Sentencia Civil 271/2025 Audiencia Provincial Civil de Granada nº 5, Rec. 530/2024 de 10 de junio del 2025

PRIMERO:Que la entidad financiera demandada se alza contra la sentencia estimatoria de la demanda de reclamación de cantidad, en exigencia de responsabilidad por el importe de 42.777,58 €, a que asciende la suma defraudada por terceros bajo el procedimiento denominado "phishing",después de haber recuperado la entidad por retrocesión la suma de 15.347,58 € de los 58.125,54 € inicialmente defraudados. La sentencia de instancia tiene en cuenta, como hechos probados, la inicial recepción por la actora titular de la cuenta corriente desde la que se realizaron las transferencias fraudulentas, por la que tenía instalada la aplicación de banca digital a distancia "Ruralvía",de mensajesn SMS extraños y ajenos a su actuación en la citada cuenta, tales como: " NUM000 es el código de verificación para tu consulta de movimientos"(lunes 8 de noviembre de 2021); "su cuenta ha sido bloqueada temporalmente por razones de seguridad. Para reactivarla, actualiza su información desde: https//ruralvia.info"(miércoles 10 de noviembre de 2021). A raíz de los cuales la interesada contactó telefónicamente con la entidad, desde la que se le indicó que la cuenta estaba activada y que no había ningún problema. Tras lo cual, recibió un nuevo mensaje el viernes 12 de noviembre de 2021: "para finalizar la validación de la compra de 2.860 EUR realizada con tu tarjeta NUM001 introduzca el código NUM002"; otro mas, el 13 de noviembre de 2021: "estimado cliente detectamos una actividad inusual en su cuenta, verifique https://ruralvia.info";y otro, también en ese mismo día: "para finalizar la validación de la compra de 2.590.731,00 CRC realizada con tu tarjeta NUM001 introduzca el código NUM003"; valora, asimismo, que, sin que la actora hubiera introducido dato o clickeado acceso alguno, se personó en las oficinas de la entidad, donde le comunicaron nuevamente que no existía anomalía alguna, indicándole tan solo que iban a cambiar el PIN de la tarjeta; además, tiene en cuenta que, tras estos acontecimientos, el 25 de noviembre de 2021 a la Sra. Ariadna se le bloquea su terminal de teléfono móvil sin causa aparente, consiguiendo restablecer la conexión el 26 de noviembre de 2021, a las 13:12 horas, tiempo durante el que se realizaron las indicadas transferencias por el importe indicado. Considera la juzgadora de instancia, a la vista de ello y de conformidad con la jurisprudencia que cita, que concurre responsabilidad de la entidad demandada, por aplicación de los art. 45 del RDL 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, al haber tenido lugar las disposiciones sin culpa grave de la actora en la gestión de sus datos personales y bancarios, correspondiendo la carga de la prueba de su diligencia a la entidad demandada.

Por su parte, la apelante considera que sí concurre omisión de la diligencia razonablemente exigible a la actora, contradiciendo la conclusión probatoria acerca de la ausencia de comunicación de dato alguno, a partir del texto de los mensajes de texto recibidos, de los que se inferiría que, si se recabaron datos para completar la validación de compras de tarjeta, es porque se habrían facilitado otros que permitirían la propia utilización de la tarjeta. Además de ello, considera que concurre negligencia por parte de la Sra. Ariadna en razón al procedimiento de gestión utilizado por su operadora, DIGI, a través del servicio de chat de atención al cliente para la obtención duplicado de tarjeta SIM para su teléfono móvil, el cual propició el uso de medios digitales defraudatorios por parte de los autores de la estafa para la recogida del duplicado sin ser requeridos de identificación alguna, para, de esta forma, disponer del número para uso del terminal desde el que se ordenaron las transferencias.

SEGUNDO:Que, así las cosas, la sala no puede sino mantener el criterio seguido en nuestra sentencia de fecha 20 de junio de 2022, en la que, para caso análogo al que aquí nos trae, se dice: "Esta sala, siguiendo la pauta de las sentencias precedentes, invocadas en la propia apelada, singularmente de la sentencia núm. 107/2018, de 12 de marzo de la Sección 8ª de la Audiencia Provincial de Alicante , que compendia otros pronunciamientos, ha de partir de la consideración de que, con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago a través de banca on line, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi-objetivida, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso.

Así resulta de la siguiente reglamentación:

* El artículo 147 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, dispone: " Los prestadores de servicios serán responsables de los y perjuicios causados a los consumidores o usuarios, salvo que prueben que han cumplido las exigencias y requisitos reglamentariamente establecidos y demás cuidados y diligencias que exige la naturaleza del servicio ", siendo indiscutido que los demandantes merecen la consideración de consumidores.

* El art. 148 de la misma norma, según el cual " se responderá de los daños originados en el correcto uso de los servicios, cuando por su propia naturaleza, o por estar así reglamentariamente establecido, incluyan necesariamente la garantía de niveles determinados de eficacia o seguridad, en condiciones objetivas de determinación, y supongan controles técnicos, profesionales o sistemáticos de calidad, hasta llegar en debidas condiciones al consumidor y usuario".

* El art. 44 del Real Decreto-ley 19/2018, de 23 de noviembre , de regulación de los servicios de pago y otras medidas urgentes en materia financiera, que deroga la Ley 16/2009, de 13 de noviembre, de servicios de pago, con arreglo al cual " Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá al proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago"; y, conforme a su apartado tercero " Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraude o negligencia grave".

* El art. 45 de la misma norma establece " Sin perjuicio del artículo 43 de este real decreto -ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine".

* Art. 46.2 de la misma norma, conforme al cual " Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta"; teniendo en cuenta que, conforme al art. 2.5 se considera autenticación reforzada: " la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes -es decir, que la vulneración de uno no compromete la fiabilidad de los demás-, y concebida de manera que se proteja la confidencialidad de los datos de identificación".

A tales efectos se ha de tener en cuenta que, conforme al art. 41 de la misma Ley, en vigor cuando se perfeccionó el contrato de tarjeta, constituyen obligaciones del usuario de servicios de pago habilitado para utilizar un instrumento de pago, hacerlo en las que se establezcan y tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas; así como en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, habrá de notificarlo al proveedor de servicios de pago o a la entidad que este designe, sin demora indebida en cuanto tenga conocimiento de ello.

