M.A.G.O. Exp. 110013199003202041896 01 1 REPÚBLICA DE COLOMBIA TRIBUNAL SUPERIOR DE BOGOTÁ D.C. Sala Civil Magistrado Ponente: MARCO ANTONIO ÁLVAREZ GÓMEZ Bogotá D.C., dos (2) de septiembre de dos mil veintiuno (2021) Ref: Proceso verbal No. 110013199003202041896 01 Se deciden los recursos de apelación que ambas partes y la Procuraduría interpusieron contra la sentencia de 1º de marzo de 2021, proferida por la Delegatura para Asuntos Jurisdiccionales de la Superintendencia Financiera, en el proceso que el municipio de Inzá (Cauca) promovió contra el Banco Agrario de Colombia S.A. RESEÑA DEL LITIGIO Y DEL PROCESO 1.
En ejercicio de la que llamó “acción de protección al consumidor financiero” y amparado en las leyes 1480 de 2011 y 1564 de 2012, el municipio de Inzá (Cauca) formuló demanda contra el Banco Agrario de Colombia S.A. para que se le ordene reintegrar “los recursos debitados ilegalmente” de las cuentas corrientes Nos. 2120007058, 21200000624 y 21200000095, por un valor total de $736 666 000, junto con los intereses dejados de percibir, que ascienden a la suma de $89 701 363. 2.
Para sustentar sus pretensiones, el municipio adujo que ha sido afectado por fraudes electrónicos y ataques al portal transaccional, y que en la mañana del 14 de febrero de 2020 el secretario de finanzas recibió una llamada de un funcionario del Banco Agrario en la que solicitó confirmar una transferencia por $298 764 000, a favor de Fernando Ossa (p. 1, archivo M.A.G.O. Exp. 110013199003202041896 01 2 “Superintendencia Financiera de Colombia”, derivado 000), la que se pudo detener gracias a la intervención de Andrea España, gerente de la oficina de Inzá. Posteriormente, se procedió al bloqueo de las cuentas del municipio y se instauró el respectivo denuncio penal.
El 21 de febrero siguiente, la auxiliar administrativa Flor González, al realizar la conciliación bancaria de las cuentas del municipio, detectó unas transacciones fraudulentas realizadas los días 31 de enero y 3 de febrero de 2020, desde las cuentas de ahorro terminadas en los Nos. 0624, 7058 y 0095, mediante las cuales se transfirió a cuentas de Bancolombia las sumas de $295 670 000, $275 654 000 y $165 342 000, a nombre de Diana Restrepo, Fernando Ossa y José Sáenz, respetivamente, sin que el secretario de finanzas o la alcaldesa hubieren recibido la confirmación de las transferencias, como tampoco alertas o notificaciones por parte del Banco demandado.
El 25 de abril de 2020, el Banco Agrario manifestó que las transacciones objeto de reclamo “se originaron y autorizaron con los usuarios de uso personal, confidencial e intransferible a nombre de las personas designadas por el Municipio para el manejo de la banca virtual” (p. 2, ib.), en lo que insistió el 18 de mayo siguiente. 3. El Banco se opuso a las pretensiones y formuló las defensas que denominó: (i) “culpa exclusiva de la víctima”;
(ii) “inexistencia de nexo causal en cabeza de Banca Agrario”; (iii) “cumplimiento de las obligaciones del Banco Agrario de Colombia”; (iv) “incumplimiento del municipio de Inzá de sus deberes como consumidor financiero”; (v) “las transacciones desconocidas se efectuaron con el lleno de los requisitos para su éxito”; (vi) “buena fe del Banco Agrario” y (vii) “compensación de culpas” (pgs. 26 a 49; archivo “contestación demanda VF.pdf”, derivado 016). 4.
La Procuraduría General de la Nación, una vez vinculada al proceso, adujo que el Banco, para exonerarse de responsabilidad, debía probar que fue la culpa del consumidor financiero la que provocó las operaciones discutidas (derivado 021). M.A.G.O. Exp. 110013199003202041896 01 3 5. La Agencia Nacional de Defensa Jurídica del Estado guardó silencio (derivado 012).
LA SENTENCIA DE PRIMERA INSTANCIA La Superintendencia negó las excepciones de “culpa exclusiva de la víctima”, “inexistencia del nexo causal en cabeza del Banco Agrario” y “cumplimiento de las obligaciones del Banco Agrario de Colombia”, pero declaró probadas las de “incumplimiento del municipio de Alejandría (sic) como consumidor financiero”, “las transacciones desconocidas se efectuaron con el lleno de los requisitos para su éxito” y “compensación de culpas” (derivado 053).
Por consiguiente, declaró civil y contractualmente responsable al Banco Agrario respecto de las tres operaciones desconocidas, imponiéndole condena a pagar a la entidad pública demandante la suma de $372 671 741, junto con los intereses. Para el juzgador, el Banco tiene el deber de observar los requerimientos mínimos de seguridad contenidos en la Circular Básica 029, entre los cuales destacó la identificación de los hábitos, patrones y practicas en el uso de los productos por parte del consumidor, del cual se desprendía un perfil transaccional, para tenerlos en cuenta en orden a efectuar los bloqueos de canales o los instrumentos para la realización de operaciones, “cuando existan situaciones o hechos que lo ameriten o después de un número de intentos y de accesos fallidos por parte de un cliente” (audiencia min. 07:00).
