PSP: alcance, regulación y utilidad práctica para la abogacía bancaria

El trabajo parte de una precisión conceptual necesaria: los Proveedores de Servicios de Pago son empresas —en general fintech— que facilitan pagos, transferencias y administración de fondos a través de plataformas digitales. Dentro de la categoría se destacan los PSP que ofrecen cuentas de pago (PSPCP), responsables de las billeteras virtuales y de asignar una CVU a cada usuario. Su peso es difícil de exagerar: en abril de 2026, el 76,3 % de las transacciones tuvo origen o destino en una CVU.

La regulación evolucionó en dos tiempos. La etapa inicial, de 2020, fue predominantemente registral: identificar a las empresas, conocer su actividad y garantizar trazabilidad. La etapa que se abrió en 2026 es de supervisión integral y se apoya en cuatro pilares —seguridad tecnológica, prevención del fraude, prevención del lavado de activos y vigilancia operativa—, acercando el régimen de las fintech al que históricamente rigió para los bancos.

Cada comunicación aporta una pieza. La “A” 8398 exige a las billeteras políticas formales de ciberseguridad, continuidad operativa, gestión de incidentes, auditorías independientes y control sobre los servicios en la nube y los terceros tecnológicos críticos. La “A” 8399 consolida el enfoque funcional; la “A” 8411 incluye a los PSP en el régimen disciplinario del BCRA; la “A” 8429 fortalece la prevención del lavado; y la “A” 8432 regula el modelo de Banking as a Service, dejando en claro que tercerizar la operación no diluye la responsabilidad del proveedor de la infraestructura.

Para el abogado que interviene en una estafa digital, este cuerpo normativo tiene aplicación inmediata. Permite superar la defensa habitual de las empresas —“la operación fue correctamente autenticada”—: ya no basta acreditar el ingreso de una clave o de un token, sino que debe demostrarse que toda la arquitectura tecnológica, los controles antifraude y los mecanismos de detección funcionaron adecuadamente. Y habilita a individualizar con precisión a los legitimados pasivos, reconstruyendo la cadena de participantes: qué empresa abrió la cuenta, quién administró la CVU, quién procesó la transferencia y quién conservaba la responsabilidad primaria frente al usuario y frente al BCRA.

Sobre esa base, el litigante puede fundar el pedido de registros de dispositivos, direcciones IP, geolocalización, altas de usuarios, cambios de credenciales, alertas antifraude, beneficiarios y trazabilidad completa de los fondos; sostener la responsabilidad objetiva del proveedor y el incumplimiento del deber de seguridad; y aplicar la carga dinámica de la prueba cuando los datos técnicos están exclusivamente en poder de la fintech. En el asesoramiento preventivo, las mismas normas sirven para diseñar programas de cumplimiento, revisar contratos de tercerización tecnológica y anticipar responsabilidades dentro de ecosistemas cada vez más complejos.

Síntesis para integrantes del Instituto · Comun. A 8398 / 8399 / 8411 / 8429 / 8432

Firma electrónica no es firma digital: rechazan la ejecución de un saldo de tarjeta contratada online

El Instituto eligió comentar este pronunciamiento porque aborda una problemática cada vez más frecuente: la pretensión de trasladar automáticamente al proceso ejecutivo las contrataciones celebradas íntegramente por canales digitales. En el caso, el Banco Santander Río promovió el cobro ejecutivo de saldos impagos de tarjetas VISA y AMEX, cuya contratación se habría realizado a distancia por medios electrónicos. El juzgado de primera instancia entendió que la documentación no habilitaba la vía ejecutiva y dispuso canalizar la pretensión por el proceso de conocimiento.

El banco apeló. Sostuvo que la documentación digital contenía datos suficientes para acreditar la contratación —el nombre del usuario, la fecha y hora de aceptación, la dirección IP y ciertos códigos de trazabilidad informática— y que esos elementos aseguraban la autoría e integridad del instrumento en los términos del art. 288 del Código Civil y Comercial. Negarles eficacia ejecutiva, argumentó, implicaba desconocer las actuales modalidades de contratación bancaria.

La cuestión medular fue determinar si esos registros configuraban una firma digital, con las presunciones legales que ella produce, o solamente una firma electrónica. La distinción no es terminológica: de ella depende quién debe probar la autoría del documento. La Cámara recordó que el art. 288 del CCyC tiene por satisfecho el requisito de la firma cuando se emplea una firma digital que asegure indubitablemente autoría e integridad, y que la Ley 25.506 diferencia una y otra, disponiendo que, cuando la firma electrónica es desconocida, corresponde a quien la invoca acreditar su validez. No toda clave, aceptación en plataforma, registro de IP o código de seguridad equivale jurídicamente a una firma digital.

