TRIBUNAL SUPERIOR DEL DISTRITO JUDICIAL DE BOGOTÁ SALA DE DECISIÓN CIVIL Bogotá, veintisiete de octubre dos mil dieciséis. Magistrado Ponente: Germán Valenzuela Valbuena Radicado: 1100 1319 9001 2015 00206 01 - Procedencia: Superintendencia Financiera Proceso: Verbal de Protevis Ltda. Vs. Davivienda. Aprobación: Salas oct 5 y octubre 19/16;
Audiencia oct. 12/2016 Se resuelve el recurso de apelación interpuesto por la parte demandante contra la sentencia de 10 de febrero de 2016.
ANTECEDENTES 1. Protevis Ltda. presentó demanda contra Davivienda S.A. con el propósito que se la declarara responsable por la violación de los derechos del consumidor financiero, al permitir que terceros sustrajeran de su cuenta de ahorros la suma de 330 millones de pesos. Como consecuencia de lo anterior, solicitó que se condenara al Banco a la restitución de dicha suma de dinero indexada y con intereses y “…los gastos de asesoría y representación del abogado y demás erogaciones que se causen dentro del proceso”. 2.
Protevis fundamentó sus pretensiones, en síntesis, en que realizaba operaciones regularmente en el Portal Empresarial de Davivienda “excepto los fines de semana” porque entonces la empresa no laboraba, razón por la cual el celular para los reportes que hacía el Banco y el Token permanecían el fin de semana en las oficinas de gerencia. Dijo que el lunes 16 de septiembre de 2013 advirtieron que la cuenta de ahorros no contaba con fondos, de los cuales se apropiaron delincuentes el sábado 14 de septiembre; y añadió que la defraudación le ha causado serios perjuicios económicos que Davivienda no ha querido asumir, a pesar de que las transacciones de ese día no corresponden al perfil transaccional de Protevis.
Apelación Sentencia: 1100 1319 9001 2015 00206 01 2 3. Davivienda se opuso a las pretensiones con las defensas que denominó: “Cumplimiento del Banco Davivienda S.A. de sus obligaciones contractuales y legales”; “Autenticación e identificación de las transacciones ahora cuestionadas a partir de la existencia de una Firma Electrónica basada en un mecanismo fuerte de autenticación”;
“Las transacciones que son objeto de la demanda están ajustadas al perfil transaccional y a los hábitos transaccionales del Apoderado identificado con la Cédula de Ciudadanía No. 79.859.380”; “Incumplimiento de la Demandante Protevis Ltda. de sus obligaciones contractuales por negligencia de sus autorizados en sus acciones y omisiones” y la de “Negligencia de Protevis teniendo en cuenta sus calidades específicas como comerciante profesional dedicado a la actividad de vigilancia”. 4.
Culminada la etapa probatoria ambas partes alegaron de conclusión. LA DECISIÓN APELADA Con respecto a la falta de identificación de costumbres y hábitos transaccionales, encontró probado a través del contenido del log transaccional y del testimonio de Leydi Mayerly Rojas Daza que las transacciones cuestionadas “…no resultaban ajenas a los hábitos transaccionales de la demandante, empresa de vigilancia que acostumbraba a hacer múltiples operaciones diarias de las denominadas pagos a proveedores, con regularidad, por montos similares o superiores a los que son objeto de la demanda, individualmente considerados”, además de que, como lo pudo establecer Davivienda en el informe preliminar de seguridad caso Protevis, “las operaciones objetadas fueron realizadas a través de direcciones IP para la comunicación entre el computador utilizado por la empresa Protevis limitada y el Banco Davivienda” (33:45).
