Sentencia Civil 787/2026 Tribunal Supremo. Sala de lo Civil, Rec. 6306/2021 de 25 de mayo del 2026

PRIMERO. Resumen de antecedentes

1.Privalia Venta Directa, SAU (en adelante, Privalia) interpuso una demanda contra el Banco de Santander, SA (en adelante, el Banco) por incumplimiento contractual y actuación negligente «en su condición de comisionista y proveedor del servicio de cuenta corriente y transferencia bancaria», solicitando su condena en los términos transcritos en el antecedente de hecho primero de esta resolución.

En la demanda se expuso que el Banco incumplió el mandato expreso relativo a la forma de realización y aprobación de transferencias bancarias de Privalia al procesar hasta siete operaciones anómalas de transferencia de fondos -ordenadas por una empleada de su departamento de tesorería, D.ª Zulima, por correo electrónico tras ser víctima de un engaño consistente en la suplantación de personalidad de uno de sus consejeros y cofundadores-, por importe superior a un millón y medio de euros, desde la cuenta corriente de aquella con destino a cuentas de sociedades desconocidas, ubicadas en China, en contra del protocolo de instrucciones de 17 de diciembre de 2014 vinculante entre las partes. Privalia sostiene que la ejecución de dichas transferencias sin examinar adecuadamente la veracidad y procedencia de las órdenes, así como el incumplimiento del protocolo de instrucciones recibido, constituye un supuesto de negligencia muy grave que determina la responsabilidad del Banco y le obliga a resarcir los daños y perjuicios causados, que ascienden a 1.566.951,50 euros.

2.En el email con el que se envió el protocolo, remitido por Privalia al Banco, así como, en copia oculta, a la Sra. Zulima, se exponía lo siguiente:

«No sé si lo sabéis pero hace unos meses fuimos víctimas de un fraude a través de Internet. Unos hackers entraron en el mail de Zulima (una persona que trabaja conmigo en tesorería) y con una de las cartas a través de las que ordenamos transferencias, se ordenaron una transferencia a una cuenta de Malasia. A partir de este momento dimos orden a todas las entidades financieras de no aceptar ninguna transferencia ordenada por carta desde una cuenta de Privalia.

» Os escribo para indicaros que hemos decidido modificar algo esta restricción. En concreto hemos pensado en permitir ordenes por carta pero exclusivamente para transferencias dentro del grupo. En el documento adjunto encontraréis las cuentas y los beneficiarios a los cuales podría procesarse órdenes por cartas. Rogamos lo tengáis en cuenta para futuras transferencias que tengan que realizarse (i.e.: envío de fondos a Brasil a DFL).

» Cualquier duda, decidme y lo comentamos» (sic).

En el documento adjunto a dicho email, firmado por D. Claudio, consejero delegado y cofundador de Privalia, y dirigido al Banco -en concreto, a la atención de D.ª Estefanía-, se exponía, a su vez, lo siguiente:

«Le informamos mediante la presente que Privalia Venta Directa, S.A. ("Privalia" o la "Compañía") está elaborando una política interna relativa a la solicitud de órdenes de transferencia por carta enviada mediante correo electrónico.

» En relación con el referido asunto y si bien les comunicamos hace unas semanas que no debían aceptar ninguna orden de transferencia solicitada por correo electrónico, la Dirección de Privalia ha acordado que, mientras se elabora y aprueba el procedimiento interno definitivo por el Comité de Cumplimiento Normativo de la Compañía les solicitamos que solo procesen las solicitudes que por este método tengan como destinatario, banco y número de cuenta, alguno de los siguientes:

»[...]

» Todas las anteriores cuentas bancarias pertenecen a compañías del grupo Privalia. En consecuencia, cualquier transferencia ordenada desde nuestras cuentas de correo electrónico a cualquier otro beneficiario debe ser denegada y, por lo tanto, no procesada.

» Asimismo, como medida adicional de seguridad, les pedimos que antes de procesar la orden confirmen telefónicamente al nº NUM000 (ext. NUM001) con el Chief Financial Officer de Privalia, el señor Manuel, la autenticidad de dicha solicitud» (sic).

Los hechos que desencadenaron el engaño a la Sra. Zulima y el fraude a Privalia son, tal y como los recoge la Audiencia Provincial, los siguientes:

«el 24-5-2016 una persona que decía llamarse Carlos Jesús, abogado de KPMG contactó con la Sra. Zulima a través de su número de teléfono fijo del trabajo comunicándole de parte del cofundador de la empresa, Sr. Claudio, que ella se tendría que encargar de una OPA por la adquisición de una empresa china y que sería el propio Sr. Claudio quien contactaría personalmente con ella para comentarle el tema, y que no podía hablar con nadie sobre esta operación. La Sra. Zulima va comprobar per internet que el Sr. Carlos Jesús era abogado fiscalista de KPMG. El mismo día 24 se le informó de que no podía hablar con nadie del tema, porque así lo exigía la CNMV y que tenía que firmar un acuerdo de confidencialidad (doc. 12 y 13, f. 255-256), que firmó. El mismo día, quien se hizo pasar por Carlos Jesús envió una factura del 5% del precio de compra de la compañía, 137.938,50€ y le pidió que preparase una carta para que el Sr. Claudio autorizara la transferencia (doc. 14, f. 257), la preparó y la envió al supuesto Sr. Carlos Jesús; al día siguiente, el 25 recibió un correo con la carta adjunta firmada (firma que ella interpretó que era la del Sr. Claudio, doc. 15, f. 258) autorizando la transferencia.

» Seguidamente, se puso en contacto con ahora la demanda para solicitar la transferencia (doc. 15 y ss. f. 259 y ss.). Esta operativa se repitió durante los siguientes 15 días seis veces más. Estas cartas que enviaba la Sra. Zulima, que ni tan solo era apoderada de la parte actora, fueron contestadas por el banco demandado a través del Sr. Gabino quién le facilitaba a la Sra. Zulima el duplicado del mensaje SWIFT de ejecución de las transferencias, (doc. 15, 7 cartas supuestamente firmadas por el Sr. Claudio, f. 259 y ss.). Si el banco hubiera cumplido las instrucciones dadas no se habrían producido estas transferencias defraudadoras, (137.938,50 euros el 25-3-2016, y 331.702 euros el 27-5-2016, a Wenzhou Xinhang Trading Co. Ltd. ; 226.778 euros el 31-5-2016, 198.120 euros el 31-5-2016, 173.802 euros el 3-6-2016 y 196.293 euros el 7-6-2016 a Wenzhou Jian Cng Shoes Limited Company y 302.318 euros el 9-6-2016 a Andongni Trading Limited, ver f. 265 y ss.). En ninguno de los casos se pidió la confirmación telefónica pactada, y los beneficiarios eran empresas chinas con las que nunca la parte actora había tenido ningún tipo de relación» (sic).

3.Por lo que ahora interesa, la sentencia de segunda instancia estimó en parte el recurso de apelación del Banco y, en consecuencia, revocó también parcialmente la de primera instancia, que había estimado íntegramente la demanda, reduciendo la condena por principal a la cantidad de 783.475,75 euros.

La Audiencia Provincial, tras rechazar los dos primeros motivos de apelación formulados por el Banco -el primero, en el que se alegaba que la finalidad exclusiva del documento de instrucciones de 17 de diciembre de 2014 era evitar las suplantaciones de identidad mediante fraude por ataque informático al sistema de Privalia, de modo que un tercero lograra operar haciéndose pasar por ella, pero no prevenir cualquier tipo de fraude, incluidos los engaños sufridos directamente por la persona que materialmente ordenase la transferencia; y el segundo, en el que se sostenía haber cumplido todos los deberes legalmente exigibles, actuando conforme a su propio protocolo interno y continuando con la práctica de confirmar las órdenes emitidas por correo electrónico mediante carta adjunta con la Sra. Zulima-, admite en parte el motivo tercero -en el que se argumentaba que el responsable del perjuicio era el autor del fraude y que el delito había sido favorecido por la propia perjudicada al no comprobar la autenticidad de la orden determinante de la decisión de ordenar las transferencias-, con el siguiente razonamiento:

«Obviamente, quien causa el perjuicio es el ladrón, el tercer defraudador, que, por lo que se deduce del conjunto de estas actuaciones, parece que sabía perfectamente que estas transferencias especiales, por llamarlas de alguna manera, eran el punto débil de Privalia.

» Ciertamente, la empresa que envía el mail de 17-12-2014 al banco tenía que ponerlo en conocimiento también de sus empleados, especialmente de la Sra. Zulima a quien se le había dejado claro que, a partir de ese momento, bajo ningún concepto tendría que ordenar transferencias por mail más carta adjunta a clientes ajenos al grupo de Privalia o más concretamente a las filiales de Brasil. Una diligencia no extrema, sino completa habría sido indicarle que esto sería así, aunque estuviera firmada o verbalizada la orden por el Sr. Manuel o por el Sr. Claudio -quien, al final, parece que aparece como único con capacidad de disposición sobre la cuenta en cuestión-. No obrar así comporta, entendemos, un grado de negligencia que no se puede pasar por alto.

» Igualmente, ante la orden insólita que dice haber recibido la Sra. Zulima de hacer las transferencias en secreto de todos, con los antecedentes de fraude anteriores, una mínima diligencia se le imponía a esta de confirmar el que se le decía desde un despacho de abogados, no desde la misma cúpula de la empresa, frente al Sr. Manuel o, mejor incluso, frente al Sr. Claudio que aparentemente le daba la confianza de llevar este asunto a buen puerto y en absoluto secreto bajo el pretexto de ser una operación de compra de empresas en China que no había de transcender de ninguna manera.

» Negligencia, por tanto, de la directiva en no dar instrucciones precisas internas (al menos aquí no constan) de comportarse todos los empleados implicados estrictamente conforme a las instrucciones dadas al banco. No tanto, en cambio, por no haber reaccionado ante la ambigüedad, cuando menos, de la actitud del banco ya que hemos de concluir que todo indica que el cliente creía firmemente que sus instrucciones serían seguidas por el banco.

»Y, además, negligencia concurrente de la que hasta entonces se encargaba de las transferencias, de la que tiene que responder la empresa ( art. 1903 CC in suis principis), pues de la misma manera que habría de asumir un daño que dicha empleada ha causado a un tercero también tiene que asumir el perjuicio causado a sí misma, ya que la diligencia media exigible a cualquier persona la tendría que haber hecho reaccionar a partir de valorar la rareza de esta operación.

» Por tanto, sí le es reprobable contractualmente al banco no haber atendido las exigencias razonables del cliente ( art. 1101 CC y 1254, 1258 CC) , en cuanto que no ha velado, procediendo de esta manera, por sus intereses como si fueran propios, dejándolo indefenso -que le costaba al responsable de la oficina de Pere IV coger el teléfono, contactar con Manuel y confirmar la operación; o de no conseguir contactar con él, abstenerse de ejecutar la orden?, también es cierto que el cliente, la empresa ahora parte actora concurre en la responsabilidad por el resultado en una cuota idéntica.

» En conclusión, cabe estimar en parte el motivo y el recurso y reducir la indemnización establecida al 50%, manteniendo el pronunciamiento en cuanto a intereses.» (sic).

4.Privalia ha interpuesto sendos recursos extraordinarios, por infracción procesal y de casación, que han sido admitidos. Por su parte, el Banco ha interpuesto un recurso de casación, igualmente admitido.

Recurso extraordinario por infracción procesal de Privalia

SEGUNDO. Planteamiento del recurso

El recurso extraordinario por infracción procesal se funda en tres motivos:

i) En el motivo primero, por el cauce del art. 469.1.2.º LEC, se denuncia la infracción del art. 218.2 LEC, en relación con los arts. 24 y 120.3 CE, por falta de motivación, al no exteriorizar la sentencia recurrida el criterio jurídico por el que atribuye a cada parte una cuota de responsabilidad del 50%.

ii) En el motivo segundo, por el cauce del art. 469.1.4.º LEC, se denuncia la existencia de error patente en la valoración de la prueba, en relación con el correo electrónico de 17 de diciembre de 2014 -aportado como documento n.º 9 de la demanda-, enviado por Privalia al Banco, y en copia oculta a la Sra. Zulima, «al afirmar [la sentencia recurrida] que Privalia debió haber puesto en conocimiento de los empleados ("especialmente de la Sra. Zulima") el protocolo de transferencias de 17 de diciembre de 2014».

iii) En el motivo tercero, por el cauce del art. 469.1.4.º LEC, se denuncia la existencia de error patente en la valoración de la prueba testifical del Sr. Manuel, que declaró que la Sra. Zulima conocía el protocolo de instrucciones, «al afirmar [la sentencia recurrida] que Privalia debió haber puesto en conocimiento de los empleados ("especialmente de la Sra. Zulima") el protocolo de transferencias de 17 de diciembre de 2014».

