Propuestas › Economía digital, startups y CTI
ECO-06 Ley que modifica la Ley 26702, Ley General del Sistema Financiero y del Sistema de Seguros y Orgánica de la Superintendencia de Banca y Seguros, para establecer el Sistema de Finanzas Abiertas y el derecho a la portabilidad de los datos financieros
Reconoce con rango de ley el derecho del usuario financiero a compartir sus datos con terceros registrados mediante interfaces estandarizadas, con autenticación reforzada y sin uso de credenciales; incorpora una excepción expresa al secreto bancario por consentimiento; extiende por ley orgánica la potestad de registro, supervisión y sanción de la SBS a proveedores de servicios basados en datos e iniciadores de pago, con infracciones tipificadas, regla de reembolso al usuario y deslinde de competencias con la ANPD y el BCRP.
La ley en un vistazo
Lo que cambia
- ➕ incorporaLey 26702 (Orgánica de la SBS)art. 349-A
- ➕ incorporaLey 26702 (Orgánica de la SBS)art. 140 (párrafo final)
- 🔗 complementaLey 29733, Ley de Protección de Datos Personales, y DS 016-2024-JUSportabilidad (régimen especial)
- 🔗 complementaLey 27693, UIF-Perúsujetos obligados (iniciadores de pago)
- 🔗 complementaLey 27489, centrales privadas de riesgoparticipación en el Sistema
Establecer, mediante la modificación de la Ley 26702, el Sistema de Finanzas Abiertas, el derecho a la portabilidad de datos financieros y el régimen de supervisión y sanción de sus participantes.
Dictamina: Diputados · Economía, Banca, Finanzas e Inteligencia FinancieraRevisión: Senado · Economía, Medio Ambiente y Defensa del ConsumidorQuién hace qué
SBS
Superintendencia de Banca, Seguros y AFP · Autónomo
Regula, registra, supervisa y sanciona a los participantes (arts. 4 y 8), fija estándares, plazos de reembolso y calendario (DCF Primera y Segunda).
BCRP
Banco Central de Reserva del Perú · Autónomo
Regula los estándares técnicos de interoperabilidad de sistemas de pago y coordina la iniciación de pagos (art. 4).
UIF-Perú
Unidad de Inteligencia Financiera del Perú · SBS
Recibe reportes de los iniciadores de pago como sujetos obligados (art. 3.3).
INDECOPI
Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual · PCM
Protección del consumidor en lo no regulado por la SBS (art. 9.1).
ANPD
Autoridad Nacional de Protección de Datos Personales · MINJUSDH
Sanciona infracciones a la Ley 29733 sin doble sanción (art. 9).
Usuarios de servicios financieros, en especial MYPE y personas con historial crediticio limitado, y nuevos proveedores financieros.
Empresas del sistema financiero, de seguros y AFP según categorías de la SBS; emisoras de dinero electrónico; proveedores de servicios basados en datos e iniciadores de pago registrados; personas jurídicas con datos transaccionales de más de 100 000 clientes; centrales privadas de riesgo en lo compatible.
Ruta de implementación
- 📝Se presentaCámara de Diputados
- 🏛️Dictamencomisión, hasta 60 días hábiles
- 🗳️Pleno Diputadosaprobación
- ⚖️Senado revisacomisión, hasta 90 días hábiles
- ✍️PromulgaciónPoder Ejecutivo
- 📜Reglamentoplazo de ley
- 🎯Meta 2031Al 2031, los principales bancos y emisores de dinero electrónico intercambian datos de cuentas y tarjetas mediante inter
Lo que cuesta
Quién paga: Presupuesto institucional de la SBS (contribuciones de supervisados), sin recursos del Tesoro.
Costo para privados: Desarrollo de interfaces, autenticación reforzada, gestión de consentimientos y tokens, sistemas de seguridad y LA/FT para nuevos proveedores; costo de reembolsos por fraude asignado a la entidad de cuenta con derecho de repetición.
Lo que se gana
🏛️ Para el Estado: Mayor trazabilidad de flujos de pago (LA/FT) y reducción de la conflictividad por fraude en canales digitales.
👥 Para la sociedad: Mayor competencia en crédito y pagos y acceso al crédito de MYPE con datos transaccionales. No cuantificable con información pública.
📈 Inversión privada: Inversión de entidades financieras y fintech en interfaces y servicios basados en datos; monto no estimable.