Apelación Sentencia: 1100 1319 9001 2015 00206 01 3 Añadió que a medida en que se realizaban las susodichas transferencias el Banco remitió 18 mensajes de texto y correos electrónicos al usuario administrador del portal, que el Gerente Administrativo ratificó haber recibido en varias ocasiones. Al respecto, consideró que aunque el envío de mensajes de marras no relevaba al Banco de sus cargas de verificar operaciones que no correspondieran al perfil transaccional del cliente, no podía desconocerse que “…la realización de las operaciones con la concurrencia de los elementos y dentro de los parámetros establecidos por las partes para el efecto, sujetas a este procedimiento de confirmación simultaneo y posterior a la realización de cada lote o paquete de transacciones, generan en la entidad financiera una confianza respecto de que su cliente y receptor de los mismos es el autor de las operaciones que cursan a través de una plataforma dotada de tales seguridades, más aún cuando para su realización no solo se contaba con el usuario y clave asignado por la Sociedad sino con un elemento de seguridad adicional, un mecanismo de autenticación como es el token”. 2.
Por otra parte, consideró que “…para la época de las operaciones reclamadas Protevis limitada manejaba con informalidad y descuido los elementos e información confidencial requerida para tranzar”, determinación que tomó con respaldo en el contenido de las llamadas que se cruzaron el Banco y el administrador del portal luego del 14 de septiembre de 2013, de las que estableció que contrariamente a lo sostenido por el extremo demandante “…la persona que tranzaba a través del portal era la señora Leydi Mayerli Rojas Daza, quien mantenía contacto directo con la entidad financiera y su actuación no se limitaba a la de custodiar el token o simplemente digitar información para que otros introdujeran las claves secretas, como lo declarara ante esta Delegatura” (48:39).
Apelación Sentencia: 1100 1319 9001 2015 00206 01 4 La informalidad con la que se manejaban la clave y el token “…por personas distintas del apoderado inscrito ante el Banco, dieron lugar a la sustracción del token en cabeza de la demandante, lo que contribuyó de manera eficiente a la materialización del daño que se reclama, pues no de otra manera se explica que el token con el que habitualmente se tranzaba y que se encontraba asignado al señor casas castillo fuera cambiado por otro sin que tal circunstancia fuera advertida por la sociedad cuentahabiente hasta que la policía concurrió a la sede social y se percatara de lo sucedido” (51:44). 3.
Por último, la superintendencia apoyó la defensa según la cual a Protevis le era exigible, por encima del de un consumidor promedio, un grado especial de diligencia en la observancia de procedimientos internos de seguridad, habida cuenta que se trata de una sociedad especializada en el área de la seguridad privada y además, porque el artículo 6° la Ley 1328 de 2009 le impone el cumplimiento de unas prácticas mínimas de protección que en el presente caso aparecen desatendidas (52:22).
LA APELACIÓN (58:00) Aduce que la sentencia incurrió en un defecto en la valoración de las pruebas, fundamentalmente en punto al establecimiento del perfil transaccional a la luz de lo que jurídicamente implica su elaboración. En efecto, sostiene que dicho perfil está concebido para proteger a los clientes de delitos como el que se fraguó contra la empresa demandante, “en donde incluso por el tipo de tecnología [que utiliza la delincuencia] se pueden usar los mecanismos fuertes”, de modo que el perfil de marras resulta fundamental para asegurar el control frente a dicho riesgo.
Apelación Sentencia: 1100 1319 9001 2015 00206 01 5 Pasó por alto el despacho –prosigue- que se señaló de manera clara que el perfil transaccional no encuadraba dentro de las transacciones realizadas, precisamente porque las transacciones el día sábado se proyectaban desde el área financiera el viernes, es decir, que no se generaban y se aplicaban el mismo sábado, tal y como se le puso de presente al despacho con las pruebas pertinentes, en las que constaban las fechas de creación de una determinada operación y su fecha de pago.
Asevera que lo que las pruebas indican es que las transacciones cuestionadas no eran habituales “en cuanto a su programación, en cuanto al día en que se realizaban, en cuanto al monto en que se realizaban”, y añade que el a quo pasó por alto que, como lo puso de presente la testigo Leydi Mayerli Rojas, cuando se generaban pagos los sábados estos se hacían para que todos fueran realizados en un mismo momento, situación que contrasta con lo ocurrido el 14 de septiembre de 2013, en donde las transacciones se presentaron desde las primeras horas del día y culminaron en la tarde.
