La Ley Fintec es la Ley 21.521 de Chile, publicada el 4 de enero de 2023. Regula servicios financieros basados en tecnología y crea el Sistema de Finanzas Abiertas: bancos y emisores de tarjetas compartirán datos de clientes con proveedores inscritos en la CMF, solo con autorización previa y explícita (artículo 23). Desde el 1 de diciembre de 2026 se suma la Ley 21.719.
Lo esencial en 30 segundos
- La Ley Fintec es la Ley 21.521, publicada en el Diario Oficial el 4 de enero de 2023; su título III crea el Sistema de Finanzas Abiertas.
- Los datos de identificación, productos y transacciones del cliente solo podrán comunicarse con su autorización previa, explícita y específica (artículos 17 y 23).
- La norma de la CMF (NCG 514, modificada por la NCG 569) entrará en vigencia en julio de 2027 y limita cada consentimiento a 36 meses.
- Desde el 1 de diciembre de 2026, bancos y fintech deberán cumplir además la Ley 21.719: información, seguridad, reporte de brechas, contratos con encargados y derechos ARSOP.
- Una brecha con datos financieros puede obligar a avisar a la CMF y, cuando exista un riesgo razonable para los titulares, a la Agencia y a cada cliente afectado.
Quien busca «ley fintec» encuentra normas de varios países. La que rige en Chile es la Ley 21.521, con dos focos: registrar y fiscalizar a los prestadores de servicios fintec, y crear un Sistema de Finanzas Abiertas en el que los datos de los clientes dejan de estar encerrados en su banco. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Este artículo analiza el segundo foco desde la protección de datos: quién participa, qué datos circulan, cómo funciona la autorización del cliente y qué cambia con la Ley 21.719. Las leyes y las normas de la Comisión para el Mercado Financiero citadas se revisaron el 21 de octubre de 2026.
¿Qué es la Ley Fintec y qué es el Sistema de Finanzas Abiertas?
La Ley Fintec es la Ley 21.521, publicada en el Diario Oficial el 4 de enero de 2023. Su título II regula servicios como el financiamiento colectivo, la asesoría crediticia y de inversión y la custodia de instrumentos financieros (artículo 2). Entre sus principios está el «adecuado resguardo de los datos tratados» (artículo 1), y la Comisión para el Mercado Financiero (CMF) no puede eximir a nadie de las obligaciones que la ley establece en materia de datos personales (artículo 4).
El Sistema de Finanzas Abiertas, conocido como open finance, está en el título III (artículos 16 a 27). Permite el intercambio de información de clientes financieros «que hayan consentido expresamente en ello», mediante interfaces de acceso remoto y automatizado, y obliga a los participantes a observar el principio de «seguridad y privacidad de los datos» (artículo 16).
Todavía no rige: el título III empieza a regir con la normativa de la CMF (artículo primero transitorio). La CMF dictó la Norma de Carácter General (NCG) N° 514 el 3 de julio de 2024, y la NCG N° 569, de 1 de junio de 2026, fijó su entrada en vigencia 36 meses después de esa primera dictación: julio de 2027. Desde ahí, los bancos y emisores de tarjetas tendrán 9 meses para las interfaces con datos de clientes personas naturales y 12 para personas jurídicas; las demás instituciones obligadas, entre 20 y 30 meses.
¿Quiénes participan y qué datos personales circulan?
El artículo 17 distingue cuatro roles; la tabla agrega un quinto actor que la ley no regula como participante, el proveedor tecnológico. La última columna es una orientación: el rol se analiza tratamiento por tratamiento.
