SFC - Cámaras de seguridad. Fraude y clonación de tarjetas Concepto No. 2009002916-001 del 2 de febrero de 2009 id2009002916

CÁMARAS DE SEGURIDAD, FRAUDE Y CLONACIÓN DE TARJETAS, RESPONSABILIDAD Concepto 2009002916-001 del 2 de febrero de 2009.

Síntesis: Las entidades destinatarias de la norma deberán cumplir con el requisito previsto en la Circular Externa 052 de 2007 y contar con cámaras de video, las cuales deben cubrir al menos el acceso principal y las áreas de atención al público. Las imágenes deberán ser conservadas por lo menos un (1) año o en el caso en que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto”, requerimiento que se hará exigible por parte de esta Superintendencia a partir del 1º de enero de 2010. No existe normatividad que obligue a las entidades financieras a responder por el dinero de los ahorradores que han sido objeto de fraude, bajo ninguna modalidad (incluida la clonación de tarjetas débito), razón por la cual tales aspectos indudablemente habrán de ventilarse o resolverse conforme a lo previsto en la ley y en el respectivo contrato sea en forma directa por los involucrados o ante las instancias. «(…) solicita nuestro concepto acerca de la normatividad que obliga a las entidades financieras a:(i) tener cámara de seguridad en los cajeros electrónicos que graben permanentemente a las personas que llegan a realizar transacciones, (ii) cuidar los dineros de los ahorradores, y (iii) responder por los fraudes que se presenten, específicamente por la clonación de tarjetas débito.

Sobre el particular, de manera atenta me permito indicarle que esta Superintendencia expidió la

Circular Externa 0521 de 2007, con la cual se imparten instrucciones a las entidades vigiladas2 sobre los requerimientos mínimos de seguridad y calidad en el manejo de información a través de medios y canales de distribución de productos y servicios (v. gr. Oficinas, Internet, Puntos de Pagos, Audio Respuesta, entre otros) para clientes y usuarios, y en el que se establecen obligaciones específicas por tipo de medio –Tarjetas débito y crédito-, acto administrativo que fue incorporado en el Capítulo XII, Título Primero de la Circular Básica Jurídica (Circular Externa 007 de 1996) y cuya implementación se hará en tres etapas, la primera de las cuales inició el 1º de julio de 2008 y la última finaliza el 1º de enero de 2010. Frente al tema consultado en la primera parte de su escrito, de manera atenta le comento, que en las oficinas donde se realicen transacciones, las entidades destinatarias de la norma (entre las cuales se encuentran los Bancos), deberán cumplir, entre otros, con el requisito previsto en el numeral 4.1.3 de la Circular Externa 052 de 2007, esto es que deben “Contar con cámaras de video, las cuales deben cubrir al menos el acceso principal y las áreas de atención al público. Las imágenes deberán ser conservadas por lo menos un (1) año o en el caso en que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en 1 La Circular Externa 052 de 25 de octubre de 2007 puede ser consultada en nuestra página Internet www.superfinanciera,gov.co enlaces: Normativa. 2 Con las excepciones previstas expresamente en el numeral 1 de la Circular Externa 052 de 2007.

que sea resuelto”, requerimiento que se hará exigible por parte de esta Superintendencia a partir del 1º de enero de 2010. En relación con la obligación que tienen las entidades financieras de cuidar los dineros de los ahorradores, es preciso indicar que esta Entidad con la finalidad de preservar la confianza pública en el sector financiero ha proferido a sus instituciones vigiladas instrucciones en materia de protección al consumidor financiero, indicando que “Las entidades vigiladas por la SBC, en tanto desarrollan actividades de interés público (art. 335 de la C. N.) deben, en cumplimiento de la obligación de emplear la debida diligencia en la prestación de sus servicios y de abstenerse de abusar de su posición dominante (artículo 98 del EOSF), evitar incurrir en prácticas que impidan injustificadamente el acceso a los mismos”3 A su turno, con la expedición de la Circular Externa 052 de 2007, anteriormente señalada, se impartieron a las entidades sometidas a la inspección y vigilancia de esta Superintendencia unos requerimientos mínimos de seguridad y calidad que deben atender para el manejo de información a través de medios y canales de distribución de productos y servicios que ofrecen a sus clientes y usuarios, buscando con ello que los destinatarios de dicha circular atiendan a lo dispuesto en el numeral 4.1 del artículo 98 del Estatuto Orgánico del Sistema Financiero. Ahora bien, en general, frente a las responsabilidades a cargo de los establecimientos bancarios en la prestación de los servicios a los usuarios y clientes financieros, es preciso señalar un acápite del concepto 1998014901 del 16 de julio de 1998 proferido por la entonces

