רשת הסופרמרקטים פלאזה ויאה ספגה סנקציות על ידי רשות הצרכנים הפרואנית בעקבות מקרה של חיובים לא מורשים בכרטיס אשראי שבוצע בסוף 2023. הסכסוך מקורו כאשר לקוח גילה שני חיובים גבוהים שמעולם לא אישר, ושלמרות הכל, טופלו ללא אימות זהות ראוי.
לאחר מספר חודשים של הליכים מנהליים, הלשכה המתמחה להגנת הצרכן של אינדקופי אישרה קנס של 11,6 יחידות מס (UIT), שווה ערך ל-62.060 שילינג סינגפורי, במסקנה כי הסופרמרקט לא עמד בחובת ההתאמה בכך שלא יישם את אמצעי האבטחה הנדרשים עבור סוג זה של פעילות בכרטיס.
כיצד נחשף מקרה הצריכה הלא מוכרת
בתיק נכתב כי הסכסוך החל ב- 31 דצמבר 2023, כאשר שתי רכישות עובדו בחנות בפלאזה ויאה באמצעות כרטיס אשראי עבור S / 3.980 y S / 23.789בעל הכרטיס זיהה לאחר מכן את העסקאות הללו והצהיר כי לא ביצע אותן ולא אישר אותן, וכי הן היו לחלוטין מעבר לשליטתו.
לנוכח מצב זה, הצרכן הגיש תביעה תלונה רשמית במרץ 2024 בפני המשרד האזורי של אינדקופי בלה ליברטד. בהצהרתו, הוא טען כי למרות שהעסקאות בוצעו באמצעות הכנסת הכרטיס ושימוש בקוד הסודי (PIN), הסוחר לא אימת בשום עת שהאדם שהשתמש בשיטת התשלום הוא אכן בעל הכרטיס.
המזכירות הטכנית של הנציבות קיבלה את התלונה לעיבוד באמצעות החלטה במאי 2024 והגישה כתב אישום נגד החברה בגין הטענות הפרת סעיף 19 לחוק הגנת הצרכן וההגנהבאופן ספציפי, נשאלה השאלה מדוע המוסד לא נקט באמצעי האבטחה הנדרשים כדי למנוע עסקאות לא מורשות בכרטיס אשראי.
במהלך הדיונים, פלאזה ויאה הציגה את פריקות ביוני 2024מכחישה את האחריות וטענה כי פעלה בהתאם לכללי המגזר הפיננסי והקמעונאי, בהתחשב בכך שהרכישות בוצעו תוך הזנה נכונה של קוד ה-PIN של הלקוח.
לאחר ניתוח התיעוד, ה- ועדת המשרד האזורי של Indecopi של לה ליברטד בנובמבר 2024 היא הוציאה החלטה בה קבעה כי התלונה תקפה. בנוסף לקנס בסך 11,6 אירו לחודש, היא הורתה על תשלום הוצאות ההליכים ועל רישום ההפרה במרשם העבירות והסנקציות (RIS) של המוסד.
טיעוני פלאזה ויאה וסקירת התיק בערכאה השנייה
החברה, שזוהתה בתיק כ חברת קמעונאות מזון SAC – פלאזה ויאההוא החליט לערער על ההחלטה. בערעורו טען כי פעל בשקידה ראויה משום שהעסקאות המדוברות בוצעו באמצעות קוד הסודי הסודי של בעל הכרטיס, מידע שבתיאוריה, רק הלקוח אמור לדעת.
החברה טענה כי ה- השימוש בקוד סודי היווה מנגנון אימות תקף וכי תקנות ספציפיות למגזר לא בכל המקרים דרשו אימות זהות נוסף כאשר המערכת אישרה שהסיסמה נכונה. יתר על כן, היא ציטטה פסקי דין קודמים של גופים מנהליים אחרים שבהם, לפי פרשנותה, הזנת הסיסמה נחשבה מספיקה.
פלאזה ויאה גם הטילה ספק ב מידתיות הקנס ודרש כי יוותרו הן על הקנס הכספי והן על החובה לשאת בהוצאות ההליכים, תוך התעקשות כי האחריות להונאה לא תיפול על המוסד.
הערעור נבחן על ידי הלשכה המיוחדת להגנת הצרכן של בית המשפט להגנת התחרות והקניין הרוחניהגוף שבחן את הליכי הערכאה הראשונה במלואם. בהחלטתו, שזוהתה כהחלטה 2908-2025/SPC-INDECOPI ומתוארכת ל-15 בספטמבר 2025, אישרה הלשכה במלואה את החלטת הוועדה.
אחת הנקודות המרכזיות בניתוח הייתה בחינת ה- קבלות תשלום הקשורות לעסקאותהם הכילו רק את הכיתוב "קוד סודי אומת", אך לא כללו נתוני זיהוי בסיסיים של הלקוח, כגון שם או מספר תעודת זהות של בעל הכרטיס.
החובה לאמת את זהות הלקוח
על פי בית המשפט, תקנות כרטיסי האשראי והחיוב, שאושרו על ידי המפקח על הבנקאות, הביטוח ו-AFP (SBS)זה דורש מעסקים קשורים ליישם אמצעי אבטחה בו זמנית, ולא לסירוגין. במילים אחרות, אימות של ה- תוקף הכרטיס, האימות של ה- זהות משתמש ובמידת הצורך, בקשת חתימת הלקוח על הקבלה.
בהתבסס על פרשנות זו, ההחלטה מדגישה כי השימוש בקוד סודי אינו מחליף זיהוי קודם ואמין של בעל הקודהעובדה שהמערכת מאשרת את המפתח, כשלעצמה, אינה פוטרת את העסק מחובתו לוודא מי באמת עומד מאחורי הכרטיס בעת הרכישה.