(01:04:40) Sostiene en relación con el perfil de marras, que para su elaboración no basta con los parámetros que fija el cliente al momento de abrir el portal empresarial, sino que corresponde a una verdadera “…carga de acompañamiento que debe hacer la entidad financiera, precisamente por el riesgo de este tipo de situaciones” como al “…deber de verificación frente a que lo que el cliente seguramente pudo señalar en un principio corresponda a lo que realmente el cliente está haciendo en la práctica de la cuenta” con el fin de ratificar el uso que viene haciendo del portal, ora para apercibirlo de las consecuencias de no delimitarlo, o bien para manifestarle la necesidad de que lo ajuste a la realidad de su manejo.
En suma, manifiesta que el banco tenía unas cargas de acompañamiento, orientación y asesoría en relación con el manejo de la cuenta. Apelación Sentencia: 1100 1319 9001 2015 00206 01 6 (01:07:00) Por otra parte, aduce que no había lugar a colegir que por tratarse Protevis de una empresa de vigilancia, entonces debía ser experta en este tipo de hechos, pues la empresa se dedica fundamentalmente a la vigilancia de personas y no a la seguridad informática.
(01:07:31) También cuestiona la valoración probatoria del Juez en punto al manejo de las claves, ya que “…ciertamente se reconoció por parte de la empresa que había una persona que era la que inicialmente ingresaba y hacía toda la preparación, precisamente porque es normal que en empresas que manejan dimensiones importantes, pues el representante legal no puede estar pendiente ni del detalle de montar la estructura”, lo cual, aduce, no puede calificarse como “…abyecto, ni es un tema que per se pueda señalarse de mal manejo, de informalidad, ni el token vivía en manos de una, dos o tres o cuatro personas”.
(01:08:45) Por último, sostiene que no podía señalarse que hubo total cumplimiento de Davivienda en sus obligaciones, ya que existía una prueba que no se recaudó por razones no imputables al despacho pero que señala que acá no se trató de un simple descuido “…sino de un nivel de delincuencia con un uso de tecnología importante frente a la cual también se requiere unas medidas importantes de seguimiento y de control por parte del Banco”.
Sostiene que este último no tomó las medidas adecuadas, a tal punto que el bloqueo del portal no se produjo de manera inmediata frente a los requerimientos de Protevis. CONSIDERACIONES 1. De entrada se anuncia que el fallo impugnado será revocado parcialmente, habida cuenta que existen pruebas que permiten establecer que las operaciones que se denuncian fraudulentas se realizaron con el Apelación Sentencia: 1100 1319 9001 2015 00206 01 7 aporte causal de conductas omisivas culposas de ambas partes, quienes de consuno facilitaron la sustracción de los dineros de la cuenta de la demandante.
En presencia de concausalidad, las consecuencias patrimoniales de la pérdida tienen que ser asumidas por quienes hicieron una contribución en la ocurrencia del daño, desde luego, en la proporción en que las respectivas omisiones hayan incidido a su realización. Con ese propósito, la Sala estudiará la culpa en que incurrió cada una de los contendientes, comenzando por la de la parte demandante (i); luego se analizará en la que a su turno incurrió Davivienda (ii); por último, definirá la incidencia causal de cada una de esas aportaciones en el daño cuya indemnización se persigue. 2.
La culpa de Protevis Como circunstancias que evidencian un inadecuado proceder de la parte demandante y que relativizan el fundamento de sus reclamaciones, la Sala debe llamar la atención sobre situaciones anteriores, concomitantes y subsiguientes a la sustracción de los fondos objeto de reclamación. Las primeras se refieren al imprudente manejo de información sensible, relacionada fundamentalmente con los elementos de autenticación que eran necesarios para acceder al portal empresarial y realizar transacciones (i); las segundas tienen relación con la conducta asumida por el usuario administrador en los momentos en que se realizaban las operaciones cuestionadas (ii) y, por último, se analizará el indicio grave derivado de conductas procesales asumidas por Protevis. 2.1.
