Algú fa servir una targeta de crèdit robada a la teva botiga. El titular de la targeta se n'adona, presenta una denúncia policial i t'envia una sol·licitud per escrit: si us plau, envia'm còpies dels registres de transaccions de la compra fraudulenta. Tens 30 dies per lliurar-los, gratuïtament. No 30 dies hàbils. No 30 dies després que el teu advocat en tingui ganes. Trenta dies des de la recepció, per llei federal — i "raons de privadesa" no és una excusa, perquè l'estatut ho diu explícitament.
Aquesta és la norma que Amazon va infringir tan a fons que la Comissió Federal de Comerç va obtenir una sanció civil de 2,25 milions de dòlars contra l'empresa el juny de 2026, la sanció més gran mai imposada sota aquesta disposició. I la disposició s'aplica al teu negoci exactament igual com s'aplicava a Amazon. Si vens béns o serveis a canvi d'una contraprestació — és a dir, si dirigeixes un negoci — la Secció 609(e) de la Fair Credit Reporting Act ja et designa.
Què va fer malament Amazon en realitat
Primer, una correcció que val la pena fer, perquè diversos resums d'aquest cas s'han equivocat: la multa no tenia res a veure amb la verificació d'antecedents laborals ni amb la selecció creditícia. Amazon va ser sancionada sota la Secció 609(e) de la FCRA, la part de la llei que dona a les víctimes de robatori d'identitat el dret a obtenir els registres de sol·licituds i de transaccions comercials darrere del frau comès en el seu nom.
Segons la demanda que el Departament de Justícia va presentar en nom de la FTC davant un tribunal federal de Washington, D.C., Amazon va infringir la llei "a sabentas". Als consumidors que es van posar en contacte amb l'empresa per un frau als seus comptes o targetes de pagament, els agents d'atenció al client els van dir que els registres no es podien proporcionar per raons de "seguretat" o "privadesa". En el que el director de l'Oficina de Protecció del Consumidor de la FTC va qualificar d'"calvari kafkià", Amazon exigia que les víctimes identifiquessin el lladre que havia robat la seva informació abans de lliurar els registres — en una ocasió, dient a un consumidor que no podia compartir registres sobre un compte fraudulent tret que el consumidor endevinés el nom del compte, el nom que havia fet servir el lladre d'identitat. El consumidor ho va intentar 30 vegades i no ho va aconseguir. Amazon també va negar registres a agències policials que investigaven el frau.
Dos detalls del cas haurien de centrar l'atenció de qualsevol propietari de petita empresa. Primer, el personal de la FTC havia advertit els advocats d'Amazon ja el juny de 2023 que revisessin el compliment d'aquesta mateixa disposició després de rebre una queixa d'un consumidor. Les infraccions van continuar. Segon, Amazon no tenia cap procediment escrit per gestionar aquestes sol·licituds fins a principis de 2025 — després de saber que la FTC havia obert una investigació. L'absència d'un procés no era una defensa; era part de la història. Com a part de l'acord, Amazon ha de publicar un avís públic al seu lloc web explicant com les víctimes de robatori d'identitat poden sol·licitar registres.
Amb més d'1,1 milions de denúncies per robatori d'identitat presentades a la FTC el 2024, i amb el 2025 en ritme d'augmentar, que la sol·licitud d'una víctima arribi a la teva safata d'entrada és qüestió de quan, no de si. Aquí tens què exigeix la llei de tu quan això passi.
La regla dels 30 dies que tota empresa hauria de conèixer
La Secció 609(e) és breu i sorprenentment clara per a un estatut federal:
Qui està cobert. Qualsevol entitat empresarial que hagi concedit crèdit a, venut béns o serveis a, acceptat pagaments de, o d'una altra manera hagi realitzat una transacció comercial a canvi d'una contraprestació amb algú que suposadament va fer servir la identitat d'una altra persona sense autorització. Fixa't en "suposadament": no et correspon jutjar si el robatori d'identitat realment va passar abans de complir. La reclamació d'una víctima, acompanyada de la documentació descrita a continuació, activa la teva obligació.
