Normativa CMF

NCG N° 540 de 2025

EJECUTA ACUERDO DEL CONSEJO DE LA COMISIÓN PARA EL MERCADO FINANCIERO QUE APRUEBA LA EMISIÓN DE LAS NORMAS DE FUNCIONAMIENTO OPERATIVO DEL REGISTRO DE DEUDA CONSOLIDADA, CONFORME A LO DISPUESTO EN LA LEY N°21.680 QUE CREA UN REGISTRO DE DEUDA CONSOLIDADA.

REF: Establece las Normas de Funcionamiento Operativo del Registro de Deuda Consolidada, conforme con lo dispuesto en la Ley N°21.680 que Crea el Registro de Deuda Consolidada.

14 de julio de 2025

Norma de Carácter General N°540 *

De acuerdo con lo dispuesto en la Ley N°21.680 (en adelante, “Ley”), la Comisión para el Mercado Financiero (en adelante, “Comisión”) será responsable de crear y mantener un registro oficial de información relativa a las obligaciones de crédito con la finalidad de mejorar el sistema de evaluación crediticia de las personas y otorgar más información a la Comisión para el ejercicio de sus atribuciones de regulación, supervisión y cumplimiento de sus funciones legales.

Conforme con las facultades otorgadas en el segundo inciso del artículo 3° de la mencionada Ley y lo acordado por el Consejo de la Comisión en Sesión Ordinaria N°452, de 10 de julio de 2025, este Organismo ha resuelto establecer las Normas de Funcionamiento Operativo del Registro de Deuda Consolidada. En ellas, también se imparten instrucciones que regulan aspectos sobre reportantes, mandatarios, deudores y terceros autorizados, las obligaciones reportables, el acceso a la información del registro, la seguridad de la información, la administración del consentimiento, calidad de la información, proceso de solicitudes y reclamación, auditorías de procedimientos, sanciones por infracciones y suspensiones de reportantes, de acuerdo con las facultades otorgadas a la Comisión en la mencionada Ley.

Texto refundido y actualizado por: • NCG N°567 del 14/09/2026 por Resolución N° 9.967 del 11/09/2026.

Normas de Funcionamiento Operativo del
Registro de Deuda Consolidada

De acuerdo con lo dispuesto en la ley N°21.680 (“Ley”), la Comisión es responsable de crear y mantener un registro oficial de información relativa a las obligaciones de crédito, con la finalidad de mejorar el sistema de evaluación crediticia de las personas realizado por las entidades financieras y otorgar más información a la Comisión para el ejercicio de sus atribuciones de regulación, supervisión y cumplimiento de sus funciones legales.

La presente norma contiene el conjunto de reglas y procedimientos que gobiernan la interacción y acciones de los participantes del Registro de Deuda Consolidada (en adelante, “REDEC”), incluyendo las de la Comisión como administrador del registro, entidades reportantes, mandatarios, deudores y terceros autorizados. Su propósito es presentar los lineamientos generales y específicos del funcionamiento operativo del REDEC.

Definiciones y nomenclatura

Para los efectos y propósitos de esta Norma de Funcionamiento Operativo (en adelante, “la Norma”), y salvo mención expresa en otro sentido, se consideran las siguientes definiciones y nomenclatura.
• API: En español, “Interfaz de Programación de Aplicaciones”. Mecanismo tecnológico por medio del cual dos o más programas o sistemas computacionales pueden comunicarse entre sí. Parte fundamental de dicha comunicación depende de las características de la documentación técnica que describe los métodos de conexión disponibles, y los elementos y atributos del intercambio de información que se detallan en la especificación de la API. • Auditoría: Revisión, evaluación y/o verificación del cumplimiento del cumplimiento de las disposiciones legales y normativas aplicables al REDEC, la eficacia del marco de gobierno, control y gestión de riesgos, el adecuado funcionamiento de los sistemas de información y la aplicación consistente de las políticas, procedimientos y procesos establecidos. • Ciberseguridad: Comprende el conjunto de acciones destinadas a la protección de la información presente en el ciberespacio y de la infraestructura que la soporta, que tiene por objeto la preservación de su confidencialidad, integridad y disponibilidad por parte de una entidad reportante. • Consentimiento: Manifestación de la voluntad expresa, previa e inequívoca del deudor entregada a los reportantes para el acceso a su información de deuda en el REDEC con la sola finalidad evaluar su riesgo comercial, crediticio y la gestión de riesgos para operaciones específicas de acuerdo con las disposiciones establecidas en el numeral 7.

• Comisión: Comisión para el Mercado Financiero. • Deuda suspendida: Obligación reportable que se encuentra temporalmente excluida de los registros del REDEC, con ocasión del inicio y tramitación del procedimiento ante la Comisión regulado en el numeral 9 de esta normativa. • Deudor: Persona natural o jurídica que mantiene una o más obligaciones reportables en el REDEC de acuerdo con el literal b) del artículo 2 de la Ley.
• Día hábil bancario: día de lunes a viernes que no es feriado. • Información Anonimizada: Conjunto de datos resultantes de un procedimiento irreversible, en virtud del cual, un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona. • Ley N°21.680: Ley que crea el Registro de Deuda Consolidada. • Mandatarios: personas naturales o jurídicas especialmente designadas por los reportantes para actuar en su nombre en los términos del artículo 6 de la Ley N°21.680. • Obligaciones Reportables: operaciones de crédito de dinero y otras de carácter financiero que deben ser informadas al REDEC en consideración a las disposiciones del numeral 4 de esta norma. • REDEC: Registro de Deuda Consolidada. • Reportantes: entidades que deben reportar información al REDEC de acuerdo con lo establecido en el numeral 3 de esta norma. • Reporte de Incidentes Operacionales: Comunicación de carácter obligatorio que los reportantes deben efectuar a la Comisión, a través del sistema habilitado para estos efectos, respecto de incidentes operacionales atingentes, en materia de seguridad y privacidad de la información del REDEC, en los términos y dentro del plazo establecido en el numeral 6 de esta norma.
• Servicio de Consultas: API dispuesta por la Comisión para que los reportantes, directamente o por medio de mandatarios que actúen en su representación, consulten la información del REDEC sujeta a consentimiento.
• Suspensión del Reportante: interrupción del acceso al Servicio de Consultas del REDEC por deficiencias en la información u otro incumplimiento normativo acorde con el Artículo 19 de la Ley. • Terceros Autorizados: personas naturales o jurídicas distintas a los reportantes, autorizadas para acceder a la información de deuda en nombre del

deudor de acuerdo con las disposiciones establecidas en el numeral 3 de esta norma.

Sobre el Registro de Deuda Consolidada y su Manual del Sistema de Información

El Registro de Deuda Consolidada es un sistema administrado por la Comisión en virtud de un mandato legal, que centraliza información de deudas de personas naturales y jurídicas con información de entidades reportantes, es de carácter reservado y permite el acceso a datos actualizados del nivel de endeudamiento de deudores.

Para su conformación, las instituciones reportantes deben enviar información a la Comisión a través del Sistema de Reportantes, de acuerdo con los requerimientos de información que se señalan en el Manual del Sistema de Información REDEC (en adelante, “MSI REDEC”). La información enviada a la Comisión no requiere consentimiento del deudor.

Tras recibir la información de las entidades reportantes, la Comisión consolidará la información individual de deuda en diferentes archivos de acuerdo con la estructura establecida en el Sistema de Consulta del MSI REDEC. La consolidación de información no permite a los reportantes identificar a los acreedores y se actualiza con una frecuencia consistente con la de los archivos que lo conforman en el Sistema de Reportantes.

Para la validación y gestión del proceso de generación del REDEC, los reportantes deben informar también los archivos normativos estructurados en el Sistema de Validaciones y Gestión del MSI REDEC.

Sobre los reportantes y deudores 3.1 De los reportantes

3.1.1 Tipos de reportantes

Para efectos del REDEC, son consideradas reportantes las siguientes instituciones en calidad de acreedoras: a) Bancos y cooperativas de ahorro y crédito fiscalizadas por la Comisión (en adelante “Cooperativas”), compañías de seguro, agentes administradores de mutuos hipotecarios endosables y emisores de tarjetas de crédito no bancarias, todas fiscalizadas por la Comisión.
b) Cajas de compensación de asignación familiar fiscalizadas por la Superintendencia de Seguridad Social.

c) Sociedades securitizadoras respecto de las obligaciones reportables en que el acreedor sea un patrimonio separado constituido por éstas y fiscalizadas por la Comisión. d) Filiales nacionales y sociedades de apoyo al giro de bancos y Cooperativas fiscalizadas por la Comisión que pertenezcan a la nómina de entidades a la que se refiere el Artículo 31 de la Ley N° 18.010 y que publica la Comisión anualmente. e) Otras entidades que realicen operaciones de crédito en dinero que igualen o superen las 100.000 unidades de fomento, o a mil operaciones en el último año calendario. En caso de personas relacionadas, el cumplimiento de los umbrales anteriores se evaluará a nivel de grupo. Para la conformación de entidades reportantes de este literal, se considerará la nómina de entidades a la que se refiere el Artículo 31 de la Ley N° 18.010 y que publica la Comisión. f) Entidades de asesoría crediticia reguladas por la Ley Nº21.521, que promueve la competencia e inclusión financiera a través de la innovación y tecnología en la prestación de servicios financieros, Ley Fintec. Dichas entidades, para obtener la calidad de reportantes, deberán solicitarlo mediante comunicación formal a esta Comisión, luego de haber sido inscritos en el Registro de Prestadores de Servicios Financieros. Todas estas entidades están obligadas a enviar información a la Comisión en su calidad de reportante del REDEC, sin perjuicio de las normas particulares aplicables a cada tipo de reportante.