Agregó que, con fundamento en la teoría del riesgo creado, en este tipo de operaciones se aplica un régimen de responsabilidad objetiva, por lo que el Banco sólo puede excusar su responsabilidad si demuestra una causa extraña. Pero también destacó que el consumidor debe adoptar prácticas de protección propias para la óptima administración de los recursos, entre ellas el resguardo de información relacionada con los elementos de autenticación necesarios para acceder a las sucursales virtuales.
M.A.G.O. Exp. 110013199003202041896 01 4 Precisó que ambas partes incumplieron sus deberes legales y contractuales: (a) la demandante desatendió el control de las operaciones utilizando el canal a través de dos usuarios y contraseñas distintas que dificultaran el curso de las operaciones y cumpliendo las condiciones del protocolo para la Banca virtual que el Banco le había comunicado previamente, así como el control periódico para verificar las operaciones, dado que sólo lo efectuaba una vez al mes, al final del periodo mensual.
También hubo una demora excesiva del tesorero del municipio en la gestión de bloquear las cuentas, una vez advertidas las irregularidades, lo que revela un incumplimiento del deber de cuidado de los recursos del Municipio, puesto que no se acudió al Banco en un tiempo razonable para cuestionar las transacciones y los comportamientos anormales de los que tuvo conocimiento, por la alerta de claves no solicitadas, permitiendo así que continuara la exposición al riesgo.
(b) el Banco, por su lado, desatendió la carga de bloquear el canal ante la existencia de situaciones que generaban sospecha sobre el curso de las operaciones cuestionadas, lo que permitió que el daño se consolidara y expandiera. Agregó que “no sólo el destino de los fondos debió llamar la atención del Banco – cuentas de ahorros de personas naturales- sino que además los montos debieron también haber generado esta eventualidad e inusualidad (sic)” (audiencia min. 35:13), por lo que debió examinar en conjunto las “sumas por fuera del perfil, uso y destino sospechoso, imposibilidad de autenticar la operación pese a varias llamadas” (audiencia min. 38:55), importando poco la falta de parametrización de una IP fija.
Concluyó que hubo concurrencia de culpas en la causación del daño, pues el incumplimiento de los deberes de autocuidado de la parte demandante permitió que cursaran las operaciones y, “a su turno, la demandada inobservó el deber de autenticidad de las operaciones y el bloqueo oportuno, por ello se condenará en sus participaciones al 50% de cada una de las operaciones aquí discutidas” (audiencia min. 44:29).
LOS RECURSOS DE APELACIÓN 1. El municipio alegó que el Banco Agrario de Colombia S.A. incumplió el contrato porque (i) no lo alertó, (ii) permitió transferencias no consentidas que M.A.G.O. Exp. 110013199003202041896 01 5 superaban el valor parametrizado y, (iii) sin haberlas notificado a los números celulares inscritos para tal fin, tampoco tuvo en cuenta el perfil bancario de la entidad.
Agregó que el Banco no entregó a tiempo los tips de seguridad y “se permitió iniciar el manejo de la Banca virtual sin las recomendaciones de seguridad” (p. 3, derivado 058). Tampoco identificó oportunamente la identidad del cliente y presentó información incongruente, de lo que da cuenta el log transaccional en el que se evidencia que se envió un mensaje de texto a un número celular que no pertenecía a los inscritos por los funcionarios del municipio.
De otro lado, adujo que la sentencia omitió considerar la “suplantación, fraude bancario y fallas de seguridad no imputables por culpa o dolo a los usuarios auditores/autorizadores y administradores (…) logrando que la entidad demandada habilitara los mensajes de texto que permitieran continuar con las transacciones no autorizadas por los verdaderos usuarios administradores de las líneas, que, aunque preservan ciertas identidades numéricas que podían pasar inadvertidas, es fácilmente apreciable que se trata de números distintos, no inscritos oficialmente pero que fueron habilitados unilateralmente por el banco para efectuar las transferencias (sic)” (pg. 12, ib.).
Finalmente, sostuvo que no existe causa extraña que exima de responsabilidad al Banco, toda vez que permitió que otros usuarios realizaran las operaciones sin el consentimiento de los titulares oficiales; además, autorizó y notificó las transacciones a un número que no fue inscrito por el municipio, pues no actualizó la información. 2.
El Banco Agrario sostuvo que el municipio incumplió sus deberes de cuidado, diligencia y autoprotección; además, que las transacciones “cumplieron con todos los requisitos de los protocolos de autenticación de cifrado de fuerte; y los alertamientos (sic) se hicieron de manera oportuna y de conformidad con la información suministrada por el consumidor” (p. 5, archivo 06, cdno. Tribunal), habiéndose demostrado que la conducta del M.A.G.O. Exp. 110013199003202041896 01 6 municipio fue trascendental para la producción del daño, al punto de no haber ocurrido si su comportamiento hubiese sido diligente.
