Cambios, todo a favor de los Bancos

La comisión de hacienda de la cámara de diputados recientemente aprobó en general el proyecto de reforma al mercado de capitales –“Mk4”- que esconde, entre sus más de treinta medidas, una serie de modificaciones a la Ley Nº 20.009 sobre fraudes bancarios. De su texto, queda clara la intención de disminuir la responsabilidad de los bancos en torno a la ocurrencia de este ilícito y de perseguir a los demás actores que intervienen en la cadena de pagos.

La discusión puede parecer un tecnicismo propio de abogados, pero sus consecuencias son muy concretas para los consumidores. En lo medular, el proyecto busca rebajar el estándar probatorio que hoy debe superar la entidad financiera para exonerarse de responsabilidad frente a un fraude. Con la modificación propuesta, ya no sería necesario acreditar que el consumidor actuó con una negligencia especialmente grave y excepcional o que tuvo la intención de engañar al banco. Bastaría con demostrar que, atendidas las circunstancias del caso, el usuario no desplegó el nivel de cuidado que razonablemente podía exigírsele. En otras palabras, conductas que hoy podrían ser consideradas simples errores o descuidos pasarían a ser suficientes para trasladar al consumidor todas las consecuencias económicas del fraude.

El tema es que el gobierno parece olvidar cómo va evolucionando la lógica del derecho. En fraudes bancarios se elevó el estándar de diligencia del Banco precisamente porque el consumidor y el proveedor no se encuentran en posiciones materiales equivalentes.

Una institución financiera conoce los productos contratados por su cliente, su comportamiento transaccional, sus montos habituales, destinatarios frecuentes, los dispositivos desde los cuales opera y una cantidad considerable de información personal. Debería contar además con sistemas especializados de monitoreo, modelos de riesgo, herramientas de autenticación, mecanismos de bloqueo, trazabilidad y equipos dedicados precisamente a identificar operaciones anómalas.

El consumidor, en cambio, solamente se enfrentará a una llamada telefónica, un mensaje de texto, un correo electrónico o una página que reproduce casi perfectamente la apariencia del proveedor con el que se relaciona todos los días.

Los mecanismos de fraude se han sofisticado al enfocarse en explotar dicha confianza. Ya no estamos ante aquel correo escrito con faltas de ortografía que anuncia una herencia millonaria. Muchas veces el antisocial tiene una gran cantidad de datos personales, conoce el nombre de la víctima, conoce la institución con la que opera, las últimas compras que efectuó y a través de qué portales, disponiendo de antecedentes suficientes para construir un relato creíble.

Esto permite formular una pregunta que muchas veces desaparece cuando todo el análisis se reduce a determinar si el consumidor entregó o no un código recibido por SMS: ¿cómo consiguió el defraudador la información personal necesaria para hacer creíble el engaño? ¿y por qué no se alcanzó a activar un mecanismo de prevención en el sistema de seguridad del banco?

Esto se vuelve todavía más relevante con el MK4. Cualquier utilización de un mecanismo de autentificación permitirá presumir culpa leve del usuario, es decir, un descuido evitará la responsabilidad del Banco, aunque hayan hackeado el teléfono o computador o, aunque hayan creado una cuenta a su nombre. Cabe recordar que numerosos fraudes de phishing, smishing y vishing están diseñados para engañar al consumidor y conseguir dichos factores de autenticación.

Un sistema de seguridad no puede construirse suponiendo que todos sus usuarios actuarán permanentemente como especialistas en ciberseguridad. Las personas se equivocan, confían, leen apresuradamente un mensaje o pueden ser manipuladas por alguien que conoce suficiente información para parecer legítimo. La seguridad tecnológica existe, entre otras razones, porque el error humano es previsible.

Por eso la discusión no debería ser si el consumidor tiene o no deberes de cuidado. Evidentemente los tiene. La pregunta es cuánto riesgo resulta razonable trasladarle considerando las herramientas que posee cada una de las partes para prevenir el fraude.

La cuestión es aún más relevante si se observa que la jurisprudencia en relación a este tema es contradictoria. Contradictoria en contabilizar plazos, contradictoria en definir cuándo el usuario es responsable y cuándo no, contradictoria en la forma de llevar el procedimiento. A esto se le suma que no todos los consumidores tienen acceso real a una defensa jurídica: para una institución financiera una nueva causa puede ingresar a una cartera masiva de litigios; para una persona significa buscar un abogado, asumir costos y esperar indefinidamente una sentencia.

Pero probablemente una de las contradicciones más llamativas del proyecto está en otra parte. La legislación actual prohíbe que los emisores ofrezcan seguros destinados a cubrir riesgos o siniestros que legalmente les corresponde asumir, como lo es la ocurrencia de un fraude. Esa prohibición no surgió por casualidad: pretende impedir que un proveedor cobre al consumidor por protegerlo de un riesgo que la propia ley asignó al proveedor.

Pues bien, el MK4 propone eliminarla. Al mismo tiempo que se rebaja el estándar con que puede atribuirse responsabilidad al usuario, se reabre la posibilidad de comercializar seguros relacionados con ese mismo riesgo. Entonces, el proyecto busca disminuir la protección que otorga la ley para después venderla en una póliza.  ¿Qué pasará entonces con las corredoras de seguros que se encuentran vinculadas a ciertos grupos financieros asociadas a la banca?

No todo en el proyecto, sin embargo, merece la misma crítica.

Hay un avance relevante al reconocer con mayor claridad que la seguridad de los pagos electrónicos no depende exclusivamente del banco emisor. Actualmente, una operación que para una persona parece tan simple como “pagar con mi tarjeta” puede involucrar una serie de otros operadores, procesadores, subadquirentes, titulares de marcas de tarjetas, fintech y varios participantes que forman parte de una infraestructura bastante más compleja de lo que el usuario puede observar cuando adquiere o contrata un servicio. 

El proyecto reconoce expresamente a esos actores, amplía las facultades de fiscalización de la CMF y permite que el emisor pueda repetir posteriormente contra quien efectivamente haya contribuido al fraude o a que éste no pudiera prevenirse. Esa lógica es razonable: cada participante debe internalizar el costo de sus propias fallas de seguridad.

Combatir el fraude es indispensable. Conadecus espera que aquellos que tienen la labor de defendernos, no les tiemble la mano, y distribuyan el riesgo hacia quienes están en mejores condiciones de prevenirlo. En una relación caracterizada desde su origen por una profunda asimetría de información, tecnología y recursos, olvidar esa diferencia puede terminar nivelando la cancha, sí, pero hacia abajo.