Exposición de motivos — el problema
La Superintendencia de Banca, Seguros y AFP (SBS) viene implementando una hoja de ruta de finanzas abiertas: mediante la Resolución SBS 02433-2026 (2 de octubre de 2026) publicó para comentarios el primer bloque del Reglamento General del Sistema de Finanzas Abiertas, y la prensa especializada reporta una implementación gradual con los principales bancos hacia 2028. Este avance descansa en normas reglamentarias, sin una ley que reconozca el derecho del usuario a la portabilidad de sus datos financieros, que someta a supervisión a entidades fuera del perímetro de la SBS (proveedores fintech no regulados, iniciadores de pago) ni que precise que compartir datos con autorización del cliente no vulnera el secreto bancario (art. 2.5 de la Constitución y art. 140 de la Ley 26702). Como la Ley 26702 es también la ley orgánica de la SBS, ampliar su perímetro exige modificarla con votación calificada. El Reglamento de la Ley 29733 (DS 016-2024-JUS) reconoce un derecho general de portabilidad, pero no resuelve los estándares, la seguridad ni la responsabilidad en la cadena financiera. Sin base legal, los incentivos a compartir datos son asimétricos y el usuario queda desprotegido ante accesos o pagos no autorizados iniciados por terceros. Chile resolvió esto con la Ley 21.521 (Ley Fintec) y Brasil con su régimen de Open Finance.
Objeto
Establecer, mediante la modificación de la Ley 26702, el Sistema de Finanzas Abiertas, el derecho a la portabilidad de datos financieros y el régimen de supervisión y sanción de sus participantes.
Fórmula legal
EL CONGRESO DE LA REPÚBLICA
Ha dado la Ley siguiente:
LEY QUE MODIFICA LA LEY 26702, LEY GENERAL DEL SISTEMA FINANCIERO Y DEL SISTEMA DE SEGUROS Y ORGÁNICA DE LA SUPERINTENDENCIA DE BANCA Y SEGUROS, PARA ESTABLECER EL SISTEMA DE FINANZAS ABIERTAS Y EL DERECHO A LA PORTABILIDAD DE LOS DATOS FINANCIEROS
Artículo 1. Objeto
La presente ley tiene por objeto establecer el marco legal del Sistema de Finanzas Abiertas, a fin de promover la competencia, la innovación y la inclusión financiera mediante el intercambio seguro de datos de clientes financieros, con su consentimiento, entre participantes registrados, y modificar para ello la Ley 26702, Ley General del Sistema Financiero y del Sistema de Seguros y Orgánica de la Superintendencia de Banca y Seguros.
Artículo 2. Derecho a la portabilidad de datos financieros
2.1 Todo usuario de servicios financieros tiene derecho a acceder a sus datos financieros y a autorizar, de manera expresa, informada, específica y revocable, que sean compartidos con participantes registrados del Sistema de Finanzas Abiertas, en formato estructurado, interoperable y de uso común, sin costo para el usuario.
2.2 El presente régimen es especial respecto del derecho de portabilidad reconocido en la Ley 29733, Ley de Protección de Datos Personales, y su reglamento, aprobado por Decreto Supremo 016-2024-JUS, así como de cualquier régimen general de portabilidad de datos, que se aplican supletoriamente.
Artículo 3. Definiciones y participantes
3.1 Para efectos de la presente ley: a) proveedor de servicios basados en datos es la persona jurídica que, con autorización del usuario, accede a sus datos financieros mediante las interfaces del Sistema para prestarle servicios de información, comparación, asesoría o evaluación crediticia; b) iniciador de pagos es la persona jurídica que, a solicitud y con autorización expresa del pagador, ordena un pago desde una cuenta que este mantiene en otra entidad, sin entrar en posesión de los fondos.
3.2 Son participantes del Sistema: a) las empresas del sistema financiero, de seguros y las administradoras privadas de fondos de pensiones, en las categorías que determine la SBS; b) las empresas emisoras de dinero electrónico; c) los proveedores de servicios basados en datos y los iniciadores de pago inscritos en el registro a cargo de la SBS, inscripción que es requisito para acceder a las interfaces; d) las personas jurídicas que administren datos transaccionales o de pagos de más de cien mil clientes, conforme a los criterios de gradualidad que fije la SBS dentro de dicho umbral legal; y e) las centrales privadas de información de riesgos reguladas por la Ley 27489, en lo que resulte compatible con su régimen.
3.3 La inscripción en el registro exige acreditar un sistema de gestión de seguridad de la información y ciberseguridad proporcional, un plan de continuidad, la obligación de notificar incidentes a la SBS conforme a la normativa general de notificación de incidentes y, en el caso de iniciadores de pago, un sistema de prevención del lavado de activos y del financiamiento del terrorismo. Los iniciadores de pago son sujetos obligados a informar a la Unidad de Inteligencia Financiera del Perú conforme a la Ley 27693.