Concretó la negligencia del municipio a la falta de controles internos y revisiones periódicas de las cuentas; la extemporaneidad del aviso de bloqueo; la concentración de funciones en cabeza del señor Favian Polanco Ortega; la pérdida de “la custodia de los usuarios, claves y contraseñas para la realización de operaciones por parte del Secretario de Finanzas Públicas” (p. 23, ib.); la omisión en el seguimiento de las medidas de seguridad oportunamente comunicadas por parte del Banco; la utilización de correos electrónicos personales para la gestión de información del municipio (p. 28, ib.); y la falta de un “antivirus legal” para el manejo de la Banca virtual.
Agregó que la sentencia omitió que en el formulario de vinculación de 18 de enero de 2020, se estableció como usuario administrador únicamente al señor Favian Polanco, desde el cual “se llevaron a cabo las tres (3) transacciones”; igualmente, el Banco envió las alertas al teléfono celular y la dirección electrónica del señor Polanco, según el informe de seguridad que obra como prueba en el expediente.
Así las cosas, los avisos realizados a otros números celulares “no tuvieron injerencia alguna en las tres (3) operaciones” cuestionadas, “porque los receptores de las mismas carecían de usuario, contraseña, imagen de seguridad, entre otros, para poder acceder con todo el protocolo de autenticación a la Banca Virtual del Banco Agrario” (p. 41, ib.).
Concluyó afirmando que el Banco no debió proceder al bloqueo de las cuentas porque el contrato de banca virtual permite las trasferencias a terceros, y las transacciones se ajustaron al perfil transaccional del municipio y la IP utilizada. 3. La Procuradora reparó en que “la motivación de la sentencia no se acompasa con su conclusión de distribuir en igual proporción entre las partes” (p. 2, archivo 09, cdno. Tribunal), pues si el Banco incumplió su deber de definir el perfil transaccional del municipio, debió detectar las operaciones inusuales.
M.A.G.O. Exp. 110013199003202041896 01 7 Adicionalmente, el Banco desatendió su obligación de actualizar los datos para hacer las alertas, lo que dio lugar a que las llamadas que realizó para evitar las transacciones no fueran efectivas, toda vez que las hizo a números telefónicos de personas que para la fecha no estaban vinculados al municipio, ni eran responsables del manejo de la banca virtual.
Adujo que la condena impuesta desconoció “el riesgo creado por la entidad financiera, la exigencia de especial y mayor diligencia en su obligación y deber de ofrecer al consumidor financiero productos y servicios estándares de calidad y seguridad que en manera alguna deben corresponder a los mínimos” (p. 4, ib.), pues lo cierto es que el incumplimiento de las obligaciones del municipio no tuvo incidencia definitiva en el daño ni fue motivo determinante o su causa, máxime si, según los términos y condiciones de los servicios de la banca virtual, el Banco podía proceder al bloqueo preventivo de las cuentas cuando se advirtieran movimientos inusuales.
Por último, destacó que en el proceso no se demostró que el Banco agotó “todas las acciones para evitar el fraude electrónico” (p. 5, ib.) y, por consiguiente, “no puede menguarse su responsabilidad o culpa, con fundamento en el incumplimiento de obligaciones contractuales por parte del consumidor financiero que no fueron definitivas en la causación del daño” (ib.).
CONSIDERACIONES 1. Ya es asunto pacífico que la responsabilidad civil de los establecimientos bancarios tiene como punto de partida su condición de profesionales especializados que prestan un servicio público, a los cuales, por ende, se les exige un grado especial de diligencia para el cumplimiento de las operaciones que desarrollan – sean activas, pasivas o neutras -, pues la suya es una actividad con profundas repercusiones en la economía de una sociedad, en el patrimonio de los clientes y usuarios y, claro está, en el de sus accionistas.
M.A.G.O. Exp. 110013199003202041896 01 8 Pero, además, como los bancos manejan, invierten y obtienen provecho de recursos captados del público, celebrando negocios jurídicos en los que, por regla, existe cierta asimetría contractual, la jurisprudencia ha considerado, de una parte, que deben correr “con las contingencias que surgen del desempeño de sus tareas”1, dado que, amén de la persona que intervino directamente en la operación, “toda práctica insegura afecta no sólo a los accionistas de la entidad financiera sino a los ahorradores y la credibilidad de un sistema basado en la confianza”2, y de la otra, que el usuario, en general, es la parte débil en la relación de consumo con el banco, quien, por tanto y en pos de la protección de aquel, tiene unos deberes, cargas y obligaciones como profesional financiero3 (ley 1328 de 2009).
En el caso de las transacciones efectuadas a través de la llamada banca virtual o remota, la Corte Suprema de Justicia ha precisado que “se justifica plenamente la aplicación de un régimen de responsabilidad objetivo”4, en caso de la inobservancia de sus obligaciones, razón por la cual el juez no puede adelantar un escrutinio con soporte en las exigencias inherentes a la responsabilidad subjetiva.
