AMV - Capítulo 4. Reserva y uso de información confidencial y privilegiada

Última modificación: 2 de agosto de 2022

1

Capítulo 4. Reserva y uso de información confidencial y privilegiadaÚltima modificación: 2 de agosto de 2022

2

Tabla de contenido Introducción: ................................................................................................................ 3

Recomendaciones: ..................................................................................................... 4Última modificación: 2 de agosto de 2022

3

Introducción:

El artículo 40 1 del Reglamento de AMV, en concordancia con el numeral 4 del artículo 7.3.1.1.22 del Decreto 2555 de 2010, establece que los intermediarios del mercado de valores deben adoptar, como parte de su Código de Gobierno Corporativo, políticas y procedimientos para proteger la información que tenga el carácter de confidencial de acuerdo con las normas del mercado de valores.

Lo anterior, tiene como propósito fundamental asegurar el cumplimiento del deber de reserva, el cual, por constituir un pilar fundamental de la confianza en la que se sostiene el mercado, debe ser acatado y observado de manera estricta por los intermediarios y sus PNV. Lo anterior implica que la información que los clientes les entregan en virtud de la relación contractual que los ata, sea manejada de manera cautelosa y solamente con los fines para los que fue confiada3.

Por su parte, el artículo 56 del RAVD establece que los autorregulados en divisas

entregan en virtud de la relación contractual que los ata, sea manejada de manera cautelosa y solamente con los fines para los que fue confiada3.

Por su parte, el artículo 56 del RAVD establece que los autorregulados en divisas deberán abstenerse de dar a conocer a cualquier tercero, dir ectamente o por interpuesta persona, información acerca de una orden, instrucción, oferta de compra o venta que posteriormente tramitará, realizará o registrará en el Sistema de Negociación de Divisas y Registro con acuerdo de autorregulación.

Así mismo, contempla que se debe guardar reserva y confidencialidad sobre las operaciones celebradas con clientes y sus resultados y, en general, sobre la información de carácter confidencial que conozcan en desarrollo de su actividad, que no está a disposición del público y que el cliente no está obligado a revelar.

En este mismo sentido, es importante considerar que la Ley 1581 de 2012, reglamentada parcialmente a través del Decreto 1377 de 2013, regula la protección general de los datos personales y en ella exhorta a las entidades (públicas o privadas) a poner en conocimiento las políticas sobre el tratamiento de la información e incorporar lo pertinente en sus políticas y procesos internos.

1 Reglamento de AMV. Artículo 40. Deber de reserva y confidencialidad. “Salvo las excepciones expresas de las normas vigentes, los sujetos de autorregulación estarán obligados a guardar reserva de las órdenes e instrucciones recibidas de sus clientes, de la s operaciones sobre valores ejecutadas en desarrollo de la relación contractual y sus resultados, así como de cualquier información que de acuerdo con las normas que rigen el mercado de

recibidas de sus clientes, de la s operaciones sobre valores ejecutadas en desarrollo de la relación contractual y sus resultados, así como de cualquier información que de acuerdo con las normas que rigen el mercado de valores, tenga carácter confidencial. Así mismo, tendrán un estricto d eber de confidencialidad acerca de sus clientes y contrapartes en el mercado mostrador y en sistemas de negociación. En desarrollo de lo anterior, los intermediarios de valores deberán adoptar políticas y procedimientos para proteger la información confidencial, los cuales deberán ser incorporados en el código de buen gobierno. Parágrafo. La reserva en ningún caso será oponible al cliente involucrado en la respectiva orden, instrucción u operación”. 2 Decreto 2555 de 2010. Artículo 7.3.1.1.2. Deberes especiales de los intermediarios de valores. “Los intermediarios de valores deberán cumplir con los siguientes deberes especiales: (…) Deber de reserva. Salvo las excepciones expresas de las normas vigentes, los intermediarios de valores, así como sus administra dores, funcionarios y cualquier persona a ellos vinculada, estarán obligados a guardar reserva de las operaciones sobre valores ejecutadas en desarrollo de la relación contractual y sus resultados; así como, cualquier información que, de acuerdo con las normas que rigen el mercado de valores, tenga carácter confidencial. En desarrollo de lo anterior, los intermediarios de valores deberán adoptar procedimientos y mecanismos para proteger la información confidencial de sus clientes, los cuales deberán ser incorporados en el código de buen gobierno. 3 Cfr. Resolución No. 7 del Tribunal Disciplinario emitida el 22 de agosto de 2016.Última modificación: 2 de agosto de 2022

4

Teniendo en cuenta lo anterior, a continuación se presentan alguna s recomendaciones que sirven de referencia a los miembros autorregulados en

4

Teniendo en cuenta lo anterior, a continuación se presentan alguna s recomendaciones que sirven de referencia a los miembros autorregulados en desarrollo de las actividades de intermediación frente al deber de reserva y confidencialidad de la información.

Recomendaciones:

• Se recomienda a la Junta Directiva establecer d entro de las políticas de la entidad, que la vinculación laboral de las PNV no podrá estar sometida a la condición de que ésta traiga consigo bases de datos que contengan la información de los clientes que atendía en otros intermediarios. Lo anterior, de conformidad con los pronunciamientos formulados por el Tribunal Disciplinario de AMV4.

• Igualmente, se recomienda que los intermediarios, teniendo en cuenta su estructura corporativa, establezcan políticas acerca de los protocolos que aplicarán para el retiro de sus PNV, previendo que su deber de confidencialidad se mantendrá aún después de su retiro. Para tal propósito, en algunos mercados es usual que se establezcan cláusulas de no competencia o clausulas “Garden Leave5”, cuyo alcance y pertinencia podrá ser valorado por los intermediarios, en los casos en los que lo consideren adecuado y pertinente de acuerdo con el rol de las PNV, y atendiendo en todo caso la normatividad laboral.

