PRIMERO.-El actor interpone demanda en reclamación de 3.300 euros que le han sido detraídos de su cuenta corriente por operaciones realizadas a través de la banca on line con una de sus tarjetas, considerando ser víctima de una estafa conocida como phishing.
Alega:
1º) El Sr. Cristobal tenía suscrito dos contratos de tarjeta de crédito con la entidad Bankinter, S.A.: NUM000 y NUM001.
2º) En una verificación periódica y rutinaria de su cuenta bancaria y tarjetas, el día 30 de Mayo de 2023, mi principal se da cuenta de que hay un movimiento provisional anotado por importe de 3.300 euros en una de las tarjetas (la que acaba en NUM001). Al poco tiempo de dicha comprobación recibe un mensaje SMS aparentemente procedente de la entidad Bankinter en el que se le advierte de que "se ha detectado una actividad inusual en su cuenta, proceda a verificar su identidad (...)", al que le sigue un enlace. El Sr. Cristobal cliqueó en dicho enlace y, de manera casi automática, se puso en contacto con el mismo una persona que afirmó ser un empleado de Bankinter, S.A., desde un número de teléfono que se reconoce de modo expreso por la entidad bancaria demandada como de Bankinter, S.A.: ...
3º) En la conversación mantenida con el supuesto empleado de Bankinter, el mismo le solicita a mi principal el usuario y la contraseña de acceso al servicio de banca electrónica. Mi principal se niega a facilitar dichos datos.
Para ganar la confianza de mi principal, el supuesto empleado facilita al Sr. Cristobal los números completos de ambas tarjetas de crédito, la fecha de caducidad de ambas, así como el CVV de ambas también. Eso, unido al hecho de que el supuesto empleado se había puesto en contacto con mi principal mediante llamada efectuada al teléfono móvil de mi principal le indujo a modificar el comportamiento de éste en la confianza de toda la información sobre mi principal de que disponía el supuesto empleado de Bankinter.
4º) El supuesto empleado le facilita a mi principal una información falsa: Que, como había podido comprobar en la página del servicio de banca electrónica de Bankinter, S.A., se había efectuado una disposición por importe de 3.300,00 Euros mediante el uso de la tarjeta de crédito que acaba en NUM001.
Para resolver dicha ilícita disposición, el supuesto empleado le propone a mi principal la cancelación de la tarjeta sobre la que se había efectuado la disposición y, simultáneamente, efectuar un abono del importe ilícitamente dispuesto en el saldo de la tarjeta que no se cancelaba.
Para efectuar dicho abono, le informa que le remitirá un mensaje OTP por importe de 3.300 euros. Mensaje que es recibido por mi principal DESDE EL NÚMERO DE TELÉFONO DESDE EL QUE HA RECIBIDO OTROS MENSAJES ENVIADOS POR BANKINTER, S.A.
5º) Mi principal clica en el enlace que se acompañaba en el mensaje OTP anterior, como -en dichas circunstancias- hubiera hecho cualquier persona aplicando la diligencia media, la diligencia de un buen padre de familia. ...VIENDO QUE SE REMITE DESDE EL MISMO NÚMERO DE TELEFÓNO (DESDE EL MISMO HILO DE MENSAJES),cliquea en el enlace y acepta la operación, en la creencia de que se trataba de un abono en la tarjeta de crédito que no se había cancelado, cuando en realidad se trataba de un cargo sobre la tarjeta que, por supuesto, todavía no había sido cancelada.
6º) Una vez aceptado dicho mensaje SMS OTP, mi principal recibe 5 mensajes SMS OTP más, por importe de casi DIEZ MIL (10.000,00.- €) EUROS, que no acepta porque no había recibido el justificante de ingreso de los 3.300 Euros iniciales, como le había informado el supuesto empleado. Todos los mensajes se envían desde el número de teléfono desde el que se habían venido enviando mensajes SMS OTP de manera ordinaria o habitual.
7º) No habían transcurrido ni 30 minutos desde la disposición ilícita, cuando mi principal se pone en contacto con el servicio de banca telefónica de Bankinter, S.A. para:
a) Informarle a la entidad bancaria Bankinter, S.A. de los hechos acaecidos: ....
b) Ordenar la cancelación de ambas tarjetas para evitar que las disposiciones que se intentaban efectuar pudieran consolidarse.