Por consiguiente, si el banco incumple sus deberes de prestación y, en general, sus deberes legales y contractuales, compromete derechamente su responsabilidad civil, a menos que pruebe la ocurrencia de una causa extraña que rompa el nexo causal e impida el juicio de imputación. Luego, en estos casos el banco no puede limitarse a demostrar que obró con diligencia, y menos aún que hay ausencia de culpa.
Por supuesto que ese régimen no excluye el escrutinio de la conducta del cliente o usuario, quien, además de cumplir con las obligaciones que le imponen la ley y el contrato respectivo, tiene el deber de desplegar – con diligencia - prácticas de autoprotección, como observar las instrucciones y recomendaciones sobre el manejo de productos y servicios financieros (Ley 1328 de 2009, art. 6º, lit. c).
Al fin y al cabo, son ellos quienes controlan los usuarios, claves, contraseñas o token que permiten, por ejemplo, transferir recursos a través del correspondiente portal. Por tanto, en caso de una 1 Cas. Civ. Sentencia de 17 de septiembre de 2002. Exp. 6434 2 Cas. Civ. Sentencia de 3 de agosto de 2004. Exp. 7447 3 Cas. Civ. Sentencia de 19 de diciembre de 2016.
Exp. SC18614-2016. 4 Cas. Civ. Sentencia de 18 de diciembre de 2020. Exp. SC5176-2020. M.A.G.O. Exp. 110013199003202041896 01 9 conducta culposa del consumidor financiero, será necesario valorar su relevancia jurídica en la generación del resultado y, más concretamente, en la producción del daño. Justamente la Corte Suprema de Justicia, en reciente decisión, puntualizó sobre la responsabilidad bancaria que, En efecto, el precedente tiene decantado que la solidez de las operaciones de captación masiva de recursos del público entraña enorme trascendencia social, pues la confianza del depositante pende de la inquebrantable promesa de disponer de sus recursos cuando lo estime pertinente, o cuando acaezca el plazo prefijado, si se trata de depósitos a término fijo.
Quien entrega al banco (sic) una suma de dinero a título de depósito, pues, entiende que esta queda a buen recaudo. Precisamente, para apuntalar la confianza de los causahabientes, el ordenamiento reclama que el ejercicio de la actividad bancaria atienda rigurosos parámetros de capital, apalancamiento, liquidez, gobierno corporativo, riesgo de crédito y composición patrimonial, por citar algunas variables, y que además cumpla altos estándares de seguridad en sus canales presenciales (oficinas corresponsales) y no presenciales (banca móvil (sic), cajeros automáticos, portales virtuales).
Estas imposiciones legales y reglamentarias, proporcionales a los enormes riesgos morales, operáticos, de crédito, de seguridad, entre otros, que son connaturales al giro de los negocios bancarios, muestran que las entidades financieras asumen con la sociedad un compromiso de evitación de esas amenazas, de modo que serán aquellas quienes deban responder si estas se materializan, sin ninguna consideración adicional.
Y es que, en casos como este, la atribución de responsabilidad no puede depender de un juicio subjetivo de reproche. Si aun a pesar de la extrema probidad, diligencia y profesionalismo que es de esperar de un banco (sic), los dineros depositados por sus clientes sufren mengua, no deben ser estos quienes soporten la pérdida, pues más allá de su esfera individual de influencia, carecen de las herramientas para enfrentar esa eventualidad.
(…) M.A.G.O. Exp. 110013199003202041896 01 10 En línea con lo explicado previamente, y con la naturaleza de ese tipo de prestaciones, la comentada inobservancia comprometerá la responsabilidad civil del banco (sic), salvo que demuestre el acaecimiento de una causa extraña, que impida que el daño pueda imputársele jurídicamente; es decir, la institución financiera no puede exonerarse del deber de indemnizar con la simple prueba de haber obrado de manera diligente.
(…) Ante ese panorama, el fallador tendrá que sopesar la relevancia jurídica de esas causas, pudiendo concluir que: (i) ambos estipulantes contribuyeron al resultado dañino –de modo que sus efectos tendrían que ser distribuidos entre ellos, de manera proporcional a su cuota de participación en el evento–; o (ii) que solo uno de esos antecedentes fue determinante en la producción del daño, caso en el cual quien lo produjo habrá de asumir la pérdida íntegramente.5 (se resalta) 2.
En el caso que ocupa la atención de la Sala fueron probados los siguientes hechos: a. El 18 de enero de 2020 el municipio de Inzá, a través de la alcaldesa Geidy Xiomara Ortega Trujillo, diligenció el “formato de inscripción y/o novedades internet Banca virtual”, en el cual se refirieron como datos del usuario administrador el teléfono celular 3217226785 y la dirección electrónica favianpolanco07@gmail.com, pertenecientes al señor Favian Polanco Ortega.
