Alvarez Abogados Tenerife
La acelerada digitalización de los servicios financieros ha traído consigo una proliferación exponencial de los ciberdelitos patrimoniales (phishing, smishing, vishing). En la Comunidad Autónoma de Canarias, cuyo dinámico sector servicios y alto volumen de residentes extranjeros y nómadas digitales generan un intenso tráfico de operaciones transfronterizas, la incidencia de estos fraudes ha saturado los juzgados de primera instancia.
El núcleo del debate jurídico ya no reside en la persecución penal del ciberdelincuente —cuya identidad suele diluirse en entramados transnacionales—, sino en la imputación objetiva del daño patrimonial en el orden civil. Específicamente, en la responsabilidad de las entidades de crédito por la vulneración o ineficacia de sus sistemas de Autenticación Reforzada de Cliente.
La responsabilidad "cuasi-objetiva" del proveedor de servicios de pago
El ecosistema normativo se asienta sobre la Directiva (UE) 2015/2366 (PSD2), transpuesta al ordenamiento español mediante el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera.
El legislador europeo y nacional ha configurado un régimen de imputación que la doctrina mayoritaria y la jurisprudencia califican de responsabilidad cuasi-objetiva o por riesgo de empresa. Conforme al artículo 45 del RDLSP, en caso de ejecutarse una operación de pago no autorizada, la entidad bancaria está obligada a restituir de inmediato el importe de la operación al ordenante.
Este mandato restitutorio solo admite una vía de escape para la entidad: demostrar que el usuario actuó de manera fraudulenta o que incumplió, deliberadamente o por negligencia grave, sus obligaciones de custodia de las credenciales de seguridad.
La Autenticación Reforzada de Cliente (SCA) y el deber de vigilancia activa
Para mitigar el fraude, el artículo 36 de la PSD2 (y su concordante en el RDLSP) exige a los bancos aplicar la Autenticación Reforzada de Cliente (SCA). Esta exige el uso de dos o más elementos categorizados en:
- Conocimiento: Algo que solo el usuario sabe (contraseña, PIN).
- Posesión: Algo que solo el usuario posee (teléfono móvil, tarjeta física).
- Inherencia: Algo que el usuario es (biometría: huella dactilar, reconocimiento facial).
El conflicto surge cuando la entidad bancaria se escuda en que las operaciones fraudulentas fueron validadas mediante SCA (por ejemplo, introduciendo un código OTP enviado por SMS). Sin embargo, la jurisprudencia reciente de las Audiencias Provinciales, incluida la praxis reiterada de la Audiencia Provincial de Santa Cruz de Tenerife, establece que el mero registro del uso de un instrumento de pago no basta para demostrar que la operación fue autorizada por el titular, ni para probar su negligencia grave.
La quiebra del sistema SCA no solo se produce por fallos técnicos, sino por la omisión del banco en su deber de vigilancia y monitorización (monitoreo transaccional). Los sistemas bancarios deben contar con algoritmos antifraude que detecten anomalías (cambios de dispositivo, geolocalizaciones inusuales de la IP, patrones de gasto atípicos o vaciado de cuentas en segundos). La falta de bloqueo preventivo ante estas alertas constituye una quiebra del sistema de seguridad imputable a la entidad por culpa in vigilando.
La delimitación jurisprudencial de la "negligencia grave" del usuario
El verdadero campo de batalla procesal se sitúa en la carga de la prueba (onus probandi). Es la entidad bancaria quien debe probar, sin género de dudas, la "negligencia grave" del cliente.
La jurisprudencia del Tribunal Supremo ha establecido que no cualquier descuido integra esta calificación. En la actualidad, técnicas como el SMS Spoofing (donde el ciberdelincuente logra que su mensaje fraudulento se incruste en el mismo hilo de SMS legítimos del banco en el teléfono de la víctima) o el vishing (suplantación telefónica del servicio antifraude del banco) alcanzan tal grado de sofisticación que el error del consumidor es invencible y, por ende, excusable.
Caer en una estafa que emula a la perfección la interfaz y los canales de comunicación del propio banco no puede ser calificado de negligencia grave, sino de víctima de una brecha en la confianza legítima del canal de comunicación que el banco habilitó (teoría de la apariencia).
Estrategia procesal para la Dirección Letrada
Desde el amplio conocimiento de nuestros abogados en Derecho Bancario de Álvarez Abogados Tenerife, recomendamos a los letrados y asesores jurídicos observar una praxis rigurosa en la sustanciación de estas reclamaciones:
- Reclamación Previa y Denuncia: Es imperativo que el cliente interponga denuncia penal de forma inmediata tras conocer el fraude y presente reclamación ante el Servicio de Atención al Cliente (SAC) de la entidad.
- Exigencia de la trazabilidad (Logs): En la demanda civil, debe solicitarse mediante requerimiento documental o diligencia preliminar que la entidad aporte los registros técnicos (logs) de las operaciones: direcciones IP desde las que se ordenaron, dispositivos asociados y el informe de alertas del sistema antifraude del banco en ese momento.
- Fundamentación en la carga de la prueba: La demanda debe anclarse en la presunción de falta de autorización y trasladar toda la carga probatoria ex art. 43 RDLSP a la entidad financiera. No corresponde al consumidor probar cómo vulneraron su seguridad, sino al banco probar que el cliente fue gravemente negligente.
La arquitectura legal de los servicios de pago en la Unión Europea blinda al usuario frente a la ciberdelincuencia, trasladando el riesgo operacional a quienes ostentan la capacidad tecnológica y económica para prevenirlo: las entidades financieras. Para la abogacía especializada, dominar la exégesis de la Autenticación Reforzada y la delimitación de la negligencia grave es indispensable para garantizar el éxito en la restitución patrimonial de los afectados.