El núcleo decisorio es que la preparación de la vía ejecutiva presupone un instrumento privado cuya firma pueda ser reconocida judicialmente. Si el documento carece de firma ológrafa o digital y solo contiene una firma electrónica, el trámite preparatorio no puede convertir ese registro en un título ejecutivo. La Cámara añadió que el art. 39 de la Ley 25.065, al permitir preparar la vía mediante el reconocimiento del contrato y del resumen, no exime al tribunal de controlar previamente la aptitud jurídica de la documentación: la norma especial no autoriza a ejecutar cualquier archivo generado unilateralmente por el emisor.

Desde la perspectiva del derecho del consumidor, la solución es especialmente relevante, porque impide que la asimetría tecnológica y probatoria entre el banco y el usuario se traslade sin controles a una vía donde las posibilidades de prueba y defensa son mucho más acotadas. El proceso de conocimiento, en cambio, permite analizar con amplitud si existió contratación, qué mecanismo de autenticación se utilizó y si la firma electrónica puede atribuirse válidamente al supuesto deudor.

Conviene precisar los límites del fallo: la Cámara no declaró inexistente la deuda, no negó al banco el acceso a la jurisdicción ni sostuvo que las contrataciones electrónicas carezcan de validez. Lo resuelto fue más preciso —la documentación presentada no tenía aptitud para sustentar un cobro ejecutivo—, y la entidad conserva la posibilidad de reclamar por la vía de conocimiento.

“Banco Santander Río c/ Urquiza, Lucas M. s/ cobro ejecutivo” · Cám. Civ. y Com. San Martín, Sala II · jul 2026 · art. 288 CCyCLey 25.506art. 39 Ley 25.065

Acción de clase contra el BBVA: reintegro de intereses cobrados por encima del tope

La Sala Tercera de la Cámara de Apelación en lo Civil y Comercial de Mar del Plata confirmó, en lo sustancial, la sentencia de primera instancia que había admitido una acción de clase por intereses individuales homogéneos, promovida por la Asociación Civil de Usuarios Bancarios Argentinos (ACUBA) contra el Banco BBVA Argentina. Ambas partes habían apelado el fallo dictado en febrero de 2025 por el Juzgado Civil y Comercial N.º 11.

El tribunal rechazó la excepción de falta de legitimación activa de la asociación y ratificó que la acción colectiva produce efectos en toda la República Argentina. El eje del reclamo eran los intereses cobrados por encima del tope del 43 % anual fijado por la Comunicación “A” 6964 del BCRA, dictada durante la emergencia sanitaria para la refinanciación de saldos de tarjetas de crédito.

En consecuencia, se ordenó reintegrar a los usuarios los intereses compensatorios y recargos aplicados en operaciones de financiación vinculadas a tarjetas que hubieran excedido aquel tope durante la vigencia del régimen, así como los intereses percibidos de más por la carga tardía de los datos de las transacciones. La condena alcanza el daño material —las sumas cobradas en exceso—, con sus accesorios y capitalización, devengados desde cada percepción.

Para el usuario financiero, la decisión es doblemente significativa. Por un lado, reafirma que los topes fijados por el Banco Central no son meramente indicativos: su incumplimiento genera un derecho concreto a la restitución. Por otro, muestra la potencia del proceso colectivo como herramienta de tutela, capaz de ordenar la devolución a todo un universo de damnificados sin exigir que cada uno litigue por separado, algo decisivo cuando el perjuicio individual es reducido pero se repite a gran escala.

“ACUBA c/ Banco BBVA Argentina S.A.” · Cám. Civ. y Com. Mar del Plata, Sala 3ª · Expte. 170.826Comun. A 6964

“Tapia Araya c/ Starbucks”: los alcances del deber de seguridad frente al robo a mano armada

La Corte Suprema volvió sobre un tema clásico y siempre actual: los alcances del deber de seguridad de los establecimientos comerciales frente a hechos delictivos de terceros. En “Tapia Araya c/ Starbucks” revocó por arbitraria la sentencia que había condenado a un local a reparar los daños sufridos por un cliente durante un robo a mano armada ocurrido en su interior.