También fue registrada como usuaria auditora la señora Ortega, con el teléfono celular 3146195726 y el correo electrónico gemafra10@gmail.com perteneciente a la referida alcaldesa (pgs. 1 y 2, archivo 8.4., derivado 016). b. El 29 de enero siguiente, el Banco demandado le envío a la alcaldesa una comunicación que incluía las “condiciones mínimas” o “tips de seguridad” para el manejo de la plataforma virtual, dentro de los cuales se incluía mantener un antivirus actualizado, un software de “prevención anti – spyware”, validar “en el sistema la información del último ingreso y el cambio de clave más reciente, después de la autenticación”, instalar un software de 5 Cas.
Civ. Sentencia de 18 de diciembre de 2020. Exp. SC5176-2020. M.A.G.O. Exp. 110013199003202041896 01 11 control de acceso a PC (Firewall de red o personal) para protección de accesos no autorizados desde internet”, utilizar “diferentes canales para recibir notificaciones del Token” y estar “atento a las notificaciones de transaccionalidad que le remite el Banco y, en caso de inconformidad, llamar inmediatamente al Banco” (p. 2, archivo 8.10., derivado 017). c. Conforme al “manual usuario Banca Virtual”, el procedimiento para realizar transferencias a cuentas de terceros en bancos diferentes al Banco Agrario corresponde a “pagos electrónicos” (p. 3, archivo 8.1., derivado 016), que comprende diferentes etapas, a saber: (i) Ingreso al portal de la banca virtual a través de la página web www.bancoagrario.gov.co.
(ii) Creación del tercero al cual se hará la transferencia, a través del botón “crear tercero”; seguidamente, diligenciar la identificación, nombre del tercero, correo electrónico, transacción, tipo de cuenta, la opción “pre notificar”, número de identificación del tercero, teléfono del cliente destino, banco destino, cuenta del tercero y la referencia para identificar la transacción. (iii) Aprobación de la transacción: debe seleccionarse la opción “adicionar planilla PEB”, diligenciar la información sobre el nombre de la planilla, descripción del servicio, cuenta de origen, el proceso, la fecha de aplicación y el valor”; inmediatamente después pulsar el botón “transmitir”, en cuyo caso aparecerá en pantalla el resumen de la transacción “con el fin de ser aprobada”, para lo cual debe seleccionarse la opción “aprobar” (p. 231, archivo 8.1., derivado 016); efectuada la aprobación, se debe pulsar “autorizar” y, finalmente, “procesar”.
Aparecerá la opción de enviar notificación “con el fin de seleccionar el Login del usuario al cual realizará la autorización de la transacción”; para continuar es necesario pulsar la opción “transmitir” (p. 233, ib.) (iv) Autorización de la transacción de pago electrónico: debe iniciarse sesión, ubicarse en la opción “PEB” y seleccionar “autorización de M.A.G.O. Exp. 110013199003202041896 01 12 transacciones PEB” (p. 234, ib.).
A continuación, pulsar la fecha de ingreso de la transacción pendiente por autorizar y la opción “transmitir”; verificar los datos, diligenciar el campo “motivo de autorización” y presionar “autorizar”. d. Los días 31 de enero y 3 de febrero de 2020 se hicieron tres (3) transacciones con destino a tres (3) cuentas diferentes de Bancolombia S.A., todas ellas a través de la banca virtual y con cargo a las cuentas corrientes terminadas en los Nos. 0624, 7058 y 0095, por un valor total de $736 666 000 (p. 1, archivo 8.5., derivado 016).
En relación con la cuenta terminada en los Nos. 0624 se efectuó una transacción por $295 670 000; en cuanto a la No. 7058, el monto fue de $275 654 000; finalmente, respecto de la cuenta No. 0095, la transferencia se hizo por $165 342 000 (pgs. 2, 4 y 7, archivo “extractos”, derivado 000; p. 19, archivo 8.5., derivado 016). e. Según emerge del informe de investigación realizado por el mismo Banco Agrario, el procedimiento para cada operación fue el siguiente: - El ingreso al sistema para la primera transacción no consentida fue notificada mediante mensajes SMS al teléfono celular 3217225785, pero la notificación de transferencia se remitió “al número telefónico 3148173726 (…) el cual pertenecía al tesorero de la administración anterior del municipio de Inzá” (p. 9, archivo 8.5., derivado 016).
Adicionalmente, “seis minutos antes de la transferencia de los $275 654 000, fueron enviados tres notificaciones de generación de token al correo electrónico favianpolanco07@gmail.com” (p. 10, ib.). - Para la segunda transacción, efectuada el 3 de febrero de 2020, se enviaron mensajes SMS de notificación de ingreso al sistema y emisión de código a los teléfonos celulares 3217226785 y 3217225785, pero, una vez más, la notificación de transferencia se realizó al número telefónico perteneciente al tesorero de la administración anterior del municipio (pgs. 10 y 11, ib.).
Igualmente, “seis minutos antes de la (…) transferencia por valor M.A.G.O. Exp. 110013199003202041896 01 13 de $295 670 000, fueron enviadas tres notificaciones de generación de token al correo electrónico favianpolanco07@gmail.com” (p. 10, ib.). - El ingreso al sistema y la emisión del código para la tercera transferencia no consentida se notificó a través de mensajes SMS al teléfono celular 3217226785, pero, como en los casos anteriores, la notificación de la transacción se emitió al número telefónico del tesorero de la administración anterior (p. 10, ib.).
