El 31 de julio pasado se publicó la Circular N° 2507 del Banco Central del Uruguay, por la cual se incorporó la figura de los Proveedores de Servicios de Activos Virtuales (“PSAV”) a la Recopilación de Normas del Mercado de Valores (en adelante, la “Circular”).
Esta Circular deriva de dos proyectos anteriores que ya informáramos, y mantiene la estructura general del proyecto regulatorio. Sin embargo, la mayoría de las reglas sustantivas del proyecto original (identificación de clientes, transferencias de activos virtuales, protección al usuario, ciberseguridad, información periódica y sanciones principales) se mantienen sin modificaciones materiales en la Circular.
Los cambios son relativamente menores, pero no por ello podemos dejar de destacarlos. Uno de ellos se centra en la exclusión de la regulación a los servicios prestados exclusivamente mediante activos virtuales no fungibles (siempre que no sean un medio de pago, un instrumento de inversión o una representación digital de un valor). Además, se agregan reglas detalladas sobre acceso sin preaviso a información y sistemas, continuidad ante intervención o liquidación, subcontratación, eventos significativos y evaluación de resiliencia operativa y seguridad de la información.
A los efectos de su previa autorización por el Banco Central del Uruguay, los PSAV deben identificar el control efectivo del grupo, la suscripción individual de la declaración sobre el origen legítimo del capital, la acreditación de garantías y depósitos, la información relativa a tercerizaciones transfronterizas y la documentación específica de sucursales extranjeras. La documentación sobre capital debe incluir la cadena de accionistas, la identificación documental de cada accionista y la prohibición de estructuras que incluyan sociedades con acciones al portador transferibles por simple entrega.
Se prevé un límite diario de operaciones: cuando se utilicen terminales automatizadas para operar ante un PSAV, el límite será de USD 1.000 por cliente. Se incorpora un operativo distinto al del proyecto para el procesamiento de datos desde el exterior: desaparecen los requisitos de calificación BBB-/BBB+, habilitación financiera y certificaciones específicas, y se agregan pruebas de acceso, consulta, descarga y exportación de información, junto con la obligación de probar los planes de continuidad y recuperación dentro de los 60 días corridos desde el inicio del procesamiento y luego anualmente.
Por Guillermo Duarte y Daniel Mosco
Ver Perfil
Artículos
PPO Indacochea
opinión
ver todosNicholson y Cano Abogados
Estudio Garrido Abogados
detrás del traje
Nos apoyan