El voto mayoritario, de los jueces Rosatti y Rosenkrantz, reprochó a la decisión anterior haberse apoyado en una afirmación dogmática —que un robo a mano armada no es un acontecimiento inevitable— sin explicar cómo el comercio podría razonablemente haber evitado el hecho de un tercero armado, ni por qué ese asalto constituiría una contingencia propia del riesgo de la actividad. Descartada esa fundamentación, quedaba habilitada la eximente de caso fortuito o fuerza mayor (art. 1733, inc. e, del CCyC).

El juez Lorenzetti, en su voto, fue más allá: sostuvo que el asalto con armas dentro del local representa una de las formas típicas del caso fortuito por resultar inevitable (art. 1730 del CCyC), ya que el uso de un arma de fuego importa una amenaza concreta sobre las personas, cuyo riesgo tampoco puede trasladarse a los empleados, que se hallan en el mismo grado de indefensión que el cliente.

El diario La Ley acompañó el fallo con una serie de notas doctrinarias que exhiben la riqueza del debate: desde quienes analizan si el robo a mano armada es caso fortuito en locales gastronómicos, hasta quienes abordan la extinción de la obligación de seguridad por imposibilidad de cumplimiento o discuten cómo y por qué concebir esa obligación. Aunque el caso involucra a un comercio, la discusión interesa de lleno al derecho bancario: la obligación de seguridad y los límites del caso fortuito son los mismos ejes sobre los que se resuelve la responsabilidad de bancos y fintech frente a asaltos, fraudes y hechos de terceros en sus sucursales y plataformas.

CSJN · 05/03/2026 · Diario La Ley, 1 jun 2026 · arts. 1730 / 1733 CCyC

El caso Leonelli: qué ocurre realmente cuando subís información sensible a la nube

El juez Andrés Leonelli fue investigado luego de que material sensible vinculado a una causa judicial terminara almacenado en la nube. El sistema automático de Google detectó el contenido y generó un reporte internacional, lo que derivó en allanamientos y en una investigación penal. Con posterioridad, la Justicia determinó que el material estaba relacionado con su trabajo judicial y que no existía delito. El episodio abrió un debate profundo sobre cómo los profesionales manejan la información sensible y sobre los riesgos de custodiar evidencia crítica en entornos externos.

La nota técnica parte de una idea contraintuitiva: subir un archivo no es simplemente “guardarlo en internet”. Ese archivo deja de existir solo en el dispositivo y pasa a servidores externos, donde la infraestructura no funciona como un depósito pasivo. Los sistemas lo indexan, lo replican, generan metadatos, calculan hashes y ejecutan escaneos de seguridad; según el servicio, además detectan malware, reconocen imágenes, leen texto o identifican contenido sensible mediante inteligencia artificial. Todo eso ocurre incluso cuando la carpeta es “privada”.

Cuando esos sistemas identifican contenido que coincide con sus patrones, la plataforma actúa como fue diseñada: bloquea la cuenta, genera alertas y reporta el caso a las autoridades. El problema es que la máquina no entiende contexto, intención ni legitimidad: no distingue a un juez trabajando con evidencia, a un médico analizando estudios o a un perito investigando un delito, de quien almacena material ilegal. Solo reconoce aquello para lo que fue entrenada y, ante una coincidencia, actúa, reporta y escala.

Hay además un plano jurídico y contractual: al usar estos servicios se aceptan términos que autorizan a la plataforma a aplicar procesos automáticos de seguridad sobre la información almacenada, y en muchos países las empresas tecnológicas tienen la obligación legal de reportar cierto contenido. “Privado”, entonces, no significa que el sistema no pueda procesar el archivo, sino que otros usuarios no acceden libremente a él; la infraestructura del proveedor sí puede analizarlo por razones técnicas, legales y de seguridad.

La conclusión práctica para el ejercicio profesional es directa: desde el momento en que cierta información entra en estos entornos, se pierde el control sobre su custodia, que queda sometida a políticas y decisiones ajenas. Por eso la recomendación central es no utilizar nubes personales para información crítica de expedientes y reservar esos datos para entornos bajo control efectivo del profesional, preservando la privacidad y la integridad de la evidencia.

Análisis técnico a partir del caso del juez A. Leonelli · custodia de evidenciadeber de reserva

Colaboración del Dr. Eduardo E. Lecce

Abogado · Ciberseguridad & Ethical Hacker

Códigos de respaldo: cuando la propia seguridad puede dejarte afuera

El punto de partida es que la contraseña, por sí sola, dejó de ser una barrera suficiente. Una clave puede comprometerse de muchas formas —filtraciones masivas, phishing, malware, reutilización entre servicios o simples errores humanos— y las claves débiles o repetidas caen con relativa facilidad ante ataques de fuerza bruta, de diccionario o de credential stuffing. Hoy el problema ya no es solo crear una buena contraseña, sino asumir que, tarde o temprano, puede quedar expuesta.