Así mismo, veinte minutos antes de la transferencia por valor de $165 842 000, “fueron enviadas cuatro notificaciones de generación de token al correo electrónico favianpolanco07@gmail.com” (p. 11, ib.). f. El monto de las referidas transferencias a cuentas de terceros en otros bancos excedió, en mucho, los valores regularmente manejados por el municipio en operaciones por internet, como se desprende del log transaccional allegado al proceso (libro “transacciones cobis”, archivo “log transaccional”, “pruebas del municipio de inzá, derivado 047).
Así, por ejemplo, durante el año 2019 (ib.), la mayor transferencia realizada a través de internet en el mes de agosto fue por un valor de $66 901 820 (29 de agosto 6:53 p.m.), en septiembre por $16 131 544 (24 de septiembre 6:55 p.m.), en octubre por $80 012 340 (11 de octubre 5:39 p.m.) y en diciembre por la suma de $5 653 000 (18 de diciembre 7:59 p.m.).
Esto confirma lo manifestado por la alcaldesa Geidy Ortega en el informe juramentado que rindió el 2 de junio de 2020, al señalar que, “en la actual vigencia fiscal, el monto máximo por el cual se han realizado transacciones a través de la Banca virtual del Banco Agrario es de $112.419.312 (p. 10, informe juramentado de la alcaldesa Geidy Ortega, derivado 048). g. La IP desde la cual se originaron las tres transacciones cuestionadas fue la No. 190.145.149.226, pese a que la utilizada habitualmente por el municipio era la No. 192.268.20.5, así como la No. 138.0.88.31, desde el 8 de enero de 2020 (p. 9, archivo 8.5., derivado 016), este último correspondiente al computador de la alcaldesa (p. 11, informe juramentado, derivado 048).
M.A.G.O. Exp. 110013199003202041896 01 14 3. En este orden de ideas, es claro que en la ejecución de dichas transferencias se presentaron varias inconsistencias, a saber: (i) No es claro cómo fue que dineros públicos se transfirieron a cuentas de terceros en un banco distinto. El Manual del usuario de banca virtual, en lo tocante a transacciones, precisa que las monetarias (“afectan los saldos de los productos”) requieren doble autorización, puntualizando, además, que las transferencias sólo tienen lugar entre “cuentas mismo cliente”, “a terceros cuentas mismo banco” y “crédito rotativo”, ninguna de las cuales ocurrió en este caso, porque las tres operaciones involucran traslado de dineros a cuentas de personas naturales en Bancolombia.
La única posibilidad son los “pagos electrónicos Banagrario -PEB, pero tratándose de terceros a quienes podían hacérseles transferencias a sus cuentas de ahorro o corriente, era necesario registrarlos previamente, incluyendo la cuenta de destino, con la opción “pago crédito”, tipo de cuenta y banco, entre otros datos (p. 197 y ss, archivo 8.9, derivado 017).
Sin embargo, en el proceso no fue demostrado que el municipio de Inzá tenía inscritas las cuentas de Diana Restrepo, Fernando Ossa y José Sáenz, como destinatarios de las transferencias dubitadas, lo que debió probar la parte demandada, según lo previsto en el artículo 167 del CGP, pues es ella la que aduce que cumplió con todos los requisitos necesarios para transferir los dineros depositados.
(ii) Según el log de mensajes y correos aportados por el Banco, las notificaciones sobre el ingreso al sistema – a través de SMS (informando códigos de ingreso)- de la primera transacción se efectuaron al teléfono celular 3217225785 (el correcto es 3217226785) y la notificación de transacción al número 3148173726 (archivo 8.11, derivado 017): Jan 31 2020 9:06AM 1 SMS 0 F 0 eb63c7e0-443573217225785 Jan 31 2020 9:07AM 1 SMS 0 F 0 14ae4e90-443573217225785 Jan 31 2020 9:13AM 1 SMS 0 F 0 cf6e88d0-443573217225785 Jan 31 2020 9:14AM 1 SMS 0 F 0 08e3b3b0-443573217225785 Jan 31 2020 9:20AM 1 SMS 2206005 F 0 cd4e7280-443573148173726 M.A.G.O. Exp. 110013199003202041896 01 15 Es decir, no se enviaron a ninguno de los números referenciados en el formato de inscripción y/o novedades para la Banca virtual (p. 1, archivo 8.4., derivado 016).
En cuanto a la segunda transacción, la notificación de ingreso al sistema se hizo vía SMS al número celular 3217226785 (11:41 am), pero las dos siguientes, verificadas a las 11:43 am y 11:47 am, se enviaron al número 3217225785, mientras que el aviso de transferencia se remitió al número 3148173726 (ib.): Y en lo que atañe a la tercera transferencia, las dos primeras notificaciones de acceso se hicieron al No. 3217226785, pero las dos siguientes al No. 3217225785.
