Sentencia Civil 193/2024 Audiencia Provincial de Salamanca Civil-penal Única, Rec. 108/2023 de 18 de abril del 2024

PRIMERO.- Por la representación procesal de Banco Santander se formula recurso de apelación frente a la sentencia dictada el día 23 de noviembre de 2022 por la Sra. Juez sustituta del juzgado de primera instancia número 3 de Salamanca en la que estimando la demanda formulada contra la entidad bancaria, condena a ésta a abonar a la actora la cantidad de 23.852,49 euros más los correspondientes intereses legales.

Los motivos de apelación alegados son los siguientes:

1º) Error en la valoración de la prueba y en la aplicación de la ley al supuesto de autos. Ausencia de responsabilidad de la entidad por demora injustificada en la comunicación de los hechos por parte de la demandante.

2º) error en la valoración de la prueba puntos cumplimiento de las obligaciones legales y contractuales del Banco Santander. Necesariamente, concurrencia de negligencia de la parte actora.

3º) incorrecta aplicación de la ley y la doctrina jurisprudencial existente al presente supuesto en lo referente a la concurrencia de negligencia grave en la actora

4º) de manera subsidiaria eventual concurrencia de culpas.

La parte apelada se opone al recurso de apelación señalando entre otros extremos que no nos encontramos ante un caso de phishing, ya que no tenía las tarjetas, ni los PIN y puso en conocimiento de Banco Santander lo sucedido tan pronto como lo advirtió.

SEGUNDO.- Para la adecuada resolución de la cuestión litigiosa es necesario dejar consignados una serie de presupuestos fácticos: tal como se señala en el hecho primero de la demanda , por la representación de la actora se interpuso en fecha de 7 de diciembre de 2.020 demanda de reclamación de cantidad contra la demandada señalando que la demandante Dª Evangelina, residente en Caracas, Venezuela, es clienta de Banco Santander, manteniendo desde hace tiempo abierta un cuenta corriente y una cuenta de valores en la sucursal de Salamanca sita en Paseo de Carmelitas nº 58, depositando en ambas cuentas sus ahorros, en la primera, metálico, y en la segunda, valores; que en fecha de 5 de septiembre de 2.017 la demandante solicitó desde su país, Venezuela, a través de la página web del banco demandado que le emitieran una tarjeta de crédito y otra de débito, ambas de MasterCard, que en febrero de 2018, al acceder desde la página web del banco a su cuenta bancaria, advierte que entre los días 8 y 19 de septiembre de 2.017, persona o personas no identificadas, haciendo uso de sus tarjetas, dispusieron un total de 23.852,49 euros, dejando su cuenta con saldo negativo; que comunicó por teléfono inmediatamente esta circunstancia a la entidad demandada, sin recibir explicación alguna, que interpuso también denuncia penal, decretándose el sobreseimiento provisional por falta de autor conocido mediante Auto de 30 de enero de 2.020, que la demandante no recibió en ningún momento las tarjetas de crédito y débito solicitadas, que la demandada no ha adoptado las medidas de custodia necesarias o ha incurrido en fallos de seguridad en su sistema, provocando a la demandante un perjuicio económico de 23.852,49 euros.

La sentencia estima íntegramente la demanda formulada por Doña Evangelina frente a la entidad Banco Santander S.A y en consecuencia condena al demandado a abonar a la actora la cantidad de (23.852,49 euros; más el interés legal desde la fecha del emplazamiento al demandado de la demanda; y con imposición de costas al demandado. Todo ello al considerar la juez a quo que la entidad financiera no actuó con la suficiente diligencia en el momento de activar las tarjetas bancarias con los siguientes argumentos:

- De la prueba practica y obrante en autos, especialmente teniendo en cuenta la grabación telefónica del proceso de activación de las tarjetas y el número de teléfono desde el que se produjo, consta acreditado que, a pesar de tratarse de un número de teléfono que no constaba en las bases de datos del banco Santander como identificativo de la demandante, se activaron las dos tarjetas, al ser proporcionados por la persona que se hizo pasar por la demandante datos personales de ella, lo que denotaba cierta apariencia de legitimación, pero resulta significativo y vital para resolver, el hecho de que efectivamente, al no constar el teléfono desde el que se realizó la llamada en la base de datos de la entidad, en la grabación, la trabajadora del banco Santander Susana, la última que habló con la persona que se hizo pasar por la demandante, señaló que no era posible dar de alta tales tarjetas en el comercio electrónico seguro (CES), al estar llamando desde un teléfono que no estaba en la base de datos, tras lo cual finalizó la llamada.

