Sentencia Penal 136/2025 Tribunal Supremo. Sala de lo Penal, Rec. 6434/2022 de 19 de febrero del 2025

PRIMERO.- Recurre en casación la representación procesal de entidad GAMBOA AUTOMOCIÓN SA contra la sentencia número 343/2022 de 29 de julio dictada por la Audiencia Provincial de Oviedo, Sección Tercera que resuelve el recurso de apelación por la contra la sentencia núm. 212/2021 de 4 de octubre dictada por el Juzgado de lo Penal núm. 1 de Oviedo; recurso de apelación que fue interpuesto por la acusación particular, la entidad COMERCIO Y ASISTENCIA S.A, que estimándolo, revocó la absolución de GAMBOA AUTOMOCIÓN SA, dictada en la instancia y le condenó como responsable civil subsidiaria.

Los hechos que generaron la responsabilidad penal, derivan de que una suplantación por medios informáticos, efectuada el 10 de abril de 2018, de dirección de correo electrónico de un empleado del departamento comercial de la mercantil "GAMBOA AUTOMOCIÓN S.A." DIRECCION000, desde la que enviaron un correo electrónico al Departamento de Administración de Comercio y Asistencia S.A. (acrónimo CYASA), dedicada a Concesionario de Automóviles y con la cual mantenía relaciones comerciales, en el que indicaban que se hiciera una transferencia por importe de 32.594'75 euros en concepto de cesión de un vehículo de la marca Nissan a una cuenta concreta que no era la de GAMBOA, pago que a continuación realizaron. Siendo el condenado penal el titular y disponente de la cuanta destinataria del importe referido desde CYASA, en la creencia que lo hacía a GAMBOA.

Y el sustrato fáctico de la declaración de responsabilidad civil, que tales hechos se produjeron como consecuencia de una brecha de seguridad en el sistema informático de la entidad Gamboa Automoción S.A.U., y coincidieron en el tiempo con otra incidencia habida con ocasión de la cesión de un vehículo al concesionario Romauto Motion S.A., detectada el día anterior.

1. El primer motivo que formula GAMBOA, es amparo del art. 847.1.b) en relación con el artículo 849.1 LECrim, por infracción de un precepto penal de carácter sustantivo u otra norma jurídica del mismo carácter que deba ser observada en la aplicación de la Ley penal, a la vista de los hechos que se tienen por probados.

Expone que, la sentencia recurrida, en tanto que ha entendido que el delito se ha cometido en el establecimiento de la entidad recurrente, ha infringido el recto sentido que debe darse al artículo 120.3 del Código Penal, pues ha considerado la existencia de un entorno digital no definido como el elemento locativo que incardina la responsabilidad; ha entendido -por deducción, no por declaración como hecho- que existe lo que denomina "entorno digital", cuando lo único que se ha dado por acreditado es la existencia de una suplantación de identidad, el uso por una tercera persona de una dirección de correo electrónico como señuelo. Tal cuestión, asevera, no puede constituir el denominado "entorno digital"; ello, no constituye el denominado "elemento locativo" del artículo 120.3 CP, el establecimiento del que la entidad recurrente es titular.

Niega que sea de aplicación el criterio establecido en la STS 49/2020, de 12 de febrero, por cuanto allí se trata de un "establecimiento digital", de una plataforma informática de un banco en la que se prestan los servicios propios de la actividad de banca, y por la que obtiene una remuneración; pero en autos, se trata de una suplantación de la identidad de un empleado en la utilización de un sistema de correo electrónico, medio de comunicación básico, del mismo modo que los teléfonos o el correo postal no son ni podrán ser considerados establecimientos.