• Se recomienda que en las normas internas del intermediario, se establezca que se considerará como una falta grave, cualquier conducta asociada al uso indebido, extracción o disposición no autorizada de información reservada.

• Se sugiere que los responsables de cada proceso hagan una clasificación de la información de acuerdo con su nivel de sensibilidad para el área de tesorería y

indebido, extracción o disposición no autorizada de información reservada.

• Se sugiere que los responsables de cada proceso hagan una clasificación de la información de acuerdo con su nivel de sensibilidad para el área de tesorería y determinen previamente los funcionarios que puedan tener acceso a la misma.

• Se considera una buena práctica que dentro de la evaluación que se haga de la viabilidad de nuevos productos, se identifiquen los posibles riesgos asociados con el manejo de la información, la forma como se estima que se va a garantizar su protección, integridad, disponibilidad y custodia, así como los sistemas tecnológicos que van a soportar el flujo de información.

• En relación con los mecanismos de control aplicables, se recomienda tener en

cuenta las siguientes medidas:

4 Cfr. Tribunal Disciplinario Sala de Decisión Nº “5” Resolución No. 10 Bogotá, D.C., 25 de mayo de dos mil quince (2015) Número de Investigación: 01-2014-323. 5 En virtud de este tipo de cláusulas un empleado al dejar su empleo se compromete a mantenerse alejado de las actividades inherentes a él, por un período determinado, durante el cual permanece en la nómina.Última modificación: 2 de agosto de 2022

5

• Separación física en algunas funciones que ayudan al control de la información y manejo de un potencial conflicto de interés. En tal virtud, resulta r elevante tener identificado el tipo de información del cliente a la cual tiene acceso cada funcionario de acuerdo con sus funciones y, los posibles conflictos de interés que pueda enfrentar.

• Adoptar cláusulas en los contratos de trabajo o acuerdos de confidencialidad en los que las PNV manifiesten conocer las

con sus funciones y, los posibles conflictos de interés que pueda enfrentar.

• Adoptar cláusulas en los contratos de trabajo o acuerdos de confidencialidad en los que las PNV manifiesten conocer las directrices impartidas sobre la materia y acepten el cumplimiento de las políticas y procedimientos internos del intermediario.

• Documentar y probar los controles establecidos para proteger la información contra amenazas internas o externas, que pudieran causar daños o inconvenientes a la información de los clientes.

Incorporar políticas acerca del acceso por parte de las PNV que participan del desarrollo de actividades de intermediación, a páginas de correos electrónicos personales, blogs, de video conferencia, mensajería instantánea, chats, o redes sociales que permitan transmisión de datos fuera del ámbito de protección del intermediario, sin que sean objeto de grabación o monitoreo por parte del mismo.

• Bloquear los puertos de los equipos de cómputo que permitan la extracción de información, a través de dispositivos USB, como memorias flash, tarjetas de memoria, pendrive o discos duros externos.

• Se considera una buena práctica que los procedimientos del intermediario definan el rol que desempeñará la primera, segunda y tercera línea de defensa del SCI, en relación con las actividades asociadas a la administración de los flujos de información y prevención del uso indebido de información reservada.

Tales actividades deben comprender la vigilancia, monitoreo y auditoria de los procesos manuales y/o automáticos.

• En los casos en que, de acuerdo con lo dispuesto en el artículo 46.4 del Reglamento de AMV y 50 del RAVD, los intermediarios permitan, de manera

procesos manuales y/o automáticos.

• En los casos en que, de acuerdo con lo dispuesto en el artículo 46.4 del Reglamento de AMV y 50 del RAVD, los intermediarios permitan, de manera excepcional y transitoria, el ingreso de clientes o terceros a la mesa de negociación, se debe verificar la existencia y suficiencia de reglas y procedimientos frente a tal situación, orientados a garantizar que, con ocasión de la misma, no se afecte la seguridad y la confidencialidad de la información.

Para tal efecto, se recomienda identificar las responsabilidades que le asistirán a las personas que les corresponda autorizar e interactuar con el tercero que ingrese a la mesa y, prever mecanismos adecuados pa ra documentar las autorizaciones impartidas y los procedimientos de control aplicados.Última modificación: 2 de agosto de 2022

6

• Se recomienda que los intermediarios realicen capacitaciones a sus PNV y demás personal respecto del manejo, tratamiento y seguridad de la información confidencial, así como efectuar un especial énfasis frente a la titularidad y reserva de la información suministrada por los inversionistas dentro del ámbito de la relación comercial con el intermediario.

• Se sugiere que, dentro de las actividades de monit oreo y vigilancia, se incorporen análisis que tengan en consideración los siguientes aspectos:

• Palabras clave incluidas en los correos electrónicos y demás mensajes de datos sujetos a grabación (portafolio, datos de contacto, clientes, operaciones, etc.).

• Tamaño de los archivos, incluir no sólo los de gran medida informática (kilobytes o megabytes) sino aquellos que, 6ún cuando, por su tamaño no generarían una alerta, la recurrencia y el

contacto, clientes, operaciones, etc.).

• Tamaño de los archivos, incluir no sólo los de gran medida informática (kilobytes o megabytes) sino aquellos que, 6ún cuando, por su tamaño no generarían una alerta, la recurrencia y el contenido de la misma, resulten contener los datos de contacto de los clientes.

• Destinatarios de la información, tales como direcciones de correo electrónicos personales.

• PNV que tengan conflicto de roles o responsabilidades por encontrarse cerca unos de otros.

• Intentos de acceso a información restringida o que no corresponda a los clientes asignados a la PNV.

• Situaciones de retiro definitivo o temporal (vacaciones, incapacidades, licencias etc.) de PNV.