Alguien usa una tarjeta de crédito robada en tu tienda. El titular de la tarjeta se da cuenta, presenta una denuncia policial y te envía una solicitud por escrito: por favor, envíame copias de los registros de transacción de la compra fraudulenta. Tienes 30 días para entregárselos, sin cargo. No 30 días hábiles. No 30 días después de que a tu abogado le apetezca. Treinta días desde la recepción, por ley federal, y "razones de privacidad" no es una excusa, porque el estatuto lo dice explícitamente.
Esa es la norma que Amazon infringió de forma tan flagrante que la Comisión Federal de Comercio (FTC) logró una sanción civil de 2,25 millones de dólares contra la empresa en junio de 2026, la mayor sanción jamás impuesta bajo esa disposición. Y la disposición se aplica a tu negocio exactamente igual que se aplicó a Amazon. Si vendes bienes o servicios a cambio de una contraprestación —es decir, si diriges un negocio—, la Sección 609(e) de la Fair Credit Reporting Act ya te incluye.
Lo que Amazon realmente hizo mal
Primero, una corrección que vale la pena hacer, porque varios resúmenes de este caso lo entendieron mal: la multa no tuvo nada que ver con verificaciones de antecedentes laborales ni con la evaluación de solvencia crediticia. Amazon fue sancionada bajo la Sección 609(e) de la FCRA, la parte de la ley que otorga a las víctimas de robo de identidad el derecho a obtener la solicitud y los registros de transacciones comerciales detrás del fraude cometido en su nombre.
Según la demanda que el Departamento de Justicia presentó en nombre de la FTC ante un tribunal federal en Washington D. C., Amazon infringió la ley "a sabiendas". A los consumidores que contactaron a la empresa por fraude en sus cuentas o tarjetas de pago, los agentes de atención al cliente les dijeron que los registros no podían proporcionarse por razones de "seguridad" o "privacidad". En lo que el director de la Oficina de Protección al Consumidor de la FTC calificó de "calvario kafkiano", Amazon exigió a las víctimas que identificaran al ladrón que robó su información antes de entregar los registros; en un caso, le dijo a un consumidor que no podía compartir registros sobre una cuenta fraudulenta a menos que el consumidor adivinara el nombre de la cuenta, el nombre usado por el ladrón de identidad. El consumidor lo intentó 30 veces y fracasó. Amazon también negó los registros a las agencias policiales que investigaban el fraude.
Dos detalles del caso deberían concentrar la atención de cualquier propietario de una pequeña empresa. Primero, el personal de la FTC había advertido a los abogados de Amazon en junio de 2023 que revisaran el cumplimiento de esta misma disposición tras recibir una queja de un consumidor. Las infracciones continuaron. Segundo, Amazon no tenía ningún procedimiento escrito para gestionar estas solicitudes hasta principios de 2025, después de enterarse de que la FTC había abierto una investigación. La ausencia de un proceso no fue una defensa; fue parte de la historia. Como parte del acuerdo, Amazon debe publicar un aviso público en su sitio web explicando cómo las víctimas de robo de identidad pueden solicitar registros.
Con más de 1,1 millones de denuncias de robo de identidad presentadas ante la FTC en 2024, y con 2025 en camino de superar esa cifra, que la solicitud de una víctima llegue a tu bandeja de entrada es cuestión de cuándo, no de si. Esto es lo que la ley te exige cuando ocurra.
La regla de los 30 días que todo negocio debería conocer
La Sección 609(e) es breve y notablemente clara para ser un estatuto federal:
A quién cubre. Toda entidad empresarial que haya extendido crédito a, vendido bienes o servicios a, aceptado el pago de, o de cualquier otro modo haya celebrado una transacción comercial a cambio de una contraprestación con alguien que presuntamente utilizó la identidad de otra persona sin autorización. Fíjate en "presuntamente": no te corresponde decidir si el robo de identidad realmente ocurrió antes de cumplir. La reclamación de una víctima, respaldada por la documentación descrita más abajo, activa tu obligación.
