Sentencia Civil 497/2025 Audiencia Provincial Civil de Barcelona nº 17, Rec. 1760/2024 de 02 de septiembre del 2025

PRIMERO.-El Sr. Calixto y la Sra. Rosario interpusieron demanda contra BANKINTER S.A., solicitando:

"1.- DECLARI l'incompliment de les obligacions legals i contractuals que li eren de compliment així com la responsabilitat de l'entitat financera demandada en la incorrecta custòdia i execució de les operacions realitzades contra els comptes de la meva principal, no autoritzat per ella.

2.- CONDEMNI, com a conseqüència de l'anterior, a l'entitat demandada a abonar a la meva representada per concepte de tots els danys i perjudicis causats als demandants, en l'import de 5.102,71 € € junt amb els interessos legals des de la reclamació extrajudicial escrita efectuada el 15 de febrer de 2023.

3.- CONDEMNI l'entitat al pagament de les costes causades a aquesta part."

Exponen que la Sra. Rosario recibió a las 21h del día 9 de enero de 2023 un mensaje SMS de Bankinter en su teléfono informándole de un ingreso de 2.900 € a la cuenta corriente, titularidad común del matrimonio. Que era la actuación de unos ciberdelincuentes, que realizaron una disposición de la tarjeta, y posteriormente hicieron una compra por importe total de 4.900 €, en una plataforma de adquisición de Bitcoins ( Binance). Que estas operaciones no fueron autorizadas por el matrimonio. Que lo comunicaron inmediatamente, primero a la entidad bancaria para anular la tarjeta y, al día siguiente a los Mossos d'Esquadra. Que BANKINTER dijo al Sr. Calixto que debía dirigirse presencialmente a su oficina, y allí le dijeron que ellos no habían ordenado los movimientos, y aunque el cargo de los 4.900 € aún no se había hecho efectivo, y los reclamantes pidieron que no se hiciera, la demandada hizo caso omiso.

Consideran que unos movimientos tan lejanos a su actividad habitual tendrían que haber hecho activar las alarmas protocolos necesarios para identificar si se había producido un movimiento no autorizado y fraudulento, para poder reaccionar y retrotraer el importe de forma inmediata. Pero, como han relatado los peritos en el informe que acompañan, han sucedido dos acontecimientos que han permitido que un tercer aceda a las credenciales de los demandantes pudiendo así ordenar transferencias en su nombre, sin conocimiento ni consentimiento de los Clientes: un engaño deliberado de un ciberdelincuente, que introdujo un malware bancario en el dispositivo de confianza del Cliente, y la debilidad de los sistemas de autenticación actualmente utilizados por la entidad, vinculados únicamente a una clave de acceso fácilmente modificable en un dispositivo móvil con el envío de un SMS, que a pesar de denominarse "código de verificación", "codigo de seguridad", es un mero número enviado per SMS a un número de móvil, lo que evidencia que el sistema de custodia y seguridad de las credenciales de acceso a la Banca Online empleado por la entidad bancaria, que está obligada a la custodia del capital depositado es absolutamente insuficiente, pues no alertó a los Clientes.

Invocan el artículo 45 del RDL 19/2018, que recoge la respuesta que ha de adoptar el proveedor de servicios de pago en supuestos de operacions no autoritzadas, como sucede en el presente caso: "1. Sin perjuicio del artículo 43 de este real decreto -ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine. En su caso, el proveedor de servicios de pago del ordenante restituirá la cuenta de pago en la cual se haya efectuado el adeudo al estado en el que se habría encontrado de no haberse efectuado la operación no autorizada."

Reclaman el importe de 4.900.- €, más los perjuicios sufridos, por un total de 202,71 € adicionales. Así, la comisión de disposición de 87 € y una primera cuota, de solo intereses, de 30,62 €. Y como trataron de minimizar este coste en concepto de intereses, han tratado de amortizar la totalidad de esta disposición en 3 pagos de una cuota de 995,03 € cada uno, y esta disposición ha supuesto un coste total adicional de otros 85,09 € en concepto de intereses remuneratorios,

BANKINTER S.A. opone:

- EXCEPCIÓN DE FALTA DE LEGITIMACIÓN PASIVA DE BANKINTER.

