Quiso vender un sillón y la estafaron con dos millones de pesos

La trama se desató cuando, el 18 de febrero de 2021, María Agustina publicó un sillón en venta en internet. Entra en escena un misterioso “Carlos….”, quien, manifestando interés en el artículo, solicitó datos de su cuenta bancaria para evitar transportar el dinero. Incauta, María Agustina proporcionó la información solicitada.

Horas después, el supuesto comprador, bajo el pretexto de un error en la transferencia, la condujo a una situación más oscura. Dijo que se había equivocado en el monto y que necesitaban validarla. Desde el Banco, entidad del presunto estafador, alegaban necesitar contactarla para rectificar el supuesto error.

“Carlos ….” se transformó en “Martín….” (nombres cambiados), un supuesto referente del Banco…, que mediante artimañas la guió hacia un cajero automático para anular la transferencia. Al día siguiente, descubrió que su cuenta estaba bloqueada, y el Banco … le informó que se le había otorgado un préstamo no solicitado. Al intentar solucionarlo directamente en el banco, le indicaron que primero debía presentar una denuncia policial.

La narrativa se volvió aún más intensa cuando María Agustina, tras desbloquear su cuenta quince días después, descubrió que el dinero del préstamo había sido transferido a terceros mediante cuatro operaciones, detallando fechas, horas y CBUs de destino. Rápidamente, presentó una denuncia penal, que fue remitida a la Unidad Fiscal Temática N° 2. Enumeró los derechos vulnerados y principios infringidos por el banco, exigiendo la nulidad del préstamo y la devolución completa de lo debitado.

En una respuesta intrigante, el Banco …. S.A., representado por apoderado, contradijo cada uno de los hechos alegados por María Agustina. Alegaron que fue su propia negligencia la que desencadenó el evento dañoso, ya que ella misma proporcionó los datos y, siguiendo instrucciones del presunto estafador, modificó su clave y solicitó el préstamo a través de Mobile Banking.

Sostuviero en su demanda que al proporcionar información privada, la cliente asumió las consecuencias, anulando la responsabilidad del banco para prevenir tales operaciones. Adjuntaron detalles de las operaciones realizadas y reclamos efectuados, asegurando que actuaron conforme a las normativas del Banco Central.

María Agustina, respaldada por asesoría legal, presentó una demanda por daños y perjuicios contra el Banco … S.A., buscando una compensación de $1.750.000 en concepto de daño punitivo y moral, además de la devolución de las sumas debitadas por el préstamo hasta la fecha de la sentencia, junto con la anulación de la operación.

El derecho en el banco

La cuestión a resolver, dijo el juez de Bariloche, radica en determinar si corresponde atribuir responsabilidad al Banco … S.A. en el marco de una relación de consumo y, en su caso, determinar la procedencia o nulidad del mutuo bancario, con base en el vicio de la voluntad de la actora, por falta de consentimiento como así también la procedencia de los rubros indemnizatorios requeridos y la cuantificación de los mismos.

En lo referido a los contratos bancarios, cabe señalar que éstos se encuentran alcanzados por los principios generales de los contratos de consumo -además de los principios propios -, integrándose de este modo a un enfoque sistémico pro consumidores. El Código Civil y Comercial establece expresamente que el banco debe dispensar al cliente un trato digno (art. 1.097), equitativo y no discriminatorio (art. 1.098), suministrar información cierta, detallada, comprensible y gratuita (art. 1.100), las pautas que regulan el carácter abusivo de las cláusulas (art. 1.117, 1.119 y cc) y su control judicial (art. 1.122).

Ha previsto también el Código Civil y Comercial un capítulo específico que regula a los contratos bancarios, que entre sus disposiciones generales contiene previsiones relativas a la transparencia de las condiciones contractuales y otro a los contratos bancarios con consumidores y usuarios (parágrafo 2).

En efecto, la ley 24.240, contiene una norma expresa relativa a la carga de la prueba, el art. 40, último párrafo: “Sólo se liberará total o parcialmente demuestre que la causa del daño le ha sido ajena”.

También el art. 53, tercer párrafo, impone a los proveedores la carga de aportar al proceso todos los elementos de prueba que obren en su poder, conforme a las características del bien o servicio, prestando la colaboración necesaria para el esclarecimiento de la cuestión debatida en el juicio.

 

Un préstamo no pedido ni consentido

La controversia que dio origen a este proceso radica en que la actora no prestó debidamente su consentimiento para el contrato de préstamo que el Banco XXX le otorgó y que el sistema de seguridad de la entidad demandada presenta fallas o deficiencias, que favorecieron el ardid de que Sarmiento fue víctima.