| Rol en la Ley Fintec | Quién | Qué hace con los datos | Posición habitual en la Ley 21.719 |
|---|---|---|---|
| Institución proveedora de información | Bancos y emisores de tarjetas. La ley ordena a la CMF extender la obligación a cooperativas, aseguradoras, corredoras de bolsa, cajas de compensación y otras entidades (artículo 18). | Entrega los datos que le pide un proveedor inscrito. | Responsable. Entregar datos a otro responsable es una cesión (artículo 2 letra v). |
| Proveedor de servicios basados en información | Entidades inscritas voluntariamente en un registro público de la CMF (artículo 19). | Recibe datos para prestar un servicio al cliente. | Responsable de lo que recibe, como cesionario (artículo 15). |
| Institución proveedora de cuentas | La institución donde el cliente tiene su cuenta (artículo 20). | Ejecuta las órdenes de pago que le transmite el iniciador. | Responsable. |
| Proveedor de servicios de iniciación de pagos | Entidades inscritas en un registro público de la CMF (artículo 20). | Instruye pagos a nombre del cliente, sin usar su información para otros fines. | Responsable, limitado a la finalidad del pago. |
| Proveedor tecnológico | Nube o plataforma que contrate un participante. La NCG 514 permite externalizar. | Trata datos por cuenta de un participante. | Encargado (artículo 15 bis). |
La primera de las seis categorías del artículo 17, sobre términos y condiciones y canales de atención, no contiene datos personales. Las principales son la identificación y registro de los clientes «y sus representantes» (N° 2), las condiciones contratadas y el historial de transacciones de cuentas, tarjetas, créditos, seguros e inversiones (N° 3) y los datos para iniciar pagos (N° 5); también pueden contenerlos las comunicaciones de la portabilidad financiera (N° 4) y los datos que agregue la CMF (N° 6). La ley admite hasta cinco años de historial; la NCG 514, modificada por la NCG 569, lo acota a 24 meses.
Los datos de un cliente persona jurídica no son datos personales, pero sí lo son los de sus representantes y apoderados (artículo 2 letras f y ñ de la Ley 21.719). Y el artículo 22 de la Ley Fintec ordena considerar, al fijar las medidas de seguridad, «la calidad de dato sensible» de la información: desde el 1 de diciembre de 2026, la ley de datos calificará expresamente como sensibles los que revelen la «situación socioeconómica» de una persona (artículo 2 letra g).
¿Cómo funciona la autorización del cliente en el Sistema de Finanzas Abiertas?
El artículo 23 de la Ley Fintec es la regla central. El proveedor debe autenticar al cliente y obtener su «consentimiento previo y explícito» por medios electrónicos seguros. Para consultar información, el consentimiento debe manifestarse «en forma libre, informada, expresa y específica en cuanto al tipo de información financiera, la finalidad y el periodo máximo de validez de esa autorización», e identificar al proveedor. El cliente puede revocarlo en cualquier momento.
El banco debe entregar la información aunque no tenga contrato con el proveedor, pero solo si este cuenta con el consentimiento del cliente (artículo 19), y esa entrega no viola su deber de reserva o secreto (artículo 24). El detalle está en la sección III.D de la NCG 514, reemplazada por la NCG 569:
- Duración máxima de 36 meses, aunque el contrato dure más; 90 días para un pago único programado.
- Sin presiones de diseño: nada de opciones marcadas por defecto, descuentos a cambio del consentimiento ni servicios condicionados a él, salvo que sea inviable prestarlos sin ese consentimiento.
- Finalidad ligada a un servicio: la norma advierte que «no es una finalidad legítima en el marco del SFA la mera cesión de datos sin que esta se encuentre vinculada a la prestación de un servicio».
- Prueba en soporte duradero del consentimiento y de las circunstancias en que se otorgó.
- Panel de control de consentimientos, gratuito y remoto, en bancos y proveedores, para ver y revocar cada autorización, con un registro de las interacciones que se conserva al menos cinco años.
- El banco no puede entorpecer: no puede alterar la solicitud del proveedor ni pedir un consentimiento adicional para el mismo intercambio.
| Requisito | Ley Fintec (art. 23) y NCG 514 modificada por la NCG 569 | Ley 21.719 (arts. 2 letra p y 12) |
|---|---|---|
| Calidades | Previo, explícito, libre, informado, expreso y específico. | Libre, específico, inequívoco, informado y previo. |
| Específico en | Tipo de información, finalidad y plazo de validez. Identifica al proveedor. | La finalidad o finalidades del tratamiento. |
| Duración | Hasta 36 meses (NCG 514). | Sin plazo fijo. Los datos se conservan solo mientras sean necesarios para los fines (art. 3 letra c). |
| Revocación | En cualquier momento. El proveedor ya no puede usar ni almacenar esos datos (arts. 23 y 24). | En cualquier momento, sin expresión de causa y sin efecto retroactivo (art. 12). |
| Condicionamiento | Prohibido, salvo que el servicio sea inviable sin el consentimiento (NCG 514). | Se presume no libre si se recaba al ejecutar un contrato o prestar un servicio en que esa recolección no es necesaria, salvo que el consentimiento sea la única contraprestación (art. 12). |
| Prueba | Soporte duradero y panel de control (NCG 514). | Corresponde al responsable probar que contó con el consentimiento (art. 12). |
La columna de la Ley 21.719 regirá desde el 1 de diciembre de 2026; la de la Ley Fintec y la NCG 514, desde que la norma de la CMF entre en vigencia en julio de 2027. Como el Sistema empezará a operar después de la ley de datos, conviene diseñar el flujo desde ya para cumplir ambas. Hasta el 30 de noviembre de 2026 rige la Ley 19.628 original.
