Sentencia Penal 336/2023 Audiencia Provincial Penal de Madrid nº 2, Rec. 895/2023 de 29 de septiembre del 2023

PRIMERO.- Se somete a la consideración del Tribunal el recurso de apelación formulado por la Acusación Particular personada en la presente causa, contra el pronunciamiento absolutorio de la sentencia de instancia, relativo a la responsabilidad civil derivada de los hechos; cuya calificación jurídico-penal formulada por las Acusaciones personadas, fue aceptada por el acusado, Ceferino, que aceptara igualmente la pena a imponer, determinando el dictado de la condena como autor de los delitos de descubrimiento y revelación de secretos, en concurso medial con un delito de estafa del artículo 248.2 a) del mismo texto legal, y como autor de un delito de falsedad del artículo 392.1 del CP .

El recurso de la Acusación Particular que ahora se resuelve queda acotado a la disconformidad apelante respecto de la absolución de la responsabilidad civil subsidiaria, frente a las entidades "Selitrac Motor SL", Bankinter SA. y Caixabank SA., así como el relativo a la imposición a dicha Acusación, de las costas procesales causadas en la instancia por cada una de las demandadas.

Invoca la recurrente la infracción en la sentencia, de lo dispuesto en el artículo 120.3 del Código Penal, y del deber de cuidado que les era exigible tanto al Concesionario denunciado -Selitrac Motor- como a las entidades bancarias, que sirvieron para la consumación del fraude provocado a la acusadora al no " no actuar" conforme a ese deber objetivo, que les incumbía, en el curso de la secuencia de hechos descrita en el capítulo fáctico.

SEGUNDO.- La peculiaridad procesal del presente recurso solo referido al pronunciamiento civil de la sentencia dictada, impone estar a sus Hechos Probados en orden a resolver la impugnación. En concreto, se destacan los particulares siguientes:

(...)

"El día 21 de junio de 2019, sobre las 12:17 horas, Edurne recibió un correo electrónico proveniente de "Selimotor comercial", con cuenta de correo electrónico DIRECCION000, en la que se le informa sobre la señal de 1.000 euros y el precio total del vehículo de 22.600 euros, adjuntando la cuenta del BBVA donde se ingresaría el dinero, firmado por el Sr. Francisco, agente comercial de Suzuki.

El mismo día 21 de junio de 2019, sobre las 15:55 horas, el acusado envió a Edurne otro correo electrónico, procedente de una dirección que aparentaba ser de la empresa SELITRAC MOTOR S.L.: " DIRECCION000" (la cuenta fraudulenta añade una "s"), informándole sobre el abono de una señal de 1.000 euros y del precio del vehículo de 22.600 euros, adjuntando un documento, en el que constaba el nombre de la empresa SELITRAC MOTOR S.L. y el número de cuenta de CAIXABANK NUM001, para ingresar en ella la cuantía del precio del vehículo".

(...)

No ha quedado suficientemente acreditada la responsabilidad civil subsidiaria de las entidades SELITRAC MOTOR SL, CAIXABANK SA Y BANKINTER SA."

Con tal secuencia se contrasta, por un lado, que la acción defraudadora sufrida por la denunciante se atribuye exclusivamente a la conducta de acusado, excluyendo al comercial del Concesionario que le atendió en la venta del vehículo que interesaba a la compradora, no siendo objeto de denuncia por vulneración de ningún deber concreto que le hubiera correspondido.

Se contrasta también la afirmación - ciertamente predeterminante del Fallo - de que " no ha quedado suficientemente acreditada la responsabilidad civil subsidiaria de las entidades...", sin que en la secuencia de hechos de la sentencia se describa cualquiera imputable a dichas entidades, que pudiera colmar la infracción de los reglamentos en que insiste la Apelante, invocando el art. 120.3 CP.