- En este caso, a pesar de encontrarse las tarjetas físicas en custodia y poder del banco, dado que la demandante no era residente en España, y por ello en estos casos las tarjetas se mandan a la sucursal donde tiene el contrato la tarjeta, donde el mismo está vigente, la persona que suplanta la identidad de la demandante, al ser preguntada por la primera persona que interactúa con ella que si tiene en su poder las tarjetas, señala que sí, siendo que las mismas en ningún momento salen de la sucursal del banco Santander sita en Salamanca, sin que sea realizada ningún tipo de comprobación a este respecto por la entidad demandada, ni en ese momento, ni en los cuatro meses y medio posteriores, hasta que la demandante, no residente en España, tiene conocimiento de tales actuaciones fraudulentas, y las pone a su vez en conocimiento de la entidad demandada, y posteriormente interpone denuncia ante los Juzgados de Instrucción de Salamanca.

Por ultimo considera que no existió negligencia en la actora al demorarse cuatro meses y medio, en comunicar a la entidad financiera las operaciones fraudulentas realizadas, en atención a las circunstancias personales de la misma concretamente que no era residente habitual en España, que solo operaba ocasionalmente con tales cuentas en España, y las tenía como medio de protección de sus ahorros en Europa, frente a la incertidumbre de su país de residencia, Venezuela y que durante este periodo de tiempo, la demandante se encontraba embarazada y tuvo a su hija, es más, precisamente solicitó la emisión de tales tarjetas para hacer frente a los posibles gastos de su embarazo de riesgo.

TERCERO.- El primer motivo de apelación hace referencia al error en la valoración de la prueba y en la aplicación de la ley al supuesto de autos. Ausencia de responsabilidad de la entidad por demora injustificada en la comunicación de los hechos por parte de la demandante.

Considera que al haber transcurrido más de cuatro meses en comunicar las operaciones fraudulentas a la entidad financiera la actora incumplió sus deberes de comunicación sin causa justificada que provocaron que la entidad no dispusiera de oportunidad alguna de anular los cargos o facilitar solución alguna al respecto, concurriendo en este supuesto negligencia tanto en la falta de custodia de las calves personales como en la demora injustificada en la comunicación de los hechos acontecidos.

La Ley 16/2009, de 13 de noviembre de Servicios de Pago tenía por objeto la incorporación al Ordenamiento Jurídico Español de la Directiva 2007/64/CE del Parlamento Europeo (EDL 2007/211998) y del Consejo, de 13 de noviembre de 2007, sobre servicios de pago en el mercado interior, por la que se modifican las Directivas 97/7/CE, 2005/65/ CE y 2006/48/CE y por la que se deroga la Directiva 97/5/CE (EDL 1997/22102).

El artículo 29 de dicha Ley, dispone que:

"1. Cuando el usuario de servicios de pago tenga conocimiento de que se ha producido una operación de pago no autorizada o ejecutada incorrectamente, deberá comunicar la misma sin tardanza injustificada al proveedor de servicios de pago, a fin de poder obtener rectificación de éste.

2. Salvo en los casos en los que el proveedor de servicios de pago no le hubiera proporcionado o hecho accesible al usuario la información correspondiente a la operación de pago, la comunicación a la que se refiere el apartado precedente deberá producirse en un plazo máximo de trece meses desde la fecha del adeudo o del abono.

Cuando el usuario no sea un consumidor, las partes podrán pactar un plazo inferior distinto del contemplado en el párrafo anterior .