בפועל, משמעות הדבר היא שעסקים חייבים לחזק את פרוטוקולי המכירות הפיזיות שלהם, ולבקש, למשל, את - תעודת זהות y אימות שהנתונים תואמים לאלו של הפלסטיקכאשר שלב זה לא מתבצע, ובהמשך מופיעה צריכה לא מזוהה, האחריות מועברת לספק השירות.
בית המשפט הזכיר כי ה- סעיף 19 לחוק הגנת הצרכן וההגנה סעיף 19 לתקנות כרטיסי האשראי והחיוב קובע כי ספקים אחראים לאיכות ולהתאמה של השירות המוצע. בהקשר של תשלומים בכרטיס אשראי, התאמה כוללת הבטחה כי ההליכים הבאים בוצעו: נהלי אבטחה נחוצים לפני אישור העסקה.
לפיכך, הגוף המכריע הגיע למסקנה כי פלאזה ויאה לא מילאה את חובתה לזהות כראוי את הקונה, וכתוצאה מכך הפרה את האינטרסים הכלכליים של הצרכן שנפגע. מאחר שלא הוכח כי נוהל הזיהוי בוצע, האחריות על עסקאות לא מזוהות נופל על הממסד המסחרי.
פרטי הקנס הכספי והשפעתו על החברה
באשר לגובה הקנס, בית המשפט אישר את קנס של 11,6 אירו (UIT) נקבע בתחילה על ידי הוועדה. נלקח בחשבון כי הסכום הכולל של הצריכה הנחקרת עלה על 4 UIT אך היה נמוך מ-8 UIT, וכי לחברה שהוענקה יש מעמד של חברה גדולה בתחום קמעונאות המזון.
הגוף המכללתי סיווג את ההפרה כרגע ולא מצא נסיבות מקלות או מחמירות לא נלקחו בחשבון גורמים רלוונטיים המצדיקים הפחתה או הגדלה נוספת של הקנס במסגרת המגבלות החוקיות. לפיכך, העונש נותר במסגרת המגבלות שנקבעו בתקנות הנוכחיות.
בנוסף לקנס, הפסיקה אישרה את רישום ההפרה במרשם ההפרות והסנקציות של Indecopi, אלמנט שעשוי להילקח בחשבון בהליכים מנהליים עתידיים ומשמש כתקדים להתנהלות החברה ביחס לתקנות צרכניות.
אינדקופי גם דרשה מהחברה תשלום מרצון של הקנס וההוצאות נגזר מהנוהל, תוך אזהרה כי במקרה של אי ציות, עלול להיפתח הליך גבייה כפייתי כדי להבטיח את גביית הסכומים המגיעים.
המקרה נופל במסגרת קו פעולה של הרשויות הפרואניות המחזק את הדרישה של בקרות אבטחה עם גילוי הונאות באמצעות בינה מלאכותיתבמיוחד כאשר יש היסטוריה של הונאה או תביעות בגין חיובים לא מורשים. למרות שהפסיקה מתייחסת לעסק ספציפי, ניתן להחיל את הקריטריונים על מוסדות אחרים המקבלים אמצעי תשלום אלה.
הרלוונטיות של המקרה עבור עסקים וצרכנים
מעבר לסנקציה הספציפית נגד פלאזה ויאה, פסיקת הלשכה המתמחה להגנת הצרכן שולחת מסר ברור לשוק: הסתמכות על קוד סודי אינה מספיקה או במערכות אישור אוטומטיות כדי לשקול שעסקת כרטיס אומתה כראוי.
עבור עסקים, במיוחד רשתות סופרמרקטים, חנויות כלבו או חנויות אלקטרוניקה, ההליך פועל כך תזכורת לכך שעליהם לחזק את הפרוטוקולים הפנימיים שלהם ליישם מודלים של סיכוןדרישה להצגת תעודת זהות, אימות נתוני המחזיק תואמים לאלה המופיעים בכרטיס ורישום מידע זה על גבי הקבלה הם צעדים שלמרות שהם עשויים להיראות מסורבלים, הופכים לחיוניים כאשר ביטחון הצרכן עומד על כף המאזניים.
מנקודת מבטו של המשתמש, המקרה מדגיש את החשיבות של בדיקה תקופתית של עסקאות כרטיסי אשראי ואם הוא מזהה חיוב לא מזוהה, גלה כיצד לבטל תשלום בכרטיס אשראיפעולותיו של הלקוח שנפגע, בהגשת התלונה מספר חודשים לאחר האירועים, אפשרו לרשויות לשחזר את מה שקרה ולקבוע את האחריות.
למרות שהחלטה זו פורסמה בפרו, הגישה דומה לזו של רשויות צרכנות רבות באירופה ובספרד, שם יש דגש על ספקי שירותי תשלום וסוחרים המאמצים צעדים נגד הונאות פיי-טק באמריקה הלטינית ואמצעי אימות משופרים כדי למזער את הסיכון להונאה. המגמה הרגולטורית ברורה: נטל ההגנה על הלקוח נופל, יותר ויותר, על אלו המציעים ומנהלים אמצעי תשלום.
הסנקציה נגד פלאזה ויאה הופכת למקרה אמת מידה בנוגע ל- אחריות המפעלים לצריכה לא מוכרת עם כרטיס אשראי. ההחלטה מבהירה כי הגנת הצרכן דורשת יותר ממערכות אוטומטיות: היא דורשת בקרות אנושיות, אימות מסמכים ותרבות אבטחה אשר, כאשר מיושמות כראוי, יכולות למנוע הן הונאה והן סכסוכים מנהליים ומשפטיים ממושכים.