Responsabilidad bancaria por fraude electrónico sentencia de casación Civil de 19 diciembre de 2016

LOS HECHOS DEL CASO

HECHOS DEL CASO La demandante abrió una cuenta de ahorros en el banco demandado, que desde un comienzo puso a su disposición los servicios de banca electrónica a través de los que realizaba sus transacciones. El 22 de noviembre de 2007 se presentaron inconvenientes para acceder a la sucursal virtual de la entidad bancaria (portal no disponible). Al día siguiente, la demandante accedió al portal y encontró un faltante de dinero. La sustracción se produjo durante el día del 22 de noviembre y la madrugada del 23 de noviembre de 2007, mediante traslado a 11 cuentas pertenecientes a clientes del banco demandado.

HECHOS DEL CASO Se concluyó que el fraude se realizó bajo la modalidad de phising o spoofing. La demandante alegó que el banco no la instruyó para evitar defraudaciones mediante la modalidad empleada por los delincuentes, ni tomó las medidas mínimas de seguridad (parametrización IP, configuración VPN y mecanismos para detectar transacciones anormales). La demandante señaló que siempre obró con cautela. Indicó también que en el año 2007 ocurrieron varias defraudaciones similares, sin que la entidad demandada tomara medidas suficientes.

LA DECISIÓN de la corte

decisión DEL CASO No casa la sentencia de segunda instancia, en la que se declaró civilmente responsable al banco con fundamento en: Incumplimiento del deber de «actuar con grado especial de diligencia en el desarrollo de las operaciones comerciales que constituyen su objeto social». Atendió transacciones de forma irregular. No acreditó la culpa del cuentahabiente. Usuario normal no está en capacidad de identificar el engaño cometido bajo la modalidad de «phishing», salvo capacitación requerida, la cual no fue proporcionada por la entidad bancaria.

LOS FUNDAMENTOS DEL FALLO

LOS FUNDAMENTOS DEL FALLO El régimen de la Actividad Financiera Actividad financiera de interés público y de carácter profesional. Relación asimétrica entre el banco y sus clientes, con posición de predominio de la entidad financiera. Asimilación de la forma de operación de los diferentes contratos bancarios típicos que permiten la captación de recursos (cuenta corriente y depósito de ahorros), por lo que el banco adquiere mismos deberes (custodia y seguridad). Modelo particular de responsabilidad profesional El modelo se fundamenta en la aplicación extensiva de las reglas de responsabilidad por el pago de cheques falsificados. Respecto de la responsabilidad por cheques falsificados la Corte ha aplicado un criterio estricto de responsabilidad civil, de carácter profesional, fundando en la teoría del riesgo (riesgo creado – riesgo beneficio – riesgo de empresa).

LOS FUNDAMENTOS DEL FALLO Responsabilidad por riesgo de empresa Se fundamenta en la existencia de riesgos inherentes al desarrollo de una actividad empresarial y su atribución a quien la desarrolla. Los bancos deben asumir la reparación de los daños ocasionados por la materialización de los riesgos que se derivan de la utilización de los medios de pago puestos a disposición de los clientes. “El riesgo se materializa con el ofrecimiento a los clientes de una plataforma tecnológica para realizar sus transacciones en línea, la cual puede ser vulnerada por delincuentes cibernéticos a través de diversas acciones, atendida la vulnerabilidad inherente a los sistemas electrónicos.”

Exoneración de responsabilidad del banco No se admite la prueba de la diligencia del banco o el cumplimiento de los estándares de seguridad para exonerarse de su responsabilidad. La exoneración del banco requiere la prueba de que el fraude se produjo por culpa del cuentahabiente o de sus dependientes (custodia instrumentos de pago).

LOS FUNDAMENTOS DEL FALLO frente a la jurisprudencia existente LA teoría del riesgo

LOS FUNDAMENTOS DEL FALLO frente a la jurisprudencia existente Aplicación extensiva del régimen de responsabilidad por el pago de cheques falsos o adulterados Sentencia de 15 de diciembre de 2006 – CSJ aplicó el régimen estricto de responsabilidad a supuestos diversos a los contemplados expresamente en la norma (nota débito materialmente alterada). En criterio de la Corte, la norma lleva implícita la existencia de un modelo particular de responsabilidad profesional del banco. Aplicación extensiva del régimen estricto de responsabilidad al fraude electrónico Fallo Sala Civil del TSDJ de Bogotá el 18 de diciembre de 2009. Fallo de tutela 11 de marzo de 2010 de la Sala de Casación Civil de la CSJ. Doctrina acogida por la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia.