TERCERO. Decisión de la Sala: desestimación del recurso

1.Motivo primero. El motivo primero del recurso debe desestimarse porque, a la luz de la doctrina consolidada sobre el deber de motivación -expresión del derecho a la tutela judicial efectiva reconocido en el art. 24 CE y desarrollado en los arts. 120.3 CE y 218.2 LEC-, según la cual «la motivación ha de ser la manifestación suficiente de la justificación causal del fallo, mediante la expresión de las razones de hecho y de Derecho que integran el proceso lógico-jurídico que conduce a la decisión», de modo que han de reputarse suficientemente motivadas «aquellas resoluciones que vengan apoyadas en razones que permitan conocer cuáles han sido los criterios jurídicos esenciales fundamentadores de la decisión, es decir, la ratio decidendi» (por todas, sentencia 592/2026, de 16 de abril), la sentencia recurrida contiene una fundamentación suficiente que permite conocer con claridad la ratio decidendide la decisión adoptada.

En efecto, la Audiencia Provincial no se limita a proclamar apodícticamente una reducción de la indemnización, sino que articula un razonamiento en el que identifica, de un lado, un incumplimiento contractual relevante por parte del Banco al apartarse de las instrucciones recibidas y no extremar las cautelas exigibles y, de otro, una conducta negligente imputable a Privalia, tanto en la configuración y transmisión interna de dichas instrucciones como en la actuación de su empleada en la ejecución de las órdenes de transferencia.

Sobre esa base, considera que el daño no es imputable en exclusiva a una de las partes, sino que resulta de una concurrencia de culpas, y exterioriza el criterio jurídico que conduce a fijar una distribución paritaria de la responsabilidad, al entender que ambos comportamientos contribuyen de forma equivalente a la producción del resultado dañoso -«[...] también es cierto que el cliente, la empresa ahora parte actora concurren en la responsabilidad por el resultado en una cuota idéntica»-. Esta explicitación satisface plenamente la exigencia de motivación, en cuanto permite a las partes conocer las razones -fácticas y jurídicas- determinantes del fallo y posibilita su eventual impugnación a través de los recursos legalmente previstos.

En realidad, la queja de la recurrente no pone de manifiesto una ausencia de motivación, sino su desacuerdo con la ponderación efectuada por el tribunal de apelación acerca de la incidencia causal y la gravedad relativa de las conductas concurrentes, lo que pertenece al ámbito de la valoración jurídica y no puede reconducirse al vicio procesal denunciado. Por ello, al no apreciarse déficit alguno de motivación en los términos exigidos por la jurisprudencia constitucional y de esta Sala, el motivo debe ser desestimado.

2. Motivos segundo y tercero.Los motivos segundo y tercero del recurso deben examinarse conjuntamente porque, aunque se refieren a distintos medios de prueba -el primero a la documental y el segundo a la testifical-, ambos articulan una misma queja impugnatoria: la existencia de un error patente en la valoración de la prueba que habría conducido a la Audiencia Provincial a afirmar un mismo hecho, a saber, que la entidad actora no puso en conocimiento de sus empleados, y en particular de la Sra. Zulima, el protocolo de transferencias. Existe, por tanto, una plena identidad en la infracción denunciada y en el hecho que se considera erróneo, lo que justifica un tratamiento conjunto de ambos motivos.

Sentado lo anterior, los motivos deben ser desestimados. La razón es, en primer término, que parten de una premisa fáctica que no se corresponde con lo afirmado en la sentencia recurrida. La Audiencia Provincial no sostiene que la Sra. Zulima desconociera el protocolo remitido por la recurrente a la entidad recurrida; antes al contrario, parte de que, a partir de su comunicación, «se le había dejado claro que [...] bajo ningún concepto tendría que ordenar transferencias por mail más carta adjunta a clientes ajenos al grupo de Privalia, o más concretamente a las filiales de Brasil».

En segundo término, y de forma decisiva, la imputación de responsabilidad a Privalia no descansa en ese pretendido desconocimiento, sino en un elemento distinto que constituye -junto con la actuación negligente de la Sra. Zulima en la ejecución de las órdenes de transferencia- la verdadera ratio decidendide la resolución: la insuficiencia de las instrucciones internas dadas a la empleada, al no habérsele indicado que la prohibición de cursar tales órdenes debía mantenerse incluso en el caso de que aparecieran formalmente autorizadas o respaldadas por el Sr. Manuel o por el Sr. Claudio. Es en esa omisión -calificada por la Audiencia Provincial como falta de una diligencia completa- donde se sitúa el fundamento de la negligencia atribuida a Privalia.

De este modo, los motivos no combaten la razón decisoria de la sentencia, sino que se dirigen contra una afirmación que no constituye el soporte del fallo. Y, conforme a la jurisprudencia reiterada de esta Sala, el recurso extraordinario no puede prosperar cuando se articula al margen de la ratio decidendide la resolución impugnada (por todas, sentencias 83/2025, de 16 de enero, y 307/2025, de 26 de febrero). En consecuencia, al no concurrir el error patente denunciado en los términos en que se plantea y no dirigirse la impugnación contra el fundamento real de la decisión, los motivos deben ser desestimados.

3. Conclusión.Una vez desestimados todos sus motivos, procede desestimar el recurso extraordinario por infracción procesal interpuesto por Privalia.

Recursos de casación de Privalia y del Banco de Santander

CUARTO. Planteamiento del recurso de Privalia

El recurso de casación de Privalia se funda, también, en tres motivos:

i) En el motivo primero, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 254 CCom, pues al ponderar la sentencia la responsabilidad del comisionista con el grado de diligencia desplegado por el propio comitente se ha obviado que dicho precepto «establece un régimen de responsabilidad sujeto a indemnización al comitente de carácter objetivo, esto es, en caso de apartarse de las instrucciones del comitente, el comisionista deberá indemnizar».

ii) En el motivo segundo, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 297 CCom, en relación con el art. 1101 CC, al conceder la sentencia recurrida el mismo valor jurídico al incumplimiento del deber de diligencia de una compañía mercantil que al incumplimiento del deber de diligencia de una prestadora de servicios de pago y transferencia, cuando Privalia se rige por el estándar de diligencia mercantil del «ordenado empresario», mientras que el Banco está sujeto al deber de diligencia súper cualificado del «comerciante experto», por lo que según establecen los arts. 255 y 307 CCom, se le exige un estándar de especial cuidado, lo que determina que la negligencia del profesional absorbe la falta de diligencia del cliente bancario, y que, al no haberlo entendido así, la sentencia recurrida ha incurrido en una incorrecta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad civil.

iii) En el motivo tercero, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 1903 CC, en relación con el art. 1902 CC, al afirmar la sentencia recurrida que Privalia debe responder por los daños causados a sí misma por la actuación de la Sra. Zulima con base en el art. 1903 CC, lo que constituye «un error jurídico grave al prescindir del elemento esencial que delimita el régimen de responsabilidad extracontractual: la producción de un daño a un tercero». La recurrente sostiene en este sentido que «[l]a Sentencia de Apelación yerra al equiparar jurídicamente la obligación de "reparación" (de un daño a un tercero, quod non)-tal como reza literalmente el precepto-, con la obligación jurídica de "asumir un perjuicio" económico en la propia esfera patrimonial de Privalia -tal como sostiene la Sentencia-». Añade que «[e]sto supondría en definitiva afirmar que la obligación de "asumir un perjuicio" permite la enervación de la acción contractual que Privalia ostenta frente a Banco Santander, ex art. 1101 CC».

QUINTO. Planteamiento del recurso del Banco de Santander

El recurso de casación del Banco se funda en un motivo único en el que, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción de los arts. 1902 y 1101 CC, al atribuirle la sentencia recurrida una cuota de responsabilidad del 50% en el daño sufrido por Privalia, cuando «una recta aplicación de los criterios de imputación objetiva debe conducir a concluir que [... su] conducta [...] no guarda relación de causalidad legalmente relevante con el daño sufrido por Privalia, lo que determina que no se [le] pueda atribuir [...] ninguna responsabilidad por el fraude sufrido por la parte actora».

El Banco expone, en este sentido, que, conforme al principio de prohibición de regreso y al principio de confianza, el nexo causal entre el ilícito civil y el daño que la sentencia le atribuye queda enervado -por no ser jurídicamente relevante- por la participación activa de la propia Privalia en la producción del daño, al no haber dispuesto de mínimas barreras de protección en sus sistemas informáticos, así como por la actuación de la Sra. Zulima, quien, dejando de aplicar las normas de diligencia más básicas, cursó unas transferencias, desde luego, poco ortodoxas que deberían haberla conducido a extremar la prudencia al dar curso a aquellos pagos, máxime cuando Privalia ya había sido víctima previamente de otros delitos informáticos.

Añade que el fin o el ámbito de protección de la norma determina también la ausencia de una causalidad jurídicamente relevante, ya que, en el caso, es fácilmente constatable que el protocolo de transferencias no tenía por objeto relevar a la propia Privalia de adoptar medidas de autoprotección frente a delitos como el «phishing» o la estafa de la «llamada del CEO». Por ello, en la medida en que dicho protocolo no tenía por finalidad trasladar al Banco la responsabilidad derivada de un fraude de esta naturaleza, sino introducir mecanismos que dificultasen la consumación de este tipo de delitos (esto es, suplantaciones de personalidad frente al propio Banco), resulta evidente que la conducta negligente de Privalia -que la sentencia reconoce- exonera de responsabilidad al Banco.

SEXTO. Orden de análisis

A la vista del planteamiento de los recursos de casación, el orden de análisis será el siguiente.

En primer lugar, se examinará el motivo primero del recurso de casación interpuesto por Privalia, fundado en la infracción del art. 254 CC, en cuanto plantea, con carácter previo, la cuestión del régimen jurídico aplicable a la actuación del comisionista y, en particular, si el apartamiento de las instrucciones del comitente determina por sí solo un deber de indemnizar, con independencia de otras consideraciones relativas a la conducta del propio comitente.

Para el caso de desestimarse dicho motivo, se continuaría con el análisis del motivo tercero del recurso de Privalia, relativo a la infracción del art. 1903 CC en relación con el art. 1902 CC, al suscitar una cuestión autónoma, cual es la corrección jurídica de imputar a la propia perjudicada la conducta de su empleada a efectos de modular o reducir la indemnización.

Finalmente, se examinarían conjuntamente el motivo segundo del recurso de Privalia -fundado en la infracción del art. 297 CCom en relación con el art. 1101 CC- y el motivo único del recurso del Banco -basado en la infracción de este último precepto y del art. 1902 CC-, por cuanto ambos confluyen en una misma cuestión: la correcta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad. En efecto, mientras Privalia sostiene que la especial cualificación profesional del Banco determina que su eventual negligencia absorba la falta de diligencia del cliente, excluyendo o reduciendo decisivamente la relevancia causal de esta, el Banco mantiene, en sentido inverso, que la conducta de la propia perjudicada rompe o desplaza cualquier nexo causal imputable a la entidad bancaria. Esta común controversia sobre la incidencia causal de las conductas concurrentes y su eventual efecto excluyente o absorbente justifica su examen conjunto y en último lugar, una vez delimitados los presupuestos normativos de la responsabilidad y las reglas de imputación interna previamente controvertidas.

SÉPTIMO. Decisión de la Sala

1. Motivo primero del recurso de Privalia. El motivo debe desestimarse por lo que se expone a continuación. El planteamiento de la recurrente parte de una premisa incorrecta al atribuir al art. 254 CCom un alcance que no tiene. Dicho precepto no configura un régimen de responsabilidad objetiva del comisionista por el mero apartamiento de las instrucciones del comitente, sino que establece, en sentido inverso, una regla de exoneración de responsabilidad para el caso de que el comisionista se sujete a las instrucciones recibidas. De su tenor literal no cabe deducir que todo incumplimiento de tales instrucciones determine automáticamente la obligación de indemnizar con exclusión de cualquier otra consideración, ni que impida ponderar la conducta del propio comitente a efectos de la imputación del daño.

