Sentencia que fue rectificada por auto de 18 de abril de 2024, en el sentido de imponer las costas a la parte demandada.
Dado traslado a las demás partes del escrito de apelación, se presentó escrito de oposición , remitiéndose por el Juzgado las actuaciones a esta Audiencia, con emplazamiento de las partes, que turnadas a esta Sección Primera, se formó el rollo correspondiente. Personadas las partes, quedaron las actuaciones sobre la mesa para dictar la resolución oportuna.
PRIMERO.- La sentencia del juzgado de Primera Instancia n.º 7 de Jaén, de 27 de marzo de 2024 -rectificada en cuanto a las costas por auto de 18 de abril de 2024-, estima la demanda y condena a la demandada a pagar a los demandantes la suma de 5.000 euros, más intereses del artículo 1.100 CC desde la fecha de la transferencia (5 de enero de 2023) y hasta la fecha de la sentencia, y los intereses del 576 desde la sentencia hasta la consignación judicial, con costas a demandada.
La entidad demandada formula recurso de apelacióncon sustento en los siguientes motivos:
1. No resuelve la excepción de falta de legitimación pasiva.
2. Incongruencia omisiva que justifica en que las entidades no pueden controlar los móviles y ordenadores de los clientes.
Acto seguido reitera lo ya expuesto en su escrito de contestación a la demanda, esto es que fue la negligencia del actor la que permitió la transferencia, lo que le hace único responsable. Afirma que la entidad entregó al cliente una clave de firma que el cliente debe custodiar y utilizar correctamente. Dice haber cumplido con el sistema de seguridad de doble autenticación ya que se enviaron los mensajes, uno por transferencia al número móvil identificado en el sistema, lo que acredita con el documento n.º 3 de la contestación a la demanda. Por el contrario, la parte demandante no ha aportado ni los SMS ni informe pericial que acredite los hechos. Discrepa de la valoración probatoria efectuada en sentencia.
- En su escrito de oposición a la apelación,la demandante sostiene que no existe falta de legitimación activa, ni incongruencia omisiva ni error en la valoración de la prueba.
SEGUNDO.- Se alega en el recurso que la sentencia recurrida no se ha pronunciado respecto de la falta de legitimación activa alegada en la contestación a la demanda.
Al respecto es preciso recordar el carácter preceptivo de solicitud previa de complemento de la sentencia dictada en instancia a tenor de lo dispuesto en el artículo 215 LEC. Ello como presupuesto previo para poder resolver en apelación los supuestos de incongruencia omisiva por falta de algún pronunciamiento en la sentencia de instancia.
En este sentido se pronuncia, entre otras, la sentencia de la Audiencia Provincial de Madrid de 18 de diciembre de 2023 y la de esta Audiencia Provincial de Jaén de 13 de diciembre de 2023,en la que se razona lo siguiente: "Habrá que advertir a las partes apelantes que de existir incongruencia, ante la omisión denunciada en esta instancia, las partes apelantes debieron de interesar el complemento de la sentencia recaída, a través de la vía contemplada legalmente a tal fin, regulada en el art. 215 de la LEC . (EDL 2000/77463)
Como señalaba la STS Sala 1ª, nº 230/2021 , de 27 abril (EDJ 2021/544526), no es admisible que una de las partes denuncie la falta de congruencia de la sentencia por omisión de pronunciamiento en el recurso de apelación sin antes haber deducido la petición de complemento de sentencia. En particular, dicha resolución expresa lo que sigue: "1.- El art. 215.2 LEC (EDL 2000/77463) otorga a las partes una vía para instar la subsanación de la incongruencia de la sentencia, por omisión de pronunciamiento, ante el mismo juez o tribunal que la dictó. Como declara la sentencia 411/2010, de 28 de junio : ?su utilización es requisito para denunciar la incongruencia de la sentencia en los recursos de apelación, conforme al artículo 459 LEC (EDL 2000/77463), y extraordinario por infracción procesal, conforme al artículo 469.2 LEC (EDL 2000/77463), de forma que la falta de ejercicio de la petición de complemento impide a las partes plantear en el recurso devolutivo la incongruencia omisiva ( SSTS de 12 de noviembre de 2008, RC n.º 113/2003 (EDJ 2008/209692 ) y 16 de diciembre de 2008, RC n.º 2635/2003 ) (EDJ 2008/282514)?. Doctrina jurisprudencial que hemos reiterado, entre otras, en las sentencias 712/2010, de 11 noviembre y 891/2011, de 29 de noviembre : "ante la incongruencia por omisión, la recurrente tenía la posibilidad de denunciar en la segunda instancia esta infracción mediante el ejercicio de la petición de complemento de la sentencia que prevé el artículo 215.2 LEC (EDL 2000/77463) - que utilizó para otras cuestiones- y que hubiera permitido su subsanación. No habiendo acudido a este procedimiento, la denuncia de esta infracción es inadmisible y, en el trance de dictar sentencia en que nos encontramos, debe ser desestimada ( STS de 16 de diciembre de 2008 [...])".
