Propuestas › Ciberseguridad e identidad digital

CIB-05 Ley que establece el régimen de responsabilidad compartida y reembolso a víctimas de fraude digital entre entidades financieras y empresas de telecomunicaciones

Fija deberes antifraude mínimos para empresas del sistema financiero, emisores de dinero electrónico, participantes de sistemas de pagos y operadores móviles; establece la responsabilidad solidaria frente a la víctima cuando incumplen esos deberes, con reembolso en plazos máximos, derecho de repetición y tope legal, e intercambio antifraude delimitado que respeta el secreto bancario y la protección de datos personales.

Prioridad alta Costo fiscal: nulo Plazo: mediano Visión 2036: 44 pts · Ola 3 · 2028–2029 Diputados: Economía, Banca, Finanzas e Inteligencia Financiera + Defensa del Consumidor y Regulación de los Servicios Públicos Senado: Economía, Medio Ambiente y Defensa del Consumidor

⬇️ Descargar PDF 📝 Word editable (formato despacho) 🟢 Compartir 💬 Opinar

Plan 2050 · Banca Plan 2050 · Ciber Seguridad Plan 2050 · Orden Público y SeguridadODS 10ODS 16

La ley en un vistazo

Lo que cambia

🔗 complementaLey 29571, Código de Protección y Defensa del Consumidorart. 24 (plazo de reclamos)
🔗 complementaLey 29733, Ley de Protección de Datos Personalesart. 14 (habilitación legal del tratamiento)
🔗 complementaLey 29440, Ley de los Sistemas de Pagos y de Liquidación de Valoresreglas de bloqueo y devolución
🔗 complementaResolución SBS 504-2021adecuación
🔗 complementaDecreto Supremo 128-2025-PCMverificación de identidad en líneas móviles

CIB-05Responsabilidad compartida ante fraude

Establecer deberes antifraude, la responsabilidad frente a la víctima de fraude digital, los plazos y el tope del reembolso, y un mecanismo delimitado de intercambio de información antifraude.

Dictamina: Diputados · Economía, Banca, Finanzas e Inteligencia FinancieraRevisión: Senado · Economía, Medio Ambiente y Defensa del Consumidor

Quién hace qué

🔍 Supervisa

INDECOPI

Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual · PCM
Resuelve controversias de consumo con presunción de responsabilidad ante silencio de la entidad (arts. 6 y 9.3).

ANPD

Autoridad Nacional de Protección de Datos Personales · MINJUSDH
Supervisa el tratamiento de datos en la señal de cambio de chip y el mecanismo antifraude (arts. 4.b y 8.4).

⚖️ Sanciona

SBS

Superintendencia de Banca, Seguros y AFP · Autónomo
Dicta normas de desarrollo, administra o supervisa el mecanismo antifraude (art. 8), supervisa y sanciona a sus supervisadas (art. 9.2) y publica estadística anual (DCF Segunda).

OSIPTEL

Organismo Supervisor de Inversión Privada en Telecomunicaciones · PCM
Dicta normas de desarrollo del art. 4 y sanciona a los operadores móviles (art. 9.2).

💬 Opina

BCRP

Banco Central de Reserva del Perú · Autónomo
Fija reglas de bloqueo preventivo y devolución en sistemas de pagos (art. 9.2).

👥 A quién beneficia

Usuarios de banca y pagos digitales; víctimas de fraude informático (19 602 denuncias entre enero y julio de 2026, según el Ministerio Público citado por El Peruano).

📋 Quién debe cumplir

Empresas del sistema financiero y emisoras de dinero electrónico supervisadas por la SBS con canales digitales; participantes de sistemas de pagos supervisados por el BCRP; operadores de servicios públicos móviles.

Ruta de implementación

📝Se presentaCámara de Diputados
🏛️Dictamencomisión, hasta 60 días hábiles
🗳️Pleno Diputadosaprobación
⚖️Senado revisacomisión, hasta 90 días hábiles
✍️PromulgaciónPoder Ejecutivo
📜Reglamentoplazo de ley
🎯Meta 2031A 2031, tiempo promedio de resolución de reclamos por fraude digital menor a 15 días hábiles y estadística anual publica

Lo que cuesta

S/ 0 (sin gasto público adicional)

Costo fiscalnulo

Quién paga: Presupuesto institucional de las entidades involucradas, sin demandar recursos adicionales al Tesoro Público.

