anterior, en cualquier momento la Comisión puede efectuar pruebas de calidad de la información, para cuya realización las entidades deben poner a disposición de este Organismo los respaldos solicitados para estos efectos, si es que la información periódica solicitada a través del Sistema de Validaciones y Gestión del MSI REDEC no fuera suficiente.”

xxxv) Se reemplaza la frase “la Comisión, mediante comunicación conducida a través de los canales de atención a fiscalizados” por la siguiente “este Organismo a través del RIO indicado en el numeral 6.2.4 de esta norma, y, de corresponder además, a través de CMF Supervisa, considerando lo siguiente:” al final del primer párrafo del numeral 8.2.

xxxvi) Se introduce la precisión del punto Plazo de rectificación del numeral 8.2 quedando como: “… deben ser resueltos en el plazo que esta indique en la solicitud al reportante, el cual no será superior a quince días hábiles bancarios contados desde la fecha de notificación de la resolución”.

xxxvii) Se agregan los numerales “9.1 Canales de recepción de solicitudes”, “9.2 Procesamiento de solicitudes por parte del reportante”, “9.3 Procesamiento de solicitudes por parte de la Comisión” y “9.4 Inobservancia del reportante” en el numeral 9 Sobre el proceso de solicitudes y reclamación, previo a los párrafos que refieren a su contenido.

xxxviii)

Se reemplaza el primer párrafo del numeral 9.2 por el siguiente: “El ejercicio de los derechos de actualización, rectificación, complementación o cancelación que tienen los deudores asociados a la aplicación del marco legal del

REDEC considera los siguientes hitos o etapas:”.

xxxix) En el segundo párrafo del punto “Reportante recibe la solicitud por parte del deudor” del numeral 9.2 se reemplaza la palabra “del” por “descrito en el” y se antecede el término “sus” antes de “solicitudes”.

xl) Se trasladan los siguientes párrafos, con anterioridad al final del numeral 9, al término del numeral 9.2:

“Para una adecuada gestión de las solicitudes realizadas a los reportantes, éstos deberán mantener un registro actualizado de las solicitudes que incluya al menos: fecha de recepción de la solicitud, número de caso, descripción, estado, resultado del análisis, fecha de resolución y notificación al deudor y medidas correctivas adoptadas, en caso de existir. Las solicitudes deberán tener un comprobante y/o identificador de respaldo para el deudor que la realiza.

Este registro debe permanecer disponible para la revisión de auditoría y supervisión por parte de la Comisión cuando esta así lo disponga.

Los reportantes deben remitir a la Comisión un informe sobre las solicitudes recibidas y su estado tal como lo dispone el Manual del Sistema de Información REDEC”.

xli) En el punto “Deudor recurre ante la Comisión” del numeral 9.3, se añade en el primer párrafo la expresión “desde que presentó su solicitud” luego de la frase “quince días hábiles bancarios”.

xlii) En el punto “Comisión analiza y resuelve la solicitud del deudor” del numeral 9.3 se reemplaza su texto por el siguiente:

“Comisión analiza y resuelve la solicitud del deudor: Para el análisis de la solicitud, la Comisión considerará los antecedentes acompañados por el deudor y podrá requerir al reportante aquellos antecedentes adicionales que estime necesarios. Si los antecedentes disponibles no resultaren suficientes para su adecuada resolución, la Comisión podrá abrir un término probatorio.

La Comisión revisará los fundamentos y antecedentes proporcionados por las partes y resolverá fundadamente si corresponde modificar la información registrada por la entidad reportante, notificando dicha decisión a las partes. De corresponder, la Comisión ordenará al reportante las actualizaciones, rectificaciones, complementaciones o cancelaciones resueltas, las que deberán practicarse por este, dentro del plazo de cinco días hábiles bancarios contado desde la notificación del acto administrativo que contiene la instrucción respectiva. En caso de que la Comisión determine que no amerita modificación, de igual manera notificará al reportante e informará al deudor.

