Idoneidad y datos personales: reflexiones sobre competencia en el caso Interbank

En 2024, una asociación de consumidores denunció a Interbank ante el Indecopi por tres hechos: la caída de su sistema, que impidió a los usuarios acceder a sus cuentas o utilizarlas; la falta de información sobre canales alternativos, y no haber resguardado adecuadamente los datos de sus clientes.

Mediante la Resolución 1544-2026/SPC-INDECOPI, la Sala Especializada en Protección al Consumidor confirmó que este último punto era improcedente por falta de competencia. Su razonamiento fue directo: el incumplimiento del deber de confidencialidad le corresponde a la Autoridad Nacional de Protección de Datos Personales (ANPD), porque esa conducta ya está tipificada como infracción grave en el reglamento de la materia.

Uno de los vocales no estuvo de acuerdo. Para él, un mismo hecho puede configurar varias infracciones; la protección al consumidor tiene respaldo constitucional; la ley de datos no le da a la ANPD potestades sobre las normas de consumo, y, en todo caso, la regulación de datos sirve como parámetro para medir la idoneidad del servicio. Agregó un argumento práctico: enviar al ciudadano a otra entidad le genera sobrecostos.

La Sala trató la protección de datos como si fuera un “sector” regulado, al igual que las telecomunicaciones o la salud. No lo es. La ANPD no es un organismo regulador: es una dirección del Ministerio de Justicia y Derechos Humanos. Y en los sectores regulados sí existe una delegación legal expresa de competencias en protección al consumidor a favor de entidades distintas del Indecopi, como ocurre con el OSIPTEL o SUNASS.

Aun así, se llega al mismo resultado por otro camino. La competencia de la ANPD no nace solo de su especialidad: la ley le atribuye expresamente la potestad de fiscalizar y sancionar las infracciones a la normativa de datos, entre ellas el incumplimiento de la confidencialidad y de las medidas de seguridad. A nuestro juicio, el reparto debería seguir la misma lógica que en los sectores regulados: el Indecopi atiende las relaciones de consumo en general, y la ANPD, las infracciones propias de su materia.

Si se acepta la tesis del voto en discordia, según la cual el Indecopi puede conocer infracciones a la normativa de datos personales, se llega a un absurdo: cualquier incumplimiento normativo podría disfrazarse de falta de idoneidad. El propio Código, cuando regula la garantía legal, se remite a lo que exigen las regulaciones vigentes, pero no convierte al Indecopi en fiscalizador de todas ellas.

Hay un punto más. La idoneidad se evalúa sobre las conductas vinculadas a la prestación del servicio financiero, y un incidente de seguridad suele ser obra de un tercero, supuesto que el propio Código reconoce como eximente de responsabilidad. Lo relevante, en todo caso, sería saber si el banco implementó las medidas de seguridad exigibles. Y no hacerlo también constituye una infracción a la normativa de datos, de competencia de la ANPD, que además exige una evaluación técnica que el Indecopi no realizó.

Tampoco convence el argumento de los sobrecostos de dinero y de tiempo. Que el ciudadano haya denunciado primero ante el Indecopi no le traslada la competencia. Además, acudir a la ANPD no encarece nada: no exige firma de abogado, el trámite es virtual y, a diferencia de la denuncia ante el Indecopi, que sí paga una tasa, tanto el procedimiento de tutela como la denuncia por infracción son gratuitos.

En suma, la competencia para conocer infracciones en materia de protección de datos personales debe quedarse en la ANPD. No solo cuenta con una delegación legal expresa a su favor: también ofrece canales gratuitos y tiene la capacidad técnica para resolver adecuadamente.