Nueva normativa de la CMF. Entra en operación en julio de 2027.
Sistema de Finanzas Abiertas
Ley 21.521 y NCG 514 de la CMF
Desde julio de 2027, bancos, emisores de tarjetas, aseguradoras y administradoras de fondos deberán compartir los datos de sus clientes. Solo con su consentimiento expreso, y cada consentimiento tiene que poder demostrarse.
Sin compromiso • Respuesta en 48 horasQué es el SFA
Lo crea el Título III de la Ley 21.521 (Ley Fintec, 4 de enero de 2023) y lo regulan la NCG 514 (3 de julio de 2024) y la NCG 569 (1 de junio de 2026), que fijó los estándares técnicos.
Los datos siguen siendo del cliente. Lo que cambia es quién puede pedirlos.
Qué información entra al sistema
Art. 17, Ley 21.521Términos y condiciones
Condiciones de productos y canales de atención. Es pública y va primero.
Identificación y registro
Datos de identificación de clientes y sus representantes.
Productos y transacciones
Condiciones contratadas e historial de transacciones.
Portabilidad financiera
Comunicaciones para la portabilidad de la Ley 21.236.
Iniciación de pagos
Datos para ordenar transferencias a terceros.
Otros datos
Otra información financiera, con autorización del cliente.
Cuatro roles, dos formas de entrar
- IPIObligatoria
Instituciones Proveedoras de Información
Bancos, emisores de tarjetas y otras instituciones que fiscaliza la CMF: cooperativas, aseguradoras, administradoras de fondos y cajas de compensación, entre otras.
Inscripción: Nómina IPI
- IPCObligatoria
Instituciones Proveedoras de Cuentas
Bancos, cooperativas y emisores de prepago con cuentas desde las que se puede pagar.
Inscripción: Nómina IPC
- PSBIVoluntaria
Proveedores de Servicios Basados en Información
Usan los datos del cliente para darle un servicio: evaluación crediticia, comparadores, finanzas personales.
Inscripción: Registro PSBI
- PSIPVoluntaria
Proveedores de Servicios de Iniciación de Pagos
Ordenan transferencias desde la cuenta del cliente, a su nombre.
Inscripción: Registro PSIP
Una institución puede tener varios roles: un banco es IPI e IPC, y también puede ser PSBI.
Línea de tiempo del SFA
- ene 2023Ley 21.521 (Ley Fintec)
Publicada el 4 de enero. Crea el Sistema de Finanzas Abiertas.
- jul 2024NCG 514
La norma del SFA, publicada el 3 de julio, sin anexo técnico.
- jun 2026NCG 569
Anexo Técnico N°3, consentimiento más estricto y nueva fecha: julio de 2027.
- sept 2026En cursoSandbox ATENA y Directorio
ATENA, el sandbox de la CMF y el BID, abre el 30 de septiembre para probar integraciones.
Esto es lo que deberías estar haciendo hoy
- 4T 2026Anexo N°4
Pendiente: costos del sistema.
- jul 2027Entrada en operación
Parte el calendario gradual, con un piloto de 60 días por API.
- dic 2027Primeras APIs del Grupo 1
Bancos y emisores publican términos, condiciones y canales.
- 2028 a ene 2029Grupo 1 completo
Datos de clientes, transacciones e iniciación de pagos.
- mar 2029 a ene 2030Grupo 2
Cooperativas, aseguradoras, administradoras de fondos y cajas.
Diseñado para los participantes del SFA
Bancos y emisores de tarjetas
Primeros en el calendario y con más consentimientos que administrar.
Cooperativas, cajas y aseguradoras
Mismas exigencias, más plazo y opción de participación simplificada.
Fintech y PSBI
Cada consulta necesita un consentimiento vigente y ligado a un servicio. La IPI no puede cobrarles por los datos (art. 25), salvo los costos que regule la CMF.
Áreas que lideran la implementaciónLegalCumplimientoRiesgoTecnologíaProducto digital
Sin consentimiento no hay acceso
Libre, informado, expreso y específico
Por canales digitales seguros y en soporte duradero que pruebe cómo y cuándo se dio.
Cinco cosas a la vista
Qué datos, a qué institución, para qué servicio, por cuánto tiempo y con qué finalidad.
Una finalidad legítima
Un propósito específico, ligado a un servicio. Los datos pedidos deben corresponder a él.
Vigencia máxima
36 meses, o 90 días para pagos únicos programados. Después, consentimiento nuevo.
Panel de control
Gratis, para ver y revocar. Si el cliente no entra en un año, hay que recordárselo.
Revocar corta y borra
Quien recibió los datos corta el acceso y los borra. El cambio se ve en todos los paneles; si parte en la IPI o IPC, esta avisa en 5 minutos.
Cinco años de evidencia
Accesos y estado de cada consentimiento, disponibles para la CMF.
El consentimiento, paso a paso
Soyio registra cada paso con fecha, hora, medio y estado, listo para la CMF.
En el SFA, el consentimiento es la única llave. Y la CMF va a pedir verla.
Obligaciones de los participantes
- Sección I · Perímetro
Inscribirse y mantener el Directorio al día
Inscripción ante la CMF con certificaciones y pruebas funcionales. Roles, APIs y certificados al día en el Directorio de Participantes.
- Secciones II y III · Funcionamiento y seguridad
Operar por API bajo FAPI 2.0
Las APIs son el único canal, con niveles de servicio, monitoreo y contingencia. Seguridad FAPI 2.0 (OAuth 2.0 y OpenID Connect, con PAR y mTLS).
- Secciones III y IV · Seguridad e información
Administrar el consentimiento y su evidencia
Otorgamiento, panel, revocación con borrado y reportes a la CMF. Registro de eventos de API por 5 años.