Si la decisión de la Comisión es desfavorable al deudor, quedará sin efecto la suspensión de la obligación reportable, de forma inmediata. En caso contrario, el reportante deberá rectificar la información del deudor en los términos que se resuelva.”

xliii) Se traslada y revisa el párrafo referido al derecho de cancelación ante la comisión, como último punto del numeral 9.3 quedando como sigue:

“Derecho de cancelación ante la Comisión: el derecho de cancelación podrá ejercerse directamente ante la Comisión únicamente cuando concurran copulativamente los siguientes requisitos: que no sea posible determinar al reportante que hubiera entregado la información almacenada en el REDEC, y que el deudor cuente con antecedentes suficientes, debidamente fundados y suficientes para sostener que no corresponde que la deuda sea informada. La Comisión analizará la solicitud, pudiendo requerir antecedentes adicionales para su resolución. La Comisión comunicará al solicitante si acoge o deniega la solicitud expresando los fundamentos de su decisión. Si procediera la eliminación de la deuda en el REDEC, esta será efectuada por la Comisión en el próximo periodo de actualización del registro.”

xliv) En el numeral 9.4 se reemplazan los términos “resolución propia” por “decisión propia”, “la Comisión” por “este organismo” y se intercala el término “medidas o” entre “el ejercicio de otras” y “facultades fiscalizadoras”.

xlv) En el primer párrafo del numeral 10 se reemplaza el término “su función” por “sus veces”.

xlvi) Se reemplaza el tercer párrafo del numeral 10 por el siguiente: “Las auditorías externas deben efectuarse por empresas que, de conformidad a la evaluación interna que haya hecho la entidad, cuentan con la idoneidad suficiente para emitir una opinión fundada sobre la materia, considerando un año calendario, y encontrarse disponibles para el examen de la Comisión en el mes de abril del año siguiente”.

xlvii) Se agrega el numeral “10.1 Aspectos mínimos sujetos a procedimientos internos” a continuación del tercer párrafo del numeral 10 Sobre auditorías y revisión de procedimientos.

xlviii) Se reemplaza el primer párrafo del numeral 10.1 por los siguientes: “Adicionalmente, los reportantes deben desarrollar procedimientos internos que permitan cumplir las disposiciones contenidas en esta norma, los cuales deben ser revisados anualmente y aprobados por el Directorio de la entidad o quien haga sus veces.

Entre los procedimientos se debe incluir, a lo menos:”.

xlix) En el punto Obligaciones reportables del numeral 10.1 se reemplaza el término “otros establecidos” por “otras obligaciones establecidas” y el término “la ejecución” por “ejercicio”

l) Se reemplaza el punto Administración del consentimiento del numeral 10.1 por el siguiente:

“Administración del consentimiento: corresponde a procedimientos asociados a la gestión y preservación del consentimiento que consideren a lo menos los siguientes aspectos: verificar la obtención del consentimiento; auditar la seguridad, integridad, codificación y accesibilidad del consentimiento; revisar que el consentimiento esté registrado considerando al menos la información establecida en esta norma; evaluar que las solicitudes de consentimiento sean claras y precisas sobre el tipo de información a acceder, la finalidad del acceso, entre otros aspectos; comprobar que la información al público se presente en lenguaje sencillo; revisar que el consentimiento no sea utilizado para fines diferentes a los autorizados; asegurar que no se ejerza influencia indebida en el momento de la recolección del consentimiento; verificar que existan medios accesibles y claros para que los deudores puedan revocar el consentimiento, y que los mecanismos dispuestos para la revocación no impongan al deudor cargas o exigencias superiores a aquellas requeridas para el otorgamiento del consentimiento, debiendo ser, a lo menos, equivalentes u homologables a este; comprobar que las solicitudes físicas de revocación se atiendan en un plazo máximo de un día hábil y que las electrónicas se cursen tan pronto como los sistemas lo permitan; auditar el sistema de gestión del consentimiento; evaluar la conexión del sistema de gestión de consentimientos con los sistemas de acceso al REDEC para evitar accesos tras la revocación; comprobar que el sistema preserve de manera íntegra y trazable los consentimientos y revocaciones por un periodo de al menos cinco años; verificar el cumplimiento y adecuado uso del canal de envío de consentimientos digitalizados a la Comisión; y revisar que el sistema permita visualizar el historial completo de consentimientos otorgados, revocados o caducados durante los últimos cinco años, así como el correspondiente registro de códigos de consentimientos señalado en el numeral 7.3 de esta norma.”

li) En el punto Calidad de la información del numeral 10.1 se reemplaza el término “Estos incluyen” por “Tales procedimientos deberán considerar, a lo menos,”, y a continuación del término “reportes internos o” se agrega el término “con la información”.

lii) Se reemplazan el primer y segundo párrafo del numeral 11 por los siguientes:

“En caso de que un reportante o su mandatario incumplan las disposiciones establecidas en la Ley o en esta Norma, la Comisión se encontrará facultada para iniciar el correspondiente procedimiento sancionatorio respecto de la entidad reportante infractora. Este procedimiento se llevará a cabo de acuerdo con el Título IV del D.L. N°3.538.

