Sentencia Civil 364/2023 Audiencia Provincial Civil de A Coruña nº 3, Rec. 87/2023 de 05 de octubre del 2023

Primero.- Objeto del litigio

El 22 de noviembre de 2021, la representación de Dª Regina y Dª Rita formula demanda de juicio ordinario en ejercicio de acción de reclamación de cantidad frene a la entidad "Banco Santander, S.A." solicitando que se dicte Sentencia por la que, estimando íntegramente la demanda, se declare la responsabilidad de la citada entidad bancaria y se la condene a "restituir de manera inmediata en la cuenta de titularidad conjunta de Dª Regina y Dª Rita con número NUM006, la cantidad de 6.500 euros" y a "restituir de la cuenta de titularidad única de la Sra. Rita NUM007 la cantidad de 3.900 euros", más "los intereses dejados de percibir desde el día 10 de septiembre de 2020 hasta la fecha, y todo ello con expresa imposición de las costas procesales a la entidad demanda". Ello como consecuencia de las operaciones por valor de 5.900 euros, 1.500 euros y 3.000 euros que, a través del sistema de movimiento Santander Wallet, HCE, se realizaron los días 9 y 10 de septiembre de 2020, sin consentimiento de las demandantes, en las cuentas corrientes de su titularidad abiertas en la entidad financiera demandada.

Con fecha 4 de abril de 2022, la representación de la entidad bancaria demandada presenta escrito de contestación a la demanda, oponiéndose a la misma, solicitando su íntegra desestimación, con expresa imposición de costas a la demanda.

El Juzgado de Primera Instancia e Instrucción nº 3 de Carballo se dictó, en autos de procedimiento ordinario núm. 577/2021, sentencia núm. 144/2022, de 14 de diciembre de 2022 cuyo Fallo dice así:

"QUE DEBO ESTIMAR Y ETIMO ÍNTEGRAMENTE la demanda interpuesta por el procurador de los tribunales, José Luis Chouciño Mourón, en nombre y representación de Regina y Rita contra Banco Santander, S.A. y, en consecuencia:

1. Condenar a la demandada a abonar a Regina y Rita la suma de 6.500 euros.

2. Condenar a la demandada a abonar a Rita la suma de 3.900 euros.

3. Condenar a la demandada a abonar el interés legal del dinero que generen dichas cantidades desde la reclamación extrajudicial hasta el pago.

4. Condenar a la demandada al pago de las costas procesales".

Frente a dicha resolución, se interpone recurso de apelación por la representación de la entidad "Banco Santander, S.A." alegándose los siguientes motivos: a) error en la valoración de la prueba. Cumplimiento de las obligaciones legales y contractuales de Banco Santander. Incumplimiento por parte de la demandante de sus deberes de guarda y custodia, de sus credenciales de seguridad. Concurrencia de negligencia de la parte actora; b) incorrecta aplicación de la ley y la doctrina jurisprudencial existente aplicable al presente supuesto; c) subsidiariamente, eventual concurrencia de culpas; d) de las costas procesales: concurren dudas de hecho y de derecho que motivan la no imposición de las costas procesales de la entidad demandada. Por su parte, la representación de la parte demandante formula escrito de oposición al recurso de apelación solicitando la confirmación íntegra de la sentencia de instancia y la condena a la parte apelante a las costas causadas en esta instancia.

Segundo.- Sobre el marco normativo

El marco legal aplicable al caso de autos está constituido por el Reglamento Delegado (UE) 2018/389 de la Comisión de 27.11.2017 que completa Directiva (UE) 2015/2366 sobre normas técnicas de regulación para la autenticación reforzada, el RDL 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (en adelante, LSP), y los arts. 147 y 148 del Real Decreto Legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias (en adelante, LGDCU).

