Artículo 3 — Ley Protección a las personas consumidoras en la custodia de su dinero que administra cualquier entidad financiera en Costa RIca, ya sea pública o privada, autorizada para este fin

En los casos en que el usuario financiero rechace haber autorizado una operación en la que ha sido víctima de estafa, fraudes electrónicos y rebajos no autorizados, o que denuncie que su cuenta ha sido utilizada por terceros para realizar estas acciones en perjuicio de terceros, podrá presentar su reclamo ante las entidades financieras, en el plazo máximo de treinta días naturales, posteriores a la comisión de los hechos; para ello debe seguirse el siguiente procedimiento.

Este reclamo deberá realizarse mediante un formulario sencillo que tendrá a disposición la entidad financiera, que permita, a la persona usuaria, exponer con claridad los hechos sucedidos y deberá acompañarse de una copia de la denuncia interpuesta ante el Organismo de Investigación Judicial (OIJ).

Las entidades financieras contarán con un plazo máximo de treinta días naturales, contado a partir del momento en que la persona afectada presente el reclamo, para investigar los hechos y resolver si el reclamo procede o no. Este plazo podrá ampliarse, por una única vez, hasta por diez días hábiles adicionales, lo cual deberá ser comunicado a la persona usuaria tres días antes del vencimiento del plazo original.

1- Patrones transaccionales de los usuarios financieros, preferencias en cuanto a días o fechas de sus operaciones, destinatarios frecuentes de envíos de fondos, monto y tipo de transacciones realizadas habitualmente (transferencias, pagos, retiros, entre otros), así como otros aspectos relevantes para definir su comportamiento y detectar posibles actividades atípicas.

2- Dispositivos electrónicos utilizados habitualmente por el usuario financiero para acceso a los canales digitales, considerar elementos como el historial de dispositivos electrónicos utilizados, sistema operativo y horarios habituales de uso.

3- Variables del dispositivo electrónico utilizado como: user agent, sistema operativo del dispositivo, idioma, entre otros.

4- Navegadores utilizados habitualmente.

5- Verificación de las formas de autenticación utilizadas habitualmente por el usuario financiero.

6- Redes de conexión, canales digitales utilizados, comportamiento de uso de los dispositivos electrónicos tales como: la forma de teclear del usuario financiero, movimiento del mouse, entre otros.

7- Uso de un dispositivo electrónico para acceder a diferentes cuentas, productos o servicios que pertenecen a diferentes usuarios financieros de la entidad financiera, a fin de analizar si se trata de actividades sospechosas.

8- Uso de un dispositivo electrónico que haya sido utilizado anteriormente para cometer estafas electrónicas.

9- Las entidades financieras deben incorporar parámetros para aprobar o denegar transacciones.

10- En caso de que identifiquen la ocurrencia de transacciones atípicas, deberán requerir a los usuarios financieros, previo a hacerlas efectivas, una confirmación que asegure la autenticidad de estos.

11- Cualquier otro aspecto dispuesto por la Sugef , que supere los indicados anteriormente.

Habiendo comprobado el cumplimiento de los requerimientos mencionados anteriormente, las entidades financieras procederán con el análisis del comportamiento de la persona usuaria en los hechos investigados.

1- Cuando haya existido autofraude, entendido como la acción intencional realizada por una persona con el f in de inducir a error a una entidad financiera, con el propósito de obtener un beneficio.

2- Cuando haya existido dolo, entendido como toda conducta deliberada de una persona orientada a cometer un acto ilícito, con pleno conocimiento de su ilegalidad.

3- Cuando la transferencia haya sido entre cuentas del mismo titular.

Las entidades financieras deberán comunicar la resolución denegatoria a la persona usuaria, en la que consten las evidencias e incidentes de seguridad (análisis forense o bitácora elaborado bajo los parámetros señalados por la Sugef), del cual se deberá enviar copia al OIJ y a la Sugef , para que esta última instancia, mediante acto razonado en un plazo de diez días hábiles, una vez recibido este informe, valide si la decisión se encuentra ajustada y respaldada en las pruebas aportadas por las entidades financieras.

En caso de que la Sugef no ratifique la decisión de la entidad financiera, estos deberán proceder con la restitución de los fondos, en un plazo máximo de diez días hábiles y/o la reapertura de la cuenta, sin perjuicio de la posibilidad de las entidades financieras de presentar una acción judicial para que se declare que el pago era improcedente. Por el contrario, en caso de que la Sugef confirme la improcedencia del reclamo, el usuario financiero afectado podrá elevar su reclamación contra la entidad financiera, ante las instancias judiciales competentes.

Por último, en la situación en que las entidades financieras determinen, mediante el procedimiento indicado en este artículo, que el reclamo es procedente, acreditará los fondos en la cuenta de la persona que presentó la reclamación, en un plazo máximo de diez días naturales, una vez comunicada la resolución a la persona usuaria y/o procediendo a la reapertura de la cuenta, cuando corresponda. Asimismo, la entidad financiera deberá eliminar, en este mismo acto, cualquier cobro de intereses o cargos aplicados a la persona usuaria, como consecuencia de la estafa sufrida, y resarcirle los montos ya rebajados por ese concepto junto con los intereses correspondientes.

En aquellos casos en que las transacciones no autorizadas por la persona usuaria ocurran con posterioridad al reclamo presentado ante la entidad financiera, esta será responsable de dichas transacciones y de sus consecuencias económicas.