Análisis sobre idoneidad, datos personales y competencia en el caso Interbank

Interbank fue sancionado por incumplimientos en protección de datos y fallas en su sistema

En 2024, una asociación de consumidores denunció a Interbank ante el Indecopi por tres hechos principales: la caída de su sistema, que impidió a los usuarios acceder a sus cuentas o utilizarlas; la falta de información acerca de canales alternativos de atención, y no haber protegido adecuadamente los datos de sus clientes.

Decisión del Indecopi confirma la competencia en protección de datos

Mediante la Resolución 1544-2026/SPC-INDECOPI, la Sala Especializada en Protección al Consumidor determinó que la falta de resguardo adecuado de los datos personales era una competencia de la Autoridad Nacional de Protección de Datos Personales (ANPD) y no del organismo peruano de protección al consumidor. La resolución fue clara en señalar que el incumplimiento del deber de confidencialidad corresponde a la ANPD, ya que esta conducta está tipificada como infracción grave en su reglamento.

Discusiones sobre la competencia de la autoridad en protección de datos

Uno de los vocales del tribunal expresó su desacuerdo, argumentando que un mismo hecho puede constituir varias infracciones. Sostuvo además que la protección al consumidor tiene respaldo constitucional y que la ley de datos no otorga a la ANPD potestad sobre normativas de protección al consumidor. Además, advirtió que derivar la denuncia a otra entidad generaría mayores costos para el ciudadano.

La sala abordó la protección de datos como si fuera un sector regulado, similar a telecomunicaciones o salud, pero esa no es la naturaleza de la ANPD, que es una dirección del Ministerio de Justicia y Derechos Humanos. La competencia en protección de datos está expresamente atribuida a la ANPD y no a un organismo regulador sectorial, como sí sucede con OSIPTEL o SUNASS en sus áreas respectivas.

Potestades de la ANPD y límites del Indecopi

A pesar de esto, la ley confiere a la ANPD la potestad expresa de fiscalizar y sancionar infracciones relacionadas con la protección de datos, incluyendo incumplimientos en seguridad y confidencialidad. La lógica sería que, en materia de protección del consumidor, el Indecopi atiende cuestiones generales, mientras que la ANPD se encarga de infracciones específicas de datos.

Permitido por la normativa, la responsabilidad del Indecopi solo se aplica a relaciones de consumo en general, y no a infracciones propias de protección de datos, las cuales corresponden a la ANPD. El admitir que el Indecopi pueda conocer de infracciones en materia de datos personales abriría la puerta a que cualquier incumplimiento normativo se disfrace de problema de idoneidad del servicio, lo cual sería un error.

Por otra parte, las conductas relacionadas con la seguridad en servicios financieros, por ejemplo, suelen ser obra de terceros, y el propio Código reconoce que este hecho puede eximir responsabilidad si el banco ha implementado medidas de seguridad adecuadas. La falta de estas medidas también constituye una infracción a la normativa de datos, que la ANPD puede sancionar, y que el Indecopi no habría evaluado técnicamente.

Sobre los costos, procedimiento y competencias de las autoridades

En relación a los posibles sobrecostos de acudir a la ANPD, estos no representan una objeción válida, ya que los procedimientos son gratuitos, en línea y no requieren la contratación de abogados, a diferencia del proceso ante el Indecopi, que sí implica pagos. La denuncia ante la ANPD tampoco genera mayores costos para los usuarios.

En resumen, la competencia para conocer infracciones en protección de datos debe ser exclusiva de la ANPD, que cuenta con la capacidad técnica y los canales apropiados para fiscalizar y sancionar dichas infracciones de manera eficaz. La atribución del Indecopi en esta materia carece de sustento legal y, aceptar la tesis contraria, llevaría a interpretaciones erróneas y a la dilución de responsabilidades en protección de datos.