Incumplimiento del deber de custodia de los elementos de autenticación. Apelación Sentencia: 1100 1319 9001 2015 00206 01 8 2.1.1. Sin que sea menester hacer consideraciones teóricas acerca de la carga que tienen los empresarios de velar porque su información privilegiada y, en especial, de aquella que es necesaria para acceder a los canales que un Banco les ofrece para realizar transacciones de diverso tipo se mantenga fuera del alcance de terceros, el Tribunal encuentra que este elemental deber de diligencia, que viene impuesto por razonamientos elementales -sentido común- fue manifiestamente incumplido por parte de Protevis, pues quedó demostrado que personas distintas a Carlos Casas, Usuario Administrador a quien le fue asignado el Token y quien conocía la clave personal de acceso al portal, tenía este tipo de información. Para llegar a esa conclusión, basta remitirse a la conversación sostenida entre Carlos Casas y un empleado de Davivienda el lunes 16 de septiembre de 2013, donde aquél manifestó en forma expresa que “…el Token lo maneja mi asistente” que ella es “…la única que lo maneja”.
Del contenido de esa conversación también se puede inferir que esta última tenía conocimiento de la clave personal y de aquella con la cual se hacían las autorizaciones de pago. Lo primero porque en dicha interlocución Carlos Casas dejó ver de manera ostensible su desconocimiento de la forma como se ingresaba al portal empresarial, aspecto que se corrobora a tal punto que el manejo de uno de los mecanismo de autenticación (Token) se lo había confiado a su asistente; y de lo segundo, porque habiendo sido cuestionado por unas operaciones que se hicieron el viernes 13 de septiembre de 2013, esto es, un (1) día antes del robo y con un fin de semana de por medio en el que la empresa manifestó insistentemente no haber ordenado ningún pago, no supo dar cuenta ni siquiera del computador a través del cual las realizó, no obstante que, según afirmó, él era la persona que impartía la aprobación final.
En esas condiciones, no es del todo creíble que fuera Carlos Casas Apelación Sentencia: 1100 1319 9001 2015 00206 01 9 el que suministraba la clave de acceso y la de aprobación, pues si así ocurría en realidad no luce muy consistente que no tuviera la menor idea de la forma como se ingresaba al portal empresarial, que la custodia del Token se la haya confiado en forma absoluta a un tercero y que no recordara a través de qué ordenador dio las últimas órdenes de pago aquel viernes 13 de septiembre.
Sea como fuere, el hecho de que el manejo del Token estuviera del todo a cargo de una persona distinta a la contractualmente autorizada es indicativo del inadecuado manejo que a la información sensible y reservada se le daba en la empresa demandante, en abierto desconocimiento de prácticas mínimas de seguridad pero, también, de estipulaciones contractuales, como las que le imponían a Protevis la obligación de custodiar diligentemente las claves y Token1. 2.1.2.
Otra consideración a propósito del manejo del mencionado dispositivo es que Protevis manifestó en la demanda que al percatarse de la sustracción de los dineros de la cuenta, advirtió al poco tiempo con ayuda del Banco que el Token que tenía asignado había sido sustituido por otro. Viene de decirse que Protevis reconoció haber realizado las operaciones del 13 de septiembre de 2013.
Ahora, es de notar asimismo que el representante legal de la demandante (Gratiniano Casas), Carlos Casas que es su hijo y Leydi Mayerly Rojas Daza como asistente de este último, coincidieron en que el Token se guardaba en una caja fuerte en la que se depositaba cuando no era necesario. 1 Al respecto, Contrato de cuenta de ahorros: art. 22 (fl. 114);
Reglamento del Portal Empresarial, cláusulas: 2ª num. 8º (fl. 124), 9ª (fl. 127). Apelación Sentencia: 1100 1319 9001 2015 00206 01 10 Si lo afirmado por esas personas fuera cierto, para hacerse al Token los delincuentes tuvieron –necesariamente- que ingresar a las instalaciones de la empresa y, desde luego, a la combinación de la caja de seguridad o a su llave para sustraer sigilosamente el Token de Protevis y en su lugar dejar otro dispositivo de idénticas características; pero además, tuvieron que entrar después de que se realizaron las últimas transacciones que la demandante reconoció -pues para ello precisaba del número aleatorio que emite el Token- y antes de la mañana del 14 de septiembre de 2013, ya que ese día y por esas horas, según lo afirmó Carlos Casas en su testimonio, se encontraba en la empresa con los socios discutiendo de un negocio que Protevis tenía en ciernes.