Resulta oportuno recordar en primer lugar, cuáles sean los requisitos para su concurrencia, que han sido objeto de estudio y análisis por un nutrido cuerpo jurisprudencial, conformado entre otras, por las SSTS. 599/2005 de 10-5 ; 1208/2005, de 28-10 ; 1150/2006, de 22-11 ; 228/2007, de 22-3 ; 544/2008, de 15-9 ; 180/2010, de 4-2 ; 926/2013, de 2-12-... y que son los siguientes.

1) Que se haya cometido un delito o falta.

2) Que el delito o falta se haya perpetrado en un establecimiento dirigido por el sujeto pasivo de dicha pretensión indemnizatoria.

3 ) Que se haya infringido un reglamento de policía o alguna disposición de la autoridad, entendidos estos reglamentos como normas de actuación profesional en el ramo de que se trate (abarcando cualquier violación de un deber impuesto por ley o por cualquier norma positiva de rango inferior, incluso el deber objetivo de cuidado que afecta a toda actividad para no causar daños a terceros).

4) Que dicha infracción sea imputable no solamente a quienes dirijan o administren el establecimiento, sino a sus dependientes o empleados, bien entendido que no es necesario precisar qué persona física fue la infractora de aquel deber legal o reglamentario. Bastará con determinar que existió la infracción y que ésta se puede imputar al titular de la empresa o cualquiera de sus dependientes, aunque por las circunstancias del hecho o por dificultades de prueba, no sea posible su concreción individual.

5) Que tal infracción esté relacionada con el delito o falta cometido, de modo que éstos no se hubieran cometido sin dicha infracción.

Pues bien, en el supuesto examinado el tercero de los elementos reseñados que conformaría la responsabilidad que se impetra, ha quedado debidamente acreditado con la relevancia y eficacia precisas para estimar el pronunciamiento revocatorio que se pretende.

TERCERO.- El Primero de los dos motivos en que se plantea la impugnación, se dirige contra el concesionario SELITRAC MOTOR; con el que la acusadora contactó para la compra del vehículo en el que estaba interesada. Identifica la apelante la infracción de los reglamentos a que se refiere el art. 120 Cp. en el fallo de seguridad habido en los sistemas informáticos del concesionario, cuyo hackeo señala el recurso.

Ninguna prueba existe de ello, tal y como razona la sentencia; no cabe insistir, como hace el recurso, en la ausencia de una prueba pericial por parte del Concesionario que demuestre lo contrario - esto es, que no hubo hackeo- ni en la conclusión de que "que no exista pericial informática para acreditarlo no implica que no se haya producido".

La exigencia de prueba la rechaza ya la Sentencia de instancia, apuntando con plena lógica y enervando la conclusión apelante, que bien pudo ser el propio sistema informático de la compradora-apelante, el que fuera objeto del hackeo que imputa a otros.

Máxime cuando, en el interrogatorio de la compradora-apelante, manifestó ésta haber contactado telefónicamente con el concesionario, y sin embargo quedó acreditado, tanto en el plenario, como en la causa - por documento nº 1 junto al escrito de defensa- que el contacto de la compradora con el concesionario se produjo on line, como usuaria de un " formulario de contacto" ubicado en la página Web de Suzuki España, en fecha 18 de junio de 2019; formulario en el que aquélla introdujo sus datos personales (nombre y apellidos, teléfono de contacto, dirección de correo electrónico...) y además, su mensaje de usuario mostrando interés por el vehículo, así como solicitando una prueba del mismo.

Siguiendo su argumentario, debiera ser la acusadora quien debiera haber probado que su sistema informático, no falló, ni fue hackeado. Pues de hecho el testigo y representante legal de Selitrac Motor, SL, afirmó en su declaración que los datos personales de la compradora " le llegaron por varios formularios webs, entre otras, coches.com; la web de Suzuki , y otra...." Reenviando aquél, desde la Web de Suzuki, dicho formulario, al comercial que atendió la venta a partir de entonces .