En el presente supuesto, no habiéndose interesado complemento alguno de la sentencia de instancia por la parte apelante, no puede hacer valer en esta alzada tal omisión. Procede por tanto el rechazo del motivo alegado.
- Por otro lado se alega incongruencia omisiva, justificándola en que la sentencia no se manifiesta respecto de la alegación contenida en la contestación referente a que la entidad no puede controlar los teléfonos móviles y ordenadores de los clientes.
Sobre este particular, recordar, tal y como se resolvió por esta Audiencia, entre otras en sentencia de 14 de febrero de 2024 ,que la congruencia o incongruencia de una sentencia sólo puede apreciarse y medirse mediante la comparación del fallo recaído con los pedimentos del suplico de la demanda (o reconvención, en su caso). Tal como señalábamos en nuestra sentencia de AP Jaén, 17-11-2005, con cita de las ( SSTC 161/1993 de 17 de mayo y 369/1993 de 13 de diciembre), el Art. 218 de la L.E.C exige que las sentencias sean claras, precisas y congruentes con las demandas y con las demás pretensiones de las partes, deducidas en el pleito. Por ello, cuando se trata de examinar si concurre o no una supuesta incongruencia en la resolución judicial, habrá de confrontarse su parte dispositiva y el objeto del proceso, delimitado por sus elementos subjetivo (partes) y objetivo (petitum y causa de pedir). (...) el órgano judicial debe pronunciarse sólo sobre lo pedido y únicamente en los límites de la tutela jurídica postulada, incurriendo en incongruencia con el reconocimiento en su fallo de un efecto o resultado cualitativamente diverso del pretendido por la parte en la tutela de su interés.
En el presente supuesto la sentencia se pronuncia sobre el pedimento declarativo contenido en la demanda de incumplimiento por la parte demandada de sus obligaciones contractuales y/o extracontractuales en virtud de normas del ordenamiento jurídico; y sobre el pronunciamiento de condena a pago de cantidad y costas.
La al parecer pretendida falta de argumentación de la sentencia sobre la alegación de que no puede la entidad demandada controlar los teléfonos móviles y ordenadores de los clientes, podrían suponer una falta de motivación ( artículo 218 LEC) . Pero es este un defecto distinto del alegado que, de existir, podría dar lugar a la nulidad de la sentencia, lo que tampoco se interesa.
Se desestima.
TERCERO.- El resto del recurso de apelación orbita sobre un pretendido error en la valoración de la prueba.
Razona la sentenciaestimatoria de la demanda que por aplicación de los artículos 44 y 45 del RDLey 19/2018, se produce una inversión de la carga de la prueba de forma que corresponde al proveedor de los servicios de pago demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, sin que se viera afectada por fallo técnico o deficiencia del servicio prestado por el proveedor. Además, afirma, tiene que probar que el cliente actuó con fraude o negligencia grave. A la vista de la prueba practicada, concluye que no se prueba la negligencia alegada por la parte demandada, pues se limitó a seguir las instrucciones que le mandaron para retirar los 411 euros, pinchando el link que se le envió, siendo en ese momento cuando los estafadores enlazaron con la cuenta del demandante, desde la que transfirieron los 5.000 euros. Que no lo autorizó el actor resulta del hecho de no haber recibido mensaje para autorizarla, pues no lo acredita el banco. Es por ello que concluye no se acredita negligencia por el actor y si por la demandada que no avisó de la transferencia que se estaba realizando, sobre todo si se tiene en cuenta el importe de la misma.
