El Juzgado en lo Civil y Comercial n. 19 de La Plata, a cargo de María Cecilia Tanco, admitió una demanda por daños y perjuicios impulsada por el dueño de una PYME que había sido víctima de un delito informático. Si bien la damnificada era una persona jurídica, la magistrada consideró que debía aplicarse la Ley de Defensa del Consumidor.

En el caso “Quateck SRL c/ Banco Supervielle SA s/ daños y perj. incump. contractual (exc. Estado)”, el gerente de la empresa actora explicó que, mientras trataba de realizar una operación bancaria con su notebook, para lo cual debía acceder al homebanking cuyos datos se encontraban guardados en el dispositivo, le apareció un cartel que decía “realizando autentificación del certificado digital”.

Agregó que, al minuto, la página le solicitó un código que le habían enviado a su celular.

Tras colocar el mismo, el sistema le solicitó otro para desbloquear el homebanking y que recién ahí logró realizar la transferencia.

Relató que lo mismo le ocurrió en las siguientes operaciones, ya que le aparecía el cartel que le solicitaba un nuevo código. Al advertir esa situación atípica, llamó al banco, donde un operador le informó que no se reportaban problemas en el sistema. Desde el sector de soporte técnico de la entidad le pidieron que hiciera una captura de pantalla para analizar el problema, pero no pudo hacerlo porque la notebook quedó “tildada”.

En ese momento le indicaron que era un intento de fraude y quedaron en comunicarse con él. Luego, el hombre reinició la notebook, pero su pantalla seguía inmovilizada.

Horas después pudo constatar que la cuenta corriente de la empresa había quedado con un saldo negativo de millón de pesos ya que en la misma había 7.732.588 y el total de los montos transferidos fue de $8.737.109.

Además de la denuncia penal, ante la negativa del banco a reconocer su problema, promovió una demanda por daños y perjuicios solicitando que las operaciones cuestionadas se declararan nulas y le restituyan el monto sustraído, con intereses. Pidió, además, la aplicación de daños punitivos.

El banco pidió que se desestime la demanda porque se trató de una negligencia del empresario ya que el usuario y la contraseña estaban guardados en su notebook, por lo cual cualquier persona que utilizara dicha computadora podría haber ingresado al homebanking para realizar las transferencias.

Aplicación de la Ley de Defensa del Consumidor

Al analizar el caso, la jueza se centró en establecer si resultaba aplicable la normativa de protección de consumidores y usuarios en los casos en que sea afectada una sociedad comercial.

En este punto, indicó que “la jurisprudencia y la doctrina han aportado diferentes puntos: a) el destino final que se le da al bien o servicio objeto de la relación de consumo (llamado criterio objetivo); b) la profesionalidad de la empresa adquirente respecto del bien o servicio objeto de la relación de consumo(denominado criterio subjetivo); c) la naturaleza del bien o servicio objeto de la relación de consumo (criterio económico); d) la dimensión de la empresa (criterio ponderativo); y e) la asimetría entre los sujetos parte de la relación de consumo (vulnerabilidad)”.

Y sostuvo que “la cuenta bancaria resulta necesaria para la actora contribuyendo a su actividad societaria, si bien no integra el proceso productivo como insumo directo de otros bienes o servicios”.

Luego agregó que “en cuanto al elemento de mayor relevancia, no existe profesionalidad por parte de la sociedad accionante en el rubro en cuestión en tanto no tiene o debería tener un conocimiento especial de esa actividad bancaria, lo que configura en el caso la asimetría negocial en lo que a información se refiere y en consecuencia su mayor vulnerabilidad contractual. Es esta pauta objetiva -debilidad estructural en la relación entre las partes- que convierte a la actora en profana frente a la profesionalidad del demandado”.

“La sociedad actora es una consumidora financiera que en nada se aparta de cualquier otro consumidor financiero que resultara persona física, ya que a través de esa relación -que califico de consumo- obtiene bienes que no sólo no incorpora directamente a su actividad productiva, sino que además lo hace en una relación asimétrica en cuanto a sus conocimientos y experticia de la actividad financiera en comparación con su co-contratante, hoy demandado”, enfatizó.

Y si se configura una relación de consumo de allí también se deriva, en forma asociada, la obligación de seguridad que integra el contrato que tienen ambas partes y por lo tanto existirá obligación de responder si se incumplió con esa previsión legal que se deriva del tipo de servicio prestado.

Sistema vulnerable

El perito informático determinó que los montos no habituales de las transferencias, las características de las cuentas destino y la reducida ventana de tiempo en la que se desarrollaron las operaciones hacían sospechar de que se trataban de transacciones fraudulentas; las cuales no fueron advertidas por el sistema de seguridad informático del banco.

Incluso, calificó como inadecuados los controles de autentificación permitiendo que terceros accedieran al sistema informático suplantando la identidad física y digital de la parte actora. Puntualizó que era posible que hubiera dos ingresos simultáneos al homebanking y que el sistema de seguridad informático del banco no detectó el acceso no autorizado, por lo que no pudo bloquearlo.

Tras analizar los resultados del peritaje sobre el sistema de seguridad de la demandada, la jueza sostuvo que esta debía adoptar una conducta en la cual pondere los riesgos previsibles, con el objeto de proteger a los usuarios.

En ese cuadro de situación, no advirtió que “la conducta imputada al usuario -lugar de alojamiento de claves- se encuentre en conexión causal con el hecho dañoso sufrido (puede haber sido condición). El mismo, como he señalado, se relaciona -causalmente - con la falta de medidas de control, de monitoreo y de autenticación”.

La resolución

Para la magistrada, la demandada deberá responder porque su sistema de protección resultó insuficiente -conforme se ha concluido en la experticia informática- para prevenir e impedir las maniobras fraudulentas denunciadas, lo que afectó la previsibilidad y normalidad en la prestación del servicio y en el uso de las cosas y de allí se derivaron daños que se encuentran en conexión causal con el incumplimiento de esa obligación.

El monto total, tomando en cuenta todos los rubros, alcanzó la suma de $11.737.109 más intereses.

También te puede interesar:

Phishing: Un banco deberá indemnizar a una empresa a la que le sustrajeron los fondos de su cuenta