El doble factor de autenticación (2FA) agrega una segunda validación de identidad: aunque alguien conozca la contraseña, necesita todavía una prueba adicional —un código temporal, una aplicación, una llave física, una passkey, biometría o la confirmación desde otro dispositivo—. Técnicamente reduce de forma drástica los accesos no autorizados, y por eso las grandes plataformas insisten en activarlo.

Pero hay un aspecto crítico que suele subestimarse: el 2FA no sabe quién es el dueño de la cuenta; solo valida evidencias de autenticación. Si el usuario pierde acceso al segundo factor —por robo o rotura del teléfono, restauración de fábrica, cambio de dispositivo, pérdida de la SIM o borrado accidental de la app—, puede quedar completamente bloqueado, aun siendo el propietario legítimo. Ahí entran en juego los códigos de respaldo.

Son claves únicas de emergencia, la última línea de recuperación de la identidad digital. La mayoría de las plataformas generan entre cinco y diez códigos de un solo uso al activar el 2FA y, en muchos casos, los muestran una única vez: si no se guardan en ese momento, pueden perderse para siempre. Una cuenta con 2FA activo pero sin códigos de respaldo bien protegidos puede volverse extremadamente difícil, o directamente imposible, de recuperar; y con ella se pierden correos, servicios financieros, documentos, historiales y años de identidad digital.

La recomendación del autor es concreta: los códigos deben guardarse separados del dispositivo principal —preferentemente offline, en un gestor de contraseñas cifrado o impresos y resguardados físicamente—, nunca en capturas de pantalla, en la galería del teléfono, por mensajería, en notas sin protección ni dentro del mismo equipo que se usa para el 2FA. La verdadera seguridad no consiste solo en impedir accesos indebidos, sino también en garantizar que el usuario legítimo pueda recuperar el control cuando algo falle.

2FAbackup codes

El hash: la huella matemática que delata cualquier alteración

Un hash es una huella matemática de longitud fija que se calcula sobre un archivo. Su valor no dice si el contenido es “verdadero”, sino algo más concreto y, para el litigio, más útil: si el archivo sigue siendo exactamente el mismo. No certifica la verdad del documento; certifica su mismidad.

Su fuerza está en la sensibilidad: un solo cambio en los datos —por mínimo que sea— transforma por completo el resultado. Eso convierte una pregunta difícil, “¿este archivo fue alterado?”, en una comprobación simple y objetiva: si el hash es el mismo, el contenido es el mismo; si el hash cambió, algo cambió. El hash no mira ni interpreta: calcula, y cuando calcula, la alteración aparece.

De ahí su valor para el derecho. Los archivos pueden modificarse sin que nadie lo advierta a simple vista, y el hash ofrece una forma verificable de detectarlo. Es la base técnica de la integridad de la prueba digital y de la cadena de custodia: permite acreditar que la evidencia ofrecida es idéntica a la que se recolectó y que no fue adulterada en el camino. Así de simple, así de preciso y así de poderoso.

integridadcadena de custodia

Prueba y cuestiones prácticas en los casos de estafas bancarias. Determinación de daños punitivos

El 27 de abril de 2026, el Instituto —junto con el Ateneo de Estudios del Consejo— llevó adelante en la sede de Resistencia una jornada que reunió a más de 60 colegas inscriptos. El encuentro abordó, con un enfoque marcadamente práctico, la producción y conservación de la prueba digital, las medidas preliminares y anticipadas, el rol de los bancos y las fintech frente a operaciones sospechosas, la responsabilidad por fallas en los sistemas de seguridad, el análisis de la jurisprudencia local y los criterios para la procedencia y cuantificación de los daños punitivos.

Expusieron el Dr. Emiliano Lestani —Juez del Juzgado Civil y Comercial N.º 19 y Presidente del Ateneo—, la Dra. Ofelia del Valle Camino —Secretaria Provisoria del mismo juzgado e integrante del Ateneo— y el Dr. Luis R. Camargo Cervi —Director del Instituto de Derecho Bancario y Fintech—. La convocatoria confirmó el interés creciente de la comunidad jurídica por abordar con seriedad una problemática cada vez más frecuente y compleja, y renovó el compromiso de sostener la capacitación permanente y el trabajo conjunto entre la abogacía, la judicatura y los institutos del Consejo.

Ver en Instagram →Publicado por @consejo.abogaciachaco · @ateneodeestudios