Al contrario, el Banco sostiene que el mutuo bancario fue instrumentado conforme la normativa aplicable, pero que las consecuencias de lo ocurrido posteriormente se deben al obrar negligente de la parte actora, pues con su accionar facilitó los datos personales a terceros, por lo tanto, se encuentra eximida de su eventual responsabilidad.

Expuesto ello, de acuerdo con el modo en que el hecho ha sido reconstruido a partir de los escritos de demanda y contestación y de la prueba rendida, en especial del legajo penal, entiendo que el préstamo preaprobado fue tomado por personas que intervinieron por medio de un engaño de ingeniería social en el homebanking de la actora. De este modo, en base a esa maniobra quién operó el homebanking de la actora para obtenerlo no fue ella sino terceros ajenos a la relación de consumo detallada.

 

La pericia informática prueba la estafa

En este sentido, cabe consignar que la actividad defensiva desplegada por la demandada estuvo direccionada principalmente a atribuirle a la actora su necesaria intervención para la concreción del evento dañoso. Más nada expuso ni intentó probar respecto de las medidas complementarias de seguridad que hubiese adoptado en atención a lo establecido en la Comunicación BCRA A N° 6017 del 15-07-16 y modificatorias, referente a los “Requisitos mínimos de gestión, implementación y control de los riesgos relacionados con tecnología informática, sistemas de información y recursos asociados para las entidades financieras”.

La normativa indicada establece en su art. 6.7.4. que “las entidades deben disponer de mecanismos de monitoreo transaccional en sus CE que operen basados en características del perfil y patrón transaccional del cliente bancario, de forma que advierta y actúe oportunamente ante situaciones sospechosas en al menos uno de los siguientes modelos de acción: a) Preventivo. Detectando y disparando acciones de comunicación con el cliente por otras vías antes de confirmar operaciones. b) Reactivo. Detectando y disparando acciones de comunicación con el cliente en forma posterior a la confirmación de operaciones sospechosas. c) Asumido. Detectando y asumiendo la devolución de las sumas involucradas ante los reclamos del cliente por desconocimiento de transacciones efectuadas” (cf. RMC004).

Asimismo, dispone que “las entidades deben implementar mecanismos de comunicación alternativa con sus clientes, con el objeto de asegurar vías de verificación variada ante la presencia de alarmas o alertas ocurridas dentro del monitoreo transaccional implementado” (cf. RMC005).

En su glosario se define a los mecanismos de identificación positiva como aquellos “procesos de verificación y validación de la identidad que reducen la incertidumbre mediante el uso de técnicas complementarias a las habitualmente usadas en la presentación de credenciales o para la entrega o renovación de las mismas. Se incluyen, pero no se limitan a las acciones relacionadas con: verificación de la identidad de manera personal, mediante firma holográfica y presentación de documento de identidad, mediante serie de preguntas desafío de contexto variable, entre otros.” (pto. 6.6. Comunicación “A” 6017).

De igual manera, establece que “El monitoreo transaccional en los CE debe basarse, pero no limitarse a lo siguiente: a) La clasificación de ordenantes y receptores en base a características de su cuenta y transacciones habituales, incluyendo pero no limitándose a frecuencia de transacciones por tipo, monto de transacciones y saldos habituales de cuentas. b)Determinación de umbrales, patrones y alertas dinámicas en base al comportamiento transaccional de ordenantes y receptores según su clasificación.” (cf. RMC011).

Del marco normativo referido surgen, como aspectos centrales del deber de seguridad que pesa sobre las entidades bancarias, por una parte la necesaria implementación de mecanismos de monitoreo transaccional vinculados al perfil del usuario para advertir y actuar ante situaciones sospechosas y, por la otra, la exigencia de mecanismos de comunicación alternativos y de identificación positiva.

El cumplimiento de los mecanismos descriptos para operar por canales electrónicos regulados expresamente por la autoridad de aplicación -aunque pueden ser catalogados como complementarios a los sistemas de validación mediante claves personales- es obligatorio para los bancos y, en el caso, no se verifica ni se ha demostrado que tales dispositivos hayan sido debidamente observados.

La obligación de seguridad, se ha dicho, “…no resulta abastecida por el solo cumplimiento de los recaudos promovidos por la normativa del BCRA en materia de seguridad, en tanto ello es un piso mínimo regulatorio” (cf. CNCiv., Sala C, “Distribuidora Lanús S.A. c. Banco Santander Río SA y otro s/Ordinario”, 10-12-20, cita online TR LALEYAR/JUR/66096/2020; Raschetti Franco “Proyecciones a la actividad bancaria de la obligación de seguridad en materia de defensa del consumidor”, en RCCyC, septiembre 2021).