Considera que se ha hecho una disposición con cargo a una tarjeta de crédito que nunca fue contratada con BANKINTER SA, y cuya disposición, según afirman los demandantes, les ha causado una serie de perjuicios económicos que cifran en 202,71.-€. La tarjeta de crédito utilizada para realizar aquel movimiento de traspaso de 2.900 a la cuenta corriente la contrató el Sr. Calixto con BANKINTER CONSUMER FINANCE EFC, S.A. Que, el hecho de haberse efectuado el movimiento de traspaso a cuenta corriente desde una tarjeta de crédito que no es de BANKINTER, siendo la acción que se ejercita la de responsabilidad contractual, le deslegitima para ser demandado.

- EXCEPCIÓN DE FALTA DE LEGITIMACIÓN ACTIVA DE Rosario

Considera que como el único titular de las tarjetas de crédito y débito, con cargo a la cuales se realizaron los dos movimientos supuestamente fraudulentos que el Sr. Calixto describe en su denuncia ante los Mossos d'Esquadra, es él mismo, tratándose de una acción de responsabilidad contractual, y no siendo titular de dichas tarjetas de crédito y débito la Sra. Rosario, ésta carece de legitimación activa alguna para reclamar e interponer la demanda

CON CARÁCTER SUBSIDIARIO, y para el caso que no se estimara la falta de legitimación pasiva esgrimida, considera que tampoco tiene responsabilidad porque, a la vista del examen de la documentación aportada por las partes, hay un único hecho cierto e inatacable: las transacciones de pago que traen causa de la reclamación fueron realizadas única y exclusivamente por el Sr. Calixto o por un tercero autorizado por el propio demandante, no siendo fruto de una incidencia ni fallo de los sistemas de Bankinter, S.A. Niega que la operación de traspaso de 2.900.-€ desde la tarjeta de crédito del Sr. Calixto a su cuenta corriente no fuera realizada o autorizada por él mismo, no siendo cierto que únicamente recibiera un mensaje sms informando de la realización de esta, como si él no hubiera mediado o intervenido en la realización de la misma. Que, contrariamente a lo que afirman los demandantes, fue el propio Sr. Calixto el que autorizó y consintió la compra / pago en el comercio electrónico BINANCE por importe de 4.900.- €, no limitándose su intervención a la simple recepción de un SMS indicándole que se había realizado un pago, porque el PIN de una tarjeta de crédito o de débito es el código que necesariamente se le solicita a cualquier cliente que quiere efectuar un pago o compra con su tarjeta a través de una web, para asegurarse que es el mismo usuario o titular de una tarjeta quien autoriza el pago o compra. El Sr. Calixto autorizó la compra al introducir el PIN de su tarjeta al entrar en el enlace que contenía el SMS recibido y una vez en dicho enlace introducir el PIN de su tarjeta.

La sentencia de instanciaestima la demanda, argumentando:

"- Excepción de falta de legitimación activa de la Sra. Rosario y de falta de legitimación pasiva de BANKINTER.

No se admite la excepción planteada porque se está reclamando un daño sufrido también por la Sra. Rosario, cotitular de las cuentas y del dinero que ha perdido y cuya responsabilidad solicita que sea de la demandada.

El demandado también excepciona su legitimación pasiva de la pretensión interesada en la demanda porque "En el presente procedimiento se ha hecho una disposición con cargo a una tarjeta de crédito que nunca fue contratada con BANKINTER SA (sino con

BANKINTER CONSUMER FINANCE EFC, S.A.) y cuya disposición, según afirman los demandantes, les ha causado una serie de perjuicios económicos que cifran en 202,71.-€."

El documento 8-D es la contestación de Bankinter recordando a la demandante sus obligaciones de custodia de la tarjeta de crédito y que es responsable por su uso negligente. El documento 10-D es otra respuesta de Bankinter rechazando la responsabilidad. Por otra parte, la demandada dispone de todos los registros de acceso y uso de la tarjeta, pues los ha aportado al procedimiento. Asimismo, el actor, cliente de la entidad únicamente se ha relacionado con la oficina de la entidad BANKINTER.

