Peru acelera pagamentos instantâneos

O Banco Central de Reserva do Peru determinou que todos os bancos do país aceitem transferências imediatas por QR, número de DNI ou celular, dentro do sistema de pagamentos instantâneos. A medida fixa um valor máximo de S/ 30.000 por operação, embora os provedores possam reduzir esse limite por motivos de segurança.

Adequação regulatória para fintechs

A mudança regulatória não se limita aos bancos. O cronograma do BCRP para a regulação de provedores de serviços de pagamento determina que as entidades que precisam de autorização concluam seu processo entre junho e dezembro de 2026, de acordo com seu volume de operações. As que precisam apenas de registro tinham prazo até 30 de junho de 2026. Nesse desenho, mais de 50 fintechs podem acabar sob supervisão do banco central se não concluírem a tempo as exigências de adequação regulatória.

O que exige a Circular 0017-2026

A Circular N.º 0017-2026-BCRP, emitida no contexto da implementação do sistema de pagamentos instantâneos e da regulação de provedores de serviços de diretório de alias de pagamento, exige que as entidades que pedirem autorização apresentem um relatório detalhado de medidas de gestão de riscos, segurança da informação, proteção de dados pessoais e continuidade operacional. Também precisam anexar um plano de implementação, integração e testes, com testes de carga, segurança e continuidade, além de procedimentos específicos de gestão de incidentes, comunicação e reporte ao Banco Central.

A mesma circular estabelece que as entidades que solicitarem autorização como Provedor de Diretório ou Gestor de Diretório devem enviar as informações exigidas ao BCRP pelo Sistema de Interconexão Bancária, SIB-FTP WEB. Além disso, dá ao banco central poder para alterar a via de envio e fixar prazos de adequação para a entrega das informações e para o uso do sistema ou do canal que vier a ser definido.

BaaS e proteção de dados

Em paralelo, uma análise independente sobre o novo regulamento de Banking as a Service no Peru aponta que a Resolução SBS 01747-2026 aciona diretamente a Lei N.º 29733 de Proteção de Dados Pessoais e seu regulamento vigente, o DS N.º 016-2024-JUS. Esse enquadramento obriga os provedores de BaaS a incorporar obrigações específicas de proteção de dados em seu modelo de conformidade, incluindo a designação de um Oficial de Dados Pessoais em empresas grandes ou com tratamento de dados em larga escala, exigência válida a partir de 30 de novembro de 2025.

A mesma análise acrescenta que as Avaliações de Impacto em Proteção de Dados serão necessárias para tratamentos de alto risco, como o scoring de crédito automatizado habilitado por BaaS. Também informa que o regulamento aprovado pela Resolução SBS 01747-2026 entra em vigor 180 dias corridos após sua publicação, em 30 de dezembro de 2026, o que dá às entidades supervisionadas um período de seis meses para ajustar contratos, esquemas de gestão de riscos operacionais e de cibersegurança e políticas de proteção de dados pessoais.