El proceso de identificación de estas entidades reportantes se lleva a cabo anualmente por la Comisión emitiendo una Resolución con la nómina de reportantes para el periodo siguiente. Las entidades son notificadas antes del 30 de julio de cada año y serán reportantes a contar del año siguiente de la notificación.

Las entidades del literal e) de este numeral serán consideradas reportantes solo en el caso de acreditarse su inclusión en la nómina de entidades que refiere el Artículo 31 de la Ley N°18.010 y que publica la Comisión por los últimos tres años consecutivos. Sin perjuicio de lo anterior, la Comisión puede, vía Resolución, excluirlas en caso de que no hayan cumplido sus obligaciones como reportante en tiempo, forma y calidad durante el periodo anterior o en curso o que, cumpliéndolas, hayan dejado de ser acreedores de acuerdo con la información de los archivos remitidos en el Sistema de Reportantes del MSI REDEC.

Habiendo sido una entidad identificada como reportante por la Comisión, ésta queda sometida a su fiscalización en lo que se refiere al cumplimiento de la Ley N°21.680 y la presente norma. Además, tiene los derechos, gratuitos e irrenunciables, y los deberes que la ley establece para efectos del REDEC.

Aquellas entidades que dejan de ser calificadas como reportantes, según la resolución anual que emitirá la Comisión para estos efectos, pierden sus derechos de acceso al REDEC, y por consiguiente, también lo pierden sus mandatarios. Sin perjuicio de lo anterior, con el fin de mantener la integridad del REDEC, se mantienen todos sus deberes por un plazo de cinco años contados desde la última pérdida de tal calificación, respecto de las obligaciones reportables que debieron haber sido informadas con antelación a la resolución anterior.

3.1.2 Derechos del reportante

Entre los derechos del reportante se tienen los siguientes: • Acceder a la información: los reportantes tienen derecho a acceder al REDEC a través del Servicio de Consultas dispuesto por la Comisión para llevar a cabo las solicitudes de información de deuda de personas específicas, siempre que tengan el consentimiento expreso del deudor o cuenten con otra fuente de licitud de acuerdo con lo definido en la Ley. El acceso a la información debe ser con la exclusiva finalidad de evaluar el riesgo crediticio de los deudores, realizar el cálculo de sus provisiones o capital, y/o análisis financieros necesarios para la gestión de sus actividades crediticias. Si el reportante otorga y mantiene un crédito con ese deudor, se entiende que el consentimiento fue extendido por toda la vigencia del crédito, o hasta que se ejecute la cláusula de aceleración. • Delegar el ejercicio de derechos y actividades operativas específicos: el reportante puede delegar las actividades u obligaciones de reporte al REDEC, acceso al REDEC y evaluación de riesgo comercial y crediticio utilizando información del REDEC, a una persona natural o jurídica que lo represente legalmente en aquellas tareas establecidas en el mandato. Para efectos de esta norma, dicha entidad o persona es denominada mandatario. Los mandatarios, al actuar a nombre del reportante, pueden ejercer los derechos del párrafo anterior en el marco del REDEC, en estricta observancia de las obligaciones que este mismo exige, particularmente la reserva de la información consultada. Los reportantes deberán informar a la CMF los mandatarios habilitados en los términos y canales que este Organismo disponga. En todo caso, los mandatarios no pueden subdelegar sus funciones a terceros. Asimismo, sus mandatos podrán ser revocados por los reportantes, debiendo informar inmediatamente a la Comisión.

El incumplimiento de los deberes en el manejo del REDEC por parte del mandatario es imputable al reportante, quien siempre es considerado como responsable para los efectos de esta norma. Por consecuencia natural, los mandatarios deben ajustarse a los mismos estándares y exigencias a que están obligados sus mandantes.

Los términos establecidos en este derecho del reportante deben constar en un contrato de mandato o instrumento afín entre el mandatario y el reportante.

3.1.3 Deberes del reportante

Entre los deberes del reportante se tienen los siguientes; • Calidad de la información: los reportantes tienen el deber de enviar al REDEC información precisa, actualizada y completa sobre las obligaciones de sus deudores. El reporte de información falsa, incompleta o desactualizada será sancionado conforme a la Ley y normativa vigente. • Rectificación de información: los reportantes deben corregir, una vez detectada, la información desactualizada, inexacta, incompleta o incorrecta tras detectarla, aceptar una solicitud del deudor o si es instruido por la Comisión, dentro de los plazos que establece la normativa. • Seguridad y confidencialidad: los reportantes están obligados a resguardar la confidencialidad, integridad y disponibilidad de la información obtenida desde el REDEC. Asimismo, deben mantener la reserva de la información consultada. • Gestión de consentimientos: los reportantes deben mantener registros actualizados de los consentimientos de los deudores para acceder a su información. Los procedimientos asociados a este deber se detallan en el numeral 7. • Cumplimiento de los plazos para reporte: los reportantes deben cumplir con los plazos establecidos para el reporte de información y su actualización, los que son especificados en el Manual de Sistema de Información del REDEC (MSI REDEC). • Eliminación de información una vez cumplido su uso: debe eliminarse de forma física y lógica la información proveniente del Servicio de Consultas, de los sistemas del reportante y/o su respectivo mandatario, cuando se haya cumplido la finalidad de la consulta o haya expirado el plazo del consentimiento del deudor para el acceso de la entidad reportante. • Gestión de solicitudes: los reportantes deben implementar canales accesibles para que los deudores puedan ejercer sus derechos de actualización, rectificación, cancelación y complementación. Lo anterior incluye etapas posteriores a la resolución de la solicitud del deudor por parte del reportante. El proceso relacionado con las solicitudes está detallado en el numeral 9 de esta norma. Este deber no puede ser delegado. • Supervisión de mandatarios: los reportantes deben supervisar que sus mandatarios ejerzan los derechos y actividades operativas mandatadas en estricto cumplimiento de las disposiciones establecidas por esta norma y acotado a las funciones, es decir, fines y medios que establezca el mandato.

• Nominación de la contraparte responsable del REDEC: el reportante, al momento de ser identificado como tal, y a través del mecanismo en línea que disponga la CMF, deberá designar un funcionario titular y uno subrogante, que serán responsables del REDEC ante el órgano supervisor. La comunicación que se remita deberá indicar, al menos, sus nombres, cargos, correos electrónico y teléfonos. En caso de tener que cambiar a alguna de las contrapartes responsables, el reportante deberá notificar a la Comisión con similar información mediante el mismo mecanismo formal. • Elaboración de procedimientos: los reportantes deben desarrollar y formalizar los procedimientos necesarios para cumplir con sus obligaciones de manera efectiva y en los términos establecidos en los numerales 4 al 9 de esta norma • Auditoría y vigilancia a sus procesos: los reportantes deben establecer procesos de auditoría externa para verificar el cumplimiento estricto de las obligaciones anteriores y demás instrucciones impartidas en el numeral 10 de esta norma.

3.2 De los deudores

3.2.1 Derechos de los deudores

Los deudores, en su calidad de titulares de sus datos, tienen distintos derechos que son gratuitos e irrenunciables, pudiendo ser ejercidos de manera presencial o a través de sistemas y medios digitales. Los derechos contenidos en el Título III de la Ley N°21.680 son excluyentes respecto de aquellos que otorga la Ley N° 19.628. Entre los derechos del deudor se tienen los siguientes: • Acceso a la información: los deudores tienen derecho a acceder a su información personal de deuda, que haya sido enviada por los reportantes a la Comisión en el marco de aplicación del REDEC. Los canales de acceso serán informados en el sitio web de la CMF. • Notificación de acceso: los deudores inscritos en la Comisión, mediante el mecanismo habilitado por ésta, tienen el derecho a ser notificados cuando un tercero acceda a su información personal sujeta a consentimiento.
• Obtención de Resumen de accesos: los deudores pueden acceder a un resumen de los reportantes que accedieron, a su nombre o mediante un mandatario, a su información personal de deuda en los últimos doce meses. • Suscripción de reportes de accesos a la información: los deudores pueden solicitar a la Comisión que les remita periódicamente la información de Resumen de accesos del párrafo anterior, conforme con los medios que ponga a disposición la Comisión para tal efecto.

