Los desafíos jurídicos, regulatorios y de ciberseguridad que involucra la compra de Círculo de Crédito por Equifax

Más allá de un hito comercial de significativa envergadura, la adquisición del 100 % de Círculo de Crédito por parte de la multinacional estadounidense Equifax plantea varios desafíos jurídicos para los reguladores y el sector financiero de México, con implicaciones que abarcan materias que van del derecho corporativo a la ciberseguridad, pasando por la regulación financiera, la competencia económica e incluso la geopolítica.

Su importancia radica en el activo estratégico manejado por la empresa objeto de la compra: más de 80 millones de historiales crediticios, una cartera superior a los 1.700 clientes y más de 2.000 millones de referencias de crédito. Por ello, no se trata solo de la compraventa de un negocio rentable, sino de la apropiación de una plataforma de información clave sobre la construcción de relaciones comerciales con socios de negocios estratégicos.

Con foco en tiendas departamentales y fintechs, la compra de Círculo de Crédito genera interrogantes sobre la utilización de los datos por parte de una compañía extranjera. Especialistas consultados aseguran, no obstante, que más allá de la nacionalidad del comprador, resulta más relevante analizar las condiciones de competencia que tendrá el mercado una vez ejecutada la transacción, así como la confidencialidad y la seguridad de la información.

¿Ley AVE redefinirá los criptoactivos y el comercio transfronterizo en México?

Entrar a México, el quid de la cuestión

La compra de la sociedad de información crediticia (SIC) constituye el movimiento más reciente  ejecutado este año por las grandes empresas estadounidenses del área, que desde hace años han querido tomar el control de un jugoso mercado con un gran potencial por explotar.

En marzo pasado, los bancos BBVA, Banorte, Santander, HSBC y Scotiabank concretaron la venta del total de sus participaciones en TransUnion México, marca manejada bajo la denominación comercial Buró de Crédito. La compradora fue la también estadounidense TransUnion, que elevó su participación al 94 % en la mayor empresa privada mexicana del área.

La venta correspondió al segmento de clientes particulares, excluyendo las participaciones de los bancos en Dun & Bradstreet, la firma de Buró de Crédito enfocada en el análisis crediticio del sector empresarial -personas morales y personas físicas con actividad empresarial.

Nearshoring, escala y acceso a financiamiento aceleran la consolidación de las FIBRAs en México

Un activo estratégico

A la espera de las autorizaciones correspondientes para concretar el traspaso de propiedad, la venta de Círculo de Crédito esconde un negocio más allá de lo aparente. Aparte de los activos tangibles, los analistas esgrimen que la importancia de esta operación radica en la cantidad y la calidad de la información recopilada. Círculo de Crédito se ha posicionado como un actor clave en la gestión de datos alternativos, información no contenida en los reportes tradicionales y de suma importancia.

Para Gustavo Alcocer, socio de la firma OLIVARES, el valor estratégico reside en la infraestructura construida bajo un marco regulatorio especializado.

"Círculo de Crédito no es valioso únicamente por el volumen de información que administra, sino también por haber construido durante muchos años infraestructura para recopilar, validar, administrar, actualizar y proporcionar información crediticia dentro de un marco regulatorio específico", asegura.

Por ser una sociedad de información crediticia (SIC) sujeta a una ley específica —la Ley para Regular las Sociedades de Información Crediticia (LRSIC)—, la operación recae sobre el control de una sociedad mexicana que ya opera como SIC autorizada.

"Equifax no tendrá que incurrir en ninguna nueva solicitud de autorización para operar", agrega.

Por su parte, Elsa Guadalupe Hernández, socia directora de Hernández Castillo Asesores Empresariales, recuerda que los datos alternativos representan un valor de suma importancia por tratarse de información no incluida en los reportes de crédito tradicionales, entre ellos las transacciones de plataformas digitales y la economía colaborativa.

“Lo anterior es fundamental para un país en el que gran parte de su población no está bancarizada”, apunta.

Arbitraje en México: la apuesta de empresas y despachos para blindar sus contratos ante la reforma judicial

Ciberseguridad y soberanía de los datos

El control que ejercerán dos de las mayores empresas mundiales del sector sobre la información financiera de clientes mexicanos ha despertado inquietudes: ¿los datos de millones de personas quedarán bajo gestión de entidades estadounidenses?

Sin embargo, tanto Hernández como Alcocer desestiman cualquier incidencia al respecto, señalando que la nacionalidad del comprador no sujetará la data a la jurisdicción del vecino del norte.

Para la socia de Hernández Castillo, el análisis debe centrarse en la estructura del mercado actual y las condiciones de competencia que tendrá una vez concretada la transacción; esto en atención a si existe riesgo de empaquetamiento de los servicios de información crediticia, si el acceso a los datos puede convertirse en un insumo difícilmente replicable, o si la integración con plataformas globales provocará ventajas sobre otros participantes de la escena crediticia nacional.

“La pregunta jurídicamente relevante no es si los accionistas son estadounidenses, sino si la nueva estructura puede disminuir la competencia o generar poder de mercado que no sea contrarrestado por las eficiencias de la operación”, acota.

