Pago seguro: estándares y certificaciones de comercio electrónico

En materia de pago en línea, la cuestión no es si ocurrirá un incidente, sino quién asumirá su coste. La respuesta depende de dos elementos: el cumplimiento del estándar aplicable a los datos de tarjeta, y el uso efectivo de la autenticación reforzada. Un comercio que cumple ambos puntos asume poco riesgo; un comercio que ha eludido la autenticación para agilizar su proceso de compra asume la totalidad de los impagos fraudulentos.

La autenticación reforzada, y quién paga en caso de fraude

La directiva europea sobre servicios de pago impone una autenticación reforzada del cliente para la mayoría de las operaciones en línea. Se basa en al menos dos elementos independientes entre tres categorías: algo que el cliente sabe (contraseña, código), algo que posee (teléfono, tarjeta), algo que es (huella, reconocimiento facial).

La regla de responsabilidad que se deriva de ello es simple y a menudo mal comprendida:

• Cuando se ha aplicado la autenticación reforzada aplicado, la carga de una operación fraudulenta impugnada no recae sobre el comercio.
• Cuando se ha descartado descartado —por una exención invocada por el comercio o su proveedor— el riesgo se traslada a quien solicitó la exención.

Existen exenciones: operaciones de importe reducido, beneficiarios de confianza registrados por el cliente, análisis de riesgo en tiempo real bajo ciertas condiciones. Agilizan el proceso, a costa de una transferencia de responsabilidad que debe asumirse con conocimiento de causa.

El cliente dispone además de un derecho a reembolso en caso de operación no autorizada, que su banco debe ejecutar sin demora, salvo sospecha de fraude por su parte. El litigio se resuelve después entre las entidades y el comercio.

El estándar aplicable a los datos de tarjeta

Toda entidad que almacena, procesa o transmite datos de tarjeta está sujeta al estándar de seguridad del sector, independientemente de su volumen de actividad. El nivel de exigencia varía según el número de transacciones anuales, pero el principio no es negociable.

La forma más eficaz de reducir esta carga es reducir el alcance. Un comercio que nunca accede a los datos de tarjeta —porque la introducción se realiza en un campo alojado por el proveedor de pagos, o en una página redirigida— ve sus obligaciones considerablemente reducidas.

Dos prácticas anulan este beneficio y se dan con frecuencia: recibir un número de tarjeta por correo electrónico o por teléfono e introducirlo uno mismo, y conservar números en un archivo «para facilitar los siguientes pedidos». En ambos casos, el alcance se extiende a toda la infraestructura que ha tenido contacto con el dato.

La tokenización es la respuesta a la necesidad de pago recurrente: el comercio conserva un token inutilizable fuera de su contexto, nunca el número en sí.

Lo que corresponde a la protección de datos

Los datos de pago son datos personales, y su tratamiento se suma a las obligaciones sectoriales sin sustituirlas.

Tres puntos estructuran el cumplimiento: una base legal para cada tratamiento, un plazo de conservación limitado a lo necesario, y un marco contractual del proveedor de pagos en calidad de encargado del tratamiento.

La conservación de los datos bancarios para facilitar una compra posterior requiere el consentimiento específico del cliente, distinto de la aceptación de las condiciones generales. Una única casilla que cubra a la vez las condiciones generales y la conservación de la tarjeta no cumple este requisito —el mismo razonamiento expuesto para los rastreadores y cookies, donde el consentimiento debe recabarse por finalidad.

Los impagos y la lucha contra el fraude

Dos riesgos distintos pesan sobre un comercio, y requieren respuestas diferentes.

El impago fraudulento resulta de una tarjeta robada o de una usurpación de identidad. La autenticación reforzada lo neutraliza al transferir la carga. Es el único dispositivo que protege realmente.

La devolución de cargo abusiva se produce cuando un cliente impugna una operación que, sin embargo, sí realizó. Aquí, la autenticación no basta: hay que poder demostrar la entrega y la conformidad de la prestación. Las pruebas útiles son la trazabilidad del envío, la prueba de entrega y el historial de comunicaciones —tema desarrollado en nuestro artículo sobre las obligaciones de entrega y devoluciones.

Un tercer dispositivo limita ambos riesgos: el límite y filtrado de las operaciones atípicas, por importe, por frecuencia o por zona geográfica.

Escenarios de uso

Tienda en línea estándar. Utilizar un campo de introducción alojado por el proveedor, no manejar nunca los datos de tarjeta, mantener la autenticación reforzada activada por defecto. Es la configuración que minimiza tanto la carga de cumplimiento como el riesgo financiero.

Suscripción recurrente. Recurrir a la tokenización, con un consentimiento específico del cliente para la conservación del medio de pago, distinto de la aceptación de las condiciones generales.

Venta por teléfono. Es la situación más arriesgada: sin autenticación reforzada, datos dictados de forma oral. Preferir el envío de un enlace de pago, que devuelve la operación al marco seguro y deja constancia.

Preguntas frecuentes

¿Es obligatoria la autenticación reforzada? Sí, para la mayoría de las operaciones en línea, salvo exenciones reguladas. Invocar una exención transfiere la carga del fraude a quien la solicita.

¿Quién paga en caso de fraude con tarjeta? Si se ha aplicado la autenticación reforzada, la carga no recae sobre el comercio. Si se ha descartado mediante una exención, se traslada a quien la solicitó.

¿Hay que estar certificado para vender en línea? El estándar se aplica desde el momento en que se almacenan, procesan o transmiten datos de tarjeta. El nivel de exigencia depende del volumen, pero el alcance se reduce notablemente cuando el comercio nunca accede a los datos.

¿Se puede conservar un número de tarjeta? No en texto plano, y no sin consentimiento específico. La tokenización permite el pago recurrente sin conservar el número en sí.

¿Se puede introducir un número recibido por correo electrónico? Es algo que debe evitarse absolutamente: el dato entra entonces en el alcance de cumplimiento de toda la infraestructura que lo ha tratado, incluido el correo electrónico.

¿Cómo defenderse ante una impugnación abusiva? Mediante la prueba de entrega y conformidad: trazabilidad del envío, prueba de entrega, historial de comunicaciones. La autenticación por sí sola no responde a este tipo de reclamación.

Puntos clave

Dos decisiones determinan la exposición de un comercio en línea, y ambas se toman en el momento de elegir su proceso de pago.

La primera es no acceder nunca a los datos de tarjeta, dejando que la introducción se realice en el proveedor. Reduce la carga de cumplimiento en proporciones considerables y elimina el riesgo de filtración.

La segunda es mantener la autenticación reforzada en lugar de invocar exenciones para agilizar el proceso. Cada exención gana algunos puntos de conversión y transfiere el coste del fraude. El cálculo merece hacerse de forma explícita, con la tasa real de impagos frente a la ganancia de conversión —es uno de los equilibrios estructurales del marco legal de una tienda en línea.