Por Raúl Arrieta Cortés*
Ocho transferencias. Cerca de trece millones de pesos. Un destinatario nuevo. Todo en un espacio de tiempo muy breve.
Esos fueron algunos de los elementos considerados por la Corte Suprema en el caso Rol N.º 34.546-2025. El banco sostuvo que las operaciones habían sido autenticadas mediante cuatro claves 3.0 enviadas al teléfono registrado del representante de la empresa. La Corte estimó que aquello no era suficiente para acreditar el consentimiento del cliente ni el cumplimiento del deber de prevención del fraude.
A mi entender, el interés del caso no está sólo en su resultado. Su importancia radica en que permite observar algo más amplio: el estándar de cumplimiento al que estamos acostumbrados comienza a cambiar.
Ya no parece suficiente contar con políticas, mecanismos de autenticación y controles formalmente adecuados. Empieza a exigirse que las organizaciones puedan demostrar cómo funcionaron esos mecanismos frente a un riesgo concreto y qué decisiones se adoptaron a partir de la información disponible.
Esta evolución merece atención ahora que se aproxima la entrada en vigencia de la Ley N.º 21.719 sobre tratamiento de datos personales. La nueva regulación entrega principios, obligaciones y mecanismos de responsabilidad, pero probablemente no nos ha dado, ni podría darnos, luces sobre todas las formas en que esos deberes serán o podrán ser exigidos en la práctica.
No es una razón para temerle a la nueva regulación, sino una advertencia para prepararse de una manera diferente.
La sentencia ofrece un ejemplo concreto. Que un sistema valide correctamente unas credenciales demuestra que las claves fueron aceptadas, pero no necesariamente que el titular haya autorizado la operación. La seguridad no se agota, por tanto, en comprobar la autenticación. También exige observar el contexto: la frecuencia de las operaciones, sus montos, los destinatarios, los dispositivos y puntos de acceso utilizados, y su relación con el comportamiento histórico del cliente.
En otras palabras, el sistema no sólo debe verificar claves. También debe mirar lo que ya sabe.
Aquí aparece la conexión con la protección de datos personales. Para detectar una operación anómala, una institución financiera necesita tratar información: movimientos, montos, horarios, destinatarios, teléfonos, dispositivos, direcciones IP, eventos de autenticación y patrones de conducta.
La cuenta discutida pertenecía a una empresa, por lo que no toda la información asociada a ella constituye un dato personal. Pero sí puede serlo aquella que identifica o hace identificable a su representante o a los usuarios autorizados.
La pregunta no es si el banco puede utilizar esos datos para prevenir el fraude. En principio, puede hacerlo y la regulación sectorial exige que lo haga.
La Ley N.º 20.009 obliga a los emisores a adoptar medidas de seguridad, contar con sistemas de monitoreo capaces de detectar operaciones que no correspondan al comportamiento habitual del usuario, gestionar alertas e identificar patrones de fraude. La regulación financiera agrega deberes de vigilancia, trazabilidad, bloqueo y evaluación de riesgos.
La Ley N.º 21.719, que entrará en vigencia el 1 de diciembre de 2026, permite profundizar esa lectura. El tratamiento podrá fundarse, según corresponda, en una obligación legal, en la ejecución de un contrato o en la satisfacción de intereses legítimos, siempre que se respeten los derechos del titular.
El banco no deberá pedir un nuevo consentimiento cada vez que analiza una transferencia para prevenir un fraude. Pero esa habilitación tampoco permite un tratamiento ilimitado. Los datos deben utilizarse para fines específicos y lícitos, y limitarse a aquellos que sean necesarios, adecuados y pertinentes.
La prevención del fraude justifica mirar. No justifica mirar cualquier cosa ni hacerlo con cualquier finalidad.
En el caso, la Corte consideró que las ocho transferencias realizadas en un período muy breve, por un total de $12.926.058 y a favor de un destinatario nuevo daban cuenta, al menos, de un comportamiento poco habitual. Desde esa perspectiva, la validación de las claves debía analizarse junto con el resto de la información que el sistema había producido.
La sentencia también aborda la carga de la prueba. La Corte de Apelaciones había inferido la culpa grave de la empresa a partir de ciertos pasajes de la declaración de su representante. La Corte Suprema estimó que esa valoración trasladó al usuario la obligación de demostrar su diligencia, cuando correspondía al banco acreditar el dolo o la culpa grave.
La existencia de registros tecnológicos, entonces, no resuelve por sí sola la controversia. Es necesario explicar qué acreditan esos registros, cómo se relacionan entre sí y qué permiten concluir sobre la autorización de la operación y el funcionamiento de las medidas de seguridad.
La Ley N.º 21.719 incorporará una lógica complementaria. El responsable no sólo deberá tratar lícitamente los datos, sino también ser capaz de demostrarlo. Frente a un incidente o una controversia, tendrá que acreditar la existencia y el funcionamiento de las medidas de seguridad adoptadas.
Esto modifica la forma de comprender los registros tecnológicos. Los datos pueden mostrar que una clave fue ingresada correctamente, pero también que una operación se apartó del patrón habitual. Pueden servir para reconstruir un fraude y, al mismo tiempo, para explicar cómo respondió la organización ante las señales disponibles.
El cambio de estándar aparece justamente ahí. Durante mucho tiempo, la pregunta principal ha sido si un control existía. La pregunta que pareciera comienza a aparecer es si ese control era adecuado para comprender el riesgo y si funcionó cuando fue necesario.
Se pasa así de una revisión estática del cumplimiento a una evaluación de su eficacia. No se trata únicamente de acreditar que una organización cuenta con herramientas, sino de poder explicar qué información produce, cómo se interpreta y qué decisiones generan.
La nueva regulación ofrece el marco para esta evolución, pero no un inventario completo de sus consecuencias. Las exigencias concretas se irán precisando en sentencias, decisiones de la futura Agencia, regulación sectorial e incidentes que enfrenten los principios legales con tecnologías y riesgos determinados.
Lo que quiero resaltar no es que las organizaciones deban adivinar obligaciones futuras, sino que deberían dejar de diseñar sus modelos de cumplimiento como estructuras cerradas, preparadas únicamente para responder las preguntas que hoy conocemos.
Prepararse para la Ley N.º 21.719 también significa revisar la eficacia de los controles, desarrollar la capacidad de justificar decisiones y construir sistemas capaces de aprender. Significa preguntarse no sólo qué datos pueden tratarse, sino qué muestran, quién debe observarlos y qué debe ocurrir cuando revelan un riesgo.
La sentencia no se funda en la Ley N.º 21.719. Pero ayuda a anticipar una de las formas en que su lógica puede comenzar a manifestarse: disponer de más información amplía la capacidad de prevención y, al mismo tiempo, eleva la expectativa de que esa información sea utilizada de manera lícita, responsable y eficaz.
*Raúl Arrieta Cortés
GA-Abogados