8º) El mismo día 30 de Mayo de 2023, a las 20:31, mi principal remite un correo electrónico a la entidad bancaria Bankinter, S.A. por el que pone en conocimiento de la oficina de Ibiza los hechos ocurridos.
9º) El día inmediato siguiente, 31 de Mayo de 2023 a las 06:38 y a las 06:50 mi principal recibe dos correos electrónicos en el que le indican a mi principal los pasos a seguir y le informan que se ha hecho la consulta "y una vez autorizado el pago no podemos pararlo desde oficina".
10º) El día 2 de Junio de 2023, por mi principal se presenta denuncia por comparecencia en la Comisaría de Policía de Ibiza, por la comisión de hechos que revisten la apariencia de un Delito de Estafa
11º) El lunes 5 de Junio de 2023, habiendo sido debidamente informada la entidad Bankinter, S.A., se presenta un documento de dicha entidad denominada "incidencia por operaciones cargadas en tarjetas" ya que -como se afirma en el correo de 31 de Mayo de 2023- "hasta que no está cargado en firme en teoría no se puede reclamar".
12º) El mismo día 5 de Junio de 2023, se da contestación a dicha solicitud y se pretende justificar las mismas en que "las operaciones reclamadas se han realizado a través de internet (...)".
La demandada se opone alegando:
-falta de legitimación pasiva, por haberse concertado el contrato de tarjeta de crédito con BANKINTER CONSUMER FINANCE, EFC, S.A., y no con BANKINTER, S.A.
-Haber obrado con toda la diligencia exigible y considera que el demandado ha incumplido su obligación de custodia de claves ex art. 41 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (en adelante, "RDL 19/2018"), siendo el fraude producto de una actuación negligente del actor:
d. El delincuente que, por alguna omisión del actor, se hizo con los datos de su tarjeta de crédito, numeración, fecha de caducidad y Código de verificación, información a la que sólo puede accederse si previamente se han omitido las medidas de seguridad en el manejo de la tarjeta o se han facilitado los datos a un tercero, le envía un nuevo SMS.
e. El demandante cliquea el enlace, pese a que se le indica que no se trata de un abono sino de un cargo de manera que con esa actuación inicia el cargo de 3.300 de su tarjeta a favor del delincuente.
f. A continuación tras pulsar el enlace el sistema provoca , como siempre que se hace un movimiento por tarjeta, que el Banco lo reciba y le remita a su cliente un código SMS para finalizar la operación(mensaje OTP)para lo cual debe introducir su PIN.
La sentencia estima la demanda y frente a ella se alza en apelación la parte demandada.
SEGUNDO.-La apelante alega en primer lugar falta de motivación.
Sostiene que no se resuelven muchas cuestiones de las que se plantearon al contestar la demanda en cuyo escrito no nos limitamos a alegar que las operaciones fueron autorizadas por el sistema REDSYS o que hubiera una simple infracción en la custodia de las claves.
El resto de la resolución se una cita de preceptos legales y citas jurisprudenciales pero no se entra en el análisis argumental de los hechos, de manera que se infringe el mandato del artículo 218.3 de la LEC al no da la atención que el justiciable requiere se falle a su favor o en contra.
Con respecto a la motivación de las resoluciones judiciales, cabe hacer una referencia a la sentencia de esta misma sección dictada el 26 de diciembre de 2018 en el Rollo de Apelación 477/18, que a su vez cita otra de 15 de noviembre de 2013:
El deber de motivación de las resoluciones judiciales impone al órgano judicial expresar en sus sentencias los razonamientos fácticos y jurídicos que conducen a la apreciación y valoración de las pruebas, así como a la aplicación e interpretación del derecho, esto es, el proceso lógico jurídico que conduce a la decisión o al fallo, mostrando así que la decisión es ajena a la arbitrariedad y permitiendo a las partes su eventual revisión mediante los recursos legalmente establecidos.
En nuestro ordenamiento procesal civil, no existe norma alguna que imponga un determinado modo de razonar, teniendo declarado la jurisprudencia constitucional -entre otras, SSTC nº 368/1993 , 91/1995 y 237/1997 -, que la motivación ha de ser suficiente, infringiéndose tal principio sólo cuando el órgano judicial deja sin responder las pretensiones de las partes sometidas a su conocimiento.
