Perú acelera pagos instantáneos y supervisión fintech

El Banco Central de Reserva del Perú dispuso que todos los bancos del país acepten transferencias inmediatas mediante QR, número de DNI o celular, en el marco del sistema de pagos instantáneos. La medida fija un monto máximo de S/ 30.000 por operación, aunque los proveedores pueden reducir ese límite por motivos de seguridad.

Adecuación regulatoria para fintech

El cambio regulatorio no se limita a los bancos. El cronograma del BCRP para la regulación de proveedores de servicios de pago establece que las entidades que requieren autorización deben culminar su proceso entre জুনio y diciembre de 2026, de acuerdo con su volumen de operaciones. Las que solo necesitan registrarse tenían plazo hasta el 30 de junio de 2026. Según ese esquema, más de 50 fintech podrían quedar bajo supervisión del banco central si no completan a tiempo sus exigencias de adecuación regulatoria.

Qué pide la Circular 0017-2026

La Circular N.º 0017-2026-BCRP, emitida en el marco de la implementación del sistema de pagos instantáneos y la regulación de proveedores de servicios de directorio de alias de pago, exige a las entidades que soliciten autorización presentar un informe detallado de medidas de gestión de riesgos, seguridad de la información, protección de datos personales y continuidad operativa. También deben adjuntar un plan de implementación, integración y pruebas que incluya pruebas de carga, seguridad y continuidad, además de procedimientos específicos de gestión de incidentes, comunicación y reporte al Banco Central.

La misma circular establece que las entidades que soliciten autorización como Proveedor de Directorio o Gestor de Directorio deberán remitir la información requerida al BCRP mediante el Sistema de Interconexión Bancaria, SIB-FTP WEB. Además, faculta al banco central a modificar la vía de envío y a fijar plazos de adecuación para la entrega de información y el uso del sistema o del canal que se determine.

BaaS y protección de datos

En paralelo, un análisis independiente sobre el nuevo Reglamento de Banking as a Service en Perú señala que la Resolución SBS 01747-2026 activa de manera directa la Ley N.º 29733 de Protección de Datos Personales y su reglamento vigente, el DS N.º 016-2024-JUS. Ese encuadre obliga a los proveedores BaaS a incorporar obligaciones específicas de protección de datos en su modelo de cumplimiento, incluyendo la designación de un Oficial de Datos Personales en empresas grandes o con tratamiento de datos a gran escala, exigible desde el 30 de noviembre de 2025.

El mismo análisis añade que las Evaluaciones de Impacto en Protección de Datos serán necesarias para tratamientos de alto riesgo, como el scoring crediticio automatizado habilitado por BaaS. También indica que el reglamento aprobado por la Resolución SBS 01747-2026 entrará en vigor 180 días calendario después de su publicación, el 30 de diciembre de 2026, lo que deja a las entidades supervisadas un período de seis meses para adaptar contratos, esquemas de gestión de riesgos operacionales y de ciberseguridad, y políticas de protección de datos personales.