Quién fiscaliza y qué arriesgas
La CMF fiscaliza a todos los participantes, también a los PSBI y PSIP que hoy no están regulados. Si el cliente es una persona natural, aplica además la Ley 21.719.
- CensuraSin multa
Amonestación formal en el historial ante la CMF.
- MultaHasta 100.000 UF
O el 30% de la operación irregular, o el doble del beneficio. Hasta cinco veces con reincidencia.
- Salida del sistemaRevocación o cancelación
Revocación de autorizaciones o salida del registro por incumplir los requisitos.
Montos del DL 3.538 (arts. 36 y 37), según los elevó la Ley 21.314.
Dos leyes, dos autoridades
| Aspecto | Ley 21.521 y NCG 514 | Ley 21.719 |
|---|---|---|
| Qué regula | Quién participa, cómo se conecta, qué se comparte y cómo se consiente. | El tratamiento de datos personales, incluidos los financieros. |
| Quién fiscaliza | La CMF. | La Agencia de Protección de Datos Personales, con multas de hasta 20.000 UTM. |
| Consentimiento | Finalidad, vigencia máxima y panel de control. | Base de licitud, finalidad y derechos ARSOPB. |
Un mismo consentimiento tiene que servir ante la CMF y ante la Agencia.
¿Qué diferencia a una organización preparada para el SFA?
| Aspecto | Gestión tradicional | Con Soyio |
|---|---|---|
| Consentimiento | Checkbox o PDF sin vínculo a un servicio ni a una finalidad | Cada consentimiento ligado al servicio, los datos, la institución y el período autorizados |
| Vigencia | Nadie controla los plazos máximos ni las renovaciones | Vencimiento y renovación con registro de la nueva autenticación |
| Revocación | Correo al call center y corte manual del acceso | Revocación desde el panel, corte inmediato y orden de borrado a los sistemas que recibieron los datos |
| Evidencia | Dispersa entre el core, el CRM y el correo | Registro firmado con fecha, hora, medio y estado de cada consentimiento, conservado 5 años |
| Dos leyes | Un proceso para la CMF y otro para la Agencia | Un registro que acredita finalidad y base de licitud ante ambas |
| Auditoría | Reactiva, cuando llega el oficio | En tiempo real, por titular, fecha, institución o estado |
Soyio es la capa de consentimiento del SFA
Tu equipo construye las APIs. Soyio resuelve el consentimiento que las habilita, su evidencia y su revocación, con el mismo registro que usas para la Ley 21.719 y REDEC.
Los cinco elementos que exige la norma, en lenguaje claro y con alerta de vencimiento.
Ver documentaciónCentro de privacidad para ver y revocar, con el aviso anual de inactividad.
Ver documentaciónCorta el acceso y pide el borrado a quien recibió los datos, con constancia.
Ver documentaciónSello de tiempo y hash en cada evento, conservado 5 años y exportable.
Ver documentaciónLos reportes de gestión de consentimientos que suma la NCG 569.
Ver documentación
Acceso a información financieraRequeridoLo que vas a compartir
- Datos
- Cuentas, saldos y movimientos
- Institución
- Tu banco
- Servicio
- Evaluación de crédito
- Período
- 12 meses
- Finalidad
- Evaluación crediticia
Validación de identidad al enrolar
Si entras como PSBI o PSIP, verifica quién es la persona antes de pedirle el consentimiento.
Estamos 100% alineados y adecuados para la Ley de Protección de Datos 21.719.
Preguntas frecuentes sobre el SFA
Estas son las dudas más comunes sobre el sistema. Si tienes otra, conversemos.
REDEC (Ley 21.680 y NCG 540) es un registro de deuda que administra la CMF: las entidades reportan y consultan ahí. El SFA (Ley 21.521 y NCG 514) es intercambio directo de datos entre participantes, por API y sin pasar por un registro central. Los dos exigen consentimiento previo y trazable, y los dos los fiscaliza la CMF.
Sí, si es banco, emisor de tarjetas de crédito o de pago con provisión de fondos, o una de las instituciones fiscalizadas que la CMF determine: cooperativas de ahorro y crédito, compañías de seguros, administradoras de fondos y cajas de compensación, entre otras. Si quiere ser parte del sistema para ofrecer un servicio con datos de clientes de otras instituciones, entra por registro voluntario como PSBI o PSIP.
El sistema entra en operación en julio de 2027. Los bancos y emisores exponen sus primeras APIs 5 meses después y completan el resto en un plazo de hasta 18 meses. Cooperativas, aseguradoras, administradoras de fondos y cajas tienen entre 20 y 30 meses desde esa fecha.
No. Los datos de personas naturales que circulan por el SFA son datos personales. La CMF fiscaliza el sistema; la Agencia de Protección de Datos Personales fiscaliza el tratamiento. El consentimiento tiene que cumplir las dos normas. Revisa qué exige la Ley 21.719.
En ATENA, el sandbox tecnológico que la CMF lanzó el 30 de septiembre de 2026 con el BID. Permite probar integraciones, credenciales y la conexión con el Directorio de Participantes antes de operar en producción.
El SFA entra en operación en julio de 2027. El consentimiento tiene que estar listo antes.
Revisa con nuestro equipo cómo llegar al SFA con el consentimiento resuelto y evidencia válida ante la CMF y la Agencia.
Suscríbete al newsletter
La privacidad está siendo noticia
Resumen de las últimas noticias de la semana sobre privacidad, regulación y tecnología que pueden impactar tu negocio.
Suscribirme (LinkedIn, se abre en una pestaña nueva)