Sin perjuicio de lo anterior, y en atención a lo dispuesto en el artículo 23 de la Ley, a continuación, se señalan de manera referencial, las conductas que podrían constituir infracciones leves, graves y gravísimas.”

liii) Se reemplazan el primer y segundo párrafo del numeral 12 por lo siguiente:

“La Comisión, en conformidad con el buen funcionamiento del Sistema, y lo dispuesto en el artículo 19 de la Ley N°21.680, puede suspender el acceso de las entidades reportantes, en caso de no cumplir con las disposiciones establecidas en la Ley o esta norma. La suspensión del acceso al REDEC puede ser de hasta un año. Con todo, dicha suspensión no eximirá al reportante de seguir cumpliendo con las obligaciones establecidas en el numeral 3 de esta Norma ni de las demás obligaciones imponga la Ley.

La Comisión puede aplicar la suspensión de reportantes cuando se incumplan a las disposiciones legales o normativas.”

liv) En el tercer párrafo del numeral 12 se introduce el término “la adopción de” antes del término “acciones urgentes”, y se reemplaza el término “inmediatas, tales como” por “que resulten necesarias, incluida en caso de corresponder,”.

lv) Se reemplaza el tercer párrafo del numeral 13 por lo siguiente:

“Como indica la Ley, la anonimización de datos es un proceso mediante el procedimiento irreversible, en virtud del cual se transforma, un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información personal con el finque vincula, asocia o identifica a esa persona.

El procedimiento de minimizar la posibilidad de identificar a un individuo. Este proceso que se trata incluye la eliminación de datos directos e indirectos que puedan ser utilizados para tal reidentificación, garantizando así la protección de la privacidad de las personas. La anonimización debe realizarse de manera que los datos puedan ser utilizados para fines analíticos, de investigación o estadísticos, sin comprometer la privacidad de los deudores. En este contexto, se debe mantener un equilibrio entre la utilidad de los datos y el riesgo de reidentificación, aplicando un enfoque iterativo para seleccionar las técnicas más adecuadas y ajustarlas conforme a los niveles de riesgo tolerables.”

lvi) Se reemplaza la sección “Implementación de la normativa” por la siguiente: “Para dar cumplimiento a las disposiciones legales, la Comisión creó y habilitó el REDEC antes del primer día del mes de noviembre de 2025. El registro quedó habilitado para que las instituciones identificadas como reportantes para el año 2026 y que son fiscalizadas por la Comisión, informaran desde el primer viernes a partir de su creación.

El resto de las instituciones obligadas a reportar para el año 2026, identificadas en la nómina de reportantes del numeral 3.1 de esta norma, deben reportar a contar de enero de 2026 o marzo de 2026 según consigna el Artículo Segundo Transitorio de la Ley. Sin perjuicio de lo anterior, estas instituciones se encuentran habilitadas para remitir archivos normativos desde noviembre de 2025. Los reportes remitidos antes de la fecha obligatoria contaron con la revisión de la Comisión en su calidad de administrador del REDEC.

Así, para efectos de la primera nómina de reportantes, se incluyeron todas las entidades indicadas en la letra e) del numeral 3.1 que estuvieron continuamente en las nóminas de las ICCM de los años 2023, 2024 y 2025.

Con todo, para lo no contemplado en los dos párrafos anteriores, la Ley comenzó a regir a contar del 1° de abril de 2026. Mismo plazo se consideró para la aplicación de las Normas de Funcionamiento Operativo del Registro de Deuda Consolidada que se introducen en la presente Norma de Carácter General.”

Se introduce el documento “Anexo Técnico REDEC” que contiene un anexo a lo largo de la Norma de Carácter General N°540 y en el Informe Normativo asociado a la presente norma.

Anexo Técnico REDEC “Servicios de API REDEC”

La Comisión dispondrá de tres servicios de API (sigla en inglés para Interfaz de programación de aplicaciones), asociados al acceso de información del REDEC sujeta a consentimiento, para ser utilizados exclusivamente por reportantes, o sus mandatarios, que dispongan de un consentimiento otorgado por un deudor.

