Las banderas rojas son la regla

La regla de las banderas rojas fue creada por la Comisión Federal de Comercio (FTC), junto con otras agencias gubernamentales como la Administración Nacional de Cooperativas de Crédito (NCUA), para ayudar a prevenir el robo de identidad . La regla se aprobó en enero de 2008 y debía entrar en vigor el 1 de noviembre de 2008, pero debido a las resistencias de la oposición, la FTC retrasó su aplicación hasta el 31 de diciembre de 2010. ^[1]

^{En diciembre de 2010, la Ley de Clarificación del Programa de Banderas Rojas de 2010 [2]} aclaró la Regla de Banderas Rojas para excluir a la mayoría de los médicos, abogados y otros profesionales que no reciben el pago completo en el momento en que se presta su servicio.

La regla de las banderas rojas se basó en las secciones 114 y 315 de la Ley de Transacciones de Crédito Justas y Precisas de 2003 ^[3] (FACTA).

La FACTA se creó para ayudar

• Prevención de robo de identidad y restauración del historial crediticio,
• Mejoras en el uso y acceso de los consumidores a la información crediticia,
• Mejorar la precisión de la información de los informes del consumidor,
• Limitar el uso y el intercambio de información médica en el sistema financiero,
• Alfabetización financiera y mejora de la educación,
• Protección de las investigaciones de mala conducta de los empleados y
• Relación con las leyes estatales. ^[4]

Existen dos grupos diferentes a los que se aplica esta regla: las instituciones financieras y los acreedores. ^[5] Una institución financiera se define como un banco estatal o nacional, una asociación de ahorro y préstamo estatal o federal, un banco de ahorro mutuo, una cooperativa de crédito estatal o federal o cualquier otra entidad que tenga una “cuenta de transacción” perteneciente a un consumidor. ^[6] La definición de “acreedor” de la FACTA se aplica a cualquier entidad que extienda o renueve regularmente el crédito –o haga arreglos para que otros lo hagan– e incluye a todas las entidades que regularmente permiten pagos diferidos por bienes o servicios. ^[7]

La definición de acreedor fue aclarada por la Ley de Clarificación del Programa Bandera Roja de 2010. ^[2] Según la Ley de Clarificación, un acreedor regularmente y en el curso de sus negocios:

• Obtiene o utiliza informes de crédito del consumidor;
• Proporciona información a las agencias de informes del consumidor; o
• Adelanta fondos que deben reembolsarse en el futuro (o contra garantía).

Esta definición fue aclarada aún más por el Tribunal de Apelaciones de los Estados Unidos para el Circuito del Distrito de Columbia en su fallo del 4 de marzo de 2010 en el caso The American Bar Association vs. Federal Trade Commission. ^[8] El tribunal confirmó la declaración del senador Dodd con respecto al proyecto de ley de que "los abogados, médicos... y otros proveedores de servicios ya no [son] clasificados como 'acreedores' a los efectos de la regla de las banderas rojas simplemente porque no reciben el pago completo de sus clientes en el momento en que prestan sus servicios".

Hay muchas empresas diferentes a las que se aplica esta regla: esta lista incluye, pero no se limita a, compañías financieras, concesionarias de automóviles, corredores hipotecarios, compañías de servicios públicos y compañías de telecomunicaciones; o cualquier otra empresa que adelanta fondos o interactúa rutinariamente con agencias de crédito al consumidor al realizar un servicio y recibir el pago una vez que se completa el trabajo.

La regla de las señales de alerta establece cómo determinadas empresas y organizaciones deben desarrollar, implementar y administrar sus programas de prevención del robo de identidad. El programa debe incluir cuatro elementos básicos que, en conjunto, crean un marco para abordar la amenaza del robo de identidad. ^{[9] [10]}

El programa tiene cuatro elementos:

1) Identificar señales de alerta relevantes

• Identificar posibles señales de alerta de robo de identidad específicas de la empresa

2) Detectar señales de alerta

• Definir procedimientos para detectar señales de alerta en las operaciones diarias.