En tanto que el actor tiene la condición de consumidor y que es cliente, sin más, de Bankinter, no cabe esgrimir argumentos dotados de tintes acusadamente formalistas para rechazar la legitimación que se discute, como tampoco cabe exigirle que conozca el entramado financiero en función de su actividad (servicios bancarios y emisora de tarjeta de crédito respectivamente), con empresas con el que comparten la designación preponderante de Bankinter, máxime cuando éstas han actuado unitariamente o mejor dicho, es la demandada a través de sus oficinas y empleados la que ha actuado en nombre de las dos, y cuando ha aceptado extraprocesalmente su legitimación pasiva en un acto propio que ahora no puede contradecirse (en el mismo sentido, la SAP León, s.1, de 9 de junio de 2022 ).

- Estimación de la demanda.

Tal y como se desprende de la mencionada regulación, en caso de operaciones no autorizadas, la responsabilidad de la entidad bancaria es de naturaleza cuasi objetiva o de riesgo por razón legal ( SAP Alicante, s.8, de 12 de marzo de 2018 y SAP de Zaragoza, Sec. 5ª, S. 01-07-2022, nº 804/2022, rec. 1130/2021 ). La obligatoria obligación de restitución inmediata al usuario de una operación no autorizada se excepciona al único caso de que haya actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, la obligación de custodiar las claves personales con todas las medidas razonables.

(...)

Con el anterior marco de referencia, valorando las pruebas del procedimiento, estimo que la entidad demandada ha incurrido en responsabilidad por los motivos que siguen:

1.- Considero probado por el informe pericial (documento 7-D) y las explicaciones del perito en el acto del juicio que el dispositivo móvil donde se recibieron los SMS fraudulentos resultó infectado desde el 7 de enero de 2023 por un malware con la capacidad de emular el acceso a la banca online de multitud de entidades bancarias, capturando las credenciales y suplantar la identidad del usuario realizando y validando operaciones bancarias no autorizadas. Debo admitir, con todo, que concurren dudas de hecho sobre el mecanismo concreto del fraude porque como dice la entidad bancaria se ha de disponer de la numeración de la tarjeta para poder incluir los datos en cualquier servidor de pago y estos no deberían resultar del dispositivo infectado.

Sin embargo, ante un fraude bancario, el usuario debe interponer una denuncia y posteriormente una reclamación ante su entidad bancaria. La entidad tiene un plazo de quince días para resolver la reclamación ( Art. 69 LSP ). Esto lo hizo diligentemente el actor llamando a la entidad bancaria el mismo día en que advirtió del movimiento no autorizado, acudiendo al día siguiente a la oficina solicitando la anulación y presentando denuncia ante los Mossos de Esquadra. Esto ya sería suficiente para estimar la responsabilidad del banco porque el movimiento fraudulento se produjo el día 12 de enero, 4 días después de ser advertida la entidad bancaria, y sin que ésta hubiera justificado qué inconveniente tuvo para retrotraer o anular la operación.

2.- Por otra parte, no se puede estimar una negligencia grave del usuario cuando ha sido objeto de una estafa y de un malware informático que controlaba el dispositivo móvil, tal y como ha acreditado el informe pericial aportado con la demanda. La negligencia grave del usuario que exoneraría a la entidad bancaria demandada "es la que se deriva de una conducta caracterizada por un grado significativo de falta de diligencia, lo que supone que la misma surge o se produce por iniciativa del usuario, no como consecuencia del engaño al que ha sido inducido por un delincuente profesional (...)" ( SAP de Madrid, Sec. 20ª, nº 184/2022, de fecha 20/5/2022, Rec. 945/2021 ). Dicho de otra forma, el usuario no incurre en iniciativa ni negligencia grave cuando ha sido víctima de un engaño.

