SFC - Captura de datos. Conversión y conservación de documentos Concepto No. 2008033395-003 del 16 de julio de 2008 id2008033395

CAPTURA DE DATOS, CONVERSIÓN Y CONSERVACIÓN DE DOCUMENTOS Concepto 2008033395-003 del 16 de julio de 2008.

Síntesis: La Superintendencia Financiera no ha definido la expresión ‘red de captura de datos’. Requisitos que deberá cumplir como mínimo la entidad financiera que contrate a un tercero para que realice la captura y/o procesamiento de datos del contratante y/o de sus clientes. Requisitos para que la administración de la información y de la documentación por parte de las entidades vigiladas por esta Superintendencia pueda efectuarse de manera interna o a través de un tercero especializado. «(…) me refiero a su comunicación (…)1, mediante la cual solicita información relacionada con el concepto de “red de captura de datos”. A continuación nos permitimos absolver sus inquietudes, en el mismo orden en que las mismas fueron planteadas: 1.- Qué entiende la Superintendencia Financiera de Colombia por el concepto de: red de captura de datos?: La Superintendencia Financiera no ha definido la expresión por usted indicada. Sin embargo, tal como lo manifestamos (…), a título meramente informativo, dicho término puede enmarcarse dentro de los contextos allí expresados, a saber: • Captura de información a través de mecanismos electrónicos • Aplicativos espías que se instalan en un computador sin autorización del dueño, con el fin de capturar información confidencial • Sistemas de telefonía móvil • Herramientas de monitoreo de redes que realizan rastreo y registro de los datos que transitan por la red. 2.- Existe alguna definición legal, jurisprudencial o doctrinal sobre el concepto de “red

de captura de datos” a la cual se haya acogido la Superintendencia Financiera: Sírvase remitirse a la respuesta anterior. 3.- ¿Qué antecedentes conoce la Superintendencia Financiera sobre este negocio y en que (sic) calidad conoce estos temas la Superintendencia Financiera?: (i) De conformidad con lo expresado en su comunicación (…), antes mencionada, el “negocio” al que usted alude se enfocaría en ofrecer soluciones para efectuar captura de datos y conversión de documentos (formato papel) a archivos electrónicos, para posteriormente exportarlos hacia manejadores de bases de datos y/u otras aplicaciones informáticas. (ii) La calidad en la que esta Superintendencia puede conocer del tema en comento, se deriva de lo dispuesto por el artículo 96 del Estatuto Orgánico del Sistema Financiero, de conformidad con el cual, los libros y papeles de las instituciones vigiladas por esta Superintendencia “deberán conservarse por un periodo no menor de cinco (5) años, desde la fecha del respectivo asiento, sin 1 Dando alcance a su consulta de fecha 19 de mayo de 2008. perjuicio de los términos establecidos en normas especiales. Vencido este lapso, podrán ser destruidos siempre que, por cualquier medio técnico adecuado, se garantice su reproducción exacta.” (iii) En este orden de ideas, la administración de la información y de la documentación por parte de las entidades vigiladas por esta Superintendencia puede efectuarse de manera interna o a través de un tercero especializado, siempre y cuando se cumplan los requisitos antes aludidos, así como los que se indican a continuación.

4.- Qué legislación existe respecto de este tema, en lo que le atañe a la Superintendencia Financiera? Como lo expusimos anteriormente, esta Superintendencia no ha desarrollado una legislación específica sobre el tema que usted plantea. No obstante, a título meramente informativo, nos permitimos mencionar las normas que encontramos aplicables al ejercicio de esta actividad de apoyo a la operación de las entidades vigiladas: 4.1.- Circular Externa 041 de 2007: La actividad descrita implica tercerizar una función propia de la entidad, con los riesgos operativos que se derivan de ello y por lo tanto, debe observarse esta disposición, que regula la materia y se encuentra disponible en la siguiente dirección electrónica: http://www.superfinanciera.gov.co/NormativaFinanciera/Archivos/ance041_0 7.doc 4.2.- Circular Externa 052 de 2007: Resulta aplicable en cuanto se refiere a la contratación que efectúen las entidades vigiladas por esta Superintendencia de outsourcing o terceros que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes. En este orden de ideas, y para el evento propuesto en su consulta, la entidad financiera que contrate a un tercero para que éste realice la captura y/o procesamiento de datos del contratante y/o de sus clientes, deberá cumplir, como mínimo, los siguientes requerimientos2: • Definir los criterios y procedimientos a partir de los cuales se seleccionará el tercero y el servicio que será atendido por él. • Incluir en el contrato que se celebre con el tercero o en aquellos que se prorroguen a partir de la entrada en vigencia de la norma, por lo menos, los siguientes aspectos:

a) Niveles de servicio y operación. b) Acuerdos de confidencialidad sobre la información manejada y sobre las actividades desarrolladas. c) Propiedad de la información. d) Restricciones sobre el software empleado. e) Normas de seguridad informática y física a ser aplicadas. 2 Según el numeral 3.2. de la norma en comento.- f) Procedimientos a seguir cuando se encuentre evidencia de alteración o manipulación de equipos o información. g) Procedimientos y controles para la entrega de la información manejada y la destrucción de la misma por parte del tercero una vez finalizado el servicio. • Exigir que el tercero contratado disponga de planes de contingencia y continuidad debidamente documentados. La entidad deberá verificar que los planes, en lo que corresponden a los servicios convenidos, funcionen en las condiciones esperadas. • Establecer procedimientos que permitan identificar físicamente, de manera inequívoca, a los funcionarios de los terceros contratados. • Implementar mecanismos de cifrado fuerte para el envío y recepción de información confidencial con el tercero contratado. La norma en comento se encuentra disponible, para su referencia, en la siguiente dirección electrónica: http://www.superfinanciera.gov.co/NormativaFinanciera/Archivos/ce052_07.r tf (…).»