2. Así pues, el pronunciamiento que se discute, es de índole exclusivamente civil, no penal; y si bien una petición de indemnización o de resarcimiento mantiene su naturaleza estrictamente civil aun cuando se determine en un procedimiento penal ( STEDH de 11 de febrero de 2003, asunto Y contra Noruega , § 40), ello no le evita respetar el ámbito casacional establecido para los recursos de esta índole, formulados contra sentencias dictadas por las Audiencias Provinciales en apelación, tal como se contienen en el Acuerdo de del Pleno No Jurisdiccional de esta Sala Segunda del Tribunal Supremo de 9 de junio de 2016, cuya aplicación ha sido vertida ya en múltiples resoluciones de la Sala y que cuenta con referendo del Tribunal Constitucional ( ATC 40/2018, de 13 de abril):

a) El art. 847 1º letra b) de la LECrim debe ser interpretado en sus propios términos. Las sentencias dictadas en apelación por las Audiencias Provinciales y la Sala de lo Penal de la Audiencia Nacional solo podrán ser recurridas en casación por el motivo de infracción de ley previsto en el número primero del art. 849 de la LECrim, debiendo ser inadmitidos los recursos de casación que se formulen por los arts. 849 2°, 850, 851 y 852.

b) Los recursos articulados por el art. 849 1° deberán fundarse necesariamente en la infracción de un precepto penal de carácter sustantivo u otra norma jurídica del mismo carácter (sustantivo) que deba ser observada en la aplicación de la Ley Penal (normas determinantes de subsunción), debiendo ser inadmitidos los recursos de casación que aleguen infracciones procesales o constitucionales. Sin perjuicio de ello, podrán invocarse normas constitucionales para reforzar la alegación de infracción de una norma penal sustantiva.

c) Los recursos deberán respetar los hechos probados, debiendo ser inadmitidos los que no los respeten, o efectúen alegaciones en notoria contradicción con ellos pretendiendo reproducir el debate probatorio ( art. 884 LECrim) .

d) Los recursos deben tener interés casacional. Deberán ser inadmitidos los que carezcan de dicho interés (art. 889 2º), entendiéndose que el recurso tiene interés casacional, conforme a la exposición de motivos: i) si la sentencia recurrida se opone abiertamente a la doctrina jurisprudencial emanada del Tribunal Supremo, ii) si resuelve cuestiones sobre las que exista jurisprudencia contradictoria de las Audiencias Provinciales, iii) si aplica normas que no lleven más de cinco años en vigor, siempre que, en este último caso, no existiese una doctrina jurisprudencial del Tribunal Supremo ya consolidada relativa a normas anteriores de igual o similar contenido.

3. Consecuentemente, no es dable en entrar en cuestiones valorativas ajenas al hecho probado, debemos partir de que los hechos se produjeron como consecuencia de una brecha de seguridad en el sistema informáticode la entidad Gamboa Automoción S.A.U., detectada en la mañana de 10 de abril, sin que se avisara a otros concesionarios que tenían pendientes transferencias, lo que propició el abono por parte de CYASA a la cuenta corriente de los defraudadores; y desde ese apartado probado, indicar si es equivalente a que el delito se ha cometido en "establecimiento" de la recurrente, tal como exige el artículo 120.3 CP

4. Dicha norma establece que son también responsables civilmente, en defecto de los que lo sean criminalmente, las personas naturales o jurídicas, ... en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que los dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción.

Y en su interpretación, la jurisprudencia de esta Sala, expresa, que los requisitos legales que son necesarios para el nacimiento de dicha responsabilidad civil, son los siguientes:

a) que se haya cometido un delito;

b) que tal delito haya ocurrido en un determinado lugar, un establecimiento dirigido por persona o empresa contra la cual se va a declarar esta responsabilidad, esto es, el sujeto pasivo de dicha pretensión;

c) que tal persona o empresa o alguno de sus dependientes, haya realizado alguna "infracción de los reglamentos de policía o alguna disposición de la autoridad", debiendo entenderse estos reglamentos como normas de actuación profesional en el ramo de que se trate abarcando cualquier violación de un deber impuesto por ley o por cualquier norma positiva de rango inferior, incluso el deber objetivo de cuidado que afecta a toda actividad para no causar daños a terceros);

d) que dicha infracción sea imputable no solamente a quienes dirijan o administren el establecimiento, sino a sus dependientes o empleados. No es necesario precisar qué persona física fue la infractora de aquél deber legal o reglamento. Basta con determinar que existió la infracción y que ésta se puede imputar al titular de la empresa o cualquiera de sus dependientes, aunque por las circunstancias del hecho o por dificultades de prueba, no sea posible su concreción individual;