3.- En relación al fraude que comete un tercero, la normativa aplicable tiene en cuenta que las prácticas delictivas son cada vez más sofisticadas y difíciles de detectar más para el usuario que carece de conocimientos informáticos y menos para la entidad bancaria que debe estar constantemente actualizando sus medios de seguridad. En este sentido, la Directiva 2015/2366 , sobre Servicios de Pago en el Mercado Interior (DSP2), los Considerandos (7), (33), (69), (91) y (95) advierten que, ante el incremento de los riesgos de seguridad debido a la mayor complejidad técnica de los pagos y fraudes, es esencial disponer de servicios de pago fiables y seguros, de forma que los usuarios gocen de la debida protección frente a los riesgos inherentes a estos nuevos medios de pago. Y en particular, obliga a los proveedores de servicios de pago a realizar controles adecuados para gestionar sus riesgos operativos y de seguridad (Art. 96 DSP2). En desarrollo de estas obligaciones, el Reglamento Delegado 2018/389, de 27 de noviembre de 2017, que complementa la DSP2 en lo relativo a las normas técnicas para la autenticación reforzada de cliente, establece la obligación de realizar un análisis de riesgo en tiempo real basado en el análisis de operaciones y en los elementos que caracterizan al usuario en un contexto de uso normal de las credenciales de seguridad. Ese análisis de riesgo debe tener en cuenta los siguientes factores: (i ) importe de las operaciones, (ii) supuestos conocidos de fraude conocidos, (iii) gastos o pautas de comportamiento anormales en el ordenante, (iv) información inusual sobre el dispositivo o programa informático de acceso del ordenante, (v) infecciones por programas informáticos maliciosos en cualquier sesión del procedimiento de autenticación, (vi) supuestos conocidos de fraude en la prestación de servicios de pago, (vii) una ubicación anormal del ordenante, y (viii) una ubicación de alto riesgo del beneficiario.

En el presente caso, relacionado con un malware que toma el control del dispositivo móvil del usuario, el perito del actor explicó que la verificación en 2 pasos no es seguro, pues se parte de la convicción de que el SMS se envía correctamente al móvil del cliente bancario, cuando éste no sabe ni conoce que está siendo objeto de un fraude bancario. Siendo esto así, el actor ha demostrado que el movimiento de 4.900 euros conjugado con una disposición de la tarjeta es anormal y extraño a las pautas del usuario tanto en su operativa como en el importe. También ha demostrado que los accesos al servicio de pagos de la entidad bancaria son desde una IP extranjera (Turquía) y la IP española, en el periodo de tiempo analizado, lo que representa una "ubicación anormal del ordenante".

Estas circunstancias no han sido discutidas por la demandada y no ha aportado prueba alguna de las medidas de alarma que tenía implementadas para poder gestionar de forma responsable la orden de pago, anormal en relación a su cliente-usuario. Es más, el mismo día 9 de enero recibió la llamada del usuario y al día siguiente se personó en la oficina informando que la operación no estaba autorizada, aportando la denuncia ante la policía, y todo ello cuando el movimiento fraudulento tuvo lugar posteriormente, el día 12 de enero."

SEGUNDO.-La representación de BANKINTER S.A. expone en su RECURSOlos siguientes motivos:

- EXISTENCIA DE FALTA DE LEGITIMACIÓN PASIVA. ERROR JURÍDICO. INTERPRETACIÓN ERRÓNEA DE LA PRUEBA.

Considera que, los documentos nº 2 y 12 a 15 aportados con el escrito de demanda acreditan, que la tarjeta titularidad del Sr. Calixto con la que se efectuó una primera disposición de 2.900 euros a crédito ("movimiento smart cash") para su abono en cuenta corriente, estaba contratada por el Sr. Calixto con BANKINTER CONSUMER FINANCE EFC, SA. Por ello, BANKINTER SA no puede ser nunca condenado al pago de dicha cantidad de 2.900 euros, porque ninguna responsabilidad se le puede reclamar al no haber intervenido en la contratación de la tarjeta de crédito y carecer de obligaciones legales y contractuales respecto de aquella disposición a crédito. Que, el hecho que BANKINTER SA y BANKINTER CONSUMER FINANCE, E.F.C., S.A. pueda formar parte de un mismo grupo empresarial, no es causa suficiente ni necesaria en derecho para desestimar la excepción de falta de legitimación pasiva. Invoca la Sentencia del Tribunal Supremo (Sala de lo Civil) núm. 104/2022 de 8 de febrero (ROJ: STS 388/2022) que en su Fundamento de Derecho Noveno trata sobre la cuestión de la legitimación pasiva cuando se demanda a una compañía perteneciente al mismo grupo que la titular de la relación jurídica controvertida y con la que comparte al menos parcialmente la denominación.

- EXISTENCIA DE FALTA DE LEGITIMACIÓN ACTIVA. ERROR JURÍDICO. INTERPRETACIÓN ERRÓNEA DE LA PRUEBA.