Examinada las circunstancias concurrentes en el presente supuesto no se considera que la juzgadora de instancia haya incurrido en un razonamiento contrario a la lógica al estimar que no ha existido demora por parte de la actora en la puesta en conocimiento de la entidad financiera de las operaciones fraudulentas detectadas.

En primer lugar, nos encontramos que el aviso se realiza dentro de los trece meses a que hace referencia el artículo 29 de la ley referida.

Por otra parte, de las declaraciones efectuadas por la actora y de la documentación existen en autos, resulta que dicha cuenta prácticamente no tenía movimientos, no se encontraba domiciliado ningún recibo y la finalidad de apertura de la misma era tener depositado el mismo en un lugar seguro, dada la inestabilidad del país de origen de la actora, es decir no existe ningún motivo o causa por la que la actora tuviera que revisar habitualmente dicha cuenta.

Se ha acreditado por la declaración de la actora en el acto de la vista y no ha sido puesto en duda por la entidad financiera, que los únicos movimientos realizados en dicha cuenta eran efectuados por orden telefónica de la actora a la oficina, posteriormente confirmados por correo electrónico. Pagos relacionados únicamente con una serie de análisis médicos.

Por ultimo también ha quedado acreditado que las tarjetas bancarias, no habían sido entregadas a la actora, no constando de forma fehaciente, como examinaremos a continuación, a la actora que las mismas se hubieran activado.

Tampoco se acredita por Banco Santander, que Doña Evangelina utilizara habitualmente los servicios on line de la entidad financiera, ni que ella entrara habitualmente en la cuenta a través de internet.

Por todo lo expuesto no se puede estimar que existe demora en la comunicación de la defraudación a la entidad actora, y en consecuencia, este motivo de apelación no puede prosperar.

CUARTO.- Los siguientes motivos de apelación se refieren al error en la valoración de la prueba. Cumplimiento de las obligaciones legales y contractuales de Banco Santander. Necesariamente, concurrencia de negligencia de la parte actora y en la incorrecta aplicación de la ley y la doctrina jurisprudencial existente al presente supuesto en lo referente a la concurrencia de negligencia grave en la actora.

La entidad apelante señala en esencia por una parte que comete un error la juzgadora al entender que concurre un fallo de seguridad en Banco Santander al activarse el Comercio Electrónico Seguro (CES), ya que, efectivamente, nunca se activó, todas las compras son realizadas presencialmente en comercios en España mediante pagos tokenizados , es decir el desfalco se realizó empleando las dos tarjetas de la actora a través del sistema de "pagos tokenizados", es decir, empleando las credenciales de seguridad de la demandante, con las tarjetas ya activadas, se enrolaron a un dispositivo móvil de Apple, con el que, empleando la huella o el reconocimiento facial, se efectuaron los pagos en distintos comercios de la península ibérica, comercios que para nada resultan sospechosos.

Por otra parte señala que la activación de las tarjetas se produjo porque alguien conocedor de que la Sra. Evangelina acababa de contratar dos tarjetas, llamó a Banco Santander suplantando su identidad e interesó la activación de ambas tarjetas . Evidentemente, para poder tener esta información, la persona que llamó a la entidad debía conocer el usuario y clave de acceso a la banca online, ya que, sin esos datos, difícilmente podría conocer que la actora había contratado ambas tarjetas.

Es decir con independencia de que los pagos se realización con la tarjeta ya activa en un teléfono móvil, y de la situación física de las tarjetas, la cuestión principal y clave es si la entidad bancaria fue diligente en el momento de la activación de dichas tarjetas.

