Este artículo está escrito para todo aquel que realice o utilice de tarjetas de crédito, débito, transferencias electrónicas y otras similares. Y son buenas noticias.

Para estos efectos fijaremos dos entidades:

El Cliente o Usuario, a veces llamado “titulares”, de tarjetas de pago (crédito, débito, prepago) y transacciones electrónicas.

El Emisor, que no sólo puede ser un banco, si no, todo emisor de tarjetas sujetas a fiscalización de la CMF y a la regulación del Banco Central de Chile así como entidades no sujetas a la fiscalización o regulación de los anteriores, salvo disposición expresa en contrario.

Esta ley limita la responsabilidad de los titulares o usuarios de en caso de extravío, hurto, robo o fraude del medio de pago así como el fin del cobro por seguros de robo/fraude.

La nueva ley 21.234 que entró en vigor el 29 de mayo de este año 2020, reformando la ley 20.009 es una que viene a ratificar, a favor del Usuario, una serie de responsabilidades que el Emisor de una tarjeta tiene y la seguridad en transacciones que debe resguardar.

Para muchos, esta ley viene a reforzar lo que para ellos es evidente, la responsabilidad de que los fondos del usuario no se vean afectados frente a un robo, extravío o fraude, ya que es responsabilidad del Emisor y no del Usuario, velar por la seguridad de las transacciones. Además, pone el deber de la prueba sobre el emisor e impide que las cláusulas de los contratos impongan lo contrario.

Pero va más allá, poniendo 4 exigencias específicas en el artículo 6, donde se deberá integrar procedimientos, SOC y tecnologías de punta (UEBA, Machine Learning, Biometría avanzada, etc), para resguardar el patrimonio de sus clientes:

1. Contar con sistemas de monitoreo que tengan como objetivo detectar aquellas operaciones que no corresponden al comportamiento habitual del usuario.
2. Implementar procedimientos internos para gestionar las alertas generadas por dichos sistemas de monitoreo.
3. Identificar patrones de potenciales fraudes, conforme a las prácticas de la industria y recomendaciones, los que deberán incorporarse al sistema de monitoreo de operaciones.
4. Establecer límites y controles en los diversos canales de atención que permitan mitigar las pérdidas por fraude. Los referidos límites y controles deberán basarse en consideraciones de riesgo objetivas, generales y no discriminatorias, en relación con la naturaleza del medio de pago y la clase de operaciones que permita efectuar.

Cumplir con esto le entrega al Emisor una herramienta importante para acotar las pérdidas asumidas frente a un fraude, y es que, si el Emisor detectó una operación fraudulenta, el Titular confirmó recibir un aviso e igualmente no rechazó la transacción, entonces se tomará en cuenta dicho aviso (es posible no se restituyan estos fondos). Esto es válido por toda la vigencia anterior al reclamo (120 días).

Otra obligación expresa de esta ley para los emisores dice, en el artículo 2 inciso 2,  “El emisor o prestador del servicio financiero de pagos electrónicos de dichos medios de pago, en adelante, referidos en forma conjunta como los «emisores«, deberá proveer al usuario, todos los días del año, las veinticuatro horas del día, de canales o servicios de comunicación, de acceso gratuito y permanente, que permitan efectuar y registrar los referidos avisos.”

Tiempos y Montos

Esta ley nos da un marco de tiempo y monto para la devolución del dinero defraudado.

El día “0” es el día de la denuncia del Titular. Este tiene 30 días para reclamar cualquier cargo desde 120 días (artículo 4) antes del día “0” y es el emisor quien es responsable de operaciones fraudulentas y sus consecuencias económicas.

El emisor tendrá un máximo de 5 días hábiles para restituir los fondos para montos menores a 35 UF (por eso en la banca se le dice la “ley 35UF”) y si es superior, el emisor deberá cancelar el cargo o restituir los fondos por este monto, en igual plazo y 7 días adicionales para el monto por sobre las 35 UF o ejercer las acciones legales del artículo 5 inciso 3 (recordemos que ahora el peso de la prueba recae en el Emisor).

En estos 7 días adicionales, el Emisor deberá recopilar antecedentes que demuestren la existencia de dolo o “culpa grave” por parte del cliente y podrá ejercer ante juez de policía local la denuncia correspondiente.

Otra ventaja para los Usuarios, es que la ley es específica en dictar que “El emisor estará impedido de ofrecer a los usuarios la contratación de seguros cuya cobertura corresponda a riesgos o siniestros que el emisor deba asumir en conformidad a esta ley.” Seguros que hasta mayo de este año eran bastante populares y a veces obligatorios para acceder a mejores características en otros productos bancarios (tasas en créditos de consumo por ejemplo).

La ley no es clara en señalar, sin embargo, la responsabilidad de un tercero, como un comercio electrónico, que a través de su servicio online o la vulneración de este, sea posible la extracción de datos de un Titular para cometer fraudes a posterior. En este punto serán los equipos legales los que tendrán que presentar un caso para ser dirimido en tribunales.

Lo bueno, esto ya no será problema de Cliente, a quién deberán responder en los plazos antes mencionados.

Si te interesa tener una copia de la Ley, puedes descargarla ACÁ

Cabe mencionar que existen otros seguros que aún pueden ser ofrecidos asociados a tarjetas de crédito, como lo son falsificación/robo/hurto/adulteración de cheques, giro cajero automático, entre otros y sus asistencias asociadas.

*Días hábiles son considerados los días hábiles bancarios, que no consideran sábados, domingos ni festivos, como tampoco feriados bancarios (artículo 38 de la Ley General de Bancos).

*UEBA = User and Entity Behavior Analytics, algo presente en varios de nuestros productos de detección de fraude interno, como los DLP o fraudes digitales a través de análisis de comportamientos biométricos.

*DLP = Data Loss Prevention, sistemas de detección y prevención de fuga de información digital. A través del estudio del comportamientos de las entidades podemos determinar cuando una se comporta de manera inusual, sospechosa, analizar este comportamiento según el contexto actual y darle un puntaje de riesgo para ser o no revisado manualmente o incluso bloqueado de manera automatizada.