Costo para privados: Reembolsos a cargo de entidades que incumplan deberes y costos de adecuación tecnológica, parcialmente ya exigidos por la Resolución SBS 504-2021.

⇄

Lo que se gana

🏛️ Para el Estado: Menor carga de reclamos ante Indecopi por regla clara de responsabilidad. No cuantificable con información pública.

👥 Para la sociedad: Recuperación de pérdidas de víctimas con tope de diez UIT por evento y plazos máximos; mayor confianza en pagos digitales. No cuantificable: no existe cifra oficial agregada de montos defraudados.

📈 Inversión privada: Inversión en biometría, monitoreo transaccional e interfaces de señal de cambio de chip; no cuantificable con información pública.

Confianzamedia

Exposición de motivos — el problema

El fraude informático es el delito informático más denunciado en el país: 19 602 denuncias entre enero y julio de 2026, según información del Ministerio Público difundida por El Peruano (2-9-2026). Las víctimas que reclaman por operaciones no reconocidas dependen de que la entidad demuestre haber aplicado medidas de seguridad; si no lo acredita, Indecopi puede ordenar el reembolso, pero el proceso es largo y el resultado incierto (Gestión). La Resolución SBS 504-2021 exige autenticación reforzada y el Reglamento de Tarjetas de Crédito y Débito asigna responsabilidad por operaciones no reconocidas en ciertos supuestos, pero no existe una regla legal que distribuya la pérdida entre banco, operador móvil y cliente cuando el fraude combina ingeniería social, duplicado de chip y transferencias inmediatas interoperables, supervisadas también por el Banco Central de Reserva del Perú. La Ley 32451 y el Decreto Supremo 128-2025-PCM reforzaron la activación de líneas, pero los operadores no están obligados a compartir con las entidades financieras la señal de cambio reciente de chip. Singapur (2024), Reino Unido (2024) y Australia (2025) adoptaron marcos de responsabilidad compartida con deberes concretos y reembolso cuando se incumplen.

Objeto

Establecer deberes antifraude, la responsabilidad frente a la víctima de fraude digital, los plazos y el tope del reembolso, y un mecanismo delimitado de intercambio de información antifraude.

Fórmula legal

EL CONGRESO DE LA REPÚBLICA
Ha dado la Ley siguiente:
LEY QUE ESTABLECE EL RÉGIMEN DE RESPONSABILIDAD COMPARTIDA Y REEMBOLSO A VÍCTIMAS DE FRAUDE DIGITAL ENTRE ENTIDADES FINANCIERAS Y EMPRESAS DE TELECOMUNICACIONES

Artículo 1. Objeto

La presente ley tiene por objeto establecer un régimen de responsabilidad compartida entre las empresas del sistema financiero, las empresas emisoras de dinero electrónico, los participantes de sistemas de pagos y los operadores de servicios públicos móviles frente al fraude digital que afecta a usuarios, así como las reglas de reembolso a las víctimas, en el marco del artículo 65 de la Constitución Política del Perú y de la Ley 29571, Código de Protección y Defensa del Consumidor.

Artículo 2. Definiciones

Para efectos de la presente ley:
a) Fraude digital: operación de pago o transferencia no autorizada por el usuario, o inducida mediante engaño, realizada a través de canales digitales.
b) Entidad obligada: empresa supervisada por la Superintendencia de Banca, Seguros y AFP que ofrece canales digitales de pago o transferencia, o empresa que participa en acuerdos de pago o sistemas de pagos bajo supervisión del Banco Central de Reserva del Perú conforme a la Ley 29440.
c) Operador móvil: empresa concesionaria de servicios públicos móviles.

Artículo 3. Deberes de las entidades obligadas

Las entidades obligadas:
a) Aplican autenticación reforzada en operaciones de riesgo y en el registro de nuevos dispositivos o beneficiarios.
b) Aplican un periodo de espera configurable antes de habilitar operaciones de alto monto desde un dispositivo nuevo.
c) Notifican en tiempo real al usuario cada operación y cada cambio de credenciales.
d) Mantienen un canal de bloqueo inmediato disponible las veinticuatro horas.
e) Implementan monitoreo transaccional para detectar patrones de fraude, incluida la consulta de la señal del literal b) del artículo 4.