Reitera en esta alzadala recurrente los mismos argumentos ya valorados y tenidos en cuenta por el Magistrado de Instancia para estimar la demanda. Esto es que fue la negligencia del actor la que permitió la transferencia y lo que le hace único responsable. Que la entidad entregó al cliente una clave de firma que el cliente debe custodiar y utilizar correctamente. Dice haber cumplido con el sistema de seguridad de doble autenticación ya que se enviaron los mensajes, uno por transferencia al número móvil identificado en el sistema, lo que acredita con el documento n.º 3 de la contestación a la demanda. Por el contrario, la parte demandante no ha aportado ni los SMS ni informe pericial que acredite los hechos. Discrepa de la valoración probatoria efectuada en sentencia.
- Respecto del phising,técnica consistente en la obtención de forma engañosa y fraudulenta de los códigos de usuarios y contraseñas de clientes de Banca Electrónica para realizar transferencias no autorizadas, ya se ha pronunciado esta Audiencia Provincial entre otras en sentencias de 29 de febrero y 24 de abril de 2024.Se exponía en esta última: "... El reproche de la apelante a la sentencia se centra en que los demandantes -aunque habla con frecuencia de "el demandante"- ha incumplido el deber de custodia de las claves, por no haber empleado una "diligencia media", que hubiera evitado el éxito del defraudador.
Sobre esta cuestión, el Art. 41 RDL 19/2018, de 23 de noviembre , de servicios de pago y otras medidas urgentes en materia financiera, establece que "El usuario de servicios de pago habilitado para utilizar un instrumento de pago: a) utilizará el instrumento de pago de conformidad con las condiciones que regulen la emisión y utilización del instrumento de pago que deberán ser objetivas, no discriminatorias y proporcionadas y, en particular, en cuanto reciba un instrumento de pago, tomará todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas".
De esta forma, se impone al cliente la obligación de proteger razonablemente sus credenciales personales.
Ahora bien, frente a la tesis de la apelante consistente en que es exigible al particular un "diligencia media" la custodia de sus claves ("personales e intransferibles"), es común opinión de nuestra jurisprudencia que el régimen normativo de aplicación a estos supuestos impone al banco una responsabilidad cuasi objetiva o, en otros términos, como bien destaca la sentencia apelada, sólo queda exonerado de responsabilidad en casos de grave negligencia del que resulta perjudicado, que se acerca a lo inexcusable.
En este sentido, esta AP de Jaén, en muy reciente sentencia de 24 de febrero de 2024 , con cita de la anterior de 14 de diciembre de 2022 -rollo de apelación nº 1621/2022-, decía: "(...) se ha de partir de la consideración de que, con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago a través de banca "on line", el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi-objetiva, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso. Y así resulta de la siguiente reglamentación:
1º) el artículo 147 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, dispone: "Los prestadores de servicios serán responsables de los y perjuicios causados a los consumidores o usuarios, salvo que prueben que han cumplido las exigencias y requisitos reglamentariamente establecidos y demás cuidados y diligencias que exige la naturaleza del servicio", siendo indiscutido que los demandantes merecen la consideración de consumidores;
2º) el Art. 148 de la misma norma, según el cual "se responderá de los daños originados en el correcto uso de los servicios, cuando por su propia naturaleza, o por estar así reglamentariamente establecido, incluyan necesariamente la garantía de niveles determinados de eficacia o seguridad, en condiciones objetivas de determinación, y supongan controles técnicos, profesionales o sistemáticos de calidad, hasta llegar en debidas condiciones al consumidor y usuario";
3º) el Art. 44 del Real Decreto-ley 19/2018 , (...), con arreglo al cual "Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá al proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago"; y, conforme a su apartado tercero "Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraude o negligencia grave";
4º) el Art. 45 de la misma norma, que establece "Sin perjuicio del artículo 43 de este Real Decreto-ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine"; y
5º) el Art. 46.2 de la misma norma, conforme al cual "Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta"; teniendo en cuenta que, conforme al Art.2.5 se considera autenticación reforzada: "la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que sólo posee el usuario) e inherencia (algo que es el usuario), que son independientes -es decir, que la vulneración de uno no compromete la fiabilidad de los demás-, y concebida de manera que se proteja la confidencialidad de los datos de identificación"".
A tales efectos, se ha de tener en cuenta que, conforme al ya citado Art. 41 de la misma Ley, constituyen obligaciones del usuario de servicios de pago habilitado para utilizar un instrumento de pago, hacerlo en las que se establezcan y tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas; así como en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, habrá de notificarlo al proveedor de servicios de pago o a la entidad que este designe, sin demora indebida, en cuanto tenga conocimiento de ello. En tal sentido se pronuncia la SAP de Granada, secc 5ª, de 22 de junio de 2022 , con mención de la SAP de Alicante -Sección 8ª- núm. 107/2018, de 12 de marzo ".