Se ha de partir de la consideración de que, con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago a través de banca "on line", el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi-objetiva, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso. Y así resulta de la siguiente reglamentación:

1º) El artículo 147 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, dispone: "Los prestadores de servicios serán responsables de los y perjuicios causados a los consumidores o usuarios, salvo que prueben que han cumplido las exigencias y requisitos reglamentariamente establecidos y demás cuidados y diligencias que exige la naturaleza del servicio ", siendo indiscutido que los demandantes merecen la consideración de consumidores;

2º) El art. 148 de la misma norma, según el cual "se responderá de los daños originados en el correcto uso de los servicios, cuando por su propia naturaleza, o por estar así reglamentariamente establecido, incluyan necesariamente la garantía de niveles determinados de eficacia o seguridad, en condiciones objetivas de determinación, y supongan controles técnicos, profesionales o sistemáticos de calidad, hasta llegar en debidas condiciones al consumidor y usuario ";

3º) El a rt. 27 de la ley 16/2009 de 13 de noviembre de servicios de pago, señala que el usuario de servicios de pago habilitado para utilizar un instrumento de pago deberá cumplir las obligaciones siguientes:

a) utilizar el instrumento de pago de conformidad con las condiciones que regulen su emisión y utilización, en particular, en cuanto reciba el instrumento de pago, el usuario deberá tomar todas las medidas razonables a fin de proteger los elementos de seguridad personalizados de que vaya provisto; y

b) en caso de extravío, sustracción o utilización no autorizada del instrumento de pago, notificarlo sin demoras indebidas al proveedor de servicios de pago o a la entidad que éste designe, en cuanto tenga conocimiento de ello. ";

4º) El artículo 28 de la misma norma, que establece " El proveedor de servicios de pago emisor de un instrumento de pago cumplirá las obligaciones siguientes:

a) Cerciorarse de que los elementos de seguridad personalizados del instrumento de pago solo sean accesibles para el usuario de servicios de pago facultado para utilizar dicho instrumento. En particular, soportará los riesgos que puedan derivarse del envío al ordenante tanto de un instrumento de pago como de cualquier elemento de seguridad personalizado del mismo.

b) Abstenerse de enviar instrumentos de pago que no hayan sido solicitados, salvo en caso de que deba sustituirse un instrumento de pago ya entregado al usuario de servicios de pago.

Esta sustitución podrá venir motivada por la incorporación al instrumento de pago de nuevas funcionalidades no expresamente solicitadas por el usuario, siempre que en el contrato marco se hubiera previsto tal posibilidad y la sustitución se realice con carácter gratuito para el cliente.

c) Garantizar que en todo momento estén disponibles medios adecuados y gratuitos que permitan al usuario de servicios de pago efectuar la comunicación indicada en el artículo 27.b), o solicitar un desbloqueo con arreglo a lo dispuesto en el artículo 26.4. A este respecto, el proveedor de servicios de pago facilitará, también gratuitamente, al usuario de dichos servicios, cuando éste se lo requiera, medios tales que le permitan demostrar que ha efectuado dicha comunicación, durante los 18 meses siguientes a la misma, e

d) Impedir cualquier utilización del instrumento de pago una vez efectuada la notificación a que se refiere el artículo 27.b). "; y

5º) El artículo 30 señala a su vez:

1. Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá a su proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico o cualquier otra deficiencia.

2. A los efectos de lo establecido en el apartado anterior, el registro por el proveedor de servicios de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación de pago fue autorizada por el ordenante, ni que éste actuó de manera fraudulenta o incumplió deliberadamente o por negligencia grave una o varias de sus obligaciones con arreglo al artículo 27.

6º) El artículo 31 establece:

"Sin perjuicio de lo dispuesto en el artículo 29 de la presente Ley, y de las indemnizaciones por daños y perjuicios a las que pudiera haber lugar conforme a la normativa aplicable al contrato celebrado entre el ordenante y su proveedor de servicios de pago, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante le devolverá de inmediato el importe de la operación no autorizada y, en su caso, restablecerá en la cuenta de pago en que se haya adeudado dicho importe el estado que habría existido de no haberse efectuado la operación de pago no autorizada."

Expuesto lo anterior es necesario señalar en primer lugar que tal como resulta de la documentación que consta en autos, y de la propia grabación telefónica, la activación de las tarjetas telefónicas se realizó por el banco al recibir la llamada telefónica fraudulenta, por tanto, dicha activación no se efectúa directamente a través de internet con las claves de la cliente.