Insiste en que la acción que se ejercita es contractual, no extracontractual, y la Sra. Rosario no es titular de las tarjetas con las que se efectuaron las disposiciones. Que, la Sra. Rosario, pese a ser cotitular de la cuenta corriente asociada vinculada a las tarjetas titularidad del demandante Sr. Calixto, no ha sufrido perjuicio alguno que reclamar pues el dinero de la primera disposición por "smarth cash" (cargo con tarjeta de crédito) no era de su propiedad, ya que el titular del medio de pago era el Sr. Calixto. Y la Sra. Rosario, pese a ser cotitular de la cuenta corriente asociada vinculada a las tarjetas titularidad del demandante Sr. Calixto, no ha sufrido perjuicio alguno que reclamar pues el dinero de la segunda disposición con cargo a la tarjeta de débito no era de su propiedad, ya que el titular del medio de pago era el Sr. Calixto.

- INTERPRETACIÓN ERRÓNEA DE LOS HECHOS Y SU PRUEBA. EXISTENCIA DE NEGLIGENCIA GRAVE EN EL DEMANDANTE.

Considera que el Sr. Calixto INCURRIÓ EN NEGLIGENCIA GRAVE al permitir, según la versión de los demandantes, sin remedio previo ni solución posterior, que un virus se instalara en su móvil y propiciara el robo de datos personalísimos y credenciales que permitió los movimientos que los demandantes afirman como fraudulentos y cuyos importes reclaman a BANKINTER. Que el Sr. Calixto incumplió gravemente con una de sus obligaciones más elementales: la guarda y custodia de sus datos personalísimos y credenciales al instalarse una aplicación, absolutamente ajena a Bankinter, que contenía un virus malicioso que propició quedarán al descubierto aquellos datos personalísimos y credenciales, según afirma el perito de los demandantes, permitiendo asimismo que el software malicioso se hiciera con el control del terminal móvil.

- INCORRECTA O INDEBIDA APLICACIÓN DEL DERECHO Y LA JURISPRUDENCIA A LOS HECHOS EFECTIVAMENTE ACECIDOS. INEXISTENCIA DE NEGLIGENCIA POR PARTE DEL BANCO.

Invoca el artículo 46 de la Ley 19/2018 de Servicios de Pago "el ordenante soportará todas las pérdidas derivadas de operaciones de pago no autorizadas si el ordenante ha incurrido en tales pérdidas por haber actuado de manera fraudulenta o por haber incumplido, deliberadamente o por negligencia grave, una o varias de las obligaciones que establece el artículo 41".

- INDEBIDA CONDENA AL PAGO DE LAS COSTAS.

Con carácter subsidiario, y sin que ello deba ser entendido como asunción o aceptación de responsabilidad alguna en los hechos enjuiciados, ni como reconocimiento o aceptación de las tesis y fundamentos de la sentencia recurrida, para el caso de ser confirmada aquella sentencia por esta Sala, entiende que debe ser revisado y corregido el pronunciamiento en cuanto a la condenada de las costas de Instancia se refiere, por las dudas que se generan ante una estimación de la demanda cuando: 1) la misma ha sido interpuesta frente a quien no es emisor de la tarjeta de crédito en virtud de cuya contratación y relación contractual se interpone la demanda; 2) la misma ha sido interpuesta por quien no tienen título ni legitimación alguna para interponerla; 3) el único motivo o causa de las operaciones efectuadas con medios de pago fue la instalación por el propio demandante de un virus en su móvil (móvil a su vez desprotegido por no disponer de un antivirus).

TERCERO.-Respecto a la LEGITIMACIÓN PASIVA DE BANKINTER, y ACTIVA DE LA Sra. Rosario.

La parte actora demanda sobre la base de la responsabilidad civil incurrida al no hacer lo necesario para conservar el numerario de la cuenta de la que son titulares, al venir BANKINTER obligado a conservar el dinero allí depositado, y asimismo, se acciona en méritos a ser también proveedor de servicios de pago, en relación a dicho contrato de cuenta corriente y a los servicios de banca digital incluidos, por lo que no se centra la demanda en las tarjetas y su uso, que es solo uno de los servicios contemplados en el contrato, pero respecto del cual también asume BANKINTER responsabilidades contractuales y por ende legitimación pasiva de la entidad bancaria y activa de la Sra. Rosario. En el contrato cuenta corriente (dto. 2 de la demanda), se hace referencia a la vinculación de ese contrato con las tarjetas de crédito/débito de los contratantes. De hecho, la tarjeta de débito se referencia solo a BANKINTER (dto. 3 de la demanda). Y para consumar el fraude los ciberdelincuentes han hecho uso de las dos tarjetas, la de crédito y la de débito, como se detalla en la contestación a la demanda. Además, la responsable de la mecánica del proceso de contratación electrónica es la parte demandada, que es con quien tienen contratado los demandantes el servicio de banca electrónica.

