SFC - Hurto informatico. Actuación del afectado. Prevención Concepto No. 2008050485-001 del 14 de agosto de 2008 id2008050485

HURTO INFORMÁTICO, ACTUACIÓN DEL AFECTADO, PREVENCIÓN Concepto 2008050485-001 del 14 de agosto de 2008.

Síntesis: Ante el hurto informático la actuación a desplegar es poner en conocimiento del establecimiento bancario la ocurrencia de los hechos que afectan la cuenta bancaria, anexando, en lo posible, copia de la denuncia penal a fin de que la entidad realice una investigación interna tendiente a determinar las circunstancias en que se llevaron a cabo las transacciones cuestionadas y definir la existencia de alguna irregularidad. La respuesta que se obtenga del banco sobre el presunto fraude efectuado por Internet, dependerá de los resultados que arroje la investigación realizada por la institución financiera. La Superintendencia Financiera impartió instrucciones a sus vigiladas mediante la expedición de la Circular Externa 052 de 2007 sobre los requerimientos mínimos de seguridad y calidad en el manejo de información a través de medios y canales de distribución de productos y servicios para clientes y usuarios. «(…) formula varias inquietudes relativas al “hurto informático”, las cuales serán atendidas en el orden propuesto en su comunicación: 1. “Cómo debo proceder en los casos de hurto informático, específicamente, cómo debo informar a la Superintendencia Financiera y a quién más debo comunicarle”.

Al respecto procede señalar que en la medida que se trata de la presunta comisión de un delito, el primer paso a seguir es dar aviso a las autoridades que pertenecen a la jurisdicción penal, pues éstas son las encargadas de establecer su ocurrencia y calificar la conducta, así como de determinar las personas responsables de la misma, a través de los procesos e

instancias señaladas en el Código de Procedimiento Penal. Ahora, como quiera que la conducta punible origina obligación de reparar los daños causados con ocasión de su ejecución, los afectados, ya sea el titular de la cuenta objeto del ilícito o la entidad financiera, podrán perseguir la indemnización de los perjuicios que procedan respecto de las personas que resultaren responsables penalmente, en ejercicio de las acciones civiles a que haya lugar de conformidad con nuestro ordenamiento positivo. En cuanto hace al escenario de la relación contractual establecida entre el interesado y el establecimiento bancario, la actuación a desplegar es poner en conocimiento de este último la ocurrencia de los hechos que afectan la cuenta bancaria, anexando, en lo posible, copia de la denuncia penal presentada ante la autoridad correspondiente, a fin de que la entidad realice una investigación interna tendiente a determinar las circunstancias en que se llevaron a cabo las transacciones cuestionadas y definir de este modo la existencia de alguna irregularidad en el curso de tales operaciones. Luego de lo cual, ésta podrá identificar los posibles responsables al interior de la organización y adoptar las medidas correctivas a que hubiere lugar, tanto en la administración de sus productos como frente a su cliente. En este punto, es del caso señalar que la respuesta que se obtenga del banco sobre el presunto fraude efectuado por Internet, dependerá de los resultados que arroje la investigación realizada por la institución financiera . 1 Finalmente, está la vía de acudir a esta Superintendencia presentando la queja respectiva, con la precisión del nombre del banco y número de la cuenta afectada, sin perjuicio de