La sentencia recurrida no desconoce esta regla, sino que, partiendo de la existencia de un incumplimiento contractual imputable al Banco -por no ajustarse al protocolo de instrucciones ni desplegar las cautelas exigibles-, integra su enjuiciamiento en el marco general de la responsabilidad contractual, en particular en los arts. 1101 y 1258 CC, y procede a valorar conjuntamente las conductas concurrentes de ambas partes en la producción del daño.

En este contexto, la apreciación de una concurrencia de culpas no resulta incompatible con el régimen del contrato de comisión ni con el citado precepto mercantil, en la medida en que la responsabilidad del comisionista no se erige en un sistema ajeno a los criterios de imputación causal propios de la responsabilidad civil, que permiten modular la obligación de resarcir cuando el daño es también consecuencia de la conducta del acreedor. Pretender lo contrario supondría convertir la norma en una regla de responsabilidad automática, desprovista de todo juicio de causalidad, lo que no encuentra apoyo en su tenor ni en el sistema.

2.Motivo tercero del recurso de Privalia. El motivo debe desestimarse por lo que se expone a continuación. La queja de la recurrente se construye sobre una incorrecta comprensión del alcance de los arts. 1902 y 1903 CC, al entender que la Audiencia Provincial aplica el art. 1903 CC para imponer a la demandante una obligación de «resarcirse a sí misma», lo que ciertamente no sería conforme con la naturaleza de la responsabilidad extracontractual. Sin embargo, esa no es la función que dicho precepto desempeñan en la sentencia recurrida.

En efecto, la Audiencia Provincial no articula un pronunciamiento de condena autónomo con base en los citados preceptos, ni impone a la actora una obligación de reparación frente a sí misma, sino que acude al art. 1903 CC como criterio de imputación de la conducta de su empleada a la propia esfera de la empresa, a fin de valorar la incidencia de dicha conducta en la producción del daño. La referencia al régimen del art. 1903 CC cumple así una función integradora dentro del juicio de responsabilidad, en cuanto permite afirmar que la actuación negligente de la Sra. Zulima, realizada en el ámbito de sus funciones, no puede ser considerada ajena a la organización de la empresa, sino que debe serle imputada a efectos de apreciar una concurrencia de culpas.

Desde esta perspectiva, no resulta exigible la concurrencia de un daño a un tercero en los términos propios de la responsabilidad extracontractual, pues no se está ante el ejercicio de una acción fundada en los arts. 1902 y 1903 CC, sino ante un supuesto de responsabilidad contractual en el que el art. 1903 CC se utiliza como pauta de imputación subjetiva para determinar si el daño es también consecuencia de la conducta de la propia perjudicada.

En consecuencia, la sentencia recurrida no incurre en el error jurídico que se denuncia, ya que no equipara indebidamente la obligación de reparar un daño a un tercero con la de «asumir un perjuicio» propio, sino que se limita a integrar en el juicio de causalidad la conducta de la empleada como hecho imputable a la empresa, lo que permite moderar la indemnización por la concurrencia de la propia culpa de la perjudicada, que, según concluye la Audiencia Provincial, tuvo incidencia causal en la producción del resultado dañoso.

3. Motivos segundo del recurso de Privalia y único del recurso del Banco de Santander.Procede desestimar los dos motivos por lo que se expone a continuación. Ambos motivos parten de planteamientos antagónicos pero coincidentes en un mismo error de base: pretenden excluir la relevancia causal de la conducta propia mediante su absorción por la de la contraparte, lo que no resulta conforme con los criterios de imputación de la responsabilidad civil cuando, como aquí sucede, conforme a lo declarado por la Audiencia Provincial, concurren conductas negligentes de ambas partes que han contribuido de forma relevante a la producción del daño.

En cuanto al motivo segundo del recurso de Privalia, la tesis de que la especial cualificación profesional del Banco determina la absorción de la negligencia del cliente no puede ser acogida. Que al Banco se le debe aplicar a la hora de valorar su actuación un estándar de diligencia cualificado, acorde con su condición de profesional experto, es cierto; pero de ello no se sigue que cualquier incumplimiento de dicho estándar excluya, sin más, la relevancia causal de la conducta del cliente, al que tampoco cabe aplicarle, además, el estándar de diligencia del buen padre de familia, sino, como reconoce la propia Privalia, el de un ordenado empresario. El ordenamiento no consagra, en este ámbito, una regla de absorción automática de la culpa del cliente por la del profesional, sino que exige ponderar la incidencia causal de las conductas concurrentes, de modo que la mayor cualificación de uno de los intervinientes no elimina necesariamente la eficacia causal de la actuación negligente del otro cuando esta ha contribuido de manera relevante al resultado dañoso.

En el caso, la Audiencia Provincial no desconoce el especial deber de diligencia del Banco, sino que, precisamente por ello, declara su responsabilidad por no haber observado las cautelas derivadas del protocolo de instrucciones. Pero, al mismo tiempo, aprecia que la conducta de Privalia -tanto por la insuficiencia de las instrucciones internas dadas a su empleada como por la actuación de esta al ejecutar órdenes manifiestamente anómalas sin las comprobaciones mínimas exigibles- ha tenido una incidencia causal relevante en la producción del daño. Esta valoración no contradice el estándar reforzado exigible al Banco, sino que se sitúa en el plano distinto de la concurrencia de culpas, cuya apreciación no queda excluida por la condición de profesional experto de una de las partes. En consecuencia, no cabe apreciar la infracción denunciada.

Por su parte, el motivo único del recurso del Banco, que niega toda relevancia causal a su conducta, tampoco puede prosperar. La sentencia recurrida declara, de forma expresa y fundada, que la entidad bancaria incumplió las instrucciones recibidas y no desplegó las cautelas exigibles, en particular al no verificar la autenticidad de las órdenes mediante la confirmación telefónica pactada, pese a tratarse de operaciones anómalas y dirigidas a beneficiarios no autorizados. Este incumplimiento constituye un factor causal jurídicamente relevante en la producción del daño, en cuanto permitió la efectiva disposición de los fondos y la consumación del fraude.

Las alegaciones del Banco relativas al principio de confianza, a la prohibición de regreso o al ámbito de protección de la norma no desvirtúan esta conclusión, pues la conducta negligente de Privalia no elimina, sino que concurre con la del Banco en la producción del resultado. La existencia de fallos en los mecanismos internos de la empresa o la actuación imprudente de su empleada no rompe el nexo causal derivado del incumplimiento contractual de la entidad bancaria, sino que justifica, como correctamente aprecia la Audiencia Provincial, una distribución de la responsabilidad en función de la incidencia causal de ambas conductas.

Como recuerda la sentencia 656/2026, de 28 de abril:

«Es doctrina reiterada de esta sala que corresponde a los tribunales de instancia fijar el grado de participación de los distintos agentes en la producción del resultado dañoso, al objeto de determinar los porcentajes de responsabilidad por concurrencia de culpas. La revisión casacional sobre esta cuestión se limita a dos casos: los supuestos de grave desproporción y la defectuosa apreciación del nexo causal.

»Así se explica en las sentencias 751/2021, de 2 de noviembre, con cita de otras anteriores (sentencias 388/2008, de 20 de mayo; 229/2010, de 25 de marzo; 732/2010, de 11 de noviembre; 200/2012, de 26 de marzo; y 609/2021, de 20 de septiembre), y 730/2021, de 28 de octubre, que además establece que en los supuestos excepcionales de revisión casacional de los porcentajes de responsabilidad por concurrencia de culpas deben ser respetados los hechos probados».

En definitiva, al haber apreciado la sentencia recurrida, de forma razonada y conforme a Derecho, una concurrencia de culpas con relevancia causal equivalente, sin incurrir ni en la absorción de la culpa de una parte por la otra ni en la exclusión indebida del nexo causal, procede desestimar ambos motivos.

OCTAVO. Costas y depósitos

Se imponen a Privalia y al Banco las costas de sus respectivos recursos, con pérdida de los depósitos constituidos para recurrir ( arts. 398.1 y 394.1 LEC y disposición adicional 15.ª, apartado 9.ª , LOPJ, respectivamente).?

PRIMERO. Resumen de antecedentes

1.Privalia Venta Directa, SAU (en adelante, Privalia) interpuso una demanda contra el Banco de Santander, SA (en adelante, el Banco) por incumplimiento contractual y actuación negligente «en su condición de comisionista y proveedor del servicio de cuenta corriente y transferencia bancaria», solicitando su condena en los términos transcritos en el antecedente de hecho primero de esta resolución.

En la demanda se expuso que el Banco incumplió el mandato expreso relativo a la forma de realización y aprobación de transferencias bancarias de Privalia al procesar hasta siete operaciones anómalas de transferencia de fondos -ordenadas por una empleada de su departamento de tesorería, D.ª Zulima, por correo electrónico tras ser víctima de un engaño consistente en la suplantación de personalidad de uno de sus consejeros y cofundadores-, por importe superior a un millón y medio de euros, desde la cuenta corriente de aquella con destino a cuentas de sociedades desconocidas, ubicadas en China, en contra del protocolo de instrucciones de 17 de diciembre de 2014 vinculante entre las partes. Privalia sostiene que la ejecución de dichas transferencias sin examinar adecuadamente la veracidad y procedencia de las órdenes, así como el incumplimiento del protocolo de instrucciones recibido, constituye un supuesto de negligencia muy grave que determina la responsabilidad del Banco y le obliga a resarcir los daños y perjuicios causados, que ascienden a 1.566.951,50 euros.

2.En el email con el que se envió el protocolo, remitido por Privalia al Banco, así como, en copia oculta, a la Sra. Zulima, se exponía lo siguiente:

«No sé si lo sabéis pero hace unos meses fuimos víctimas de un fraude a través de Internet. Unos hackers entraron en el mail de Zulima (una persona que trabaja conmigo en tesorería) y con una de las cartas a través de las que ordenamos transferencias, se ordenaron una transferencia a una cuenta de Malasia. A partir de este momento dimos orden a todas las entidades financieras de no aceptar ninguna transferencia ordenada por carta desde una cuenta de Privalia.

» Os escribo para indicaros que hemos decidido modificar algo esta restricción. En concreto hemos pensado en permitir ordenes por carta pero exclusivamente para transferencias dentro del grupo. En el documento adjunto encontraréis las cuentas y los beneficiarios a los cuales podría procesarse órdenes por cartas. Rogamos lo tengáis en cuenta para futuras transferencias que tengan que realizarse (i.e.: envío de fondos a Brasil a DFL).

» Cualquier duda, decidme y lo comentamos» (sic).

En el documento adjunto a dicho email, firmado por D. Claudio, consejero delegado y cofundador de Privalia, y dirigido al Banco -en concreto, a la atención de D.ª Estefanía-, se exponía, a su vez, lo siguiente:

«Le informamos mediante la presente que Privalia Venta Directa, S.A. ("Privalia" o la "Compañía") está elaborando una política interna relativa a la solicitud de órdenes de transferencia por carta enviada mediante correo electrónico.

» En relación con el referido asunto y si bien les comunicamos hace unas semanas que no debían aceptar ninguna orden de transferencia solicitada por correo electrónico, la Dirección de Privalia ha acordado que, mientras se elabora y aprueba el procedimiento interno definitivo por el Comité de Cumplimiento Normativo de la Compañía les solicitamos que solo procesen las solicitudes que por este método tengan como destinatario, banco y número de cuenta, alguno de los siguientes:

»[...]

» Todas las anteriores cuentas bancarias pertenecen a compañías del grupo Privalia. En consecuencia, cualquier transferencia ordenada desde nuestras cuentas de correo electrónico a cualquier otro beneficiario debe ser denegada y, por lo tanto, no procesada.

» Asimismo, como medida adicional de seguridad, les pedimos que antes de procesar la orden confirmen telefónicamente al nº NUM000 (ext. NUM001) con el Chief Financial Officer de Privalia, el señor Manuel, la autenticidad de dicha solicitud» (sic).