Artículo 4. Deberes de los operadores móviles

Los operadores móviles:
a) Verifican la identidad del titular conforme al Decreto Supremo 128-2025-PCM y a la normativa del Organismo Supervisor de Inversión Privada en Telecomunicaciones, con nivel de garantía biométrico o mediante identidad digital equivalente, antes de cualquier reposición, duplicado, portabilidad o cambio de titularidad de la línea.
b) Ponen a disposición de las entidades obligadas, mediante interfaces seguras y estándares abiertos, únicamente la indicación de si una línea registró reposición, duplicado o portabilidad y su fecha, sin otros datos del abonado, con la finalidad exclusiva de prevenir el fraude. Este tratamiento se encuentra habilitado por la presente ley conforme al artículo 14 de la Ley 29733, Ley de Protección de Datos Personales, y no requiere el consentimiento del titular.
c) Cumplen las obligaciones sobre remitentes de mensajes de texto con identificadores alfanuméricos establecidas en la normativa de la materia.

Artículo 5. Reembolso por incumplimiento de deberes

5.1. Cuando la entidad obligada o el operador móvil haya incumplido alguno de los deberes de los artículos 3 o 4 y dicho incumplimiento haya contribuido al fraude, responde frente a la víctima por el monto defraudado. Se presume que el incumplimiento contribuyó al fraude cuando el deber incumplido estaba destinado a prevenir la modalidad empleada.
5.2. Si ambos incumplieron, responden solidariamente frente a la víctima. La entidad obligada efectúa el reembolso íntegro y puede repetir contra el operador móvil en proporción a la incidencia causal de su incumplimiento; a falta de acreditación, la responsabilidad se distribuye en partes iguales. A falta de acuerdo entre ellos, la controversia se resuelve en la vía arbitral o judicial, sin retrasar el reembolso al usuario.
5.3. El reembolso previsto en la presente ley tiene como límite el equivalente a diez unidades impositivas tributarias por usuario y por evento de fraude, sin perjuicio de que el usuario reclame el exceso conforme a la Ley 29571.

Artículo 6. Plazos de atención

La entidad obligada resuelve el reclamo por fraude digital en un plazo máximo de quince días hábiles, conforme al artículo 24 de la Ley 29571, y, de corresponder, efectúa el reembolso dentro de los cinco días hábiles siguientes. Vencido el plazo sin respuesta, el usuario puede acudir al Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual, que presume la responsabilidad de la entidad.

Artículo 7. Negligencia grave del usuario

No procede el reembolso cuando la entidad acredite que el usuario actuó con dolo o negligencia grave. La sola entrega de credenciales inducida por engaño no constituye, por sí misma, negligencia grave. La carga de la prueba corresponde a la entidad. Las normas de desarrollo establecen supuestos ejemplificativos de negligencia grave.

Artículo 8. Intercambio de información antifraude

8.1. Las entidades obligadas pueden compartir entre sí, a través de un mecanismo administrado o supervisado por la Superintendencia de Banca, Seguros y AFP, únicamente los identificadores de cuentas e instrumentos de destino sobre los que exista un reporte de fraude del titular afectado, sin incluir saldos, movimientos ni otra información de operaciones del titular de la cuenta receptora, con la finalidad exclusiva de bloqueo preventivo temporal. Con los operadores móviles solo se comparten números telefónicos reportados. Para cualquier otra información rige el levantamiento del secreto bancario conforme al numeral 5 del artículo 2 de la Constitución Política del Perú.
8.2. La inclusión en el mecanismo exige indicios documentados; la información se conserva por un plazo máximo de doce meses, salvo investigación en curso.
8.3. El titular incluido tiene derecho a ser informado de su inclusión cuando ello no frustre una investigación y a solicitar su rectificación o exclusión, que se resuelve en diez días hábiles.
8.4. El mecanismo cumple medidas de seguridad reforzadas, registro de consultas y acceso restringido, conforme a la Ley 29733.

Artículo 9. Supervisión, infracciones y sanciones

9.1. Constituyen infracciones graves el incumplimiento de los deberes de los artículos 3 y 4 y la falta de reembolso en el plazo del artículo 6 cuando corresponda; y muy grave, el uso de la información del artículo 8 para una finalidad distinta de la prevención del fraude.
9.2. La Superintendencia de Banca, Seguros y AFP supervisa y sanciona a las empresas bajo su supervisión, y el Organismo Supervisor de Inversión Privada en Telecomunicaciones a los operadores móviles, conforme a las escalas de sanciones de sus respectivas leyes. El Banco Central de Reserva del Perú establece, en el marco de la Ley 29440, las reglas de bloqueo preventivo y devolución de fondos aplicables a los sistemas de pagos y acuerdos de pago, y supervisa a sus participantes.
9.3. El Instituto Nacional de Defensa de la Competencia y de la Protección de la Propiedad Intelectual conoce las controversias de consumo conforme a la Ley 29571.