anexar copia de los documentos y soportes relativos a las operaciones objeto de reclamo que se posean. Dicha petición se debe dirigir a la Dirección de Riesgos Operativos de Tecnología, que es la dependencia encargada de dar trámite y resolver los asuntos del orden indicado, para los fines que demandan las funciones de supervisión de este Organismo. No sobra advertir que dentro de la competencia asignada a esta Entidad no está la de señalar responsabilidades diferentes de la administrativa, 2. “Si deben existir seguros en las entidades financieras que protejan al cuentahabiente o ahorrador de este tipo de situaciones” Sobre el particular, me permito comunicarle que en el Estatuto Orgánico del Sistema Financiero no se consagra ninguna disposición que establezca la obligación de contratar pólizas que cubran ese tipo de riesgos por parte de las entidades vigiladas por la Superintendencia Financiera de Colombia , debiéndose advertir que de conformidad con lo 2 establecido por el artículo 191 del mismo ordenamiento “Solamente por ley podrán crearse seguros obligatorios”. En tal virtud, se tiene que la contratación de seguros del orden anotado las referidas pólizas corresponde a un acto libre de gestión que dependerá de las políticas internas de cada entidad, y por lo general la adquisición de los mismos obedece a criterios establecidos para el control de las actividades de los administradores y empleados de manejo de las vigiladas, con el objeto de prever y (morigerar) las pérdidas generadas por la ocurrencia de riesgos que puedan ocasionar un detrimento a su patrimonio. 3. “Si las entidades están en el deber de ilustrar al cliente sobre los riesgos de este tipo de

transacciones y capacitar sobre mecanismos para evitarlo” . 1 Información que debe ser suministrada en cumplimiento del numeral 4.1 del artículo 98 del Estatuto Orgánico del Sistema Financiero, que impone a las entidades vigiladas por esta Superintendencia la obligación de emplear la debida diligencia en la prestación de los servicios a sus clientes con el propósito de que reciban la atención debida en el desarrollo de las relaciones contractuales que establezcan con aquellas, aspecto por el cual debe velar esta Autoridad Administrativa. 2 En este aspecto el numeral 3 del artículo 185 del citado ordenamiento dispone que “En los seguros que tengan por objeto el amparo de los riesgos propios de la actividad financiera, se podrán asegurar, mediante convenio expreso, los hechos pretéritos cuya ocurrencia es desconocida por tomador y asegurador”. Al respecto, cabe anotar que la Superintendencia Financiera de Colombia, impartió instrucciones a sus vigiladas mediante la expedición de la Circular Externa 052 de 20073, indicando los requerimientos mínimos de seguridad y calidad en el manejo de información a través de medios y canales de distribución de productos y servicios para clientes y usuarios, los cuales se encuentran incorporadas en el Capítulo Décimo Segundo del Título Primero de la Circular Básica Jurídica (Circular Externa 007 de 1996). En ese sentido, los subnumerales 3.4.4., 3.4.5 y 3.4.6 de la precitada circular señalan los criterios que como mínimo deben cumplir las vigiladas en relación con el tema de su interés, así: “Informar y capacitar a los clientes acerca de las medidas de seguridad que deberán

tener en cuenta para la realización de operaciones por cada canal, así como los procedimientos para el bloqueo, inactivación, reactivación y cancelación de los productos y servicios ofrecidos. “Establecer y publicar por los canales de distribución, en los que sea posible, las medidas de seguridad que deberá adoptar el cliente para el uso de los mismos. “Diseñar procedimientos para dar a conocer a los clientes, usuarios y funcionarios, los riesgos derivados del uso de los diferentes medios y canales”. 4. “Cuál es la normatividad que regula este tipo de transacciones en Colombia, si existen tratados internacionales y por favor si conocen jurisprudencia al respecto”. • Frente a esta inquietud, le sugerimos consultar la siguiente literatura: • Código Penal y Código de Procedimiento Penal. • Ley 527 de 1999Se reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales. • Derecho Informático – Ediciones Jurídicas Gustavo Ibáñez – 2002. • Derecho de Internet & Telecomunicaciones – Editorial Legis – 2003.

• Fraude Informático en la Banca – Aspectos CriminológicosMaría Fernanda Guerrero Mateus y Jame Eduardo Santos MesaEditorial Jesma-1993. • Los fraudes mediante computadores. La técnica de servicios de la criminalidad económica – Revista de Derecho Privado, Tomo 1, Nº 2. 3 La mencionada circular puede consultase en nuestra página www.superfinanciera.gov.co, enlace normativa / Circular Externa 007 de 1996. • Acuerdo Interbancario: Seguridades físicas y de información para cajeros automáticos, puntos de venta y tarjetas de crédito y débito. Asociación Bancaria y

de Entidades Financieras de Colombia, Bogotá D.C., junio de 2006. (…).»