Los hechos que desencadenaron el engaño a la Sra. Zulima y el fraude a Privalia son, tal y como los recoge la Audiencia Provincial, los siguientes:

«el 24-5-2016 una persona que decía llamarse Carlos Jesús, abogado de KPMG contactó con la Sra. Zulima a través de su número de teléfono fijo del trabajo comunicándole de parte del cofundador de la empresa, Sr. Claudio, que ella se tendría que encargar de una OPA por la adquisición de una empresa china y que sería el propio Sr. Claudio quien contactaría personalmente con ella para comentarle el tema, y que no podía hablar con nadie sobre esta operación. La Sra. Zulima va comprobar per internet que el Sr. Carlos Jesús era abogado fiscalista de KPMG. El mismo día 24 se le informó de que no podía hablar con nadie del tema, porque así lo exigía la CNMV y que tenía que firmar un acuerdo de confidencialidad (doc. 12 y 13, f. 255-256), que firmó. El mismo día, quien se hizo pasar por Carlos Jesús envió una factura del 5% del precio de compra de la compañía, 137.938,50€ y le pidió que preparase una carta para que el Sr. Claudio autorizara la transferencia (doc. 14, f. 257), la preparó y la envió al supuesto Sr. Carlos Jesús; al día siguiente, el 25 recibió un correo con la carta adjunta firmada (firma que ella interpretó que era la del Sr. Claudio, doc. 15, f. 258) autorizando la transferencia.

» Seguidamente, se puso en contacto con ahora la demanda para solicitar la transferencia (doc. 15 y ss. f. 259 y ss.). Esta operativa se repitió durante los siguientes 15 días seis veces más. Estas cartas que enviaba la Sra. Zulima, que ni tan solo era apoderada de la parte actora, fueron contestadas por el banco demandado a través del Sr. Gabino quién le facilitaba a la Sra. Zulima el duplicado del mensaje SWIFT de ejecución de las transferencias, (doc. 15, 7 cartas supuestamente firmadas por el Sr. Claudio, f. 259 y ss.). Si el banco hubiera cumplido las instrucciones dadas no se habrían producido estas transferencias defraudadoras, (137.938,50 euros el 25-3-2016, y 331.702 euros el 27-5-2016, a Wenzhou Xinhang Trading Co. Ltd. ; 226.778 euros el 31-5-2016, 198.120 euros el 31-5-2016, 173.802 euros el 3-6-2016 y 196.293 euros el 7-6-2016 a Wenzhou Jian Cng Shoes Limited Company y 302.318 euros el 9-6-2016 a Andongni Trading Limited, ver f. 265 y ss.). En ninguno de los casos se pidió la confirmación telefónica pactada, y los beneficiarios eran empresas chinas con las que nunca la parte actora había tenido ningún tipo de relación» (sic).

3.Por lo que ahora interesa, la sentencia de segunda instancia estimó en parte el recurso de apelación del Banco y, en consecuencia, revocó también parcialmente la de primera instancia, que había estimado íntegramente la demanda, reduciendo la condena por principal a la cantidad de 783.475,75 euros.

La Audiencia Provincial, tras rechazar los dos primeros motivos de apelación formulados por el Banco -el primero, en el que se alegaba que la finalidad exclusiva del documento de instrucciones de 17 de diciembre de 2014 era evitar las suplantaciones de identidad mediante fraude por ataque informático al sistema de Privalia, de modo que un tercero lograra operar haciéndose pasar por ella, pero no prevenir cualquier tipo de fraude, incluidos los engaños sufridos directamente por la persona que materialmente ordenase la transferencia; y el segundo, en el que se sostenía haber cumplido todos los deberes legalmente exigibles, actuando conforme a su propio protocolo interno y continuando con la práctica de confirmar las órdenes emitidas por correo electrónico mediante carta adjunta con la Sra. Zulima-, admite en parte el motivo tercero -en el que se argumentaba que el responsable del perjuicio era el autor del fraude y que el delito había sido favorecido por la propia perjudicada al no comprobar la autenticidad de la orden determinante de la decisión de ordenar las transferencias-, con el siguiente razonamiento:

«Obviamente, quien causa el perjuicio es el ladrón, el tercer defraudador, que, por lo que se deduce del conjunto de estas actuaciones, parece que sabía perfectamente que estas transferencias especiales, por llamarlas de alguna manera, eran el punto débil de Privalia.

» Ciertamente, la empresa que envía el mail de 17-12-2014 al banco tenía que ponerlo en conocimiento también de sus empleados, especialmente de la Sra. Zulima a quien se le había dejado claro que, a partir de ese momento, bajo ningún concepto tendría que ordenar transferencias por mail más carta adjunta a clientes ajenos al grupo de Privalia o más concretamente a las filiales de Brasil. Una diligencia no extrema, sino completa habría sido indicarle que esto sería así, aunque estuviera firmada o verbalizada la orden por el Sr. Manuel o por el Sr. Claudio -quien, al final, parece que aparece como único con capacidad de disposición sobre la cuenta en cuestión-. No obrar así comporta, entendemos, un grado de negligencia que no se puede pasar por alto.

» Igualmente, ante la orden insólita que dice haber recibido la Sra. Zulima de hacer las transferencias en secreto de todos, con los antecedentes de fraude anteriores, una mínima diligencia se le imponía a esta de confirmar el que se le decía desde un despacho de abogados, no desde la misma cúpula de la empresa, frente al Sr. Manuel o, mejor incluso, frente al Sr. Claudio que aparentemente le daba la confianza de llevar este asunto a buen puerto y en absoluto secreto bajo el pretexto de ser una operación de compra de empresas en China que no había de transcender de ninguna manera.

» Negligencia, por tanto, de la directiva en no dar instrucciones precisas internas (al menos aquí no constan) de comportarse todos los empleados implicados estrictamente conforme a las instrucciones dadas al banco. No tanto, en cambio, por no haber reaccionado ante la ambigüedad, cuando menos, de la actitud del banco ya que hemos de concluir que todo indica que el cliente creía firmemente que sus instrucciones serían seguidas por el banco.

»Y, además, negligencia concurrente de la que hasta entonces se encargaba de las transferencias, de la que tiene que responder la empresa ( art. 1903 CC in suis principis), pues de la misma manera que habría de asumir un daño que dicha empleada ha causado a un tercero también tiene que asumir el perjuicio causado a sí misma, ya que la diligencia media exigible a cualquier persona la tendría que haber hecho reaccionar a partir de valorar la rareza de esta operación.

» Por tanto, sí le es reprobable contractualmente al banco no haber atendido las exigencias razonables del cliente ( art. 1101 CC y 1254, 1258 CC) , en cuanto que no ha velado, procediendo de esta manera, por sus intereses como si fueran propios, dejándolo indefenso -que le costaba al responsable de la oficina de Pere IV coger el teléfono, contactar con Manuel y confirmar la operación; o de no conseguir contactar con él, abstenerse de ejecutar la orden?, también es cierto que el cliente, la empresa ahora parte actora concurre en la responsabilidad por el resultado en una cuota idéntica.

» En conclusión, cabe estimar en parte el motivo y el recurso y reducir la indemnización establecida al 50%, manteniendo el pronunciamiento en cuanto a intereses.» (sic).

4.Privalia ha interpuesto sendos recursos extraordinarios, por infracción procesal y de casación, que han sido admitidos. Por su parte, el Banco ha interpuesto un recurso de casación, igualmente admitido.

Recurso extraordinario por infracción procesal de Privalia

SEGUNDO. Planteamiento del recurso

El recurso extraordinario por infracción procesal se funda en tres motivos:

i) En el motivo primero, por el cauce del art. 469.1.2.º LEC, se denuncia la infracción del art. 218.2 LEC, en relación con los arts. 24 y 120.3 CE, por falta de motivación, al no exteriorizar la sentencia recurrida el criterio jurídico por el que atribuye a cada parte una cuota de responsabilidad del 50%.

ii) En el motivo segundo, por el cauce del art. 469.1.4.º LEC, se denuncia la existencia de error patente en la valoración de la prueba, en relación con el correo electrónico de 17 de diciembre de 2014 -aportado como documento n.º 9 de la demanda-, enviado por Privalia al Banco, y en copia oculta a la Sra. Zulima, «al afirmar [la sentencia recurrida] que Privalia debió haber puesto en conocimiento de los empleados ("especialmente de la Sra. Zulima") el protocolo de transferencias de 17 de diciembre de 2014».

iii) En el motivo tercero, por el cauce del art. 469.1.4.º LEC, se denuncia la existencia de error patente en la valoración de la prueba testifical del Sr. Manuel, que declaró que la Sra. Zulima conocía el protocolo de instrucciones, «al afirmar [la sentencia recurrida] que Privalia debió haber puesto en conocimiento de los empleados ("especialmente de la Sra. Zulima") el protocolo de transferencias de 17 de diciembre de 2014».

TERCERO. Decisión de la Sala: desestimación del recurso

1.Motivo primero. El motivo primero del recurso debe desestimarse porque, a la luz de la doctrina consolidada sobre el deber de motivación -expresión del derecho a la tutela judicial efectiva reconocido en el art. 24 CE y desarrollado en los arts. 120.3 CE y 218.2 LEC-, según la cual «la motivación ha de ser la manifestación suficiente de la justificación causal del fallo, mediante la expresión de las razones de hecho y de Derecho que integran el proceso lógico-jurídico que conduce a la decisión», de modo que han de reputarse suficientemente motivadas «aquellas resoluciones que vengan apoyadas en razones que permitan conocer cuáles han sido los criterios jurídicos esenciales fundamentadores de la decisión, es decir, la ratio decidendi» (por todas, sentencia 592/2026, de 16 de abril), la sentencia recurrida contiene una fundamentación suficiente que permite conocer con claridad la ratio decidendide la decisión adoptada.

En efecto, la Audiencia Provincial no se limita a proclamar apodícticamente una reducción de la indemnización, sino que articula un razonamiento en el que identifica, de un lado, un incumplimiento contractual relevante por parte del Banco al apartarse de las instrucciones recibidas y no extremar las cautelas exigibles y, de otro, una conducta negligente imputable a Privalia, tanto en la configuración y transmisión interna de dichas instrucciones como en la actuación de su empleada en la ejecución de las órdenes de transferencia.

Sobre esa base, considera que el daño no es imputable en exclusiva a una de las partes, sino que resulta de una concurrencia de culpas, y exterioriza el criterio jurídico que conduce a fijar una distribución paritaria de la responsabilidad, al entender que ambos comportamientos contribuyen de forma equivalente a la producción del resultado dañoso -«[...] también es cierto que el cliente, la empresa ahora parte actora concurren en la responsabilidad por el resultado en una cuota idéntica»-. Esta explicitación satisface plenamente la exigencia de motivación, en cuanto permite a las partes conocer las razones -fácticas y jurídicas- determinantes del fallo y posibilita su eventual impugnación a través de los recursos legalmente previstos.

En realidad, la queja de la recurrente no pone de manifiesto una ausencia de motivación, sino su desacuerdo con la ponderación efectuada por el tribunal de apelación acerca de la incidencia causal y la gravedad relativa de las conductas concurrentes, lo que pertenece al ámbito de la valoración jurídica y no puede reconducirse al vicio procesal denunciado. Por ello, al no apreciarse déficit alguno de motivación en los términos exigidos por la jurisprudencia constitucional y de esta Sala, el motivo debe ser desestimado.

2. Motivos segundo y tercero.Los motivos segundo y tercero del recurso deben examinarse conjuntamente porque, aunque se refieren a distintos medios de prueba -el primero a la documental y el segundo a la testifical-, ambos articulan una misma queja impugnatoria: la existencia de un error patente en la valoración de la prueba que habría conducido a la Audiencia Provincial a afirmar un mismo hecho, a saber, que la entidad actora no puso en conocimiento de sus empleados, y en particular de la Sra. Zulima, el protocolo de transferencias. Existe, por tanto, una plena identidad en la infracción denunciada y en el hecho que se considera erróneo, lo que justifica un tratamiento conjunto de ambos motivos.

Sentado lo anterior, los motivos deben ser desestimados. La razón es, en primer término, que parten de una premisa fáctica que no se corresponde con lo afirmado en la sentencia recurrida. La Audiencia Provincial no sostiene que la Sra. Zulima desconociera el protocolo remitido por la recurrente a la entidad recurrida; antes al contrario, parte de que, a partir de su comunicación, «se le había dejado claro que [...] bajo ningún concepto tendría que ordenar transferencias por mail más carta adjunta a clientes ajenos al grupo de Privalia, o más concretamente a las filiales de Brasil».