El art. 44.1 LSP establece la carga probatoria del proveedor sobre la autenticación de la operación ante negativa del usuario, sentando la responsabilidad del usuario que actúe de modo fraudulento o con negligencia grave (arts. 44.3 y 46.1) y fijando como obligaciones esenciales del citado usuario la protección de sus credenciales de seguridad personales y la comunicación sin de mora al proveedor del servicio en casos de extravío, sustracción o utilización no autorizada ( art. 41). Por su parte, el prestador del servicio deberá garantizar el control técnico adecuado y debidos niveles de seguridad en la operativa, respondiendo por daños y perjuicios en caso de incumplimiento ( arts. 148 y 147 LGDCU).

A la hora de estudiar la concurrencia de negligencia grave del usuario del servicio de pago on line, partiendo del admitido criterio de responsabilidad cuasi-objetiva de la entidad en la prestación del servicio de banda virtual respecto a operaciones de pago como la transferencia, reiterada jurisprudencia considera que dicha negligencia debe ser grave en atención a las circunstancias demostradas del caso, atribuyéndose en todo caso la carga probatoria de la misma al proveedor del servicio con arreglo al art. 217 LEC.

En interpretación de directiva 2015/2366, la negligencia que hace responder al cliente es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional. Como parámetro del actuar negligente también cabrá acudir al art. 1.104 CC, que exige la diligencia asociada a la naturaleza de la obligación y a las circunstancias personales, de tiempo y lugar. Ello destacándose la complejidad y grado de perfección que presenta en la actualidad el método de "phishing" de difícil detección por persona de formación media, así como el deber de la proveedora, del servicio de dotarse de tecnología suficiente y adecuada con exigencia de medidas implantadoras activas, sin entenderse suficientes avisos generales o en página web de mero carácter informativo o divulgativo (entre otras, SAP de Pontevedra núm. 177/2023, de 23 de marzo).

Tercero.- Aplicación de la anterior normativa al caso de autos

Alega la entidad demanda que "las operaciones se realizaron tras la configuración de la tarjeta de la demandante en el servicio de pago móvil SANTANDER WALLET (HCE), que es una forma de pagar con el móvil a través de la tokenización de la tarjeta del cliente. Cabe destacar que el pago tokenizado implica un doble factor de autenticación mediante el remplazo de los datos de la tarjeta por un identificador o token único pero que igualmente garantiza operatividad y evita que la información sea utilizada sin el consentimiento del usuario y además dicha operativa, para reforzar la seguridad del sistema, requiere, para la configuración de la tarjeta, introducir una clave de un solo uso (conocida en inlés como One Time Password u OTP). Las operaciones de pago reclamadas fueron realizadas en presencia del dispositivo móvil en el que fue configurada la tarjeta y fueron autenticada mediante verificación del PIN/huella del mismo". Concluyendo, a este respecto, que "según los registros y trazas del sistema de seguridad de mi representada, se evidencia que, tanto para configurar/enrolar la tarjeta en la app de pagos como para modificar el límite de la tarjeta, era imprescindible conocer 1) las claves de acceso a la Banca Online del cliente y 2) la calve OTP remitida a su teléfono móvil, evidenciándose que se siguió un proceso de autenticación reforzada o doble autenticación, es decir, de dos factores (algo que el cliente conoce, una contraseña, y algo que tiene, que es su dispositivo móvil), tal como dispone la normativa europea PSD2". Para ello, la recurrente se apoya en el certificado REDYS de la operación, en tanto el mismo verifica el procedimiento de pago seguido para validar que la utilización de la tarjeta se ha efectuado con autorización cliente (registra datos relativos a la compra, cuantía, comercio, fecha y autenticación). Defiende el recurso de apelación que en este caso el certificado REDYS acredita que la compra se llevó a cabo a través del doble sistema de autenticación, planteando que ello demuestra que la operación fue real y se ejecutó con el doble filtro de autenticación del cliente. No obstante, ello no verifica la identidad real del usuario ordenante, es decir, se certifica la remisión de un SMS para activar esa validación, pero no identifica el número de teléfono móvil al que se remitió tal comunicación, no existiendo prueba alguna, en definitiva, demostrativa de la activación de la compra por la parte demandante. A este respecto, resulta ilustrativa la SAP de Navarra núm. 223/2023, de 9 de marzo, y plenamente aplicable al caso de autos, conforme a la que "en definitiva, lo que está planteando el recurso de apelación es, solamente, que la operación está autenticada por el doble refuerzo instaurado por la entidad (y ello sin ni siquiera demostrar el factor de posesión porque no está probado que se remitiese a un móvil ni dispositivo del usuario el segundo mecanismo de validación de la compra en la aplicación 'Caixabank now'). Por lo tanto, en ningún momento se demuestra que esté garantizada la identidad del usuario que ejecutó esa autenticación, siendo que, como antes ha quedado dicho, en el tenor de la norma la 'autenticación' no sólo comprende la validez de la utilización de los antedichos filtros, sino también la comprobación de la identidad del usuario". En el caso de autos, la demandante Dª Rita en su declaración en sede judicial negó, reiteradamente, haber registrado su tarjeta en la aplicación "Santander Wallet", sin que, por otro lado, hubiese recibido notificación o comunicación alguna vía correo electrónico o SMS de su activación, ni que se le hubiese solicitado en ese periodo dato alguno por bloqueo de cuenta o similar. Asimismo, declaró no haber estado en el comercio Jolly Minimarke (Italia) los días 9 y 10 de septiembre en que se produjeron los cargos no autorizados en su tarjeta a través de la aplicación "Santander Wallet" y que el dispositivo móvil siempre ha estado en su poder (desde 2m:14s a 2m:21s, desde 3m:20s a 4m:17s, desde 4m:58s a 5m:17s de la grabación y desde 8m:30s a 8m:38s de la grabación)

