La Corte Suprema acogió un recurso de queja interpuesto por una empresa constructora en contra de los ministros de una Sala de la Corte de Apelaciones de Santiago, que revocaron la sentencia del Tercer Juzgado de Policía Local de Las Condes que acogió la denuncia infraccional y la demanda civil interpuesta en contra de un Banco, ordenando el pago de una multa y la restitución de 5 millones de pesos a la cuenta corriente de la empresa sustraídas a través de una transferencia fraudulenta.
El caso se originó cuando el representante de la constructora, al ingresar a la página web oficial del banco, proporcionó claves de coordenadas en respuesta a una ventana emergente que solicitaba actualizar datos. Esto resultó en una transferencia no autorizada a un tercero.
En su fallo, la Corte Suprema enfatizó la importancia de la confianza depositada por el consumidor en el banco como operador especializado. Específicamente, el fallo señala: «Para resolver el asunto objeto del recurso la primera consideración es que el consumidor al celebrar un contrato de cuenta corriente deposita su confianza en el banco depositario -un operador especializado sobre el que pesan los deberes especiales que la LPDC impone al proveedor bancario y, en general, a todo proveedor-.»
Además, la Corte añade que «La confianza creada por la institución bancaria descansa en que el cliente tiene la firme convicción que ella adoptará las medidas que sean eficaces para el adecuado resguardo del referido dinero.»
Esta consideración fue fundamental en el razonamiento de la Corte, ya que refuerza la idea de que el banco tiene una responsabilidad especial en la protección de los fondos y la seguridad de las transacciones de sus clientes. Consideró que esta confianza justifica un alto estándar de diligencia por parte de las instituciones bancarias en la prevención de fraudes y la protección de los intereses de sus clientes.
La Corte Suprema hace énfasis en la aplicación de la Ley N° 20.009 en este caso. Señala que la ley se aplica a fraudes en transacciones electrónicas, incluyendo transferencias de fondos mediante portales web u otras plataformas electrónicas dispuestas por el banco.
El fallo destaca que, según esta ley, es el banco quien debe acreditar la existencia de dolo o culpa grave por parte del usuario para eximirse de responsabilidad. La Corte señala que, «Mientras el banco -denunciado y demandado civil– no acredite en juicio este reproche -dolo o culpa grave de la empresa denunciante y demandante civil -, ha de soportar las consecuencias de la transferencia fraudulenta y, por lo mismo, queda obligado a restituir el total de importe de ella a la empresa.»
La ley asigna al banco un papel de garante de la seguridad en las operaciones electrónicas. El fallo indica que “La Ley Nº20.009 impone un elevado estándar al banco o institución financiera, prácticamente le asigna el rol de garante de la seguridad de las operaciones que tienen lugar por medios electrónicos en sus páginas web y otras plataformas.»
La Corte interpreta que la ley considera que el banco está en mejor posición para controlar el riesgo de fraude, cuando señala que “Es el banco o institución financiera la que se encuentra en una mejor posición de controlar el riesgo de fraude y, por lo mismo, sí se realiza, por regla, ha de soportarlo.»
Esta interpretación de la Ley N° 20.009 fue crucial en el razonamiento de la Corte para determinar la responsabilidad del banco en el caso de la transferencia fraudulenta.
Para justificar el alto estándar de diligencia impuesto a los bancos por la regulación sectorial, la Corte Suprema cita la Recopilación de normas de la Superintendencia de Bancos e Instituciones Financieras: El Capítulo 1-7, punto 4.2, establece requisitos para los sistemas de pago utilizados por los bancos, incluyendo: Garantizar que las operaciones solo puedan ser realizadas por personas autorizadas; resguardar la privacidad y confidencialidad de la información; utilizar métodos de autentificación que aseguren la autenticidad e integridad de las transacciones. Además, la regulación exige que los bancos cuenten con «sistemas o procedimientos que permitan identificar, evaluar, monitorear y detectar en el menor tiempo posible aquellas operaciones con patrones de fraude»
También cita el Capítulo III.J.1 del Banco Central impone a los bancos el deber de adoptar «las medidas de ciberseguridad y otra índole adoptadas para prevenir y mitigar los riesgos de fraude»
La Corte concluye que, «la regulación sectorial exige seguridad a los bancos tanto respecto del soporte como de la operación (es decir, la autenticación en la orden de pago) y el monitoreo y control de fraudes.»
