POR DR. JAIME CALLALLA MAMANI
Don Marino tiene 70 años. Es jubilado, pensionista por invalidez definitiva, con discapacidad física y problemas de visión. Nunca usó el aplicativo del BCP para transferencias, solo Yape, para montos de hasta S/ 500, porque el sistema de banca móvil le resultaba incomprensible. El 25 de agosto de 2025, su teléfono fijo sonó. Una persona dijo ser representante del banco. Le habló de un beneficio. Le pidió datos. Se los dio.
Veinte minutos después, su celular mostró dos notificaciones donde se señalaba que S/ 28,560 y S/ 20,706 habían sido transferidos vía TUPAY. Operaciones que él jamás realizó. Además, encontró en su correo la notificación de un crédito personal de S/ 4,865.00 que el banco le había abierto sin su consentimiento.
Fue a la comisaría. Luego, al banco. El BCP le dijo que no devolvería nada y que las operaciones se realizaron con sus credenciales, que el monitoreo no determina la validez de una transacción y que el Reglamento de Ciberseguridad aún estaba en período de adecuación.
Don Marino fue al Indecopi de San Martín. Y allí se generó la Resolución N.° 0070-2026/INDECOPI-SAM, del 09 de abril de 2026, donde se daba por fundada la denuncia. El BCP infringió el artículo 19.° del Código de Protección y Defensa del Consumidor.
El razonamiento central consistía en que los estados de cuenta del señor Santillán demostraron que el mayor monto que había movido previamente era S/ 2,503 y que las operaciones cuestionadas lo superaron más de diez veces. El artículo 17.° del Reglamento de Tarjetas, aprobado por Resolución SBS N.° 6523-2013, exige detectar y bloquear operaciones inusuales. El BCP no lo hizo.
El criterio jurídico más importante del fallo fue que, cuando una operación es inusual, es decir, cuando no guarda relación con el comportamiento habitual de consumo del cliente, el banco no puede escudarse en que las credenciales fueron usadas correctamente. La inusualidad sola basta para determinar su responsabilidad. No se evalúa la validez de la autenticación. Este criterio protege especialmente a consumidores vulnerables que no dominan la banca digital.
El argumento del “período de adecuación” fue rechazado: el plazo venció el 01 de julio de 2025 y los hechos ocurrieron el 25 de agosto de 2025. Sobre el seguro de fraude, se declaró improcedente contra el banco, que solo actúa como intermediario. Quien debe responder por la cobertura es la compañía aseguradora. Sobre el crédito no autorizado, también se declaró improcedente, porque el banco lo anuló antes de que don Marino presentara su denuncia. Sin perjuicio vigente, no hay interés para obrar.
La Sala Especializada en Protección al Consumidor, mediante Resolución 426-2023/SPC-INDECOPI, estableció que el deber de monitoreo es una medida de seguridad legal obligatoria. El incumplimiento en la detección de fraudes, cargo de operaciones, se considera una prestación de servicio financiero no idóneo.
Los bancos incumplen el deber de idoneidad, previsto en el artículo 19.° del Código de Protección y Defensa del Consumidor en Perú, cuando no adoptan medidas de seguridad necesarias para validar la identidad de sus clientes, resultando en consumos no reconocidos o fraudes. La normativa exige que las entidades financieras garanticen la seguridad de las transacciones y respondan por la falta de verificación adecuada. Los bancos no son intermediarios pasivos; deben activar mecanismos de alerta ante movimientos fuera del comportamiento habitual del usuario.
Aquí los detalles importantes sobre el incumplimiento del deber de idoneidad bancaria, donde Indecopi sanciona a bancos que no bloquean operaciones sospechosas o fuera del perfil del consumidor, obligando a la devolución de dinero y, en ocasiones, al pago de multas de hasta más de 20 UIT.
Falla en validación biométrica/presencial: si el banco no logra demostrar que verificó adecuadamente la identidad del usuario, por ejemplo, en cajeros o con uso de fotos, y ocurren robos, se considera una violación a la idoneidad del servicio.
