Sentencia Civil 112/2023 Audiencia Provincial Civil-penal de A Coruña nº 6, Rec. 401/2022 de 21 de abril del 2023

Se aceptan sustancialmente los de la sentencia apelada

PRIMERO- A- Tratando de encuadrar jurídicamente los hechos que la sentencia y las propias partes aceptan, pues no hay cuestión realmente sobre el núcleo de los hechos acaecidos, podemos destacar:

1- No se discute que la demandante es consumidora y era usuaria asidua de los servicios de banca electrónica ofrecidos por la demandada.

2- No se discute que uno o varios defraudadores consiguieron operar con la banca electrónica de la recurrente y así realizaron una serie de operaciones consistentes, en síntesis, en formalizar un préstamo de la demandada a favor de la demandante de 7.500 euros que fueron ingresados en la cuenta de esta; en que en dicha cuenta se recibieran dos transferencias fraudulentas de 900 euros cada una; y en realizar desde esa cuenta dos transferencias fraudulentas al extranjero por importes de 7.400 y 1.900 euros.

En la cuenta se cargaron por la entidad 112,50 euros por comisión de apertura del referido préstamo y 1 euro por comisión de cada una de las dos transferencias enviadas.

El resultado de estas operaciones es que el saldo de la cuenta pasó de 132,85 euros a 18,35 euros -por esas comisiones, pues el saldo de las demás operaciones activas y pasivas fue de cero-; y que la demandante figura como prestataria del referido préstamo, que está pagando a la demandada.

3- La sentencia declara probado -y no se cuestiona en la fase de apelación- que la demandante permitió el acceso a su ordenador personal y a sus claves de banca electrónica a terceros que llamaron, con número oculto, al teléfono fijo de su domicilio y que se identificaron ante ella como personas que actuaban por cuenta de Microsoft que iban a solucionar errores de funcionamiento de su ordenador -que la demandante les confirmó que se solían producir- para lo cual necesitaban que se accediera a la banca electrónica, con la excusa de evitar supuestamente los fallos que el funcionamiento de la banca electrónica pudiera causar en el ordenador, según dijeron a la demandante.

Ahondando en este aspecto, de la prueba resulta que la demandante, después de que ella hubiera permitido a los supuestos empleados el acceso a su ordenador, intentó acceder, siguiendo sus indicaciones, a la banca electrónica e introdujo el nombre de usuario y la contraseña, sin que la demandante pudiera ver en la pantalla de su ordenador qué se pudiera estar haciendo desde entonces en dicha banca.

4- También declara la sentencia -y no se cuestiona en fase de apelación- que, antes de autorizarse la operación de préstamo personal y las dos transferencias realizadas desde la cuenta de la actora, se enviaron los códigos de autenticación de las respectivas operaciones vía SMS al teléfono móvil de la demandante que ella tenía consigo. Consta -resulta de la prueba de la demandada y no se cuestiona por la actora- que tales claves fueron efectivamente usadas para validar las correlativas operaciones.

Hay cierta confusión pues esos SMS, que según la documentación informática con la que cuenta ABANCA habrían sido cinco (tres respecto del préstamo y uno para cada transferencia remitida), se limitan repetidamente en los escritos de la defensa de dicha entidad a un total de tres (uno por cada operación), lo que en todo caso resulta irrelevante.

La sentencia expresa, aceptando la declaración de la demandante, que ella "no leyó ni comprobó" tales SMS, siguiendo las indicaciones del defraudador, que le decía que no operase con el terminal.

El recurso de la demandante niega expresamente que ella hubiera introducido las claves para validar las operaciones y se remite a las afirmaciones de ABANCA (informe aportado como doc. 13 de la demanda) según las cuales los defraudadores habían interceptado los SMS, lo que tampoco discute la representación procesal de la demandada pues al contestar al recurso se remite a las afirmaciones de la demandante, quien dijo que le habían indicado que no tocara el teléfono y que en él se recibían comunicaciones que luego desaparecían, estimando la demandante -y también lo consideró posibilidad verosímil el perito de la demandada- que su teléfono móvil también era controlado fraudulentamente por los defraudadores.

En definitiva, no cabe estimar probado que la demandada hubiera sido quien, recibidas las claves por SMS en su teléfono móvil, las facilitase a los defraudadores o quien validase con esas claves las operaciones, pero sí que era consciente de que también su teléfono estaba siendo controlado por los defraudadores.

5- Aunque la sentencia no lo concrete, las partes sostienen en el litigio, con nitidez, que la demandante fue víctima de una defraudación y que mientras permitió el acceso de terceros a su ordenador y a su banca electrónica no sabía que estos terceros estaban realizando operaciones con dicha banca, al menos de la índole de las que efectivamente se realizaron.

