RESPONSABILIDAD BANCARIA POR LAS
TARJETAS MAGNETICAS
Autor: EDUARDO ANIBAL MARSALA y DIEGO BRULLO
PONENCIA: Existe responsabilidad del Banco cuando no ha
elegido un software seguro para la confección de sus tarjetas de debito o
crédito, permitiendo la copia de las mismas, aún cuando se haya divulgado el
password y dicha responsabilidad no debe aplicarse únicamente cuando existen
damnificados múltiples sino también cuando el sujeto que sufrió el perjuicio es
uno solo.
I.- PRELIMINAR: Hace años que en sucesivas ponencias venimos
postulando la invalidez de las clausulas limitativas de responsabilidad que
establecen los bancos respecto a la liberación de responsabilidad por la
divulgación que efectúe el cliente del password o clave personal.
Asi, veniamos postulando: “¿ EL SISTEMA ES
SEGURO ?:
He aquí la
cuestión fundamental, que pretendo traer
a debate. El sistema implementado
resulta seguro ?. ¿ Y en caso negativo, quién es el responsable ?.
Los Bancos
como "oferentes del sistema" suelen incluir una serie de cláusulas
eximentes de responsabilidad, las cuales resultan indudablemente (ya así lo ha
interpretado la jurisprudencia) nulas. Entre ellas, se puede mencionar:
a) Las cláusulas por las cuales el Banco
hace únicamente responsable al usuario por el "uso indebido del password o
el uso del mismo por terceras personas" pues como veremos posteriormente
puede existir supuestos en los cuales la utilización de la clave por parte de
terceros puede no resultar culpa del usuario.
b) Aquellas, por las cuales el
cliente debe aceptar la eximición de responsabilidad por parte de la entidad
financiera de los daños y perjuicios que pudieran ocasionarse por errores y
fallas en los equipos o líneas o cualquier otra circunstancia, de cualquier
origen, que impida el normal funcionamiento del sistema. Consecuentemente, el
cliente asume en estos supuestos la consecuencia del caso fortuito y/o fuerza
mayor derivados de los eventos referidos.
c) En otros casos, los términos y
condiciones redactados estipulan que el banco no se responsabilizará por los
errores u omisiones sobre la información brindada por terceros que publicitan
en el sitio del Banco, o que a través de un link de acceso colocado en la
página web del Banco se puede ingresar en sus páginas.
Pero sin perjuicio de tales
cláusulas predispuestas, la responsabilidad
podrá resultar del Banco.
La elección
del sistema electrónico utilizado es responsabilidad de la entidad oferente,
debe asegurarse que se trata de una "ambiente tecnológico técnicamente
confiable y seguro". El banco es
responsable de los defectos del hardware
como el software, ya la que imputación de responsabilidad le corresponde a
aquel que procede a la elección de los mismos. El usuario no tiene
elección respecto de los medios tecnológicos que se utilizan, salvo en lo que
hace a su propia PC. (1)
De tal forma:
que propugnábamos: En los casos de uso indebido del
password se debe invertir la carga de la prueba, y existir una presunción a
favor del usuario. (1)
II.-
HECHOS: Recientemente,
han salido 2 fallos, que no solo siguen nuestra postura, sino que han dado un
paso mas allà.
COMPLETAR: LOS FALLOS 15 RENGLONES CON EL RESUMEN DE CADA UNO.
III.- DOCTRINA DE LOS FALLOS: De los mismos se deduce, que la jurisprudencia ha avanzado en los
siguiente lineamientos:
- La confianza en el sistema no radica unicamente en la confidencialidad del password, sino principalmente en el sistema de software utilizado por el banco, para la confeccion de un sistema de tarjetas magnéticas inviolable. Ello, es así, porque si el sistema utilizado por el banco resultase suficientemente seguro, por mas que un tercero hubiera tomado conocimiento de la clave de identificación personal, de nada le serviría sino hubiera podido copiar la tarjeta.
- Dicho software debe evitar que se puedan confeccionar tarjetas mellizas.
- El banco no queda liberado de responsabilidad por la divulgación del password.