Con arreglo a este régimen jurídico de la responsabilidad del prestador de servicios de pago, hemos de concluir a la vista de los hechos acreditados que la apelante no había establecido un sistema de autorización de pagos con autenticación reforzada, lo que implica que la reglamentación expuesta, concretamente el citado art. 46.2 presuponga que el prestador de servicios asume la responsabilidad patrimonial por un riesgo perfectamente descrito tanto para el usuario como para el prestador de servicios como es la defraudación con el procedimiento de phising, descrito por la Agencia Española de Protección de Datos (Resolución del Expediente Nº : NUM004, DE 24 DE MAYO DE 2006): " el objetivo de los ataques de "phishing" es la obtención de forma engañosa y fraudulenta de los códigos de usuarios y contraseñas de clientes de Banca Electrónica, al objeto de realizar transferencias no autorizadas. Su operatoria comienza con la adquisición en internet de un "paquete de herramientas", que incluyen programas informáticos e información necesaria para realizar los ataques. Esta información incluye "listas de equipos comprometidos" que pueden ser utilizados bien para mandar correos electrónicos, bien para alojar páginas web falsificadas. Incluyen además "bases de datos de direcciones de correo electrónico". Una vez en posesión del paquete, se remiten los correos electrónicos con carácter indiscriminado (buscando contactar con clientes de la entidad financiera) informando de la necesidad de conectarse a una página web que parece pertenecer a la citada entidad y portar los códigos de acceso y contraseñas de clientes. Dicha página web se suele alojar en un equipo conectado a Internet cuya seguridad se haya [visto] comprometida", sin conocimiento de su usuario, y que se encuentra normalmente en un país distinto al de los destinatarios del ataque. De esta forma se constituye un "fichero de datos personales con códigos de usuarios y contraseñas de clientes" recabados de forma engañosa y fraudulenta, que se ubica normalmente en el mismo "equipo remoto comprometido" en el que se aloja la página web falsificada. Con los datos obtenidos se realizan transferencias a cuentas de colaboradores situados en España los cuales a su vez retiran el dinero en efectivo y tras descontar una comisión realizan transferencias monetarias internacionales mediante entidades especializadas ".

Este procedimiento fue el utilizado en el caso, propiciando las dos transferencias o traspasos no autorizadas entre las cuentas de los demandantes, al hallarse asociada la de D. Carlos Antonio a la de su hija, Dª Carla, e igualmente las compras tampoco autorizadas y las transferencias de los importes del precio a las entidades referidas; sin que conste ni se haya alegado por la apelante que dichas operaciones fuesen sometidas a un procedimiento de autenticación reforzada, a pesar de que, como se dice en la sentencia apelada, suponen una sucesión de operaciones singulares por su cuantía en el contexto de lo que venía siendo habitual en la operativa de dichas cuentas asociadas al uso de la tarjeta, puesto que, si bien no superaban el límite diario, sí se distanciaban notablemente de lo que era la media de reiteradas transacciones anteriores, y, además, se realizaron desde un teléfono también distinto a los designados en el contrato de tarjeta, por lo que, siendo evidente que los actores no concurren como partícipes dolosos en la defraudación, es exigible a la apelante la responsabilidad patrimonial cuasi objetiva legalmente establecida, que, obviamente, supone un paso más en la protección al consumidor que el previsto en el art. 148 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, puesto que viene a excusar al consumidor de la negligencia en que pueda haber incurrido por facilitar sus datos personales y claves de confirmación o firma electrónica en virtud de la acción defraudatoria de terceros, habida cuenta que el propio recurso de apelación se sustenta en la consideración de que concurre negligencia grave por parte de Dª Carla, lo que no excusa dicha responsabilidad en el caso de ausencia de autenticación reforzada; teniendo en cuenta que, por otra parte, tampoco se opone ni concurre demora en la comunicación y denuncia del fraude por parte de los clientes".

Tal y como ocurre en el presente caso, en el que, contrariamente a como se pretende por la apelante, no queda acreditado que la actora facilitara información alguna que, contraviniendo el deber de deligencia, hubiera facilitado la defraudación causante de la pérdida patrimonial por la que se demanda. Lo que, desde luego, no puede reconocerse, como se pretende por la apelante, a partir texto de mensajes de entre los múltiples enviados por los propios defraudadores, relativos a códigos de validación de supuestas compras de tarjeta, cuya única finalidad es la de confundir y defraudar a la propia titular; y cuando, además, el fraude no tiene lugar mediante compras de tarjeta, sino mediante transferencias. A lo que añadimos la inoperancia del argumento de quiebra en la seguridad del sistema de gestión de duplicados de tarjeta a través del servicio de chat de atención al cliente; por tratarse de proceder imputable exclusivamente a la operadora y no a la cliente, aquí actora, que, sin intervención alguna por su parte, se ve perjudicada por el aprovechamiento de tal mecanismo por parte de los autores. Excluyente, por tanto, de la apreciación de negligencia grave o, mucho menos, de actuación fraudulenta por su parte.

TERCERO:Que, además de lo anterior, concurre en el presente caso actuación negligente de la entidad financiera, previa a la materialización de la defraudación por extracción de las cantidades a que corresponden las transferencias que totalizan la suma por la que se reclama. Consistente en la omisión de las pertinentes medidas de prevención, aseguramiento y evitación de cualquier riesgo de intrusión por terceros en los datos que facilitaran la detracción de importes de la cuenta corriente de la Sra. Ariadna, pese a la previa advertencia de indicios claros que debieron mover a actuar en consecuencia. Para lo cual, acudimos a los deberes de cuidado exigibles a la entidad en el marco de contrato de cuenta corriente bancaria.

Ello, en los términos en que así se contempla por la STS de 12 de mayo de 2016, según la cual, "con carácter general debe señalarse que, conforme a la naturaleza y función del contrato de cuenta corriente bancaria, el cercioramiento o comprobación de la veracidad de la firma del ordenante constituye un presupuesto de la diligencia profesional exigible a la entidad bancaria con relación a sus obligaciones esenciales de gestión y custodia de los fondos depositados por el titular de la cuenta, cuyo incumplimiento da lugar a la indemnización de daños y perjuicios, conforme a lo dispuesto en los artículos 1101 y 1106 del Código Civil ".En la misma línea, citamos la SAP de Zaragoza sec. 5ª núm. 804/2022 de 1 de julio, según la cual, "antes de entrar en la específica legislación sectorial relativa a las responsabilidades derivadas de los diferentes sistemas de pago, hemos de recordar que estamos ante un contrato de cuenta corriente. Contrato reiteradamente estudiado por la doctrina y jurisprudencia. En él destaca sobre todo el denominado "Servicio de Caja" y que se puede encuadrar en nuestro ordenamiento jurídico dentro del marco general de la "comisión mercantil" ( art 254 C. comercio ) y, por el cual el banco, en cuanto mandatario, ejecuta las instrucciones del cliente (abonos, cargos...) y, como contraprestación, recibe unas determinadas comisiones, asumiendo la responsabilidad propia de un comisionista. De esta manera, hay que destacar que la " cuenta corriente bancaria" cada vez va recabando mayor autonomía respecto al contrato de depósito, que le servía de base. De tal manera que la "Cta.Cte." sólo actúa como soporte contable, expresando una disponibilidad de fondos contra el banco que los retiene y que encuentra su causa tanto en operaciones de activo como de pasivo. Su autonomía la decide al salir del círculo "banco- cuentacorrentista", para realizarse mediante operaciones de caja, a través de las cuales se efectúan transferencias y pagos a terceros.

