La Comisión de la Oficina Regional de Cajamarca confirmó la sanción impuesta a Scotiabank Perú S.A.A., al concluir que el banco no adoptó las medidas de seguridad necesarias para resguardar la tarjeta de crédito de un cliente. Según la resolución, la entidad incumplió el artículo 19 del Código de Protección y Defensa del Consumidor, al no demostrar que las operaciones cuestionadas se realizaron bajo protocolos de validación seguros.
En ese contexto, se ratificó una multa de 3.78 UIT, luego de que el recurso de apelación presentado por el banco fuera declarado infundado. La autoridad determinó que Scotiabank no logró acreditar que verificó adecuadamente la identidad del usuario al momento de procesar los consumos observados.
Como parte de las medidas correctivas, Indecopi ordenó al banco devolver, en un plazo de 15 días hábiles, el monto de las operaciones no reconocidas, incluyendo intereses, comisiones y cualquier cargo asociado. Asimismo, deberá regularizar el historial crediticio del cliente ante las centrales de riesgo y asumir los costos del procedimiento.
La resolución agota la vía administrativa, por lo que su cumplimiento es obligatorio para la entidad financiera.
Sumilla. Se declara infundado el recurso de apelación interpuesto por Scotiabank Perú S.A.A., y; en consecuencia, se confirma la Resolución Final 0216-2025/PS0-INDECOPI-CAJ emitida por el OPS el 7 de agosto de 2025, en el extremo que declaró fundada la imputación planteada en su contra por infracción al artículo 19 del Código; en tanto, no está acreditado que haya adoptado las medidas de seguridad necesarias para verificar que las operaciones detalladas en el Cuadro N° 01, efectuadas con cargo a la tarjeta de crédito del señor XXXX.
SANCIÓN: 3.78 UIT
RESOLUCIÓN 0065-2026/INDECOPI-CAJ
DENUNCIANTE : XXXX
DENUNCIADO : SCOTIABANK PERÚ S.A.A.
MATERIA : IDONEIDAD DEL PRODUCTO Y/O SERVICIO
ACTIVIDAD : OTROS TIPOS DE INTERMEDIACIÓN MONETARIA
Cajamarca, 17 de febrero de 2026
I. ANTECEDENTES
1. Mediante Resolución 01 del 18 de junio de 2025, en atención a la denuncia presentada por el señor XXXX (en adelante, señor XXX), el Órgano Resolutivo de Procedimientos Sumarísimos adscrito a la Oficina Regional del Indecopi de Cajamarca (en adelante, OPS) resolvió iniciar un procedimiento administrativo sancionador contra Scotiabank Perú S.A.A.1 (en adelante, Scotiabank) por presuntas infracciones a la Ley 29571, Código de Protección y Defensa del Consumidor2 (en adelante, el Código), en los siguientes términos:
“(…)
(…)
PRIMERO: iniciar un procedimiento administrativo sancionador contra Scotiabank Perú S.A.A. por una presunta infracción al artículo 19 del Código, en tanto, habría cometido la siguiente conducta infractora:
– No habría adoptado las medidas de seguridad necesarias para detectar que las operaciones detalladas en el del Cuadro n° 01, efectuadas con la tarjeta de crédito n° 4141-****-****-5426 del señor XXX, no fueron válidamente autorizadas.
(…)
SEGUNDO: iniciar un procedimiento administrativo sancionador contra Scotiabank Perú S.A.A. por una presunta infracción al artículo 88 del Código, en tanto, habría cometido la siguiente conducta infractora:
– No habría cumplido con atender, dentro del plazo legal establecido, el reclamo que presentó el señor XXX el 1 de mayo de 2025.”
