Ecuador erlässt Vorschriften für Fintech und den Schutz personenbezogener Daten

Wenige Wochen vor dem Ende seiner Amtszeit hat der ecuadorianische Präsident Guillermo Lasso zwei Exekutivdekrete mit den Vorschriften erlassen, die das Organgesetz für die Entwicklung, Regulierung und Kontrolle technologischer Finanzdienstleistungen (Fintech) bzw. das Organgesetz für den Schutz personenbezogener Daten in Kraft setzen werden. „Ley Orgánica“ sind Gesetze, die bestimmte in der Verfassungsvorschrift aufgezählte Materien regeln und für die deswegen im Gesetzgebungsverfahren Besonderheiten gegenüber den „gewöhnlichen Gesetzen“ gelten. Im Falle des Fintech-Gesetzes, das seit Dezember 2022 in Kraft ist, enthält die Verordnung zehn Artikel. Die Verordnung sieht vor, dass Fintech-Aktivitäten vom Rat für Währungspolitik und Regulierung und vom Rat für Finanzpolitik und Regulierung reguliert werden. Die Zentralbank von Ecuador (BCE) und die Aufsichtsbehörden für Unternehmen und Banken sind im Rahmen ihrer Zuständigkeiten für die Qualifizierung, Überwachung und Kontrolle der Unternehmen verantwortlich.

Außerdem wird festgelegt, dass Unternehmen, die sich mit Fintech-Aktivitäten befassen, keine anderen Tätigkeiten ausüben dürfen. Sie können eine oder mehrere Dienstleistungen erbringen, sofern sie über die entsprechende Zulassung verfügen; ausgenommen sind spezialisierte elektronische Einlagen- und Zahlungsunternehmen, deren einziger Zweck darin besteht, Gelder ausschließlich zur Erleichterung von Zahlungen und Geldtransfers über zugelassene elektronische Zahlungsmittel entgegenzunehmen, heißt es in der Verordnung. Es werden standardisierte Computersysteme für die Berichterstattung der in diesem Bereich tätigen Unternehmen eingeführt. Zur Verhinderung von Geldwäsche und der Finanzierung von Straftaten sowie zur Regelung von Aspekten der Cyber- und Informationssicherheit müssen die zuständigen Stellen die entsprechenden Vorschriften erlassen. Lasso begründete im Dekret 903, dass es notwendig sei, die regulatorischen Bestimmungen für die Umsetzung des Fintech-Gesetzes zu erlassen, „um die Entwicklung des lokalen Fintech-Marktes zu ermöglichen und die Rechte der Nutzer dieses Marktes zu schützen“.

Was das Datenschutzgesetz betrifft, das seit Mai 2021 in Kraft ist, ist die Verordnung umfangreicher, da sie 90 Artikel, eine allgemeine Bestimmung und zwei Übergangsbestimmungen enthält. Es gilt für alle natürlichen und juristischen Personen aus dem In- und Ausland, aus dem öffentlichen und privaten Sektor, die personenbezogene Daten innerhalb oder außerhalb Ecuadors verarbeiten. Es legt unter anderem die Regeln fest, die von den für die Datenverarbeitung Verantwortlichen und den Verarbeitern personenbezogener Daten, die nicht in dem Andenstaat ansässig sind, einzuhalten sind. In allen Fällen, in denen die ausdrückliche Zustimmung der betroffenen Person zur Verarbeitung ihrer personenbezogenen Daten erforderlich ist, muss der für die Datenverarbeitung Verantwortliche vorab ausführliche Informationen über die Art der Datenverarbeitung, den Zweck, die Aufbewahrungsfrist, die Schutzmaßnahmen, die Folgen einer Weitergabe und andere Aspekte bereitstellen.

Es wird festgelegt, dass die Aufbewahrungsfristen für personenbezogene Daten nicht über das hinausgehen dürfen, was für die Erfüllung der Zwecke, die die Verarbeitung rechtfertigen, unbedingt erforderlich ist. Diese Fristen werden von der Datenschutzbehörde festgelegt. Die Verordnung widmet ein Kapitel den Rechten, in dem die Mittel zur Ausübung der Rechte, der Inhalt des Antrags, das Erfordernis zusätzlicher Informationen, die Registrierung von Anträgen und Klagen bei der Datenschutzbehörde festgelegt sind. Es regelt auch die Verarbeitung von Daten Verstorbener, von Kreditdaten, von Daten Minderjähriger und des Kindeswohls. Weitere Kapitel der Verordnung befassen sich unter anderem mit der Übermittlung oder Weitergabe von Daten an Dritte, Verletzungen der Sicherheit personenbezogener Daten, Folgenabschätzung, für die Datenverarbeitung Verantwortliche, proaktive Verantwortung und Selbstregulierung sowie Verhaltenskodizes.

Das Gesetz sieht vor, dass die Behörde für den Schutz personenbezogener Daten über administrative, technische, operative und finanzielle Autonomie verfügt. Sie wird vom Datenschutzbeauftragten geleitet werden und ihren Sitz in Quito haben. Zu den Befugnissen der Behörde gehören die Eintragung von Datenbanken mit personenbezogenen Daten in das Nationale Register für den Schutz personenbezogener Daten, die Führung und Verwaltung des Einheitlichen Registers der Verantwortlichen und der für die Nichteinhaltung der Vorschriften Verantwortlichen sowie die Herausgabe von Vorschriften und technischen Berichten. Es wird auch eine Sanktionsregelung für Fälle eingeführt, in denen ein Verstoß gegen das Gesetz vermutet wird.

Die Übergangsbestimmungen der Verordnung sehen vor, dass die Einrichtung und der Betrieb der Aufsichtsbehörde für den Schutz personenbezogener Daten von der Verfügbarkeit von Haushaltsmitteln abhängt, vorbehaltlich einer positiven Stellungnahme des ecuadorianischen Finanzministeriums. Darüber hinaus wurde der Behörde eine Frist von höchstens einem Jahr ab Inbetriebnahme der Aufsichtsbehörde eingeräumt, damit sie technische Schulungen und Fortbildungskurse für die breite Öffentlichkeit entwickeln kann. Im zweiten Erlass stellte Präsident Lasso fest, dass es notwendig sei, „die Vorschriften und Verfahren für die Ausführung des Gesetzes klar festzulegen“.