Asimismo, la legitimación pasiva deriva de los actos propios previos a la Litis. Es el servicio de atención al cliente de BANKINTER, quien responde a los demandantes (dtos. 8 y 10 de la demanda), indicando que "la entidad ha cumplido con la obligación de autentificación reforzada que le es exigida a las entidades financieras por la actual normativa de servicios de pago".Por tanto, la entidad demandada ha venido admitiendo y no cuestionando su pasiva legitimación que ahora no puede obviar ni contradecir ( SAP de Barcelona sección 17 del 11 de abril de 2024 ( ROJ: SAP B 4144/2024 - ECLI:ES:APB:2024:4144): "A esta última se refiere la sentencia del Tribunal Supremo núm. 320/2020, de 18 de junio , cuya doctrina es ratificada en las sentencias 300/2022, de 7 de abril , y 578/2022, de 26 de julio , que señalan al respecto:

"La doctrina de los actos propios tiene su último fundamento en la protección de la confianza y en el principio de la buena fe, que impone un deber de coherencia y limita la libertad de actuación cuando se han creado expectativas razonables ( SSTS de 9 de diciembre de 2010 y 547/2012, de 25 de febrero de 2013 ). El principio de que nadie puede ir contra sus propios actos solo tiene aplicación cuando lo realizado se oponga a los actos que previamente hubieren creado una situación o relación de derecho que no podía ser alterada unilateralmente por quien se hallaba obligado a respetarla (SSTS 9 de diciembre de 2010, RC n.º 1433/2006 , 7 de diciembre de 2010, RC n.º 258/2007 ). Como afirmamos en la sentencia de 25 de febrero de 2013 , [...], dicha doctrina "significa, en definitiva, que quien crea en una persona una confianza en una determinada situación aparente y la induce por ello a obrar en un determinado sentido, sobre la base en la que ha confiado, no puede pretender que aquella situación era ficticia y que lo que debe prevalecer es la situación real".)

A esta conclusión se ha llegado en supuestos semejantes ( SAP Barcelona Sec. 17ª 597/2024 de 12 de septiembre de 2024 (ECLI:ES:APB:2024:11376 ); SAP Madrid Sec. 25ª 133/2024 de 15 de marzo de 2024 (ECLI:ES:APM:2024:4197); SAP Huelva Sec. 2ª 97/2024 de 8 de febrero de 2024 (ECLI:ES:APH:2024:109)o SAP Girona Sec. 1ª 276/2024 de 17 de abril de 2024 (ECLI:ES:APGI:2024:617)que refleja lo indicado en la SAP Girona Sec. 2ª 62/2024 de 31 de enero de 2024 (ECLI:ES:APGI:2024:80)

"El fet que Caixabank es valgui de societats filials (en aquest cas, Caixabank Payments) per la gestió d'emissió de targetes o d'altres actuacions relacionades amb el contracte subscrit entre el client i Caixabank és quelcom que no ha de perjudicar al consumidor qui, lògicament, confia en la seva relació contractual amb Caixabank, amb independència de l'actuació de caire intern que aquesta entitat faci a través de filials seves, directament vinculades a ella.

Però és que, a més, la demandant va concertar els contractes bancaris que es troben a la base de la reclamació formulada amb Caixabank. És Caixabank qui és suplantada en l'actuació de tercers, i és el número d'atenció al client de Caixabank el que és emprat per tercers per cometre el frau informàtic que és objecte d'aquest procediment. És també el servei d'atenció al client de Caixabank qui respon a les reclamacions extrajudicials que es formulen per raó dels fets que enjudiciem. I és Caixabank qui en aquest procediment facilita i aporta tots els contractes i dades del demandant en relació a la seva relació contractual bancaria, posant de manifest que té accés a tota la documentació que, en part, diu que correspon a una tercera entitat amb personalitat jurídica pròpia de la que mira de desvincular-se.