B- La demanda pide que se declare la nulidad por carencia absoluta de consentimiento del préstamo personal y de todas las transferencias, recibidas y efectuadas, y pide la restitución de las cantidades cobradas en aplicación de dicho préstamo.

La parte demandada alega que por parte de la entidad se cumplieron todas las exigencias que la normativa le impone en la gestión y seguridad de tales operaciones telemáticas y que estas se pudieron producir a causa de la grave negligencia de la demandante, por lo que se opone a que la demandante pueda quedar desligada del préstamo sin devolver a la entidad la cantidad que se ingresó en su cuenta por razón del contrato. La sentencia comparte que las operaciones se produjeron a causa de la grave negligencia de la demandante y considera que no existió incumplimiento imputable a la demandada, desestimando la demanda.

SEGUNDO- A- Los datos antes expuestos dan respuesta a varias argumentaciones del recurso, además de a las cuestiones puramente fácticas ya implícitas en tales extremos:

-Se expresa en el recurso que el contenido del SMS enviado al terminal telefónico -sean uno o varios- relativo al préstamo no permitía saber qué se estaría consintiendo con el uso de la clave (en él se dice "para continuar con la operación debe teclear la clave ...").

El argumento no tiene relevancia material pues ya se ha expresado -aceptando la tesis de la recurrente- que no hay prueba de que la demandante hubiera leído tal contenido, por lo que sus supuestas insuficiencias informativas no afectaron al devenir de los hechos o a la decisión de hacer uso de tal clave.

En todo caso no está de más señalar que si la demandante no estaba realizando ninguna operación -ni la llevaba a cabo personalmente ni tenía conocimiento de que la estuvieran efectuando quienes actuaban con su ordenador- la lectura de este mensaje determinaría que cualquier cliente no temerario ni irresponsable percibiera que algo muy raro estaba ocurriendo y evitaría consentir con esa clave la continuación de una operación que ignoraba que se hubiera iniciado.

-Se alega que con los datos aportados no consta que la recurrente pudiera haber tenido conocimiento antes de verificarse la contratación de los elementos esenciales del contrato de préstamo (tipo, plazo, importe, etc.) o de la información sobre cómo ejercitar su derecho de desistimiento, invocándose que ni la póliza de préstamo ni la información normalizada están suscritas por la recurrente.

En primer término, leída la demanda y oída la audiencia previa no se advierte que en la fase de alegaciones del proceso en la primera instancia se hubiera situado como objeto del debate la suficiencia o insuficiencia de las informaciones previas que la prestamista pudiera haber suministrado a la prestataria en el curso de la articulación de la contratación a través de la banca electrónica, de forma que no cabe ( art. 456.1 LEC) que en fase de recurso se pretenda introducir esta cuestión nueva, lo que no es un problema meramente formal pues la falta de prueba al respecto por parte de la demandada que se invoca en el recurso está ligada directamente al intempestivo planteamiento de la cuestión. Tampoco -cabe añadir- han sido objeto de discusión la licitud, regularidad o conformidad con el respeto de los derechos de los consumidores de esta contratación telemática de préstamos "preconcedidos".

Y por otra parte -y en análogo sentido a lo antes expresado-, si se propugna que la demandada no conoció ni consintió que estaba solicitando un préstamo, no se advierte qué relevancia material puede tener que se le brindaran o no elementos informativos para ilustrar la prestación de un conocimiento debidamente consciente del contenido contratado.

-El mismo argumento es aplicable al alegado incumplimiento por parte de la demandada de las afirmaciones incluidas en su página web que expresan que "si detectamos actividad inusual, nos ponemos en contacto contigo por teléfono o correo electrónico para informarte de algún posible problema o verificar la autenticidad de alguna de tus operaciones" y que "monitorizamos minuto a minuto las operaciones para detectar movimientos irregulares y prevenir posibles fraudes".

Ningún argumento ha esbozado la demandada para responder a tales razones, no negando que en sus relaciones con la clientela se hayan realizado tales afirmaciones. De hecho, no hay huella en las actuaciones del contrato marco previsto en el Real Decreto-ley 19/2018 de 23 de noviembre de servicios de pago y otras medidas urgentes en materia financiera, o del contenido concreto que pudiera tener la relación entre las partes respecto de la contratación electrónica, aunque también es cierto que no ha sido tal ausencia objeto del debate ni base de las pretensiones de las partes.