Què has de proporcionar. Una còpia de la sol·licitud i dels registres de transaccions comercials sota el teu control que evidenciïn la transacció suposadament fraudulenta — tant si mantens aquests registres tu mateix com si algú altre els manté en el teu nom. Pensa en registres de comandes, sol·licituds de comptes, factures, rebuts, autoritzacions de pagament, adreces d'enviament vinculades a la transacció. La llei inclou expressament els registres mantinguts per una altra persona en el teu nom, cosa que en la pràctica moderna significa que els registres que es troben al teu processador de pagaments, plataforma de comerç electrònic o sistema de punt de venda compten com a teus a aquest efecte.
Qui els pot rebre. La víctima, qualsevol agència o agent policial federal, estatal o local que la víctima designi en la sol·licitud, o una agència policial que investigui el robatori i que la víctima hagi autoritzat a rebre els registres. La negativa d'Amazon a compartir-los amb les autoritats policials va ser una infracció separada.
El termini. No més tard de 30 dies després de rebre la sol·licitud.
El preu. Res. L'estatut diu que els registres "es proporcionaran sense càrrec".
La forma de la sol·licitud. Ha de ser per escrit, enviada per correu a una adreça que tu especifiquis si n'has especificat una — una raó més per designar un punt de contacte ara en lloc de després que arribi una sol·licitud. Si ho demanes, la víctima ha d'incloure informació rellevant sobre la transacció per ajudar-te a trobar-la: la data, un número de compte o de transacció, o altres detalls identificatius, però només si la víctima els coneix o els pot obtenir fàcilment. Llegeix aquesta limitació amb atenció: "si els coneix" fa una feina real. Pots demanar ajuda per localitzar els registres. No pots fer de la capacitat de la víctima de proporcionar detalls una condició prèvia, i certament no pots exigir que anomenin el lladre, com va fer Amazon.
Què ha de demostrar la víctima
La llei no deixa la teva porta completament oberta. Abans de lliurar res, la víctima ha de proporcionar dues coses, en la forma que tu triïs:
-
Prova d'identitat. A la teva elecció: un document d'identitat emès pel govern, informació d'identificació personal del mateix tipus que la persona no autoritzada et va donar, o el tipus d'informació identificativa que normalment demanes a nous sol·licitants o per a noves transaccions.
-
Prova de la reclamació de robatori d'identitat. A la teva elecció: una còpia d'una denúncia policial que evidenciï la reclamació més una declaració jurada estandarditzada de robatori d'identitat degudament emplenada — del tipus generat pel procés IdentityTheft.gov de la FTC — o una altra declaració jurada de fets que trobis acceptable.
L'única excepció: si ja tens un alt grau de confiança que saps qui és la víctima, pots saltar-te la verificació. En la pràctica, demana el paquet estàndard cada vegada i guarda una còpia del que s'ha rebut juntament amb la sol·licitud mateixa. Una llista de verificació consistent protegeix en tots dos sentits: t'impedeix revelar informació a un impostor, i documenta que tots els sol·licitants van rebre el mateix tracte.
Les excuses que no funcionen
El cas d'Amazon és útil precisament perquè demostra, a un cost de 2,25 milions de dòlars, quines negatives fracassen:
"La privadesa i la seguretat ens impedeixen compartir-ho." L'estatut preveu aquesta objecció i la invalida per endavant: les disposicions de privadesa financera que normalment restringeixen revelar informació de clients a tercers no es poden fer servir per denegar la revelació a la víctima. El Congrés va decidir, ja el 2003, que el dret de la víctima a veure els registres sobre el frau comès en el seu nom pesa més que els instints de privadesa de l'empresa. Forma específicament en aquest punt qualsevol persona que respongui correus electrònics o trucades de clients, perquè "no puc compartir detalls del compte per raons de privadesa" és, d'altra manera, exactament el reflex correcte.
"Primer digues-nos qui va robar la teva identitat." La víctima és, gairebé per definició, la persona que no sap qui li va robar la identitat. Condicionar la revelació a identificar el lladre converteix un deure de 30 dies en un d'impossible, i és per això que els reguladors ho van descriure com ho van fer.
