CNBV sobre Buró de Crédito: sin acuse de recibo
La CNBV es la autoridad de supervisión de los agentes del sistema financiero en México. La CNBV es una autoridad ausente para el ciudadano común. Se tardó en alertar al público sobre la filtración de datos ocurrida en Buró de Crédito que luego fueron vendidos en redes sociales, reduciendo el tiempo de los ciudadanos para tomar acciones en la defensa de su patrimonio moral y económico. Enfrentamos una violación al secreto bancario, un riesgo enorme para las personas afectadas y un peligro para su integridad física. ¿Y la CNBV? En el limbo.
La CNBV llegó tarde y sin respuestas para los ciudadanos. Difundió su primer posicionamiento sobre el asunto el miércoles 22 de febrero. Tuvo el gracioso detalle de dejar un correo electrónico de la Vicepresidencia Técnica “para cualquier precisión sobre este tema” ([email protected]). ¿Y qué creen? Nadie responde los mensajes enviados a ese correo… ni siquiera un acuse de recibo.
No sorprende. La CNBV sabía desde el 19 de diciembre de 2022 del robo y venta ilegal de datos personales y financieros en posesión de Buró de Crédito. No hizo nada para comunicar por su cuenta o exigir a Buró de Crédito que alertara a las personas afectadas para que tomaran medidas de remediación y protección. Se filtró y vendió información que identifica y hace identificable —y secuestrable— a una persona física. En el mejor de los casos, información útil para las molestas llamadas telefónicas de servicios y promociones no deseadas. En el peor… ¿un crédito a tu nombre que no solicitaste? ¿Suplantación de identidad? ¿Extorsión? Agrega aquí tu lista de miedos como habitante de México.
La CNBV tampoco obligó a Buró de Crédito a notificar a los afectados de manera urgente, sin dilación, como exige el régimen de protección de datos personales. Dejó que la empresa informara el 2 de febrero, mes y medio después de avisarle a la propia CNBV. Las sociedades de información crediticia como Buró de Crédito y Círculo de Crédito están exentas de la vigilancia del Inai, la agencia de privacidad de México, por un diseño institucional que creó un vacío en la protección de un derecho humano a favor de las corporaciones privadas. El Inai está impedido de actuar.
Buró de Crédito es una empresa de las transnacionales TransUnion y Dun & Bradstreet, especializadas en análisis de riesgos financieros y gestión de historial crediticio. Su labor es indispensable en el sistema financiero porque permite a los proveedores de crédito conocer la calidad deudora de los clientes potenciales.
Para hacer eso necesita un régimen legal que obligue a bancos, financiadoras y otros prestamistas a informarle sobre el hábito de las personas para pagar sus deudas. Buró de Crédito tiene información de todas las personas que alguna vez han contratado un crédito para comprar casa, auto, para manejar una tarjeta de crédito.
Cuenta con nombres de personas físicas, RFC, teléfonos, domicilios particulares y laborales, relación de créditos financieros, relación de pagos y adeudos y calificaciones (score crediticio), entre otros datos personales.
La base de datos robada data de 2016, de acuerdo con la información difundida por Buró de Crédito. Para la CNBV “no se puede descartar que la vulneración” haya ocurrido en un periodo posterior al notificado por la empresa. Al parecer no fue un “hackeo”, sino una vulneración producida desde adentro de Buró.
¿Cuántas personas fueron afectadas? ¿Cómo pueden recibir ayuda de la CNBV? ¿Cuáles pueden ser las consecuencias legales contra los responsables de la filtración?
No lo sabemos. La CNBV no responde los mensajes enviados a su gracioso correo de “precisiones”. La CNBV que preside el jurista y tratadista Jesús de la Fuente Rodríguez, cuasi Fundador del Derecho Financiero de México, está acostumbrada a hablar sólo con su escritorio y no con la ciudadanía.
Tampoco tiene experiencia en protección de sistemas informáticos. Lo advirtió la Auditoría Superior de la Federación (ASF) esta semana: la CNBV se encuentra en riesgo de hackeo, porque carece de controles de ciberseguridad robustos. Vaya, hasta le falta actualizar su política de accesos y contraseñas.
Te invito a escribir a [email protected] y a que me cuentes qué te responden. Yo no tuve suerte.