3) Prevenir y mitigar el robo de identidad

• Actuar para prevenir y mitigar daños cuando se identifican señales de alerta

4) Programa de actualización

• Mantener el programa de bandera roja, incluida la educación del personal operativo

Las Reglas de Banderas Rojas brindan a todas las instituciones financieras y acreedores la oportunidad de diseñar e implementar un programa que sea apropiado para su tamaño y complejidad, así como para la naturaleza de sus operaciones. ^[6]

Las señales de alerta se dividen en cinco categorías:

• alertas, notificaciones o advertencias de una agencia de informes del consumidor ^[6]
• documentos sospechosos ^[6]
• información de identificación sospechosa, como una dirección sospechosa ^[6]
• Uso inusual de una cuenta cubierta o actividad sospechosa relacionada con ella ^[6]
• Avisos de clientes, víctimas de robo de identidad, autoridades policiales u otras empresas sobre un posible robo de identidad en relación con cuentas cubiertas ^[6]

La FTC ha creado una plantilla para empresas que se puede completar para satisfacer las necesidades de cada empresa. La plantilla se puede encontrar en el sitio web de la FTC. Sin embargo, esta plantilla es apropiada únicamente para empresas pequeñas y de muy bajo riesgo.

La Ley de Informes Crediticios Justos de 1970, modificada en 2003 (FCRA), exigió a varias agencias federales que emitieran normas y directrices conjuntas sobre la detección, prevención y mitigación del robo de identidad para las entidades que están sujetas a sus respectivas autoridades de aplicación (también conocidas como “normas de señales de alerta en caso de robo de identidad”). ^[11] Esas agencias eran la Oficina del Contralor de la Moneda (OCC), la Junta de Gobernadores del Sistema de la Reserva Federal (Junta de la Reserva Federal), la Corporación Federal de Seguro de Depósitos (FDIC), la Oficina de Supervisión de Ahorros (OTS), la Administración Nacional de Cooperativas de Crédito (NCUA) y la Comisión Federal de Comercio (FTC) (en conjunto, las “Agencias”). En 2007, las Agencias emitieron normas conjuntas finales sobre señales de alerta en caso de robo de identidad. ^[12]

El 1 de enero de 2011, la FTC comenzó a aplicar su Regla de Señales de Alerta de la Ley de Transacciones Crediticias Justas y Precisas de 2003 (Ley FACT). La Regla de Señales de Alerta requiere que cada "institución financiera" o "acreedor" (que incluye a la mayoría de las empresas de valores) implemente un programa escrito para detectar, prevenir y mitigar el robo de identidad en relación con la apertura o el mantenimiento de "cuentas cubiertas". Estas incluyen cuentas de consumidores que permiten múltiples pagos o transacciones, como una cuenta de corretaje minorista, una cuenta de tarjeta de crédito, una cuenta de margen, una cuenta corriente o de ahorros, o cualquier otra cuenta con un riesgo razonablemente previsible para los clientes o su empresa por robo de identidad.

El 21 de julio de 2011, la Ley de Reforma de Wall Street y Protección al Consumidor Dodd-Frank (Ley Dodd-Frank) transfirió la responsabilidad de la elaboración de normas y la aplicación de las reglas y directrices de alerta sobre robo de identidad a la Comisión de Bolsa y Valores (SEC) y a la Comisión de Comercio de Futuros de Productos Básicos (CFTC) para las empresas que regulan.

El 19 de abril de 2013, la SEC y la CFTC publicaron su regla final conjunta sobre señales de alerta en materia de robo de identidad y sus directrices, que entrarán en vigor el 20 de mayo de 2013 y tendrán como fecha de cumplimiento el 20 de noviembre de 2013. La regla y las directrices no contienen requisitos que no estuvieran ya incluidos en la regla y las directrices de la FTC sobre señales de alerta, y no amplían el alcance de esa regla para incluir nuevas categorías de entidades que la regla no cubría ya. Sin embargo, sí contienen ejemplos y cambios menores en el lenguaje diseñados para ayudar a orientar a las entidades dentro de la autoridad de aplicación de la SEC en el cumplimiento de la regla, lo que puede llevar a que algunas entidades que no habían cumplido anteriormente con la regla determinen que se encuentran dentro del alcance de la regla que adoptaron la SEC y la CFTC.

Como la regla de la Bandera Roja define ampliamente a los acreedores, muchas empresas (como las de servicios públicos) están obligadas a recopilar información personal (como el número de seguro social y el número de licencia de conducir) que no es necesaria para fines comerciales. Esta política es contraria al consejo de la FTC a los consumidores de que deben revelar su número de seguro social a otras personas solo cuando sea absolutamente necesario. ^[13] Este aspecto de la regla de la Bandera Roja tiene las consecuencias no deseadas de aumentar la cantidad de empresas que tienen los números de seguro social de los consumidores, lo que los pone en mayor riesgo de robo de identidad a través del robo de datos y aumenta los costos para las empresas que están obligadas a proteger estos datos.