Consideración de abusiva la cláusula de exoneración de responsabilidad de los bancos en los casos de phishing

por

publicado el 21 septiembre 2011

Categorías: Jurisprudencia / Normativa / Phishing / Usuarios y Consumidores

5 comentarios

Si bien ya existían diferentes sentencias sobre la consideración de abusivas aquellas que hacen responsable a los usuarios del uso y la custodia de las claves personales (con la consiguiente devolución del dinero a los clientes que hayan sido afectados, por ejemplo, por phishing), estas cláusulas siguen recogidas en muchos contratos de adhesión a servicios bancarios. Otra sentencia, en este caso, Sentencia Juz. Merc. Madrid (núm. 9) de 8 de septiembre de 2011 viene otra vez a considerar abusivas (dentro de un gran listado consideradas también abusivas que interesa conocer por el calado que pueden tener) todas aquellas cláusulas que rezan de la siguiente manera:

El Banco queda exonerado de cualquier responsabilidad que pudiera derivarse de la indebida, incorrecta o negligente utilización de las claves de acceso y/o firma electrónica, de su cesión a terceros o de cualquier otro acto u omisión realizado por el Cliente, por el Usuario o por un tercero que pudiera posibilitar la comisión de fraude, así como de la pérdida, robo o sustracción de las mismas

Dejando el juzgador claro cuál es la base de dicha consideración y la jurisprudencia a tal efecto:

Tal como resulta del tenor de la cláusula ahora examinada se descarga de toda responsabilidad a la entidad bancaria por la contratación de servicios a través de la Banca Multicanal y mediante la utilización de las claves asignadas, tanto la que pudiera derivarse de un indebida incorrecta o negligente utilización de las claves por el usuario, lo que se muestra coherente con el deber de utilización diligente impuesto al usuario, como en otros supuestos donde no concurre una actuación negligente del usuario, como puede ser utilización por tercero mediante fraude como la pérdida robo o sustracción de las claves, descargando en todos esos supuestos la responsabilidad en el usuario. Bien es cierto que en relación con las tarjetas de crédito y la responsabilidad derivada de su utilización, existe una nutrida jurisprudencia y doctrina de la que en algunos puntos se hace eco la demanda. En relación igualmente con la responsabilidad derivada de las tarjetas de crédito debe necesariamente traerse a colación la STS de 16 de Diciembre de 2009, tantas veces citada, que siguiendo los parámetros que resultan los art 32 y 31 de la LSP ya consideró que las cláusulas que eximen de total responsabilidad a la entidad bancaria de manera indiscriminada y sin matización o modulación alguna son abusivas, porque contradicen la buena fe objetiva con desequilibrio en el sinalagma contractual en perjuicio del consumidor, a ello se debe añadir que esa exoneración en todos los supuestos de la entidad bancaria resulta abusiva en cuanto supone una exclusión total de la responsabilidad del empresario, que debería estar condicionada en el caso del robo sustracción o pérdida a la ausencia de diligencia en la custodia y utilización de las claves por el usuario, pues no existiendo esa negligencia no puede trasladarse esa responsabilidad al usuario.

Es decir, habrá que comprobarse caso por caso que es lo que ha ocurrido; y si realmente existe negligencia por parte del usuario para que la entidad no tenga ninguna responsabilidad en la misma.

5 comentarios

  • Álvaro Del Hoyo

    Enlace

    Buenas, Jorge

    Lo que puede pasar, y normalmente pasa, es que no es la culpa ni de uno, el banco, ni de otro, el usuario, sino que se da una culpabilidad compartida.

    Unos porque ni cumplen adecuadamente todas las leyes que les aplican, ni siguen las recomendaciones de buenas prácticas definidas por el Banco de España (en la fase precontractual y contractual, aunque sí normalmente en la postcontractual o de gestión de la incidencia) ni tienen escrupulosamente bien gestionada la seguridad del servicio (ya sea en la protección, como en la gestión de los incidentes sufridos pues a veces no se toman medidas correctivas adecuadas), y los otros porque no cumplen adecuadamente con su deber de custodia y confidencialidad de las claves. El reparto de culpas lo habrá de fijar el Juez a la vista de las condiciones particulares del caso. En una sentencia ya se declaró un 50% y 50% para Banco Santander y su cliente: unos 60.000€ a indemnizar por el banco si no recuerdo mal.

    Los bancos también suelen olvidar integrar las incidencias de phishing en su marco de protección frente al blanqueo de capitales, que es en lo que acaba todo esto con la intervención de los muleros transfiriendo los fondos por vías menos controlados a los delincuentes electrónicos.

    (continúa)

  • Alvaro Del Hoyo

    Enlace

    (sigue)

    En el caso de las empresas la cosa se complica, pues no todos los bancos están ofreciendo soluciones para que los usuarios/contraseñas o datos de tarjetas los puedan utilizar Directores Financieros o Administrativos cuando el titular suele ser un accionista apoderado u otra persona distinta quien les pasa los datos para que hagan su trabajo, cosa que además conocen de sobra y consienten las personas de las sucursales de los bancos. En estos casos ya no sólo se habrá incumplido al entregar las claves a los defraudadores, sino también dentro de la propia empresa.

    Uno de los pocos ejemplos de información precontractual adecuada sobre los riesgos existentes en banca electrónica BBK:

    https://portal.bbk.es/bbkportal/banners/cseguridadonlinemayo08/cas/micrositeseguridad_cas.htm

    BBK también entrega esta información en díptico al firmar el contrato de banca electrónica en una sucursal

    Uno de los ejemplos en los que se han tomado el tiempo de cumplir, pero llevan un montón de tiempo sin revisar que la información no está disponible para consulta Banco Santander:

    http://www.formavia.net/cursos/Seg_Inf_SAN/swf/principal_cd.htm

    (continúa)

  • Alvaro Del Hoyo

    Enlace

    (sigue)

    Según el artículo 2.2 Ley 56/2007 los servicios de banca electrónica deberían aceptar el DNI electrónico no sólo para el acceso, sino también para la firma de actos y negocios jurídicos. ¿Cuántos bancos conocéis que acepten la firma de transacciones mediante DNI electrónico?

    Hay uno que entiendo es el que más cerca está (permite la firma con DNI electrónico de contratos tanto en sucursales como en banca electrónica, aunque todavía no las transacciones, y permite también el uso del DNI electrónico en cajeros), que por cierto resultó ser el primero en mandas SMS con claves de autenticación/firma de operaciones y es uno de los que menos fraude tiene. Aunque también se han visto ya varios virus que consiguen saltarse esta protección (buscad Zeus MITMO o ZITMO)

    Su divulgación sobre seguridad, la de Caixa Galicia, es lo mejor que he podido encontrar entre los bancos españoles.

    El amigo Julián Inza de Albalia y Tractis tienen bastante que ver con todo ello

    http://inza.wordpress.com/2008/03/12/caixa-galicia-acepta-contratos-electronicos-con-el-dni-electronico/

    http://www.belt.es/noticiasmdb/home2_noticias.asp?id=3384

    Un saludo

Escribe aquí tu comentario