En cuanto al análisis que incorpora la apelante en el recurso sobre las " propiedades" de los documentos cuestionados, a los efectos de demostrar la hipótesis que sostiene de que tuvo que ser el sistema informático del concesionario, el que falló, se deducen del mismo unas conclusiones, tan legítimas como parciales, pero sin corroboración pericial objetiva. Parcialidad que, a buen seguro, se habría denunciado igualmente por la acusación si- como exige en el recurso- el concesionario hubiera aportado, además de la declaración del representante del concesionario, negando el fallo -declaración que también critica- un Informe técnico negando el hackeo informático, cuya ausencia denuncia ahora.

Sí explicó en el plenario el representante de dicho concesionario, el proceder informático de la ocasión:

(...) "el - segundo- mail que recibe la Sra Edurne no fue enviado por ellos, que ellos tienen una cuenta de correo de empresa que les proporciona SUZUKI; que el IT (departamento informático) que el otro mail (el que llevó a confusión) no fue enviado desde el dominio suyo (suzuktes)...Que cumplen con los protocolos de seguridad establecidos (...)"Que se cambian las contraseñas"(,,,) Que se efectuó una auditoría de seguridad y verificaron que el ordenador estaba en perfecto estado", o "que su identidad no ha sido hackeada...Que ellos tienen un mail de empresa, que les proporciona Red Suzuki España...con el que "trabajan desde 2017 y nunca han tenido un incidente"(...) que "no habían entrado en su IP" .

Y es que, frente a los respectivos argumentos interesados de las partes, acaso resulta ya irrelevante señalar cuan pertinente hubiera sido proponer y practicar una prueba pericial objetiva, de análisis de los sistemas informáticos; pero no fue interesada. Y no lo fue en concreto por la Acusación, a quien correspondía acreditar el hecho que identifica con la infracción de los reglamentos del art. 120.3 CP que invoca; sin que haya quedado debidamente acreditado el fallo informático que identifica como tal infracción, y que imputa al concesionario e identifica como la vulneración de las normas de actuación profesional, que abarcan al concreto deber objetivo de cuidado en el desarrollo de todas sus actividades para no causar daños a terceros, así como de sus dependientes o empleados.

Esa misma ausencia del deber de cuidado se invoca también en el recurso cuando la apelante señala, como causantes de la consumación del fraude, al comercial que le atendió o al departamento correspondiente, por no haber comprobado en el mismo momento en el que la compradora les hizo llegar el justificante de haber pagado el precio del coche, que la cuenta a la que ella había hecho el ingreso mediante transferencia, no se correspondía con la del concesionario; propiciando con tal negligencia que cuando, dos días más tarde así se contrastó, le resultó ya imposible el retroceso íntegro de la trasferencia que había realizado a la cuenta falaz del acusado.

Argumento que ha de seguir la misma suerte desestimatoria, pues, en definitiva, está asimilando la negligencia del comercial o departamento correspondiente, con la imposibilidad de la compradora de retroceder -en su propio Banco- el importe de una transferencia; operación que depende en definitiva de la normativa de la entidad desde cuya cuenta se hace - en este caso, Bankinter- que era la de la compradora. Ni corresponde identificar la ausencia de cuidado que denuncia y que vincula nuevamente al fallo informático ajeno - no demostrado- con el concreto perjuicio económico padecido por la compradora; pues éste obedeció exclusivamente al proceso informático engañoso desplegado por el acusado en aras a conseguir el desplazamiento patrimonial, en el que efectivamente incurrió la denunciante.

Por último, frente al análisis sesgado que el recurso ofrece de lo realmente declarado en el plenario por los testigos implicados que comparecieron, el Tribunal coincide con la Juzgadora al valorar que el resultado de tales pruebas personales apreciado conforme a las reglas de la sana crítica, resulta contradictorio.