IV.- EL SOFWARE DE UNA TARJETA: A que nos
estamos refiriendo?. Cuando hablamos de
una Tarjeta de Debito, estamos
hablando de una “Tarjeta Inteligente”,
que se la define como: Una tarjeta inteligente es una tarjeta de plástico
del tamaño de una tarjeta de crédito con un circuito integrado construido en
él. Este circuito integrado puede consistir solamente de EEPROM en el caso de
una tarjeta de memoria, o también puede contener ROM, RAM y hasta un CPU. La
mayoría de las tarjetas inteligentes han sido diseñadas con la apariencia de
una tarjeta de crédito o débito, pero puede funcionar por lo menos en tres
niveles (de crédito - débito - información personal). La tarjeta inteligente es
un mini-ordenador sin la pantalla y el teclado. Las tarjetas inteligentes
contienen un microchip con un circuito integrado capaz de procesar y almacenar
miles de bytes de datos electrónicos. Debido a la portabilidad y el tamaño de
las tarjetas inteligentes que se ven como la próxima generación de intercambio
de datos. (2)
Las tarjetas inteligentes contienen un sistema
operativo al igual que los ordenadores personales. Las tarjetas inteligentes
pueden almacenar y procesar la información y son totalmente interactivos.
Avanzada tarjetas inteligentes contienen también una estructura de archivos con
claves secretas y algoritmos de cifrado. Debido al sistema de ficheros cifrado,
los datos pueden ser almacenados en archivos separados, con plena seguridad. (2)
La tarjeta inteligente es un dispositivo electrónico
de registro. La información contenida en el microchip puede comprobar
instantáneamente el titular de la tarjeta de identidad y los privilegios a los
que el titular de la tarjeta puede tener derecho. Información, como las
retiradas, las ventas, y los proyectos de ley pueden ser procesados de
inmediato y si / cuando sea necesario, los registros pueden ser transmitidas a
una computadora central para el archivo de actualización. (2)
SEGURIDAD:
Una de las principales cuestiones a tener en cuenta, a los efectos de
determinar si las Tarjetas inteligentes cumplen con las normas de seguridad, es
determinar si las mismas cuenta con la
ISO 7816, que es es una familia de
normas que tratan principalmente con los aspectos de interoperabilidad de
tarjetas inteligentes con respecto a la comunicación las características,
propiedades físicas, y la aplicación de los identificadores y datos de chips
implantados.
QUE ES EL SOFTWARE DE UNA TARJETA INTELIGENTE
(DEBITO):
Es el programa con
el que se confeccionan las tarjetas, y el que les dá mayor o menor grado de
seguridad a las mismas.
En ese sentido, el
Banco debe asegurarse que el software elegido sea inviolable, y no pueda ser
copiado a tarjetas mellizas, mediante lectoras de tarjetas, fácilmente
conseguibles en el mercado, y que usualmente son colocadas en los mismos
cajeros automáticos, para leer todas las tarjetas que se introducen en el
mismo, y copiar los datos almacenados en la misma.
Por lo expuesto, el
sistema de seguridad, se fundamenta en dos aspectos:
1.- La clave de
identificación personal.
2.- La Tarjeta inteligente.
El tercero que
intenta un fraude requiere de ambas cosas para poder ejecutarlo, de nada le
servira contar con la clave de identificación, sino a podido copiar la tarjeta,
y de nada le servirá esta, sino cuenta con la clave.
Por ello, resulta
fundamental la eleccion del software que resulte mas seguro a la inviolabilidad
del sistema de tarjetas, y el Banco como entidad profesional, tiene una
responsabilidad agravada en tal sentido.
Ya hemos dicho que
es el Banco, quien elije el sistema, quien lo ofrece a sus clientes y lo hace
garantizando la seguridad del mismo.
IV.-
CONCLUSION: Nuestra postura,
acompaña la doctrina de los fallos citados, y propugna la responsabilidad del
Banco cuando no ha elegido un software seguro para la confección de sus
tarjetas de debito o crédito, y dicha responsabilidad no debe aplicarse
únicamente cuando existen damnificados múltiples sino también cuando el sujeto
que sufrió el perjuicio es uno solo.
(1) Ponencias presentadas
en: a) Primer Congreso Internacional De
Derecho Comercial y De Los Negocios. Facultad De Derecho De La Universidad De
Buenos Aires, junio 2007 b) I Congreso
Nacional de Derecho Bancario, en Lomas de Zamora 2007 c) XXXVIII Encuentro De
Institutos De Derecho Comercial De Los Colegios De Abogados De La Provincia De La Provincia De Buenos
Aires. Necochea, Noviembre De 2003.
d) XXXIX Encuentro De Institutos De Derecho Comercial De Los Colegios De
Abogados De La Provincia
De La
Provincia De Buenos Aires. Lomas De Zamora, Mayo De 2004
(2) Conforme: http://es.tech-faq.com/smart-card.shtml
No hay comentarios:
Publicar un comentario