Cuando una persona descubre una compra que nunca hizo con su tarjeta de crédito, una de las primeras preguntas suele ser quién tendrá que asumir esa deuda. Y el problema puede ser todavía mayor si la tarjeta fue hurtada, la operación aparece como presencial y el banco sostiene que la responsabilidad era del cliente por no custodiar el plástico.
Lea también: Esta es la mesada más alta que pagará Colpensiones con la reforma pensional
Un caso resuelto recientemente por la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia muestra que la discusión no necesariamente termina ahí. La autoridad declaró civil y contractualmente responsable un reconocido banco en Colombia por una operación fraudulenta de $6.399.000 y ordenó reversar ese valor, además de los intereses y gastos de cobranza asociados.
Recibe nuestro boletín en tu correo
La decisión es relevante porque la SuperFinanciera no se limitó a revisar si el consumidor había perdido el control físico de su tarjeta. El análisis se concentró también en qué hizo la entidad financiera para detectar una operación que no correspondía con el comportamiento habitual del cliente y si aplicó los mecanismos de seguridad que estaba obligada a utilizar.
El caso, por tanto, deja una regla que puede ser importante para otros consumidores que enfrenten situaciones similares: el hecho de que una transacción fraudulenta se haya realizado utilizando físicamente una tarjeta no exonera por sí solo al banco de revisar si cumplió sus propios deberes de seguridad.
La controversia se originó en una relación entre un consumidor y el banco mencionado derivada de un contrato de apertura de crédito mediante tarjeta.
La Superintendencia explicó que el producto financiero permitía al cliente disponer de recursos dentro del cupo establecido y utilizar la tarjeta para realizar compras en establecimientos comerciales. En este caso, la operación cuestionada fue realizada de manera presencial, por lo que se utilizó físicamente la tarjeta entregada por el banco.
El consumidor sostuvo que no había realizado la compra. Durante el proceso quedó establecido que la tarjeta había sido sustraída y que el elemento físico utilizado para realizar la operación estaba bajo custodia del cliente antes de ser hurtado.
Este detalle era importante porque podía llevar a pensar que el caso estaba cerrado: si la tarjeta fue robada, ¿no debería asumir el cliente las consecuencias de las compras realizadas con ella?
La SuperFinanciera decidió estudiar una cuestión adicional: si el banco había cumplido con las obligaciones de seguridad que tenía frente a ese producto financiero y frente a una operación que se apartaba del comportamiento habitual del consumidor.
La tarjeta tenía un cupo de $20,1 millones
Uno de los elementos que revisó la SuperFinanciera fue el comportamiento transaccional del consumidor. La prueba documental aportada por la entidad bancaria mostraba que el cliente tenía un cupo total de $20,1 millones en la tarjeta. Sin embargo, la entidad no logró demostrar ante la Delegatura que hubiera cumplido con los mecanismos de autenticación y seguridad exigibles para la operación cuestionada.
La autoridad también encontró que la operación no coincidía con el perfil transaccional que se podía establecer a partir de los movimientos habituales del cliente. Ese elemento fue determinante. La regulación financiera exige a las entidades establecer mecanismos para identificar operaciones que no correspondan con los hábitos de sus clientes y adoptar procedimientos de confirmación cuando sea necesario.
Puede interesarle: Multinacional abre más de 3.000 vacantes en Colombia: hay empleos para bachilleres y profesionales
La SuperFinanciera recordó en la decisión que entre esas obligaciones está “establecer procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones” cuando existan circunstancias que lo ameriten, así como definir mecanismos para confirmar oportunamente operaciones monetarias que no correspondan a los hábitos del consumidor.
El chip de la tarjeta no fue suficiente
Uno de los puntos más importantes de la decisión está relacionado con la autenticación. El banco contaba con una tarjeta con tecnología de chip, bajo el estándar EMV. Sin embargo, la Superfinanciera explicó que, para determinadas operaciones presenciales que superan ciertos parámetros, la regulación exige mecanismos fuertes de autenticación.
La Circular Básica Jurídica contempla, entre ellos, tarjetas que cumplen el estándar EMV “en combinación con un segundo factor de autenticación”. En el caso analizado, la entidad no logró acreditar que hubiera utilizado ese segundo factor de autenticación para la operación cuestionada.
La SuperFinanciera fue explícita al señalar que tener un chip de seguridad en la tarjeta no era suficiente, porque ese elemento por sí solo no cumplía la exigencia adicional de autenticación establecida para el escenario analizado.
Este punto resulta especialmente importante para entender la decisión: no se trataba simplemente de determinar si la tarjeta era auténtica. El debate estaba en establecer si el banco había aplicado todos los controles adicionales que correspondían ante una operación que presentaba características atípicas.
El banco debía detectar que la compra era inusual
La SuperFinanciera encontró otro elemento relevante: el comportamiento de la operación no coincidía con el perfil habitual del cliente. La autoridad señaló que el registro transaccional disponible en el expediente no permitía establecer que una compra de esas características fuera habitual para el consumidor. Ante esa situación, el banco debía activar sus controles de seguridad y verificar que quien estaba utilizando el producto realmente fuera su titular.
La decisión recoge que la entidad debía contar con procedimientos para identificar operaciones que no coincidieran con los hábitos del cliente y establecer mecanismos para confirmar oportunamente esas transacciones.
Pero, según la Delegatura, eso no ocurrió. Por esa razón, el incumplimiento no fue considerado una situación menor. La autoridad concluyó que la entidad financiera no acreditó haber desplegado las medidas de seguridad necesarias para proteger el producto financiero de su cliente.
Supongamos que una persona pierde su tarjeta y, unos días después, descubre una compra de varios millones de pesos que nunca realizó. El banco podría argumentar inicialmente que la tarjeta fue utilizada físicamente y que el cliente era responsable de su custodia.
Pero este fallo muestra que esa no necesariamente sería la única cuestión que tendría que analizarse. También habría que determinar cómo se realizó la operación, si correspondía con el comportamiento habitual del cliente, qué mecanismos de autenticación fueron utilizados, si la transacción superaba los parámetros que exigían controles adicionales y qué hizo la entidad para verificar que quien estaba usando la tarjeta fuera realmente su titular.
También puede leer: Fallo clave de la Corte Suprema aclara cuándo un accidente laboral puede hacer que una empresa pague indemnización
Si, por ejemplo, una persona habitualmente realiza compras de montos pequeños y de repente aparece una operación presencial de varios millones de pesos que se aparta significativamente de su comportamiento, el caso puede requerir revisar si los sistemas de seguridad del banco detectaron esa anomalía y qué medidas adoptaron.
Esto no significa que el banco deba responder automáticamente por cualquier fraude. Cada caso debe analizarse a partir de sus circunstancias y de las pruebas disponibles. Para leer el fallo completo de la SuperFinanciera con los detalles del banco relacionado con este caso haga clic en este enlace.
