Derechos de datos financieros personales de la CFPB para implementar la Ley Dodd Frank

El 19 de octubre de 2023, la CFPB emitió un Legislación propuesta que, si se promulga en su forma actual, requeriría que las instituciones financieras cubiertas proporcionen a los consumidores y a terceros autorizados acceso y portabilidad de sus datos financieros. La regla propuesta por la CFPB, conocida como regla de «Derechos de datos financieros personales», implementaría la Sección 1033 del Título X de la Ley Dodd-Frank, una ley promulgada recientemente por el Congreso hace más de diez años.

en un aviso publicado que describe la regla propuesta, el director de la CFPB, Rohit Chopra, destacó el objetivo de la CFPB de aumentar la competencia y facilitar la apertura de la economía. «Con las protecciones adecuadas al consumidor, el paso a una banca abierta y descentralizada puede aumentar la competencia, mejorar los productos y servicios financieros y eliminar los costos financieros», afirmó Chopra. «Hoy estamos impulsando una ley que dé a los consumidores el derecho a optar por no recibir malos servicios y elegir instituciones financieras que ofrezcan buenos productos y precios».

Se fueron información organizadaEl director Chopra dijo que la CFPB «busca finalizar la regla para el próximo otoño». También destacó la importancia del proyecto de ley. «Con el tiempo, espero que nuestro trabajo para activar este poder latente, iniciar la competencia y promover la reducción de costos ayude a las familias estadounidenses a poner miles de millones de dólares en sus bolsillos y permitir que los pequeños actores se enfrenten cara a cara con los grandes actores del mercado”, dijo.

Fondo

En la Sección 1033 del Título X de la Ley Dodd-Frank de Reforma de Wall Street y Protección al Consumidor de 2010, el Congreso ordenó a la CFPB que emitiera regulaciones que exigieran a las instituciones financieras cubiertas brindar a los consumidores acceso y control sobre sus datos financieros. ¹ y también ordena a la CFPB que emita regulaciones que establezcan estándares para fomentar el desarrollo y el uso de formatos estándar para compartir datos.²

A partir de la Solicitud de Información de 2016, la CFPB ha tomado varias medidas para desarrollar reglas para implementar la Sección 1033. medidas de protección al consumidor en octubre de 2017; un aviso de legislación en octubre de 2020; y una relación informe del Panel de Revisión de Pequeñas Empresas en abril de 2023.

Con la publicación de su norma propuesta, la CFPB ha dado uno de los últimos pasos en la reglamentación de la sección 1033. La CFPB ahora recopilará comentarios sobre la regla propuesta hasta el 29 de diciembre de 2023 y luego emitirá una regla final para implementar la Sección 1033 en el otoño de 2024, dijo el director Chopra en sus comentarios.

El acto prescrito

La Ley de Libertad de Datos Financieros Personales propuesta por la CFPB otorga a los consumidores el derecho a acceder a sus datos financieros y el derecho a compartirlos con otros, incluidos otros proveedores de servicios financieros. Pero eso no es poca cosa. Y, de hecho, la norma propuesta por la CFPB es bastante estricta.