Qué debes proporcionar. Una copia de la solicitud y de los registros de transacciones comerciales bajo tu control que evidencien la transacción presuntamente fraudulenta, ya sea que mantengas esos registros tú misma o que otra persona los mantenga en tu nombre. Piensa en registros de pedidos, solicitudes de cuenta, facturas, recibos, autorizaciones de pago, direcciones de envío vinculadas a la transacción. La ley incluye expresamente los registros en poder de otra persona en tu nombre, lo que en la práctica moderna significa que los registros que residen en tu procesador de pagos, plataforma de comercio electrónico o sistema de punto de venta cuentan como tuyos a estos efectos.
Quién puede recibirlos. La víctima, cualquier agencia u oficial policial federal, estatal o local que la víctima designe en la solicitud, o una agencia policial que investigue el robo y que la víctima haya autorizado a recibir los registros. La negativa de Amazon a compartir con las autoridades fue su propia infracción separada.
El plazo. A más tardar 30 días después de recibir la solicitud.
El precio. Nada. El estatuto dice que los registros "se proporcionarán sin cargo".
La forma de la solicitud. Debe ser por escrito, enviada por correo a una dirección que tú especifiques si has especificado una; una razón más para designar un punto de contacto ahora en lugar de después de que llegue una solicitud. Si lo pides, la víctima debe incluir información relevante sobre la transacción para ayudarte a encontrarla: la fecha, un número de cuenta o de transacción, u otros detalles identificativos, pero solo si la víctima los conoce o son fácilmente obtenibles. Lee esa limitación con atención: "si los conoce" hace un trabajo real. Puedes pedir ayuda para localizar los registros. No puedes hacer de la capacidad de la víctima para aportar detalles una condición previa, y ciertamente no puedes exigirle que nombre al ladrón, como hizo Amazon.
Qué debe mostrarte la víctima
La ley no deja tu puerta completamente abierta. Antes de entregar nada, la víctima debe aportar dos cosas, en la forma que tú elijas:
-
Prueba de identidad. A tu elección: un documento de identidad emitido por el gobierno, información de identificación personal del mismo tipo que la persona no autorizada te proporcionó, o el tipo de información identificativa que normalmente solicitas a nuevos solicitantes o para nuevas transacciones.
-
Prueba de la reclamación de robo de identidad. A tu elección: una copia de un informe policial que evidencie la reclamación junto con una declaración jurada estandarizada de robo de identidad debidamente cumplimentada —del tipo generado mediante el proceso IdentityTheft.gov de la FTC—, u otra declaración jurada de hechos que consideres aceptable.
La única excepción: si ya tienes un alto grado de confianza sobre quién es la víctima, puedes omitir la verificación. En la práctica, pide el paquete estándar cada vez y guarda una copia de lo recibido junto a la propia solicitud. Una lista de comprobación coherente protege en ambos sentidos: evita que divulgues información a un impostor y documenta que todos los solicitantes recibieron el mismo trato.
Las excusas que no funcionan
El caso de Amazon es útil precisamente porque demuestra, a un costo de 2,25 millones de dólares, qué negativas fracasan:
"La privacidad y la seguridad nos impiden compartir." El estatuto prevé esta objeción y la anula de antemano: las disposiciones de privacidad financiera que normalmente restringen la divulgación de información de clientes a terceros no pueden usarse para negar la divulgación a la víctima. El Congreso decidió, en 2003, que el derecho de la víctima a ver los registros sobre el fraude cometido en su nombre pesa más que los instintos de privacidad del negocio. Capacita específicamente en este punto a cualquiera que responda correos electrónicos o llamadas telefónicas de clientes, porque "no puedo compartir detalles de la cuenta por razones de privacidad" es, por lo demás, exactamente el reflejo correcto.
"Dinos primero quién robó tu identidad." La víctima es, casi por definición, la persona que no sabe quién robó su identidad. Condicionar la divulgación a identificar al ladrón convierte un deber de 30 días en uno imposible, y por eso los reguladores lo describieron como lo hicieron.