El Tribunal Supremo en sentencia de 8 de octubre de 2009 y 7 de julio de 2011 ha señalado que "la motivación de las sentencias es una exigencia constitucional establecida en el Art. 120.3 CE Legislación citadaCE art. 120.3. Desde el punto de vista constitucional, el deber de motivación es inherente al ejercicio de la función jurisdiccional y forma parte del derecho a la tutela judicial efectiva, porque está prohibida la arbitrariedad del juez y la forma de controlar la razonabilidad de las decisiones se efectúa por medio de la motivación, y todo ello para evitar que el derecho a la tutela judicial efectiva sufra una lesión ( STS 14 abril 1999 ). La respuesta a las peticiones formuladas en la demanda no debe ser ni extensa ni pormenorizada, pero sí debe estar argumentada en derecho, puesto que el juez no puede decidir según su leal saber y entender, sino mediante el recurso al sistema de fuentes establecido, tal como dispone el Art. 1.7 CC Legislación citadaCC art. 1.7, lo que deriva de la sumisión de los jueces a la ley, establecida en el Art. 117.1 CE Legislación citadaCE art. 117.1. En este sentido, el Tribunal Constitucional ha señalado que "la motivación [...] ha de ser la conclusión de una argumentación ajustada al tema o temas en litigio, para que el interesado, destinatario inmediato pero no único, y los demás, los órganos judiciales superiores y también los ciudadanos, puedan conocer el fundamento, la ratio decidendi de las resoluciones[...]( STC 77/2000 Jurisprudencia citadaSTC, Sala Segunda, 27-03-2000 ( STC 77/2000 ), así como las SSTC 69/1998 , 39/1997 , 109/1992 , entre muchas otras). Esta Sala ha aplicado esta norma, exigiendo la motivación suficiente, sobre la base del cumplimiento de una doble finalidad: la de exteriorizar el fundamento de la decisión adoptada, haciendo explícito que responde a una determinada interpretación del derecho, así como la de permitir su eventual control jurisdiccional mediante el efectivo ejercicio de los recursos ( SSTS 5 noviembre 1992 , 20 febrero 1993 , 26 julio 2002 y 18 noviembre 2003 , entre muchas otras). La obligación de motivación de las sentencias está recogida en el Art. 218 LEC Legislación citadaLEC art. 218, cuyo párrafo 2 establece que "las sentencias se motivarán expresando los razonamientos fácticos y jurídicos que conducen a la apreciación y valoración de las pruebas, así como a la aplicación e interpretación del derecho" y todo ello, "ajustándose siempre a las reglas de la lógica y de la razón"
Teniendo en cuenta lo expuesto, no cabe sino desestimar el alegato por cuanto se aprecia que la sentencia resuelve teniendo en cuenta las alegaciones de las partes sin que el hecho de que no se haga una expresa referencia a un concreto alegato, -sin que por otra parte se especifique de forma suficiente por la recurrente en este sentido-, pueda suponer que no se ha tenido en consideración por la juez para el dictado de la resolución. Más bien lo que resulta es la disconformidad de la recurrente con la valoración que de la prueba ha realizado la juzgadora de instancia, lo que constituye el segundo motivo de su recurso y que se abordará seguidamente.
TERCERO.-La alegación de error en la valoración de la prueba, supone que la cuestión en esta alzada estriba en verificar si el material probatorio de que se dispone ha sido debidamente analizado y valorado por la juzgadora de instancia a efectos de determinar la estimación de la pretensión de la parte actora, y ello por cuanto como señala el Tribunal Supremo "la apelación coloca al juzgador de segunda instancia en la misma posición que el de primera, con plenitud jurisdiccional para la valoración de la prueba".(Sentencia nº 295/2009, de 6 de mayo ), y "somete al Tribunal, que entiende de la misma, el total conocimiento del litigio en términos que está facultado para valorar los elementos probatorios y apreciar las cuestiones debatidas según su propio criterio, dentro de los límites de la obligada congruencia (por todas, STS de 13 de mayo de 1992 )"( Sentencia nº 760/2006, de 20 de julio.
