Las reglas para efectuar el proceso formal de reclamo de estafas informáticas en bancos, cooperativas, mutuales y financieras fiscalizadas rigen en Costa Rica desde el 11 de setiembre anterior, cuando se publicaron en el diario oficial La Gaceta.
El Reglamento sobre aspectos mínimos de control para prevenir y mitigar estafas informáticas en perjuicio de los usuarios financieros, elaborado por la Superintendencia Genera de Entidades Financieras (Sugef), establece la manera en que se aplica la Ley 10.889 de protección a las personas consumidoras en la custodia de su dinero.
Ambas normas dictan que las estafas informáticas implican la sustracción de dinero o afectar el patrimonio asociado a cuentas de fondos de personas o empresas administradas por entidades supervisadas.
El reglamento creó un procedimiento para que los usuarios financieros presenten reclamos cuando rechacen haber autorizado una operación, hayan sido víctimas de una estafa informática o detecten rebajos no autorizados.
Estos son los pasos que contempla la normativa:
1. Identifique la transacción que no autorizó
El procedimiento aplica cuando el usuario financiero rechaza haber autorizado una operación en la que fue víctima de una estafa informática o de un rebajo no autorizado.
También contempla los casos en que se denuncie que una cuenta fue utilizada por terceros para realizar acciones en perjuicio de otras personas.
2. Presente el reclamo ante la entidad financiera
El cliente debe utilizar el formulario que la entidad supervisada pondrá a su disposición. En este documento deberá exponer de forma clara los hechos ocurridos.
El reclamo debe acompañarse de una copia de la denuncia presentada ante el Organismo de Investigación Judicial (OIJ).
La normativa establece que las entidades deben mantener disponibles de manera continua canales telefónicos, medios tecnológicos y mecanismos de autogestión para presentar reclamos. Estos medios no son obligatorios para el usuario, quien también puede presentar el reclamo de forma presencial en las oficinas de la entidad.
3. Solicite y conserve el código de recepción
Al momento de presentar y registrar el reclamo, la entidad debe entregar un número o código de recepción que permita darle seguimiento.
Este comprobante debe incluir la fecha y la hora en que fue recibido el reclamo.
4. La entidad debe bloquear de inmediato el producto afectado
Una vez presentado el reclamo por una transacción electrónica no autorizada, la entidad supervisada debe bloquear inmediatamente la funcionalidad del producto o servicio que permite realizar transacciones electrónicas.
Además, debe ofrecer al usuario una alternativa contingente para que pueda continuar realizando sus operaciones.
La entidad también debe enviar, por el medio previamente acordado o registrado, una comunicación que confirme el bloqueo e indique el número o código de recepción del reclamo.
5. ¿Qué ocurre si aparecen nuevas transacciones después del reclamo?
Si después de presentar el reclamo ante la entidad se registran nuevas transacciones que el usuario no autorizó, la entidad será responsable de esas operaciones y de las consecuencias económicas derivadas de ellas.
6. La entidad debe investigar el caso
Una vez recibido el reclamo, la entidad supervisada debe investigar los hechos y determinar si este procede o no.
La investigación debe demostrar al usuario el cumplimiento de las disposiciones establecidas para prevenir y mitigar las estafas informáticas. También debe demostrar, con base en los controles establecidos en el reglamento, que sus sistemas informáticos no fueron vulnerados.
Después de verificar esos aspectos, la entidad analizará el comportamiento del usuario financiero en los hechos investigados.
La investigación, resolución y tratamiento de los reclamos deben ajustarse a los plazos y demás disposiciones establecidos en la Ley 10.889.
7. ¿En qué casos pueden rechazar el reclamo?
La entidad puede rechazar un reclamo cuando cuente con elementos probatorios específicos y suficientes que permitan determinar fehacientemente determinadas circunstancias.
Entre ellas están el autofraude, entendido como una acción intencional realizada para inducir a error a una entidad financiera con el propósito de obtener un beneficio; el dolo, definido como una conducta deliberada orientada a cometer un acto ilícito con conocimiento de su ilegalidad; y las transferencias realizadas entre cuentas del mismo titular.
En estos casos, la entidad debe comunicar al usuario la resolución denegatoria y las evidencias que la sustentan, incluidos elementos como el análisis forense o la bitácora correspondiente.
Además, debe remitir esa información al OIJ y a la Sugef para que esta última valide, mediante el procedimiento establecido, si la decisión está debidamente respaldada por las pruebas aportadas.
8. Algunas entidades podrán devolver montos sin un análisis detallado
El reglamento establece que las entidades supervisadas deben definir en sus políticas internas criterios y umbrales para determinar en cuáles casos devolverán al usuario el dinero sustraído sin necesidad de realizar un análisis detallado.
Esto aplicará cuando el monto sea inferior al límite previamente establecido por la entidad, con base en un análisis de costo-beneficio.
9. En caso de una estafa, actúe mediante los canales de la entidad
El reglamento también establece que las entidades supervisadas deben contar con un protocolo de emergencia para atender a usuarios que informen que fueron víctimas de una estafa informática o que enfrentan un riesgo inmediato de serlo.
Asimismo, deben habilitar mecanismos de autogestión en sus canales digitales y centros de atención telefónica para que los usuarios puedan bloquear temporalmente, de forma expedita, productos y servicios financieros, particularmente la posibilidad de realizar transacciones electrónicas desde sus cuentas.