Primera Disposición Complementaria Final

Normas de desarrollo. La Superintendencia de Banca, Seguros y AFP, el Banco Central de Reserva del Perú y el Organismo Supervisor de Inversión Privada en Telecomunicaciones, en el ámbito de sus competencias, dictan las normas de desarrollo de los artículos 3, 4, 7 y 8 en un plazo de ciento veinte días hábiles contados a partir del día siguiente de la publicación de la presente ley, y adecúan la Resolución SBS 504-2021, el Reglamento de Tarjetas de Crédito y Débito y las condiciones de uso de los servicios públicos de telecomunicaciones.

Segunda Disposición Complementaria Final

Informe anual. La Superintendencia de Banca, Seguros y AFP publica anualmente estadísticas de reclamos por fraude digital, montos reembolsados y tiempos de atención por entidad.

Única Disposición Complementaria Transitoria

Vigencia diferida y aplicación temporal. Los artículos 5 y 6 entran en vigencia a los doce meses de publicada la presente ley y se aplican a las operaciones realizadas a partir de esa fecha.

Análisis costo-beneficio

No genera gasto público: la supervisión se realiza con los recursos de la SBS, el BCRP, el OSIPTEL e Indecopi (financiados con contribuciones de supervisados, aporte por regulación y tasas). El costo se traslada a las entidades financieras y operadores que incumplan deberes, lo que alinea incentivos: quien puede prevenir el fraude con menor costo asume la pérdida cuando no lo hace. Puede generar mayores costos operativos (biometría, monitoreo, interfaces de señal de cambio de chip), parcialmente ya exigidos por la Resolución SBS 504-2021. El tope legal de diez UIT y la excepción de negligencia grave mitigan el riesgo moral y la litigiosidad. El beneficio es la reducción de pérdidas de las familias, menor litigiosidad ante Indecopi y mayor confianza en los pagos digitales; no existe cifra oficial agregada de montos defraudados para cuantificarlo.

Impacto económico: detalle y supuestos

Estimación referencial con supuestos explícitos · confianza: media. No es un dato oficial ni reemplaza el informe del MEF.

Tipo de impacto

neutro

Costo para el Estado

S/ 0 (sin gasto público adicional)

Horizonte

anual

Financiamiento

Presupuesto institucional de las entidades involucradas, sin demandar recursos adicionales al Tesoro Público.

Beneficio para el Estado

Menor carga de reclamos ante Indecopi por regla clara de responsabilidad. No cuantificable con información pública.

Beneficio para la sociedad

Recuperación de pérdidas de víctimas con tope de diez UIT por evento y plazos máximos; mayor confianza en pagos digitales. No cuantificable: no existe cifra oficial agregada de montos defraudados.

Inversión privada movilizable

Inversión en biometría, monitoreo transaccional e interfaces de señal de cambio de chip; no cuantificable con información pública.

Costo para privados

Reembolsos a cargo de entidades que incumplan deberes y costos de adecuación tecnológica, parcialmente ya exigidos por la Resolución SBS 504-2021.

Riesgos

Riesgo moral del usuario (mitigado por la excepción de negligencia grave y el tope); inclusión errónea de «cuentas mula» en el mecanismo (mitigado por el art. 8.2 y 8.3); disputas de repetición entre bancos y operadores.

Supuestos del cálculo

La supervisión se integra a las funciones existentes de SBS, BCRP, OSIPTEL e Indecopi, cuyos presupuestos provienen de contribuciones de supervisados, aporte por regulación y tasas; no se crean órganos.

Revisión especializada

Revisión asistida por IA desde cinco especialidades, sobre la versión anterior del texto. No reemplaza la revisión de un abogado ni el dictamen de comisión.

Observaciones atendidas en esta versión: 19 corregidas, 1 parciales, 1 no aplicadas (con justificación).