LOS aspectos controversiales del fallo LA teoría del riesgo

ASPECTOS CONTROVERSIALES DEL FALLO La asignación del riesgo de fraude electrónico se trata como un supuesto de responsabilidad civil contractual A pesar de que se alude a un régimen objetivo de responsabilidad, el fallo abunda en referencias a la diligencia debida por parte de los bancos. Sería más coherente dar tratamiento de asignación contractual de riesgos. Falta de mención de otros medios de defensa – Art. 733 del C. de Co. Se distingue en responsabilidad civil bancaria dos eventos: La responsabilidad del banco por la falsificación o adulteración de cheques (arts. 732 y 1391 del C. de Co.). La responsabilidad que se presenta cuando el cliente extravía los formularios de su chequera (art. 733 del C. de Co.). La sentencia no menciona el segundo supuesto.

ASPECTOS CONTROVERSIALES DEL FALLO Falta de mención de otros medios de defensa – Plazo caducidad (art. 1391 C. de Co.) Plazo de caducidad de 6 meses establecido en el artículo 1391 del C. de Co. La aplicación extensiva régimen de responsabilidad del art. 1391 del C. de Co. a los casos de fraude informático, debe realizarse en forma completa. Limitación de los medios de defensa Único medio de defensa la prueba de la culpa del cuentahabiente. Régimen responsabilidad objetiva - defensa del demandado se sitúa en el terreno de la causalidad (Fuerza mayor o caso fortuito, el hecho exclusivo de un tercero o el hecho de la víctima). No se encuentra razón válida para excluir per se estas causas de exoneración.

aspectos controversiales de tipo técnico Aplicación a la actividad bancaria de reglas técnicas que para la fecha de los hechos no habían sido dictadas o acogidas por los organismos encargados de la regulación de la actividad financiera. P. ej. Norma técnica NTC NTC-ISO/IEC 27001 sobre «Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información (SGSI)». Planteamientos generales sin soporte o sin claridad sobre la fuente de la información. P. ej. Contraseñas “ya no son mecanismos suficientemente confiables”; cualquier transferencia de datos puede ser monitoreada por terceros”; los mecanismos informáticos son puestos al servicio de los clientes “para disminuir costos y obtener mejores rendimientos.” P. 44;

OTROS ASPECTOS RELEVANTES DE LA RESPONSABILIDAD BANCARIA alcance y efectos del concepto de “perfil transaccional”

Deber de elaborar perfil transaccional Perfil transaccional – nace como mecanismo asociado a la prevención de lavado de activos y financiación del terrorismo. Deber de conducta para los establecimientos bancarios. (Parte I, Tít. II, Cap. I, 2.3.3.1.13. C. Básica Jurídica - CE 29 de 2014 de la SFC). Dotar de seguridad de sus clientes, con el fin de evitar fraudes. Se ha señalado “que el perfil transaccional es a las operaciones bancarias lo que la huella dactilar es a cada individuo”. Exoneración total de responsabilidad por parte del banco, bajo el régimen estricto, demanda la prueba de dos circunstancias: La culpa exclusiva de la víctima. Que las operaciones se adecúan a los hábitos transaccionales del cliente. Culpa compartida - operaciones fuera del hábito transaccional. Banco debe responder en una proporción de la indemnización que se determinará frente al grado de culpa en que haya incurrido la víctima.

Recomendaciones

Recomendaciones Fortalecimiento de los mecanismos de educación financiera. Velar por la adopción de una reglamentación sobre la asunción de las consecuencias derivadas de la materialización de los riesgos de fraude y de los deberes de los usuarios para su prevención. Definir con claridad en los instrumentos contractuales los deberes de protección en cabeza de los usuarios (círculo de seguridad del cliente). Prácticas inseguras identificadas por autoridades judiciales en sus fallos. Propuesta de regulación para la redefinición del concepto del perfil transaccional. Prácticas adecuadas de detección de desviaciones de perfiles transaccionales.