La seguridad digital bancaria, en deuda con el cliente

Mientras lee estas líneas, a alguien le vaciaron la cuenta, le aprobaron un crédito que no pidió o se le realizó una transferencia sin su autorización. Al reclamar, encuentra siempre la misma respuesta: “El sistema lo autorizó”.

Ese “Sistema” se presenta como un argumento incuestionable y distante que las entidades financieras utilizan como escudo. Sin embargo, el sistema no es seguro, ni en términos técnicos ni jurídicos. Esta advertencia fue señalada hace más de veinte años.

En la actualidad, se denomina “firma” a elementos que no lo son. Se validan operaciones millonarias con un simple código SMS o un token de seis dígitos, bajo la presunción de que representan fielmente la voluntad del cliente. Sin embargo, la firma electrónica -sustentada en aplicaciones, claves y tokens- carece de valor legal pleno. No admite presunción de autoría, no garantiza la integridad y no atribuye responsabilidad concreta.

Esto lo establece la Ley 25.506: La firma digital, en cambio, cuando se respalda en un certificado válido emitido por una Autoridad Certificante licenciada, cuenta con valor probatorio pleno. A pesar de esto, el sistema bancario argentino optó por no adoptarla.

El certificado que nadie tiene

La diferencia es técnica y conceptual: El token bancario emplea tecnología simétrica: lo que el cliente sabe o posee, el sistema lo replica. La firma digital utiliza tecnología asimétrica: únicamente el titular puede generar la firma con su clave privada y cualquier persona puede verificar su autenticidad.

Esta diferencia coloca el control en manos del cliente y no del Banco. Ante un fraude, la trazabilidad digital permite demostrar quién firmó, en qué momento, de qué manera y desde dónde. Ese nivel de verificación no es un lujo, sino una posibilidad concreta.

El problema jurídico de fondo

Cuando un cliente desconoce una operación digital, el Banco exige que pruebe que no la realizó. Esta carga probatoria resulta inadmisible desde el punto de vista jurídico.

El artículo 7 de la Ley 25.506 establece que solo la firma digital otorga presunción de autoría. Si no se empleó este mecanismo, no existe fundamento para presumir la responsabilidad del cliente.

La Ley de Defensa del Consumidor establece que el proveedor debe comprobar que obtuvo el consentimiento libre e informado del usuario. Una transacción digital impersonal no acredita voluntad si la ley no lo establece expresamente.

Además, los bancos operan en un entorno que el cliente no controla, no diseñó y no puede auditar. Solo la entidad conoce si existió un error del sistema, una brecha de seguridad o un malware interceptando datos. El peso de la prueba recae en el banco, no por ideología, sino por lógica jurídica.

Del papel al sistema: ¿quién tiene la responsabilidad? En décadas pasadas, si un cliente perdía su chequera y no lo denunciaba, el banco no se hacía responsable por un cheque falso. Ese criterio se basaba en que el documento permanecía bajo resguardo del cliente. Hoy la infraestructura, el canal y el “papel digital” se encuentran dentro del sistema bancario. Por lo tanto, el deber de custodia recae en la entidad y, con él, la responsabilidad.

El Código Civil y Comercial establece que quien explota una actividad riesgosa responde de forma objetiva. El banco, además de prestar un servicio, administra un riesgo. Si lo hace de manera deficiente, debe responder, con independencia de la existencia de culpa.

La solución, disponible. No es necesario inventar nada. En 2004, en un libro publicado sobre esta temática, se propuso la creación de una Infraestructura Bancaria de Firma Digital (IBFD) basada en tres pilares:

• Cada cliente debe contar con un certificado digital emitido por su banco, que asume el rol de Autoridad Certificante Licenciada.
• Cada operación relevante se firma digitalmente con plena validez legal.
• El Banco Central regula, controla y audita esta infraestructura de firma digital bancaria (PKI).

¿Implica mayores costos? No, si se consideran los riesgos sistémicos que se podrían evitar y que actualmente son afrontados por el público. Además, es el propio usuario quien paga por el servicio. ¿Es un proceso más complejo? Tampoco: solo se requiere decisión del sistema financiero.

Un avance reciente

Con el Decreto 743/2024 PEN, el Gobierno Nacional eliminó la exigencia de presencialidad para la obtención de un certificado digital, incorporando la validación biométrica remota. El trámite puede realizarse en minutos y la antigua excusa del proceso engorroso ya perdió vigencia. Esta simplificación también implica ahorro. Ante este escenario, resulta pertinente preguntarse por qué el atraso persiste.

Decisión pendiente: Argentina cuenta con la legislación, la tecnología, la doctrina, la jurisprudencia y la experiencia. Lo único que falta es decisión. No se busca limitar el avance digital, sino lograr que el sistema financiero acompañe esta transformación y proteja a la ciudadanía frente al fraude, la pasividad o la ausencia de responsabilidades.

El autor es Abogado, asesor de Bancos y Empresas. Autor del libro: “Firma digital. Ley 25.506 y Normativa vigente – Guía Práctica del Tratamiento de la Firma Digital en Argentina”