Según comunicó la Superintendencia de Bancos (SB), el 12 de octubre de 2026 entró en vigor la modificación integral del Reglamento de Protección al Usuario de los Productos y Servicios Financieros, aprobada por la Junta Monetaria en su Tercera Resolución del 19 de marzo de 2026. La norma reconoce al usuario como titular de sus datos y vincula su tratamiento al consentimiento informado. Para una entidad supervisada, el impacto se concentra en tres procesos: cómo contrata, cómo hace publicidad y cómo responde reclamos. En los tres, la pregunta es la misma: ¿puedes demostrar lo que ocurrió?
Qué resuelve este artículo
- Saber qué procesos de tu entidad cambian con el nuevo reglamento de protección al usuario.
- Comprobar si una exclusión de publicidad llega a todos tus sistemas y proveedores.
- Preparar respuestas a reclamos sostenidas en evidencia registrada en el momento.
Reglamento de Protección al Usuario de la Superintendencia de Bancos: ¿qué es nuevo?
No es una norma desde cero. Reemplaza de forma integral el reglamento aprobado en 2015, y algunos principios, como la protección especial del usuario en materia de prueba, ya estaban vigentes; la propia resolución explica que se mantuvieron. Entre lo que sí se incorpora o se refuerza figuran el consentimiento informado antes de vender datos a terceros con fines comerciales, un período de reflexión mínimo antes de firmar y la calificación como práctica abusiva de los débitos sin autorización expresa. Lo relevante es el conjunto: cubre de forma explícita los canales digitales y espera respuestas trazables.
Contratación: ¿quién aceptó qué, y cuándo?
El artículo 119 admite la contratación presencial o no presencial, incluida la digital, siempre que se cumplan los requisitos relativos a «la validación de la identidad de los usuarios y el registro del consentimiento». Identidad y consentimiento quedan en la misma frase: conviene diseñarlos juntos, aunque cada uno deje su propio registro, como explicamos en Identificar no es autorizar: una evidencia por cada decisión. A eso se suma el artículo 131: el período de reflexión no puede ser menor a 24 horas desde que se entregan el contrato y sus documentos, aunque el usuario puede renunciar expresamente a agotarlo.
Registrar la autorización, no solo la casilla marcada. Un registro útil indica quién aceptó, qué texto y qué versión se le mostró, por qué canal y en qué momento. Si la identidad de quien aceptó no quedó verificada, el registro pierde valor.
Dejar constancia de los tiempos. Cuándo se entregó el contrato, cuándo se firmó y, si el usuario renunció a la reflexión, cómo lo manifestó.
Ofrecer una alternativa a la biometría. La Circular SB 017/22, del 8 de noviembre de 2022, permite usar datos biométricos para validar la identidad con consentimiento e información sobre la finalidad, y exige un protocolo alternativo cuando el usuario rechaza la captura. El flujo digital necesita esa ruta documentada.
Publicidad: ¿la exclusión llega a todos tus sistemas?
El artículo 114 reconoce al usuario el derecho a rechazar contactos comerciales no deseados, a pedir la exclusión de sus datos de las bases usadas con fines promocionales y a revocar esa exclusión en cualquier momento. Además, el reglamento exige consentimiento previo, informado y expreso antes de vender datos a terceros con fines comerciales.
Separar finalidades. Aceptar el contrato de una cuenta no equivale a aceptar campañas ni la cesión de datos. Cada finalidad necesita su propia decisión y su evidencia.
Propagar la decisión. La exclusión debe llegar al CRM, a las herramientas de campañas, a los centros de contacto y a los proveedores tercerizados. Una exclusión que llega a un sistema y no a otro es un incumplimiento difícil de explicar.
Conservar el historial. Si el usuario se excluye y luego revoca la exclusión, la entidad debe poder mostrar ambas decisiones con su fecha.
Reclamos: ¿tu respuesta se sostiene con evidencia?
Según la SB, las respuestas a las reclamaciones deberán ser fundamentadas y trazables. El artículo 38 obliga a la entidad a presentar las pruebas que correspondan frente a los alegatos del reclamante. En operaciones no autorizadas, el artículo 136 agrega que el usuario no puede ser considerado responsable cuando la entidad no haya podido demostrar inequívocamente su responsabilidad, o cuando el fraude derive de una debilidad en los controles de autenticación imputable a la entidad.
Reunir la evidencia antes del reclamo. Si la identidad, el consentimiento y la autorización de la operación quedan registrados en el momento, la respuesta se arma con datos, no con reconstrucciones. Una autenticación robusta y un registro íntegro ayudan a explicar qué ocurrió, sin reemplazar el análisis de cada caso. Para saber si funciona, puedes seguir el tiempo de respuesta a cada reclamo, la proporción de respuestas sostenidas con registros y el tiempo que tarda una exclusión en aplicarse en todos los canales.
¿Cuánto tiempo hay para adecuarse?
El reglamento rige desde su publicación. Según el artículo 141, una entidad que necesite tiempo para disposiciones específicas puede pedir a la SB un plazo de adecuación justificado y con plan, que no superará un año desde la publicación; esa autorización no suspende el resto de las obligaciones. La SB, además, debe emitir un instructivo de aplicación. El alcance concreto para cada entidad debe revisarse con sus equipos legales y de cumplimiento.
Cómo lo abordamos
En Autentikar nos concentramos en dos piezas de estos procesos: la verificación de identidad con prueba de vida, para saber quién contrata o confirma una operación, y la gestión de consentimientos, para registrar cada decisión por finalidad y versión, incluidas las exclusiones y sus revocaciones. Así, la entidad puede responder con datos qué se aceptó, quién lo hizo y cuándo.
Contratación, publicidad y reclamos: tres procesos que conviene revisar con la evidencia en la mano.
Autentikar — Ecosistema de identidad digital y consentimiento