En todo caso, aun de considerarse que las afirmaciones expresadas de la página web formaban parte del contenido contractual (aplicando la inversión de la carga de la prueba del art. 31 del RD-L 19/18 y los deberes de información de su art. 29) el hecho es que -de nuevo- si el fraude sufrido por la cliente implicaba que su terminal y su ordenador -donde se recibirían las comunicaciones en caso de actividad inusual- eran controlados por quienes realizaban la actuación fraudulenta, no se advierte -como ocurrió con los SMS de confirmación- que la hipotética fiscalización de los movimientos de su cuenta por la entidad pudiera haber advertido a la perjudicada de la actuación irregular que se estaba realizando.

TERCERO- Se ha de compartir el criterio de la sentencia apelada sobre que la demandada ha probado de forma suficiente haber actuado de forma ajustada a la referida norma en relación con las operaciones de pago llevadas a cabo.

Con arreglo a los hechos declarados como probados y conforme al art. 44 de la referida norma la entidad ha demostrado "que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago", como dicha norma prevé, al constar que en las operaciones de pago la entidad bancaria brindó al usuario los datos (claves para el acceso a la banca electrónica, claves SMS enviadas al terminal móvil poseído por el cliente) que permiten que las operaciones cumplan los requisitos de la autenticación reforzada prevista en el art. 3.5 de la norma, sin que haya indicio alguno de que hayan concurrido los problemas técnicos que la norma prevé.

CUARTO- No se advierte error valorativo de la resolución apelada al considerar que la demandante cometió una negligencia grave al actuar del modo que antes se describió.

Se hubieran recibido o no por ella las comunicaciones que la demandada esgrime como muestra de advertencias periódicas realizadas a la clientela para advertirla de la posibilidad de fraudes, la realidad muestra que la demandante permitió que terceras personas desconocidas controlasen su ordenador y su teléfono móvil y que en tal situación escribió en el ordenador las claves de acceso a la banca electrónica y advirtió un comportamiento anómalo de los aparatos electrónicos -la pantalla del ordenador "en negro" o la desaparición de mensajes en su móvil que aludió- que impedían que ella conociera qué se estaba realizando a través de ellos.

Su actuación fue notablemente negligente, pues permitir que tuvieran el control de su ordenador terceros que no ofrecían garantía alguna de fiabilidad o seguridad, al identificarse de forma meramente verbal y justificando su intervención en la prestación de un servicio totalmente indeterminado -reparar los "fallos" del ordenador- que no había sido solicitado a la empresa que supuestamente los prestaba, ya es un comportamiento seriamente descuidado e imprecavido, al ser de conocimiento común el hecho de que se producen con gran frecuencia estafas informáticas por quienes acceden a los ordenadores de los usuarios, incluso cuando existan sistemas reforzados de seguridad, como resulta de los ataques publicitados por los medios de comunicación a significadas entidades públicas o privadas.

Además, en tal situación, la demandante debería haber sido consciente de que al brindar -al escribirlas ella misma- las credenciales de acceso a la banca electrónica a quien estaba controlando su ordenador generaba un riego gravísimo de que se realizaran operaciones fraudulentes a través de tal banca y tal previsible riesgo fue el que cristalizó en las diversas operaciones antes referidas.

Aunque no hay base -y no se imputa siquiera con la debida claridad- para entender que ella supiera y tolerase que se estaban llevando a cabo las operaciones fraudulentas, se ha de estimar que actuó con gran imprudencia en la generación de un notable riesgo de que tal actuación fraudulenta tuviera lugar, omitiendo de forma grave el deber de cuidado que le impone el art. 41 de la referida ley que exige que el <>, no siendo otro el criterio que cabe mantener sobre su pasividad pese a conocer que su teléfono móvil, donde como usuaria asidua de la banca electrónica conocía que se reciben los mensajes con los códigos de autenticación de las operaciones, también estaba siendo controlado por quien contaba con el acceso a la banca electrónica.

Estamos ante incumplimientos de criterios de elemental prudencia que competen al usuario de la banca electrónica, sin que quepa advertir que en esta actuación negligente concurriera alguna "deficiencia del servicio prestado por el proveedor de servicios de pago" que el citado art. 41 del RD-L 19/18 permite apreciar, pues no estamos ante déficits de cuidado del usuario que versen sobre cuestiones técnicas o de conocimiento especializado que la entidad que presta el servicio debería haberle comunicado específicamente, sino ante deberes legales -como se ha expresado- que una actuación responsable de un consumidor medio, o de cualquier usuario, fuerzan a observar y cuya inexcusabilidad no permite alegar ignorancia.

QUINTO- A- Así pues, cumplida la carga de demostración de la negligencia grave del usuario que el art. 44.2 de la norma impone al proveedor de servicios de pago, ha de seguirse la consecuencia prevista en el art. 46.1 último inciso de que el ordenante soporte todas las pérdidas derivadas de operaciones de pago no autorizadas si el ordenante ha incurrido en tales pérdidas por haber incumplido por negligencia grave las obligaciones que establece el artículo 41 antes citado. Ello afecta a los pagos realizados desde la cuenta de la demandada -las dos transferencias- que la demanda pretende que se anulen, por lo que la demandante no puede repercutir en la demandada la desaparición de tal dinero de su cuenta.