"Necessitem més temps." Trenta dies des de la recepció és el termini. Les retrocàrrecs, les disputes amb el processador i les revisions internes de frau tenen els seus propis rellotges; cap d'ells atura aquest.
"Hi ha una taxa de registres." Les còpies són gratuïtes. Sense taxa de recerca, sense taxa de còpia, sense càrrec administratiu.
"El nostre processador té aquests registres, no nosaltres." Els registres mantinguts per una altra persona en el teu nom estan explícitament coberts. Si les teves dades de transaccions viuen a Stripe, Square, Shopify o al portal de comerciants del teu banc, recuperar-les és la teva feina.
Quan pots dir que no
La llei no és absoluta, i conèixer-ne els límits importa tant com conèixer-ne el deure. Una empresa pot declinar, de bona fe, quan la disposició no requereix realment la revelació, quan la identitat del sol·licitant encara deixa l'empresa sense un alt grau de confiança després de revisar els materials de verificació, quan la sol·licitud es basa en una tergiversació de fets, o quan el material sol·licitat són dades de navegació d'internet — historial de navegació sobre la visita d'algú a un lloc web o servei en línia — en lloc de registres de transaccions.
També hi ha una defensa afirmativa escrita dins de l'estatut: si s'arriba a una acció d'execució, pots desestimar la reclamació demostrant que vas fer una cerca raonablement diligent dels teus registres comercials disponibles i que els registres sol·licitats no existeixen o no estan raonablement disponibles. Fixa't en què recompensa aquesta defensa: una cerca genuïna, documentada. "Mai vam buscar" i "no tenim cap procés per buscar" són el seu contrari.
Dos escuts protegeixen les empreses que compleixen de bona fe. Primer, cap empresa pot ser considerada civilment responsable sota cap llei per una revelació de bona fe sota aquesta disposició — de manera que la preocupació per la privadesa va exactament en la direcció equivocada. Complir està protegit; negar-se està penalitzat. Segon, la disposició no crea cap obligació nova de manteniment de registres: no et requereix obtenir, retenir o mantenir registres que d'altra manera no mantindries en el curs ordinari del negoci o sota una altra llei. Només regula els registres que ja tens.
Construeix el teu procés abans que arribi una sol·licitud
La lliçó més transferible d'Amazon és la més barata: escriu el procediment ara. Un procés d'una pàgina supera una improvisació de 2,25 milions de dòlars. El teu hauria de cobrir, com a mínim:
- Una adreça i un responsable designats. Publica on van les sol·licituds per escrit — una adreça postal o una bústia monitoritzada — i nomena la persona responsable de gestionar-les. L'estatut et permet especificar l'adreça a la qual s'han d'enviar les sol·licituds per correu, però només si realment n'has especificat una.
- Un paquet de verificació. Document d'identitat amb foto emès pel govern, una denúncia policial i una declaració jurada de robatori d'identitat emplenada, sol·licitats de la mateixa manera cada vegada.
- Un rellotge de 30 dies. Registra la data en què arriba cada sol·licitud i anota el termini. Dies naturals, no dies hàbils.
- Un mapa de recuperació. Anota, sistema per sistema, on viuen els teus registres de transaccions: panell del processador, backend de comerç electrònic, exportació del TPV, fitxer de comptabilitat. El mapa de recuperació és el que converteix una correguda de pànic en una tasca de deu minuts.
- Un registre de respostes. Què es va sol·licitar, què es va verificar, què es va enviar, quan i a qui. Si algun regulador ho pregunta mai, aquest registre és la teva prova de diligència raonable.
- Una regla de cap condició. Sense taxes, sense exigir que la víctima identifiqui el lladre, sense negativa per "privadesa" a la víctima verificada o a les autoritats policials que hagi designat.
Revisa la pàgina un cop l'any, com revises la teva rutina de còpies de seguretat. Els volums de robatori d'identitat segueixen augmentant, i la FTC ha demostrat ara que portarà un cas de la 609(e) fins a una sanció rècord.
