Bogotá D.C., 25 de noviembre de 2016.

Transcripción

1 Bogotá D.C., 25 de noviembre de Doctor Felipe Alarcón Sierra Subdirector de Coordinación Normativa Superintendencia Financiera de Colombia Calle 7 No Bogotá, D.C. REF: Proyecto de circular Mediante la cual se modifica el Capítulo I del Título II de la Parte I y el Capítulo I, Título III, Parte I de la Circular Básica Jurídica, en materia de requerimientos mínimos de seguridad y calidad para la realización de operaciones. Estimado doctor Alarcón: En nombre de la Cámara Colombiana de Comercio Electrónico (en adelante, la CCCE) por medio de la presente nos permitimos remitir los comentarios de nuestros agremiados en relación con el proyecto de circular Mediante la cual se modifica el Capítulo I del Título II de la Parte I y el Capítulo I, Título III, Parte I de la Circular Básica Jurídica, en materia de requerimientos mínimos de seguridad y calidad para la realización de operaciones, (en adelante, el Proyecto de Circular ). 1. En relación con las obligaciones que deben incluir los establecimientos de crédito y las redes de pago de bajo valor en sus contratos con las administradoras de pasarelas o procesadoras de pago en ambientes de venta no presente De acuerdo con el artículo del Proyecto de Circular: Ambiente de venta no presente Los establecimientos de crédito y las administradoras de sistemas de pago de bajo valor que vinculen a establecimientos de comercio o a administradores de pasarelas o procesadores de pago para la realización de operaciones en ambiente de venta no presente, deben cumplir como mínimo, con los siguientes requerimientos de seguridad de la información cuando

2 estas últimas almacenen, procesen o transmitan datos del titular de la tarjeta o datos de autenticación confidenciales (en los términos definidos en el estándar PCI-DSS): Incluir en los contratos que celebren con los establecimientos de comercio o los administradores de las pasarelas o procesadores de pago: La obligación por parte de dichos establecimientos de comercio o administradores o procesadores de contar, mantener y entregar la certificación PCI-DSS versión 3.0 o posterior, emitida por una entidad que ostente la categoría QSA (Qualified Security Assessor) La obligación por parte de los establecimientos de comercio o administradores o procesadores de contar con una política de tratamiento y protección de datos personales de los consumidores, de acuerdo con lo dispuesto en la Ley 1581 de 2012 y en la Ley 1266 de 2008, en lo que resulte pertinente La obligación por parte de dichos establecimientos de comercio o administradores o procesadores de adoptar mecanismos que permitan autenticar al consumidor financiero en adición a los datos necesarios para procesar el pago La obligación por parte de los establecimientos de comercio o los administradores de las pasarelas o procesadores de pago de contar con políticas y procedimientos relacionados con la prevención y el control del riesgo de lavado de activos y financiación del terrorismo La obligación por parte de los establecimientos de comercio o los administradores de las pasarelas o procesadores de pago de adelantar campañas informativas sobre las medidas de seguridad que deben adoptar los compradores y vendedores para la realización de operaciones de comercio electrónico La obligación por parte de los establecimientos de comercio o los administradores de las pasarelas o procesadores de pago de informar al consumidor financiero sobre el procedimiento de pago que se efectúa, de manera previa a la realización de la transacción. Estos procedimientos pueden ser informados a través avisos en pantalla Verificar, al menos una vez al año, la vigencia de la certificación PCI-DSS a que hace referencia el subnumeral del presente Capítulo Aclaraciones sobre el papel de los establecimientos de crédito en los pagos realizados mediante administradores de pasarelas y procesadores de pago