e) que tal infracción esté relacionada con el delito o falta cuya comisión acarrea la responsabilidad civil examinada, es decir, que, de alguna manera, tal infracción penal haya sido propiciada por la mencionada infracción reglamentaria. Estas personas, naturales o jurídicas, han de ser conscientes del deber de velar por la observancia de las prescripciones reglamentarias o de consagrado uso que regulan las actividades que tienen lugar en el seno de los establecimientos o empresas de su pertenencia o titularidad. La omisión o desentendimiento, aparte de guardar relación con el lamentable suceso, tienen que ser de probada significación en la suscitación del "hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción". Relación causal que no de alcanzar necesariamente un grado de exclusividad, bastando llegar a una conclusión de propiciación y razonabilidad en la originación del daño ( STS 478/2022, de 18 de mayo; STS 904/2021, de 24 noviembre; STS 530/2019, de 31 de octubre; STS 110/2019, de 5 de marzo; STS 323/2018, de 2 de julio, entre un amplio etcétera)

5. Por "establecimiento", el Diccionario de la Lengua Española (DEL) entiende el lugar donde habitualmente se ejerce una actividad; y enumera como sinónimos, centro, recinto, oficina, local, asentamiento, industria o empresa.

El Código Penal no precisa el contenido y extensión del término "establecimiento", aceptando la jurisprudencia que comprende dentro de su ámbito a los establecimientos públicos y privados y, dentro de éstos, a establecimientos dedicados a cualquier género de actividad mercantil, comercial, industrial o de servicios ( STS 474/2024, de 3 de mayo).

En el desarrollo de cualquier a clase de esa actividad en nuestra sociedad actual como la propia de un concesionario de automóviles, el sistema informático comporta habitualmente un elemento imprescindible de la misma; sistemas informáticos que se presentan en multitud de manifestaciones integrados por hardware, software y una serie de procesos y análisis específicos en orden a conseguir el objetivo para el que fue diseñado.

Consecuentemente, resulta difícil negar que el sistema informático y los medios tecnológicos utilizados habitualmente por el empresario o sus empleados, pese a que se utilizan en las sedes físicas donde se desarrolla la actividad propia de concesionario de automóviles, no queden abarcados por el término "establecimiento". Son bienes de uso, es decir, activos utilizados para el desarrollo del negocio del mismo modo que el mobiliario donde empleados por empresario y empleados desarrollan las actividades que le son encomendadas.

Tanto más, si consideramos que la naturaleza civil de responsabilidad que dirimimos, concorde la jurisprudencia de esta Sala, determina una interpretación amplia del ámbito de los requisitos que la configuran. Y así, en las SSTS 904/2021, de 24 noviembre, ó la 168/2017, de 15 de marzo, afirmamos que encontrarnos en el ámbito del derecho civil resarcitorio de la infracción penal cometida, como acción distinta, aunque acumulada, al proceso penal por razones de utilidad y economía procesal, con finalidad de satisfacer los legítimos derechos (civiles) de las víctimas, de modo que las acciones civiles no pierden su naturaleza propia por el hecho de ejercitarse ante la jurisdicción penal, resulta evidente que en la interpretación y aplicación de las correspondientes normas jurídicas está permitida la aplicación del principio de analogía (vid. art. 4.1 C.C), que, lógicamente resulta vedado cuando de normas penales se trata (vid. art. 4.2 C.C).

El motivo se desestima.

SEGUNDO.- El segundo motivo también se formula al amparo del artículo 849.1 de la Ley de Enjuiciamiento Criminal, por infracción de un precepto penal de carácter sustantivo u otra norma jurídica del mismo carácter que deba ser observada en la aplicación de la Ley penal, a la vista de los hechos que se tienen por probados.