En segundo término, y de forma decisiva, la imputación de responsabilidad a Privalia no descansa en ese pretendido desconocimiento, sino en un elemento distinto que constituye -junto con la actuación negligente de la Sra. Zulima en la ejecución de las órdenes de transferencia- la verdadera ratio decidendide la resolución: la insuficiencia de las instrucciones internas dadas a la empleada, al no habérsele indicado que la prohibición de cursar tales órdenes debía mantenerse incluso en el caso de que aparecieran formalmente autorizadas o respaldadas por el Sr. Manuel o por el Sr. Claudio. Es en esa omisión -calificada por la Audiencia Provincial como falta de una diligencia completa- donde se sitúa el fundamento de la negligencia atribuida a Privalia.

De este modo, los motivos no combaten la razón decisoria de la sentencia, sino que se dirigen contra una afirmación que no constituye el soporte del fallo. Y, conforme a la jurisprudencia reiterada de esta Sala, el recurso extraordinario no puede prosperar cuando se articula al margen de la ratio decidendide la resolución impugnada (por todas, sentencias 83/2025, de 16 de enero, y 307/2025, de 26 de febrero). En consecuencia, al no concurrir el error patente denunciado en los términos en que se plantea y no dirigirse la impugnación contra el fundamento real de la decisión, los motivos deben ser desestimados.

3. Conclusión.Una vez desestimados todos sus motivos, procede desestimar el recurso extraordinario por infracción procesal interpuesto por Privalia.

Recursos de casación de Privalia y del Banco de Santander

CUARTO. Planteamiento del recurso de Privalia

El recurso de casación de Privalia se funda, también, en tres motivos:

i) En el motivo primero, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 254 CCom, pues al ponderar la sentencia la responsabilidad del comisionista con el grado de diligencia desplegado por el propio comitente se ha obviado que dicho precepto «establece un régimen de responsabilidad sujeto a indemnización al comitente de carácter objetivo, esto es, en caso de apartarse de las instrucciones del comitente, el comisionista deberá indemnizar».

ii) En el motivo segundo, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 297 CCom, en relación con el art. 1101 CC, al conceder la sentencia recurrida el mismo valor jurídico al incumplimiento del deber de diligencia de una compañía mercantil que al incumplimiento del deber de diligencia de una prestadora de servicios de pago y transferencia, cuando Privalia se rige por el estándar de diligencia mercantil del «ordenado empresario», mientras que el Banco está sujeto al deber de diligencia súper cualificado del «comerciante experto», por lo que según establecen los arts. 255 y 307 CCom, se le exige un estándar de especial cuidado, lo que determina que la negligencia del profesional absorbe la falta de diligencia del cliente bancario, y que, al no haberlo entendido así, la sentencia recurrida ha incurrido en una incorrecta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad civil.

iii) En el motivo tercero, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 1903 CC, en relación con el art. 1902 CC, al afirmar la sentencia recurrida que Privalia debe responder por los daños causados a sí misma por la actuación de la Sra. Zulima con base en el art. 1903 CC, lo que constituye «un error jurídico grave al prescindir del elemento esencial que delimita el régimen de responsabilidad extracontractual: la producción de un daño a un tercero». La recurrente sostiene en este sentido que «[l]a Sentencia de Apelación yerra al equiparar jurídicamente la obligación de "reparación" (de un daño a un tercero, quod non)-tal como reza literalmente el precepto-, con la obligación jurídica de "asumir un perjuicio" económico en la propia esfera patrimonial de Privalia -tal como sostiene la Sentencia-». Añade que «[e]sto supondría en definitiva afirmar que la obligación de "asumir un perjuicio" permite la enervación de la acción contractual que Privalia ostenta frente a Banco Santander, ex art. 1101 CC».

QUINTO. Planteamiento del recurso del Banco de Santander

El recurso de casación del Banco se funda en un motivo único en el que, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción de los arts. 1902 y 1101 CC, al atribuirle la sentencia recurrida una cuota de responsabilidad del 50% en el daño sufrido por Privalia, cuando «una recta aplicación de los criterios de imputación objetiva debe conducir a concluir que [... su] conducta [...] no guarda relación de causalidad legalmente relevante con el daño sufrido por Privalia, lo que determina que no se [le] pueda atribuir [...] ninguna responsabilidad por el fraude sufrido por la parte actora».

El Banco expone, en este sentido, que, conforme al principio de prohibición de regreso y al principio de confianza, el nexo causal entre el ilícito civil y el daño que la sentencia le atribuye queda enervado -por no ser jurídicamente relevante- por la participación activa de la propia Privalia en la producción del daño, al no haber dispuesto de mínimas barreras de protección en sus sistemas informáticos, así como por la actuación de la Sra. Zulima, quien, dejando de aplicar las normas de diligencia más básicas, cursó unas transferencias, desde luego, poco ortodoxas que deberían haberla conducido a extremar la prudencia al dar curso a aquellos pagos, máxime cuando Privalia ya había sido víctima previamente de otros delitos informáticos.

Añade que el fin o el ámbito de protección de la norma determina también la ausencia de una causalidad jurídicamente relevante, ya que, en el caso, es fácilmente constatable que el protocolo de transferencias no tenía por objeto relevar a la propia Privalia de adoptar medidas de autoprotección frente a delitos como el «phishing» o la estafa de la «llamada del CEO». Por ello, en la medida en que dicho protocolo no tenía por finalidad trasladar al Banco la responsabilidad derivada de un fraude de esta naturaleza, sino introducir mecanismos que dificultasen la consumación de este tipo de delitos (esto es, suplantaciones de personalidad frente al propio Banco), resulta evidente que la conducta negligente de Privalia -que la sentencia reconoce- exonera de responsabilidad al Banco.

SEXTO. Orden de análisis

A la vista del planteamiento de los recursos de casación, el orden de análisis será el siguiente.

En primer lugar, se examinará el motivo primero del recurso de casación interpuesto por Privalia, fundado en la infracción del art. 254 CC, en cuanto plantea, con carácter previo, la cuestión del régimen jurídico aplicable a la actuación del comisionista y, en particular, si el apartamiento de las instrucciones del comitente determina por sí solo un deber de indemnizar, con independencia de otras consideraciones relativas a la conducta del propio comitente.

Para el caso de desestimarse dicho motivo, se continuaría con el análisis del motivo tercero del recurso de Privalia, relativo a la infracción del art. 1903 CC en relación con el art. 1902 CC, al suscitar una cuestión autónoma, cual es la corrección jurídica de imputar a la propia perjudicada la conducta de su empleada a efectos de modular o reducir la indemnización.

Finalmente, se examinarían conjuntamente el motivo segundo del recurso de Privalia -fundado en la infracción del art. 297 CCom en relación con el art. 1101 CC- y el motivo único del recurso del Banco -basado en la infracción de este último precepto y del art. 1902 CC-, por cuanto ambos confluyen en una misma cuestión: la correcta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad. En efecto, mientras Privalia sostiene que la especial cualificación profesional del Banco determina que su eventual negligencia absorba la falta de diligencia del cliente, excluyendo o reduciendo decisivamente la relevancia causal de esta, el Banco mantiene, en sentido inverso, que la conducta de la propia perjudicada rompe o desplaza cualquier nexo causal imputable a la entidad bancaria. Esta común controversia sobre la incidencia causal de las conductas concurrentes y su eventual efecto excluyente o absorbente justifica su examen conjunto y en último lugar, una vez delimitados los presupuestos normativos de la responsabilidad y las reglas de imputación interna previamente controvertidas.

SÉPTIMO. Decisión de la Sala

1. Motivo primero del recurso de Privalia. El motivo debe desestimarse por lo que se expone a continuación. El planteamiento de la recurrente parte de una premisa incorrecta al atribuir al art. 254 CCom un alcance que no tiene. Dicho precepto no configura un régimen de responsabilidad objetiva del comisionista por el mero apartamiento de las instrucciones del comitente, sino que establece, en sentido inverso, una regla de exoneración de responsabilidad para el caso de que el comisionista se sujete a las instrucciones recibidas. De su tenor literal no cabe deducir que todo incumplimiento de tales instrucciones determine automáticamente la obligación de indemnizar con exclusión de cualquier otra consideración, ni que impida ponderar la conducta del propio comitente a efectos de la imputación del daño.

La sentencia recurrida no desconoce esta regla, sino que, partiendo de la existencia de un incumplimiento contractual imputable al Banco -por no ajustarse al protocolo de instrucciones ni desplegar las cautelas exigibles-, integra su enjuiciamiento en el marco general de la responsabilidad contractual, en particular en los arts. 1101 y 1258 CC, y procede a valorar conjuntamente las conductas concurrentes de ambas partes en la producción del daño.

En este contexto, la apreciación de una concurrencia de culpas no resulta incompatible con el régimen del contrato de comisión ni con el citado precepto mercantil, en la medida en que la responsabilidad del comisionista no se erige en un sistema ajeno a los criterios de imputación causal propios de la responsabilidad civil, que permiten modular la obligación de resarcir cuando el daño es también consecuencia de la conducta del acreedor. Pretender lo contrario supondría convertir la norma en una regla de responsabilidad automática, desprovista de todo juicio de causalidad, lo que no encuentra apoyo en su tenor ni en el sistema.

2.Motivo tercero del recurso de Privalia. El motivo debe desestimarse por lo que se expone a continuación. La queja de la recurrente se construye sobre una incorrecta comprensión del alcance de los arts. 1902 y 1903 CC, al entender que la Audiencia Provincial aplica el art. 1903 CC para imponer a la demandante una obligación de «resarcirse a sí misma», lo que ciertamente no sería conforme con la naturaleza de la responsabilidad extracontractual. Sin embargo, esa no es la función que dicho precepto desempeñan en la sentencia recurrida.

En efecto, la Audiencia Provincial no articula un pronunciamiento de condena autónomo con base en los citados preceptos, ni impone a la actora una obligación de reparación frente a sí misma, sino que acude al art. 1903 CC como criterio de imputación de la conducta de su empleada a la propia esfera de la empresa, a fin de valorar la incidencia de dicha conducta en la producción del daño. La referencia al régimen del art. 1903 CC cumple así una función integradora dentro del juicio de responsabilidad, en cuanto permite afirmar que la actuación negligente de la Sra. Zulima, realizada en el ámbito de sus funciones, no puede ser considerada ajena a la organización de la empresa, sino que debe serle imputada a efectos de apreciar una concurrencia de culpas.

Desde esta perspectiva, no resulta exigible la concurrencia de un daño a un tercero en los términos propios de la responsabilidad extracontractual, pues no se está ante el ejercicio de una acción fundada en los arts. 1902 y 1903 CC, sino ante un supuesto de responsabilidad contractual en el que el art. 1903 CC se utiliza como pauta de imputación subjetiva para determinar si el daño es también consecuencia de la conducta de la propia perjudicada.

En consecuencia, la sentencia recurrida no incurre en el error jurídico que se denuncia, ya que no equipara indebidamente la obligación de reparar un daño a un tercero con la de «asumir un perjuicio» propio, sino que se limita a integrar en el juicio de causalidad la conducta de la empleada como hecho imputable a la empresa, lo que permite moderar la indemnización por la concurrencia de la propia culpa de la perjudicada, que, según concluye la Audiencia Provincial, tuvo incidencia causal en la producción del resultado dañoso.

3. Motivos segundo del recurso de Privalia y único del recurso del Banco de Santander.Procede desestimar los dos motivos por lo que se expone a continuación. Ambos motivos parten de planteamientos antagónicos pero coincidentes en un mismo error de base: pretenden excluir la relevancia causal de la conducta propia mediante su absorción por la de la contraparte, lo que no resulta conforme con los criterios de imputación de la responsabilidad civil cuando, como aquí sucede, conforme a lo declarado por la Audiencia Provincial, concurren conductas negligentes de ambas partes que han contribuido de forma relevante a la producción del daño.