• Ejercicio de derecho de actualización, rectificación, complementación o cancelación: los deudores pueden solicitar a la entidad reportante y a la Comisión, cuando corresponda, la actualización, rectificación, complementación o cancelación de datos acorde con el numeral 9 de esta norma. • Delegación del ejercicio de determinados derechos: los deudores también pueden habilitar a terceros autorizados para que los representen en el ejercicio de sus derechos de acceso a la información y de obtención de resumen de accesos. Los terceros autorizados están sujetos al cumplimiento de la debida diligencia de la información a la que accedan. Asimismo, los deudores pueden revocar la autorización a terceros conforme con lo indicado al efecto en el numeral 5.2 de esta norma.

3.2.2 Buenas prácticas de los deudores

Entre las buenas prácticas de los deudores se encuentran las siguientes: • Probidad: se espera que el deudor actúe bajo principios de probidad considerando en el ejercicio de sus derechos información precisa, actualizada y completa.
• Autenticación: para permitir la autenticación de la identidad del deudor en los accesos a sus registros del REDEC y preservar la confidencialidad y seguridad de la información de éste, el deudor debe cumplir con los requisitos para el ingreso a los mecanismos de acceso que define la Comisión y se publican en su sitio web. • Debida diligencia de su información: toda forma de autenticación e información que acceda el deudor proveniente del REDEC se espera que sea resguardada y protegida de modo de contribuir a la seguridad y confidencialidad de su propia información. • Fundamentar el ejercicio de derechos de actualización, rectificación, complementación y cancelación: los deudores deben presentar una solicitud fundamentada para ejercer sus derechos de actualización, rectificación, complementación o cancelación.

Sobre las Obligaciones Reportables

Una obligación reportable se define como aquella operación de crédito de dinero acorde con la Ley N°18.010, donde la entidad reportante al REDEC entrega o se obliga a entregar una cantidad de dinero, o documentos representativos de obligaciones de dinero, y la otra a pagarla en un momento distinto de aquel en que se celebra. En atención a lo anterior, se consideran como obligaciones reportables las operaciones de crédito, ya sean efectivas o contingentes, o que

hayan sido securitizadas. Además, y aun cuando no necesariamente constituyen operaciones de crédito de dinero, conforme con las facultades que la Ley entrega esta Comisión, se consideran también como obligaciones reportables las operaciones de leasing, operaciones financieras (pactos) e instrumentos de deuda adquiridos.

Las obligaciones reportables deben informarse de acuerdo con su valor contractual, considerando el capital insoluto y los reajustes e intereses devengados a la fecha a que se refiera la información según los términos pactados, pero sin incluir los intereses penales por mora ni los importes relacionados con la cobranza que el acreedor tuviere derecho a percibir.

Se entiende que el valor contractual es el que se obtiene según las cláusulas de los títulos de crédito, considerando los pagos realizados y los pactos o convenios de pago posteriores, de tal manera que los montos que se informen reflejen adecuadamente los importes de las deudas, separando aquellos que aún no son exigibles según los pactos vigentes, de las obligaciones que el deudor no ha cumplido.

Las instrucciones contables de esta Comisión, emitidas para determinadas entidades reportantes, en ningún caso se aplican ni tienen efecto alguno en la información de deudas a que se refiere esta norma de carácter general.

Las entidades reportantes deben enviar, a través del Sistema de Reportantes del MSI REDEC, información actualizada, exacta y completa sobre las obligaciones financieras que gestionan, además de información complementaria, tal como la identidad del deudor, su naturaleza, principales términos y condiciones, plazos, garantías constituidas, entre otros campos que determine la Comisión. La información debe reflejar, a la fecha del reporte, la situación de la obligación siempre que no se considere como deuda prescrita acorde con la categoría de este numeral 4.

Las obligaciones reportables pueden ser calificadas como siguen: • Monto al día: montos de deudas vigentes que aún no han sido extinguidas y se encuentran en cumplimiento de los pagos pactados. • Monto en mora: montos que han alcanzado la fecha de pago o vencimiento y que a la fecha del reporte no han sido extinguidas, por lo que existe morosidad.
En caso de aceleración de créditos, se deberá reportar el monto agregado de las obligaciones en dicha condición. Además, la morosidad de la parte que se hace exigible sin haberse cumplido el plazo de vencimiento normal originalmente previsto quedará establecida según la fecha en que se hizo efectiva la aceleración.

Las obligaciones extintas, si bien no son parte de las obligaciones reportables, son parte de la información que la Comisión reportará en REDEC para la

información histórica del comportamiento del deudor. Asimismo, obligaciones extintas son incluidas en el REDEC en la medida que tengan hasta cinco años de antigüedad.

La información reportada a la Comisión debe ser actualizada, considerando los montos amortizados o capitalizados hasta la fecha del reporte, reflejando fielmente el estado de la obligación en cada momento.

Los reportantes son responsables de la exactitud y veracidad de la información remitida a la Comisión. La entrega de datos incompletos, erróneos, desactualizados o falsos sobre las obligaciones reportables, así como los que incumplan algún marco legal vigente, podrá ser sancionada de acuerdo con el marco legal y normativo aplicable.

En caso de que se detecte un error en la información ya reportada, exista una modificación por procedimientos de acuerdo con el numeral 9, o sea instruido por resolución de la Comisión, los reportantes deben corregir y actualizar los datos a través del Sistema de Reportantes del MSI REDEC. Habiéndose recibido las rectificaciones por parte de la Comisión, ésta las considerará en el siguiente ciclo de consolidación del REDEC sin perjuicio que sus reportes siguientes deben ser consistentes con las rectificaciones informadas.

Sobre el Acceso a la Información

La información a la cual acceden los reportantes y mandatarios es consolidada de tal manera que no permite identificar a los acreedores de las obligaciones reportables, tanto de manera directa como indirecta.

El acceso a la información está sujeto a consentimiento para los fines específicos establecidos en la Ley, los que se refieren a la evaluación del riesgo comercial y/o crediticio del deudor.

Quedan exceptuados de consentimiento los accesos a la información que cuenten con una justificación de licitud, en los términos del Título III de la Ley 19.628 que faculta a las entidades de crédito a reportar obligaciones crediticias al día o en mora al Boletín Comercial.

Adicionalmente, el REDEC considera una base de datos anonimizada a la que pueden acceder solo los reportantes y sus mandatarios y que no está sujeta a consentimiento ni a las restricciones aplicables a la información de operaciones de un deudor particular.

En el caso de deudores y terceros autorizados, la información del REDEC a que accedan es a nivel de registro para obligaciones reportables vigentes y al detalle del REDEC que responde al RUT del deudor.

Por su parte, el acceso a la información considera los siguientes tres procedimientos adicionales:

5.1. Notificación al deudor y gestión de accesos

Cuando se acceda a la información individual sujeta a consentimiento, y en la medida que el deudor se haya registrado previamente en la plataforma dispuesta para ello, la Comisión le notificará por vía electrónica, indicando el nombre de la entidad reportante que ha accedido a su información, ya sea directamente o a través de un mandatario, la fecha y hora. Lo anterior, solo tendrá lugar cuando la Comisión observe el primer acceso de un reportante a la información del REDEC de un deudor.

De manera complementaria, la Comisión entregará, al menos trimestralmente, a los deudores que lo soliciten, a través del sitio web habilitado para ello, un informe de los reportantes que, directamente o a través de un mandatario, han accedido a su información sujeta a consentimiento en los últimos doce meses (Historial o Resumen de Accesos).

5.2. Seguridad en el acceso

El acceso a la información individual sujeta a consentimiento es a través del Servicio de Consultas de la Comisión, el cual proporciona una Interfaz de Programación de Aplicaciones (API, por sus siglas en inglés), la que requiere la identificación y autenticación de los reportantes y se detalla en la API1 del Anexo Técnico REDEC. El personal de la entidad reportante, o de sus mandatarios que haga uso de la información del REDEC debe identificarse y sus accesos deben quedar anotados en registros electrónicos, los que serán trazables y estarán disponibles para la revisión de la función de auditoría propia de los reportantes y de la Comisión, en caso de que ésta así lo disponga. Una vez consultada la información sujeta a consentimiento y cumplida la finalidad de la consulta, la información debe ser completamente eliminada de los sistemas de información del reportante y/o de sus mandatarios, en conformidad con los procedimientos que haya establecido el reportante para estos efectos.

La información exceptuada de consentimiento, como es el caso de aquella cuyo acceso se justifique en causales de licitud, es distribuida a los reportantes a través de un canal de comunicación seguro, habilitado por la Comisión, con las entidades fiscalizadas en el marco del REDEC.

Los deudores pueden acceder a su información a través de un sitio web habilitado por la Comisión, utilizando para ello la Clave Única, en el caso de ser persona natural, o la clave tributaria en caso de ser persona jurídica, por medio de su respectivo representante legal.

Los terceros autorizados pueden acceder a la información personal del deudor. Para ello, el deudor deberá autorizarlo mediante un procedimiento dispuesto en un portal seguro habilitado por la Comisión, bajo su exclusiva responsabilidad, en el cual deberá indicar el nombre completo, RUT y el correo electrónico del

tercero autorizado. Una vez que el deudor haya confirmado a la persona a autorizar y los términos de su autorización, el tercero autorizado será notificado por la Comisión de tal situación, lo que le dará el derecho de acceso a la información del deudor por un periodo de hasta 15 días hábiles bancarios, salvo que el deudor revoque dicha autorización en el mismo portal seguro habilitado por la Comisión. Habiéndose cumplido el plazo, caducará el permiso de acceso.

