Resolución Nº SGF-RES-0036-2026 de Superintendencia General de Entidades Financieras, 12-08-2026

RESOLUCIÓN DE SUPERINTENDENCIA GENERAL DE ENTIDADES FINANCIERAS

SGF-RES-0036-2026

San José a las once horas del once de agosto del dos mil veintiséis.

La Superintendente General de Entidades Financieras;

CONSIDERANDO QUE:

1. Consideraciones de orden legal y reglamentario

1. Mediante la Ley de Protección a las personas consumidoras en la custodia de su dinero que administra cualquier entidad financiera en Costa Rica, ya sea pública o privada autorizada para este fin, Ley 10889, publicada en el Alcance 40 del diario oficial La Gaceta 73 del 22 de abril de 2026, se introduce un marco legal orientado a resguardar los fondos de los consumidores financieros frente a riesgos asociados a estafas informáticas y operaciones no autorizadas

2. La Ley 10889 reforma, entre otras disposiciones, el artículo 35 de la Ley 7472, Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, estableciendo un régimen de responsabilidad aplicable a las entidades financieras ante una eventual custodia de fondos inadecuada y ante la sustracción de dinero por parte de terceros no autorizados, bajo un enfoque de responsabilidad independiente de la existencia de culpa

3. La Ley 10889 incorpora modificaciones a la Ley General de la Administración Pública y al Código Procesal Civil, específicamente al régimen procesal aplicable en materia de protección al consumidor financiero, introduciendo la inversión de la carga de la prueba en favor de las personas usuarias en casos relacionados con estafas informáticas y servicios financieros, tanto en sede administrativa como judicial.

4. La Ley 10889 establece obligaciones específicas para las entidades financieras supervisadas por esta Superintendencia, relativas a la atención de reclamos, la investigación de estafas informáticas, la implementación de mecanismos de control y monitoreo de transacciones, así como la adopción de medidas de mitigación y compensación a favor de los consumidores financieros afectados por estafas informáticas y operaciones no autorizadas.

5. De conformidad con lo dispuesto en el artículo 10 de la Ley 10889, corresponde a la Superintendencia General de Entidades Financieras (SUGEF) emitir normativa de acatamiento obligatorio orientada a prevenir, reducir y procurar erradicar las estafas informáticas en perjuicio de los usuarios financieros.

6. El artículo 119 de la Ley Orgánica del Banco Central de Costa Rica (LOBCCR), Ley 7558, dispone que, con el propósito de velar por la estabilidad, la solidez y el eficiente funcionamiento del Sistema Financiero Nacional, la SUGEF ejercerá sus actividades de supervisión y fiscalización sobre todos los intermediarios financieros, con estricto apego a las disposiciones legales y reglamentarias, velando porque cumplan con los preceptos que les sean aplicables. Para efectos de la LOBCCR, los términos “fiscalización” y “supervisión” aluden, en general, a las funciones y responsabilidades atribuidas por esa ley a la Superintendencia.

7. De conformidad con la competencia especial conferida a la SUGEF por la Ley 10889, corresponde a esta Superintendencia establecer estándares mínimos de control que permitan mitigar los riesgos asociados a las estafas informáticas y preservar la confianza en el sistema financiero.

8. Mediante la Ley 8148 de 24 de octubre de 2001 se adicionaron al Código Penal, Ley 4573 de 4 de mayo de 1970, los artículos 196 bis, 217 bis y 229 bis, para reprimir y sancionar los delitos informáticos, denominados: Violación de comunicaciones electrónicas, Fraude informático y Alteración de datos y sabotaje informático. Posteriormente, en el año 2012, la Ley de Reforma de varios artículos y modificación de la Sección VIII, denominada delitos informáticos y conexos, del Título VII del Código Penal, Ley 9048, publicada en el Alcance 172 de La Gaceta 214, introdujo los conceptos de “estafa informática”, “daño informático”, “violación de datos personales”, “suplantación de páginas electrónicas” y “facilitación de delito informático”.

2. Consideraciones sobre las estafas informáticas

9. El Comité de Supervisión Bancaria de Basilea, mediante su informe titulado “Fraude digital y banca: implicaciones para la supervisión y la estabilidad financiera”, publicado en el sitio web del Banco de Pagos Internacionales (BIS), en la sección “Committees & associations”, apartado “Basel Committee on Banking Supervision”, subsección “Publications”, define que las estafas informáticas, también conocidas como fraudes digitales, son todas aquellas actividades fraudulentas perpetradas por partes externas a través de medios digitales (correos electrónicos, sitios web, software malicioso, entre otros) con el objetivo de sustraer activos o credenciales de los clientes bancarios sin su consentimiento.

10. En...