Por ello, de tal relación se derivan deberes de rendición de cuentas, de información ( arts 263 C.com y 1720 C.c , ley 26/88, de 29 -julio de Ordenación bancaria e intervención de las entidades de crédito) y el de actuar conforme a las instrucciones recibidas. Y, en tal caso, con la diligencia "quam in suis" ( art 255 C.com ) pues se responde por culpa, cuyo rigor será medido por el parámetro de que se trate o no de un mandato retribuido ( art 1726 C.c ).

Por ello, hay un deber de diligencia de la entidad depositaria y gerente del servicio de caja y el de una información precisa y detallada, pues la exigible es la de un "comerciante experto" y no la de un buen padre de familia. En este sentido, Ss. A.P. Zaragoza, secc 5a, de 29-6-2007 , 17-5-2010 , La Coruña, Secc 3 o, 13-1- 2006 y del T. S. 24-3-2006 ".

Pues bien, en el presente caso, independientemente de la responsabilidad quasiobjetiva que es de reconocer a cargo de la entidad demandada, por inobservancia de deberes provenientes de su intervención como servidor de medios de pago, conforme a lo expuesto en la sentencia apelada y por remisión a lo que se expone en el anterior fundamento jurídico, concurre una clara responsabilidad por negligencia de la demandada en el cumplimiento de sus deberes de cuidado en el marco de la gestión de la cuenta corriente bancaria de la que es titular la actora. Así resulta del hecho, no discutido, de la visita de la propia Sra. Ariadna a las oficinas de la entidad que tuvo lugar en fecha 15 de noviembre de 2021, antes de que se materializaran las salidas de metálico de la cuenta por las transferencias fraudulentas operadas entre el 25 y el 26 del mismo mes y año. De lo que se desprende, sin género de dudas, la previa obtención por el personal de la entidad, con al menos diez días de antelación, de información clara, concisa e inconfundiblemente reveladora de actuaciones de terceros en manifiesto riesgo de intrusión con fines defraudatorios; no solo conforme cabría deducir desde el conocimiento profesional y especializado que cabe esperar del referido personal, sino desde la óptica de cualquier profano en la materia medianamente informado. Frente a lo cual la conducta del personal resulta claramente insuficiente y alejada de la que hubiera sido propia de la observancia del mínimo deber de cuidado exigible; ante tal información; la cual no puede agotarse en la simple recomendación de cambo del PIN de acceso, ni siquiera de borrado y nueva instalación del programa de banca digital, que ni siquiera fue llevado a efecto por el propio personal. Cuando lo que demandaba tal situación manifestada por la interesada, primero, telefónicamente y, luego, por personación en las dependencias de la entidad, era el agotamiento de cuantas medidas fueran conducentes a la evitación del perjuicio, incluido el bloqueo de la cuenta; con las cuales se hubiera evitado la consecuencia dañosa por la que se demanda.

En consecuencia, y habida cuenta de que, incluso para el caso, que se rechaza, de que hubiera de apreciarse la omisión por la actora de cualquier deber de cuidado en la gestión de información de datos personales o bancarios, cabe apreciar omisión de conducta por la entidad financiera que, de haberse llevado a efecto en el ámbito de su responsabilidad exibible en el contrato de cuenta corriente bancaria, hubiera evitado el daño, es por lo que, en justicia, procede la desestimación del recurso.

CUARTO:Que, de conformidad con el art. 398 de la LEC, procede imponer las costas de la presente alzada a la parte apelante.

PRIMERO:Que la entidad financiera demandada se alza contra la sentencia estimatoria de la demanda de reclamación de cantidad, en exigencia de responsabilidad por el importe de 42.777,58 €, a que asciende la suma defraudada por terceros bajo el procedimiento denominado "phishing",después de haber recuperado la entidad por retrocesión la suma de 15.347,58 € de los 58.125,54 € inicialmente defraudados. La sentencia de instancia tiene en cuenta, como hechos probados, la inicial recepción por la actora titular de la cuenta corriente desde la que se realizaron las transferencias fraudulentas, por la que tenía instalada la aplicación de banca digital a distancia "Ruralvía",de mensajesn SMS extraños y ajenos a su actuación en la citada cuenta, tales como: " NUM000 es el código de verificación para tu consulta de movimientos"(lunes 8 de noviembre de 2021); "su cuenta ha sido bloqueada temporalmente por razones de seguridad. Para reactivarla, actualiza su información desde: https//ruralvia.info"(miércoles 10 de noviembre de 2021). A raíz de los cuales la interesada contactó telefónicamente con la entidad, desde la que se le indicó que la cuenta estaba activada y que no había ningún problema. Tras lo cual, recibió un nuevo mensaje el viernes 12 de noviembre de 2021: "para finalizar la validación de la compra de 2.860 EUR realizada con tu tarjeta NUM001 introduzca el código NUM002"; otro mas, el 13 de noviembre de 2021: "estimado cliente detectamos una actividad inusual en su cuenta, verifique https://ruralvia.info";y otro, también en ese mismo día: "para finalizar la validación de la compra de 2.590.731,00 CRC realizada con tu tarjeta NUM001 introduzca el código NUM003"; valora, asimismo, que, sin que la actora hubiera introducido dato o clickeado acceso alguno, se personó en las oficinas de la entidad, donde le comunicaron nuevamente que no existía anomalía alguna, indicándole tan solo que iban a cambiar el PIN de la tarjeta; además, tiene en cuenta que, tras estos acontecimientos, el 25 de noviembre de 2021 a la Sra. Ariadna se le bloquea su terminal de teléfono móvil sin causa aparente, consiguiendo restablecer la conexión el 26 de noviembre de 2021, a las 13:12 horas, tiempo durante el que se realizaron las indicadas transferencias por el importe indicado. Considera la juzgadora de instancia, a la vista de ello y de conformidad con la jurisprudencia que cita, que concurre responsabilidad de la entidad demandada, por aplicación de los art. 45 del RDL 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, al haber tenido lugar las disposiciones sin culpa grave de la actora en la gestión de sus datos personales y bancarios, correspondiendo la carga de la prueba de su diligencia a la entidad demandada.