Artículo 4. Incorporación del artículo 349-A en la Ley 26702
Se incorpora el artículo 349-A en la Ley 26702, Ley General del Sistema Financiero y del Sistema de Seguros y Orgánica de la Superintendencia de Banca y Seguros, en los siguientes términos:
«Artículo 349-A. Sistema de Finanzas Abiertas
La Superintendencia regula, registra, supervisa y sanciona a los participantes del Sistema de Finanzas Abiertas, incluidos los proveedores de servicios basados en datos y los iniciadores de pago que no sean empresas supervisadas, en lo referido a dicho sistema y conforme a la ley de la materia. Dicta los estándares de datos y de seguridad de las interfaces y el calendario de implementación gradual. La regulación de los estándares técnicos de interoperabilidad de los sistemas y acuerdos de pago corresponde al Banco Central de Reserva del Perú conforme a la Ley 29440, con quien la Superintendencia coordina lo relativo a la iniciación de pagos.»
Artículo 5. Incorporación de párrafo en el artículo 140 de la Ley 26702
Se incorpora un párrafo final en el artículo 140 de la Ley 26702, Ley General del Sistema Financiero y del Sistema de Seguros y Orgánica de la Superintendencia de Banca y Seguros, en los siguientes términos:
«Artículo 140. (…)
No constituye violación del secreto bancario ni de la reserva de identidad el suministro de información realizado en el marco del Sistema de Finanzas Abiertas con autorización expresa, específica y revocable del cliente, otorgada por medios electrónicos con autenticación reforzada, conforme a la regulación de la Superintendencia.»
Artículo 6. Seguridad, consentimiento y principios
6.1 El Sistema se rige por los principios de consentimiento del usuario, seguridad de la información, minimización de datos, reciprocidad entre participantes, proporcionalidad regulatoria según tamaño y riesgo, no discriminación en el acceso e interoperabilidad técnica.
6.2 El otorgamiento del consentimiento, su renovación y cada iniciación de pagos requieren autenticación reforzada del cliente. El consentimiento tiene vigencia máxima de doce meses, se gestiona en un panel que permite revocarlo en cualquier momento y se limita a los datos estrictamente necesarios para la finalidad.
6.3 Una vez disponibles las interfaces estandarizadas, los participantes no pueden solicitar ni almacenar las credenciales de acceso del usuario a otra entidad; el acceso se realiza exclusivamente mediante interfaces y credenciales delegadas con alcance y vigencia limitados.
Artículo 7. Responsabilidad y reembolso
7.1 Ante una operación o acceso no autorizado, la entidad que mantiene la cuenta reembolsa al usuario en el plazo que fije la SBS, sin perjuicio de su derecho a repetir contra el participante responsable.
7.2 Corresponde al participante acreditar que la operación fue autenticada y autorizada por el usuario.
7.3 Se prohíbe la cesión, venta o uso de los datos recibidos para finalidades distintas a las autorizadas. Revocado el consentimiento, el participante elimina los datos en el plazo que fije la SBS, salvo obligación legal de conservación.
7.4 Las entidades proveedoras de datos no pueden condicionar ni cobrar al usuario por el ejercicio del derecho del artículo 2.
Artículo 8. Infracciones y sanciones
8.1 Constituyen infracciones al régimen del Sistema: a) negarse injustificadamente a compartir datos autorizados por el usuario, grave; b) usar, ceder o vender datos para una finalidad distinta a la autorizada, muy grave; c) solicitar o almacenar credenciales del usuario en contravención del numeral 6.3, muy grave; d) incumplir los estándares de seguridad o de autenticación reforzada de las interfaces, grave; e) no reembolsar al usuario conforme al numeral 7.1, grave; f) cobrar al usuario por la portabilidad, leve.
8.2 La SBS sanciona con amonestación, multa de hasta 500 UIT, suspensión o cancelación del registro, según la gravedad, conforme a su procedimiento sancionador y a los principios del Texto Único Ordenado de la Ley 27444, aprobado por Decreto Supremo 006-2026-JUS.
Artículo 9. Deslinde de competencias
9.1 La SBS es competente para supervisar y sancionar el incumplimiento de las obligaciones de la presente ley. La Autoridad Nacional de Protección de Datos Personales mantiene su competencia respecto de las infracciones a la Ley 29733, y el INDECOPI respecto de la protección del consumidor en lo no regulado por la SBS.
