Artículo 16

Artículo 16.- Las instituciones de fondos de pago electrónico deberán cifrar la Información Personal y la Información Sensible recibida, generada, almacenada o transmitida en la Infraestructura Tecnológica propia o de terceros contratados, así como las imágenes de documentos de identificación expedidos por autoridades oficiales e información biométrica de los Clientes, y cualquier otra que determinen de acuerdo con sus políticas. En el caso de la Información Sensible, se exceptúa del cifrado la información relativa a las Operaciones, siempre y cuando dicha información esté almacenada en tablas o repositorios distintos a los utilizados para almacenar el resto de la Información Personal e Información Sensible, y se cuente con mecanismos de seguridad que permitan su disociación y eviten el acceso a dicha información, en caso de no estar autorizado para ello.

Los mecanismos y procedimientos para descifrar la información referida en este artículo, así como las claves criptográficas requeridas para tal fin, deberán estar bajo el control exclusivo del oficial en jefe de seguridad de la información de la institución de fondos de pago electrónico de que se trate.