No existe un elemento clave aportado en autos, que es el contrato de banca a distancia "on line" firmado por el cliente, es decir se desconoce no solo los términos del mismo, sino la propia existencia de dicho contrato, respecto a este extremo Doña Evangelina ha manifestado en el acto de la vista que ella no podía hacer transferencia por internet, que siempre llamaba telefónicamente al banco, para efectuar dicha transferencia y que después lo confirmaba por correo electrónico.

Es decir, se desconoce cómo se efectuó la entrega de la denominada "firma electrónica" a la actora, ya que esta afirma que no podía efectuar operaciones en la "banca electrónica", que solo podía entrar en sus cuentas.

La obligación de acreditar este extremo corresponde a la entidad financiera, por tanto, no se puede imputar negligencia a la actora en la custodia de sus claves, cuando no está acreditado que se las hubieran facilitado a la misma y por tanto que tuviera conocimiento de ellas.

Por otra parte, escuchada la grabación que consta en autos, no queda acreditado que la entidad financiera hubiera actuado con la diligencia debida, si tenemos en cuenta, que, a lo largo de dicha conservación, tiene que hablar la persona que efectúa la llamada hasta con tres personas diferentes, siendo requerido únicamente por la primera sobre su número de pasaporte y dos claves de la firma electrónica, sin que posteriormente se efectuara nuevos controles de seguridad.

Controles de seguridad, que se tenían que haber aumentado, si tenemos en cuenta que las tarjetas se habían solicitado solo dos días antes de la activación de las mismas, que por tanto dichas tarjetas físicamente no habían sido entregadas a su titular, y que nos encontramos ante un cliente que no consta que hiciera habitualmente uso de la banco on line.

Es necesario señalar como se refiere Audiencia Provincial de Lleida en su sentencia núm.- 30/2022, de 17 de enero, que los parámetros interpretativos comunes seguidos por los tribunales responden al siguiente esquema:

1).- Como punto de partida, la normativa de consumo aplicable y la naturaleza adhesiva del contrato, con significativa referencia a los artículos 1281 y siguientes del Código Civil y al principio de interpretación a favor de la parte más débil en la relación contractual.

2).- El examen de la seguridad del sistema y las fugas del mismo, teniendo presente el hecho de que las entidades bancarias tienen la doble condición de beneficiarias y de generadoras de riesgo.

3).- El régimen de las respectivas obligaciones de las partes. En lo que al consumidor se refiere, el nivel de diligencia exigible -en términos generales- es la del buen padre de familia, mientras que respecto de la entidad bancaria la diligencia exigible es la del profesional.

4).- Las reglas de la carga de la prueba, esto es qué debe acreditar cada una de las partes litigantes en este tipo de asuntos.