5.3. Plazo para acceder a la información

Conforme con lo mandatado por el artículo 5 de la Ley N°21.680, el reportante podrá acceder a la información sujeta a consentimiento por un plazo de 15 días hábiles bancarios, o bien, en un plazo menor en caso de que el deudor revoque el consentimiento conforme a lo indicado en el numeral 7 de esta norma, en los casos que ello proceda. El consentimiento siempre debe obtenerse con el fin exclusivo de evaluar el riesgo comercial, crediticio y la gestión de riesgos para operaciones específicas del deudor.

Asimismo, si habiendo sido otorgado originalmente por el deudor en forma previa, expresa e inequívoca con la finalidad de permitir la evaluación de su riesgo crediticio o comercial para una operación específica, esta se otorga, dicho consentimiento se entenderá extendido para el acreedor durante toda la vigencia de la obligación o hasta la ejecución de la cláusula de aceleración de la obligación reportable, con el fin exclusivo de que pueda efectuar la gestión de riesgo de dicha obligación, incluyendo la constitución de provisiones y otras exigencias regulatorias, sin necesidad de requerir una nueva manifestación de voluntad por parte del deudor.

El plazo contemplado en este apartado debe ser contabilizado desde el momento de la obtención del consentimiento. En caso de vencer dicho plazo, la entidad no puede acceder a la información individual de deuda sujeta a consentimiento, salvo que obtenga un nuevo consentimiento del deudor.

Sobre seguridad y privacidad de la información

6.1. Elementos generales de política y procedimientos

Sin perjuicio de las normativas y leyes vigentes sobre seguridad de la información que los reportantes deben cumplir, y en virtud de lo establecido en el artículo 13 de la Ley, los reportantes deben contar con una política y procedimientos con la finalidad de cautelar la privacidad en el manejo de la información relacionada con el REDEC; el envío de información de deudores a la Comisión en tiempo y forma; su control de acceso; uso de información según finalidad; destrucción de los datos una vez utilizados; y confidencialidad de la información.

Las entidades reportantes deben proteger la información del REDEC a la que hayan tenido acceso contra su pérdida, tratamiento ilegítimo, filtración, daño o

destrucción. En tanto, los reportantes deben velar por que sus mandatarios incorporen mecanismos para resguardar la seguridad y privacidad de la información que establece este numeral.

Adicionalmente, los reportantes identificados en las letras a), b), c) y d) en el numeral 3 de esta norma deben incorporar en sus políticas, una específica para la gestión y controles sobre los principales riesgos asociados al REDEC. La revisión de dicha política deberá realizarse, como mínimo, una vez al año por el Directorio u órgano equivalente.

Los reportantes también deben establecer dentro de sus políticas, los procesos y controles relacionados con la administración de consentimientos de que trata el numeral 7 de esta norma.

Tanto las políticas, procedimientos y revisiones de este numeral deben estar documentados y disponibles para la revisión y supervisión de esta Comisión.

6.2. Elementos de gestión de riesgo

Todas las entidades reportantes deben considerar en sus funciones de gestión de riesgo los siguientes elementos:

6.2.1 Responsabilidad del reportante sobre la acción de sus mandatarios

Tal como indica el numeral 3 de esta norma, los reportantes son responsables del cumplimiento de estas disposiciones por parte de los mandatarios. En este sentido, la participación de los mandatarios en el REDEC deberá incluirse en los procesos de gestión de riesgo operacional de la entidad, debiendo el reportante exigir al respectivo mandatario que haga propias las disposiciones que esta norma establece para los reportantes.

6.2.2 Seguridad de la información, ciberseguridad y continuidad del negocio

Respecto de la seguridad de la información y ciberseguridad, la gestión de riesgo debe incluir los siguientes elementos, aplicables a todas las entidades reportantes, adaptados a su modelo de negocios, volumen de operaciones, y número y tipo de clientes:
• Contar con una política y procedimientos de seguridad de la información y ciberseguridad.
• Contar con una política y procedimientos de tecnologías de información y comunicación (TIC).

• Establecer en los procedimientos los roles y responsabilidades en la administración del riesgo de seguridad de la información y ciberseguridad del personal de la entidad, incluido el Directorio u órgano equivalente.
• Establecer en los mandatos cláusulas contractuales que permitan la revocación expedita de derechos de acceso a la información del REDEC.
• Realizar al menos anualmente, una auditoría externa de los procesos de gestión de la seguridad de la información y ciberseguridad, con la profundidad y alcance necesario. La auditoría debe seguir estándares reconocidos internacionalmente y considerar el apetito por riesgo operacional de la entidad reportante. • Disponer de procedimientos que le permitan al Directorio u órgano equivalente mantenerse informado, en forma oportuna y periódica, sobre el sistema de gestión de la seguridad de la información y ciberseguridad. Deberá dejarse constancia del reporte de la información en estas materias en las respectivas actas del directorio u órgano equivalente y en los Comités que se conformen para revisar estas materias. Con todo, estos procedimientos deben ser incorporados en la política relativa a la gestión de seguridad de la información y ciberseguridad, conforme lo indicado en la presente norma.

6.2.3 Gestión de seguridad de la información y ciberseguridad

La entidad reportante debe considerar en su gestión los siguientes procedimientos, adaptándolos a su modelo de negocios, su volumen de operaciones, y el número y tipo de clientes:
• Establecer controles de acceso a la información del REDEC, de manera de mitigar los riesgos de suplantación o uso indebido del registro por parte de funcionarios o de terceros no autorizados. • Implementar herramientas de registro, control y monitoreo de las actividades de acceso de los funcionarios y administradores de sistemas a los activos de información del REDEC, incluidos aquellos usuarios con privilegios, para identificar patrones de uso no habituales que permitan la identificación oportuna de un uso inadecuado y la mitigación del riesgo de fuga de la información.
• Elaborar procedimientos para otorgar, revocar o modificar los privilegios de acceso otorgados a funcionarios que pueden acceder al REDEC, resguardando entregar los accesos estrictamente necesarios para que estos cumplan sus funciones.
• Establecer controles que permitan mitigar los riesgos derivados del acceso remoto realizado por personal interno o externo.

• Establecer controles que permitan mitigar los riesgos derivados del uso indebido de documentación descargada y/o capturada del REDEC.
• Elaborar procedimientos de seguridad de las operaciones y comunicación entre la entidad reportante y la Comisión.

6.2.4 Reporte de incidentes operacionales

Los reportantes deben comunicar a la Comisión los incidentes operacionales relacionados con la seguridad de la información y el normal funcionamiento del REDEC a través de un Reporte de Incidentes Operacionales (RIO) disponible en CMF Supervisa. Sin perjuicio de la obligación de reportar indicada, cuando la Comisión así lo estime, puede requerir a la entidad un informe que contenga un análisis de las causas del incidente, la generación de documentación e informes de la investigación, un análisis del impacto, las medidas para evitar que el incidente se repita, y otras materias adicionales que estime pertinentes.

La comunicación de los incidentes operacionales debe realizarse en un plazo de 30 minutos una vez el reportante haya tomado conocimiento del hecho. La comunicación de incidentes, para efectos de esta norma, aplica cuando entre los canales afectados se encuentre el REDEC, esto sin perjuicio de que la entidad reportante tiene la obligación de informar este reporte sobre eventos atingentes a otro tipo de normativa vigente que resulte aplicable.

Cuando corresponda, el RIO se debe complementar con nuevas comunicaciones para el seguimiento del incidente indicando: sus causas, las acciones a tomar y su resolución.

La información indicada en este numeral debe ser enviada por el funcionario responsable que el reportante defina, y cuya designación y/o reemplazo debe ser comunicado a la Comisión mediante CMF Supervisa. La eventual falta de algún antecedente que refiera a las características del incidente operacional de este numeral, en ningún caso debe ser impedimento para el debido envío del RIO en el plazo definido.

Una vez superado el incidente, el reportante deberá igualmente informarlo a esta Comisión, indicando al menos, la fecha y hora de cierre del incidente, las causas identificadas, las medidas adoptadas y detalle de las entidades involucradas (por ejemplo, proveedores) y afectados (por ejemplo, clientes).

Con el fin de garantizar que la información sea íntegra y esté disponible en el REDEC, los reportantes deben ceñirse a las disposiciones sobre calidad de la información del reportante, especificadas en el numeral 8 de esta norma; así como las referidas a auditoría de procedimientos definidas en su numeral 10.