La operación habrá sido "autenticada" en términos de la LSP (que tampoco es así, porque no consta el factor de posesión, como hemos dejado sentado anteriormente), pero lo que es elemento nuclear de este litigio es la "falsedad" de tal autenticación, en términos del art. 44 LSP (negación por el usuario de haber sido él quien ha autorizado la operación), escenario en el que recae la carga de la prueba en la entidad proveedora del sistema de pago. Pues bien, habiéndose constatado que la parte demandante ha sido víctima de "phishing", resulta claro que la operación no se encuentra completamente "autenticada" en términos de la LSP, porque falta la certificación de la identidad del usuario ordenante de la operación. Apunta a este respecto la SAP de Navarra núm. 223/2023, de 9 de marzo anteriormente citada que "no resulta suficiente, por sí solo, haber completado los mecanismos reforzados de autenticación establecidos por la entidad, debido a que si no se han implementado otros sistemas para restringir sólo al usuario el acceso al canal de banca electrónica que autentifica, no puede descansar automáticamente toda la responsabilidad en dicho usuario, dado que al proveedor del servicio de pago le compete la responsabilidad respecto del buen funcionamiento y la seguridad del mismo y es obligación esencial de las entidades prestadoras del servicio de banca on line el dotarse de medidas suficientes que garanticen al usuario la seguridad de las operaciones por lo que, en el supuesto de insuficiencia o mal funcionamiento de las adoptadas, deben ser las entidades bancarias las que asuman las consecuencias derivadas de los fallos de seguridad del sistema".

Esta regla general de que, sin perjuicio de la posibilidad de repetir contra el proveedor de servicios de iniciación de pagos, es el proveedor de servicios de pago el que responde de la restitución al ordenante del importe de las operaciones de pago no autorizadas se ve excepcionada, atribuyéndose al ordenante esa responsabilidad, cuando aquel actúe de manera fraudulenta, o bien incumpla deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el art. 41 LSP, entre las que se incluyen la de tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas.