En materia de carga de la prueba la sentencia de la Audiencia Provincial de Alicante de 12 de marzo de 2018 señala: "Y es que no es cierto que la carga de la prueba sobre la implementación de medidas de seguridad adecuadas, suficientes, eficientes y actuales al nivel de riesgo modalidades de ataques informáticos en la red bancaria de banca online lo sea a cargo del usuario del sistema, pues el marco de responsabilidad establecido para el caso de operaciones de pagos hechos por proveedores de servicios no autorizadas o ejecutadas incorrectamente, es el de la cuasi-objetividad tal cual se desprende de la regulación específica sobre la materia -a la que seguidamente aludiremos-, sin perjuicio del régimen general de la carga de la prueba. Tres son las razones que abogan la contrariedad del argumento del recurrente, a saber, el contenido del precepto que se dice infringido - art. 217 LEC- y, por llamada del mismo, la legislación de consumo y la legislación específica de servicios de pago. Por lo que hace al contenido del art. 217 LEC, hemos de recordar que el párrafo séptimo establece que " para la aplicación de lo dispuesto en los apartados anteriores de este artículo el Tribunal deberá tener presente la disponibilidad y facilidad probatoria que corresponde a cada una de las partes del litigio". Para valorar el alcance de esta norma al caso hemos de entender que la regla general aplicable a la prestación de servicios que no tenga adjetivada una especial peligrosidad o requiera de un particular cuidado ha de ser la regla general del art. 217 LEC, de manera que cuando se trata de prestaciones contractuales o no contractuales, del tenor del art 1101 y 1902 CC. en relación al art. 217 LEC se desprenderá que corresponde al perjudicado demandante la carga de la prueba de la culpa del causante del daño demandado. Ahora bien, no es así cuando "una disposición legal expresa" -art 217.6- imponga al demandado la carga de probar que hizo cuanto le era exigible para prevenir el daño; o cuando tal inversión de la carga de la prueba venga reclamada por los principios de "disponibilidad y facilidad probatoria " a los que se refiere el artículo 217.7 LEC, y ello sin perjuicio de que en aplicación de lo dispuesto en el artículo 386 LEC el tribunal pueda imputar la culpa al demandado del resultado dañoso acaecido cuando, por las especiales características de éste y conforme a una máxima de la experiencia, pertenezca a una categoría de resultados que típicamente se produzcan (sean realización de un riesgo creado) por impericia o negligencia, y no proporcione el demandado al tribunal una explicación causal de ese resultado dañoso que, como excepción a aquella máxima, excluya la culpa por su parte. La lógica de la norma de acceso a la fuente de la prueba y facilidad probatoria en lo que hace a la implementación de medidas de seguridad en la prestación de un servicio que se da por las entidades de crédito a sus clientes a través de una oficina virtual que se desenvuelve en redes bien de internet, bien de comunicaciones móviles, se presenta como criterio más que de razonable atención al caso en el que la propia seguridad y debida reserva de la red se contrapone al acceso por parte de un tercero distinto al titular de la misma que asume poner en la red pública un conjunto de comunicaciones para permitir operaciones bancarias que requiere de soluciones tecnológicas muy avanzadas que minimicen las amenazas contra la autenticidad, integridad y la confidencialidad de los datos que circulan a través de la red. Por otro lado, el apartado 6 del artículo 217 LEC dispone que las normas contenidas en los apartados precedentes "se aplicarán siempre que una disposición legal expresa no distribuya con criterios especiales la carga de probar los hechos relevantes". (...) Así resulta además del particular régimen jurídico de responsabilidad en la prestación de servicios de pago que, con la llamada del 217.6 LEC, penetra en la configuración de la específica modalidad de responsabilidad que asume este prestador y con ello, la variación del régimen legal del sistema de gravamen probatorio (...)".

En el supuesto enjuiciado la discrepancia se centra, como ya hemos visto, en si el comportamiento seguido por Doña Evangelina debe ser calificado como negligente, pues como señala la parte apelante, la negligencia de la misma se centra en facilitar o permitir el acceso a un tercero de su número de pasaporte y de su clave electrónica.

Sin embargo, como ya se señalado en los párrafos anteriores no se ha apreciado en la demandante un comportamiento suficientemente negligente para hacerle responsable del menoscabo sufrido. Téngase en cuenta que es jurisprudencia reiterada en interpretación de la Directiva (UE) 2015/2366 , sobre normas técnicas de regulación para la autenticación reforzada, de aplicación al supuesto enjuiciado, que la negligencia que determina la responsabilidad del cliente es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional. En el presente supuesto no se ha probado la negligencia de la demandante, ya que como se ha señalado no se ha acreditado que a la misma se le haya entregado de manera suficientemente segura la clave electrónica, ni que la misma tuviera conocimiento de la misma.

Por último, al no apreciarse por las razones expuestas negligencia en la actuación de Doña Evangelina por los motivos expuestos en los párrafos anteriores, no existe razón para apreciar concurrencia de culpas a los efectos de minorar en un 50% la responsabilidad de la entidad financiera.

Por lo expuesto procede desestimar el recurso de apelación interpuesto.

QUINTO. Con imposición a la recurrente de las costas causadas en segunda instancia, conforme a lo dispuesto en el art. 398.1, en relación con el art. 394.1 de la LEC .

Vistos los artículos citados y demás de general y pertinente aplicación en nombre de S.M El REY