Sobre la Administración del Consentimiento

7.1. Consentimiento y su otorgamiento

El acceso a la información del deudor sujeta a consentimiento debe garantizar una adecuada administración de ésta, con el fin de garantizar el acceso lícito a la información financiera del REDEC. Los reportantes deben contar con el consentimiento previo, expreso e inequívoco del deudor antes de acceder y/o utilizar sus datos sujetos a consentimiento del REDEC. La voluntad del deudor debe constar de manera expresa e inequívoca, en los siguientes términos: a) En el caso de persona natural: por el respectivo deudor o su representante legal que acredite de forma suficiente su debida representación. b) En el caso de persona jurídica: por el o los representantes legales o apoderados. El consentimiento otorgado por el deudor debe ser obtenido por escrito, por medio verbal o por medios electrónicos, y, cualquiera sea el caso, almacenado en un soporte digital duradero, que sea apto para resguardar su seguridad, integridad y acceso por parte del reportante, deudor, auditoría o la Comisión, si esta así lo solicita. El consentimiento otorgado debe permitir la verificación de que fue manifestado de manera libre, informada, expresa y específica en cuanto al tipo de información requerida y la finalidad. El consentimiento otorgado debe estar debidamente emitido por el deudor y es responsabilidad del reportante tomar todas las medidas y resguardos necesarios para garantizar su autenticidad.

La persona, o sistema informático que interactúe con el deudor, no debe ejercer ninguna influencia indebida sobre éste para inducirlo a manifestar su voluntad. Por ejemplo, debe evitarse el uso de interfaces que induzcan a los usuarios a tomar decisiones no intencionadas, involuntarias o potencialmente contraproducentes para sus intereses; exigir que el consentimiento sea otorgado para la aplicación de un descuento u obtención de beneficios; o que las opciones empleadas para que éste se otorgue estén marcadas por defecto, estén con colores, tamaños o estilos de fuentes que las destaquen por sobre aquellas opciones que se refieran a no otorgar el consentimiento.

Al momento de solicitar el consentimiento para acceder a los datos del REDEC del deudor, se debe poner en conocimiento de éste, de manera clara, el tipo de información a la que accederá el reportante, la finalidad del acceso, el procedimiento para evaluación del riesgo comercial, el riesgo crediticio y la gestión de riesgos para operaciones específicas. El formato de la solicitud no puede contener otra información o requerir el consentimiento del deudor para actos o fines distintos a los establecidos en esta norma, además de mantenerse disponible para la supervisión de esta Comisión.

Asimismo, se debe procurar que la información que se pone en conocimiento del

deudor para obtener el consentimiento esté expresada en un lenguaje sencillo, claro, preciso y evitando tecnicismos, salvo en los casos en que resulte estrictamente necesario, debiendo explicarlos claramente. Además, debe disponer de mecanismos que permitan a personas en situación de discapacidad acceder a esta información.

El consentimiento no puede utilizarse para fines distintos a los indicados explícitamente en este numeral, esto es, para operaciones o actos que no se enmarquen dentro de la finalidad para la cual debió ser otorgado.

7.2. Notificación del consentimiento al deudor

Tan pronto obtenido el consentimiento, el reportante o un mandatario de este, debe remitir y/o entregar directamente al deudor una constancia de su otorgamiento, que indique claramente, al menos, la fecha y hora, así como el canal por el cual fue emitido, y el código interno generado para dicho consentimiento.

El reportante deberá almacenar tanto el consentimiento otorgado como la evidencia del envío de la notificación en su Sistema de Administración de Consentimientos.

7.3. Preservación del consentimiento

Tan pronto obtenido el consentimiento, el reportante debe asignarle un código único, el cual será utilizado para efectos de gestión interna y se denominará “código interno del consentimiento”.

Los consentimientos otorgados deberán ser almacenados por al menos cinco años, utilizando mecanismos que resguarden su integridad, autenticidad, confidencialidad y fidelidad a lo largo del tiempo y que sean verificables, todo conforme a los siguientes principios: a) Integridad: Cualidad que permite asegurar que el consentimiento no haya sido alterado o modificado desde su otorgamiento. b) Autenticidad: Cualidad que permite identificar inequívocamente al deudor que otorgó el consentimiento o a quien haya actuado en su representación. c) Fidelidad: Cualidad que permite verificar fielmente el contenido y las condiciones bajo las cuales fue otorgado el consentimiento. d) Confidencialidad: Disposición que evita el acceso o lectura del consentimiento por terceros no autorizados. Esto incluye, cuando resulte apropiado, el cifrado de la información. e) Verificabilidad: Cualidad que permite comprobar con mecanismos

técnicos y/o antecedentes provistos por el reportante, que los consentimientos obtenidos cumplen con las condiciones de integridad, autenticidad, fidelidad y confidencialidad.

Cada consentimiento debe ser almacenado con su código interno, el que deberá mantenerse en un registro, de forma que pueda identificarse inequívocamente.

Tratándose de consentimientos obtenidos por medios escritos, deberá almacenarse su copia digitalizada, conforme a lo exigido en el presente numeral.

7.4. Revocación del consentimiento

Los deudores pueden revocar su consentimiento en cualquier momento y, al menos, mediante canales y procedimientos de autenticación homólogos a aquellos a través de los cuales fue otorgado. Se entenderá por canales homólogos aquellos que permitan al deudor revocar el consentimiento, al menos, mediante una modalidad equivalente a la utilizada para otorgarlo, sin imponerles mayores cargas o exigencias.

El reportante debe asegurar que el proceso de revocación sea accesible, claro y sin obstáculos injustificados para el deudor. Asimismo, debe generar internamente registros que respalden esta acción, los cuales deben estar disponibles para consultas por parte del deudor o la Comisión.

Al igual que con el otorgamiento, tan pronto sea revocado el consentimiento, el reportante, o un mandatario de este, debe remitir, y/o entregar directamente, al deudor una notificación de su revocación, la cual indique claramente, al menos, la fecha y hora de tal acto, así como el canal por el cual fue revocado.

El respaldo de la revocación y la copia de la notificación deben ser almacenados en el Sistema de Administración de Consentimientos del reportante.

El consentimiento extendido originado por una obligación reportable vigente no es susceptible de revocación.

7.5. Mecanismos de revocación del consentimiento

Los reportantes deben habilitar canales digitales y/o presenciales, para la presentación de solicitudes de revocación de consentimiento, los cuales deben ser homólogos a los dispuestos para su otorgamiento. En el caso de solicitudes presenciales que no se cursen a través de un medio electrónico, estas deben ser resueltas en un plazo no superior a 1 día hábil; en el caso de solicitudes electrónicas, éstas deben aplicar la revocación de manera inmediata. Tras la revocación del consentimiento, el reportante y sus mandatarios deberán cesar el acceso y eliminar la información proveniente del REDEC de los deudores referidos de manera inmediata, a menos que el reportante se encuentre

habilitado para continuar accediendo a ella conforme a la Ley.

7.6. Sistema de gestión del consentimiento para el deudor

Una vez que el deudor haya otorgado el consentimiento, los reportantes deben mantener individualmente un sistema de gestión del consentimiento con una funcionalidad de acceso al deudor donde pueda conocer, verificar y revocar los consentimientos otorgados. Los sistemas del reportante deben eliminar los datos del deudor cuando este haya revocado el consentimiento, o pierda licitud. Para ello, el sistema de gestión de consentimientos debe permanecer conectado en línea con los sistemas de acceso al REDEC.

Sobre lo anterior, el sistema de gestión del consentimiento debe cumplir con las siguientes características desde la perspectiva del deudor: • Debe ser de acceso gratuito. • Debe tener mecanismos de accesibilidad, seguridad y claridad con interfaces intuitivas y centradas en el deudor. • Debe contar con mecanismos de acreditación de identidad robustos y auditables. • Debe permitir obtener el detalle de cada consentimiento otorgado o revocado por el deudor. El detalle del consentimiento debe incluir, a lo menos, la fecha y hora de otorgamiento del consentimiento, el medio de obtención (electrónico, verbal o escrito) y copia o evidencia del consentimiento otorgado o revocado. • Debe contar con una interfaz fácil de utilizar, esto es, que permita al deudor conocer y revocar los consentimientos de manera simple e intuitiva.

7.7. Sistema de Administración de Consentimientos

Los reportantes deben implementar individualmente un sistema digital o de gestión documental que permita almacenar y gestionar los consentimientos de manera segura, garantizando su fidelidad, trazabilidad y la facilidad de consulta. El sistema debe permitir la generación de informes sobre la vigencia y estatus de los consentimientos, así como el historial de su administración. El sistema debe cumplir, pero no limitarse solo a, las siguientes condiciones: • Contar con un mecanismo de registro que permita preservar, de manera íntegra y por al menos cinco años, contados desde la extinción de la obligación, la pérdida de vigencia o la revocación del consentimiento, según corresponda, los consentimientos otorgados y las revocaciones solicitadas por los deudores, conforme a lo establecido en los numerales 7.1 a 7.5 de esta norma.

• Permitir la visualización de todos los consentimientos que han sido otorgados, revocados o caducados durante los últimos cinco años. • Permitir examinar los documentos y respaldos de revocación del consentimiento y el mecanismo de revocación utilizado. • Contar con un registro de los códigos internos de consentimientos y preservar los consentimientos en los términos y condiciones exigidas en el numeral 7.3 de esta norma. • Permitir el envío de las notificaciones de otorgamiento y/o revocación de los consentimientos al deudor, las cuales deben contener la información señalada en los numerales 7.2 y 7.4 de esta norma.