Correlativa a esa obligación es la norma sobre la carga de la prueba, establecida en el art. 44.3 LSP, según la cual es al proveedor de Servicios de pago a quien le incumbe probar que el usuario del Servicio de pago cometió fraude o negligencia grave, porque como ha señalado la jurisprudencia, la responsabilidad de aquél es una responsabilidad cuasi-objetiva (entre otras, SSAP de Orense núm. 369/2023, de 9 de junio; Cuenca núm. 125/2023, de 16 de mayo; Madrid núm. 24/2023, de 13 de enero; Valladolid núm. 689/2022, de 19 de octubre; Cantabria núm. 679/2022, de 19 de septiembre; Zaragoza núm. 804/2022, de 1 de julio; Madrid núm. 184/2022, de 20 de mayo; Pontevedra núm. 113/2021, de 7 de abril). En atención a ello, el verdadero fondo esencial del recurso de apelación que aquí de sustancia es determinar si las demandantes, usuarias de Santander Wallet H.C.E (sistema de cobro mediante dispositivo móvil), cometieron negligencia grave, toda vez que la existencia de fraude por su parte aparece totalmente descartada.

A este respecto, la sentencia de primera instancia considera que "no existe prueba alguna de cómo se produjo exactamente la defraudación", estimando, a este respecto, que "la usuaria no incumplió las obligaciones que le impone la ley en orden a la prevención del pago fraudulento, sin incurrir en fraude o negligencia grave (...)". Por su parte, la entidad demandada afirma en el párrafo 32 de su escrito de recurso de apelación que "si terceros desconocidos han tenido acceso a las claves de seguridad del cliente, que son personales e intransferibles, no ha sido debido a ninguna conducta de mandante, quien ha cumplido con las obligaciones que le impone la Ley de Servicios de Pago, sino que ello ha derivado necesaria e inexorablemente de una conducta (negligente) de la demandante, quien era y es responsable de la guarda y custodia de las mismas, no solo en virtud del contrato suscrito entre las partes, sino en virtud de lo recogido en la propia Ley de Servicios de Pago".

Sin embargo, la negligencia que se exige en el usuario para que quede neutralizada la responsabilidad del proveedor de pagos ha de ser grave, es decir, no resulta suficiente con que dejara de observar una diligencia extrema. Señala a este respecto la SAP de A Coruña, 86/2023, de 29 de marzo, "la negligencia grave supone una falta de la diligencia más elemental que consiste en no hacer lo que todos hacen". En esta línea, la SAP de Pontevedra, 177/2023, de 23 de marzo establece que "la negligencia que hace responder al cliente es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional. Como parámetro del actuar negligente también cabrá acudir al art. 1.104 CC, que exige la diligencia asociada a la naturaleza de la obligación y a las circunstancias personales, de tiempo y lugar. Ello destacándose la complejidad y grado de perfección que presenta en la actualidad el método de 'phishing' de difícil detección por persona de formación media, así como el deber de la proveedora del servicio de dotarse de tecnología suficiente y adecuada con exigencia de medidas implantadoras activas, sin entenderse suficientes avisos generales o en página web de mero carácter informativo o divulgativo -por todas, SS. AP Pontevedra (Secc. 6ª) 21.12.21 y Madrid (20ª) 20.5.2022 , en la línea de lo razonado en SS. AP Valencia (6ª) 13.6.2022 , Granada (5ª) 20.6.2022 y Badajoz (3ª) 21.6.2022 -". Por tanto, la prueba de la negligencia grave del ordenante requerirá de la acreditación de las circunstancias concurrentes en la operación de pago de las que quepa inferir que la misma pudo realizarse porque aquel obró con una significativa falta de diligencia al usar del instrumento de pago o al proteger sus credenciales, aspectos que no concurre en el caso de autos ( SAP de Pontevedra núm. 539/2021, de 21 de diciembre). Y, en el caso de autos, se desconocen cuáles fueron esas circunstancias concurrentes ya que, como refleja la sentencia de instancia, "no existe prueba alguna de cómo se produjo exactamente la defraudación", hecho que también es confirmado por la propia entidad demandada en su escrito de oposición a la demanda al señalar que "a pesar de que ello se omita en el escrito de demanda, fue la propia parte demandante la que necesariamente cedió sus claves de seguridad de alguna forma que esta parte no puede conocer puesto que pertenece a la esfera interna de la demandante (...). A este respecto, la demandante Dª Rita negó en su declaración en sede judicial haber facilitado o cedido sus credenciales y el número PIN de su dispositivo móvil a terceros o a requerimiento presunta o aparentemente del Banco Santander (desde 5m:39s a 6m:14s de la grabación).