2. El 27 de junio de 2026, Scotiabank se apersonó al procedimiento y formuló sus descargos, manifestando lo siguiente:
(i) Las dos (2) operaciones realizadas por el señor XXX se ejecutaron desde la Banca Virtual con la autenticación de la clave de internet (alfanumérica) y una clave OTP. Asimismo, cada uno de los movimientos generó códigos criptográficos para evitar ataques de hombre en el medio;
(ii) posteriormente, notificaron al señor XXX sobre la realización de las operaciones controvertidas, a través de correos electrónicos enviados a la dirección electrónica registrada por el consumidor ante su entidad;
(iii) sin perjuicio de ello, debía valorarse la negligencia del señor XXX, quien habría expuesto su información sensible frente a terceros, posibilitando así la realización de las operaciones no reconocidas;
(iv) los sistemas de monitoreo no son predictivos, sino que estos adoptan medidas de seguridad luego de realizada la operación sospechosa. Asimismo, para que un consumo sea calificado como inusual, deben concurrir múltiples características (importe, lugar, tipo de operación, entre otros);
(v) para el caso en concreto, la segunda operación fue detectada como sospechosa por su sistema de monitoreo, luego de lo cual procedieron a bloquear preventivamente la tarjeta de crédito del señor XXX, y;
(vi) respecto a la falta de atención del reclamo dentro del plazo legal, formulaba allanamiento, por lo que debía de ser amonestado y exonerado del pago de los costos, respecto de dicho extremo; de conformidad con el artículo 112 del Código.
3. El 4 de julio de 2026, el señor XXX absolvió los descargos de Scotiabank; así, negó haber recibido las claves OTP para aprobar las operaciones, y a su vez, señaló que únicamente acostumbraba a realizar movimientos que no superaron los S/ 500.00 mensuales.
4. Mediante Resolución Final 0216-2025/PS0-INDECOPI-CAJ del 7 de agosto de 2025, el OPS resolvió lo siguiente:
(i) Declarar fundada la imputación planteada contra Scotiabank por infracción al artículo 19 del Código; en tanto, consideró que no adoptó las medidas de seguridad necesarias para verificar que las operaciones detalladas en el Cuadro N° 01, efectuadas con la tarjeta de crédito del señor XXX, no fueron válidamente autorizadas, y lo sancionó con 3.78 Unidades Impositivas Tributarias (en adelante, UIT);
(ii) declarar fundada la imputación planteada contra Scotiabank por infracción al artículo 88 del Código; en mérito al allanamiento que formuló sobre la imputación consistente en no haber atendido dentro del plazo legal establecido el reclamo presentado por el señor XXX el 1 de mayo de 2025, y lo sancionó con Amonestación;
(iii) ordenar como medida correctiva que, en el plazo máximo de quince (15) días hábiles contado a partir del día hábil siguiente de notificado con la resolución, Scotiabank cumpla con: a) extornar a la tarjeta de crédito del señor XXX las operaciones detalladas en el Cuadro N° 01, así como los intereses, comisiones, gastos y penalidades que hayan generado; y, b) rectificar los reportes crediticios del consumidor en la central de riesgos de la Superintendencia de Banca, Seguros y AFP (en adelante, SBS) derivados por dichas operaciones;
(iv) ordenar a Scotiabank el pago de las costas y costos del procedimiento y disponer que en un plazo no mayor a quince (15) días hábiles, contados a partir del día siguiente de la notificación de la Resolución, cumpla con el pago de las costas de esta instancia al señor XXX ascendente a S/ 36.00, sin perjuicio del derecho de éste de solicitar la liquidación de los costos una vez concluida la instancia administrativa, y;
(v) disponer la inscripción de Scotiabank en el Registro de Infracciones y Sanciones del Indecopi, una vez que la Resolución quede firme en sede administrativa, conforme a lo establecido en el artículo 119 del Código.