Alcocer secunda esta opinión, asegurando que Círculo de Crédito continúa siendo una sociedad mexicana y, mientras opere como una SIC mexicana, continuará sometida a las leyes locales, es decir, solo cambia el control accionario.

A su entender, el riesgo jurídico y de ciberseguridad se hace relevante si, como consecuencia de la integración corporativa y tecnológica, Círculo de Crédito permite que Equifax o sus afiliadas en Estados Unidos accedan, alojen, procesen o reciban información de sus bases de datos, determinando previamente qué información puede consultar, con qué finalidad, quién puede acceder, desde dónde, bajo qué esquema de procesamiento y con qué controles de autenticación, segregación y acceso.

“Uno de los puntos relevantes de la estructuración e integración posterior al cierre será determinar cómo podrá darse el acceso de Equifax y sus afiliadas a la información de Círculo de Crédito sin incumplir la regulación mexicana”.

Mercado latinoamericano de M&A: la inversión selectiva se impone en el primer semestre

Protección de datos personales y consentimiento de usuarios

Una pregunta recurrente entre los especialistas en seguridad de datos personales es si la venta del control accionario de una SIC exige recabar un nuevo consentimiento explícito de los clientes registrados en la base (en este caso, más de 80 millones).

La respuesta técnica de los especialistas es negativa respecto al cambio de control per se, dado que no hay una transferencia de titularidad de la base hacia una entidad distinta, sino una mutación en el accionariado de la persona moral responsable.

Al citar la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y la LRSIC, Alcocer comenta que, por el cambio societario, no se exige una nueva autorización del cliente, sino únicamente respecto de determinados actos de consulta y suministro de información crediticia:

“La LFPDPPP establece que las sociedades de información crediticia quedan exceptuadas de la aplicación de dicha Ley respecto de los supuestos regulados por la LRSIC y demás disposiciones aplicables. Por lo tanto, tratándose específicamente de la consulta y suministro de información crediticia, el régimen principal es la LRSIC.”

Hernández complementa que, dado que la transacción implica la compra de las acciones representativas del capital social de la SIC mexicana, no tendría, por ese solo hecho, que realizarse una transferencia o remisión de datos, pues la sociedad que continuará tratando los datos personales será la misma autorizada por los titulares desde el origen.

Reforma a la LFPPI y T-MEC: los cambios que transforman el sistema de patentes en México

Cláusulas críticas a tomar en cuenta

La compra del 100 % de Círculo de Crédito no es una operación de M&A convencional. La multiplicidad de instrumentos legales involucrados exige blindajes muy específicos para salvaguardar la confidencialidad, tanto en el proceso de due diligence como en los acuerdos definitivos de cierre e integración posterior.

Alcocer señala que en una operación de esta naturaleza las cláusulas contractuales sirven tanto para prevenir accesos, filtraciones o usos no autorizados como para asignar responsabilidades entre las partes. Por ello, asegura que entre los mecanismos generalmente contemplados se encuentran:

• Declaraciones y garantías sobre cumplimiento regulatorio y ciberseguridad, incluyendo el acatamiento de la LRSIC y demás normativa aplicable.
• Obligaciones de confidencialidad y uso limitado de la información, prohibiendo su aprovechamiento para obtener ventajas competitivas mediante uso no autorizado.
• Restricciones de acceso bajo criterios de «necesidad de conocer» (need-to-know) y mínimo privilegio, incluyendo obligaciones de confidencialidad para empleados, funcionarios, afiliadas, asesores, proveedores y otros con acceso legítimo.
• Controles sobre la reproducción, extracción y almacenamiento de información.
• Restricciones al acceso a información sensible antes del cierre, limitando los datos que puede revisar el comprador durante el due diligence.
• Obligaciones de notificación, contención, investigación y cooperación ante incidentes de seguridad o accesos no autorizados.
• Reglas específicas para el acceso y procesamiento de información por parte de afiliadas, proveedores tecnológicos o terceros.
• Protocolos para divulgaciones legalmente obligatorias, de forma que, ante un requerimiento de autoridad, se contemple revelar únicamente la información estrictamente requerida.
• Obligaciones de conservación, devolución, eliminación o destrucción segura de la información y sus copias.
• Derechos de auditoría o verificación, cooperación regulatoria y mecanismos de monitoreo del cumplimiento de las obligaciones de seguridad y confidencialidad.
• Mecanismos de indemnización y otros remedios contractuales por incumplimientos en materia de información crediticia, confidencialidad o ciberseguridad.
• Obligaciones de cumplimiento regulatorio y de integración posterior al cierre.
• Supervivencia de determinadas obligaciones de confidencialidad y uso restringido tras el cierre o la terminación de la relación contractual.

"Estas disposiciones contractuales no sustituyen las obligaciones legales de la SIC, cuya ley exige directamente que adopten medidas de seguridad y control para evitar el manejo indebido de información, que sus manuales contemplen la seguridad del procesamiento externo de datos y que establezcan obligaciones de secreto financiero y confidencialidad”, puntualiza el especialista de OLIVARES.