9.2 Un mismo hecho, con identidad de sujeto y fundamento, no es sancionado por más de una autoridad; cuando configure infracción en ambos regímenes, se aplica la sanción de mayor gravedad, previa coordinación entre las autoridades.
9.3 Los participantes pueden acceder a los espacios controlados de prueba que regule la SBS; los regímenes generales de pruebas regulatorias en otras materias respetan la competencia sectorial de la SBS.
Artículo 10. Contraprestaciones entre participantes
La SBS puede establecer criterios para las contraprestaciones entre participantes por el uso de las interfaces, orientados a costos y no discriminatorios, de modo que no constituyan barreras de entrada.
Artículo 11. Financiamiento
La implementación de la presente ley se financia con cargo al presupuesto institucional de la SBS, que proviene de las contribuciones de las entidades supervisadas, sin demandar recursos del Tesoro Público.
Primera Disposición Complementaria Final
Reglamentación. La SBS, en ejercicio de su autonomía constitucional, adecúa su reglamentación del Sistema de Finanzas Abiertas a la presente ley en el plazo de ciento ochenta días hábiles contados desde su entrada en vigor, preservando los avances regulatorios vigentes. El Poder Ejecutivo adecúa el reglamento de la Ley 27693 en lo referido a los iniciadores de pago en el mismo plazo.
Segunda Disposición Complementaria Final
Gradualidad. La SBS publica el calendario de implementación por tipo de participante y de dato en el plazo de ciento ochenta días hábiles contados desde la entrada en vigor de la presente ley; la primera fase, referida a cuentas de depósito y tarjetas de crédito, es exigible en un plazo no mayor de veinticuatro meses.
Tercera Disposición Complementaria Final
Naturaleza orgánica. Los artículos 4 y 5 de la presente ley modifican la Ley Orgánica de la Superintendencia de Banca, Seguros y AFP y se aprueban conforme al artículo 106 de la Constitución.
Análisis costo-beneficio
No genera gasto público: la SBS se financia con contribuciones de las entidades supervisadas. Los costos recaen en los participantes (interfaces, autenticación reforzada, paneles de consentimiento, seguridad y LA/FT de nuevos proveedores), mitigados con gradualidad y proporcionalidad. La regla de reembolso internaliza el costo del fraude en quien puede prevenirlo. Los beneficios esperados son mayor competencia en crédito y medios de pago, mejores condiciones para usuarios que hoy no pueden demostrar su historial ante nuevos proveedores, e inclusión financiera de MYPE con información transaccional. La excepción expresa al secreto bancario por consentimiento elimina un riesgo de litigio y de negativa de las entidades.
Impacto económico: detalle y supuestos
Estimación referencial con supuestos explícitos · confianza: media. No es un dato oficial ni reemplaza el informe del MEF.
neutro
S/ 0 para el Tesoro
anual
Presupuesto institucional de la SBS (contribuciones de supervisados), sin recursos del Tesoro.
Mayor trazabilidad de flujos de pago (LA/FT) y reducción de la conflictividad por fraude en canales digitales.
Mayor competencia en crédito y pagos y acceso al crédito de MYPE con datos transaccionales. No cuantificable con información pública.
Inversión de entidades financieras y fintech en interfaces y servicios basados en datos; monto no estimable.
Desarrollo de interfaces, autenticación reforzada, gestión de consentimientos y tokens, sistemas de seguridad y LA/FT para nuevos proveedores; costo de reembolsos por fraude asignado a la entidad de cuenta con derecho de repetición.
Fraude y suplantación en las interfaces; concentración de datos; demoras en la adopción por entidades dominantes; colisión con el reglamento ya en consulta (mitigada al preservar avances regulatorios).
La SBS se financia con contribuciones de las entidades supervisadas; el registro y la supervisión de nuevos participantes se integran a su estructura existente.
Revisión especializada
Revisión asistida por IA desde cinco especialidades, sobre la versión anterior del texto. No reemplaza la revisión de un abogado ni el dictamen de comisión.