Els motius exposats en els dos paràgrafs anteriors porten a concloure, sense cap mena de dubte, que l'acció exercitada pel consumidor davant de Caixabank era plenament correcte, i abasta la totalitat d'operacions que li han comportat el perjudici pel qual reclama."

CUARTO.-Y respecto a la NEGLIGENCIA DEL CLIENTE O DEL BANcO, en anterior sentencia dictada por quien ahora también resuelve este recurso de apelación ( SAP Barcelona, 23 de septiembre de 2024), ya se dijo:

"... el art. 44 del Real Decreto-ley 19/2018,de 23 de noviembre ,de regulación de los servicios de pago y otras medidas urgentes en materia financiera, establece: "Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá al proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago"; y, en su punto tercero: "Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraudeo negligencia grave".El art. 45 de esta disposición normativa establece: "Sin perjuicio del artículo 43 de este Real Decreto -Ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraudey comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine".

Y el art. 46.2 de la misma norma indica, "Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta".Debe tenerse en cuenta que, conforme al Art.2.5 se considera autenticación reforzada: "la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes -es decir, que la vulneración de uno no compromete la fiabilidad de los demás-, y concebida de manera que se proteja la confidencialidad de los datos de identificación".

Como se recoge en la SAP, Navarra, sección 3, del 27 de mayo de 2024 :

"... en palabras de la Directiva 2015/2366 ,sobre servicios de pago en el mercado interior (Considerando 72), no basta con cualquier falta de diligencia o precaución en la custodia de las credenciales personales, sino que debe darse una conducta significativamente negligente.

De esta forma, "grave" sería la negligencia de quien toma la iniciativa a la hora de desproteger sus credenciales, o la negligencia de quien hace entrega de los datos y credenciales a un tercero que se muestra claramente como tal, como ajeno a la entidad bancaria mediante signos y evidencias suficientes de tal ajenidad. Pero no ostenta la misma "gravedad" relevante la negligencia de quien no actúa por iniciativa propia sino arrastrado por comportamiento fraudulento de tercero, mediante un mecanismo de fraudemuyespecífico y complejo, y de difícil detección, en el que es fácil ser víctima de un engaño ante la apariencia y creencia de oficialidad de la entidad, sin embargo, fraudulentamente aparentada por suplantación, sin que se aprecie en ello una cualificada negligencia."

Asimismo los procesos o mecanismos de autenticación de las operaciones de pago deben cumplir con los requisitos que establece el Reglamento Delegado (UE) 2018/389 , lo que exige:

a) Implementar las medidas de seguridad previstas en el artículo 1, que han de incluir el procedimiento de autenticación reforzada de clientes, pero también

b) Incluir mecanismos de supervisión de las operaciones que permitan al proveedor de servicios de pago detectar operaciones de pago no autorizadas o fraudulentas. A tal efecto el proveedor de servicios de pago ha de tener en cuenta la totalidad de los factores de riesgo enumerados en el artículo 2, y, entre ellos, el importe de las operaciones de pago y los supuestos de fraudeconocidosen la prestación de servicios de pago.

Como vemos el régimen normativo de aplicación a estos supuestos impone al banco una responsabilidad cuasi objetiva, de modo que sólo queda exonerado de responsabilidad en casos de grave negligencia del que resulta perjudicado, que se acerca a lo inexcusable, puesto que viene a excusar al consumidor de la negligencia en que pueda haber incurrido por facilitar sus datos personales y claves de confirmación o firma electrónica en virtud de la acción defraudatoria de terceros."

Se hacen propios los razonamientos de la resolución recurrida, anteriormente trascritos.

Resulta especialmente relevante respecto al incumplimiento por parte de BANKINTER, que, en su contestación a la demanda aporta el extracto de la cuenta de los actores, que puede observarse el movimiento de ingreso de 2.900.- €, el 9-1-2023, que motivó la advertencia a la entidad por parte de los demandantes, y la interposición de una denuncia, y a pesar de ello, el 12-21-2023 se hizo el cargo en cuenta de los 4.900.- €, aunque ya se había advertido de que se trataba de un fraude.

Además, por parte de la demandada no se ha acreditado que la demandante incurriera en negligencia grave, conforme a los criterios legales y jurisprudenciales expuestos, por lo que el recurso se desestima.

QUINTO.-Desestimado el recurso se condena en las costas ( art. 394.1 y 398.1 de la Ley de Enjuiciamiento civil) .