¿Qué cambia con la Ley 21.719 desde el 1 de diciembre de 2026?
La Ley Fintec no desplaza a la ley de datos: sus artículos 24 y 27 dejan a salvo la Ley 19.628, que la Ley 21.719 reescribe con vigencia el 1 de diciembre de 2026 (artículo primero transitorio). Un proyecto de prórroga en primer trámite en el Senado propone el 1 de diciembre de 2027; es un proyecto, no una ley. Con las fechas legales actuales, la nueva ley de datos regirá antes que la norma de la CMF y sumará estos deberes:
- Base de licitud y finalidad. En el Sistema, la base es la autorización del cliente: la información de identificación, productos y transacciones «sólo podrá ser comunicada» con ella (artículo 17). La causal del artículo 13 letra a) cubre otra cosa: los datos sobre obligaciones de carácter económico, financiero, bancario o comercial que se tratan conforme al Título III de la ley de datos, que regula la información sobre su cumplimiento o incumplimiento. Los datos recibidos solo podrán usarse para los propósitos consentidos, sin perjuicio de otra base de licitud (NCG 514, sección IV.D letra e); la Ley 21.719 admitirá un fin distinto solo si es compatible con el original, si lo justifica un contrato con el titular, si este consiente de nuevo o si lo dispone la ley (artículo 3 letra b). Ver bases de licitud y consentimiento.
- Cesión documentada. Si un banco entrega datos a un proveedor que los usará para su propio servicio, hay una cesión entre responsables, que deberá constar por escrito o por un medio electrónico idóneo (artículo 15). El registro que exige el artículo 21 de la Ley Fintec (requirente, motivo y propósito, tipo de datos y fecha) cubre buena parte de eso. Ver cesión de datos personales.
- Deber de información. La política de privacidad deberá indicar los destinatarios, la base de licitud, el plazo de conservación y el derecho a retirar el consentimiento (artículo 14 ter letras d, i y k).
- Evaluación de impacto. Se requerirá siempre, antes de iniciar el tratamiento, ante una evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento o decisiones automatizadas, como la elaboración de perfiles, que produzca efectos jurídicos significativos en los titulares, y ante un tratamiento masivo de datos o a gran escala (artículo 15 ter letras a y b). Conviene revisarla en todo servicio de evaluación crediticia que use datos del Sistema.
- Inhabilidad. Quien haya cometido infracciones gravísimas y reiteradas a las normas de datos personales en un período de veinticuatro meses no podrá inscribirse como proveedor (artículos 19 y 20 de la Ley Fintec). El catálogo provisorio del artículo noveno transitorio rige «sólo mientras la ley N° 19.628 no defina un catálogo»; desde el 1 de diciembre de 2026, la Ley 21.719 lo definirá en el artículo 34 quáter, que recoge esas ocho conductas casi textualmente y agrega tres.
¿Qué exige la ley ante una brecha y con los proveedores tecnológicos?
La Ley Fintec exige cumplir los estándares de seguridad y ciberseguridad que fije la CMF (artículo 22) y hace a cada participante responsable de la confidencialidad y privacidad de los datos (artículo 24). Desde el 1 de diciembre de 2026, la Ley 21.719 exigirá además medidas proporcionales al riesgo, como la seudonimización y el cifrado, y, ante un incidente de seguridad y en caso de controversia judicial o administrativa, la carga de acreditar que esas medidas existían y funcionaban (artículo 14 quinquies). Ver medidas de seguridad.
Ante una brecha, los avisos se sumarán:
- A la CMF, sin dilaciones (artículo 22). La NCG 514 fija un máximo de 30 minutos desde que la entidad toma conocimiento.
- Al cliente, a la CMF y a la institución que entregó los datos, si un proveedor detecta vulnerabilidades que ponen en riesgo la información; además debe cortar el acceso (artículo 24).
- A la Agencia de Protección de Datos Personales, desde el 1 de diciembre de 2026 y sin dilaciones indebidas, cuando exista un riesgo razonable para los derechos y libertades de los titulares (artículo 14 sexies).
- A cada titular, cuando esa vulneración afecte datos relativos a obligaciones de carácter económico, financiero, bancario o comercial (artículo 14 sexies).