Observaciones atendidas en esta versión: 21 corregidas, 1 parciales, 0 no aplicadas (con justificación).
| Especialidad | Veredicto | Opinión |
|---|---|---|
| Constitucional | Con observaciones | Atribuye competencias a la SBS, cuya autonomía reconoce el art. 87, y coordina correctamente con el BCRP (art. 84) y la ANPD. Desarrolla la autodeterminación informativa (art. 2.6). Falta articular el secreto bancario (art. 2.5 de la Constitución; Ley 26702, art. 140), que solo cede por autorización del titular. Hallazgos: 0 altos · 1 medios · 2 bajos |
| Técnica legislativa | Observaciones graves | Una ley marco es la vía correcta para dar base legal a las finanzas abiertas, pero el texto delega en la SBS la incorporación de nuevos sujetos obligados fuera de su perímetro y su sanción sin tipificación legal, y resuelve el conflicto de competencias con la autoridad de datos personales mediante un convenio, cuando debe resolverse en la ley. Hallazgos: 1 altos · 2 medios · 1 bajos |
| Concordancia normativa | Observaciones graves | Atribuye a la SBS competencias sobre entidades no supervisadas (proveedores de servicios basados en datos, iniciadores de pago) sin modificar la Ley 26702, que es también Ley Orgánica de la SBS (art. 106 Const.: requiere mayoría absoluta). No cita el secreto bancario (art. 2.5 Const.; art. 140 Ley 26702), ni la Resolución SBS 02433-2026 que puso en consulta el reglamento de finanzas abiertas, ni el derecho de portabilidad ya reconocido por el DS 016-2024-JUS. Se superpone con IA-12. Hallazgos: 2 altos · 2 medios · 1 bajos |
| Seguridad | Observaciones graves | El derecho a la portabilidad financiera es valioso, pero la ley no fija los mínimos de seguridad que justifican su rango legal: no exige autenticación reforzada del cliente para el consentimiento y el acceso, no prohíbe el acceso por credenciales del usuario (raspado de pantalla), no asigna responsabilidad por fraude ni el reembolso al usuario, y no somete a los nuevos proveedores a prevención de LA/FT ni a notificación de incidentes. Hallazgos: 2 altos · 2 medios · 0 bajos |
| Derecho tecnológico | Con observaciones | Es oportuna como base legal de la regulación de la SBS y respeta las competencias del BCRP. Le faltan cuatro elementos: (i) una excepción expresa al secreto bancario (art. 2.5 de la Constitución y art. 140 de la Ley 26702) para lo que se comparte con consentimiento; (ii) la prohibición del 'screen scraping' con credenciales cuando existan interfaces; (iii) reglas de responsabilidad ante operaciones no autorizadas iniciadas por terceros; y (iv) la articulación con las centrales de riesgo privadas (Ley 27489). Hallazgos: 1 altos · 2 medios · 2 bajos |
Efecto de la vigencia sobre la legislación nacional
Modifica la Ley 26702: incorpora el artículo 349-A e incorpora un párrafo final en el artículo 140. Requiere votación de ley orgánica (art. 106 de la Constitución) por tratarse de la Ley Orgánica de la SBS. Complementa la Ley 29440 (competencia del BCRP en estándares de interoperabilidad, desarrollada en la propuesta ECO-07), la Ley 29733 y su reglamento (DS 016-2024-JUS), la Ley 27489 y la Ley 27693. Régimen especial frente a la regla general de portabilidad de datos (IA-12). No deroga normas.
Indicador de éxito al 2031
Al 2031, los principales bancos y emisores de dinero electrónico intercambian datos de cuentas y tarjetas mediante interfaces estandarizadas, con registro público de participantes de la SBS.
Normas relacionadas
- Ley 29733, Ley de Protección de Datos Personales
- Ley 29440, Ley de los Sistemas de Pagos y de Liquidación de Valores
- Circular 0024-2022-BCRP, Reglamento de Interoperabilidad de los Servicios de Pago
- Ley 26702, Ley General del Sistema Financiero y del Sistema de Seguros y Orgánica de la SBS (art. 140, secreto bancario)
- Ley 27489, Ley que regula las centrales privadas de información de riesgos
- Ley 27693, Ley que crea la Unidad de Inteligencia Financiera del Perú
Antecedentes
Según la revisión normativa (SPLEY): Proyecto 07919/2023-CR, que protege a los consumidores de servicios financieros del manejo indebido de su información por centrales de riesgo y billeteras digitales (con dictamen). No se identificaron proyectos específicos de finanzas abiertas.
Referencias internacionales
Fuentes
¿Qué opinas de esta propuesta?
Apoya o rechaza esta propuesta y deja tu comentario. No necesitas cuenta; todo queda registrado y se consolida en la página Ciudadanía.
Privacidad · Propuesta ciudadana de libre uso para cualquier congresista, bancada o colectivo que quiera presentarla. No es un proyecto de ley presentado ni tiene número en el Congreso. Cítala y mejórala.