A continuación, se entrega información sobre los servicios respectivos, sin perjuicio de antecedentes adicionales que pueda remitir este Organismo:

a) API 1: Consulta de información del REDEC de un deudor por consentimiento.

Campo

Descripción

Nombre Servicio

ConsultaDeudaXConsentimiento: API de Consultas de Información de REDEC.

Propósito

Campos Considerar

Obtener información del REDEC de un deudor que ha otorgado su consentimiento a la institución reportante. Se excluyen los deudores que dispone el archivo RDC10 correspondiente a la institución.

por Provenientes del archivo RDC30

b) API 2: Solicitudes de la Comisión de requerimientos de consentimiento digitalizado

Campo

Descripción

Nombre Servicio consultaReqConsentimiento: API de Solicitudes de Consentimiento.

Propósito

Disponer de un canal para solicitudes de la Comisión de consentimientos digitalizados del reportante para los fines ésta defina. Para el cumplimiento de lo anterior, el reportante debe ingresar a esta API para verificar si existen requerimientos nuevos o pendientes, los cuales consignan individualmente sus plazos perentorios de respuesta.

Campos Considerar por Código interno del consentimiento.

c) API 3: Envío del reportante de evidencia de consentimiento

Campo

Descripción

Nombre Servicio envioEvidenciaConsentimiento: API de Envío de documentación de Consentimientos.

Propósito

Poner a disposición del reportante o mandatario un canal para enviar la evidencia del consentimiento digitalizado que la Comisión haya solicitado.

Campos Considerar por Código interno del consentimiento.

Consentimiento digitalizado en formato PDF 2.0, WAV (Linear16), FLAC o MP3.

Tamaño máximo del 4 MB máximo por archivo. archivo

Cifrado

Todos los canales de comunicación y transmisión de información deben utilizar protocolos de cifrado seguro, con una versión mínima TLS 1.2 o superior. Asimismo, las configuraciones de negociación de cifrado (handshake) deberán estar ajustadas para priorizar y seleccionar siempre el nivel de cifrado (cipher suite) más alto e incondicionalmente seguro que esté disponible entre las partes, deshabilitando explícitamente cualquier mecanismo de degradación (downgrade attacks) o compatibilidad con algoritmos o protocolos declarados obsoletos o vulnerables

Autenticación mTLS

Se realizan los siguientes ajustes en el archivo normativo RDC10:

i) Se modifica el tercer párrafo de la descripción del archivo, quedando solo “El acceso a los registros de este archivo requiere el consentimiento del deudor.”

ii) Se corrige el largo asignado al campo 27 “Porcentaje actualizado”, donde decía “01”, debe decir “03”.

iii) En la descripción del campo 3 “Tipo de persona”, se agrega precisión que indica “Para los efectos de este archivo, las personas naturales que cuenten con giro comercial serán informadas con el código 1 “Persona natural”.”

iv) Se reemplaza la descripción del campo 9 “Plazo promedio ponderado residual” por la siguiente:

“Corresponde al plazo promedio ponderado, expresado en meses, de la diferencia que resulta al ponderar la fecha de publicación de la información del RDC10 respectivo y la FECHA DE EXTINCIÓN DE LA OPERACIÓN del archivo RDC01, con el MONTO ACTUAL DE LA OPERACIÓN, también consignado en el archivo RDC01.

Para determinar este campo, no se considerarán aquellas obligaciones reportables cuya FECHA DE EXTINCIÓN DE LA OPERACIÓN informada en el archivo RDC01 sea igual a 19000101 o los casos en los que la diferencia temporal indicada en el párrafo anterior sea negativa”.

Se introducen los siguientes ajustes en el archivo normativo RDC30:

v) Se elimina la expresión “que no son parte de sus deudores vigentes” del primer párrafo de la descripción del archivo normativo.

vi) Se reemplaza la descripción del campo 1 “CÓDIGO INTERNO DEL CONSENTIMIENTO” por la siguiente:

“Se refiere al código único que le asigna la entidad reportante al consentimiento del deudor para acceder a la información contenida en el archivo RDC10.”

vii) Se modifican los nombres de los campos 4 y 5 para sustituir el término “fin” por “revocación”.

viii) Se reemplaza la descripción del campo 4 por la siguiente:

“Este campo debe completarse con “19000101” cada vez que el consentimiento no haya sido revocado por el deudor. Por el contrario, cuando el consentimiento haya sido revocado por el deudor, debe informarse la fecha (AAAAMMDD) efectiva de dicho hito.