En cuanto al motivo segundo del recurso de Privalia, la tesis de que la especial cualificación profesional del Banco determina la absorción de la negligencia del cliente no puede ser acogida. Que al Banco se le debe aplicar a la hora de valorar su actuación un estándar de diligencia cualificado, acorde con su condición de profesional experto, es cierto; pero de ello no se sigue que cualquier incumplimiento de dicho estándar excluya, sin más, la relevancia causal de la conducta del cliente, al que tampoco cabe aplicarle, además, el estándar de diligencia del buen padre de familia, sino, como reconoce la propia Privalia, el de un ordenado empresario. El ordenamiento no consagra, en este ámbito, una regla de absorción automática de la culpa del cliente por la del profesional, sino que exige ponderar la incidencia causal de las conductas concurrentes, de modo que la mayor cualificación de uno de los intervinientes no elimina necesariamente la eficacia causal de la actuación negligente del otro cuando esta ha contribuido de manera relevante al resultado dañoso.

En el caso, la Audiencia Provincial no desconoce el especial deber de diligencia del Banco, sino que, precisamente por ello, declara su responsabilidad por no haber observado las cautelas derivadas del protocolo de instrucciones. Pero, al mismo tiempo, aprecia que la conducta de Privalia -tanto por la insuficiencia de las instrucciones internas dadas a su empleada como por la actuación de esta al ejecutar órdenes manifiestamente anómalas sin las comprobaciones mínimas exigibles- ha tenido una incidencia causal relevante en la producción del daño. Esta valoración no contradice el estándar reforzado exigible al Banco, sino que se sitúa en el plano distinto de la concurrencia de culpas, cuya apreciación no queda excluida por la condición de profesional experto de una de las partes. En consecuencia, no cabe apreciar la infracción denunciada.

Por su parte, el motivo único del recurso del Banco, que niega toda relevancia causal a su conducta, tampoco puede prosperar. La sentencia recurrida declara, de forma expresa y fundada, que la entidad bancaria incumplió las instrucciones recibidas y no desplegó las cautelas exigibles, en particular al no verificar la autenticidad de las órdenes mediante la confirmación telefónica pactada, pese a tratarse de operaciones anómalas y dirigidas a beneficiarios no autorizados. Este incumplimiento constituye un factor causal jurídicamente relevante en la producción del daño, en cuanto permitió la efectiva disposición de los fondos y la consumación del fraude.

Las alegaciones del Banco relativas al principio de confianza, a la prohibición de regreso o al ámbito de protección de la norma no desvirtúan esta conclusión, pues la conducta negligente de Privalia no elimina, sino que concurre con la del Banco en la producción del resultado. La existencia de fallos en los mecanismos internos de la empresa o la actuación imprudente de su empleada no rompe el nexo causal derivado del incumplimiento contractual de la entidad bancaria, sino que justifica, como correctamente aprecia la Audiencia Provincial, una distribución de la responsabilidad en función de la incidencia causal de ambas conductas.

Como recuerda la sentencia 656/2026, de 28 de abril:

«Es doctrina reiterada de esta sala que corresponde a los tribunales de instancia fijar el grado de participación de los distintos agentes en la producción del resultado dañoso, al objeto de determinar los porcentajes de responsabilidad por concurrencia de culpas. La revisión casacional sobre esta cuestión se limita a dos casos: los supuestos de grave desproporción y la defectuosa apreciación del nexo causal.

»Así se explica en las sentencias 751/2021, de 2 de noviembre, con cita de otras anteriores (sentencias 388/2008, de 20 de mayo; 229/2010, de 25 de marzo; 732/2010, de 11 de noviembre; 200/2012, de 26 de marzo; y 609/2021, de 20 de septiembre), y 730/2021, de 28 de octubre, que además establece que en los supuestos excepcionales de revisión casacional de los porcentajes de responsabilidad por concurrencia de culpas deben ser respetados los hechos probados».

En definitiva, al haber apreciado la sentencia recurrida, de forma razonada y conforme a Derecho, una concurrencia de culpas con relevancia causal equivalente, sin incurrir ni en la absorción de la culpa de una parte por la otra ni en la exclusión indebida del nexo causal, procede desestimar ambos motivos.

OCTAVO. Costas y depósitos

Se imponen a Privalia y al Banco las costas de sus respectivos recursos, con pérdida de los depósitos constituidos para recurrir ( arts. 398.1 y 394.1 LEC y disposición adicional 15.ª, apartado 9.ª , LOPJ, respectivamente).?

PRIMERO. Resumen de antecedentes

1.Privalia Venta Directa, SAU (en adelante, Privalia) interpuso una demanda contra el Banco de Santander, SA (en adelante, el Banco) por incumplimiento contractual y actuación negligente «en su condición de comisionista y proveedor del servicio de cuenta corriente y transferencia bancaria», solicitando su condena en los términos transcritos en el antecedente de hecho primero de esta resolución.

En la demanda se expuso que el Banco incumplió el mandato expreso relativo a la forma de realización y aprobación de transferencias bancarias de Privalia al procesar hasta siete operaciones anómalas de transferencia de fondos -ordenadas por una empleada de su departamento de tesorería, D.ª Zulima, por correo electrónico tras ser víctima de un engaño consistente en la suplantación de personalidad de uno de sus consejeros y cofundadores-, por importe superior a un millón y medio de euros, desde la cuenta corriente de aquella con destino a cuentas de sociedades desconocidas, ubicadas en China, en contra del protocolo de instrucciones de 17 de diciembre de 2014 vinculante entre las partes. Privalia sostiene que la ejecución de dichas transferencias sin examinar adecuadamente la veracidad y procedencia de las órdenes, así como el incumplimiento del protocolo de instrucciones recibido, constituye un supuesto de negligencia muy grave que determina la responsabilidad del Banco y le obliga a resarcir los daños y perjuicios causados, que ascienden a 1.566.951,50 euros.

2.En el email con el que se envió el protocolo, remitido por Privalia al Banco, así como, en copia oculta, a la Sra. Zulima, se exponía lo siguiente:

«No sé si lo sabéis pero hace unos meses fuimos víctimas de un fraude a través de Internet. Unos hackers entraron en el mail de Zulima (una persona que trabaja conmigo en tesorería) y con una de las cartas a través de las que ordenamos transferencias, se ordenaron una transferencia a una cuenta de Malasia. A partir de este momento dimos orden a todas las entidades financieras de no aceptar ninguna transferencia ordenada por carta desde una cuenta de Privalia.

» Os escribo para indicaros que hemos decidido modificar algo esta restricción. En concreto hemos pensado en permitir ordenes por carta pero exclusivamente para transferencias dentro del grupo. En el documento adjunto encontraréis las cuentas y los beneficiarios a los cuales podría procesarse órdenes por cartas. Rogamos lo tengáis en cuenta para futuras transferencias que tengan que realizarse (i.e.: envío de fondos a Brasil a DFL).

» Cualquier duda, decidme y lo comentamos» (sic).

En el documento adjunto a dicho email, firmado por D. Claudio, consejero delegado y cofundador de Privalia, y dirigido al Banco -en concreto, a la atención de D.ª Estefanía-, se exponía, a su vez, lo siguiente:

«Le informamos mediante la presente que Privalia Venta Directa, S.A. ("Privalia" o la "Compañía") está elaborando una política interna relativa a la solicitud de órdenes de transferencia por carta enviada mediante correo electrónico.

» En relación con el referido asunto y si bien les comunicamos hace unas semanas que no debían aceptar ninguna orden de transferencia solicitada por correo electrónico, la Dirección de Privalia ha acordado que, mientras se elabora y aprueba el procedimiento interno definitivo por el Comité de Cumplimiento Normativo de la Compañía les solicitamos que solo procesen las solicitudes que por este método tengan como destinatario, banco y número de cuenta, alguno de los siguientes:

»[...]

» Todas las anteriores cuentas bancarias pertenecen a compañías del grupo Privalia. En consecuencia, cualquier transferencia ordenada desde nuestras cuentas de correo electrónico a cualquier otro beneficiario debe ser denegada y, por lo tanto, no procesada.

» Asimismo, como medida adicional de seguridad, les pedimos que antes de procesar la orden confirmen telefónicamente al nº NUM000 (ext. NUM001) con el Chief Financial Officer de Privalia, el señor Manuel, la autenticidad de dicha solicitud» (sic).

Los hechos que desencadenaron el engaño a la Sra. Zulima y el fraude a Privalia son, tal y como los recoge la Audiencia Provincial, los siguientes:

«el 24-5-2016 una persona que decía llamarse Carlos Jesús, abogado de KPMG contactó con la Sra. Zulima a través de su número de teléfono fijo del trabajo comunicándole de parte del cofundador de la empresa, Sr. Claudio, que ella se tendría que encargar de una OPA por la adquisición de una empresa china y que sería el propio Sr. Claudio quien contactaría personalmente con ella para comentarle el tema, y que no podía hablar con nadie sobre esta operación. La Sra. Zulima va comprobar per internet que el Sr. Carlos Jesús era abogado fiscalista de KPMG. El mismo día 24 se le informó de que no podía hablar con nadie del tema, porque así lo exigía la CNMV y que tenía que firmar un acuerdo de confidencialidad (doc. 12 y 13, f. 255-256), que firmó. El mismo día, quien se hizo pasar por Carlos Jesús envió una factura del 5% del precio de compra de la compañía, 137.938,50€ y le pidió que preparase una carta para que el Sr. Claudio autorizara la transferencia (doc. 14, f. 257), la preparó y la envió al supuesto Sr. Carlos Jesús; al día siguiente, el 25 recibió un correo con la carta adjunta firmada (firma que ella interpretó que era la del Sr. Claudio, doc. 15, f. 258) autorizando la transferencia.

» Seguidamente, se puso en contacto con ahora la demanda para solicitar la transferencia (doc. 15 y ss. f. 259 y ss.). Esta operativa se repitió durante los siguientes 15 días seis veces más. Estas cartas que enviaba la Sra. Zulima, que ni tan solo era apoderada de la parte actora, fueron contestadas por el banco demandado a través del Sr. Gabino quién le facilitaba a la Sra. Zulima el duplicado del mensaje SWIFT de ejecución de las transferencias, (doc. 15, 7 cartas supuestamente firmadas por el Sr. Claudio, f. 259 y ss.). Si el banco hubiera cumplido las instrucciones dadas no se habrían producido estas transferencias defraudadoras, (137.938,50 euros el 25-3-2016, y 331.702 euros el 27-5-2016, a Wenzhou Xinhang Trading Co. Ltd. ; 226.778 euros el 31-5-2016, 198.120 euros el 31-5-2016, 173.802 euros el 3-6-2016 y 196.293 euros el 7-6-2016 a Wenzhou Jian Cng Shoes Limited Company y 302.318 euros el 9-6-2016 a Andongni Trading Limited, ver f. 265 y ss.). En ninguno de los casos se pidió la confirmación telefónica pactada, y los beneficiarios eran empresas chinas con las que nunca la parte actora había tenido ningún tipo de relación» (sic).

3.Por lo que ahora interesa, la sentencia de segunda instancia estimó en parte el recurso de apelación del Banco y, en consecuencia, revocó también parcialmente la de primera instancia, que había estimado íntegramente la demanda, reduciendo la condena por principal a la cantidad de 783.475,75 euros.

La Audiencia Provincial, tras rechazar los dos primeros motivos de apelación formulados por el Banco -el primero, en el que se alegaba que la finalidad exclusiva del documento de instrucciones de 17 de diciembre de 2014 era evitar las suplantaciones de identidad mediante fraude por ataque informático al sistema de Privalia, de modo que un tercero lograra operar haciéndose pasar por ella, pero no prevenir cualquier tipo de fraude, incluidos los engaños sufridos directamente por la persona que materialmente ordenase la transferencia; y el segundo, en el que se sostenía haber cumplido todos los deberes legalmente exigibles, actuando conforme a su propio protocolo interno y continuando con la práctica de confirmar las órdenes emitidas por correo electrónico mediante carta adjunta con la Sra. Zulima-, admite en parte el motivo tercero -en el que se argumentaba que el responsable del perjuicio era el autor del fraude y que el delito había sido favorecido por la propia perjudicada al no comprobar la autenticidad de la orden determinante de la decisión de ordenar las transferencias-, con el siguiente razonamiento:

«Obviamente, quien causa el perjuicio es el ladrón, el tercer defraudador, que, por lo que se deduce del conjunto de estas actuaciones, parece que sabía perfectamente que estas transferencias especiales, por llamarlas de alguna manera, eran el punto débil de Privalia.

