El pasado 23 de octubre la Superintendencia de Servicios Financieros (la “SSF”) del Banco Central del Uruguay (el “BCU”) emitió un nuevo proyecto normativo con el fin de reglamentar el nuevo régimen de tercerizaciones de servicios introducido por la Ley de Presupuesto Nacional 2025-2029 (el “Nuevo Proyecto”) para las instituciones supervisadas del sistema financiero, del mercado de valores, del sector de seguros y reaseguros y fondos previsionales.
El Nuevo Proyecto sustituye el proyecto normativo anterior publicado el 3 de junio de 2026 (pueden acceder a nuestro análisis del proyecto original en este enlace) y refleja los aportes recogidos durante la instancia de consulta pública.
A continuación, incluimos un detalle de las modificaciones más relevantes respecto del proyecto anterior:
- Comunicación previa.
Modificación de plazos de comunicación previa de tercerizaciones.
El Nuevo Proyecto elimina el plazo de 30 días de antelación para comunicar la contratación de servicios tercerizados dispuesto en el proyecto anterior, estableciendo únicamente que la comunicación debe ser previa a la suscripción.
Asimismo, el Nuevo Proyecto incluye un nuevo plazo de comunicación previa con anticipación mínima de 180 días corridos para la contratación de los siguientes servicios:
- Servicios que involucren el alojamiento o procesamiento masivo de datos de clientes y/o operaciones, alojamiento o cambio del sitio donde se ubica la infraestructura tecnológica crítica hacia otro centro de procesamiento de datos (físico o servicio de nube), salvo las excepciones dispuestas en instrucciones que se impartirán.
- Cualquier otro servicio que cumpla con una o más de las siguientes condiciones:
- Refiere a la tercerización de las funciones de gestión de riesgos, de tecnología y/o de seguridad de la información.
En caso de discontinuarse la prestación del servicio, no existe la posibilidad de encontrar un proveedor alternativo o de llevar a cabo la actividad internamente en un tiempo aceptable para el negocio y el apetito de riesgo de la institución.
- Condiciones aplicables a la contratación de servicios tercerizados.
El Nuevo Proyecto mantiene las condiciones que deberán cumplir las instituciones supervisadas para las tercerizaciones de servicios e incorpora respecto del informe de evaluación de riesgos asociados a la tercerización, que se deberá incluir en el mismo los fundamentos de la valoración realizada acerca de si los servicios a contratar cumplen o no las condiciones antes referidas que determinan que la comunicación previa deba efectuarse con una antelación mínima de 180 días.
- Régimen sancionatorio.
El Nuevo Proyecto incrementa significativamente, respecto del proyecto anterior, los montos de las multas aplicables a aquellas instituciones supervisadas que incumplan con las normas sobre tercerización de servicios, según se indica a continuación:
- Instituciones del Sistema Financiero: de 1/10.000 hasta 5/1.000 de la responsabilidad patrimonial básica para bancos se modifica a 1/1000 hasta el 5% de dicha responsabilidad.
Instituciones del Mercado de Valores: de 10.000 UI (aprox. USD 1.700) hasta 650.000 UI (aprox. USD 108.000), se modifica a 130.000 UI (aprox. USD 21.600) hasta 6.500.000 UI (aprox. USD 1.081.000).
- Empresas de Seguros y Reaseguros: de 13.000 UI (aprox. USD 2.160) hasta 650.000 UI (aprox. USD 108.000), se modifica a 130.000 UI (aprox. USD 21.600) hasta 6.500.000 UI (aprox. USD 1.081.000).
- Fondos Previsionales: de 10.000 UI (aprox. USD 1.700) hasta 650.000 UI (aprox. USD 108.000), se modifica a 130.000 UI (aprox. USD 21.600) hasta 6.500.000 UI (aprox. USD 1.081.000).
- Comunicaciones reglamentarias.
En línea con el proyecto normativo anterior, el BCU emitió también los siguientes proyectos de Comunicaciones:
- Modelo de declaración jurada y formulario a enviar para la comunicación previa.
- Detalle de los servicios que no requieren comunicación previa.
- Detalle de los servicios bajo modalidad SaaS (Software as a Service) y PaaS (Platform as a Service).
No hay modificaciones relevantes en los proyectos referidos en los literales a. y b. anterior.
No obstante, con respecto al proyecto referido en el literal c., se establece que los servicios en modalidad SaaS y PaaS (estos últimos siempre y cuando no incluyan datos personales de clientes o estos hayan sido disociados) no estarán sujetos a la obligación de comunicación previa de 180 días mencionada antes, bastando que sean comunicados en forma previa a la contratación.
A esos efectos, deberán cumplir con las siguientes condiciones: (i) que exista un acuerdo de nivel de servicios (99,9% de disponibilidad), (ii) que cuente con certificación ISO 27001; y (iii) que cuente con certificación ISO 27017 o haber aplicado para CSA STAR Level 1, en los mismos términos dispuestos en el proyecto de Comunicación anterior.
Asimismo, el proyecto de Comunicación modifica los servicios considerados dentro de la modalidad SaaS, incorporando a las plataformas de gestión de relacionamiento con clientes y quitando los siguientes servicios mencionados por el proyecto de comunicación anterior:
- correo electrónico, mensajería instantánea y toda otra forma de mensajería electrónica;
- almacenamiento y resguardo de archivos; y
- firma electrónica, herramientas colaborativas, herramientas ofimáticas, herramientas de análisis de datos y gestión documental.
Quedamos a disposición por cualquier consulta.
Pueden acceder al Proyecto Normativo en el siguiente link.
Autores: Federico Samudio, Tomás Benvenuto, Paula Cabarcos y María José Peña.