De igual forma, el Tribunal Constitucional tiene declarado que en nuestro sistema procesal, la segunda instancia se configura "... como revisio prioris instantiae, en la que el Tribunal Superior u órgano ad quem tiene plena competencia para revisar todo lo actuado por el Juzgador de Instancia, tanto en lo que afecta a los hechos (quaestio facti) como en lo relativo a las cuestiones jurídicas oportunamente deducidas por las partes (quaestio iuris), para comprobar si la resolución recurrida se ajusta o no a las normas procesales y sustantivas que eran aplicables al caso, con dos limitaciones: la prohibición de la reformatio in peius, y la imposibilidad de entrar a conocer sobre aquellos extremos que hayan sido consentidos por no ser objeto de impugnación..."( SSTC, Sala 1ª, 9/1998, de 13 de enero (F.J.5), y 120/2002, de 20 de mayo (F.J.4).
Doctrina que se complementa declarando que "...el Juez o Tribunal de apelación puede valorar las pruebas practicadas en primera instancia, así como examinar y corregir la ponderación llevada a cabo por el juez a quo, dado que el recurso de apelación otorga plenas facultades al Tribunal ad quem para resolver cuantas cuestiones se planteen, sean de hecho o de derecho, por tratarse de un recurso ordinario..."( SSTC Sala 1ª 194/1990 (F.J.5), 323/1993, de 28 de noviembre (F.J.3) Y ello por cuanto el carácter ordinario del recurso de apelación comporta "... con el llamado efecto devolutivo, que el juzgador ad quem asuma la plena jurisdicción sobre el caso, en idéntica situación que el juez a quo no sólo por lo que respecta a la subsunción de los hechos en la norma sino también para la determinación de tales hechos a través de la valoración de la prueba..."
Partiendo de estos criterios, y una vez reexaminadas todas las pruebas practicadas, no cabe compartir las alegaciones de la recurrente en base a las cuales trata de imponer su particular e interesada valoración de las pruebas, debiendo respetar en esta alzada el recto e imparcial criterio valorativo de la juzgadora a quo,al no apreciar la concurrencia de ninguna de aquéllas circunstancias, antes expresadas, que justificarían su modificación.
CUARTO.-La juez se refiere al Real Decreto Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, en cuya disposición derogatoria única se derogó la Ley 16/2009, en concreto a los arts. 42 a 45.
Se refiere también a distintas sentencias dictadas por las Audiencias Provinciales
Y razona lo siguiente para estimar la demanda:
De estos preceptos, tal y como establecen distintas Audiencias Provinciales (entre otras, SAP Baleares 132/2023, de 17 de febrero ; SAP Madrid 24/2023, de 13 de enero de 2023 ; SAP La Rioja 49/2023, de 17 de febrero ), la responsabilidad contemplada en la norma es cuasi-objetiva, es decir, se trata de una responsabilidad de la entidad que presta servicios de pago que sólo permite exonerarse mediante la prueba de la culpa grave del ordenante.
Así, el mero hecho de que las operaciones hubieran sido autenticadas por el sistema REDSYS no acredita una negligencia grave del demandante.
Tampoco puede hablarse de infracción de sus obligaciones de custodia de claves, del art. 41, por el mero hecho de que un tercero haya accedido a ellas, y así lo razona la SAP Madrid 24/2023, de 13 de enero de 2023 al señalar que "no podemos calificar la posible negligencia de la demandante en la conservación de sus claves como "grave" en ningún caso. Estamos ante un tipo de fraude muy específico del que es fácil ser víctima, sin que ello implique una actuación negligente del cliente, dado lo bien articulada en su ejecución que está esta modalidad de fraude".
Así las cosas, conforme a la normativa citada, no habiendo acreditado la demandada culpa grave del actor, es obligación de la demandada responder de la pérdida patrimonial sufrida por el usuario.
Se comparte plenamente el razonamiento.
Como ya se ha resuelto por esta Audiencia en supuestos similares, debe partirse de la consideración de que, con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi-objetiva, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso. Así resulta de las siguientes normas:
1º) El artículo 147 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, dispone: «Los prestadores de servicios serán responsables de los y perjuicios causados a los consumidores o usuarios, salvo que prueben que han cumplido las exigencias y requisitos reglamentariamente establecidos y demás cuidados y diligencias que exige la naturaleza del servicio»,siendo indiscutido que el demandante merece la consideración de consumidor.
2º) El art. 148 de la misma norma, según el cual «se responderá de los daños originados en el correcto uso de los servicios, cuando por su propia naturaleza, o por estar así reglamentariamente establecido, incluyan necesariamente la garantía de niveles determinados de eficacia o seguridad, en condiciones objetivas de determinación, y supongan controles técnicos, profesionales o sistemáticos de calidad, hasta llegar en debidas condiciones al consumidor y usuario».