No es suficiente para acreditar la negligencia grave en la actuación de la parte demandante elucubraciones sobre el modo en que se considera que la cesión de las claves de seguridad se acometió ("seguramente tras acceder a un enlace malicioso enviado vía SMS o vía Email por un remitente que no era Banco Santander y teniendo el enlace nada que ver con entidad bancaria"), en tanto que dichas afirmaciones están huérfanas de toda prueba. Como señala la SAP de Cantabria núm. 679/2022, de 19 de septiembre "la entidad bancaria demandada no puede invertir la carga de la prueba exonerándose de la actividad acreditativa que le corresponde al amparo de la alegación de que todas las operaciones habían sido autenticadas, registradas y contabilizadas, en la medida, en que de ser así, lo fueron de forma fraudulenta porque el titular de los contratos no las autorizó y comunicó y denunció el fraude. Es a la entidad financiera a quien corresponde acreditar la falta de diligencia del usurario, sin apelar a meras conjeturas, no demostradas" (en similares términos, SAP de Cáceres núm. 132/2022, de 16 de febrero).

A ello debe sumarse la diligente actuación de la parte demandante quien, además de poner en conocimiento de la entidad bancaria, a través de su servicio de atención al cliente, el carácter no autorizado de las operaciones tras ser notificada por la entidad, vía sms, de que "se ha bloqueado preventivamente su tarjeta * NUM008 al registrar operaciones poco habituales", procedió (Dª Regina) a interponer denuncia por esos hechos en el puesto de la Guardia Civil de Carballo a las 2 horas y 21 minutos después de recibirse el referido aviso. Denuncia que se ve ampliada al día siguiente, a las 10:45 horas, mediante acta de declaración de Dª Rita. Ese mismo día se reitera por Dª Rita de forma presencial en la sucursal el carácter no consentido de las disposiciones e insta su revocación. No tratándose en el caso de autos de una transferencia inmediata -al haberse materializado los pagos, respectivamente, el 11 y el 14 de septiembre-, resulta claro que era, además de factible, precisa una rápida actuación de la entidad bancaria para intentar cuando menos suspender la disposición del dinero y evitar, con ello, el resultado dañoso sin que, por su parte, se acredite actuación alguna al respecto.

Por todo lo expuesto procede la desestimación del recurso de apelación, toda vez que compete a la entidad bancaria que pone a disposición de su cliente instrumentos de pago y contratación electrónica el adoptar las medidas de seguridad necesarias para garantizar la plena autenticación de la operación, que ha de incluir la efectiva identidad del ordenante, debiendo asegurar y garantizar que la autorización de la operación provenía efectivamente del cliente titular de la tarjeta, lo que no demuestra haber supervisado ni verificado debidamente en este caso.

Cuarto.- Costas procesales del recurso y depósito

La desestimación del recurso de apelación interpuesto por la demandada conlleva la imposición a ésta de las costas ocasionadas en esta segunda instancia, de conformidad con lo establecido en el artículo 398.1 LEC.

La desestimación del recurso conlleva también la pérdida del depósito constituido para recurrir, al que se dará el destino previsto en la disposición adicional decimoquinta de la LOPJ.