Según la definición del Reglamento de Tarjetas de Crédito y Débito, el comportamiento habitual o patrón de consumo se refiere al tipo de operaciones que usualmente realiza cada usuario con sus tarjetas, considerando diversos factores (p.e. el país de consumo, tipos de comercio, frecuencia, canal utilizado, entre otros), los cuales pueden ser determinados a partir de la información histórica de las operaciones de cada usuario que registra la empresa (artículo 5.2).
Tal como se advierte de la propia definición de la disposición normativa, se entiende como "tipo de operaciones que usualmente realiza cada usuario" a aquellas operaciones recurrentes, normales, comunes o usuales. Ello, descarta a las operaciones anormales, inusuales, aisladas, etc. Al tratarse de un concepto indeterminado y traer consigo cierta subjetividad, se requiere que sea completado con elementos de carácter objetivo. Por ello, la definición se completa con un criterio de determinación: "a partir de la información histórica de las operaciones de cada usuario".
O sea, el carácter usual o inusual de las operaciones estará determinado por la información histórica que registre el usuario con su tarjeta de crédito o débito. Ahora bien, para darle contenido a esa correlación, la definición agrega algunos ejemplos: país de consumo, tipo de comercio, frecuencia, canal utilizado, etc. Esto último, constituye a nivel ejemplificativo una suma de criterios que únicamente podrá materializarse a través del análisis de casos concretos, esto es, de usuarios en específico. Cada usuario se comporta de manera diferente.
A pesar de que dicha definición tiene algunas características objetivas, aún mantenía cierto grado de indeterminación: ¿cuál es el significado de "usualmente"?, ¿qué periodo de la información histórica debe considerarse para evaluar la usualidad? ¿qué otros factores podrían evidenciarse además de los ejemplificados?, ¿Si el usuario tiene varios productos, debe evaluar de manera separada o conjunta?, ¿los factores deben evaluarse de manera conjunta o separada?, ¿cuántos factores deben presentarse para determinar la usualidad?
Estos vacíos necesariamente debían ser completados, a través de las interpretaciones sobre el análisis de casos concretos por parte de los órganos resolutivos que tienen competencia para conocer los problemas asociados a la falta de reconocimiento de operaciones por parte de los usuarios. En primer lugar, el Indecopi; luego, el Poder Judicial.
Es así que, el Indecopi, a lo largo de los años, ha fijado criterios de interpretación para delimitar y aterrizar los alcances de la definición mencionada. Estos criterios se han formado a través de una línea de pronunciamientos reiterados y uniformes estableciéndose una doctrina jurisprudencial. Esta doctrina ha generado en los administrados una regla concreta que debe leerse de manera conjunta a la luz de la propia definición normativa.
Además, el artículo 17 de la citada norma que recogía la definición analizada, estableció algunas obligaciones de las empresas ("las empresas deben adoptar") respecto de su deber de monitoreo sobre las operaciones que realizan los usuarios con sus tarjetas de crédito y débito: "contar con un sistema de monitoreo de operaciones con el objetivo de detectar operaciones que no correspondan al comportamiento habitual del usuario", e "implementar procedimientos para gestionar las alertas de sus sistema de monitoreo".
Recientemente, mediante Resolución SBS N° 3289-2025 (19/09/2025), la SBS modificó el artículo 17 del Reglamento de Tarjetas de Crédito y Débito, agregando el numeral 2 al mencionado artículo, conforme a lo siguiente:
"17.2 Las medidas de seguridad que dispongan las empresas como resultado del monitoreo de las operaciones son parte de su gestión de riesgos. El monitoreo no forma parte del proceso de autenticación de operaciones, ni determina por sí solo la validez de una operación. La responsabilidad de las empresas del sistema financiero sobre las operaciones realizadas por los usuarios se determina de acuerdo con lo dispuesto en el artículo 23° del Reglamento."