Els teus llibres són el teu fitxer de compliment
Aquí hi ha la part que toca directament la teva comptabilitat: el mapa de recuperació anterior només és tan bo com els teus registres subjacents. Una sol·licitud de la 609(e) et demana que produeixis cada registre que evidenciï una transacció específica — cosa que significa que les teves dades de transaccions han de ser cercables per comanda, compte, client i data, mesos després dels fets. Les empreses els llibres de les quals són una caixa de sabates plena de pagaments del processador sense cap vincle amb les comandes individuals no poden respondre en 30 dies per molt que vulguin.
Aquest és un dels arguments silenciosos a favor de mantenir el teu propi llibre major en lloc de tractar el panell del processador com els teus llibres. Quan cada venda es registra amb el seu identificador de comanda i canal com a metadades, extreure el registre complet d'una transacció disputada és una sola consulta en lloc d'una excavació. A Beancount, les metadades de transacció fan exactament aquesta feina:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDAmb l'identificador de comanda tant a la venda com a la retrocàrrec posterior, una sola consulta fa aflorar el rastre documental complet — la venda, la reversió, les dates, els imports — en segons. Aquesta és la forma que adopta un registre a punt per a la 609(e): cada transacció traçable fins al seu document d'origen, cada reversió vinculada a la seva original. Si els teus llibres actuals no ho poden fer, la solució és un projecte de comptabilitat amb un benefici de compliment, no a l'inrevés. Els lectors que vulguin la mecànica poden trobar la documentació de consultes a /docs/.
Un deure diferent de la FCRA: la verificació d'antecedents laborals
Com que aquest cas sovint es descriu malament, una breu aclariment per als ocupadors que fan verificacions d'antecedents o de crèdit als candidats a un lloc de treball: això és un deure real de la FCRA, però viu en una part diferent de la llei i funciona d'una manera que no té res a veure amb la Secció 609(e). Sota la guia conjunta de la FTC i l'EEOC per als ocupadors, abans d'obtenir un informe d'una empresa dedicada a recopilar informació d'antecedents, has de donar al candidat una revelació clara per escrit — en un document independent — que es pot obtenir un informe, i obtenir una autorització escrita. Si després prens una acció adversa basada en l'informe, com no contractar el candidat, primer has de proporcionar un avís previ a l'acció adversa amb una còpia de l'informe i un resum dels drets de la FCRA, esperar un període raonable, i després enviar un avís final d'acció adversa amb les dades de contacte de l'empresa informant i una declaració dels drets de disputa del candidat.
Dos deures, un estatut, direccions oposades: la Secció 609(e) tracta dels registres que lliures a les víctimes de frau; les disposicions laborals tracten dels informes que reps sobre els candidats. No satisfàs l'una citant l'altra.
Errors a evitar
- Tractar la sol·licitud d'una víctima com una queixa de client. És una sol·licitud de llei federal amb un rellotge de 30 dies, no un tiquet de suport. Encamina-la al responsable designat el dia que arribi.
- Deixar que el personal de primera línia improvisi la resposta. "No podem compartir això per raons de privadesa" és la resposta natural i la il·legal. Dona al personal un guió: reconèixer, sol·licitar el paquet de verificació, registrar la data.
- Buscar només als teus propis sistemes. Els registres del processador, la plataforma i el TPV mantinguts en el teu nom estan coberts. El teu mapa de recuperació els ha d'incloure.
- Deixar passar les sol·licituds de les autoritats policials. Una agència designada o autoritzada per la víctima ocupa el lloc de la víctima. Negar-s'hi és negar-se a la víctima.
- Suposar que les petites empreses estan exemptes. Res a la Secció 609(e) depèn de la mida de l'empresa. La botiga de la cantonada que accepta targetes deu el mateix deure que el minorista bilionari — que, aquesta vegada, és la part que va pagar per demostrar-ho.
El teu últim pas útil és petit: obre una pàgina en blanc, escriu els sis punts de la secció del procés amb els noms i adreces reals del teu negoci emplenats, i desa-la on la trobaràs quan arribi el sobre. Els trenta dies comencen en rebre'l, i les empreses que tenen problemes mai són les que es van preparar.