En caso de que un reportante obtenga un consentimiento y éste sea revocado por el deudor dentro de un mismo período de reporte, debe informarse un único registro con la fecha (AAAAMMDD) efectiva de revocación del consentimiento.”

ix) Se reemplaza la descripción del campo 5 por la siguiente:

“Este campo debe completarse con “999999” cada vez que el consentimiento no haya sido revocado por el deudor. Por el contrario, cuando el consentimiento haya sido revocado por el deudor, debe informarse la hora exacta (HHMMSS) efectiva de dicho hito.

En caso de que un reportante obtenga un consentimiento y éste sea revocado por el deudor dentro de un período de reporte, debe informarse un único registro con la hora exacta (HHMMSS) efectiva de la revocación del consentimiento.”

x) Se reemplaza la glosa del código 3 del campo 7 MEDIO DE CONSENTIMIENTO por “Escrito (registro con respaldo físico)”.

xi) Se reemplaza la definición del campo 8 FINALIDAD DEL CONSENTIMIENTO por la siguiente:

“En este campo se debe identificar la finalidad del consentimiento según lo establece la Norma de Carácter General N° 540 en su Numeral 7. Para ello, se debe indicar el código que corresponda de acuerdo con la siguiente tabla:

Código Finalidad del consentimiento

1

Evaluación de riesgo comercial

2

Evaluación de riesgo crediticio

3

Evaluación de riesgo comercial y crediticio

Dentro de los tipos de riesgos asociados a la finalidad, se reportará código 1 cuando el consentimiento se otorgue para evaluar el riesgo de crédito en el marco del cumplimiento de las obligaciones del deudor en general, y se reportará código 2 cuando se trate de una operación comercial o en relación con un negocio. En caso de que haya más de un tipo de riesgo vinculado a un mismo consentimiento, la entidad deberá informar código 3.”

Se realiza la siguiente precisión en el archivo normativo RDC31:

xii) Se reemplaza el primer párrafo de la descripción del archivo por el siguiente:

“Archivo que contiene el registro de los accesos del reportante o mandatarios a la información individual de deudores que hayan sido realizados a través de la API 1 indicada en el Anexo REDEC y que hayan otorgado su consentimiento en virtud del numeral 7 de la NCG N° 540. El archivo será preparado por los reportantes del REDEC, incluso en aquellos casos donde el acceso haya sido hecho por mandatarios”.

xiii) Se ajusta la descripción del campo 1 “CÓDIGO INTERNO DEL

CONSENTIMIENTO” en concordancia con el mismo ajuste en el archivo RDC30.

Se realizan los siguientes ajustes en los archivos normativos RDC01 y RDC02:

xiv) El campo 2 “Tipo de persona” del archivo RDC01, se ajusta en concordancia con el cambio iii) de esta sección.

xv) Se agrega el campo “CÓDIGO INTERNO DEL CONSENTIMIENTO” con largo X(20) y con la siguiente descripción:

“Se refiere al código único que le asigna la entidad reportante al proceso de obtención y otorgamiento del consentimiento por parte del deudor para acceder a la información sujeta a restricciones de acceso contenida en el archivo RDC10.

El código informado en este campo debe corresponderse con uno de los códigos reportados en el campo CÓDIGO INTERNO DEL CONSENTIMIENTO de algún archivo RDC30.

En caso que la obligación reportada haya sido otorgada con fecha anterior al 1 de abril de 2026, este campo debe completarse con “9”s acorde con el largo del campo.

Por otra parte, cuando la obligación reportada haya sido otorgada con fecha posterior o igual al 1 de abril de 2026 y no cuente con un consentimiento asociado, este campo debe informarse con “0”s acorde con el largo del campo.”

xvi) Como consecuencia de la introducción del nuevo campo, se modifica el largo del registro del archivo RDC01, pasando de 322 a 342 bytes.

xvii) Como consecuencia de la introducción del nuevo campo, se modifica el largo del registro del archivo RDC02, pasando de 360 a 380 bytes.

xviii) En el archivo RDC01 el Filler cambia de largo 299 a 319.

xix) En el archivo RDC02 el Filler cambia de largo 337 a 357.

xx) En el campo 30 “CAUSAL DE ELIMINACIÓN O REPORTE DESFASADO” del archivo RDC02 se modifica la descripción para incorporar el campo 34 cuando refiera a una eliminación de operación.

xxi) En el campo 33 “NÚMERO DE SOLICITUD” del archivo RDC02 se intercala el término “, anteponiendo el año de curso de la misma,” entre la palabra “rectificación” y “precedido por ceros”.