• Práctica: Proveedores de datos y terceros. La ley propuesta crearía restricciones a los «proveedores de datos» y a los «terceros autorizados». Bajo la exclusión de «depósitos sin una interfaz de cliente», un «proveedor de datos» incluye una «institución financiera» tal como se define ese término en 12 CFR 1005.2(i) (Reg. E); un «emisor de tarjetas» según se define ese término en 12 CFR 1026.2(a)(7) (Reg. Z); y «cualquier otra persona que controle o mantenga información sobre un producto o servicio financiero de consumo cubierto que el consumidor recibió de esa persona». Un «tercero autorizado» incluye cualquier «tercero que cumpla con las condiciones de autorización» especificadas en la regla propuesta.
• Alcance – Artículo o servicio financiero cubierto. La regla propuesta crearía restricciones relacionadas con cualquier «producto o servicio financiero». «Producto o servicio financiero» incluye un «fondo» según se define ese término en 12 CFR 1005.2(b) (Reg. E); cualquier “tarjeta de crédito” según se define ese término en 12 CFR 1026.2(a)(15)(i) (Reg. Z); y un producto o servicio que procesa «pagos desde una cuenta Regulación E o tarjeta de crédito Regulación Z».
• Cobertura – Datos cubiertos. La regla propuesta crearía restricciones relacionadas con los «datos cubiertos». Según ciertas regulaciones, los «datos cubiertos» pueden incluir información de transacciones, saldo de cuenta, información de pago para una cuenta Clase E, términos y condiciones o información de facturación próxima e información sobre verificación financiera básica.
• Acuerdo de proveedor de datos: acceso a datos. En algunos casos, es posible que se requiera que un proveedor de datos proporcione a un agente autenticado, un tercero autorizado o un agregador de datos que actúe en nombre de un tercero autorizado los datos cubiertos más recientemente en la autoridad. Gestión del proveedor de datos para un cliente cubierto. productos o servicios financieros recibidos por el cliente del proveedor de datos. Los datos cubiertos deben presentarse en un «formulario electrónico utilizado por los clientes y terceros autorizados». Y el proveedor de datos no tiene permitido realizar ningún pago o compensación al cliente o a terceros autorizados en relación con cualquier solicitud de acceso a datos.
• Acuerdo de proveedor de datos: interfaz de desarrollador y seguridad de datos. Los proveedores de datos deben crear una «interfaz de desarrollador» a través de la cual reciben y responden a las solicitudes de datos cubiertos, y proteger esa interfaz de desarrollador con un programa de seguridad de la información que cumpla con las leyes aplicables emitidas bajo la Ley Gramm-Leach-Bliley.
• Acuerdo de proveedor de datos: políticas y procedimientos escritos. Se exigiría a un proveedor de datos «establecer y mantener políticas y procedimientos escritos diseñados para abordar las objeciones» de la regla propuesta y «garantizar la retención de registros que demuestren el cumplimiento».
• Responsabilidad de terceros: procesamiento limitado. La recopilación, el uso y la retención de datos cubiertos por parte de terceros autorizados se limitarán a lo que sea «necesario para proporcionar el producto o servicio solicitado por el cliente». La publicidad dirigida, la venta cruzada de otros productos o servicios y las ventas de datos cubiertos no son «parte de ningún producto o servicio ni son apropiadas para él». Y los terceros autorizados deben «limitar la duración de la recopilación de datos cubiertos a un período máximo de un año después de la nueva autorización del cliente».
• Responsabilidad de terceros: seguridad de los datos. Un tercero autorizado debe mantener los sistemas que utiliza para la recopilación, uso y almacenamiento de datos cubiertos con un programa de seguridad de la información que cumpla con las leyes aplicables emitidas de conformidad con la Ley Gramm-Leach-Bliley.
• Participación de terceros: políticas y procedimientos escritos. Los terceros autorizados deben «establecer y mantener políticas y procedimientos escritos diseñados para garantizar que los datos cubiertos se obtengan adecuadamente de un proveedor de datos y se proporcionen adecuadamente a otro tercero», para garantizar que los clientes obtengan lo que necesitan. información y «garantizar el mantenimiento de registros que demuestren el cumplimiento».
• Implementar alimentación. Proveedores de datos más grandes³ pronto estará sujeto a requisitos regulatorios para las pequeñas empresas, mientras que los bancos comunitarios y las cooperativas de crédito serán gratuitos sin una interfaz digital.

Llevatelo

La regla propuesta por la CFPB que implementa la Sección 1033, si se aprueba en su forma actual, aceleraría el movimiento hacia la apertura de bancos y aumentaría la competencia entre varios proveedores de servicios financieros. Pero eso también crearía un sistema legal nuevo y potencialmente gravoso. Los proveedores de servicios financieros cubiertos deben examinar cuidadosamente la regla propuesta, considerar si crea una oportunidad de negocio o un riesgo, y considerar si la tecnología actual y las inversiones regulatorias pueden cumplir con la legislación propuesta.

Las partes interesadas deben enviar comentarios sobre cualquier aspecto de la regla propuesta antes del 29 de diciembre de 2023.

Tessa L. Cierny, JD / Asistente legal, Atlanta, que no participa en la práctica jurídica, también contribuyó a este artículo.