En efecto, el deber de cuidado exigible a las instituciones bancarias es sensiblemente mayor al cumplimiento de las medidas de la autoridad de aplicación, debiendo adoptar no solo las medidas de seguridad mínimas obligatorias sino las adecuadas y necesarias, las que de acuerdo a las directivas del Banco Central surjan de un estudio de seguridad que deben efectuar las propias entidades. (Cf. Raschetti, ob cit., con cita de Nisnevich, Alejandro D., “Responsabilidad de los bancos por el incorrecto funcionamiento de los cajeros automáticos”, La Ley Córdoba 2014 (julio), 614, Cita online: TR LALEY AR/DOC/2180/2014).

Conforme a ello, la facilitación de los datos por la actora mediante engaño, si bien fue una condición del hecho, no tiene la entidad que el recurrente pretende otorgarle en cuanto afirma que fue su causa.

La causa radica en la falta de cumplimiento de la entidad bancaria en la implementación de los mecanismos de seguridad del sistema que debieron ser puestos a disposición de la actora y que se derivan de la obligación de seguridad que a su vez exige “…a la entidad arbitrar todos los medios para evitar que el riesgo inherente al sistema se concrete en un daño para sus clientes (cf. Arias, María P. Müller, Germán E., “La obligación de seguridad en las operaciones financieras con consumidores en la era digital. Con especial referencia a la problemática del phishing y del vishing”, en JA 2021-111).

En el contexto de lo que se ha valorado hasta aquí, la conducta que la demandada atribuye a la actora, no la exime de responsabilidad, en tanto no se trata de un hecho exterior ajeno a los riesgos intrínsecos de la actividad; tampoco imprevisible e inevitable, según la Circular A 6017/16 (cf. arts. 1726, 1730, 1731 y 1733 inc. “e” del CCyC). Menos aun si se considera que por configurar el supuesto de autos una modalidad de ingeniería social, forma parte de los riesgos asegurables (Cám. Apel. Civ. y Com. de Necochea, “Gonzalez, Verónica c. Banco de la Provincia de Bs. As. s/Nulidad de Contrato”, 09-08-22, Microjuris, cita on line MJ-JU-M-138632-AR |MJJ138632|
MJJ138632).

De allí que, incumplida la obligación de seguridad en atención a las consideraciones realizadas, y no habiéndose acreditado la existencia de eximentes, el agravio respecto a la responsabilidad que le fue atribuida a la entidad demandada en la sentencia de grado debe ser desestimado, confirmándose lo decidido en este aspecto.” (STJRN Se. N° 133/23 “Bartorelli”).

Por lo tanto, quedó demostrada la ausencia de voluntad conforme art. 260 del CCyC en cabeza de la Sra. Sarmiento para tomar el préstamo que se operativizó en su nombre a través de su cuenta. Es por ello que, el contrato debe ser declarado nulo totalmente y consecuentemente ineficaz respecto de la actora conforme art. 382 y 389 del CCyC.

 

Responsabilidad del banco

Sentado ello, corresponde analizar la atribución de responsabilidad respecto de las consecuencias dañosas del mutuo contratado, expuso la jueza.

En lo que respecta a la atribución de responsabilidad, el art. 40 de la Ley 24.240 establece que “si el daño al consumidor resulta del vicio o riesgo de la cosa o de la prestación del servicio, responderán el productor, el fabricante, el importador, el distribuidor, el proveedor, el vendedor y quien haya puesto su marca en el servicio”.

Por ello, corresponde determinar si la conducta de la actora rompió el nexo causal o no. En este sentido, corresponde entender como causalidad adecuada “… a la condición que es apta, idónea, en función de la posibilidad y de la probabilidad que en sí encierra para provocar el resultado. Debe atenderse a lo que ordinariamente acaece según el orden normal, ordinario, de los acontecimientos. Según este punto de vista, la relación de causalidad jurídicamente relevante es la que media entre el daño ocasionado y la condición que normalmente lo produce” (Zannoni, Con causación de daños (una visión panorámica) en Revista de Derecho de Daños, n.2003-2. p.8).

Siendo consecuencia lógica de lo resuelto en el punto anterior respecto de la voluntad de la actora, la cual fue interferida por terceros, cabe entender que el accionar de ésta no rompió el nexo causal en base a la responsabilidad objetiva delineado por el art. 40 de la LDC. Ello así, porque si bien la entrega de los datos, sin tener conocimiento de ello, favoreció la maniobra, la causa eficiente de la disposición final del dinero de la actora no fue ello, sino la deficiente seguridad del banco al momento de otorgar el mutuo bancario.