3 El artículo referido impone unas obligaciones a los establecimientos de crédito y las redes de pago de bajo valor que vinculen a establecimientos de comercio o procesadores de pago en las operaciones de venta no presente. Al respecto, es importante aclarar en primer lugar que los establecimiento de crédito no son quienes realizan la vinculación directa para el servicio de enrutamiento o transmisión de la información con las administradores de pasarelas o procesadores de pago en ventas no presentes. En efecto, dicha relación contractual se da directamente entre la administradora de sistemas de pago de bajo valor y la pasarela de pago y/o el establecimiento de comercio. Si bien los establecimientos de crédito sí tienen vínculos contractuales con los establecimientos de comercio o con los administradores de pasarelas o procesadores de pago, estos establecimientos tienen el fin de desarrollar otros servicios financieros como por ejemplo el servicio de adquirencia. Por tanto, consideramos que los establecimientos de crédito no deben ser sujetos pasivos de las obligaciones establecidas en los artículos y En relación con la definición de administradoras de pasarelas o procesadores de pago (numeral ) De acuerdo con el numeral , son Administradores de pasarelas de pago o procesadores de pago aquellas Entidades que prestan servicios de aplicación de comercio electrónico para almacenar, procesar y/o transmitir el pago correspondiente a operaciones de venta en línea en ambiente de venta no presente. Consideramos que dicha definición debería incluir también los pagos en ambientes de venta presente, pues los administradores de pasarelas de pago y procesadores de pago también ofrecen sus servicios en ambientes presentes, como por ejemplo, a través de códigos QR y NFC (contact Less). Por tanto, sugerimos ampliar la definición de la siguiente manera: Entidades que prestan servicios de aplicación de comercio electrónico para almacenar, procesar y/o transmitir el pago correspondiente a operaciones de venta en línea de venta no presente, o en ambiente de venta presente Sobre la obligación de mantener la certificación PCI-DSS De acuerdo con el numeral del Proyecto de Circular, las pasarelas de pago y establecimientos de comercio que presten servicios para el procesamiento o transmisión de pagos tendrán que cumplir con la siguiente obligación: La obligación por parte de dichos establecimientos de comercio o administradores o procesadores de contar, mantener y entregar la certificación PCI-DSS versión 3.0 o

4 posterior, emitida por una entidad que ostente la categoría QSA (Qualified Security Assessor). Al respecto, sugerimos tener en cuenta que existen varias versiones de las políticas PCI y que estas se modifican casi anualmente. Por ejemplo, actualmente la versión vigente es la 3.2., es decir, dos versiones posteriores a la indicada en el Proyecto de Circular. Por tanto, recomendamos que la Circular establezca la obligación de cumplir con la norma PCI DSS 3.2 o aquella posterior que se encuentre vigente. Así mismo, se debe tener en cuenta que las franquicias (VISA, Master, AMEX, Discovery) tienen definidas unas tablas de cumplimiento según la cantidad de transacciones que realice la entidad. Por ejemplo, comercios que procesan más de 6 millones de transacciones se definen que están en el nivel 1 de cumplimiento y están obligados a certificarse. Por su parte, comercios clasificados como niveles 2, 3 y 4 que hacen menos de 6 millones, deben diligenciar un auto cuestionario SAQ y realizar el scan de la red perimetral. Por otro lado, el único documento oficial de certificación es el documento denominado Attestation of Complience (certificación de cumplimiento) emitido por un Qualified Security Assessor (QSA) (Certificador de Seguridad Calificado). Teniendo en cuenta lo anterior, sugerimos que el mencionado artículo tenga la siguiente redacción: La obligación por parte de dichos establecimientos de comercio o administradores o procesadores de contar, mantener y entregar la certificación PCI-DSS vigente en documento oficial AOC (Attesting of Compliance), emitida por una entidad que tenga la categoría QSA (Qualified Security Assessor) En relación con la obligación de autenticación del consumidor financiero ( ) De acuerdo con el artículo , las entidades que procesen pagos tendrán que cumplir con la siguiente obligación: La obligación por parte de dichos establecimientos de comercio o administradores o procesadores de adoptar mecanismos que permitan autenticar al consumidor financiero en adición a los datos necesarios para procesar el pago. A nuestro juicio, la obligación de adoptar mecanismos adicionales para autenticar al consumidor financiero resulta excesiva y, en la práctica, muy difícil de cumplir por parte de los establecimientos de comercio y de las pasarelas de pago, pues generaría la obligación de tener una relación preexistente con cada consumidores de comercio electrónico que realice su pago por estos medios. Además, consideramos que la norma iría en contravía a los procesos de innovación en materia de pagos, que cada vez evolucionan más, a que los pagos se puedan realizar en un clic o a la mayor brevedad posible. Así, una autenticación para cada transacción en la pasarela, además de la autenticación que generalmente exige el comercio y aquella que solicita el instrumento de pago