3º) El art. 44 del Real Decreto- ley 19/2018, de 23 de noviembre , de regulación de los servicios de pago y otras medidas urgentes en materia financiera, que deroga la Ley 16/2009, de 13 de noviembre, de Servicios de Pago, con arreglo al cual «Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá al proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago»;y, conforme a su apartado tercero «Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraude o negligencia grave».
4º) El art. 45 de la misma norma, que establece «Sin perjuicio del artículo 43 de este real decreto- ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine».
5º) El art. 46.2 de la misma norma, conforme al cual «Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta»; teniendo en cuenta que, conforme al Art.2.5 se considera autenticación reforzada: «la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes -es decir, que la vulneración de uno no compromete la fiabilidad de los demás-, y concebida de manera que se proteja la confidencialidad de los datos de identificación».
A tales efectos, se ha de tener en cuenta que, conforme al art. 41 de la misma Ley, constituyen obligaciones del usuario de servicios de pago habilitado para utilizar un instrumento de pago, hacerlo en las que se establezcan y tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas; así como en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, habrá de notificarlo al proveedor de servicios de pago o a la entidad que este designe, sin demora indebida, en cuanto tenga conocimiento de ello.
Para poder determinar si la actuación del demandante puede considerarse como negligencia grave que exime a la entidad bancaria de responsabilidad, debe tenerse en cuenta, el considerando 72 de la Directiva (UE) 2015/2366, sobre servicios de pago en el mercado interior:
«(72) A la hora de evaluar la posible negligencia o la negligencia grave del usuario de servicios de pago, deben tomarse en consideración todas las circunstancias. Las pruebas de una presunta negligencia, y el grado de esta, deben evaluarse con arreglo a la normativa nacional. No obstante, si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia , lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia. Un ejemplo sería el guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros.(...).»"
Además, en relación con el concepto de negligencia grave, con carácter general, cabe afirmar que la jurisprudencia viene entendiendo que linda con el dolo. Así, la sentencia de la Sala Primera del Tribunal Supremo de 30 de enero de 2003 revisa en profundidad el concepto, conectándolo con el de falta de diligencia inexcusable, por lo que su apreciación ha de ser restrictiva.
La sentencia de 22 de junio de 2023 de la sección 5ª de la Audiencia Provincial de Asturias ( ROJ: SAP O 2047/2023 - ECLI:ES:APO:2023:2047 ) niega la calificación de grave a la negligencia consistente en "haber confiado en el SMS recibido en su móvil, en la línea de mensajes de la demandada, y consignar en la página a la que resultó redireccionado las claves de acceso a su usuario",y a la misma conclusión llega este tribunal tras apreciar que lo mismo puede ser reprochado al demandante, quien, además, reaccionó sin tardanza tras percatarse de lo sucedido y presentó la correspondiente denuncia y dio aviso a la entidad demandada.
Con base en ello, valorando las circunstancias concurrentes en el presente caso, no cabe apreciar negligencia grave por parte del demandante en el cumplimiento de su obligación de proteger sus credenciales de seguridad. No puede tacharse de gravemente negligente la conducta de quien, tras recibir en el mismo canal en el que recibe habitualmente las comunicaciones procedentes de su banco un mensaje de texto en el que se le informa que tiene que verificar su identidad facilitándole un enlace para ello, decide pulsar en ese enlace e introducir su usuario y contraseña, dado que, para una persona no experta, no es fácil detectar que el mensaje recibido es fraudulento o que la web a la que ha accedido a través del enlace facilitado es falsa.
No se niega que pudiera haber incurrido en falta de diligencia, o de exceso de confianza, cuando clickeó el mensaje autorizando el pago, no percatándose que no se trataba de un abono; provenía del mismo número de teléfono y desde el mismo hilo de mensajes que había dado inicio a toda la operación; no se estima que esto pueda ser llevado al extremo de ser tenido por una negligencia grave como la que invoca la recurrente, por lo que debe desestimarse el recurso de apelación interpuesto.
QUINTO.-D e conformidad con lo previsto en el artículo 398 de la L.E.C., y al desestimarse el recurso de apelación, se imponen a la apelante las costas causadas en la alzada ( art. 398 L.E.C.)