7.8. Canal de envío de archivos de consentimientos digitalizados a la Comisión

Los requerimientos de consentimientos digitalizados serán comunicados a los reportantes mediante la API2 indicada en el Anexo Técnico de esta norma, la cual es obligatoria para todos los reportantes. En tanto, el envío de los archivos de consentimientos digitalizados que solicite la Comisión se realizará mediante la API3, indicada en el mismo anexo técnico, o a través del portal CMF Supervisa. Lo anterior no limita que la Comisión pueda requerir el envío de documentación o información complementaria a través de cualquier otro medio. Los plazos de respuesta a los requerimientos de consentimientos digitalizados serán consignados en cada solicitud.

7.9. Excepción de los requerimientos asociados a la administración del consentimiento

Los reportantes que, sobre la base de sus modelos de negocio y/o estrategia, decidan no acceder a la información del deudor sujeta a consentimiento deben informarlo anualmente a la Comisión hasta el mes de agosto de cada año, quedando exentos de cumplir los requerimientos de los numerales 7 y 10.1 de la presente norma para el período siguiente. En consecuencia, los reportantes que se acojan a la exención no deberán utilizar el Servicio de Consultas, bajo su propia responsabilidad.

Calidad de la información

8.1. Pruebas de calidad de la información

Los reportantes deben proporcionar información actualizada, exacta y completa a la Comisión. Para cumplir con este propósito, deben realizar pruebas periódicas

y aleatorias de calidad de los datos puestos a disposición de la Comisión. Las pruebas deben realizarse al menos con periodicidad semestral y sus resultados deben ser informados al Directorio de la entidad reportante, o a quien haga sus veces, y quedar disponibles para la revisión de este Organismo, si este así lo requiere.

En caso de detectarse deficiencias, las entidades deben informar la situación en el menor tiempo posible, a través de los canales establecidos por la Comisión y presentar un plan de acción que les permita resolver estas deficiencias. Todo, sin perjuicio del ejercicio de las demás atribuciones que la Ley confiere a este Servicio.

Las pruebas de calidad que realicen los reportantes, sin perjuicio de las exigidas en otras regulaciones, deben contener al menos los siguientes elementos:

• Análisis de comparabilidad: la información de la nómina enviada a la Comisión, así como la información complementaria, debe cumplir con criterios de comparabilidad. Esto implica que la entidad reportante debe verificar que la información enviada a la Comisión es coherente con los registros vigentes en sus otras fuentes de almacenamiento y consulta.

• Análisis de origen de errores: para aquellos casos en que se detecten diferencias entre la información de deudores respecto a otras fuentes de almacenamiento de la entidad o inconsistencias vinculadas con archivos normativos, la institución deberá identificar su origen. Sin perjuicio de lo anterior, en cualquier momento la Comisión puede efectuar pruebas de calidad de la información, para cuya realización las entidades deben poner a disposición de este Organismo los respaldos solicitados para estos efectos, si es que la información periódica solicitada a través del Sistema de Validaciones y Gestión del MSI REDEC no fuera suficiente.

8.2. Comunicación de contingencias y rectificaciones

Sin perjuicio de la exigencia de pruebas periódicas de calidad de la información que trata este numeral, los reportantes deben informar a la Comisión tan pronto tomen conocimiento de su existencia, toda deficiencia en la calidad de la información que se envíe a este Organismo a través del RIO indicado en el numeral 6.2.4 de esta norma, y, de corresponder además, a través de CMF Supervisa, considerando lo siguiente:

• Mecanismos de comunicación ante contingencias: el funcionario responsable o quien le reemplace, tal como se indica en el numeral 6.2.4 de esta norma, es el encargado para los efectos del REDEC de la comunicación entre el reportante y la Comisión. En su labor, la persona responsable debe considerar los plazos de respuesta acorde con la criticidad de la consulta o requerimiento.

• Plazo de rectificación: Los hallazgos identificados por la Comisión sobre deficiencias en la calidad de la información reportada deben ser resueltos en el plazo que esta indique en la solicitud al reportante, el cual no será superior a quince días hábiles bancarios contados desde la fecha de notificación de la resolución; a excepción de los relacionados con la resolución de reclamos del numeral 9 que tienen un plazo de cinco días hábiles bancarios.

Sobre el proceso de solicitudes y reclamación

9.1. Canales de recepción de solicitudes

Los reportantes deben disponer de forma permanente para los deudores, y considerando las condiciones de estos, canales accesibles para la recepción de solicitudes de actualización, rectificación, complementación o cancelación de la información de deuda almacenada en el REDEC, así como los fundamentos que sustentan su solicitud. Estos pueden ser: • Canales digitales: plataformas web o aplicaciones móviles que permitan al deudor presentar y gestionar sus solicitudes. • Canales presenciales: oficinas de atención al cliente donde los deudores puedan presentar solicitudes. • Canales de comunicación indirecta: línea telefónica y/o correo electrónico habilitados para la presentación de solicitudes.

9.2. Procesamiento de solicitudes por parte del reportante

El ejercicio de los derechos de actualización, rectificación, complementación o cancelación que tienen los deudores, asociados a la aplicación del marco legal del REDEC, considera los siguientes hitos o etapas: • Reportante recibe la solicitud por parte del deudor: el reportante debe registrar cada solicitud asignando un número de caso único para su seguimiento. Se debe confirmar la recepción de la solicitud al deudor, indicándole el número de su caso, la fecha de presentación y el plazo estimado para la resolución. El deudor que intente ingresar una solicitud directamente en la Comisión, sin que haya sido previamente ingresada y resuelta por parte del reportante, será derivado al correspondiente reportante, sin mediar ningún tipo de revisión, para que éste inicie el proceso de análisis y resolución descrito en el párrafo siguiente. Lo anterior con el propósito de que los deudores utilicen los canales dispuestos por el reportante para resolver sus solicitudes.

• Reportante analiza y resuelve la solicitud: acorde con la tramitación de la solicitud, el reportante debe realizar el análisis de la información enviada al registro para verificar si es incorrecta, incompleta o desactualizada. Si se verifica que la información es incorrecta, incompleta o desactualizada, el reportante debe corregir los datos enviando un archivo de rectificaciones a la Comisión dentro de cinco días hábiles bancarios, además de notificar al deudor de dicha corrección. La Comisión rectificará los registros en el siguiente periodo de consolidación.
Si el reportante considera que la solicitud es improcedente, debe informar al deudor, indicando las razones por las cuales no procederá a modificar o eliminar los datos del deudor, proporcionando los argumentos y antecedentes que fundamentan el rechazo. Lo anterior también aplica para casos de aceptación parcial de la solicitud, en los cuales el reportante debe remitir la rectificación respectiva del registro del deudor.
Los reportantes deben resolver las solicitudes de los deudores y enviarle su respuesta en un plazo máximo de quince días hábiles bancarios desde la recepción de la solicitud e indicar el número de solicitud y el código de la operación analizada. Para una adecuada gestión de las solicitudes realizadas a los reportantes, éstos deberán mantener un registro actualizado de las solicitudes que incluya al menos: fecha de recepción de la solicitud, número de caso, descripción, estado, resultado del análisis, fecha de resolución y notificación al deudor y medidas correctivas adoptadas, en caso de existir. Las solicitudes deberán contar con un comprobante y/o identificador de respaldo para el deudor que la realiza.

Este registro debe permanecer disponible para la revisión de auditoría y supervisión por parte de la Comisión cuando esta así lo disponga.

Los reportantes deben remitir a este Organismo un informe sobre las solicitudes recibidas y su estado tal como lo dispone el Manual del Sistema de Información REDEC.

9.3. Procesamiento de solicitudes por parte de la Comisión • Deudor recurre ante la Comisión: En caso de rechazo de la solicitud por parte del reportante, el deudor puede recurrir a la Comisión. Para que lo anterior sea admisible, son condiciones necesarias que (1) la solicitud ya haya sido previa y completamente tramitada ante la entidad reportante o que haya transcurrido el plazo legal de quince días hábiles bancarios desde que presentó su solicitud, que (2) el deudor presente antecedentes sobre su caso, que (3) el deudor indique un medio de contacto (correo electrónico o domicilio) para informarle la respuesta de su tramitación. El procedimiento se podrá iniciar a través de los canales habilitados por la CMF. Una vez admitida la solicitud por la Comisión, se inicia su tramitación administrativa. El deudor puede solicitar a este Organismo que, mientras no se