Sin embargo, no está probado que en realidad la empresa guardara el Token en una caja fuerte, pues dos de las declaraciones que así lo manifestaron, la de Gratiniano y Carlos Casas, no merecen credibilidad por razones que más adelante se expondrán. Y aún si fuera cierto que así era que se custodiaba ese dispositivo de autenticación, el hecho de que los delincuentes hayan tenido acceso a la caja fuerte en tan corto espacio de tiempo pone en evidencia la ineficacia del medio de custodia seleccionado cuyo manejo, en todo caso, valga insistir en ello, ya se le había confiado a una persona no autorizada, lo cual ya es de por sí suficiente para incrementar en forma objetiva el riesgo de sustracción de los dineros de la cuenta. 2.2.
La conducta del usuario administrador al tiempo en que se realizaron las transacciones. Sumada a la anterior, otra grave falta de diligencia por parte de Protevis la constituye el hecho de que Carlos Casas, en su condición de usuario administrador del portal empresarial, haya decidido ignorar los mensajes Apelación Sentencia: 1100 1319 9001 2015 00206 01 11 de texto que le envió el Banco a su celular reportándole las transacciones que a la postre Protevis repudió. Al efecto, es de notar que en otra de las conversaciones que tuvo con empleados del Banco (el 17 de septiembre de 2013 a escasos días del robo), indagado acerca de si había recibido dichos mensajes de texto manifestó que ellos sí llegaron a su teléfono, pero que no se percató de revisarlos sino hasta el lunes.
Dijo que no les “par[ó] bolas”, porque era normal que proyectaran pagos por lo que “no mir[ó] las cifras, cuánto era que se había girado”. Precisó que estaba en una reunión “por la mañana, toda la mañana, entonces yo le bajé el volumen al teléfono (…) vi que vibró y dije: eso están haciendo un pago, ya no le puse más cuidado y ya de ahí salí y no volví a mirar el teléfono” sino hasta el lunes, cuando se percató de que ahí estaba “…absolutamente todo”.
Al declarar como testigo en este proceso, Carlos Casas terminó ofreciendo una versión sustancialmente distinta con lo cual es dado presumir que pretendió restarle vigor a la anterior y ponerse en una situación mucho menos comprometedora: comenzó diciendo que como se encontraba en una reunión no estaba atendiendo el celular, que lo tenía sin volumen, pero terminó afirmando otra cosa: que no tenía el celular consigo, que “…el celular no estaba en la sala de juntas, estaba en mi oficina”, y sentenció que no era esclavo del celular y que sólo se enteró de la existencia misma de los mensajes hasta el lunes.
De las dos versiones el Tribunal habrá de atenerse a la primera, fundamentalmente porque ese relato se hizo a pocos días de los acontecimientos, de manera que es probable que a la sazón Carlos Casas recordara con más detalle lo que aconteció y que su exposición fuera, por ende, mucho más espontánea y creíble. Pero hay que agregar que el Apelación Sentencia: 1100 1319 9001 2015 00206 01 12 Tribunal también acoge el contenido de ese relato porque como se verá más adelante, sobre el testimonio de Carlos Casas hay razones fundadas para desconfiar de su veracidad.
Para lo que interesa, queda claro conforme al testimonio que la Sala acoge que los mensajes de texto llegaron el mismo sábado 14 de septiembre desde las horas de la mañana, que el demandado asumió que eran mensajes del Banco, que al parecer los revisó pero sin poner mientes a las cifras de las operaciones y que tan sólo vino a examinar con detalle el contenido de esas notificaciones, a percatarse de las mismas –en sus palabras-, el lunes 16 de septiembre de 2016.