Por su parte, la apelante considera que sí concurre omisión de la diligencia razonablemente exigible a la actora, contradiciendo la conclusión probatoria acerca de la ausencia de comunicación de dato alguno, a partir del texto de los mensajes de texto recibidos, de los que se inferiría que, si se recabaron datos para completar la validación de compras de tarjeta, es porque se habrían facilitado otros que permitirían la propia utilización de la tarjeta. Además de ello, considera que concurre negligencia por parte de la Sra. Ariadna en razón al procedimiento de gestión utilizado por su operadora, DIGI, a través del servicio de chat de atención al cliente para la obtención duplicado de tarjeta SIM para su teléfono móvil, el cual propició el uso de medios digitales defraudatorios por parte de los autores de la estafa para la recogida del duplicado sin ser requeridos de identificación alguna, para, de esta forma, disponer del número para uso del terminal desde el que se ordenaron las transferencias.

SEGUNDO:Que, así las cosas, la sala no puede sino mantener el criterio seguido en nuestra sentencia de fecha 20 de junio de 2022, en la que, para caso análogo al que aquí nos trae, se dice: "Esta sala, siguiendo la pauta de las sentencias precedentes, invocadas en la propia apelada, singularmente de la sentencia núm. 107/2018, de 12 de marzo de la Sección 8ª de la Audiencia Provincial de Alicante , que compendia otros pronunciamientos, ha de partir de la consideración de que, con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago a través de banca on line, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi-objetivida, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso.

Así resulta de la siguiente reglamentación:

* El artículo 147 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, dispone: " Los prestadores de servicios serán responsables de los y perjuicios causados a los consumidores o usuarios, salvo que prueben que han cumplido las exigencias y requisitos reglamentariamente establecidos y demás cuidados y diligencias que exige la naturaleza del servicio ", siendo indiscutido que los demandantes merecen la consideración de consumidores.

* El art. 148 de la misma norma, según el cual " se responderá de los daños originados en el correcto uso de los servicios, cuando por su propia naturaleza, o por estar así reglamentariamente establecido, incluyan necesariamente la garantía de niveles determinados de eficacia o seguridad, en condiciones objetivas de determinación, y supongan controles técnicos, profesionales o sistemáticos de calidad, hasta llegar en debidas condiciones al consumidor y usuario".

* El art. 44 del Real Decreto-ley 19/2018, de 23 de noviembre , de regulación de los servicios de pago y otras medidas urgentes en materia financiera, que deroga la Ley 16/2009, de 13 de noviembre, de servicios de pago, con arreglo al cual " Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá al proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago"; y, conforme a su apartado tercero " Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraude o negligencia grave".

* El art. 45 de la misma norma establece " Sin perjuicio del artículo 43 de este real decreto -ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine".

* Art. 46.2 de la misma norma, conforme al cual " Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta"; teniendo en cuenta que, conforme al art. 2.5 se considera autenticación reforzada: " la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes -es decir, que la vulneración de uno no compromete la fiabilidad de los demás-, y concebida de manera que se proteja la confidencialidad de los datos de identificación".

A tales efectos se ha de tener en cuenta que, conforme al art. 41 de la misma Ley, en vigor cuando se perfeccionó el contrato de tarjeta, constituyen obligaciones del usuario de servicios de pago habilitado para utilizar un instrumento de pago, hacerlo en las que se establezcan y tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas; así como en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, habrá de notificarlo al proveedor de servicios de pago o a la entidad que este designe, sin demora indebida en cuanto tenga conocimiento de ello.

Con arreglo a este régimen jurídico de la responsabilidad del prestador de servicios de pago, hemos de concluir a la vista de los hechos acreditados que la apelante no había establecido un sistema de autorización de pagos con autenticación reforzada, lo que implica que la reglamentación expuesta, concretamente el citado art. 46.2 presuponga que el prestador de servicios asume la responsabilidad patrimonial por un riesgo perfectamente descrito tanto para el usuario como para el prestador de servicios como es la defraudación con el procedimiento de phising, descrito por la Agencia Española de Protección de Datos (Resolución del Expediente Nº : NUM004, DE 24 DE MAYO DE 2006): " el objetivo de los ataques de "phishing" es la obtención de forma engañosa y fraudulenta de los códigos de usuarios y contraseñas de clientes de Banca Electrónica, al objeto de realizar transferencias no autorizadas. Su operatoria comienza con la adquisición en internet de un "paquete de herramientas", que incluyen programas informáticos e información necesaria para realizar los ataques. Esta información incluye "listas de equipos comprometidos" que pueden ser utilizados bien para mandar correos electrónicos, bien para alojar páginas web falsificadas. Incluyen además "bases de datos de direcciones de correo electrónico". Una vez en posesión del paquete, se remiten los correos electrónicos con carácter indiscriminado (buscando contactar con clientes de la entidad financiera) informando de la necesidad de conectarse a una página web que parece pertenecer a la citada entidad y portar los códigos de acceso y contraseñas de clientes. Dicha página web se suele alojar en un equipo conectado a Internet cuya seguridad se haya [visto] comprometida", sin conocimiento de su usuario, y que se encuentra normalmente en un país distinto al de los destinatarios del ataque. De esta forma se constituye un "fichero de datos personales con códigos de usuarios y contraseñas de clientes" recabados de forma engañosa y fraudulenta, que se ubica normalmente en el mismo "equipo remoto comprometido" en el que se aloja la página web falsificada. Con los datos obtenidos se realizan transferencias a cuentas de colaboradores situados en España los cuales a su vez retiran el dinero en efectivo y tras descontar una comisión realizan transferencias monetarias internacionales mediante entidades especializadas ".

Este procedimiento fue el utilizado en el caso, propiciando las dos transferencias o traspasos no autorizadas entre las cuentas de los demandantes, al hallarse asociada la de D. Carlos Antonio a la de su hija, Dª Carla, e igualmente las compras tampoco autorizadas y las transferencias de los importes del precio a las entidades referidas; sin que conste ni se haya alegado por la apelante que dichas operaciones fuesen sometidas a un procedimiento de autenticación reforzada, a pesar de que, como se dice en la sentencia apelada, suponen una sucesión de operaciones singulares por su cuantía en el contexto de lo que venía siendo habitual en la operativa de dichas cuentas asociadas al uso de la tarjeta, puesto que, si bien no superaban el límite diario, sí se distanciaban notablemente de lo que era la media de reiteradas transacciones anteriores, y, además, se realizaron desde un teléfono también distinto a los designados en el contrato de tarjeta, por lo que, siendo evidente que los actores no concurren como partícipes dolosos en la defraudación, es exigible a la apelante la responsabilidad patrimonial cuasi objetiva legalmente establecida, que, obviamente, supone un paso más en la protección al consumidor que el previsto en el art. 148 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, puesto que viene a excusar al consumidor de la negligencia en que pueda haber incurrido por facilitar sus datos personales y claves de confirmación o firma electrónica en virtud de la acción defraudatoria de terceros, habida cuenta que el propio recurso de apelación se sustenta en la consideración de que concurre negligencia grave por parte de Dª Carla, lo que no excusa dicha responsabilidad en el caso de ausencia de autenticación reforzada; teniendo en cuenta que, por otra parte, tampoco se opone ni concurre demora en la comunicación y denuncia del fraude por parte de los clientes".