Tal como se observa, se estableció que la implementación de las medidas de seguridad por parte de las entidades (realizadas como resultado del monitoreo de operaciones) forman parte de su gestión de riesgos. Ahora, las preguntas a colación son: ¿qué debe entenderse por "gestión de riesgos"?, ¿cómo influye la inclusión de dicho aspecto en la evaluación del artículo 17 en su conjunto y del Reglamento en general?, ¿cómo las entidades deberán acreditar en un procedimiento la gestión de riesgos en el monitoreo de operaciones?, etc.
No solo ello, línea siguiente se precisa que el monitoreo no forma parte del proceso de autenticación de operaciones (es decir, no está incluido en el circuito de análisis de la operación exigido por el Reglamento de Ciberseguridad) ni determinar por sí solo la validez de la operación, esto es: "el monitoreo no determina por sí solo la validez de la operación". Aquí, la lectura se hace más confusa aún y de la cual surgen preguntas adicionales: ¿para determinar la validez el análisis de monitoreo deberá estar aparejado conjuntamente de la evaluación de autenticación?, ¿se excluye el monitoreo como criterio para determinar la validez de la operación?, ¿la evaluación de imputación de la operación al usuario deberá excluir el análisis de monitoreo?, ¿deberá desecharse la doctrina jurisprudencial de los órganos resolutivos que han delimitado los alcances del contenido de la definición de comportamiento habitual o patrón de consumo?, ¿cómo compatibilizar una interpretación literal con una interpretación conjunta del Reglamento y las demás disposiciones normativa en materia de protección al consumidor -garantía legal-?
Finalmente, el citado inciso, agrega que la responsabilidad de las entidades se determina por lo establecido en el artículo 23 (en donde no se menciona a las ocasionadas por la falta de alerta por el sistema de monitoreo). Aquí, la disposición se convierte aún más oscura, y en donde surgen otras dudas: ¿a qué tipo de responsabilidad se refiere el regulador?, ¿habrá querido establecer un límite a la capacidad interpretativa de los órganos resolutivos llamados a resolver controversias concretas (Indecopi o Poder Judicial)?, ¿en los casos de operaciones no reconocidas los órgano resolutivos solamente podrán establecer responsabilidad a partir de lo indicado en el artículo 23 del Reglamento?, ¿un Reglamento podría delimitar las facultades de interpretación de los órganos resolutivos que están sustentadas en normas con rango de Ley?, ¿los órganos resolutivos deberían desechar la doctrina jurisprudencial sobre las interpretaciones en los casos de operaciones no reconocidas y solamente ceñirse a las establecidas en el artículo 23 del Reglamento?
Tal como puede apreciarse de lo descrito en los párrafos precedentes, la modificación incorporada por la SBS al artículo 17 del Reglamento de Tarjetas de Crédito y Débito expone varias dudas sobre la finalidad de dicha norma y lo regulado. Ello, dado que en su parte considerativa, expresamente señala lo siguiente:
"Que, es necesario definir los alcances de la implementación de los sistemas de monitoreo, como parte de la gestión de riesgos a cargo de cada empresa, con la finalidad de precisar que estos sistemas no forman parte y son distintos al proceso de autenticación del usuario para efectuar operaciones con tarjetas;"
En efecto, la parte considerativa apunta a precisar que los sistemas de monitoreo serían distintos al proceso de autenticación, lo cual resulta una distinción clara (aunque tautológica); sin embargo, tal como hemos revisado en la redacción del inciso analizado, incorpora una acotación ("ni determina por sí solo la validez de una operación") que oscurece su redacción y aparentemente contradice la finalidad esclarecedora de su dación.
No cabe duda de que las preguntas planteadas deberán ser respondidas por los órganos resolutivos al momento de conocer y resolver los casos concretos planteados. La tarea estará en determinar en qué medida tal regulación incorporada modificará o alterará la línea jurisprudencial asumida por los órganos resolutivos (tanto del Indecopi como del Poder Judicial); y cómo, a partir de los resultados interpretativos, se logra armonizar el equilibrio en el mercado, a través de reglas regulatorias claras a los proveedores y una protección adecuada de los consumidores en el sector financiero.
Continuará...