Indecopi confirma multa de S/20.000 a Scotiabank por fallas en la seguridad de tarjeta de crédito de cliente

La Comisión de la Oficina Regional de Cajamarca confirmó la sanción impuesta a Scotiabank Perú S.A.A. por 3,78 UIT (S/20.790) tras constatar que el banco no implementó las medidas de seguridad necesarias para resguardar la tarjeta de crédito de un cliente. Mediante la Resolución 0065-2026/INDECOPI-CAJ el Indecopi indica que la entidad vulneró el artículo 19° del Código de Protección y Defensa del Consumidor al no demostrar que las operaciones cuestionadas fueron validadas bajo protocolos seguros.

El caso se centra en transacciones efectuadas con medio de pago electrónico del afectado, cada una por S/299, las cuales no fueron autorizadas válidamente. Tras evaluar el recurso de apelación del banco, la autoridad determinó que no pudo probar que aplicó controles básicos para verificar la identidad del usuario al momento de procesar los consumos. Esto motivó la ratificación de la multa y la obligación de adoptar medidas correctivas.

Medidas correctivas que debe cumplir Scotiabank tras fallo

Además de la multa económica, el Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual ordenó acciones inmediatas para reparar el daño al consumidor. Entre estas, Scotiabank deberá devolver los S/598 correspondientes a las operaciones no reconocidas en un plazo de 15 días hábiles, incluyendo intereses, comisiones y penalidades que se hayan generado.

La institución financiera también está obligada a rectificar el historial crediticio del cliente ante las centrales de riesgo y cubrir los gastos legales asociados al proceso. Estas medidas buscan restablecer la seguridad financiera del afectado y garantizar que la entidad cumpla con los estándares de protección al consumidor.

Transacciones no reconocidas en Banca Virtual de Scotiabank

El expediente revisado por Indecopi evidencia que Scotiabank no adoptó mecanismos adecuados para detectar operaciones no autorizadas realizadas con la tarjeta del usuario. Las dos operaciones en cuestión se ejecutaron desde la Banca Virtual utilizando la clave de internet (alfanumérica) y un código OTP, generando códigos criptográficos para proteger cada transacción. Posteriormente, el banco notificó al cliente sobre estos movimientos mediante correos electrónicos.

La autoridad también consideró la posible negligencia del consumidor al exponer su información sensible a terceros. Sin embargo, el usuario negó haber recibido las claves OTP y afirmó que sus movimientos habituales no superaban los S/500 mensuales, mientras que la demora en la atención de su reclamo llevó a que el banco fuera amonestado y exonerado de los costos asociados, conforme al artículo 112 del Código.

Cabe señalar que la resolución mencionada agota la vía administrativa, lo que implica que la entidad financiera está obligada a cumplir con lo dispuesto de manera inmediata.