Tal y como ocurre en el presente caso, en el que, contrariamente a como se pretende por la apelante, no queda acreditado que la actora facilitara información alguna que, contraviniendo el deber de deligencia, hubiera facilitado la defraudación causante de la pérdida patrimonial por la que se demanda. Lo que, desde luego, no puede reconocerse, como se pretende por la apelante, a partir texto de mensajes de entre los múltiples enviados por los propios defraudadores, relativos a códigos de validación de supuestas compras de tarjeta, cuya única finalidad es la de confundir y defraudar a la propia titular; y cuando, además, el fraude no tiene lugar mediante compras de tarjeta, sino mediante transferencias. A lo que añadimos la inoperancia del argumento de quiebra en la seguridad del sistema de gestión de duplicados de tarjeta a través del servicio de chat de atención al cliente; por tratarse de proceder imputable exclusivamente a la operadora y no a la cliente, aquí actora, que, sin intervención alguna por su parte, se ve perjudicada por el aprovechamiento de tal mecanismo por parte de los autores. Excluyente, por tanto, de la apreciación de negligencia grave o, mucho menos, de actuación fraudulenta por su parte.

TERCERO:Que, además de lo anterior, concurre en el presente caso actuación negligente de la entidad financiera, previa a la materialización de la defraudación por extracción de las cantidades a que corresponden las transferencias que totalizan la suma por la que se reclama. Consistente en la omisión de las pertinentes medidas de prevención, aseguramiento y evitación de cualquier riesgo de intrusión por terceros en los datos que facilitaran la detracción de importes de la cuenta corriente de la Sra. Ariadna, pese a la previa advertencia de indicios claros que debieron mover a actuar en consecuencia. Para lo cual, acudimos a los deberes de cuidado exigibles a la entidad en el marco de contrato de cuenta corriente bancaria.

Ello, en los términos en que así se contempla por la STS de 12 de mayo de 2016, según la cual, "con carácter general debe señalarse que, conforme a la naturaleza y función del contrato de cuenta corriente bancaria, el cercioramiento o comprobación de la veracidad de la firma del ordenante constituye un presupuesto de la diligencia profesional exigible a la entidad bancaria con relación a sus obligaciones esenciales de gestión y custodia de los fondos depositados por el titular de la cuenta, cuyo incumplimiento da lugar a la indemnización de daños y perjuicios, conforme a lo dispuesto en los artículos 1101 y 1106 del Código Civil ".En la misma línea, citamos la SAP de Zaragoza sec. 5ª núm. 804/2022 de 1 de julio, según la cual, "antes de entrar en la específica legislación sectorial relativa a las responsabilidades derivadas de los diferentes sistemas de pago, hemos de recordar que estamos ante un contrato de cuenta corriente. Contrato reiteradamente estudiado por la doctrina y jurisprudencia. En él destaca sobre todo el denominado "Servicio de Caja" y que se puede encuadrar en nuestro ordenamiento jurídico dentro del marco general de la "comisión mercantil" ( art 254 C. comercio ) y, por el cual el banco, en cuanto mandatario, ejecuta las instrucciones del cliente (abonos, cargos...) y, como contraprestación, recibe unas determinadas comisiones, asumiendo la responsabilidad propia de un comisionista. De esta manera, hay que destacar que la " cuenta corriente bancaria" cada vez va recabando mayor autonomía respecto al contrato de depósito, que le servía de base. De tal manera que la "Cta.Cte." sólo actúa como soporte contable, expresando una disponibilidad de fondos contra el banco que los retiene y que encuentra su causa tanto en operaciones de activo como de pasivo. Su autonomía la decide al salir del círculo "banco- cuentacorrentista", para realizarse mediante operaciones de caja, a través de las cuales se efectúan transferencias y pagos a terceros.

Por ello, de tal relación se derivan deberes de rendición de cuentas, de información ( arts 263 C.com y 1720 C.c , ley 26/88, de 29 -julio de Ordenación bancaria e intervención de las entidades de crédito) y el de actuar conforme a las instrucciones recibidas. Y, en tal caso, con la diligencia "quam in suis" ( art 255 C.com ) pues se responde por culpa, cuyo rigor será medido por el parámetro de que se trate o no de un mandato retribuido ( art 1726 C.c ).

Por ello, hay un deber de diligencia de la entidad depositaria y gerente del servicio de caja y el de una información precisa y detallada, pues la exigible es la de un "comerciante experto" y no la de un buen padre de familia. En este sentido, Ss. A.P. Zaragoza, secc 5a, de 29-6-2007 , 17-5-2010 , La Coruña, Secc 3 o, 13-1- 2006 y del T. S. 24-3-2006 ".

Pues bien, en el presente caso, independientemente de la responsabilidad quasiobjetiva que es de reconocer a cargo de la entidad demandada, por inobservancia de deberes provenientes de su intervención como servidor de medios de pago, conforme a lo expuesto en la sentencia apelada y por remisión a lo que se expone en el anterior fundamento jurídico, concurre una clara responsabilidad por negligencia de la demandada en el cumplimiento de sus deberes de cuidado en el marco de la gestión de la cuenta corriente bancaria de la que es titular la actora. Así resulta del hecho, no discutido, de la visita de la propia Sra. Ariadna a las oficinas de la entidad que tuvo lugar en fecha 15 de noviembre de 2021, antes de que se materializaran las salidas de metálico de la cuenta por las transferencias fraudulentas operadas entre el 25 y el 26 del mismo mes y año. De lo que se desprende, sin género de dudas, la previa obtención por el personal de la entidad, con al menos diez días de antelación, de información clara, concisa e inconfundiblemente reveladora de actuaciones de terceros en manifiesto riesgo de intrusión con fines defraudatorios; no solo conforme cabría deducir desde el conocimiento profesional y especializado que cabe esperar del referido personal, sino desde la óptica de cualquier profano en la materia medianamente informado. Frente a lo cual la conducta del personal resulta claramente insuficiente y alejada de la que hubiera sido propia de la observancia del mínimo deber de cuidado exigible; ante tal información; la cual no puede agotarse en la simple recomendación de cambo del PIN de acceso, ni siquiera de borrado y nueva instalación del programa de banca digital, que ni siquiera fue llevado a efecto por el propio personal. Cuando lo que demandaba tal situación manifestada por la interesada, primero, telefónicamente y, luego, por personación en las dependencias de la entidad, era el agotamiento de cuantas medidas fueran conducentes a la evitación del perjuicio, incluido el bloqueo de la cuenta; con las cuales se hubiera evitado la consecuencia dañosa por la que se demanda.