5. El 11 de setiembre de 2025, Scotiabank apeló la Resolución Final 0216-2025/PS0-INDECOPI-CAJ, únicamente sobre el extremo que lo sancionó por infracción al artículo 19 del Código, reiterando lo expuesto en sus descargos, y a su vez, agregó lo siguiente:
(i) No era posible que considerasen al consumo del numeral 1 del Cuadro N° 01 como sospechoso, porque era el primero en efectuarse en el día y su importe no superó la línea de crédito asignada al señor XXX;
(ii) de lo contrario, se afectaría la libertad del consumidor de transaccionar con el medio de pago, pues ya no podría realizar un nuevo consumo en un establecimiento diferente al acostumbrado. Sin perjuicio de ello, reiteraban que la segunda operación sí activó su sistema, y;
(iii) la Comisión de Protección al Consumidor N° 01 (en adelante, CC1) ya ha dicho que los sistemas de monitoreo no pueden evitar la realización de un movimiento realizado casi de manera inmediata al que es calificado como sospechoso, lo cual aplicaba al caso de la segunda operación controvertida, que fue ejecutada poco más de un minuto después.
6. Finalmente, se deja constancia que en la medida que el extremo de la resolución venida en grado, que declaró responsable a Scotiabank por infracción al artículo 88 del Código, no fue apelada por ninguna de las partes, este se encuentra consentido.
II. ANÁLISIS
7. El artículo 19 del Código establece un supuesto de responsabilidad administrativa conforme al cual los proveedores son responsables por la calidad e idoneidad3 de los productos y/o servicios que ofrecen en el mercado. Por su parte, de la lectura del artículo 104 del mismo cuerpo legal, se entiende que la carga de la prueba recae primero en el consumidor, quien debe acreditar la existencia del defecto y luego el proveedor deberá demostrar que no le es imputable4 .
8. Las tarjetas de crédito son definidas como instrumentos físicos o digitales otorgados por la entidad financiera, que permiten, según lo pactado con el usuario, realizar pago de bienes, servicios u obligaciones, con cargo a una línea crediticia. Ahora, de la valoración conjunta de los artículos 15 al 22 del Reglamento de Tarjetas, así como en observancia de la metodología establecida por la Sala Especializada en Protección al Consumidor (en adelante, la Sala) 5 , los proveedores deben adoptar las siguientes medidas de seguridad frente a dichas operaciones:
(i) En primer orden, realizar un análisis sistemático de la información histórica de las transacciones de sus clientes para detectar aquellas atípicas o fraudulentas, adoptando a su vez las medidas de seguridad correspondientes: alerta al usuario y bloqueo del producto financiero (monitoreo).
(ii) De verificarse el cumplimiento de lo anterior, en segundo lugar, constatar la autenticidad y vigencia de la tarjeta, así como la autenticación de los métodos de verificación de identidad y/o de autorización del tarjetahabiente (requisitos de autenticación).
9. Respecto al deber de monitoreo, el numeral 5 del artículo 2 del Reglamento de Tarjetas define que el comportamiento habitual de consumo lo representa las operaciones que usualmente realiza el usuario, considerando diversos factores como el país de consumo, tipos de comercio, frecuencia, canal utilizado, entre otros6 . Complementariamente, la Sala considera que la inactividad en el producto financiero también constituye una característica de comportamiento habitual7 ; mientras que el artículo 17 del Reglamento de Tarjetas exige que durante el seguimiento de operaciones se identifiquen aquellas que puedan corresponder a patrones de fraude8 .
10. En cuanto a los requisitos de autenticación, tratándose de operaciones efectuadas en canales digitales, es de aplicación la Resolución SBS N° 504-2021, Reglamento de Gestión de la Seguridad de la información y la Ciberseguridad (en adelante, Reglamento de Ciberseguridad), la cual establece que las medidas para constatar la identidad del usuario, se dividen en las siguientes “categorías”: (i) algo que solo el usuario conoce, por ejemplo, contraseña, PIN, entre otros; (ii) algo que solo el usuario posee, por ejemplo, token (físico o digital), clave dinámica, entre otros y; (iii) algo que el usuario es, por ejemplo, biometría dactilar o facial, entre otros.
[Continúa…]