"Necesitamos más tiempo." Treinta días desde la recepción es el plazo. Los contracargos, las disputas con el procesador y las revisiones internas de fraude corren con sus propios relojes; ninguno de ellos pausa este.
"Hay una tarifa por los registros." Las copias son gratuitas. Sin tarifa de investigación, sin tarifa de copia, sin cargo administrativo.
"Nuestro procesador tiene esos registros, no nosotros." Los registros mantenidos por otra persona en tu nombre están explícitamente cubiertos. Si tus datos de transacciones residen en Stripe, Square, Shopify o el portal de comercio de tu banco, recuperarlos es tu trabajo.
Cuándo puedes decir que no
La ley no es absoluta, y conocer los límites importa tanto como conocer el deber. Un negocio puede negarse, de buena fe, cuando la disposición no exige realmente la divulgación, cuando la identidad del solicitante sigue dejando al negocio sin un alto grado de confianza tras revisar los materiales de verificación, cuando la solicitud se basa en una tergiversación de los hechos, o cuando el material solicitado son datos de navegación de internet —el historial de navegación sobre la visita de alguien a un sitio web o servicio en línea— en lugar de registros de transacciones.
También hay una defensa afirmativa escrita en el estatuto: si se llega a una acción de cumplimiento, puedes desestimar la reclamación demostrando que hiciste una búsqueda razonablemente diligente de tus registros comerciales disponibles y que los registros solicitados no existen o no están razonablemente disponibles. Fíjate en lo que esa defensa recompensa: una búsqueda genuina, documentada. "Nunca buscamos" y "no tenemos ningún proceso para buscar" son su opuesto.
Dos escudos protegen a los negocios que cumplen de buena fe. Primero, ningún negocio puede ser considerado civilmente responsable bajo ninguna ley por una divulgación de buena fe conforme a esta disposición, así que la preocupación por la privacidad apunta exactamente en la dirección equivocada. Cumplir está protegido; negarse se penaliza. Segundo, la disposición no crea ninguna nueva obligación de mantenimiento de registros: no te exige obtener, conservar ni mantener registros que no mantendrías de otro modo en el curso ordinario de tu negocio o conforme a otra ley. Solo rige los registros que ya tienes.
Crea tu proceso antes de que llegue una solicitud
La lección más transferible de Amazon es la más barata: escribe el procedimiento ahora. Un proceso de una página supera a una improvisación de 2,25 millones de dólares. El tuyo debería cubrir, como mínimo:
- Una dirección y un responsable designados. Publica adónde van las solicitudes escritas —una dirección postal o una bandeja de entrada monitorizada— y nombra a la persona responsable de gestionarlas. El estatuto te permite especificar la dirección a la que deben enviarse por correo las solicitudes, pero solo si realmente has especificado una.
- Un paquete de verificación. Documento de identidad con foto emitido por el gobierno, un informe policial y una declaración jurada de robo de identidad cumplimentada, solicitados de la misma manera cada vez.
- Un reloj de 30 días. Registra la fecha en que llega cada solicitud y anota el plazo límite. Días naturales, no días hábiles.
- Un mapa de recuperación. Anota, sistema por sistema, dónde residen tus registros de transacciones: panel del procesador, backend de comercio electrónico, exportación del punto de venta, archivo contable. El mapa de recuperación es lo que convierte un forcejeo de pánico en una tarea de diez minutos.
- Un registro de respuestas. Qué se solicitó, qué se verificó, qué se envió, cuándo y a quién. Si algún día un regulador pregunta, este registro es tu prueba de diligencia razonable.
- Una regla de no condiciones. Sin tarifas, sin exigir que la víctima identifique al ladrón, sin negativas por "privacidad" a la víctima verificada o a las autoridades policiales que designe.
Revisa la página una vez al año, como revisas tu rutina de copias de seguridad. Los volúmenes de robo de identidad siguen subiendo, y la FTC ya ha demostrado que llevará un caso de 609(e) hasta una sanción récord.