emita una resolución de su caso, la obligación reportable objetada quede suspendida de los registros del REDEC. En tal caso, y habiéndose cumplido las condiciones necesarias establecidas en el párrafo anterior, la Comisión podrá suspender, si así lo estima pertinente, la obligación reportable en los registros del REDEC. Esta suspensión será informada a las partes. • Comisión analiza y resuelve la solicitud del deudor: Para el análisis de la solicitud, la Comisión considerará los antecedentes acompañados por el deudor y podrá requerir al reportante aquellos antecedentes adicionales que estime necesarios. Si los antecedentes disponibles no resultaren suficientes para su adecuada resolución, este Organismo podrá abrir un término probatorio. La Comisión revisará los fundamentos y antecedentes proporcionados por las partes y resolverá fundadamente si corresponde modificar la información registrada por la entidad reportante, notificando dicha decisión a las partes. De corresponder, la Comisión ordenará al reportante las actualizaciones, rectificaciones, complementaciones o cancelaciones resueltas, las que deberán practicarse por este dentro del plazo de cinco días hábiles bancarios contado desde la notificación del acto administrativo que contiene la instrucción respectiva. En caso de que la Comisión determine que no amerita modificación, de igual manera notificará al reportante e informará al deudor. Si la decisión de la Comisión es desfavorable al deudor, quedará sin efecto la suspensión de la obligación reportable, de forma inmediata. En caso contrario, el reportante deberá rectificar la información del deudor en los términos que se resuelva. • Derecho de cancelación ante la Comisión: el derecho de cancelación podrá ejercerse directamente ante la Comisión únicamente cuando concurran copulativamente los siguientes requisitos: que no sea posible determinar al reportante, que hubiera entregado la información almacenada en el REDEC, y que el deudor cuente con antecedentes suficientes, debidamente fundados y suficientes para sostener que no corresponde que la deuda sea informada. La Comisión analizará la solicitud, pudiendo requerir antecedentes adicionales para su resolución. La Comisión comunicará al solicitante si acoge o deniega la solicitud expresando los fundamentos de su decisión. Si procediera la eliminación de la deuda en el REDEC, esta será efectuada por la Comisión en el próximo periodo de actualización del registro.

9.4. Inobservancia del reportante La inobservancia por parte del reportante de su deber de comunicar al deudor y, si procediera actualizar, rectificar, complementar o cancelar la información del deudor en el plazo indicado, ya sea por decisión propia o por resolución de la Comisión, facultará el inicio de un proceso sancionatorio por parte de este organismo acorde con el numeral 11 de esta norma, sin perjuicio del ejercicio de otras medidas o facultades fiscalizadoras que correspondan.

Sobre auditorías y revisión de procedimientos

Los reportantes deben realizar auditorías externas al menos anualmente a los procedimientos que se establezcan en el marco de aplicación del REDEC. Los resultados de estas, así como el plan para cerrar las brechas detectadas, deben ser puestos a disposición del Directorio, o quien haga sus veces, para su aprobación. El informe de auditoría, el plan de cierre de brechas y las actas que den cuenta de la aprobación del informe, deben quedar a disposición de la Comisión para su revisión, cuando esta así lo disponga.

La Comisión puede exigir, en los casos que observe problemas con la información reportada, accesos a la información, seguridad de la información, administración del consentimiento, calidad de la información y resolución de solicitudes, la realización de auditorías externas adicionales, específicas e independientes a costo del reportante para revisar el cumplimiento de los procesos críticos.

Las auditorías externas deben efectuarse por empresas que, de conformidad a la evaluación interna que haya hecho la entidad, cuentan con la idoneidad suficiente para emitir una opinión fundada sobre la materia, considerando un año calendario, y encontrarse disponibles para el examen de la Comisión en el mes de abril del año siguiente.

10.1. Aspectos mínimos sujetos a procedimientos internos

Adicionalmente, los reportantes deben desarrollar procedimientos internos que permitan cumplir las disposiciones contenidas en esta norma, los cuales deben ser revisados anualmente y aprobados por el Directorio de la entidad o quien haga sus veces.

Entre los procedimientos se debe incluir, a lo menos:

• Obligaciones reportables: corresponde a procedimientos para verificar que las obligaciones reportadas cumplan con los criterios de exigibilidad, naturaleza jurídica, y condiciones de extinción o aceleración; para confirmar que solo se reporten las operaciones de crédito, y otras obligaciones establecidas en los requerimientos de información; auditar la frecuencia y precisión de las actualizaciones de información, asegurando que reflejen la situación real de las obligaciones; revisar que la información reportada considere montos amortizados o capitalizados hasta la fecha del reporte; comprobar que las obligaciones se clasifiquen correctamente según su estado; verificar que en caso de aceleración de una obligación, esta se encuentre informada en su respectivo tramo de mora acorde con la fecha de ejercicio de la cláusula de aceleración; revisar que existan procedimientos para corregir errores en la información reportada y que los datos se actualicen en el menor tiempo posible una vez detectados; y asegurar que las rectificaciones se envíen oportunamente a la Comisión y se integren en el siguiente ciclo de consolidación.

• Acceso a la información: corresponde a procedimientos para verificar que el acceso esté limitado a funcionarios específicos y autorizados a consultar el REDEC; revisar los mecanismos de autenticación e identificación, y que los registros de accesos sean trazables; comprobar que el acceso a la información cumpla con el consentimiento previo del deudor o con una base de licitud; y revisar la existencia de documentación de consentimientos, detallando el propósito y el periodo de validez, y verificar que se elimine la información una vez cumplida la finalidad.

• Seguridad de la información: corresponde a procedimientos para verificar el rol del Directorio en la gestión de riesgos asociados al REDEC; revisar el plan de gestión de riesgos, asegurando la inclusión de estrategias de mitigación y planes de contingencia; revisar la aprobación anual del plan por parte del Directorio; verificar las políticas de riesgo operacional, que incluyan control de acceso, uso adecuado de la información, y niveles de apetito por riesgo; y revisar los contratos con mandatarios.

• Administración del consentimiento: corresponde a procedimientos asociados a la gestión y preservación del consentimiento que consideren a lo menos los siguientes aspectos: verificar la obtención del consentimiento; auditar la seguridad, integridad, codificación y accesibilidad del consentimiento; revisar que el consentimiento esté registrado considerando al menos la información establecida en esta norma; evaluar que las solicitudes de consentimiento sean claras y precisas sobre el tipo de información a acceder, la finalidad del acceso, entre otros aspectos; comprobar que la información al público se presente en lenguaje sencillo; revisar que el consentimiento no sea utilizado para fines diferentes a los autorizados; asegurar que no se ejerza influencia indebida en el momento de la recolección del consentimiento; verificar que existan medios accesibles y claros para que los deudores puedan revocar el consentimiento, y que los mecanismos dispuestos para la revocación no impongan al deudor cargas o exigencias superiores a aquellas requeridas para el otorgamiento del consentimiento, debiendo ser, a lo menos, equivalentes u homologables a este; comprobar que las solicitudes físicas de revocación se atiendan en un plazo máximo de un día hábil y que las electrónicas se cursen tan pronto como los sistemas lo permitan; auditar el sistema de gestión del consentimiento; evaluar la conexión del sistema de gestión de consentimientos con los sistemas de acceso al REDEC para evitar accesos tras la revocación; comprobar que el sistema preserve de manera íntegra y trazable los consentimientos y revocaciones por un periodo de al menos cinco años; verificar el cumplimiento y adecuado uso del canal de envío de consentimientos digitalizados a la Comisión; y revisar que el sistema permita visualizar el historial completo de consentimientos otorgados, revocados o caducados durante los últimos cinco años, así como el correspondiente registro de códigos de consentimientos señalado en el numeral 7.3 de esta norma.

• Calidad de la información: corresponde a procedimientos para verificar que se realicen pruebas de calidad de los datos y que sus resultados estén documentados y disponibles para revisión de la Comisión. Tales procedimientos deberán considerar, a lo menos, evaluar los informes de pruebas de calidad para asegurar que incluyen los elementos requeridos; realizar cruces con otros reportes internos o con la información que se remite a la Comisión por algún otro requerimiento normativo; comprobar que se informe a este Organismo sobre cualquier deficiencia de calidad detectada; revisar la existencia y aplicación de planes de acción correctiva, incluyendo la documentación de las acciones tomadas; auditar los procedimientos de comparación de la información enviada a la Comisión con la información interna de la entidad; verificar que la entidad realice análisis detallados sobre las causas de errores cuando existan diferencias en los datos provenientes de distintas fuentes; revisar la designación del funcionario responsable, o quien lo reemplace, de la comunicación con la Comisión, asegurándose de que se cuente con la información de contacto actualizada; considerar las rectificaciones realizadas por los reportantes; y evaluar el cumplimiento de los plazos de respuesta según la criticidad de los requerimientos de la Comisión.

• Resolución de solicitudes: corresponde a procedimientos para comprobar que la entidad cuenta con canales accesibles (digitales, presenciales y/o de comunicación indirecta) para la recepción de solicitudes; verificar el funcionamiento de cada canal y la disponibilidad de opciones para que los deudores presenten sus solicitudes; revisar que cada solicitud recibida esté registrada con un número de caso único; auditar el sistema de seguimiento para asegurar que se realice un control adecuado del estado de cada solicitud; verificar que las solicitudes se resuelvan en un plazo máximo de 15 días hábiles bancarios; comprobar que se realiza un análisis de la información reportada para verificar su precisión; y revisar los procedimientos para corregir datos incorrectos y notificar tanto al deudor como a la Comisión cuando corresponda, así como los casos en los que la solicitud se considere improcedente.

Sobre sanciones por infracciones

En caso de que un reportante o su mandatario incumplan las disposiciones establecidas en la Ley o en esta norma, la Comisión se encontrará facultada para iniciar el correspondiente procedimiento sancionatorio respecto de la entidad reportante infractora. Este procedimiento se llevará a cabo de acuerdo con el Título IV del D.L. N°3.538.