Que como consecuencia de esos hechos el Tribunal tenga que tener por establecido que el administrador de la cuenta se colocó negligentemente en estado de ignorar que la empresa estaba siendo defraudada en momentos en los que era razonable que asumiera otro tipo de comportamiento, es cuestión a la que la Sala le dará alcances luego, por supuesto que la omisión culposa que se analiza influyó en la extensión del daño cuya reparación se reclama.
Con lo anterior, valga anticiparlo, el Tribunal no está asumiendo como principio que basta con el envío de mensajes de texto al teléfono celular registrado y su efectiva recepción en ese dispositivo móvil del depositario para que el banco pueda dar por cumplida su obligación de garantizar que los fondos del cliente no sufrirán menoscabo por fraudes, porque puede suceder que el destinatario se vea en imposibilidad de consultarlos por razones de fuerza mayor o caso fortuito, o que simplemente no desee consultarlos.
De manera, pues, que no basta con la emisión y recepción de las alertas para que la entidad bancaria pueda desentenderse de sus obligaciones contractuales y legales. Empero, Apelación Sentencia: 1100 1319 9001 2015 00206 01 13 dentro del contexto de circunstancias que acaban de reseñarse, y que la Sala no puede dejar de valorar, es evidente que en el sub lite si Carlos Casas se hubiera tomado el trabajo de consultar con detenimiento los mensajes de texto que comenzaron a llegar a su móvil, el detrimento patrimonial de que se duele Protevis habría sido mucho menor, sin perjuicio de la responsabilidad que en ello, por cierto, le cabe a Davivienda. 2.3.
Pasando a las circunstancias posteriores a la realización de los hechos que son materia de debate, la Sala encuentra que en virtud de uno de los testimonios rendidos en el proceso se pueden extraer por lo menos dos conclusiones de profunda trascendencia para las resultas de este proceso: de un lado, que los testimonios rendidos por Gratiniano y Carlos Casas faltaron ostensiblemente a la verdad en sus declaraciones, conducta procesal de la que es dado extraer indicios en contra de la parte demandante (i); del otro, que develada la realidad que aquéllos pretendieron ocultar, se reafirma la ligereza con la que solían manejarse en Protevis asuntos sensibles relacionados con el manejo de la cuenta en Davivienda (ii). 2.3.1.
En cuanto a lo primero, el testimonio de Leydi Mayerly Rojas Daza puso en evidencia que en una ocasión Gratiniano Casas suplantó a Carlos Casas en un trámite realizado por vía telefónica con Davivienda, trámite que, por lo demás, estaba relacionado con la habilitación de un servicio del Portal Empresarial a través del cual se hicieron las transacciones que desconoce Protevis.
Empero, durante el desarrollo del interrogatorio, Gratiniano Casas dijo que la voz que se escuchaba en el registro de ese trámite era la de su hijo Carlos Casas; este último, en su momento, manifestó que la que allí se escuchaba era su voz, a pesar de que es claro que corresponde a la de su padre. La realidad, como acaba Apelación Sentencia: 1100 1319 9001 2015 00206 01 14 de establecerlo la Sala, la develó Leydi Mayerly Rojas Daza, quien dijo que en aquella ocasión y por urgencia, comunicó al empleado de Davivienda con Gratiniano Casas como si se tratara de Carlos Casas, administrador del Portal Empresarial y persona que tenía que haber atendido personalmente esa llamada.
Lo anterior pone en evidencia que, al margen de que la suplantación se haya hecho con nobles intenciones, no existían escrúpulos a la hora de manejar los productos que Protevis tenía con el Banco demandado, reafirmándose por esta vía la ligereza en la custodia del Token y, como se dijo, del resto de mecanismos de autenticación. 2.3.2.
Pero además, la conducta procesal de la parte demandante hace que surja un indicio, por demás grave, en contra de sus aspiraciones, al estar comprobado que su representante legal y uno de sus socios, que a la vez fungía como Usuario Administrador del Portal, faltaron a la verdad en las declaraciones que suministraron en este proceso relacionadas con el manejo del Portal Empresarial, indicios que habrán de ser tenidos en cuenta por la Sala a la hora de establecer el porcentaje de la contribución causal de Protevis en el daño que experimentó. 3.