Se realiza el siguiente ajuste al archivo RDC11:

xxii) En el segundo párrafo de la descripción del archivo se reemplaza el término “RDC10” por “RDC01”.

Se realizan los siguientes ajustes de las Instrucciones Generales:

xxiii)

Se reemplaza el segundo párrafo de las Instrucciones Generales del MSI REDEC por lo siguiente “El Registro de Deuda Consolidada (REDEC) será administrado exclusivamente por la Comisión, que será la autoridad responsable de mantenerlo y de otorgar acceso, a través de medios o sistemas digitales, tales como interfaces de acceso remoto y automatizado u otros adicionales que ella determine que permitan una interconexión y comunicación directa a los reportantes, a sus mandatarios, a los deudores, y a los terceros autorizados por estos últimos, de conformidad con los artículos 5, 6 y 7, y deberá velar siempre por la privacidad de los datos, de conformidad con la Ley Nº 19.628, sobre protección de la vida privada, la seguridad y continuidad del Registro. Para su conformación, las instituciones reportantes deberán enviar archivos normativos de acuerdo con los requerimientos de información que se señalan en el Sistema de Reportantes de este MSI REDEC. La información enviada a la Comisión no requerirá consentimiento del deudor”.

xxiv)

Se precisa como “hora exacta” cada referencia a campos que deban informarse con el formato HHMMSS en los archivos normativos que correspondan.

xxv) Se introducen precisiones en la descripción de caracteres en el numeral 5.

xxvi) Se modifica la descripción de personas naturales con respecto a los apellidos en el numeral 5.

xxvii)

En el Catálogo de archivos del Sistema de Información se reemplaza el párrafo que está a continuación de la tabla Sistema de Consultas por el siguiente: “Para el archivo RDC10, la institución reportante sólo podrá acceder al registro correspondiente a sus deudores en la medida que cuenten con consentimiento. Para los archivos RDC11 y RDC12 la institución reportante podrá acceder solo autenticándose en el Sistema de Consultas”. También se añade una nota al pie que indica “Dado que la exigencia legal de consentimiento no existía en forma previa a la vigencia de la Ley N° 21.680, no se exigirá esta formalidad respecto de aquellas operaciones otorgadas en forma previa a su vigencia” tras el término “consentimiento” de tal párrafo.

Los ajustes introducidos por esta norma están sujetos a un plan de implementación que considera gradualidad y flexibilidad y, por tanto, los plazos determinados para su entrada en vigencia son los siguientes:

i) Los requerimientos de notificación al deudor de los numerales 7.1 y 7.4 de la NCG N°540 son exigibles a partir de un mes posterior a la publicación de esta norma.

ii) El requerimiento de lo relativo al uso de las APIs de consentimiento del numeral 7.2 de la NCG N°540 es exigible a partir del tercer mes posterior a la publicación de esta norma.

iii) Sobre los requerimientos de las modificaciones en el MSI REDEC:

El envío de los archivos normativos RDC01 y RDC02 con las modificaciones del numeral III de esta norma se exigirá a partir del reporte que debe remitirse con información del tercer mes posterior a la publicación de esta norma.

El envío de los archivos normativos RDC30 y RDC31 con las modificaciones indicadas se exigirá a partir del reporte que debe remitirse con información de un mes posterior a la publicación de esta norma.

Finalmente, se establece que para aquellas operaciones otorgadas en forma previa a la vigencia de la Ley N°21.680, el consentimiento no será exigible para acceder a la información del deudor que tenga obligaciones vigentes con ese reportante.

Catherine

Firmado digitalmente por Catherine Carolina Tornel

Carolina Tornel Leon

Leon

Fecha: 2026.09.14 21:03:08 -03'00'

CATHERINE TORNEL LEÓN PRESIDENTA

COMISIÓN PARA EL MERCADO FINANCIERO