Fraudes con DEBIN y responsabilidad bancaria: un fallo relevante sobre el hecho de la víctima

Por Joaquin Sande

La Sala A de la Cámara Nacional de Apelaciones en lo Comercial revocó una sentencia de primera instancia que había condenado a una entidad bancaria por operaciones fraudulentas realizadas mediante DEBIN desde la cuenta corriente de una sociedad comercial.

El fallo resulta relevante porque analiza los límites de la responsabilidad bancaria en operaciones digitales cuando no se verifica una intrusión técnica, una suplantación de identidad dentro de la plataforma ni una falla acreditada en los mecanismos de seguridad, sino la autorización de las operaciones por parte de una usuaria habilitada.

En ese marco, la Cámara concluyó que el daño se produjo como consecuencia determinante de la conducta de la propia parte actora, configurándose un supuesto de hecho del damnificado, calificado en el caso como culpa de la víctima.

Antecedentes

Jicec S.A. es una sociedad comercial que se dedica a la venta de productos relacionados con el rubro metalúrgico.

En el presente caso, una empleada de la actora efectuó 11 operaciones DEBIN consecutivas desde la cuenta corriente bancaria de la empresa, a raíz de una venta venta de productos a la Metalúrgica Tesei SA, coordinada con un individuo que se identificó como «Marcelo Beltrán».

Posteriormente, la dependiente que ejecutó la transacción, alegó que desconocía la operatoria DEBIN y pulsó el botón “autorizar” en el entendimiento de que implicaba recibir un pago. En consecuencia, se debitaron la suma total de $27.435.000.

A partir de ello, la actora demandó al Banco de Galicia y Buenos Aires S.A., atribuyéndole responsabilidad por haber permitido que se concretara el fraude sobre sus cuentas bancarias. 

Cuestión preliminar. Inexistencia de Relación de Consumo en el Ámbito Empresarial

Uno de los puntos importantes del fallo radica en la exclusión de la Ley de Defensa del Consumidor (LDC). La Cámara ratificó que las personas jurídicas solo pueden ser consideradas consumidoras cuando actúan como destinatarias finales y fuera de su ámbito profesional o empresarial.

El juez de primera instancia había concluido que “…Pero sin embargo la operatoria que dio lugar a la conducta reprochada ocurrió en el marco de la actividad comercial desarrollada por ‘Jicec’. En ese contexto, se estima que la demandante no puede ser catalogada como ‘consumidora’, en la medida en que utilizó el servicio que brinda la demandada no como ‘destinataria final’, sino para aplicarlo a un proceso productivo –su actividad de empresa metalúrgica–….”

En este caso, la cuenta corriente era utilizada para el giro comercial de la empresa, incluyendo el pago de sueldos y proveedores.

La operación que dio origen al fraude se presentó como una transacción comercial vinculada con el objeto social de la firma.

En consecuencia, se rechazó la aplicación de daños punitivos al no existir un vínculo de consumo tutelado por la Ley 24.240.

Contexto de la Operatoria Virtual

En los últimos años, las entidades bancarias han facilitado a sus clientes la operatoria a través de la banca electrónica, permitiendo realizar más operaciones por Home Banking sin necesidad de concurrir a una sucursal. Ello representa un beneficio para el usuario, pero también exige atender los riesgos propios de la operatoria digital.

El fallo citado menciona que “…En ese contexto, debe apuntarse que el uso masivo de la operatoria bancaria virtual, especialmente con motivo del aislamiento provocado por la pandemia Covid-19, trajo aparejado consigo el incremento exponencial de los ciberdelitos…”

En este contexto, individuos ajenos a las entidades bancarias pueden manipular a los usuarios para que ejecuten operaciones mediante engaño o sin advertir el alcance real de la autorización otorgada, buscando despojarlos de sus fondos. En tales casos, la responsabilidad de la entidad bancaria debe analizarse a la luz de las medidas de seguridad implementadas, la trazabilidad de la operación y la conducta concreta del usuario.

En relación con ello, el tribunal señaló que “…Es que, a la par de los beneficios para los clientes derivados de la existencia del homebanking –en tanto les permite operar sobre sus cuentas sin necesidad de concurrir a una sucursal bancaria, en horarios inhábiles e incluso desde el exterior del país–, así como los beneficios para la entidad bancaria –en cuanto le permite reducir el costo de su operatoria presencial– es también claro que dicho sistema entraña un riesgo para ambas partes, en tanto facilita la realización de operaciones sobre las cuentas de los clientes sin que medie la conformidad de estos últimos…”

En definitiva, la Cámara establece con claridad que la operatoria bancaria digital conlleva riesgos para ambas partes.