Superintendencia Bancaria, en el que se expresó: “(….) En cuanto a la responsabilidad en aspectos relacionados con terceros conviene recordar, en primer término, que dentro de las finalidades básicas que se persigue el usuario del sistema financiero al acudir a él, está precisamente la de que las entidades le ofrezcan confianza y seguridad para su dinero. Esa finalidad se acompaña, en la relación institución-cliente, de un deber de diligencia a cargo de la institución, por la exigencia de esmero profesional con que ella debe operar en beneficio de sus clientes, y para que su posición dominante no desconozca los derechos de éstos. “(…) Por consiguiente, no puede perderse de vista que quien asume la responsabilidad de la debida prestación del servicio es la institución con la cual el cliente haya celebrado el contrato respectivo. Ello en aplicación del inciso 1º del numeral 4º del artículo 98 del Estatuto Orgánico del Sistema Financiero, que dispone: ‘(…) las instituciones sometidas al control de la Superintendencia Bancaria, en cuanto desarrollan actividades de interés público, deberán emplear la debida diligencia en la prestación de los servicios a sus clientes a fin de que establezcan con aquéllas y, en general, en el desenvolvimiento normal de sus operaciones (….)’. Por la misma razón normativa, en el inciso siguiente se previene el abuso de la posición dominante.” De otra parte, es preciso aclarar que no existe normatividad que obligue a las entidades financieras a responder por el dinero de los ahorradores que han sido objeto de fraude, bajo ninguna modalidad (incluida la clonación de tarjetas débito), razón por la cual tales aspectos indudablemente habrán de ventilarse o resolverse conforme a lo previsto en la ley y en el

respectivo contrato sea en forma directa por los involucrados o ante las instancias judiciales 3 Numeral 6., Capítulo Sexto del Título Primero de la Circular Básica Jurídica. respectivas (juez penal en el caso del fraude y/o juez civil en lo pertinente a la legitimidad del débito de sumas de dinero). Al respecto, ha manifestado la Sala de lo Contencioso Administrativo, Sección Cuarta del Consejo de Estado, mediante sentencia de junio 12 de 1975, Expediente 2945, Consejero Ponente doctor Miguel Lleras Pizarro, lo siguiente: “Respecto de la legalidad o puntualidad o regularidad como el banco cumpla con los negocios celebrados con su clientela el Superintendente sólo puede dar órdenes para evitar lo que contraríe la Ley pero no para revocar los actos de ejecución contractual (…..). “(….) el Superintendente no puede ordenar ni directa ni indirectamente que tal perjuicio sea reparado, ni siquiera puede estimar si hubo o no perjuicio o si se cumplió bien o mal la obligación del contrato porque tan extensiva interpretación de sus facultades de vigilancia transformaría su función de administrativa en jurisdiccional. “Importa puntualizar que la nota característica de la competencia que para vigilar los bancos tiene el Superintendente, consiste en su capacidad para impedir que se ejecuten actos o hechos peligrosos y no la de ordenar que se cumplan determinados actos o hechos, en especial aquéllos íntimamente vinculados con los contratos celebrados con la clientela o los que regulan las relaciones con los accionistas.” En consecuencia, todas aquellas inquietudes que se susciten en torno del alcance de las

obligaciones pactadas, esto es, las derivadas del vínculo contractual establecido entre una entidad vigilada y su clientela, deberán dilucidarse directamente por las partes involucradas en el asunto en cuestión con sujeción a los lineamientos plasmados en el documento en que se haya instrumentado, teniendo en cuenta que el cumplimiento o incumplimiento de contratos celebrados con entidades vigiladas, conocen sólo los Jueces de la República (en lo civil, penal, etc.), toda vez que esta Superintendencia carece de competencia para entrar a juzgar los conflictos surgidos, determinar responsabilidades, declarar derechos u ordenar el pago de daños o el resarcimiento de perjuicios ocasionados. (…).»