De igual manera, el enteramiento de la transacción se dio al No. 3148173726, que, como se anticipó, corresponde a un exfuncionario del municipio. Luego el banco tuvo un manejo errado de las notificaciones de acceso y realización de las transferencias. En el primer caso, se equivocó en todo; en el segundo, sólo acertó en la comunicación inicial, pero los actos subsiguientes fueron desacertados; y en el tercero, de cuatro noticias de acceso inicial, dos de ellas fueron inexactas, como también el aviso de transferencia efectiva.
Téngase en cuenta que con cada mensaje se cambió el código de ingreso que debía ser digitado, por lo que, en estrictez, el código finalmente admisible fue el último, remitido, en las tres operaciones, al número 3217225785, que no corresponde al registrado por el señor Favián Polanco Ortega. Feb 3 2020 11:41AM 1 SMS 0 F 0 ff243d00-46a 573217226785 Feb 3 2020 11:43AM 1 SMS 0 F 0 46ad6110-46a573217225785 Feb 3 2020 11:47AM 1 SMS 0 F 0 d894c230-46a573217225785 Feb 3 2020 11:55AM 1 SMS 2206005 F 0 f2848260-46a573148173726 Feb 3 2020 4:21PM 1 SMS 0 F 0 198edd40-46c573217226785 Feb 3 2020 4:30PM 1 SMS 0 F 0 694677c0-46c573217226785 Feb 3 2020 4:37PM 1 SMS 0 F 0 55573500-46c573217225785 Feb 3 2020 4:41PM 1 SMS 0 F 0 fc2f26d0-46cd573217225785 Feb 3 2020 4:50PM 1 SMS 2206005 F 0 26efb640-46c573148173726 M.A.G.O. Exp. 110013199003202041896 01 16 Con todo, de conformidad con el log de mensajes y correos aportado por el Banco Agrario de Colombia, las notificaciones de token de todas las transacciones efectuadas desde el 23 de enero de 2020 (11:55:28 a.m.) hasta el 14 de febrero de la misma anualidad, también se enviaron al correo electrónico “favianpolanco07@gmail.com” (archivo 011, derivado 017).
(iii) Todas las operaciones desconocidas fueron realizadas desde una IP que no era de uso habitual por el municipio, y no corresponde a ninguno de sus computadores. (iv) Las transferencias excedieron, en mucho, los valores regularmente manejados por el municipio a través de la banca virtual. (v) El municipio no gestiona verificaciones o monitoreos periódicos de las operaciones que se hacen en sus cuentas, puesto que espera la conciliación bancaria que adelanta una vez se expiden los extractos (p. 3, informe juramentado de la alcaldesa Geidy Ortega, derivado 048).
En este caso, ese control se hizo el 21 de febrero de 2020. Tampoco se bloquearon las cuentas luego de que, el 14 de febrero de ese año, se frustró una transferencia irregular de fondos a una cuenta de Bancolombia. 3. Desde esta perspectiva, si las transacciones se hicieron a cuentas de terceros en otro banco, sin prueba de que existiera previo registro para “pagos electrónicos”; si todas ellas superaron los montos habitualmente manejados por el municipio; si tuvieron lugar desde una dirección IP que el mismo banco reconoce como extraña a las operaciones regulares de la entidad pública; si las notificaciones de ingreso que comunicaban los códigos se enviaron – en la mayoría de los casos - a números telefónicos equivocados, e incluso la noticia del traslado de fondos se remitió (en las tres transferencias) a un número telefónico que no correspondía, resulta clara la responsabilidad del Banco, quien cometió múltiples errores que posibilitaron la extracción de recursos públicos.
M.A.G.O. Exp. 110013199003202041896 01 17 Hubo, entonces, incumplimiento de los deberes de autenticación y verificación, lo mismo que en los de establecer los hábitos transaccionales de su cliente, una entidad territorial, y de bloqueo de cuentas frente a situaciones sospechosas. Recuérdese que, tratándose de protocolos de autenticación, la Corte Suprema de Justicia ha señalado que, Cuando un tercero burla esos protocolos de autenticación, y – haciéndose pasar por el causahabiente– dispone por cualquier medio de los recursos depositados en cuentas de ahorros o corrientes, la obligación de verificación se incumple, pues la carga de que se viene hablando no puede entenderse satisfecha simplemente con los buenos oficios del banco (sic), sino con la efectiva confirmación de su cliente.6 Cumple resaltar en este punto que, según lo dispuesto en la Circular Externa 029 de 2019, en materia de seguridad las entidades financieras deberán adoptar, entre otros, “procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos por parte de un cliente, así como las medidas operativas y de seguridad para la reactivación de los mismos”, y deberán elaborar “el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos” (parte I, título II, capítulo I, numerales 2.3.3.1.12. y 2.3.3.1.13.).
Adicionalmente, según los términos y condiciones de los servicios de banca virtual, el Banco podía suspender los servicios “en cualquier momento durante determinado periodo de tiempo por razones de seguridad, contingencia, fuerza mayor o cuando se detecten condiciones que pongan en peligro los intereses de EL BANCO, EL USUARIO o terceros.” (p. 1, archivo 8.3. derivado 016).