- Con referencia al caso que nos ocupa, en primer lugar, alegándose por la demandada la exclusiva responsabilidad de los actores por infracción de sus deberes de custodia, se plantea si sobre el usuario de banca electrónica recae un deber de autoprotección, ya que es común que en estos supuestos de estafa informática se lleve a cabo, por parte de la víctima, una actuación que facilita la comisión del delito proporcionando las claves de manera involuntaria. Frente a ello, el Tribunal Supremo ha negado que se pueda culpabilizar a la víctima ni oponerse un deber de protección, y en este sentido se pronunciaba su sentencia nº 845/2014, de 2 de diciembre: «En lo relativo a las obligaciones de autoprotección que serían exigibles a la víctima, la jurisprudencia ha aceptado excepcionalmente en algunos casos la atipicidad de la conducta cuando el engaño es tan burdo, tan fácilmente perceptible, que hubiera podido ser evitado por cualquier sujeto pasivo con una mínima reacción defensiva, o, al menos, por un sujeto pasivo cualificado obligado a ciertas cautelas. Ahora bien, una cosa es la exclusión del delito de estafa en supuestos de "engaño burdo", o de "absoluta falta de perspicacia, estúpida credulidad o extraordinaria indolencia", y otra que se pretenda desplazar sobre la víctima de estos delitos la responsabilidad del engaño, y se le exija un modelo de autoprotección o autotutela que no esta definido en el tipo ni se reclama en otras infracciones patrimoniales". En palabras de la STS 482/2008, de 28 de junio, el principio de confianza o de la buena fe negocial que rige como armazón en nuestro ordenamiento jurídico, no se encuentra ausente cuando se enjuicia un delito de estafa. La ley no hace excepciones a este respecto, ni obliga al perjudicado a estar más precavido en este delito que en otros, de forma que la tutela de la víctima tenga diversos niveles de protección.
Es necesario examinar en cada supuesto si la maniobra engañosa, objetivamente valorada ex ante en relación con las circunstancias del caso, es idónea para causar el error. Esto es, para provocar en el sujeto pasivo una percepción errónea de la realidad, aun cuando los sistemas de autoprotección disponibles pudieran hipotéticamente haberlo evitado mediante una actuación especialmente cautelosa. Pues de lo que se trata es de establecer la idoneidad del engaño en el caso concreto, y no tanto de especular acerca de si era o no evitable.
Y en este caso el engaño que se describe fue idóneo para provocar el error.Siendo titulares los actores de un contrato marco para servicio de pago y apertura de cuenta personal para consumidores desde el 29 de junio de 2022, abierto en sucursal que Caja Rural tiene abierta en Cabra de Santo Cristo, con cuenta corriente acabada NUM000, también lo eran de un contrato de banco a distancia desde el 7 de septiembre de 2018. El 14 de noviembre de 2022, a través de la plataforma "Trades Universal", invirtieron 200 euros, lo que les generó beneficios por importe de 411 euros. Posteriormente, el 5 de enero de 2023, reciben llamada telefónica de quien se identificó como Fabio, quien decía actuar en nombre de la referida plataforma, pidiéndole que entrara en otra plataforma llamada "AnyDesk" para comunicarse virtualmente. Una vez ahí, le pidieron que entrara en una aplicación de mensajes para abrir un mensaje y cobrar así los 411 euros. Sin embargo, por la noche pudo comprobar como no sólo no le habían transferido los 411 euros, sino que, además, de su cuenta acabada en NUM000, le habían sustraído 5.000 euros mediante transferencia a otra CC. .. NUM001, de Caja Rural en Gijón, siendo beneficiaria una tal Gregoria, sin que el demandante la hubiera realizado o autorizado. Tampoco facilitó clave de seguridad alguna. Inmediatamente lo comunicó a la directora de la sucursal en Cabra de Santo Cristo y denunció por estafa.
