SCA (Autenticación Reforzada del Cliente)

Definición

La autenticación reforzada de clientes (SCA, por sus siglas en inglés) es la verificación de identidad que combina al menos dos elementos independientes de tres categorías: algo que solo tú sabes (PIN o contraseña), algo que solo tú tienes (tu móvil vinculado) y algo que eres (huella o rostro). Los proveedores de servicios de pago deben exigirla cuando accedes a tu cuenta en línea, inicias un pago electrónico o haces a distancia cualquier acción con riesgo de fraude. En España la impone el artículo 68 del Real Decreto-ley 19/2018, que transpone la Directiva PSD2.

¿Cómo te afecta?

La SCA es la razón por la que tu banco te pide confirmar en la app o con un código antes de una compra online o una transferencia, o cuando conectas tu cuenta a un servicio de open banking para que una financiera verifique tus ingresos. Tu banco nunca te pedirá ese código por teléfono, y un código de confirmación que no has solicitado tú es una señal de fraude. Ojo: el SMS que algunas financieras envían para comprobar que el móvil es tuyo es una verificación del teléfono, no SCA en sentido legal.

Ejemplo práctico

Una financiera te ofrece verificar tus ingresos conectando tu cuenta bancaria. Te redirige a la pantalla de tu banco, donde introduces tu usuario y contraseña (algo que sabes) y confirmas en la app del banco con la huella (algo que eres). Eso es SCA. Si alguien te llama "del banco" y te pide que le dictes el código que acabas de recibir, cuelga: el banco no lo necesita.

Profundización editorial

Base legal y excepciones. El artículo 68 del Real Decreto-ley 19/2018 obliga a aplicar la SCA con las excepciones de la norma técnica europea (Reglamento Delegado (UE) 2018/389), por ejemplo en pagos sin contacto de poco importe, a beneficiarios de confianza o en pagos recurrentes del mismo importe. Por eso no todas las operaciones te piden doble factor.

Por qué te protege. Si tu banco no exigió autenticación reforzada cuando debía, solo soportas las consecuencias de una operación no autorizada si actuaste de forma fraudulenta (art. 46.2 del mismo real decreto-ley). Si la exigió y fuiste tú quien entregó el código a un estafador, el banco puede alegar negligencia grave. Más sobre este tipo de engaños en phishing y en la alerta sobre llamadas falsas del banco para confirmar operaciones.

Lo que viene. La propuesta de PSD3 y del Reglamento de servicios de pago, todavía no adoptada, refuerza la SCA y la responsabilidad en fraudes por suplantación; lo seguimos en PSD3 y pagos inmediatos.

Normativa sobre requisitos y procesos

Las financieras están obligadas a evaluar la solvencia del solicitante, proteger sus datos personales (RGPD) y aplicar autenticación reforzada en pagos electrónicos (PSD2/PSD3).

Ley 16/2011 art. 14 — Evaluación de solvencia →

Las financieras deben evaluar la capacidad real de devolución del cliente antes de conceder. Vinculante en créditos de 200 € o más.

RGPD + LOPDGDD 3/2018 →

Tratamiento legítimo de datos personales en el proceso de evaluación crediticia, derecho de acceso y rectificación.

Directiva PSD2 / PSD3 →

Autenticación reforzada del cliente (SCA) en pagos electrónicos y open banking. PSD3 desde 2026-2027.

Información educativa. No constituye asesoramiento jurídico profesional.

Preguntas frecuentes sobre SCA

La autenticación reforzada de clientes (SCA, por sus siglas en inglés) es la verificación de identidad que combina al menos dos elementos independientes de tres categorías: algo que solo tú sabes (PIN o contraseña), algo que solo tú tienes (tu móvil vinculado) y algo que eres (huella o rostro). Los proveedores de servicios de pago deben exigirla cuando accedes a tu cuenta en línea, inicias un pago electrónico o haces a distancia cualquier acción con riesgo de fraude. En España la impone el artículo 68 del Real Decreto-ley 19/2018, que transpone la Directiva PSD2.

La SCA es la razón por la que tu banco te pide confirmar en la app o con un código antes de una compra online o una transferencia, o cuando conectas tu cuenta a un servicio de open banking para que una financiera verifique tus ingresos. Tu banco nunca te pedirá ese código por teléfono, y un código de confirmación que no has solicitado tú es una señal de fraude. Ojo: el SMS que algunas financieras envían para comprobar que el móvil es tuyo es una verificación del teléfono, no SCA en sentido legal.

Una financiera te ofrece verificar tus ingresos conectando tu cuenta bancaria. Te redirige a la pantalla de tu banco, donde introduces tu usuario y contraseña (algo que sabes) y confirmas en la app del banco con la huella (algo que eres). Eso es SCA. Si alguien te llama "del banco" y te pide que le dictes el código que acabas de recibir, cuelga: el banco no lo necesita.

Sí, dentro de los límites del RGPD y la LOPDGDD 3/2018. En los créditos de 200 € o más, la financiera está obligada por el artículo 14 de la Ley 16/2011 LCC a evaluar tu solvencia antes de conceder. Tiene derecho a consultar ficheros de morosidad (ASNEF, Equifax) y CIRBE del Banco de España. Tú tienes derecho de acceso, rectificación y supresión sobre los datos tratados.