1. Alega que, la sentencia recurrida, en tanto que ha entendido que por parte de dirigente o empleado se ha infringido reglamento de policía o disposición de autoridad, infringe el recto sentido que debe darse al artículo 120.3 del Código Penal, al entender que GAMBOA ha infringido reglamento de policía o disposición de la autoridad, sin señalar cual, y sin describir una actuación que pudiera deducirse como incumplidora, limitándose la sentencia a dar por infringido estas disposiciones por entender que existe una genérica obligación de "reaccionar con celeridad". Con dicha declaración, afirma, no se satisface el requisito que el artículo 120.3 del CP establece sobre una infracción de unas normas concretas que se detallan.

2. El motivo debe ser desestimado. Estamos ante una pretensión de índole civil, pero ello no evita la estricta sujeción a la declaración de hechos probados, donde se expresa la existencia de una brecha de seguridad en el sistema informático de la entidad GAMBOA Automoción S.A.U, acaecida en la mañana del día 10, la falta de notificación a otros concesionarios como CYASA que tenían pendientes abonos por transferencia a GAMBOA y que ello propició que el pago de CYASA se transfiriera a la cuenta de los defraudadores.

3. Es decir, el hecho omisivo que propicia el fraude, se cumplimenta por la falta de aviso por parte de GAMBOA a los concesionarios con transferencias pendientes de ese "incidente" informático en orden a comprobar la cuenta a la que realizaban el pago; así reza el hecho probado: ... a pesar de lo cual esta entidad no alertó a otros concesionarios con los que tenía abiertas operaciones similares, como era el caso de la cesión acordada con Comercio y Asistencia S.A., a fin de que se abstuvieran de realizar pago alguno en tanto no se verificara que la cuenta que se les hubiera facilitado correspondía realmente a Gamboa Automoción. Ello propició que el día 11 de abril Comercio y Asistencia S.A. efectuara el pago en aquélla cuenta NUM000 aperturada a nombre del acusado

Presupuestos que determinan que la declaración de la responsabilidad subsidiaria de GAMBOA, sea conforme a derecho, pues reiterada jurisprudencia de esta Sala Segunda, reconduce los contornos del término "reglamentos" a los de las normas de actuación profesional en el ramo de que se trate, de manera que abarcan cualquier violación de un deber impuesto por ley o por cualquier norma positiva de rango inferior, incluso el deber objetivo de cuidado que afecta a toda actividad para no causar daños a terceros (entre otras la STS 768/2009 de 16 de julio o 212/2015 de 11 de junio). Como en autos corresponde, ante la detección de otra incidencia habida con ocasión de la cesión de un vehículo al concesionario Romauto Motion S.A. que supuso que persona o personas no identificadas haciéndose pasar por el empleado de Gamboa Automoción S.A.U. a cargo de la operación, y aparentando utilizar el dominio @ggamboa cuando no era así, remitieron una sucesión de correos a Romauto Motion S.A, en uno de los cuales le indicaron una cuenta bancaria para hacer el pago que no pertenecía a Gamboa Automoción.

Mientras que, la relación entre tal infracción y el daño, no llega a ser una propia relación de causalidad, pues basta una relación simplemente adecuada, de manera que el resultado se vea propiciado por ella ( STS 413/2015, de 30 de junio). En palabras que tomamos de la STS 108/2010, de 4 de febrero, "ha de constatarse una relación causal, más o menos directa -afirma la jurisprudencia, entre la infracción de las disposiciones reglamentarias y el resultado que pretende evitar la norma penal, de modo que si se hubiera cumplimentado la normativa vigente el hecho punible no se hubiera producido. Si bien conviene advertir que el binomio infracción-daño no se puede construir con semejante nitidez, pues la doctrina entiende que la infracción de los reglamentos ha de tener una relación simplemente adecuada, de manera que el resultado se vea propiciado por ella. Y es que no ha de olvidarse que sobre la base de la infracción causal primera del responsable subsidiario, se incrusta o interfiere una intervención delictiva dolosa o imprudente de un tercero autor material del hecho ( STS 768/2009, de 16 de julio, reiterado en la STS 64/2014, de 11 de febrero, ó la 46/2025, de 23 de enero).

El motivo se desestima.

TERCERO.- De conformidad con el art. 901 LECrim, las costas procesales en caso de desestimación del recurso, se impondrán a la parte recurrente.