Sin perjuicio de lo anterior, y en atención a lo dispuesto en el artículo 23 de la Ley, a continuación, se señalan de manera referencial, las conductas que podrían constituir infracciones leves, graves y gravísimas.

11.1 Constituyen infracciones leves: • Omitir el envío de la información a la Comisión, según lo dispuesto en la Ley. • Incumplir las instrucciones generales impartidas por la Comisión. • Cualquier otra infracción a los derechos y obligaciones establecidas en la Ley que no esté calificada como grave o gravísima. 11.2 Constituyen infracciones graves: • Tratar información sin el consentimiento del deudor o sin licitud legal. • Utilizar la información con fines distintos de los autorizados. • Impedir u obstaculizar el ejercicio de los derechos de acceso, rectificación, actualización o cancelación del deudor. • Incumplir una resolución o requerimiento de la Comisión.
• Omitir la respuesta, responder tardíamente o denegar la petición sin causa justificada, en los casos de solicitudes fundadas de actualización, rectificación o cancelación de información por parte del deudor. 11.3 Constituyen infracciones gravísimas: • Destinar información maliciosamente a una finalidad distinta de la consentida por el deudor o autorizada por la Ley. • Reportar, comunicar o ceder información falsa, incompleta, inexacta o desactualizada, a sabiendas. • Incumplir una resolución de la Comisión sobre una reclamación de un deudor. Se considerarán circunstancias atenuantes la colaboración en la investigación, la ausencia de sanciones previas, o la autodenuncia junto con la adopción de medidas correctivas y de mitigación. En contrapartida, se considerarán agravantes la reincidencia y el carácter continuado de la infracción.

No obstante, la Comisión podrá indicar al reportante la adopción de medidas tendientes a subsanar las infracciones que dieron motivo a la sanción, las que deberán ser adoptadas en el plazo no mayor a treinta días, según dispone la Ley.

Suspensiones de reportantes

La Comisión, en conformidad con el buen funcionamiento del Sistema, y lo dispuesto en el artículo 19 de la Ley N°21.680, puede suspender el acceso de las entidades reportantes, en caso de no cumplir con las disposiciones establecidas en la Ley o esta norma. La suspensión del acceso al REDEC puede

ser de hasta un año. Con todo, dicha suspensión no eximirá al reportante de seguir cumpliendo con las obligaciones establecidas en el numeral 3 de esta Norma ni de las demás obligaciones imponga la Ley.

La Comisión puede aplicar la suspensión de reportantes cuando se incumplan a las disposiciones legales o normativas.

En línea con lo anterior, en ninguna circunstancia los reportantes deben afectar los activos de información del REDEC. Luego, si un reportante estima que existe un riesgo relevante de afectación de tales activos que requiera la adopción de acciones urgentes, debe tomar medidas que resulten necesarias, incluyendo, en caso de corresponder, la desconexión de sus sistemas. Junto con ello, debe enviar de inmediato, de acuerdo con lo establecido en el numeral 6 de esta norma, un RIO a la Comisión informando las medidas adoptadas con los fundamentos explicativos pertinentes, así como adoptar a la brevedad las acciones correctivas para solucionar la situación que la motivó. Una vez solucionada la situación que motivó las medidas, el reportante podrá dejar sin efecto las medidas adoptadas e informar a la Comisión esta situación.

Respecto de las medidas preventivas adoptadas y sus acciones correctivas, el reportante debe mantener a disposición de la Comisión todos los antecedentes que fundamenten tales decisiones, a fin de que ésta pueda evaluar su pertinencia, oportunidad e idoneidad y, si corresponde, ejercer las acciones necesarias según sus facultades legales.

Base de datos anonimizada

De conformidad con lo dispuesto en el artículo 5 de la Ley, los reportantes pueden acceder a información anonimizada de grupos de deudores, sin necesidad de consentimiento de éstos, sólo para efectos de realizar análisis de datos financieros, de riesgo crediticio u otros.

Se entiende por información anonimizada aquella que es el resultado de un procedimiento irreversible, en virtud del cual, un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona.

Como indica la Ley, la anonimización de datos es un procedimiento irreversible, en virtud del cual, un dato personal no puede vincularse o asociarse a una persona determinada, ni permitir su identificación, por haberse destruido o eliminado el nexo con la información que vincula, asocia o identifica a esa persona.

El procedimiento de que se trata incluye la eliminación de datos directos e indirectos que puedan ser utilizados para tal reidentificación, garantizando así la protección de la privacidad de las personas. La anonimización debe realizarse de

manera que los datos puedan ser utilizados para fines analíticos, de investigación o estadísticos, sin comprometer la privacidad de los deudores. En este contexto, se debe mantener un equilibrio entre la utilidad de los datos y el riesgo de reidentificación, aplicando un enfoque iterativo para seleccionar las técnicas más adecuadas y ajustarlas conforme a los niveles de riesgo tolerables.

La Comisión utiliza diversas técnicas de anonimización para la creación de la base de datos de este numeral, proceso que dependerá de los atributos de los datos y el riesgo de reidentificación que ésta estime.

Implementación de la normativa

Para dar cumplimiento a las disposiciones legales, la Comisión creó y habilitó el REDEC antes del primer día del mes de noviembre de 2025. El registro quedó habilitado para que las instituciones identificadas como reportantes para el año 2026 y que son fiscalizadas por la Comisión informaran desde el primer viernes a partir de su creación.

El resto de las instituciones obligadas a reportar para el año 2026, identificadas en la nómina de reportantes del numeral 3.1 de esta norma, deben reportar a contar de enero de 2026 o marzo de 2026 según consigna el Artículo Segundo Transitorio de la Ley. Sin perjuicio de lo anterior, estas instituciones se encuentran habilitadas para remitir archivos normativos desde noviembre de 2025. Los reportes remitidos antes de la fecha obligatoria contaron con la revisión de la Comisión en su calidad de administrador del REDEC.

Así, para efectos de la primera nómina de reportantes, se incluyeron todas las entidades indicadas en la letra e) del numeral 3.1 que estuvieron continuamente en las nóminas de las ICCM de los años 2023, 2024 y 2025.

Con todo, para lo no contemplado en los dos párrafos anteriores, la Ley comenzó a regir a contar del 1° de abril de 2026. Mismo plazo se consideró para la aplicación de las Normas de Funcionamiento Operativo del Registro de Deuda Consolidada que se introducen en la presente Norma de Carácter General.

Anexo Técnico REDEC Anexo “Servicios de API REDEC” La Comisión dispondrá de tres servicios de API (sigla en inglés para Interfaz de programación de aplicaciones), asociados al acceso de información del REDEC sujeta a consentimiento, para ser utilizados exclusivamente por reportantes, o sus mandatarios, que dispongan de un consentimiento otorgado por un deudor.
A continuación, se entrega información sobre los servicios respectivos, sin perjuicio de antecedentes adicionales que pueda remitir este Organismo: a) API 1: Consulta de información del REDEC de un deudor por consentimiento. Campo Descripción Nombre Servicio ConsultaDeudaXConsentimiento: API de Consultas de Información de REDEC. Propósito Obtener información del REDEC de un deudor que ha otorgado su consentimiento a la institución reportante. Se excluyen los deudores que dispone el archivo RDC10 correspondiente a la institución. Campos por Considerar Provenientes del archivo RDC30

b) API 2: Solicitudes de la Comisión de requerimientos de consentimiento digitalizado
Campo Descripción Nombre Servicio consultaReqConsentimiento: API de Solicitudes de Consentimiento. Propósito Disponer de un canal para solicitudes de la Comisión de consentimientos digitalizados del reportante para los fines ésta defina. Para el cumplimiento de lo anterior, el reportante debe ingresar a esta API para verificar si existen requerimientos nuevos o pendientes, los cuales consignan individualmente sus plazos perentorios de respuesta. Campos por Considerar Código interno del consentimiento.

c) API 3: Envío del reportante de evidencia de consentimiento Campo Descripción Nombre Servicio envioEvidenciaConsentimiento: API de Envío de documentación de Consentimientos. Propósito Poner a disposición del reportante o mandatario un canal para enviar la evidencia del consentimiento digitalizado que la Comisión haya solicitado. Campos por Considerar Código interno del consentimiento. Consentimiento digitalizado en formato PDF 2.0, WAV (Linear16), FLAC o MP3. Tamaño máximo del archivo 4 MB máximo por archivo. Cifrado Todos los canales de comunicación y transmisión de información deben utilizar protocolos de cifrado seguro, con una versión mínima TLS 1.2 o superior. Asimismo, las configuraciones de negociación de cifrado (handshake) deberán estar ajustadas para priorizar y seleccionar siempre el nivel de cifrado (cipher suite) más alto e incondicionalmente seguro que esté disponible entre las partes, deshabilitando explícitamente cualquier mecanismo de degradación (downgrade attacks) o compatibilidad con algoritmos o protocolos declarados obsoletos o vulnerables Autenticación mTLS