La responsabilidad de las entidades bancarias ante las estafas informáticas

Los últimos datos en ciberseguridad muestran un aumento alarmante sobre las estafas informáticas, afectando a miles de usuarios, especialmente a aquellos con menos experiencia tecnológica. En respuesta a esta realidad, el RDL 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (en adelante, LSP), establece un régimen de responsabilidad civil cuasiobjetiva para proveedores de servicios de pago, obligando a proteger al usuario final ante posibles fallos de seguridad. 

La LSP establece un sistema detallado y riguroso para la operativa de pagos digitales, distribuyendo claramente las obligaciones y derechos entre los diferentes operadores. Asimismo, regula cómo debe prestarse el consentimiento para que las órdenes de pago sean válidas. 

En concreto, el art. 45 de dicho cuerpo normativo impone a los proveedores de servicios de pago, la obligación de reintegrar a los usuarios, a la mayor brevedad, y una vez notificado el fraude, el importe de las operaciones no autorizadas ni consentidas, siendo el consentimiento, como es sabido, requisito esencial de todo acto jurídico. Por su parte, el art. 36.1 del mismo cuerpo normativo especifica que una operación de pago sólo se considerará autorizada si el ordenante ha dado su consentimiento, de lo contrario, la operación se considera no autorizada. 

La jurisprudencia ha declarado que la responsabilidad consagrada por el citado precepto es de tipo cuasiobjetiva y que las entidades bancarias, como proveedores de servicios de pago, son responsables de la utilización de los sistemas de pago digital en masa. En este sentido se ha pronunciado la Sección 14ª de la Audiencia Provincial de Madrid, en su Sentencia núm. 81/2023, de 21 de febrero. 

Asimismo, el art. 38.3. b) de la LSP exige a las entidades bancarias asegurar que las credenciales de seguridad de los usuarios no sean accesibles a terceros, salvo al usuario y al emisor, y que estas credenciales se transmitan mediante canales seguros y eficientes. 

Por tanto, este sistema protege al consumidor y establece que los bancos, en su rol de garantes, deben asumir los riesgos operativos y de seguridad, incluyendo los fallos o vulnerabilidades en sus sistemas. Por lo que, el régimen de responsabilidad de la LSP exige a los proveedores de servicios de pago que restituyan las cantidades defraudadas, a menos que prueben que el usuario actuó con negligencia grave o fraude al incumplir alguna de las obligaciones del art. 41 de dicho cuerpo legal, esto es, proteger sus credenciales y comunicar sin demora el pago no autorizado. 

Con respecto a la responsabilidad civil de las entidades bancarias en el ámbito penal, en primer lugar, cabe destacar que la estafa informática, tipificada en el art. 249 del Código Penal (en adelante CP), es una modalidad de estafa en la que el autor se sirve de alguna manipulación informática o artificio semejante para lograr una transferencia no autorizada de cualquier activo patrimonial.

De acuerdo con lo preceptuado por el art. 109 del CP, las estafas informáticas, como delitos que son, también generan la obligación de reparar los daños y perjuicios causados. Y, tal obligación de reparar recaerá, en primer lugar, sobre aquellas personas criminalmente responsables, conforme a lo dispuesto en el art. 116 del CP.

No obstante, el Código Penal, en su art. 120, contempla la responsabilidad civil de determinadas personas, físicas o jurídicas, las cuales, aun sin ser criminalmente responsables y ante ciertas circunstancias, deberán reparar los daños y perjuicios derivados del delito de forma subsidiaria al responsable penal, cuando este no se encuentre en condiciones de reparar, principalmente en supuestos de insolvencia.

En este sentido, hemos de prestar especial atención al apartado 3.º de dicho precepto, pues este prevé la responsabilidad civil subsidiaria de aquellas «personas naturales o jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que los dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que este no se hubiera producido sin dicha infracción».

Dicho precepto permite que las entidades bancarias puedan ser incluidas en el proceso penal como responsables civiles subsidiarias si sus servicios facilitaron una estafa informática debido a fallos o ausencia de sistemas de seguridad. Aunque el texto se refiere a establecimientos, la jurisprudencia y doctrina coinciden en interpretarlo de manera más amplia, incluyendo plataformas digitales como sitios web, aplicaciones móviles y correos corporativos de la entidad. 

En este contexto, cabe mencionar la reciente Sentencia del Tribunal Supremo, Sala 2.ª, n.º 188/2024, de 29 de febrero, la cual confirma la responsabilidad civil subsidiaria de la entidad bancaria en un supuesto en el que el responsable penal, sin tener relación comercial o mercantil alguna con la empresa perjudicada, presentó ante el banco de la perjudicada 80 recibos y logró que las cuantías de dichos recibos se transfirieran a su cuenta, destacando nuestro Alto Tribunal que «lo que es evidente es que en este caso no ha habido ningún tipo de barrera, control o deber objetivo de cuidado que evite lo que ha ocurrido, al haber utilizado el autor del ilícito penal la «facilidad» de pasar nada menos que 80 recibos a una entidad mercantil sin, absolutamente, ningún impedimento de control para que el cargo prospere y sin autorización previa alguna de la parte perjudicada que confiaba en mecanismos de control previos que eviten un cargo indebido y perjuicio en la suma indicada de la que debe responder civilmente por vía subsidiaria ex art. 120.3 CP la entidad bancaria. (…) En casos como el aquí ocurrido la responsabilidad ex art. 120.3 CP viene por incumplir el deber objetivo de cuidado que afecta a toda actividad para no causar daños a terceros y en este caso es evidente que los daños se causaron incumpliendo el principio de confianza que tenía el perjudicado en que no iba a recibir cargos indebidos no autorizados de forma expresa».

Dicho esto, podemos afirmar que la doctrina jurisprudencial admite la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos en los que sus servicios han dado soporte a la comisión de una estafa informática. 

En vista de lo anteriormente expuesto, se concluye que el procedimiento penal se constituye como un medio adecuado para reclamar a tales entidades bancarias la reparación del daño causado por el delito cometido por un tercero. No obstante, en aquellos supuestos en los que no sea posible la identificación del autor del delito de estafa informática, resultando imposible dirigir el procedimiento penal frente al mismo, siempre será posible ejercer la acción de responsabilidad civil de manera directa contra la entidad bancaria, conforme a lo dispuesto en el art. 45 de la LSP.

Volver al índice