En consecuencia, y habida cuenta de que, incluso para el caso, que se rechaza, de que hubiera de apreciarse la omisión por la actora de cualquier deber de cuidado en la gestión de información de datos personales o bancarios, cabe apreciar omisión de conducta por la entidad financiera que, de haberse llevado a efecto en el ámbito de su responsabilidad exibible en el contrato de cuenta corriente bancaria, hubiera evitado el daño, es por lo que, en justicia, procede la desestimación del recurso.

CUARTO:Que, de conformidad con el art. 398 de la LEC, procede imponer las costas de la presente alzada a la parte apelante.

PRIMERO:Que la entidad financiera demandada se alza contra la sentencia estimatoria de la demanda de reclamación de cantidad, en exigencia de responsabilidad por el importe de 42.777,58 €, a que asciende la suma defraudada por terceros bajo el procedimiento denominado "phishing",después de haber recuperado la entidad por retrocesión la suma de 15.347,58 € de los 58.125,54 € inicialmente defraudados. La sentencia de instancia tiene en cuenta, como hechos probados, la inicial recepción por la actora titular de la cuenta corriente desde la que se realizaron las transferencias fraudulentas, por la que tenía instalada la aplicación de banca digital a distancia "Ruralvía",de mensajesn SMS extraños y ajenos a su actuación en la citada cuenta, tales como: " NUM000 es el código de verificación para tu consulta de movimientos"(lunes 8 de noviembre de 2021); "su cuenta ha sido bloqueada temporalmente por razones de seguridad. Para reactivarla, actualiza su información desde: https//ruralvia.info"(miércoles 10 de noviembre de 2021). A raíz de los cuales la interesada contactó telefónicamente con la entidad, desde la que se le indicó que la cuenta estaba activada y que no había ningún problema. Tras lo cual, recibió un nuevo mensaje el viernes 12 de noviembre de 2021: "para finalizar la validación de la compra de 2.860 EUR realizada con tu tarjeta NUM001 introduzca el código NUM002"; otro mas, el 13 de noviembre de 2021: "estimado cliente detectamos una actividad inusual en su cuenta, verifique https://ruralvia.info";y otro, también en ese mismo día: "para finalizar la validación de la compra de 2.590.731,00 CRC realizada con tu tarjeta NUM001 introduzca el código NUM003"; valora, asimismo, que, sin que la actora hubiera introducido dato o clickeado acceso alguno, se personó en las oficinas de la entidad, donde le comunicaron nuevamente que no existía anomalía alguna, indicándole tan solo que iban a cambiar el PIN de la tarjeta; además, tiene en cuenta que, tras estos acontecimientos, el 25 de noviembre de 2021 a la Sra. Ariadna se le bloquea su terminal de teléfono móvil sin causa aparente, consiguiendo restablecer la conexión el 26 de noviembre de 2021, a las 13:12 horas, tiempo durante el que se realizaron las indicadas transferencias por el importe indicado. Considera la juzgadora de instancia, a la vista de ello y de conformidad con la jurisprudencia que cita, que concurre responsabilidad de la entidad demandada, por aplicación de los art. 45 del RDL 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, al haber tenido lugar las disposiciones sin culpa grave de la actora en la gestión de sus datos personales y bancarios, correspondiendo la carga de la prueba de su diligencia a la entidad demandada.

Por su parte, la apelante considera que sí concurre omisión de la diligencia razonablemente exigible a la actora, contradiciendo la conclusión probatoria acerca de la ausencia de comunicación de dato alguno, a partir del texto de los mensajes de texto recibidos, de los que se inferiría que, si se recabaron datos para completar la validación de compras de tarjeta, es porque se habrían facilitado otros que permitirían la propia utilización de la tarjeta. Además de ello, considera que concurre negligencia por parte de la Sra. Ariadna en razón al procedimiento de gestión utilizado por su operadora, DIGI, a través del servicio de chat de atención al cliente para la obtención duplicado de tarjeta SIM para su teléfono móvil, el cual propició el uso de medios digitales defraudatorios por parte de los autores de la estafa para la recogida del duplicado sin ser requeridos de identificación alguna, para, de esta forma, disponer del número para uso del terminal desde el que se ordenaron las transferencias.

SEGUNDO:Que, así las cosas, la sala no puede sino mantener el criterio seguido en nuestra sentencia de fecha 20 de junio de 2022, en la que, para caso análogo al que aquí nos trae, se dice: "Esta sala, siguiendo la pauta de las sentencias precedentes, invocadas en la propia apelada, singularmente de la sentencia núm. 107/2018, de 12 de marzo de la Sección 8ª de la Audiencia Provincial de Alicante , que compendia otros pronunciamientos, ha de partir de la consideración de que, con arreglo al marco jurídico en el que se desenvuelve la actividad de servicios de pago a través de banca on line, el régimen de la responsabilidad de la prestadora del servicio ha de reputarse cuasi-objetivida, en la medida en que sólo se excluye en unos casos por culpa grave del cliente y en otros por únicamente por fraude imputable al mismo, lo que implica, además, que la carga de la prueba de esas circunstancias exoneratorias y la paralela inexigibilidad de otra conducta a la referida entidad incumba a ésta en todo caso.

Así resulta de la siguiente reglamentación:

* El artículo 147 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, dispone: " Los prestadores de servicios serán responsables de los y perjuicios causados a los consumidores o usuarios, salvo que prueben que han cumplido las exigencias y requisitos reglamentariamente establecidos y demás cuidados y diligencias que exige la naturaleza del servicio ", siendo indiscutido que los demandantes merecen la consideración de consumidores.

* El art. 148 de la misma norma, según el cual " se responderá de los daños originados en el correcto uso de los servicios, cuando por su propia naturaleza, o por estar así reglamentariamente establecido, incluyan necesariamente la garantía de niveles determinados de eficacia o seguridad, en condiciones objetivas de determinación, y supongan controles técnicos, profesionales o sistemáticos de calidad, hasta llegar en debidas condiciones al consumidor y usuario".

