La Superintendencia de Servicios Financieros (“SSF”) del Banco Central del Uruguay (“BCU”) ha publicado recientemente un proyecto normativo -el cual viene a sustituir el anterior proyecto normativo puesto a consulta el pasado 27 de agosto de 2020-, que introduce modificaciones a la Recopilación de Normas de Regulación y Control del Sistema Financiero (“RNRCSF”) en materia de obligaciones para los emisores de instrumentos electrónicos (en adelante, el “Proyecto”).

En un mundo donde lo digital es predominante, los usuarios financieros transaccionan cada vez más de forma remota, utilizando para ello los instrumentos electrónicos emitidos por las instituciones supervisadas por la SSF. Este auge de la transaccionalidad digital trae consigo -a la vez de grandes facilidades para los usuarios- grandes peligros en lo que refiere a potenciales riesgos de fraude. El BCU no es ajeno a ello y, por tanto, plantea el presente proyecto en pos de brindar a los usuarios financieros soluciones transparentes y que le brinden seguridad en sus transacciones.

En especial, el Proyecto plantea modificaciones y agregados al artículo 364 de la RNRCSF, en el cual se establecen las obligaciones de los emisores de instrumentos electrónicos.

Se prevé que las nuevas obligaciones rijan a partir del 1° de enero de 2022.  

En tanto el Proyecto planteado refiere a modificaciones a la RNRCSF y es emitida por la SSF, por el momento estas nuevas obligaciones no serían aplicables a las Instituciones Emisoras de Dinero Electrónico ni otras instituciones reguladas bajo la órbita del Área de Sistema de Pagos.

Modificaciones planteadas al artículo 364 de la RNRCSF:  

Las modificaciones más significativas, son las siguientes:

Literal h)

Se incorpora la obligación de demostrar que la transacción ha sido correctamente autenticada, debiendo poner a disposición del cliente dicha información. Esta obligación implicaría que el emisor deberá estar en condiciones de comprobar, frente a un reclamo del cliente, que la transacción cuestionada ha sido correctamente efectuada por el titular del instrumento o persona autorizada, cumpliendo con todos los controles de autenticidad y, en especial, contemplando que el sistema cumpla con el resguardo de la información detallada seguidamente al referir a las modificaciones al literal i) del artículo 364 de la RNRCSF.

Cuando la misma no sea suficiente, la institución deberá brindarle al cliente los elementos que permitan demostrar tal extremo, independientemente si el instrumento fue utilizado en el país o en el exterior, no siendo oponible a estos efectos las condiciones de los contratos que el emisor hubiese firmado con terceros.

En caso contrario, la institución será responsable frente al usuario respecto de todos los importes imputados en la cuenta del cliente que se originen por el mal funcionamiento del sistema o por fallas en su seguridad, y no sean atribuibles a incumplimientos de las obligaciones del usuario (literal c) del artículo 365).

Literal i)

Se establece que las transferencias o pagos a terceros realizados desde una cuenta bancaria requerirán como mínimo un doble factor de autenticación.

Asimismo, deberán establecerse medidas de monitoreo y control que permitan detectar hechos irregulares vinculados con el uso del instrumento o el sistema en el que opera, incluyendo los cambios e intentos de cambios de clave, número de identificación personal, dirección, teléfono y correo electrónico de contacto, medios establecidos para recibir comunicaciones, entre otros.

Sumado a ello, el sistema deberá resguardar:

• fechas y horas de las operaciones;
• contenidos de los mensajes;
• identificación de operadores, emisores y receptores;
• cuentas y montos involucrados;
• mecanismo de autenticación del usuario utilizado en la operación;
• identificación de la terminal desde la cual se operó (por ejemplo su dirección IP);
• si la operación fue realizada en forma presencial o remota; y
• si la operación se realizó en un sitio seguro o no.

Literal l)

Se establece que la información proporcionada por el cliente para recibir comunicaciones, notificaciones o avisos en relación al instrumento electrónico (dirección, teléfono, correo electrónico, entre otra teléfono, correo electrónico, etc.), deberá ser verificada por mecanismos idóneos al momento de celebración del contrato y toda vez que se solicite su modificación.

Literal m)

La institución emisora deberá comunicar al usuario la comisión de cualquier ilícito o hecho irregular vinculado al instrumento electrónico de su titularidad al detectarlo o tomar conocimiento del mismo.

Asimismo, deberá comunicarle todo intento o solicitud de modificación de los datos de contacto, indicando la solicitud de modificación recibida. La comunicación deberá dirigirse, como mínimo, a dos de las direcciones de contacto válidas previamente. Una vez realizada la modificación, se deberá comunicar tal extremo al usuario.

Literal n)

Se deberá enviar notificaciones al usuario vía medios electrónicos (correo electrónico, mensajería instantánea, SMS, notificación en su propia aplicación, entre otros), cada vez que se procesa una transacción vinculada al instrumento electrónico de su titularidad, de las cuales por lo menos una deberá ser sin costo.

La notificación deberá indicar los medios disponibles para realizar consultas o reclamos vinculados con la transacción. Se deberá permitir al usuario dar de baja o modificar las condiciones de la notificación.

Régimen Sancionatorio

Se establece una multa no inferior al 1/10.000 ni superior al 2/1.000 de la responsabilidad patrimonial básica para bancos, para el caso de incumplimiento de lo establecido en el artículo 364 de la RNRCSF, relativo a las obligaciones del emisor del instrumento electrónico y respecto del cual se plantean las modificaciones referidas en el presente artículo.

Esta sanción se establece para las Instituciones de Intermediación Financiera (artículo 690.5); Casas de Cambio y Empresas de Servicios Financieras (artículo 707.3); Empresas Administradoras de Crédito (artículo 712.3); Empresas de Transferencia de Fondos (artículo 717.2); y Empresas Administradoras de Plataformas para Préstamos entre Personas (artículo 720.3).