Y no es la única contradicción apreciada por el Tribunal, que no alcanza a comprender la propia actuación de la denunciante que, con posterioridad al acontecimiento de los hechos sucedidos con la venta del coche en el concesionario cuya actuación hoy se cuestiona, continuó normalmente los trámites para la compra del vehículo, hasta que se formalizó la operación y la venta llegó a buen término. Parece que la denunciante consideró entonces que ni el comercial que le atendió, ni el departamento de contabilidad ni el concesionario... tuvieron participación o culpa en la conducta delictiva de la que fue víctima; lo que mal se compadece con la exigencia de responsabilidad que hoy reclama.

Hace suya el Tribunal la valoración de la prueba practicada.

El primer motivo del recurso debe desestimarse.

CUARTO.- Como Segundo Motivo de impugnación, opone la recurrente que la Sentencia dictada debe revocarse, por el mismo motivo de inaplicación del artículo 120.3 del Código Penal, en relación con la responsabilidad civil subsidiaria no declarada de las entidades bancarias CAIXABANK, S.A. y BANKINTER, S.A.

La respectiva actuación de éstas se deduce de los Hechos Probados de la sentencia que recoge cómo, la hoy apelante, desde su cuenta en Bankinter(...) "realizó dos transferencias bancarias: el 23-6- 2019, por la cantidad de 1.000 euros, y el 24-6-2019, realiza una segunda transferencia a la cuenta de la CAIXA NUM001 por importe de 21.600 euros, cuyo beneficiario simulaba ser SELITRAC MOTOR S.L., no obstante, el titular de esta cuenta bancaria resultaba ser el acusado, Ceferino".

La denuncia de la recurrente contra las entidades se concreta en que sus respectivos sistemas informáticos tenían que haber alertado " tanto en CAIXABANK (para rechazarla) como en BANKINTER (para impedir que se consumase la entrega del dinero) de la contradicción entre titulares"; porque si la transferencia que la compradora-apelante ordenó, se hizo a nombre de una empresa, y en concepto de " pago vehículo Suzuki", la diligencia debida de las entidades hubiera puesto de manifiesto la discordancia de que la entrada del dinero en una cuenta, a nombre de una persona física, no era correcta.

Añade la recurrente que para las entidades financieras " resulta muy sencillo de comprobar cuándo hay una divergencia entre el nombre del beneficiario de una transferencia - que en este caso se trataba de un concesionario- y el titular del identificador único de la cuenta bancaria -o sea, el acusado -. Invocando el Real Decreto-ley 19/2018, relativo a la autenticación reforzada de clientes que se exige a los proveedores de pago, opone el recurso que las entidades deberían tener implementado un sistema de seguridad o de comprobación, de forma que tanto al banco emisor como al receptor les salte una alarma ante probables discordancias, y se pueda chequear así, que el titular de la cuenta es el mismo que el beneficiario que se indica.

De la inexistencia de tal sistema en los Bancos demandados deduce la responsabilidad en que incurrieron por la infracción del deber de cuidado del art. 120 .3 Cp.

Frente a ello, la propia normativa que invoca el recurso, es también esgrimida en la sentencia impugnada. Y en efecto la cuestión que se suscita, aparece expresamente regulada en nuestra armonizada normativa, desde la Directiva 2007/64/CE del Parlamento Europeo y del Consejo de 13 de noviembre de 2007. Transpuesta al Derecho español mediante la Ley 16/2009, de 13 de noviembre, y derogada a su vez -como opone el recurso- por el Real Decreto Ley 19/2018 , de 23 de noviembre, que cita, relativo a los servicios de pago y otras medidas urgentes en materia financiera, vigente al tiempo de los hechos, y que resulta ahora de aplicación.

Así, el artículo 59 del citado R.D-L 19/18 establece

" 1. Cuando una orden de pago se ejecute de acuerdo con el identificador único, se considerará correctamente ejecutada en relación con el beneficiario especificado en dicho identificador.

2. Si el identificador único facilitado por el usuario de servicios de pago es incorrecto, el proveedor no será responsable de la no ejecución o de la ejecución defectuosa de la operación de pago.

(...)