Ello determina que se desestime el pedimento relativo a la nulidad de las referidas transferencias, que como negocio bilateral entre titular de la cuenta de origen y titular de la cuenta de destino queda por completo fuera de examen en el presente procedimiento, al no haberse llamado al proceso a quien pudiera ser beneficiario de las mismas.

Además, en virtud del principio dispositivo, dado que el petitum de la demanda no se extiende a las (ínfimas) comisiones derivadas de las transferencias fraudulentas, no cabe cuestionar si han de ser o no devueltas.

B- Respecto del préstamo efectuado por la demandada en favor de la demandante, no es una operación de pago regulada en la norma especial referida. Desde la perspectiva civil invocada en la demanda y en el recurso, y con arreglo a los datos fácticos de los que ha de partirse, estamos ante un caso nítido de inexistencia de contrato ( art. 1261.1 CC.) por ausencia de consentimiento de la demandante respecto de todos y cada uno de los actos realizados por los defraudadores usando sus claves de acceso y/o validación, pues ella -como se ha dicho- carecía de conocimiento y de voluntad sobre su realización. También, además, estamos ante un engaño -por parte de un tercero- que incidió en el consentimiento prestado por la parte demandada a través de sus propios mecanismos telemáticos de actuación para la concesión de préstamos, pues si se contrató el préstamo fue porque previamente la demandada había decidido, atendidos los concretos factores concurrentes en la demandante -no en quienes la estafaban-, acceder a la solicitud de préstamo que aquella pudiera dirigirle. Es decir, se concedió el préstamo y se transfirió el dinero a la cuenta de la demandante porque la demandada creía que era su cliente y no un tercero quien contrataba la operación.

Ello determina que la operación de préstamo sea nula, pues la falta de cuidado de la demandante en absoluto permite estimar que sea inatacable y deba seguir rigiendo un contrato de préstamo que constituye una operación empresarialmente lucrativa para el banco, no siendo aceptable que la demandante se vea obligada a pagar intereses o comisiones a la demandada en virtud de tal operación radicalmente nula.

El núcleo del litigio es -como esbozó la demandada- si a la nulidad del préstamo ha de unirse la exoneración de la demandante del deber de restituir la cantidad recibida en su cuenta -y la correlativa devolución por la demandada de los pagos realizados del préstamo-, que luego terceros extrajeron de ella. La regla del art. 1303 CC. sobre los efectos de la nulidad es la restitución recíproca de las prestaciones recibidas, cabiendo señalar que aplicaciones analógicas de otros preceptos ( art. 1305 y 1306 CC.) no exonerarían a la demandante del deber de restituir lo recibido, ante la concurrencia de una negligencia propia que propició la materialización de la maniobra causante de la nulidad, siendo esta propia negligencia la que ha generado su imposibilidad de restituir lo recibido en la cuenta, volatilizado de ella en virtud de las transferencias cuyas consecuencias patrimoniales negativas ha de asumir. Consecuencia inherente de este deber restitutorio es la devolución por el banco de lo recibido por razón del contrato nulo, como se solicita en la demanda.

No obstante ha de preservarse a la demandante de eventuales consecuencias negativas de esta declaración -cabe que repute que es más perjudicial que el cumplimiento del préstamo la pérdida del aplazamiento que derivaría del deber de restitución del principal del préstamo no saldado con los pagos ya realizados-, de forma que habrá de permitirse que opte por el mantenimiento del contrato.

Todo ello, sin perjuicio de las acciones de resarcimiento que a las partes puedan corresponder frente a quienes sean responsables de las maniobras fraudulentas y de que, en virtud del principio dispositivo, no sea este pleito la sede para que la parte demandada haga efectivos los derechos que le puedan corresponder frente a la actora por razón de la acción restitutoria derivada de la nulidad.

SEXTO- No procede hacer imposición de las costas del proceso. Estamos ante una cuestión fácticamente infrecuente y compleja y en un ámbito en el que, como cita el recurso, hay posicionamientos de la práctica judicial que mantienen posiciones diversas, de forma que existe una situación dudosa que justifica acudir al criterio excepcional del art. 394 LEC.

Por todo lo expuesto, vistos los preceptos legales citados, sus concordantes y demás de general y pertinente aplicación, de conformidad con el artículo 117 de la Constitución, en nombre de S.M. el Rey, por la autoridad conferida por el Pueblo español,