Omitir esa comunicación será infracción grave (artículo 34 ter letra k); omitirla en forma deliberada, gravísima (artículo 34 quáter letra f).
Con los proveedores tecnológicos, la NCG 514 permite externalizar si se evalúan los riesgos de sustitución, intervención, subcontratación y concentración. La Ley 21.719 pedirá además un contrato con el objeto del encargo, su duración, la finalidad, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes; prohibirá al encargado delegar sin una autorización específica y por escrito del responsable y lo obligará a reportar las vulneraciones al responsable (artículo 15 bis).
¿Cómo se ejercen los derechos ARSOP y la portabilidad en las finanzas abiertas?
Por cuerda separada. La NCG 514 dice que el funcionamiento del Sistema «resultará independiente» del ejercicio de los derechos de protección de datos, aunque exige procedimientos para canalizarlos. Revocar una autorización en el panel corta el flujo y obliga al proveedor a dejar de usar y almacenar los datos obtenidos con ella (artículo 24 de la Ley Fintec). Pero no es una solicitud de supresión: no alcanza a los datos que el banco mantiene por su relación con el cliente, y para eso el cliente debe ejercer su derecho de supresión (artículo 7), que tiene sus propias causales.
Desde el 1 de diciembre de 2026, cada participante deberá responder las solicitudes de acceso, rectificación, supresión, oposición y portabilidad en 30 días corridos, prorrogables una vez (artículo 11); hoy, con la Ley 19.628 original, el plazo es de dos días hábiles. Una rectificación deberá comunicarse a quienes recibieron los datos, salvo que sea imposible o exija un esfuerzo desproporcionado (artículo 6), y la Ley Fintec obliga además a atender las consultas y reclamos sobre los datos intercambiados (artículo 24). Ver cómo responder los derechos ARSOP.
Conviene precisar la palabra portabilidad. El derecho del artículo 9 de la Ley 21.719 cubrirá los datos que el titular «haya facilitado al responsable», si el tratamiento es automatizado y se basa en su consentimiento. El Sistema abarca más datos, como el historial de transacciones, pero solo entre participantes del Sistema. Y la portabilidad financiera de la Ley 21.236 es otro procedimiento, que usará las interfaces del Sistema (artículo 17 N° 4 de la Ley Fintec).
¿Qué debe preparar una entidad financiera o fintech?
Conviene trabajar en paralelo: la ley de datos y la CMF tienen fechas distintas.
- Definir el rol en cada flujo: proveedor de información, proveedor de servicios, iniciador de pagos o encargado. Una misma entidad puede tener más de uno.
- Inventariar los datos del artículo 17 que entregará o recibirá. Quien pida inscribirse como proveedor de servicios basados en información deberá presentar a la CMF un modelo de registro de actividades de tratamiento, con los fines, los plazos de conservación y la base de licitud de cada actividad.
- Diseñar un consentimiento que cumpla ambas leyes, con revocación simple y prueba conservada.
- Actualizar la política de privacidad con el contenido del artículo 14 ter.
- Unificar el protocolo de brechas para avisar a la CMF, a la Agencia y a los clientes.
- Revisar los contratos con proveedores tecnológicos y el procedimiento para responder derechos.
Si tu entidad es un banco, un emisor de tarjetas, una cooperativa, una aseguradora o una fintech, en la Ley 21.719 en banca y servicios financieros está lo que dejamos funcionando. Para el panorama general, revisa el resumen de la Ley 21.719 y la guía sobre la ley de protección de datos personales en Chile.
¿Tu entidad participará en el Sistema de Finanzas Abiertas?
En un diagnóstico de 30 minutos para bancos, emisores, cooperativas, aseguradoras, corredoras y fintech revisamos qué rol tendrás en el Sistema, cómo encajan tus flujos de consentimiento con la Ley 21.719 y qué te falta en seguridad, brechas y contratos antes de las fechas de la ley y de la CMF.
Solicitar diagnósticoPreguntas frecuentes
¿Qué es la Ley Fintec en Chile?
Es la Ley 21.521, publicada en el Diario Oficial el 4 de enero de 2023. Regula servicios financieros basados en tecnología, como el financiamiento colectivo y la asesoría crediticia, y crea el Sistema de Finanzas Abiertas en su título III. La fiscaliza la Comisión para el Mercado Financiero (CMF).
¿Ley Fintec y ley fintech son lo mismo?
En Chile, sí: el nombre oficial es Ley Fintec y corresponde a la Ley 21.521. Su artículo 3 define Fintec como las actividades que usan la innovación y los desarrollos tecnológicos para diseñar, ofrecer y prestar productos y servicios financieros.