.

El fallo en Primera Instancia

La sentencia de primera instancia había resuelto que “…Concluyo entonces que no fue acreditado que la demandada haya tomado medidas de seguridad con el fin de evitar la utilización fraudulenta del sistema y así garantizar la seguridad de los usuarios…”

En ese sentido, la sentencia de primer grado sostuvo que el Banco no había acreditado medidas suficientes para evitar el fraude.

Sin embargo, ese criterio fue luego revisado por la Cámara, que ponderó especialmente la conducta desplegada por la propia parte actora en la ejecución de las operaciones.

Cabe destacar que el fallo de primera instancia también había dejado planteada la posible incidencia del hecho del damnificado en la producción del daño:

“…No soslayo que la responsabilidad puede ser excluida o limitada por la incidencia del hecho del damnificado en la producción del daño en los términos del art. 1729 CCCN…”

Este punto resulta relevante porque permite encuadrar el análisis no solo en el deber de seguridad de la entidad bancaria, sino también en la conducta concreta del usuario frente a operaciones digitales autorizadas desde su propia cuenta.

Para ilustrar lo absurdo de una condena automática, cabe el siguiente ejemplo: si una persona retira dinero de un cajero automático y lo entrega voluntariamente a un tercero tras ser engañada en la vereda, ¿sería justo responsabilizar al banco por el solo hecho de haber facilitado el retiro de los fondos?.

Sentencia de Cámara: hecho de la víctima y ruptura del nexo causal

El fallo de la Sala aborda un punto central para el análisis de este tipo de casos: la incidencia de la conducta de la víctima en la producción del daño.

El tribunal de alzada basó su decisión en lo establecido en la última parte del art. 1722 del Código Civil y Comercial de la Nación, en cuanto contempla la posibilidad de eximir de responsabilidad cuando se acredita una causa ajena.

En ese sentido, sostuvo que:

“(…)En esas condiciones, estímase que la accionada debe considerarse eximida de su responsabilidad por el daño sufrido por la actora como consecuencia del desapoderamiento del dinero que tenía depositado en su cuenta bancaria, pues se configura en el caso el supuesto de eximición contemplado en el art. 1722 CCCN.(…)”

La decisión se basó en hechos objetivos, detallados en la pericia informática:

• La actora realizó voluntariamente once operaciones de DEBIN a pedido de un tercero.

• No existió una intrusión técnica, virus,ni suplantación de identidad por parte de supuestos empleados bancarios.

• Fue la propia usuaria quien, dentro de la plataforma, cumplió con todos los pasos de seguridad requeridos (clave, token, etc.) desde una dirección IP habitual.

• La Cámara concluyó que el cumplimiento de los mecanismos de monitoreo previstos por la Comunicación «A» 6017 BCRA no pudo evitar el daño debido al breve intervalo de las operaciones (01:24:01 horas)

En ese marco, el tribunal entendió que las características de lo ocurrido tuvieron entidad suficiente para interrumpir el nexo causal que permitiría atribuir responsabilidad al Banco. En otras palabras, consideró configurado un supuesto de hecho del damnificado, calificado en el caso como culpa de la víctima.

Conclusiones

Por todo lo expuesto, resulta importante que la jurisprudencia mantenga un criterio estricto y prudente sobre el alcance de la responsabilidad objetiva en materia de fraudes digitales.

Si cualquier operación realizada con credenciales válidas pudiera ser cuestionada por la sola intervención o pedido de un tercero, se generaría un escenario de incertidumbre jurídica relevante para la operatoria digital.

Ante este panorama, los tribunales deben analizar especialmente la eventual incidencia de la conducta imprudente de la víctima como causal de ruptura del nexo causal, siempre que las medidas de seguridad bancarias exigibles hayan sido cumplidas de forma adecuada.

Este fallo marca un criterio relevante para el sector financiero y corporativo, al equilibrar el deber de seguridad de los bancos con la diligencia debida que también deben observar las empresas en la utilización de sus canales digitales.

Además, la sentencia no presume la deficiencia o insuficiencia de las medidas de seguridad de la plataforma digital cuando la operación fue ejecutada mediante credenciales válidas y a partir de la conducta del propio usuario.

En definitiva, la sentencia subraya que la responsabilidad objetiva del prestador no es absoluta y puede ceder ante comportamientos del usuario que facilitan de manera determinante la consumación del ilícito.