- En segundo lugar,debe señalarse que la obligación de la entidad que presta el servicio, es la autenticación de la firma. Para ello deben disponer de los sistemas de seguridad que permitan detectar las transferencias y disposiciones no autorizadas. Estos sistemas deben hacer posible que la entidad detecte cuándo los elementos de autenticación hayan podido sustraerse al titular o hayan sido comprometidos. La obligación del banco de comprobar la veracidad de la firma cobra especial relevancia en el ámbito de banca electrónica, pues es la prestadora de servicios quien debe facilitar un sistema de banca telemática segura. No ha de olvidarse que en el phishing se usan técnicas para ganarse la confianza del usuario del instrumento de pago y aprovecharse de una simulación cada vez más perfeccionada. A ello debiera responderse por la entidad bancaria también con mecanismos de protección cada vez mayores y mejores. En esta línea, la SAP de Pontevedra de 1 de diciembre de 2022, señala que «A la hora de estudiar la concurrencia de negligencia grave del usuario del servicio de pago on line, partiendo del admitido criterio de responsabilidad cuasi-objetiva de la entidad en la prestación del servicio de banda virtual respecto a operaciones de pago como la transferencia, reiterada jurisprudencia considera que dicha negligencia debe ser grave en atención a las circunstancias demostradas del caso, atribuyéndose en todo caso la carga probatoria de la misma al proveedor del servicio con arreglo a Art. 217 LEC. En interpretación de directiva 2015/2366, la negligencia que hace responder al cliente es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que haya podido ser inducido por un delincuente profesional. (...). Ello destacándose la complejidad y grado de perfección que presenta en la actualidad el método de " phishing" de difícil detección por persona de formación media, así como el deber de la proveedora del servicio de dotarse de tecnología suficiente y adecuada con exigencia de medidas implantadoras activas, sin entenderse suficientes avisos generales o en página web de mero carácter informativo o divulgativo".
Pues bien, de la prueba practicada, si bien es posible evidenciar que la operación de pago no se vio afectada por fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago, sin embargo, no consta que la operación de pago fue autenticada, registrada con exactitud y contabilizada, ni que se hubiera producido una negligencia grave en el actuar de los actores que exonere de responsabilidad a la demandada, así como tampoco que hubiera proveído a los demandantes de los mecanismos de autenticación y supervisión suficientes (reforzados) para detectar y evitar la utilización fraudulenta de su medio de pago, como puede ser el dotarse de la tecnología antiphishing precisa para detectar las páginas o enlaces fraudulentos, impidiendo su acceso, lo que, de haberse producido, hubieran evitado que el defraudador pudiera hacerse con las credenciales del usuario del instrumento de pago por ella emitido, pues la rotura del enlace haría ya ineficaz cualquier conducta que frente al mismo pudiera observar el usuario receptor.
Ninguno de los documentos aportados junto a la demanda prueba que la transacción (en el recurso se refiere a transacciones en plurar cuando solo es objeto de controversia una por importe de 5.000 euros) fuera registrada y contabilizada con exactitud en sus archivos siendo autenticada correctamente. Tampoco consta, tal y como sostiene la parte demandada, que hubiera remitido sms/otp al teléfono de los actores.
Junto a la contestación se aporta el poder para pleitos; un certificado emitido por RSI (Rural Servicios Informáticos) fechado el día 2 de febrero de 2024, según el cual, el día 5 de enero de 2023, Caja Rural no comunicó a su delegado de protección de datos ningún incidente relacionado con una brecha de seguridad; una sentencia de la Audiencia Provincial de Santander; y un informe del Banco de España, fechado el 1 de marzo de 2022 (anterior a los hechos que nos ocupa), sobre una reclamación de un cliente de Caja Rural por su disconformidad con 18 movimientos, ocurridos en julio de 2021. Estos documentos en modo alguno acreditan, como pretende la parte demandada, haber registrado, contabilizado con exactitud y autenticado correctamente la transferencia por la que se demanda.
En conclusión, no se aprecia el error en la valoración de la prueba que se atribuye a la sentencia recurrida, por lo que no puede eximirse a la recurrente de la responsabilidad declarada por la sentencia recurrida, que debe ser confirmada.
CUARTO.- Dado el sentir de esta sentencia, por imperativo del artículo 398 de la L. E. Civil, habrán de imponerse al apelante las costas del presente recurso.
Por aplicación de la Disposición Adicional Decimoquinta, apartado 9 de la L. O. P. J., añadida por la Ley Orgánica 1/2009, de 3 de Noviembre, complementaria de la Ley de reforma de la legislación procesal para la implantación de la nueva Oficina Judicial, ante la confirmación de la resolución recurrida, se declara la pérdidadel depósito constituido por la parte apelante para recurrir, al que se dará el destino previsto en dicha Disposición.
Vistos los artículos citados y demás preceptos de pertinente y general aplicación,