3. Cuando el usuario de servicios de pago facilitara información adicional a la requerida por su proveedor para la correcta ejecución de las órdenes de pago, el proveedor de servicios de pago únicamente será responsable, a los efectos de su correcta realización, de la ejecución de operaciones de pago conformes con el identificador único facilitado por el usuario de servicios de pago".

Es decir, conforme al precepto citado, el proveedor del servicio de pago- o sea las entidades bancarias- únicamente serán responsables de la ejecución de operaciones de pago conformes con el identificador único facilitado por el usuario del servicio de pago. Por lo que, a sensu contrario, el proveedor de servicios de pago no será responsable, más que de analizar la coincidencia de los códigos IBAN (el identificador único).

Se apunta también en las impugnaciones del recurso el mismo precepto; siendo idéntico por otra parte, al artículo 74 de la Directiva 2007/64/CE, que suscitó dudas interpretativas sobre su aplicabilidad a las relaciones entre el ordenante; que en nuestro caso, implicaría como tal, a la apelante, a su propio banco -Bankinter- y al banco del acusado, beneficiario del pago -o sea, Caixabank- .

Y la cuestión fue resuelta por la S.T.J. U.E. de 21 de marzo de 2019, recaída en el asunto C-245/2018, que señaló que debía interpretarse lo siguiente:

" (...) cuando una orden de pago se ejecute de acuerdo con el identificador único facilitado por el usuario de servicios de pago y tal identificador no corresponda al nombre del beneficiario indicado por ese mismo usuario, la limitación de la responsabilidad del proveedor de servicios de pago establecida en esta disposición se aplicará tanto al proveedor de servicios de pago del ordenante como al proveedor de servicios de pago del beneficiario".

Interpretación vinculante de la que solo cabe deducir en nuestro caso, la inexistencia de la responsabilidad exigida a las demandadas por el hecho de que el beneficiario aportado por la ordenante - que ha de considerarse " información adicional" - no coincidiera con el titular de la cuenta, desde el momento que el IBAN sí era correcto, limitándose a transferir el precio del coche desde su oficina bancaria, a la cuenta señalada con el IBAN.

Por lo expuesto, no se contempla de lo actuado que concurra el supuesto del apartado 3 del artículo 120 del Código Penal, ni cabe por ende deducir la responsabilidad subsidiaria de las entidades que se interesó en el juicio celebrado.

El segundo motivo del recurso debe desestimarse.

QUINTO.- Por último, y en relación al tercer motivo de impugnación planteado subsidiariamente, relativo a la revocación de la imposición a la apelante, de las costas procesales causadas a instancia de las demandadas, debe convenirse con la recurrente en la total ausencia de motivación de dicho pronunciamiento de la sentencia que al pago le condena, Fundamento que se limita a imputarle temeridad. En efecto, la apelada prescinde de razonamiento alguno en el que se justifique tal temeridad; lo que resulta reiteradamente exigible por la doctrina del TS que, en relación a la imposición de costas, no solo mantiene la procedencia de una interpretación restrictiva ( STS n° 842/2009 de 7 de julio), siendo la regla general su no imposición ( STS 19.9.2001, 8.52003 y 18.2, 17.5 y 5.7, todas de 2004, entre otras muchas) sino, en concreto y tratándose de un pronunciamiento igualmente relativo a la responsabilidad civil en su STS 292/2022, de 24 de marzo, afirmó " no ser trasladable al proceso penal el criterio objetivo del vencimiento que rige en el proceso civil" pudiendo ser impuestas únicamente cuando se aprecie tal temeridad, y ésta se motive cumplidamente en Sentencia.

Inexistente dicha motivación en la resolución impugnada procede la revocación de este concreto pronunciamiento condenatorio, al que se limita por tanto, la estimación del presente recurso.

SEXTO.-Conforme a lo establecido en el artículo 239 de la Ley de Enjuiciamiento Criminal y demás concordantes y no apreciándose mala fe en el recurrente, deben declararse de oficio las costas procesales de esta alzada.

VISTOS los preceptos legales citados, y los demás de general y pertinente aplicación: