El 15 de septiembre de 2026, la CMF dio a conocer el texto final de las disposiciones destinadas a robustecer el modelo de gestión de autorizaciones para las entidades que informan al REDEC. El texto definitivo se oficializó luego de dos instancias de consulta pública. La inicial, llevada a cabo desde el 2 de noviembre hasta el 23 de diciembre de 2025, concentró sobre 200 observaciones provenientes de 22 instituciones. Posteriormente, el segundo proceso participativo transcurrió entre el 22 de mayo y el 15 de junio de 2026, registrando 167 aportes distribuidos en 19 organizaciones (ref: CMF).
En el artículo anterior explicamos qué es REDEC y quiénes deben reportar. En este vamos a profundizar en cómo se usa REDEC en una evaluación crediticia.
Para cumplir REDEC debemos resolver 3 grandes tópicos:
- Administración del consentimiento
- Envío y recepción de informes normativos
- Gestión de solicitudes de derechos del deudor (ARCC)
En los siguientes párrafos entraremos en detalle sobre el primero de estos temas, agárrate que se viene gordo.
Administración del consentimiento
Referencia: Norma de Carácter General N° 576 en el numeral 7; Sobre la Administración del Consentimiento.
La administración del consentimiento se debe incorporar al ciclo de vida del producto crediticio que por lo general se compone de las siguientes etapas:
- Simulación: entrega de escenarios posibles con valor cuota, interés y plazos del crédito.
- Evaluación: se le pide a la persona antecedentes que validen su carga financiera (básicamente conocer su renta y su deuda). Culmina con aceptar/rechazar la solicitud.
- Curse: se transfiere el dinero a la cuenta del cliente.
- Operación: pago mes a mes del crédito de acuerdo a lo pactado. Si la persona no paga, entra en "mora", y por lo general se activan las áreas de cobranza.
a. Término: puede ser porque se cumplieron todas las cuotas o bien por pago anticipado.
Conforme a este ciclo propuesto, REDEC opera desde la evaluación (etapa 2) hasta el término (etapa 4) y se extiende hasta por 5 años más en términos de reportar (la operación crediticia y el consentimiento).
En la simulación (etapa 1), si tratas datos personales (nombre, celular, email, etc.), debes pedir el consentimiento de la persona para dar cumplimiento a la normativa de protección de datos personales.
En la evaluación (etapa 2), es donde podrías beneficiarte de REDEC, que entrega la información de deuda que tiene una persona sobre todas las instituciones reportantes que venden crédito. Si la persona no es tu cliente, entonces la forma de acceder a su deuda consolidada es vía API y como requisito debes pedir su consentimiento. Este se nombra en la normativa como "consentimiento expreso".
Veamos el mecanismo que exige la norma cuando la persona te da su consentimiento:
- Digitalizar el consentimiento; generar archivo PDF o audio.
- Notificar a la persona del otorgamiento del consentimiento.
- Conservar copia de esa notificación.
Entonces, para una evaluación crediticia se debe ajustar el proceso para incluir la solicitud del consentimiento del posible deudor.
En el diagrama se muestra cómo un deudor podría iniciar un proceso de evaluación crediticia ya sea una experiencia 100% digital (un sitio web, un aplicativo mobile, etc.) o bien entrando en contacto con un ejecutivo (remoto o presencial).
El consentimiento que se pide al deudor debe contener cierta información sobre la evaluación crediticia para poder después utilizar la API de deuda (API 1) y adicionalmente reportarla en el informe RDC30. Este punto es importante, porque nos obliga a pensar en cómo debemos intervenir los sistemas que interactúan para relacionar la solicitud de un consentimiento con la evaluación crediticia. En particular presta mucha atención a los siguientes campos definidos en el informe RDC30, porque te obliga a conocerlos en el momento en que el deudor da el consentimiento:
¿Cómo pedir consentimiento REDEC?
Separaremos los casos en auto atendido y con un ejecutivo.
(1) En el caso auto atendido, la persona realiza el flujo 100% sola, por lo general interactúa sólo con medios digitales.
Pedir el consentimiento en este caso se transforma en un cambio en el desarrollo tecnológico actual, añadiendo las interacciones adicionales que permiten almacenar el consentimiento REDEC. Un ejemplo de cómo podría verse está presente en la siguiente imagen.
(2) En el caso de atención con ejecutivo, pueden existir múltiples interacciones ejecutivo-deudor por diferentes medios (interfaz web, correo, WhatsApp, llamada, videollamada, atención presencial, etc.). El factor común en este caso es que los ejecutivos por lo general cuentan con un sistema interno de gestión de solicitudes de crédito.
Este caso tiene más variantes a considerar para pedir el consentimiento al deudor, revisemos algunas alternativas:
(1) Escrito. El deudor firma un documento y el ejecutivo lo sube al sistema interno. Se puede dar tanto en una atención presencial como una remota.
(2) Verbal. El deudor da su consentimiento por medio de su voz al ejecutivo. Para la evidencia, se puede grabar la interacción donde el deudor escucha o lee el texto del consentimiento y afirma estar de acuerdo. Luego el ejecutivo sube la grabación al sistema interno.
(3) Electrónico. El deudor da su consentimiento por un medio digital. Si bien la atención se acompaña con un ejecutivo, el deudor de alguna forma llega a una web (interfaz digital) para dar su consentimiento. Alternativas para lograr que el deudor ingrese a una web son variadas, el gran desafío consiste en que deben ocurrir al menos 3 cosas:
- Quien ingrese a esa web sea el mismo deudor.
- Que está siendo atendido por el mismo ejecutivo.
- Que el consentimiento sea para la solicitud de crédito en particular.
Este camino debe ir acompañado de una evaluación de riesgos tecnológicos + DPIA
Vamos con algunas recomendaciones finales para esta primera parte donde se debe pedir al deudor un consentimiento REDEC:
- Verificación de identidad: al menos añadir 2 factores de validación de identidad previo a presentar el consentimiento.
- Centralizar la solución para pedir consentimiento. Distintos flujos pueden beneficiarse de la construcción de una solución que unifique la experiencia, mitigue el riesgo de suplantación de identidad, y sobre todo se garantice la trazabilidad necesaria que exige la normativa.
- Desde el inicio buscar la forma de relacionar los sistemas; una solicitud de evaluación crediticia, un consentimiento y una operación crediticia. La relación es decreciente, tal como un embudo de ventas; N° simulaciones > N° de solicitudes de evaluación crediticia = N° de consentimientos > N° operaciones crediticias. Esto quiere decir que al menos se debería contar con la misma cantidad de consentimientos que de solicitudes de evaluación crediticia.
Supongamos que ya tienes el consentimiento, entonces tienes el permiso para consultar la API de deuda REDEC de la CMF.
Hay varias opciones que se pueden dar:
- Tras notificar el consentimiento a la persona (posible deudor) hacer la consulta inmediatamente a la API. Este caso es bastante común si tu producto de crédito es 100% digital.
- Hacer la consulta de deuda a las horas o días siguientes.
- Hacer varias consultas a la API de deuda. Compatible con (1) y (2).
Cualquiera sea el caso, luego de consultar la API de deuda, debes registrar la fecha, hora, el ID de consentimiento utilizado en la consulta y por último el RUT del mandatario*, dado que estos registros forman parte del reporte RDC31 que debes enviar a la CMF.
Todos estos casos son posibles (legales), siempre y cuando se cumplan las siguientes condiciones:
- El consentimiento está vigente al momento de consultar la API. El consentimiento podría estar no vigente por 2 motivos:
- El consentimiento tiene una duración de 15 días hábiles. Al cumplir esa duración, queda inválido.
- La persona puede revocar su consentimiento en cualquier momento (y debes disponibilizar un portal para que la persona lo pueda hacer).
- La evaluación crediticia es la misma.
- Si cambian las condiciones de evaluación crediticia, se debe considerar un nuevo consentimiento.
- Los datos de deuda son usados sólo para la finalidad del consentimiento.
- Infracciones graves según el art. 21 letra a de la Ley 21.680: utilizar los datos para un propósito distinto al autorizado originalmente. Sanción de hasta 5.000 UTM, la cual podría triplicarse si existe reincidencia.
- Los datos de deuda una vez se usan para la evaluación crediticia (es decir, como organización ya tienen un veredicto sobre si se le otorga o rechaza el crédito) se deben ELIMINAR.
- Faltas gravísimas bajo el art. 22 letra a de la Ley 21.680: desviar de mala fe el uso de la información hacia otros fines.
- Penalización máxima de 10.000 UTM (multiplicable por tres en reiteraciones); además, se clasifica como delito económico de primera categoría en la Ley 21.595, con penas privativas de libertad en sus grados mínimo a medio.
La siguiente tabla ayuda a resumir algunos escenarios de cumplimiento y sanciones:
Integración a la API de deuda: el desafío es previo a realizar la consulta a la API de deuda, verificar que el consentimiento para la solicitud y el titular está vigente, la integración en sí no es más que una petición HTTPS con mTLS. Revisa la documentación oficial aquí.
Resultado de la evaluación crediticia (etapa 3)
Hay varios estados posibles sobre una solicitud, para simplificar pensemos en 2 estados: se rechaza o se aprueba. Si la solicitud de crédito se rechaza, entonces el consentimiento debe quedar inválido dado que se cumplió la finalidad del tratamiento y adicionalmente se debe eliminar la data de deuda en caso de que la hayas almacenado.
Si la solicitud de crédito la apruebas, el consentimiento utilizado para la evaluación pasa a estar "extendido", eso significa que es válido mientras el crédito exista. Adicionalmente la solicitud se convierte en una operación crediticia y podrás acceder al informe RDC10 donde viene la deuda de tu cliente actualizada a la semana. De alguna forma pierde sentido consultar la API de deuda en este caso.
Finalmente, cuando por algún motivo la operación crediticia se cierra (se paga la totalidad del crédito), inmediatamente el consentimiento deja de estar vigente y pasa a estar "expirado" o "caduco". Debes mantener ese registro hasta por 5 años más y posteriormente puedes hacer la eliminación física del registro.
La siguiente tabla relaciona los ciclos de vida del producto crediticio y el consentimiento REDEC:
Documentación CMF sobre REDEC