* El art. 44 del Real Decreto-ley 19/2018, de 23 de noviembre , de regulación de los servicios de pago y otras medidas urgentes en materia financiera, que deroga la Ley 16/2009, de 13 de noviembre, de servicios de pago, con arreglo al cual " Cuando un usuario de servicios de pago niegue haber autorizado una operación de pago ya ejecutada o alegue que ésta se ejecutó de manera incorrecta, corresponderá al proveedor de servicios de pago demostrar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago"; y, conforme a su apartado tercero " Corresponderá al proveedor de servicios de pago, incluido, en su caso, el proveedor de servicios de iniciación de pagos, probar que el usuario del servicio de pago cometió fraude o negligencia grave".

* El art. 45 de la misma norma establece " Sin perjuicio del artículo 43 de este real decreto -ley, en caso de que se ejecute una operación de pago no autorizada, el proveedor de servicios de pago del ordenante devolverá a éste el importe de la operación no autorizada de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a aquel en el que haya observado o se le haya notificado la operación, salvo cuando el proveedor de servicios de pago del ordenante tenga motivos razonables para sospechar la existencia de fraude y comunique dichos motivos por escrito al Banco de España, en la forma y con el contenido y plazos que éste determine".

* Art. 46.2 de la misma norma, conforme al cual " Si el proveedor de servicios de pago del ordenante no exige autenticación reforzada de cliente, el ordenante solo soportará las posibles consecuencias económicas en caso de haber actuado de forma fraudulenta"; teniendo en cuenta que, conforme al art. 2.5 se considera autenticación reforzada: " la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes -es decir, que la vulneración de uno no compromete la fiabilidad de los demás-, y concebida de manera que se proteja la confidencialidad de los datos de identificación".

A tales efectos se ha de tener en cuenta que, conforme al art. 41 de la misma Ley, en vigor cuando se perfeccionó el contrato de tarjeta, constituyen obligaciones del usuario de servicios de pago habilitado para utilizar un instrumento de pago, hacerlo en las que se establezcan y tomar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas; así como en caso de extravío, sustracción o apropiación indebida del instrumento de pago o de su utilización no autorizada, habrá de notificarlo al proveedor de servicios de pago o a la entidad que este designe, sin demora indebida en cuanto tenga conocimiento de ello.

Con arreglo a este régimen jurídico de la responsabilidad del prestador de servicios de pago, hemos de concluir a la vista de los hechos acreditados que la apelante no había establecido un sistema de autorización de pagos con autenticación reforzada, lo que implica que la reglamentación expuesta, concretamente el citado art. 46.2 presuponga que el prestador de servicios asume la responsabilidad patrimonial por un riesgo perfectamente descrito tanto para el usuario como para el prestador de servicios como es la defraudación con el procedimiento de phising, descrito por la Agencia Española de Protección de Datos (Resolución del Expediente Nº : NUM004, DE 24 DE MAYO DE 2006): " el objetivo de los ataques de "phishing" es la obtención de forma engañosa y fraudulenta de los códigos de usuarios y contraseñas de clientes de Banca Electrónica, al objeto de realizar transferencias no autorizadas. Su operatoria comienza con la adquisición en internet de un "paquete de herramientas", que incluyen programas informáticos e información necesaria para realizar los ataques. Esta información incluye "listas de equipos comprometidos" que pueden ser utilizados bien para mandar correos electrónicos, bien para alojar páginas web falsificadas. Incluyen además "bases de datos de direcciones de correo electrónico". Una vez en posesión del paquete, se remiten los correos electrónicos con carácter indiscriminado (buscando contactar con clientes de la entidad financiera) informando de la necesidad de conectarse a una página web que parece pertenecer a la citada entidad y portar los códigos de acceso y contraseñas de clientes. Dicha página web se suele alojar en un equipo conectado a Internet cuya seguridad se haya [visto] comprometida", sin conocimiento de su usuario, y que se encuentra normalmente en un país distinto al de los destinatarios del ataque. De esta forma se constituye un "fichero de datos personales con códigos de usuarios y contraseñas de clientes" recabados de forma engañosa y fraudulenta, que se ubica normalmente en el mismo "equipo remoto comprometido" en el que se aloja la página web falsificada. Con los datos obtenidos se realizan transferencias a cuentas de colaboradores situados en España los cuales a su vez retiran el dinero en efectivo y tras descontar una comisión realizan transferencias monetarias internacionales mediante entidades especializadas ".

Este procedimiento fue el utilizado en el caso, propiciando las dos transferencias o traspasos no autorizadas entre las cuentas de los demandantes, al hallarse asociada la de D. Carlos Antonio a la de su hija, Dª Carla, e igualmente las compras tampoco autorizadas y las transferencias de los importes del precio a las entidades referidas; sin que conste ni se haya alegado por la apelante que dichas operaciones fuesen sometidas a un procedimiento de autenticación reforzada, a pesar de que, como se dice en la sentencia apelada, suponen una sucesión de operaciones singulares por su cuantía en el contexto de lo que venía siendo habitual en la operativa de dichas cuentas asociadas al uso de la tarjeta, puesto que, si bien no superaban el límite diario, sí se distanciaban notablemente de lo que era la media de reiteradas transacciones anteriores, y, además, se realizaron desde un teléfono también distinto a los designados en el contrato de tarjeta, por lo que, siendo evidente que los actores no concurren como partícipes dolosos en la defraudación, es exigible a la apelante la responsabilidad patrimonial cuasi objetiva legalmente establecida, que, obviamente, supone un paso más en la protección al consumidor que el previsto en el art. 148 del Texto Refundido de la Ley para la Defensa de los Consumidores y Usuarios y otras leyes complementarias, aprobado por el Real Decreto Legislativo 1/2007, de 16 de noviembre, puesto que viene a excusar al consumidor de la negligencia en que pueda haber incurrido por facilitar sus datos personales y claves de confirmación o firma electrónica en virtud de la acción defraudatoria de terceros, habida cuenta que el propio recurso de apelación se sustenta en la consideración de que concurre negligencia grave por parte de Dª Carla, lo que no excusa dicha responsabilidad en el caso de ausencia de autenticación reforzada; teniendo en cuenta que, por otra parte, tampoco se opone ni concurre demora en la comunicación y denuncia del fraude por parte de los clientes".