Tus libros son tu expediente de cumplimiento
Aquí está la parte que toca directamente tu contabilidad: el mapa de recuperación anterior solo es tan bueno como tus registros subyacentes. Una solicitud conforme a la 609(e) te pide producir todos los registros que evidencien una transacción específica, lo que significa que tus datos de transacciones deben poder buscarse por pedido, cuenta, cliente y fecha, meses después de ocurridos los hechos. Los negocios cuyos libros son una caja de zapatos de liquidaciones del procesador sin vínculo con los pedidos individuales no pueden responder en 30 días por muy dispuestos que estén.
Este es uno de los argumentos silenciosos para llevar tu propio libro mayor en lugar de tratar el panel del procesador como tus libros. Cuando cada venta se registra con su identificador de pedido y su canal como metadatos, extraer el registro completo de una transacción en disputa es una sola consulta en lugar de una excavación. En Beancount, los metadatos de transacción hacen exactamente este trabajo:
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDCon el identificador de pedido tanto en la venta como en el contracargo posterior, una sola consulta revela el rastro documental completo —la venta, la reversión, las fechas, los importes— en segundos. Esa es la forma que adopta un registro listo para la 609(e): cada transacción rastreable hasta su documento de origen, cada reversión vinculada a su original. Si tus libros actuales no pueden hacer eso, la solución es un proyecto de contabilidad con un beneficio de cumplimiento, y no al revés. Los lectores que quieran conocer los mecanismos pueden encontrar la documentación de consultas en /docs/.
Un deber diferente de la FCRA: las verificaciones de antecedentes laborales
Dado que este caso se describe erróneamente con tanta frecuencia, una breve aclaración para los empleadores que realizan verificaciones de antecedentes o de solvencia crediticia a los solicitantes de empleo: ese es un deber real de la FCRA, pero reside en otra parte de la ley y funciona de manera completamente distinta a la Sección 609(e). Según la guía conjunta para empleadores de la FTC y la EEOC, antes de obtener un informe de una empresa dedicada a recopilar información de antecedentes, debes entregar al solicitante una divulgación clara por escrito —en un documento independiente— de que puede obtenerse un informe, y obtener su autorización por escrito. Si luego tomas una acción adversa basada en el informe, como no contratar al solicitante, primero debes proporcionar un aviso previo a la acción adversa con una copia del informe y un resumen de los derechos de la FCRA, esperar un período razonable y luego enviar un aviso final de acción adversa con los datos de contacto de la empresa informante y una declaración de los derechos de disputa del solicitante.
Dos deberes, un mismo estatuto, direcciones opuestas: la Sección 609(e) trata de los registros que entregas a las víctimas de fraude; las disposiciones laborales tratan de los informes que recibes sobre los solicitantes. No cumplas uno citando el otro.
Errores que evitar
- Tratar la solicitud de una víctima como una queja de cliente. Es una solicitud de ley federal con un reloj de 30 días, no un ticket de soporte. Dirígela al responsable designado el día que llegue.
- Dejar que el personal de primera línea improvise la respuesta. "No podemos compartir eso por razones de privacidad" es la respuesta natural y la ilegal. Da al personal un guion: acusar recibo, solicitar el paquete de verificación, registrar la fecha.
- Buscar solo en tus propios sistemas. Los registros del procesador, la plataforma y el punto de venta mantenidos en tu nombre están cubiertos. Tu mapa de recuperación debe incluirlos.
- Dejar pasar las solicitudes de las autoridades. Una agencia designada o autorizada por la víctima se pone en el lugar de la víctima. Negarse a ellas es negarse a la víctima.
- Suponer que las pequeñas empresas están exentas. Nada en la Sección 609(e) depende del tamaño de la empresa. La tienda de la esquina que acepta tarjetas debe el mismo deber que el gigante minorista de un billón de dólares, que, esta vez, es la parte que pagó por demostrarlo.
Tu último paso útil es uno pequeño: abre una página en blanco, escribe los seis puntos de la sección del proceso con los nombres y direcciones reales de tu negocio cumplimentados, y guárdala donde la encuentres cuando llegue el sobre. Los treinta días empiezan en la recepción, y los negocios que tienen problemas nunca son los que se prepararon.
