Con fecha 29 de mayo de 2020, se publicó en el Diario Oficial y entró en vigencia la Ley N°21.234, que modifica y sustituye todo el articulado de la Ley N°20.009, que “Limita la Responsabilidad de los Titulares o Usuarios de Tarjetas de Pago y Transacciones electrónicas en caso de Extravío, Hurto, Robo o Fraude”, ampliando su ámbito de aplicación y estableciendo, además de un nuevo régimen de limitación de responsabilidad por uso no autorizado de medios de pago, un nuevo catálogo de conductas que constituyen el delito de uso fraudulento de tarjetas de pago y transacciones electrónicas (la “Nueva Ley”).

Modificaciones a las Leyes 20.009 y 19.913

La Nueva Ley modifica el tipo penal ya existente y su penalidad, incluyéndolo además como delito base de Lavado de Activos, y estableciendo medidas de seguridad para la prevención de comisión de ilícitos.

Conductas constitutivas de delito

• Viene a complementar el catálogo que estaba antiguamente contenido en la Ley 20.009, ampliando las modalidades mediante las cuales se ejecutan las conductas constitutivas del delito de uso fraudulento de tarjetas de pago y transacciones electrónicas, agregando a las tarjetas de crédito o débito que ya existentes, la provisión de fondos, cuentas que permitan el pago por medios electrónicos (incluyendo claves, y demás credenciales de seguridad u autenticación), y en general, cualquier medio de pago distinto del dinero en efectivo, cheque o vales vista, todo con miras a proteger a los usuarios de los fraudes informáticos (phishing, pharming y skimming, entre otros).

• Agrega a las operaciones fraudulentas antes contempladas, dos nuevas conductas constitutivas del delito:
  • La conducta de suplantar la identidad del titular o usuario frente al emisor, operador o comercio afiliado, para obtener la autorización que sea requerida para realizar transacciones.
  • La de obtener maliciosamente, para sí o para un tercero, el pago total o parcial indebido, sea simulando la existencia de operaciones no autorizadas, provocándolo intencionalmente, o presentándolo ante el emisor como ocurrido por causas o en circunstancias distintas a las verdaderas.

• Pena aplicable: Agrava la pena que estaba anteriormente establecida, aumentando la sanción mínima de presidio menor en cualquiera de sus grados, a la pena de presidio menor en su grado medio a máximo, esto es de 541 días a 5 años y multa correspondiente al triple del monto defraudado.

Compliance

Medidas de seguridad para la prevención de comisión de ilícitos

La Nueva Ley exige a los emisores que adopten medidas de seguridad que prevengan la comisión de los ilícitos establecidos en la Nueva Ley y que resguarden la prestación segura del servicio respecto al estándar contemplado para los proveedores en la Ley Nº 19.496 sobre protección de los derechos de los consumidores.

Las medidas de seguridad deberán considerar, al menos, los siguientes elementos:

• Contar con sistemas de monitoreo que tengan como objetivo detectar operaciones que no correspondan al comportamiento habitual de los usuarios.

• Implementar procedimientos internos que gestionen las alertas generadas por dichos sistemas de monitoreo.

• Identificar patrones de potenciales fraudes, conforme a las prácticas de la industria y recomendaciones, los que deberán incorporarse al sistema de monitoreo de operaciones

• Establecer límites y controles en los diversos canales de atención que permitan mitigar las pérdidas por fraude. Los referidos límites y controles deberán basarse en consideraciones de riesgo objetivas, generales y no discriminatorias, en relación con la naturaleza del medio de pago y la clase de operaciones que permitan realizar.

Nuevo delito base de lavado de activos y medidas de compliance

La Ley modifica el artículo 27 de la Ley N° 19.913, que creó a la Unidad de Análisis Financiero (UAF), incorporando como delito base de lavado de activos el uso fraudulento de tarjetas de pago y transacciones electrónicas, derivado de las conductas establecidas en el artículo 7º.

Lo anterior implica que los sujetos obligados ante la UAF (por ejemplo, bancos e instituciones financieras) deberán incorporar este nuevo delito base en sus sistemas de prevención, lo que incluye, al menos, gestionar los riesgos derivados de este delito.

Asimismo, las personas jurídicas –independientemente si son o no sujetos obligados- deberán incluir en sus programas de compliance o modelos de prevención de delitos de la Ley 20.393, este nuevo delito base, puesto que uno de los criterios de responsabilidad penal de las personas jurídicas es la comisión de lavado de activos, el cual se amplió con el uso fraudulento de tarjetas de pago y transacciones electrónicas.