» Ciertamente, la empresa que envía el mail de 17-12-2014 al banco tenía que ponerlo en conocimiento también de sus empleados, especialmente de la Sra. Zulima a quien se le había dejado claro que, a partir de ese momento, bajo ningún concepto tendría que ordenar transferencias por mail más carta adjunta a clientes ajenos al grupo de Privalia o más concretamente a las filiales de Brasil. Una diligencia no extrema, sino completa habría sido indicarle que esto sería así, aunque estuviera firmada o verbalizada la orden por el Sr. Manuel o por el Sr. Claudio -quien, al final, parece que aparece como único con capacidad de disposición sobre la cuenta en cuestión-. No obrar así comporta, entendemos, un grado de negligencia que no se puede pasar por alto.

» Igualmente, ante la orden insólita que dice haber recibido la Sra. Zulima de hacer las transferencias en secreto de todos, con los antecedentes de fraude anteriores, una mínima diligencia se le imponía a esta de confirmar el que se le decía desde un despacho de abogados, no desde la misma cúpula de la empresa, frente al Sr. Manuel o, mejor incluso, frente al Sr. Claudio que aparentemente le daba la confianza de llevar este asunto a buen puerto y en absoluto secreto bajo el pretexto de ser una operación de compra de empresas en China que no había de transcender de ninguna manera.

» Negligencia, por tanto, de la directiva en no dar instrucciones precisas internas (al menos aquí no constan) de comportarse todos los empleados implicados estrictamente conforme a las instrucciones dadas al banco. No tanto, en cambio, por no haber reaccionado ante la ambigüedad, cuando menos, de la actitud del banco ya que hemos de concluir que todo indica que el cliente creía firmemente que sus instrucciones serían seguidas por el banco.

»Y, además, negligencia concurrente de la que hasta entonces se encargaba de las transferencias, de la que tiene que responder la empresa ( art. 1903 CC in suis principis), pues de la misma manera que habría de asumir un daño que dicha empleada ha causado a un tercero también tiene que asumir el perjuicio causado a sí misma, ya que la diligencia media exigible a cualquier persona la tendría que haber hecho reaccionar a partir de valorar la rareza de esta operación.

» Por tanto, sí le es reprobable contractualmente al banco no haber atendido las exigencias razonables del cliente ( art. 1101 CC y 1254, 1258 CC) , en cuanto que no ha velado, procediendo de esta manera, por sus intereses como si fueran propios, dejándolo indefenso -que le costaba al responsable de la oficina de Pere IV coger el teléfono, contactar con Manuel y confirmar la operación; o de no conseguir contactar con él, abstenerse de ejecutar la orden?, también es cierto que el cliente, la empresa ahora parte actora concurre en la responsabilidad por el resultado en una cuota idéntica.

» En conclusión, cabe estimar en parte el motivo y el recurso y reducir la indemnización establecida al 50%, manteniendo el pronunciamiento en cuanto a intereses.» (sic).

4.Privalia ha interpuesto sendos recursos extraordinarios, por infracción procesal y de casación, que han sido admitidos. Por su parte, el Banco ha interpuesto un recurso de casación, igualmente admitido.

Recurso extraordinario por infracción procesal de Privalia

SEGUNDO. Planteamiento del recurso

El recurso extraordinario por infracción procesal se funda en tres motivos:

i) En el motivo primero, por el cauce del art. 469.1.2.º LEC, se denuncia la infracción del art. 218.2 LEC, en relación con los arts. 24 y 120.3 CE, por falta de motivación, al no exteriorizar la sentencia recurrida el criterio jurídico por el que atribuye a cada parte una cuota de responsabilidad del 50%.

ii) En el motivo segundo, por el cauce del art. 469.1.4.º LEC, se denuncia la existencia de error patente en la valoración de la prueba, en relación con el correo electrónico de 17 de diciembre de 2014 -aportado como documento n.º 9 de la demanda-, enviado por Privalia al Banco, y en copia oculta a la Sra. Zulima, «al afirmar [la sentencia recurrida] que Privalia debió haber puesto en conocimiento de los empleados ("especialmente de la Sra. Zulima") el protocolo de transferencias de 17 de diciembre de 2014».

iii) En el motivo tercero, por el cauce del art. 469.1.4.º LEC, se denuncia la existencia de error patente en la valoración de la prueba testifical del Sr. Manuel, que declaró que la Sra. Zulima conocía el protocolo de instrucciones, «al afirmar [la sentencia recurrida] que Privalia debió haber puesto en conocimiento de los empleados ("especialmente de la Sra. Zulima") el protocolo de transferencias de 17 de diciembre de 2014».

TERCERO. Decisión de la Sala: desestimación del recurso

1.Motivo primero. El motivo primero del recurso debe desestimarse porque, a la luz de la doctrina consolidada sobre el deber de motivación -expresión del derecho a la tutela judicial efectiva reconocido en el art. 24 CE y desarrollado en los arts. 120.3 CE y 218.2 LEC-, según la cual «la motivación ha de ser la manifestación suficiente de la justificación causal del fallo, mediante la expresión de las razones de hecho y de Derecho que integran el proceso lógico-jurídico que conduce a la decisión», de modo que han de reputarse suficientemente motivadas «aquellas resoluciones que vengan apoyadas en razones que permitan conocer cuáles han sido los criterios jurídicos esenciales fundamentadores de la decisión, es decir, la ratio decidendi» (por todas, sentencia 592/2026, de 16 de abril), la sentencia recurrida contiene una fundamentación suficiente que permite conocer con claridad la ratio decidendide la decisión adoptada.

En efecto, la Audiencia Provincial no se limita a proclamar apodícticamente una reducción de la indemnización, sino que articula un razonamiento en el que identifica, de un lado, un incumplimiento contractual relevante por parte del Banco al apartarse de las instrucciones recibidas y no extremar las cautelas exigibles y, de otro, una conducta negligente imputable a Privalia, tanto en la configuración y transmisión interna de dichas instrucciones como en la actuación de su empleada en la ejecución de las órdenes de transferencia.

Sobre esa base, considera que el daño no es imputable en exclusiva a una de las partes, sino que resulta de una concurrencia de culpas, y exterioriza el criterio jurídico que conduce a fijar una distribución paritaria de la responsabilidad, al entender que ambos comportamientos contribuyen de forma equivalente a la producción del resultado dañoso -«[...] también es cierto que el cliente, la empresa ahora parte actora concurren en la responsabilidad por el resultado en una cuota idéntica»-. Esta explicitación satisface plenamente la exigencia de motivación, en cuanto permite a las partes conocer las razones -fácticas y jurídicas- determinantes del fallo y posibilita su eventual impugnación a través de los recursos legalmente previstos.

En realidad, la queja de la recurrente no pone de manifiesto una ausencia de motivación, sino su desacuerdo con la ponderación efectuada por el tribunal de apelación acerca de la incidencia causal y la gravedad relativa de las conductas concurrentes, lo que pertenece al ámbito de la valoración jurídica y no puede reconducirse al vicio procesal denunciado. Por ello, al no apreciarse déficit alguno de motivación en los términos exigidos por la jurisprudencia constitucional y de esta Sala, el motivo debe ser desestimado.

2. Motivos segundo y tercero.Los motivos segundo y tercero del recurso deben examinarse conjuntamente porque, aunque se refieren a distintos medios de prueba -el primero a la documental y el segundo a la testifical-, ambos articulan una misma queja impugnatoria: la existencia de un error patente en la valoración de la prueba que habría conducido a la Audiencia Provincial a afirmar un mismo hecho, a saber, que la entidad actora no puso en conocimiento de sus empleados, y en particular de la Sra. Zulima, el protocolo de transferencias. Existe, por tanto, una plena identidad en la infracción denunciada y en el hecho que se considera erróneo, lo que justifica un tratamiento conjunto de ambos motivos.

Sentado lo anterior, los motivos deben ser desestimados. La razón es, en primer término, que parten de una premisa fáctica que no se corresponde con lo afirmado en la sentencia recurrida. La Audiencia Provincial no sostiene que la Sra. Zulima desconociera el protocolo remitido por la recurrente a la entidad recurrida; antes al contrario, parte de que, a partir de su comunicación, «se le había dejado claro que [...] bajo ningún concepto tendría que ordenar transferencias por mail más carta adjunta a clientes ajenos al grupo de Privalia, o más concretamente a las filiales de Brasil».

En segundo término, y de forma decisiva, la imputación de responsabilidad a Privalia no descansa en ese pretendido desconocimiento, sino en un elemento distinto que constituye -junto con la actuación negligente de la Sra. Zulima en la ejecución de las órdenes de transferencia- la verdadera ratio decidendide la resolución: la insuficiencia de las instrucciones internas dadas a la empleada, al no habérsele indicado que la prohibición de cursar tales órdenes debía mantenerse incluso en el caso de que aparecieran formalmente autorizadas o respaldadas por el Sr. Manuel o por el Sr. Claudio. Es en esa omisión -calificada por la Audiencia Provincial como falta de una diligencia completa- donde se sitúa el fundamento de la negligencia atribuida a Privalia.

De este modo, los motivos no combaten la razón decisoria de la sentencia, sino que se dirigen contra una afirmación que no constituye el soporte del fallo. Y, conforme a la jurisprudencia reiterada de esta Sala, el recurso extraordinario no puede prosperar cuando se articula al margen de la ratio decidendide la resolución impugnada (por todas, sentencias 83/2025, de 16 de enero, y 307/2025, de 26 de febrero). En consecuencia, al no concurrir el error patente denunciado en los términos en que se plantea y no dirigirse la impugnación contra el fundamento real de la decisión, los motivos deben ser desestimados.

3. Conclusión.Una vez desestimados todos sus motivos, procede desestimar el recurso extraordinario por infracción procesal interpuesto por Privalia.

Recursos de casación de Privalia y del Banco de Santander

CUARTO. Planteamiento del recurso de Privalia

El recurso de casación de Privalia se funda, también, en tres motivos:

i) En el motivo primero, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 254 CCom, pues al ponderar la sentencia la responsabilidad del comisionista con el grado de diligencia desplegado por el propio comitente se ha obviado que dicho precepto «establece un régimen de responsabilidad sujeto a indemnización al comitente de carácter objetivo, esto es, en caso de apartarse de las instrucciones del comitente, el comisionista deberá indemnizar».

ii) En el motivo segundo, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 297 CCom, en relación con el art. 1101 CC, al conceder la sentencia recurrida el mismo valor jurídico al incumplimiento del deber de diligencia de una compañía mercantil que al incumplimiento del deber de diligencia de una prestadora de servicios de pago y transferencia, cuando Privalia se rige por el estándar de diligencia mercantil del «ordenado empresario», mientras que el Banco está sujeto al deber de diligencia súper cualificado del «comerciante experto», por lo que según establecen los arts. 255 y 307 CCom, se le exige un estándar de especial cuidado, lo que determina que la negligencia del profesional absorbe la falta de diligencia del cliente bancario, y que, al no haberlo entendido así, la sentencia recurrida ha incurrido en una incorrecta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad civil.

iii) En el motivo tercero, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción del art. 1903 CC, en relación con el art. 1902 CC, al afirmar la sentencia recurrida que Privalia debe responder por los daños causados a sí misma por la actuación de la Sra. Zulima con base en el art. 1903 CC, lo que constituye «un error jurídico grave al prescindir del elemento esencial que delimita el régimen de responsabilidad extracontractual: la producción de un daño a un tercero». La recurrente sostiene en este sentido que «[l]a Sentencia de Apelación yerra al equiparar jurídicamente la obligación de "reparación" (de un daño a un tercero, quod non)-tal como reza literalmente el precepto-, con la obligación jurídica de "asumir un perjuicio" económico en la propia esfera patrimonial de Privalia -tal como sostiene la Sentencia-». Añade que «[e]sto supondría en definitiva afirmar que la obligación de "asumir un perjuicio" permite la enervación de la acción contractual que Privalia ostenta frente a Banco Santander, ex art. 1101 CC».

QUINTO. Planteamiento del recurso del Banco de Santander

El recurso de casación del Banco se funda en un motivo único en el que, por el cauce del art. 477.2.2.º LEC, se denuncia la infracción de los arts. 1902 y 1101 CC, al atribuirle la sentencia recurrida una cuota de responsabilidad del 50% en el daño sufrido por Privalia, cuando «una recta aplicación de los criterios de imputación objetiva debe conducir a concluir que [... su] conducta [...] no guarda relación de causalidad legalmente relevante con el daño sufrido por Privalia, lo que determina que no se [le] pueda atribuir [...] ninguna responsabilidad por el fraude sufrido por la parte actora».