¿Qué es el Sistema de Finanzas Abiertas?
Es el sistema de open finance creado por el título III de la Ley 21.521. Permite que bancos, emisores de tarjetas y otras instituciones compartan datos de los clientes que lo autoricen con proveedores inscritos en la CMF, mediante interfaces de acceso remoto y automatizado (artículo 16). También permite iniciar pagos a nombre del cliente (artículo 20).
¿Quiénes están obligados a participar en el Sistema de Finanzas Abiertas?
Los bancos y los emisores de tarjetas de crédito y de pago con provisión de fondos (artículo 18 de la Ley 21.521). La misma norma ordena a la CMF extender la obligación a cooperativas de ahorro y crédito, compañías de seguros, corredoras de bolsa, cajas de compensación y otras entidades fiscalizadas. Los proveedores de servicios basados en información participan de forma voluntaria, inscribiéndose en un registro de la CMF.
¿Puede mi banco compartir mis datos sin mi consentimiento en las finanzas abiertas?
No. En el Sistema de Finanzas Abiertas, la información de identificación, productos y transacciones «sólo podrá ser comunicada» con la autorización del cliente (artículo 17 de la Ley 21.521). Esa autorización debe ser previa y explícita, y especificar el tipo de información, la finalidad y el plazo (artículo 23).
¿Cuánto dura el consentimiento en el Sistema de Finanzas Abiertas?
Lo que fije cada autorización, con un máximo de 36 meses aunque el contrato dure más, según la NCG 514 de la CMF modificada por la NCG 569, que entrará en vigencia en julio de 2027. Para un pago único programado, el máximo será de 90 días. El cliente podrá revocarlo antes, en cualquier momento (artículo 23 de la Ley 21.521).
¿Cuándo empieza a funcionar el Sistema de Finanzas Abiertas?
La NCG 514 de la CMF entrará en vigencia en julio de 2027, 36 meses después de su primera dictación del 3 de julio de 2024, según la modificación de la NCG 569 de 1 de junio de 2026. Desde ahí, los bancos y emisores de tarjetas tendrán entre 5 y 18 meses según el tipo de interfaz, y las demás instituciones obligadas, entre 20 y 30 meses. Plazos revisados al 21 de octubre de 2026.
¿La Ley 21.719 se aplica al Sistema de Finanzas Abiertas?
Sí. Los artículos 24 y 27 de la Ley Fintec dejan a salvo la Ley 19.628, que la Ley 21.719 reescribe desde el 1 de diciembre de 2026. Las entidades deberán cumplir ambas: el consentimiento del artículo 23 de la Ley Fintec y los deberes de información, seguridad, reporte de brechas y derechos ARSOP de la ley de datos.
¿Qué pasa si hay una brecha de datos en el Sistema de Finanzas Abiertas?
La entidad deberá reportarla a la CMF sin dilaciones (artículo 22 de la Ley Fintec); la NCG 514, que entrará en vigencia en julio de 2027, fija un máximo de 30 minutos. Desde el 1 de diciembre de 2026, si existe un riesgo razonable para los titulares, también deberá reportarla a la Agencia de Protección de Datos Personales y, si afecta datos sensibles o datos relativos a obligaciones de carácter económico, financiero, bancario o comercial, comunicarla a cada cliente afectado (artículo 14 sexies de la Ley 21.719).
¿La portabilidad financiera es lo mismo que la portabilidad de datos?
No. La portabilidad financiera está regulada en la Ley 21.236 y usará las interfaces del Sistema de Finanzas Abiertas para las comunicaciones entre proveedores. La portabilidad de datos será, desde el 1 de diciembre de 2026, un derecho del artículo 9 de la Ley 21.719: recibir una copia estructurada de los datos facilitados al responsable, cuando el tratamiento es automatizado y se basa en el consentimiento.
Fuentes oficiales
- Ley 21.521, Ley Fintec — Biblioteca del Congreso Nacional
- Ley 19.628 consolidada con las modificaciones de la Ley 21.719 (vigente desde el 1 de diciembre de 2026)
- Ley 21.719 — texto publicado, con sus disposiciones transitorias, Biblioteca del Congreso Nacional
- CMF, Norma de Carácter General N° 514, que regula el Sistema de Finanzas Abiertas (3 de julio de 2024)
- CMF, Norma de Carácter General N° 569, que modifica la NCG 514 e incorpora el Anexo N° 3 (1 de junio de 2026)
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.