Especialidad	Veredicto	Opinión
Constitucional	Con observaciones	Desarrolla la protección del consumidor (art. 65) y es una restricción razonable a la libertad de empresa (art. 59). Sin embargo, deja al reglamento el reparto de la responsabilidad civil entre privados, que es materia de ley, y debe precisar que no se aplica a fraudes anteriores a su vigencia (art. 103). Hallazgos: 0 altos · 1 medios · 2 bajos
Técnica legislativa	Con observaciones	El régimen de deberes y reembolso es coherente y la carga de la prueba está bien asignada, pero la ley deja al reglamento elementos sustantivos de la responsabilidad civil (orden y proporción entre obligados), no articula la potestad normativa de la SBS y del OSIPTEL y no precisa a qué operaciones se aplica en el tiempo. Hallazgos: 0 altos · 2 medios · 3 bajos
Concordancia normativa	Con observaciones	No existe ley vigente que distribuya la pérdida por fraude digital entre bancos y operadores (verificado: solo regulación SBS e INDECOPI). La propuesta duplica, sin embargo, obligaciones de verificación de identidad para reposición de chip ya reguladas tras la Ley 32451 y el D.S. 128-2025-PCM, y el bloqueo de remitentes alfanuméricos que regula CIB-06. Debe ubicarse en el Código de Protección y Defensa del Consumidor (Capítulo de servicios financieros). Hallazgos: 0 altos · 3 medios · 2 bajos
Seguridad	Con observaciones	Régimen bien diseñado que asigna el riesgo a quien puede prevenirlo con menor costo y exige controles técnicos correctos (autenticación reforzada, periodo de espera, señal de cambio de chip). Deben añadirse garantías de debido proceso en las listas compartidas de cuentas y números 'fraudulentos', base legal para el intercambio sin depender del consentimiento, y cubrir a participantes de sistemas de pagos no supervisados por la SBS. Hallazgos: 0 altos · 1 medios · 2 bajos
Derecho tecnológico	Con observaciones	Diseño de incentivos correcto (quien puede prevenir al menor costo asume la pérdida si incumple) y alineado con Singapur y Reino Unido. Requiere: base legal propia (no consentimiento) para la señal de cambio de chip, salvaguardas frente al secreto bancario en el intercambio de cuentas receptoras, un tope y una regla de causalidad para el reembolso, la inclusión del BCRP en pagos inmediatos y referencias comparadas pertinentes. Hallazgos: 0 altos · 3 medios · 2 bajos

Efecto de la vigencia sobre la legislación nacional

Ley autónoma que complementa la Ley 29571 (art. 24), la Ley 29440, la Ley 29733 (art. 14, habilitación legal del tratamiento), la Ley 32451, el Decreto Supremo 128-2025-PCM y el Decreto Legislativo 1338; obliga a adecuar la Resolución SBS 504-2021 y el Reglamento de Tarjetas de Crédito y Débito. No modifica la Ley 26702 ni levanta el secreto bancario (art. 8.1). Se aplica solo a operaciones posteriores a su vigencia. No requiere votación de ley orgánica.

Indicador de éxito al 2031

A 2031, tiempo promedio de resolución de reclamos por fraude digital menor a 15 días hábiles y estadística anual publicada por la SBS por entidad.

Normas relacionadas

Antecedentes

Periodo 2021-2026 (según verificación en SPLEY del revisor normativo): PL 03251/2022-CR, responsabilidad de las empresas del sistema financiero ante el fraude informático (en comisión); PL 00398/2021-CR, protección de usuarios financieros frente a fraudes informáticos (orden del día); PL 00906/2021-CR, modifica el art. 82 de la Ley 29571 para proteger tarjetas frente al fraude (con dictamen); PL 10054/2024-CR, devolución por transferencias erróneas de dinero electrónico (en comisión); PL 13494/2025-CR y PL 13240/2025-CR, validación previa de transferencias en billeteras digitales (en comisión). Ninguno fue publicado como ley.

Referencias internacionales

Singapur: Shared Responsibility Framework for Phishing Scams (MAS e IMDA)
Australia: Scams Prevention Framework Act 2025
Reino Unido: Payment Systems Regulator — reembolso obligatorio del fraude APP (Specific Direction 19, 2024)
Brasil: Banco Central do Brasil — Mecanismo Especial de Devolución (MED) del Pix

Fuentes

¿Qué opinas de esta propuesta?

Apoya o rechaza esta propuesta y deja tu comentario. No necesitas cuenta; todo queda registrado y se consolida en la página Ciudadanía.

Privacidad · Propuesta ciudadana de libre uso para cualquier congresista, bancada o colectivo que quiera presentarla. No es un proyecto de ley presentado ni tiene número en el Congreso. Cítala y mejórala.