Si bien es cierto que el municipio de Inzá también incumplió su deber de autoprotección, e incluso obró con negligencia puesto que fue notificado por correo electrónico de las tres operaciones no consentidas (archivo 011, 6 Cas. Civ. Sentencia de 18 de diciembre de 2020. Exp. SC5176-2020. M.A.G.O. Exp. 110013199003202041896 01 18 derivado 017), su conducta, en rigor, no fue la que provocó el resultado dañoso.
Con otras palabras, desde una perspectiva causal fueron las omisiones del Banco las que permitieron la transferencia de los dineros públicos, pues suyo era el deber de advertir, desde un comienzo, que se estaba utilizando una IP extraña, que se querían trasladar recursos monetarios a cuentas de terceros por sumas muy superiores a las que usualmente manejaba el municipio, sin que, se insiste, obre prueba de la inscripción de esos destinatarios.
Incluso, envió notificaciones a números telefónicos que no correspondían. Luego, frente a estas graves omisiones del Banco Agrario, la conducta posterior del municipio luce intrascendente. Sobre la relación causal entre la conducta y el resultado dañoso, la Corte Suprema de Justicia ha señalado: [D]e todos los antecedentes y condiciones que confluyen a la producción de un resultado, tiene la categoría de causa aquél que de acuerdo con la experiencia (las reglas de la vida, el sentido común, la lógica de lo razonable) sea el más “adecuado”, el más idóneo para producir el resultado, atendidas por lo demás, las específicas circunstancias que rodearon la producción del daño y sin que se puedan menospreciar de un tajo aquellas circunstancias azarosas que pudieron decidir la producción del resultado, a pesar de que normalmente no hubieran sido adecuadas para generarlo.7 Con otras palabras, si el Banco hubiere procedido como lo ordena la referida Circular, esto es, bloqueando las cuentas, no se habría podido consumar el daño. Por eso es que suya, y sólo suya, es la responsabilidad.
Quedan así – y con estos argumentos – desvirtuadas todas las excepciones propuestas. 4. Luego se revocará la sentencia apelada, en cuanto le abrió paso a ciertas excepciones, incluida la de compensación de culpas, y se modificará la condena, para que el Banco responda íntegramente por las sumas transferidas, junto con sus intereses. 7 Cas.
Civ. Sentencia de 26 de septiembre de 2002. Exp. 6878. M.A.G.O. Exp. 110013199003202041896 01 19 El Banco asumirá las costas de ambas instancias. DECISIÓN Por el mérito de lo expuesto, el Tribunal Superior de Bogotá D.C., en Sala Primera Civil de Decisión, administrando justicia en nombre de la República de Colombia y por autoridad de la ley, confirma el numeral 5º de la sentencia de 1º de marzo de 2021, proferida por la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia dentro de este proceso, revoca el numeral 2º y modifica los numerales 1º, 3º y 4º, los cuales quedarán así: Primero. Denegar todas las excepciones de mérito propuestas por el Banco Agrario de Colombia S.A. Tercero. Declarar civil y contractualmente responsable al Banco Agrario de Colombia S.A. respecto de las tres (3) operaciones desconocidas y cursadas entre el 31 de enero y el 3 de febrero de 2020, objeto de este proceso.
En consecuencia, se le condena a pagar y devolver al demandante la suma de $736 666 000, indexada desde que se hizo el débito hasta que se verifique el pago, que deberá realizarse, a más tardar, el día ocho (8) posterior a la firmeza de esta sentencia, vencido el lapso judicial comenzará a causar intereses de mora a la tasa señalada en el artículo 884 del C. de Co.
El cumplimiento de la orden que se imparte en esta sentencia deberá ser acreditado por BANCO AGRARIO DE COLOMBIA S.A., dentro de los OCHO (8) días hábiles siguientes contados a partir de la expiración del plazo otorgado para el mismo, advirtiéndose que el incumplimiento de las órdenes aquí impartidas puede ocasionarle la sanción de que trata el numeral 11 del artículo 58 de la Ley 1480 de 2011, trámite que de ser el caso se adelantará a través de incidente.
M.A.G.O. Exp. 110013199003202041896 01 20 Cuarto. Condenar en costas de primera instancia a la parte demandada. El funcionario de primera instancia fijará las agencias en derecho. Costas del recurso a cargo de la parte demandada. Liquídense.
NOTIFIQUESE Firmado Por: Marco Antonio Alvarez Gomez Magistrado Sala 006 Civil Tribunal Superior De Bogotá, D.C. - Bogotá D.C., M.A.G.O. Exp. 110013199003202041896 01 21 Este documento fue generado con firma electrónica y cuenta con plena validez jurídica, conforme a lo dispuesto en la Ley 527/99 y el decreto reglamentario 2364/12 Código de verificación: ffe88b8249aed0a75a4b059cee63d67d1185d711fef5039fed61457f537ec86c Documento generado en 02/09/2021 04:58:18 p. m. Valide éste documento electrónico en la siguiente URL: https://procesojudicial.ramajudicial.gov.co/FirmaElectronica