Pasando al enjuiciamiento de la conducta de Davivienda, esta Sala advierte de entrada que, contrario a lo que concluyó la Superintendencia, no quedó fehacientemente probado que las transacciones que se realizaron el 14 de septiembre de 2013 correspondieran al ‘perfil transaccional’ de Protevis, con lo cual el Banco desatendió el cumplimiento de obligaciones reglamentarias que repercutieron en la producción del daño que esta última experimento, por cierto en menor proporción al aporte de la conducta culposa de la parte demandante.
Apelación Sentencia: 1100 1319 9001 2015 00206 01 15 3.1. El perfil transaccional Conforme a lo establecido en el capítulo décimo segundo de la Circular Externa de la Superintendencia Financiera del año 2012, relativo a los “Requerimientos mínimos de seguridad y calidad para la realización de operaciones”, las entidades tienen el deber de “Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos” (num. 3.1.13.).
Como se ve, se trata de una obligación cuyos alcances pueden delinearse con claridad: frente a transacciones que repudie el cliente, el Banco que pretenda salirle al paso a la obligación indemnizatoria de manera absoluta tendrá que demostrar que hubo culpa de la víctima al haber permitido que terceros tuvieran acceso a la información necesaria para la realización de operaciones; pero, además, acreditar que dichas operaciones se adecuaban a los hábitos transaccionales del cliente, esto es, y sin pretensiones de exhaustividad: que se hicieron en los días que suele transar, a través de la dirección I.P. normalmente utilizada –cuando de transacciones por internet se trata-, dentro de unas horas más o menos establecidas, en frecuencias que se vuelven asimismo determinables y por unos montos máximos o mínimos que se vuelven de cierto modo usuales, sin perder de vista la naturaleza misma de la transacción que se realiza: retiros de dinero en efectivo, transferencias o pagos, y tratándose de estos últimos, de qué tipos: de servicios públicos, privados, impuestos, etc. 3.2.
El perfil transaccional en el sub lite 3.2.1. La tesis del Banco Apelación Sentencia: 1100 1319 9001 2015 00206 01 16 Davivienda encaró la prueba del perfil transaccional poniendo de presente, en síntesis: a) que al hacer la configuración del portal el cliente no limitó la realización de operaciones los fines de semana; b) que en efecto realizaba transacciones esos días para lo cual allegó los extractos de marzo, abril, julio y noviembre de 2012 y de enero, febrero, mayo y julio de 2013 (fls. 50-93); c) que las que se cuestionan se hicieron desde la dirección IP usualmente utilizada; y que d) Protevis ya había realizado transferencias por montos equivalentes.
Además, e) sostuvo que como la empresa omitió pronunciarse sobre los mensajes de texto a través de los cuales el Banco le notificó los movimientos que se hacían el 14 de septiembre, tal silencio generó confiabilidad de que las operaciones no eran desconocidas sino aprobadas, que equivalía a validación de las operaciones. 3.3. Para la Sala, sin embargo, la primera y la última de las referidas circunstancias no pueden jamás ser componentes del perfil transaccional. 3.3.1.
En efecto, que el cliente deje ilimitados o abiertos los parámetros de su producto susceptibles de configuración (montos máximos por operación, días habilitados, número de operaciones por día etc.), no conlleva a que pueda sostenerse que, entonces, todas las operaciones que realice corresponden a su perfil transaccional, a despecho de lo que en rigor lo configura: el hábito.
Porque el perfil transaccional no es una noción puramente formal, una especie de conocimiento que no requiere ningún tipo de investigación – apriorístico- sino que es el resultado del análisis de experiencias a cuya reiteración en el tiempo el ordenamiento quiso darle efectos propios. Así, en línea de principio, el titular de un producto bancario no asume pérdidas por las operaciones que no ha realizado, incluso cuando Apelación Sentencia: 1100 1319 9001 2015 00206 01 17 culposamente ha facilitado que terceros las realicen, cuando las mismas se separen de sus costumbres transaccionales.