Debe recordarse nuevamente que el sistema de reparación de daños a consumidores es objetivo y solidario. Ello significa que para que el demandado pueda librarse de aquella responsabilidad -objetiva- debió demostrar que la causa del daño le es ajena (conf. art. 40, último párrafo de la LDC). Es así que resulta evidente que la empresa demandada, en función de su presumida profesionalidad, es quien está en mejores condiciones para acreditar los extremos eximentes de responsabilidad.

A partir de la prueba rendida por el Banco, la pericial informática demostró cuáles son los recaudos de seguridad exigidos para operar a través del homebanking y realizar transferencias por ese medio, pero el profesional no se expidió concretamente respecto de la seguridad informática para obtener un préstamo preaprobado. Véase que al responder el punto VIII de la pericia encomendada, señala “la demandada manifiesta que los requisitos de seguridad informática para obtener un préstamo personal (…)”. ( PUMA presentación I0003).

Deber de seguridad y de custodia de fondos

Entiendo que el Banco … S.A., tal como se señalara anteriormente, ha incumplido el deber de seguridad, de custodio y seguridad de los fondos de la Sra. Sarmiento ante el desconocimiento de la operación de contratación de préstamo. También se observa que se ha incumplido el deber de información, porque no se constató siquiera que ella efectivamente hubiera tomado el préstamo incumpliendo así las obligaciones que recaen sobre dicha entidad a tenor del art. 4 y ss. de la ley de Defensa del Consumidor.

La reiteración de casos similares evidencia, que las operaciones de solicitud de préstamos “on line”, en el acto, con acreditación inmediata y sin la presencia física del consumidor en las entidades bancarias ha generado, por un lado y tal como lo señala el demandado, la posibilidad de operar, desde cualquier lugar y en cualquier momento, pero, por el otro, la reiteración de estafas perpetradas por terceros, utilizando las plataformas o aplicaciones digitales provistas por aquellas.

Aún cuando el banco demandado no fue parte en la estafa que sufrió la actora y sin perjuicio de la conducta asumida por ésta, lo determinante es que el préstamo no fue solicitado por la actora (ni en forma presencial ni virtual) sino que fue gestionado por un tercero desde un dispositivo celular o computadora.

 

Resarcimiento

La jueza ordenó en su resolución la devolución de las sumas efectivamente descontadas, toda vez que ya se encuentra resuelta la nulidad del contrato.

Como así también que la responsabilidad por el hecho ocurrido lo ha sido exclusivamente en cabeza de la demandada, surgen aplicables plenamente los efectos del art. 390 del CCcyC, esto es retrotraer las cosas al estado anterior al acto declarado nulo y obligar a restituir lo que se haya recibido.

En este punto, debe tenerse en cuenta que con fecha 22.06.2021 se dictó medida cautelar de innovativa, ordenando la suspensión de los efectos del préstamo otorgado, evitando por cualquier medio compulsivo de cobro y absteniéndose de informar como impagos dichos montos al sistema de información crediticia hasta el dictado de la sentencia definitiva.

Por lo que, en caso de haber efectuado algún descuento previo a la notificación de la resolución cautelar referenciada, la entidad bancaria demandada deberá proceder a la devolución montos percibidos indebidamente, previo descuento de la suma de $99.000 detallada por la actora en la presentación E0020.

Además ordenó el pago  de indemnización por daño moral, ponderando las concretas repercusiones que el hecho provocó a los distintos damnificados. En resumidas cuentas, considerando la índole del hecho generador y las repercusiones que aquél produjo en la actora resulta razonable fijar dicho importe en la suma de $ 250.000.

También admitió la multa civil reclamada toda vez que, como quedó acreditado, el Banco incumplió con las obligaciones a su cargo en el marco de una relación de consumo, asumiendo la actora las consecuencias de las deficientes medidas de seguridad en relación al préstamo pre- aprobado. Máxime cuando de la prueba informativa rendida surge que son múltiples las denuncias por estafas bancarias a los clientes del Banco, con lo cual su accionar negligente es palmario y justifica fijar el importe de dicha multa en la suma de $ 1.500.000.

Por ende dispuso el juez: hacer lugar a la demanda, declarando inoponible a la actora el préstamo objeto de autos. 2) Condenar al Banco… S.A. a que dentro del plazo de 10 días de notificada la presente: en caso de haber efectuado algún descuento proceda a la devolución montos percibidos indebidamente, previo descuento de la suma de $99.000. 3) Abone a la actora la suma de 1.750.000 en concepto de daño moral y daño punitivo, más los intereses que deberán calcularse desde la fecha del hecho (18/02/2021) y hasta su efectivo pago, conforme tasas de interés anual fijadas por el STJ en causas “Guichaqueo”, “Fleitas”. 4) Imponer las costas del proceso al Banco.