Tal y como ocurre en el presente caso, en el que, contrariamente a como se pretende por la apelante, no queda acreditado que la actora facilitara información alguna que, contraviniendo el deber de deligencia, hubiera facilitado la defraudación causante de la pérdida patrimonial por la que se demanda. Lo que, desde luego, no puede reconocerse, como se pretende por la apelante, a partir texto de mensajes de entre los múltiples enviados por los propios defraudadores, relativos a códigos de validación de supuestas compras de tarjeta, cuya única finalidad es la de confundir y defraudar a la propia titular; y cuando, además, el fraude no tiene lugar mediante compras de tarjeta, sino mediante transferencias. A lo que añadimos la inoperancia del argumento de quiebra en la seguridad del sistema de gestión de duplicados de tarjeta a través del servicio de chat de atención al cliente; por tratarse de proceder imputable exclusivamente a la operadora y no a la cliente, aquí actora, que, sin intervención alguna por su parte, se ve perjudicada por el aprovechamiento de tal mecanismo por parte de los autores. Excluyente, por tanto, de la apreciación de negligencia grave o, mucho menos, de actuación fraudulenta por su parte.

TERCERO:Que, además de lo anterior, concurre en el presente caso actuación negligente de la entidad financiera, previa a la materialización de la defraudación por extracción de las cantidades a que corresponden las transferencias que totalizan la suma por la que se reclama. Consistente en la omisión de las pertinentes medidas de prevención, aseguramiento y evitación de cualquier riesgo de intrusión por terceros en los datos que facilitaran la detracción de importes de la cuenta corriente de la Sra. Ariadna, pese a la previa advertencia de indicios claros que debieron mover a actuar en consecuencia. Para lo cual, acudimos a los deberes de cuidado exigibles a la entidad en el marco de contrato de cuenta corriente bancaria.

Ello, en los términos en que así se contempla por la STS de 12 de mayo de 2016, según la cual, "con carácter general debe señalarse que, conforme a la naturaleza y función del contrato de cuenta corriente bancaria, el cercioramiento o comprobación de la veracidad de la firma del ordenante constituye un presupuesto de la diligencia profesional exigible a la entidad bancaria con relación a sus obligaciones esenciales de gestión y custodia de los fondos depositados por el titular de la cuenta, cuyo incumplimiento da lugar a la indemnización de daños y perjuicios, conforme a lo dispuesto en los artículos 1101 y 1106 del Código Civil ".En la misma línea, citamos la SAP de Zaragoza sec. 5ª núm. 804/2022 de 1 de julio, según la cual, "antes de entrar en la específica legislación sectorial relativa a las responsabilidades derivadas de los diferentes sistemas de pago, hemos de recordar que estamos ante un contrato de cuenta corriente. Contrato reiteradamente estudiado por la doctrina y jurisprudencia. En él destaca sobre todo el denominado "Servicio de Caja" y que se puede encuadrar en nuestro ordenamiento jurídico dentro del marco general de la "comisión mercantil" ( art 254 C. comercio ) y, por el cual el banco, en cuanto mandatario, ejecuta las instrucciones del cliente (abonos, cargos...) y, como contraprestación, recibe unas determinadas comisiones, asumiendo la responsabilidad propia de un comisionista. De esta manera, hay que destacar que la " cuenta corriente bancaria" cada vez va recabando mayor autonomía respecto al contrato de depósito, que le servía de base. De tal manera que la "Cta.Cte." sólo actúa como soporte contable, expresando una disponibilidad de fondos contra el banco que los retiene y que encuentra su causa tanto en operaciones de activo como de pasivo. Su autonomía la decide al salir del círculo "banco- cuentacorrentista", para realizarse mediante operaciones de caja, a través de las cuales se efectúan transferencias y pagos a terceros.

Por ello, de tal relación se derivan deberes de rendición de cuentas, de información ( arts 263 C.com y 1720 C.c , ley 26/88, de 29 -julio de Ordenación bancaria e intervención de las entidades de crédito) y el de actuar conforme a las instrucciones recibidas. Y, en tal caso, con la diligencia "quam in suis" ( art 255 C.com ) pues se responde por culpa, cuyo rigor será medido por el parámetro de que se trate o no de un mandato retribuido ( art 1726 C.c ).

Por ello, hay un deber de diligencia de la entidad depositaria y gerente del servicio de caja y el de una información precisa y detallada, pues la exigible es la de un "comerciante experto" y no la de un buen padre de familia. En este sentido, Ss. A.P. Zaragoza, secc 5a, de 29-6-2007 , 17-5-2010 , La Coruña, Secc 3 o, 13-1- 2006 y del T. S. 24-3-2006 ".

Pues bien, en el presente caso, independientemente de la responsabilidad quasiobjetiva que es de reconocer a cargo de la entidad demandada, por inobservancia de deberes provenientes de su intervención como servidor de medios de pago, conforme a lo expuesto en la sentencia apelada y por remisión a lo que se expone en el anterior fundamento jurídico, concurre una clara responsabilidad por negligencia de la demandada en el cumplimiento de sus deberes de cuidado en el marco de la gestión de la cuenta corriente bancaria de la que es titular la actora. Así resulta del hecho, no discutido, de la visita de la propia Sra. Ariadna a las oficinas de la entidad que tuvo lugar en fecha 15 de noviembre de 2021, antes de que se materializaran las salidas de metálico de la cuenta por las transferencias fraudulentas operadas entre el 25 y el 26 del mismo mes y año. De lo que se desprende, sin género de dudas, la previa obtención por el personal de la entidad, con al menos diez días de antelación, de información clara, concisa e inconfundiblemente reveladora de actuaciones de terceros en manifiesto riesgo de intrusión con fines defraudatorios; no solo conforme cabría deducir desde el conocimiento profesional y especializado que cabe esperar del referido personal, sino desde la óptica de cualquier profano en la materia medianamente informado. Frente a lo cual la conducta del personal resulta claramente insuficiente y alejada de la que hubiera sido propia de la observancia del mínimo deber de cuidado exigible; ante tal información; la cual no puede agotarse en la simple recomendación de cambo del PIN de acceso, ni siquiera de borrado y nueva instalación del programa de banca digital, que ni siquiera fue llevado a efecto por el propio personal. Cuando lo que demandaba tal situación manifestada por la interesada, primero, telefónicamente y, luego, por personación en las dependencias de la entidad, era el agotamiento de cuantas medidas fueran conducentes a la evitación del perjuicio, incluido el bloqueo de la cuenta; con las cuales se hubiera evitado la consecuencia dañosa por la que se demanda.

En consecuencia, y habida cuenta de que, incluso para el caso, que se rechaza, de que hubiera de apreciarse la omisión por la actora de cualquier deber de cuidado en la gestión de información de datos personales o bancarios, cabe apreciar omisión de conducta por la entidad financiera que, de haberse llevado a efecto en el ámbito de su responsabilidad exibible en el contrato de cuenta corriente bancaria, hubiera evitado el daño, es por lo que, en justicia, procede la desestimación del recurso.

CUARTO:Que, de conformidad con el art. 398 de la LEC, procede imponer las costas de la presente alzada a la parte apelante.