Este alto estándar de diligencia refuerza la responsabilidad de los bancos en la prevención y mitigación de fraudes electrónicos, y fue un factor importante en la decisión de la Corte Suprema.
La Corte Suprema criticó la inversión incorrecta de la carga de la prueba realizada por la Corte de Apelaciones, que consideró que era deber de la empresa demandante acreditar la negligencia del banco, lo cual va en contra de lo establecido en la Ley N° 20.009. Según la Corte Suprema, basándose en el inciso final del artículo 3º de la Ley Nº 20.009, «para liberarse de la obligación de restituir el banco debe acreditar dolo o culpa grave de usuario -empresa denunciante y demandante de autos-.» Al resolver de esta manera, la Corte Suprema señala que «los recurridos invierten la carga de la prueba que, según el inciso final del artículo 3º de la Ley Nº 20.009, como ha quedado dicho, para liberarse de la obligación de restituir el banco debe acreditar dolo o culpa grave de usuario»
Esta interpretación incorrecta de la carga de la prueba por parte de la Corte de Apelaciones fue un factor determinante para que la Corte Suprema acogiera el recurso de queja y revocara la sentencia de segunda instancia.
El máximo tribunal consideró que el banco no logró acreditar dolo o culpa grave por parte del cliente, como lo exige la ley para eximirse de responsabilidad. Además, señaló que la entrega de claves se produjo en un entorno donde el usuario podía razonablemente sentirse protegido.
La Corte Suprema concluyó que el banco incumplió su obligación de seguridad, infringiendo los artículos 3 letra d), 12 y 23 de la Ley N°19.496, sobre Protección de los Derechos de los Consumidores, por las siguientes razones:
- Falta de medidas de seguridad adecuadas: El banco no implementó medidas suficientes para prevenir el fraude, especialmente considerando que:
- La transferencia se realizó a un destinatario nuevo.
- El monto transferido era significativo (5 millones de pesos).
- No se adoptaron medidas adicionales de seguridad para una transacción de estas características.
- Incumplimiento del deber de garante: La Corte consideró que el banco, como operador especializado, tiene un deber especial de protección hacia sus clientes. Como señala el fallo: «El banco o institución financiera la que se encuentra en una mejor posición de controlar el riesgo de fraude y, por lo mismo, sí se realiza, por regla, ha de soportarlo.»
- Falla en la seguridad del sitio web: El hecho de que la ventana emergente fraudulenta apareciera después de que el cliente ingresara sus credenciales indica que el ilícito ocurrió dentro de la esfera de control del banco.
- No demostración de culpa grave o dolo del cliente: El banco no logró acreditar que el cliente actuara con culpa grave o dolo al proporcionar sus claves, considerando que lo hizo en un entorno que razonablemente parecía seguro.
- Inversión de la carga de la prueba: La Corte enfatizó que, según la Ley N° 20.009, es responsabilidad del banco demostrar la culpa del cliente, no al revés.
En resumen, la Corte consideró que el banco falló en proporcionar un servicio seguro, proteger adecuadamente la información del cliente y prevenir fraudes, violando así su obligación de seguridad establecida en la Ley de Protección de los Derechos de los Consumidores.
Este fallo establece un importante precedente en materia de responsabilidad bancaria frente a fraudes electrónicos, reforzando la obligación de las instituciones financieras de garantizar la seguridad de las transacciones en línea.