Frente a la conducta diligente del titular de la cuenta, informando al personal de la entidad del fraude al que se ha visto sometido a través de su acceso a banca electrónica, el Banco debe tomar en consideración la información y adoptar las medidas que posibiliten la detección de eventuales maniobras fraudulentas. Lo contrario, le hace responsable por la cantidad detraída
Se dirimía en este procedimiento una acción de responsabilidad contractual frente a una conocida entidad bancaria en reclamación por los daños y perjuicios causados por el incumplimiento de las obligaciones asumidas por su parte en el contrato de banca electrónica que tenía suscrito con los clientes demandantes, como consecuencia de haberse realizado quince transferencias bancarias no autorizadas, a través de su plataforma de banca electrónica y no haber adoptado las medidas adecuadas para la protección de los fondos.
La controversia a resolver radicaba, en concreto, en determinar quién debe responder por las operaciones de pago no autorizadas, en tanto que realizadas por un tercero que, utilizando las credenciales del usuario que ha obtenido por cualquier medio, suplanta su identidad y accede electrónicamente a su cuenta sin su consentimiento.
La normativa de aplicación
La Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo (Servicios de pago en el mercado interior) señala lo siguiente:
-El usuario de servicios de pago debe informar al proveedor de servicios de pago, lo antes posible, sobre toda reclamación en relación con operaciones de pago supuestamente no autorizadas o ejecutadas incorrectamente.
-No debe imputársele responsabilidad al ordenante, cuando este se encuentre en una posición que no le permite tener conocimiento del extravío, el robo o la sustracción del instrumento de pago.
-Asimismo, una vez que el usuario de servicios de pago haya comunicado, al proveedor de servicios de pago que su instrumento de pago puede haber sido objeto de uso fraudulento, no deben exigírsele responsabilidades por las ulteriores pérdidas que pueda ocasionar el uso no autorizado del instrumento.
-La negligencia grave del usuario de servicios de pago entraña una conducta caracterizada por un grado significativo de falta de diligencia.
-Por su parte, los proveedores de servicios de pago son responsables de las medidas de seguridad. En particular, las credenciales de seguridad personalizadas deben establecerse de tal modo que se utilicen adecuadamente, limitando los riesgos de captación de datos mediante suplantación de identidad (phising) y otras actividades fraudulentas.
-Las operaciones de pago se consideran únicamente autorizadas cuando el ordenante haya dado su consentimiento. En ausencia de consentimiento, la operación de pago se considerará no autorizada.
-Se prevé la obligación del proveedor de servicios de pago de rectificar las operaciones no autorizadas si el usuario comunica sin demora injustificada la intromisión ilegítima.
-Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponde al proveedor de servicios de pago demostrar que la operación de pago se hizo de manera correcta. Es más, el proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, aportará pruebas para demostrar que el usuario del servicio de pago ha cometido fraude o negligencia grave. Por tanto, la carga de la prueba recae sobre la entidad bancaria.
-Los Estados miembros velarán porque el proveedor de servicios de pago del ordenante devuelva a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito a la autoridad nacional pertinente.
El Real Decreto Ley 19/2018 (Servicios de pago y otras medidas urgentes en materia financiera) implementa en nuestro ordenamiento el contenido de la Directiva, reproduciendo casi miméticamente este contenido.
En definitiva, tal y como lo ha entendido la propia jurisprudencia europea, el legislador de la Unión ha establecido un régimen de responsabilidad basado en tres elementos esenciales y vinculados entre sí:
-Una obligación de notificación que recae sobre el usuario del servicio de pago.
-La atribución de la carga de la prueba al proveedor de esos servicios.
-En caso de falta de prueba, la responsabilidad de ese proveedor, en función de que la operación no haya sido autorizada, no haya sido ejecutada o haya sido ejecutada incorrectamente.
En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave.
La resolución del caso
Es verdad, señala el Tribunal Supremo, que el art. 36.1 del Real Decreto Ley 19/2018 establece que las operaciones de pago «se considerarán autorizadas cuando el ordenante haya dado el consentimiento para su ejecución», así como que «[e]l ordenante y su proveedor de servicios de pago acordarán la forma en que se dará el consentimiento, así como el procedimiento de notificación del mismo».
También es cierto que en el contrato de banca digital suscrito entre las partes se indicaba que «el usuario-titular se compromete a otorgar plena validez jurídica a las operaciones realizadas mediante cualquier tipo de claves y/o códigos que permitan la identificación personal del mismo, dando como válidas y propias las operaciones realizadas empleando las claves o códigos previstos en este contrato» -no se discute en este caso que las claves utilizadas fueron las correctas-.
Pero también lo es, y aquí es donde el Alto Tribunal puntualiza:
-Que la regulación que se impone a las partes, sin que su aplicación quede al albur de la libertad o autonomía contractual, que conduce a la exoneración de responsabilidad de la entidad bancaria ha de respetar en todo caso el régimen de derechos, obligaciones y fórmulas de responsabilidad legalmente previstos.
-Que, en el marco de esa regulación, el consentimiento no se entiende prestado por el solo hecho de que la operación de pago se haya realizado mediante la utilización de las claves personales, sino que es necesario que provenga del usuario o, en caso de que éste niegue su intervención, que se acredite fraude, incumplimiento deliberado o, al menos, negligencia grave por parte del usuario, cuya prueba recae sobre la entidad bancaria.
-Cuando el usuario haya notificado de forma inmediata la existencia de una operación no autorizada, la entidad ha de proceder a su rectificación, salvo que demuestre que hubo fraude imputable al usuario.
En conclusión, el que la entidad bancaria acredite que la operación fue autenticada, registrada con exactitud y contabilizada, no es suficiente para eximirle de responsabilidad. Ha de probar que la operación no resultó afectada por un fallo técnico u otra deficiencia del servicio prestado, y, dado que el cliente niega que la operación fuera consentida, que no hubo por parte de este último fraude, incumplimiento deliberado o negligencia grave.
Por otra parte, los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividades. A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe, entidades de destino…, para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos.
En efecto, no puede considerarse como normal e irrelevante, por ejemplo, que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado como el del supuesto enjuiciado.
Por tanto, en un caso como el litigioso, en que nos encontramos, de un lado, ante una conducta diligente del titular de la cuenta, que informó, inmediata y reiteradamente, al personal de entidad de lo que estaba sucediendo, cumpliendo la obligación que expresamente le imponía la normativa comunitaria y nacional; y, de otro lado, ante un servicio que se presta defectuosamente por el proveedor, tanto por no tomar en consideración la información recibida pese a su gravedad, como por omitir la adopción de medidas que posibilitaran la detección de eventuales maniobras fraudulentas, solo puede conducir a la declaración de su responsabilidad.
[Sentencia Tribunal Supremo, Sala de lo Civil, Sección 1ª, de 9 de abril de 2025, recurso n.º 1151/2023]
Departamento de Documentación de Garrido