5 (incluyendo PSE, que cuenta con este tipo de autenticación), ciertamente bajaría considerablemente las tasas de conversión del comercio electrónico. Así mismo, hay que tener en cuenta que el consumidor final tendría que autenticarse frente a cada comercio o pasarela de pagos de manera independiente, pues estas no cuentan con un único sistema de información. Por último, consideramos que no es claro qué sucede en el caso de las tarjetas de crédito y en los servicios de suscripción o de tockenización, donde la tarjeta de crédito ya está almacenada y en cada compra simplemente se hace el cobro o el usuario acepta solo debe aceptar que le hagan un débito periódico. En estos casos, se suguere que se diferencie la compra de la suscripción o recurrencia, y que para los dos últimos casos sea autenticación (de llegar a existir) se haga solo en el momento del registro. 2. Otros aspectos del Proyecto de Circular que puede afectar el comercio electrónico y el proceso de pagos electrónicos 2.1. En relación con la definición de Autenticación (numeral ) El numeral del Proyecto modifica la definición de Autenticación y establece que el conjunto de técnicas y procedimientos usados para verificar la identidad de un cliente deben ser automáticos 1. A nuestro juicio, la expresión automáticos es innecesaria pues hace alusión a una característica de los procedimientos de autenticación, dado que en Colombia y en el sistema de pagos mundial existen procedimientos de autenticación idóneos a través de los cuales se cumple con factores y mecanismos de autenticación adecuados y permitidos legalmente, sin que sea necesario un procedimiento en el que no intervenga directamente el interesado o en el que el procedimiento se desarrolle de manera instantánea. Por lo tanto, creemos que se debe mantener la redacción vigente En relación con el numeral sobre seguridad de las comunicaciones electrónicas El Proyecto de Circular establece que las entidades vigiladas deben: Disponer que el envío de información confidencial y de los instrumentos para la realización de operaciones a sus clientes, se haga en condiciones de seguridad. Cuando dicha Autenticación: Conjunto de técnicas y procedimientos automáticos utilizados para verificar la identidad de un cliente, entidad o usuario. Los factores de autenticación son: algo que se sabe, algo que se tiene, algo que se es.

6 información se envíe como parte de, o adjunta a un correo electrónico, mensajería instantánea o cualquier otra modalidad de comunicación, ésta debe estar cifrada. Teniendo en cuenta que la expresión otra modalidad de comunicación puede abarcar comunicaciones no electrónicas, manuales o análogas que no puede ser cifradas, y para evitar dificultades interpretativas, sugerimos complementar dicha expresión de la siguiente manera: Disponer que el envío de información confidencial y de los instrumentos para la realización de operaciones a sus clientes, se haga en condiciones de seguridad. Cuando dicha información se envíe como parte de, o adjunta a un correo electrónico, mensajería instantánea o cualquier otra modalidad de comunicación electrónica, ésta debe estar cifrada Comentarios sobre el numeral Según el referido numeral, es obligación de las entidades vigiladas: Establecer procedimientos expeditos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando lo solicite el cliente, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos, así como las medidas operativas y de seguridad para la reactivación de los mismos. Consideramos que la palabra expeditos es de interpretación muy subjetiva y puede generar dificultades en su aplicación. Por tanto, para ajustar la redacción, y brindar mayor claridad, proponemos la siguiente redacción: Establecer procedimientos expeditos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando lo solicite el cliente que desee bloquear un instrumento, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos, así como las medidas operativas y de seguridad para la reactivación de los mismos Respecto de la definición de Banca Móvil De acuerdo con el Proyecto de Circular: Banca Móvil Canal en el cual el dispositivo móvil es utilizado para realizar operaciones bien sea asociando su número de línea al servicio, o empleando apps (aplicaciones informáticas diseñadas para ser ejecutadas en teléfonos celulares, tabletas y otros dispositivos móviles).

7 Los servicios que se presten a través de dispositivos móviles y utilicen navegadores Web, son considerados banca por internet. La prestación de servicios a través de banca móvil debe cumplir con los siguientes requerimientos: ( ) Con el objeto de evitar que se entienda que cualquier operación o transacción prestada por cualquier entidad debe cumplir con los requerimientos del artículo mencionado, sugerimos aclarar que el concepto de Banca Móvil es exclusivo para los servicios financieros, así: Banca Móvil Canal en el cual el dispositivo móvil es utilizado para realizar operaciones bien sea asociando su número de línea al servicio financiero, o empleando apps (aplicaciones informáticas diseñadas para ser ejecutadas en teléfonos celulares, tabletas y otros dispositivos móviles) para la prestación del servicio financiero. Los servicios financieros que se presten a través de dispositivos móviles y utilicen navegadores Web, son considerados banca por internet. La prestación de servicios a través de banca móvil debe cumplir con los siguientes requerimientos: ( ) Por último, reiteramos nuestro agradecimiento de permitirnos presentar estos comentarios, esperamos haber podido contribuir a su labor, y quedamos a su entera disposición para resolver cualquier duda, inquietud, o ampliar nuestras observaciones. Atentamente, F.D.O. VICTORIA EUGENIA VIRVIESCAS CALVETE Directora Ejecutiva