El Banco expone, en este sentido, que, conforme al principio de prohibición de regreso y al principio de confianza, el nexo causal entre el ilícito civil y el daño que la sentencia le atribuye queda enervado -por no ser jurídicamente relevante- por la participación activa de la propia Privalia en la producción del daño, al no haber dispuesto de mínimas barreras de protección en sus sistemas informáticos, así como por la actuación de la Sra. Zulima, quien, dejando de aplicar las normas de diligencia más básicas, cursó unas transferencias, desde luego, poco ortodoxas que deberían haberla conducido a extremar la prudencia al dar curso a aquellos pagos, máxime cuando Privalia ya había sido víctima previamente de otros delitos informáticos.

Añade que el fin o el ámbito de protección de la norma determina también la ausencia de una causalidad jurídicamente relevante, ya que, en el caso, es fácilmente constatable que el protocolo de transferencias no tenía por objeto relevar a la propia Privalia de adoptar medidas de autoprotección frente a delitos como el «phishing» o la estafa de la «llamada del CEO». Por ello, en la medida en que dicho protocolo no tenía por finalidad trasladar al Banco la responsabilidad derivada de un fraude de esta naturaleza, sino introducir mecanismos que dificultasen la consumación de este tipo de delitos (esto es, suplantaciones de personalidad frente al propio Banco), resulta evidente que la conducta negligente de Privalia -que la sentencia reconoce- exonera de responsabilidad al Banco.

SEXTO. Orden de análisis

A la vista del planteamiento de los recursos de casación, el orden de análisis será el siguiente.

En primer lugar, se examinará el motivo primero del recurso de casación interpuesto por Privalia, fundado en la infracción del art. 254 CC, en cuanto plantea, con carácter previo, la cuestión del régimen jurídico aplicable a la actuación del comisionista y, en particular, si el apartamiento de las instrucciones del comitente determina por sí solo un deber de indemnizar, con independencia de otras consideraciones relativas a la conducta del propio comitente.

Para el caso de desestimarse dicho motivo, se continuaría con el análisis del motivo tercero del recurso de Privalia, relativo a la infracción del art. 1903 CC en relación con el art. 1902 CC, al suscitar una cuestión autónoma, cual es la corrección jurídica de imputar a la propia perjudicada la conducta de su empleada a efectos de modular o reducir la indemnización.

Finalmente, se examinarían conjuntamente el motivo segundo del recurso de Privalia -fundado en la infracción del art. 297 CCom en relación con el art. 1101 CC- y el motivo único del recurso del Banco -basado en la infracción de este último precepto y del art. 1902 CC-, por cuanto ambos confluyen en una misma cuestión: la correcta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad. En efecto, mientras Privalia sostiene que la especial cualificación profesional del Banco determina que su eventual negligencia absorba la falta de diligencia del cliente, excluyendo o reduciendo decisivamente la relevancia causal de esta, el Banco mantiene, en sentido inverso, que la conducta de la propia perjudicada rompe o desplaza cualquier nexo causal imputable a la entidad bancaria. Esta común controversia sobre la incidencia causal de las conductas concurrentes y su eventual efecto excluyente o absorbente justifica su examen conjunto y en último lugar, una vez delimitados los presupuestos normativos de la responsabilidad y las reglas de imputación interna previamente controvertidas.

SÉPTIMO. Decisión de la Sala

1. Motivo primero del recurso de Privalia. El motivo debe desestimarse por lo que se expone a continuación. El planteamiento de la recurrente parte de una premisa incorrecta al atribuir al art. 254 CCom un alcance que no tiene. Dicho precepto no configura un régimen de responsabilidad objetiva del comisionista por el mero apartamiento de las instrucciones del comitente, sino que establece, en sentido inverso, una regla de exoneración de responsabilidad para el caso de que el comisionista se sujete a las instrucciones recibidas. De su tenor literal no cabe deducir que todo incumplimiento de tales instrucciones determine automáticamente la obligación de indemnizar con exclusión de cualquier otra consideración, ni que impida ponderar la conducta del propio comitente a efectos de la imputación del daño.

La sentencia recurrida no desconoce esta regla, sino que, partiendo de la existencia de un incumplimiento contractual imputable al Banco -por no ajustarse al protocolo de instrucciones ni desplegar las cautelas exigibles-, integra su enjuiciamiento en el marco general de la responsabilidad contractual, en particular en los arts. 1101 y 1258 CC, y procede a valorar conjuntamente las conductas concurrentes de ambas partes en la producción del daño.

En este contexto, la apreciación de una concurrencia de culpas no resulta incompatible con el régimen del contrato de comisión ni con el citado precepto mercantil, en la medida en que la responsabilidad del comisionista no se erige en un sistema ajeno a los criterios de imputación causal propios de la responsabilidad civil, que permiten modular la obligación de resarcir cuando el daño es también consecuencia de la conducta del acreedor. Pretender lo contrario supondría convertir la norma en una regla de responsabilidad automática, desprovista de todo juicio de causalidad, lo que no encuentra apoyo en su tenor ni en el sistema.

2.Motivo tercero del recurso de Privalia. El motivo debe desestimarse por lo que se expone a continuación. La queja de la recurrente se construye sobre una incorrecta comprensión del alcance de los arts. 1902 y 1903 CC, al entender que la Audiencia Provincial aplica el art. 1903 CC para imponer a la demandante una obligación de «resarcirse a sí misma», lo que ciertamente no sería conforme con la naturaleza de la responsabilidad extracontractual. Sin embargo, esa no es la función que dicho precepto desempeñan en la sentencia recurrida.

En efecto, la Audiencia Provincial no articula un pronunciamiento de condena autónomo con base en los citados preceptos, ni impone a la actora una obligación de reparación frente a sí misma, sino que acude al art. 1903 CC como criterio de imputación de la conducta de su empleada a la propia esfera de la empresa, a fin de valorar la incidencia de dicha conducta en la producción del daño. La referencia al régimen del art. 1903 CC cumple así una función integradora dentro del juicio de responsabilidad, en cuanto permite afirmar que la actuación negligente de la Sra. Zulima, realizada en el ámbito de sus funciones, no puede ser considerada ajena a la organización de la empresa, sino que debe serle imputada a efectos de apreciar una concurrencia de culpas.

Desde esta perspectiva, no resulta exigible la concurrencia de un daño a un tercero en los términos propios de la responsabilidad extracontractual, pues no se está ante el ejercicio de una acción fundada en los arts. 1902 y 1903 CC, sino ante un supuesto de responsabilidad contractual en el que el art. 1903 CC se utiliza como pauta de imputación subjetiva para determinar si el daño es también consecuencia de la conducta de la propia perjudicada.

En consecuencia, la sentencia recurrida no incurre en el error jurídico que se denuncia, ya que no equipara indebidamente la obligación de reparar un daño a un tercero con la de «asumir un perjuicio» propio, sino que se limita a integrar en el juicio de causalidad la conducta de la empleada como hecho imputable a la empresa, lo que permite moderar la indemnización por la concurrencia de la propia culpa de la perjudicada, que, según concluye la Audiencia Provincial, tuvo incidencia causal en la producción del resultado dañoso.

3. Motivos segundo del recurso de Privalia y único del recurso del Banco de Santander.Procede desestimar los dos motivos por lo que se expone a continuación. Ambos motivos parten de planteamientos antagónicos pero coincidentes en un mismo error de base: pretenden excluir la relevancia causal de la conducta propia mediante su absorción por la de la contraparte, lo que no resulta conforme con los criterios de imputación de la responsabilidad civil cuando, como aquí sucede, conforme a lo declarado por la Audiencia Provincial, concurren conductas negligentes de ambas partes que han contribuido de forma relevante a la producción del daño.

En cuanto al motivo segundo del recurso de Privalia, la tesis de que la especial cualificación profesional del Banco determina la absorción de la negligencia del cliente no puede ser acogida. Que al Banco se le debe aplicar a la hora de valorar su actuación un estándar de diligencia cualificado, acorde con su condición de profesional experto, es cierto; pero de ello no se sigue que cualquier incumplimiento de dicho estándar excluya, sin más, la relevancia causal de la conducta del cliente, al que tampoco cabe aplicarle, además, el estándar de diligencia del buen padre de familia, sino, como reconoce la propia Privalia, el de un ordenado empresario. El ordenamiento no consagra, en este ámbito, una regla de absorción automática de la culpa del cliente por la del profesional, sino que exige ponderar la incidencia causal de las conductas concurrentes, de modo que la mayor cualificación de uno de los intervinientes no elimina necesariamente la eficacia causal de la actuación negligente del otro cuando esta ha contribuido de manera relevante al resultado dañoso.

En el caso, la Audiencia Provincial no desconoce el especial deber de diligencia del Banco, sino que, precisamente por ello, declara su responsabilidad por no haber observado las cautelas derivadas del protocolo de instrucciones. Pero, al mismo tiempo, aprecia que la conducta de Privalia -tanto por la insuficiencia de las instrucciones internas dadas a su empleada como por la actuación de esta al ejecutar órdenes manifiestamente anómalas sin las comprobaciones mínimas exigibles- ha tenido una incidencia causal relevante en la producción del daño. Esta valoración no contradice el estándar reforzado exigible al Banco, sino que se sitúa en el plano distinto de la concurrencia de culpas, cuya apreciación no queda excluida por la condición de profesional experto de una de las partes. En consecuencia, no cabe apreciar la infracción denunciada.

Por su parte, el motivo único del recurso del Banco, que niega toda relevancia causal a su conducta, tampoco puede prosperar. La sentencia recurrida declara, de forma expresa y fundada, que la entidad bancaria incumplió las instrucciones recibidas y no desplegó las cautelas exigibles, en particular al no verificar la autenticidad de las órdenes mediante la confirmación telefónica pactada, pese a tratarse de operaciones anómalas y dirigidas a beneficiarios no autorizados. Este incumplimiento constituye un factor causal jurídicamente relevante en la producción del daño, en cuanto permitió la efectiva disposición de los fondos y la consumación del fraude.

Las alegaciones del Banco relativas al principio de confianza, a la prohibición de regreso o al ámbito de protección de la norma no desvirtúan esta conclusión, pues la conducta negligente de Privalia no elimina, sino que concurre con la del Banco en la producción del resultado. La existencia de fallos en los mecanismos internos de la empresa o la actuación imprudente de su empleada no rompe el nexo causal derivado del incumplimiento contractual de la entidad bancaria, sino que justifica, como correctamente aprecia la Audiencia Provincial, una distribución de la responsabilidad en función de la incidencia causal de ambas conductas.

Como recuerda la sentencia 656/2026, de 28 de abril:

«Es doctrina reiterada de esta sala que corresponde a los tribunales de instancia fijar el grado de participación de los distintos agentes en la producción del resultado dañoso, al objeto de determinar los porcentajes de responsabilidad por concurrencia de culpas. La revisión casacional sobre esta cuestión se limita a dos casos: los supuestos de grave desproporción y la defectuosa apreciación del nexo causal.

»Así se explica en las sentencias 751/2021, de 2 de noviembre, con cita de otras anteriores (sentencias 388/2008, de 20 de mayo; 229/2010, de 25 de marzo; 732/2010, de 11 de noviembre; 200/2012, de 26 de marzo; y 609/2021, de 20 de septiembre), y 730/2021, de 28 de octubre, que además establece que en los supuestos excepcionales de revisión casacional de los porcentajes de responsabilidad por concurrencia de culpas deben ser respetados los hechos probados».

En definitiva, al haber apreciado la sentencia recurrida, de forma razonada y conforme a Derecho, una concurrencia de culpas con relevancia causal equivalente, sin incurrir ni en la absorción de la culpa de una parte por la otra ni en la exclusión indebida del nexo causal, procede desestimar ambos motivos.

OCTAVO. Costas y depósitos

Se imponen a Privalia y al Banco las costas de sus respectivos recursos, con pérdida de los depósitos constituidos para recurrir ( arts. 398.1 y 394.1 LEC y disposición adicional 15.ª, apartado 9.ª , LOPJ, respectivamente).?