Podría decirse, con recurso a la figura, que el perfil transaccional es a las operaciones bancarias lo que la huella dactilar es a cada individuo; es aquel aspecto cuya singularidad permite establecer -por encima de la apariencia que se produce en los eventos en los que terceros superan o se hacen a los mecanismos tradicionales de autenticación (firma, clave personal, token etc.)- la identidad de quien realiza una operación que prima facie podría imputarse al cliente.
Es en fin, una herramienta de seguridad que opera de manera bifronte: si tal o cual transacción no corresponde al perfil de la persona a quien preliminarmente podría atribuirse, el banco debe asumir la pérdida; pero si puede imputársele por corresponder a sus hábitos, entonces el banco que ha pagado –indiscutiblemente por error- queda excusado, en lo que podría considerarse una manifestación concreta del principio general del derecho del error común (error communis facit ius), por cierto que ninguna otra diligencia adicional, al menos no en el que parece ser el estado de la práctica bancaria en Colombia, podría exigírsele para que se asegure de que quien realizó la operación es efectivamente su cliente. 3.3.2.
Ahora, en cuanto a los mensajes de texto, retomando lo que ya se había anticipado, considera la Sala que aunque ciertamente su emisión tiene como objetivo primario que el cliente se entere de las operaciones que en tiempo -más o menos real- le está reportando el Banco, para que manifieste asimismo con inmediatez las que rechaza, ello no implica que su silencio pueda interpretarse como señal de aprobación del contenido de los mensajes que lleguen, y por esta vía, que aunque las operaciones realizadas resulten sospechosas el Banco pueda asumir que el cliente de Apelación Sentencia: 1100 1319 9001 2015 00206 01 18 alguna forma las avala o que por ello formen parte de su perfil transaccional.
La omisión de respuesta oportuna, dependiendo por supuesto de las circunstancias de cada caso, a lo sumo podrá tener incidencia en la determinación del perjuicio reparable, como se verá más adelante –punto 6-, pero jamás, por sí sola, efecto exonerativo pleno en favor del Banco, mucho menos cuando las transacciones escapan al perfil transaccional del cliente.
Y es que, en verdad, la obligación de establecer los parámetros de comportamiento del cliente encuentra razón de ser precisamente, para el caso en que íntegros los mecanismos de autenticación sean superados por terceros y, además, las notificaciones no resulten efectivas. En suma, el perfil transaccional es un sucedáneo que está llamado a operar para los eventos en que los procedimientos de salvaguarda falten o fallen.
Allí caben las hipótesis en las que el cliente, por la causa que sea, no pueda o que incluso, no quiera consultar los mensajes, porque esta desatención en verdad no releva al banco de identificar, siempre que cuente con suficientes datos como para establecer un verdadero perfil, la identificación de la persona detrás de la operación. En definitiva, el banco no puede escudarse en la falta de respuesta de las notificaciones, para sin más, concluir que es su cliente quien está detrás de determinada operación; únicamente le sería dado asumir esa postura cuando compruebe que el movimiento corresponde a sus costumbres transaccionales; de lo contrario, tendrá que presumir que los mensajes de texto no cumplieron con su objetivo y tomar las medidas que estime más adecuadas: intentar confirmación personal por vía telefónica, ora bloquear la cuenta emisora.
Apelación Sentencia: 1100 1319 9001 2015 00206 01 19 4. Entrando de lleno al análisis del perfil transaccional en el sub lite, es de ver que su prueba no vino dada de manera certera, como sería de esperarse tratándose de un asunto que involucra el manejo de datos muy variados y que se han acumulado por un periodo considerable, habida consideración que la cuenta de ahorros fue abierta a comienzos de marzo de 2010.
Al efecto, se echan de menos los promedios generales del tipo de operaciones que solía realizar el cliente, su frecuencia, tipo, cantidades negociadas, etc.; o, y tal vez esta era la prueba que precisaban las defensas de Davivienda, que con anterioridad a las transacciones del 14 de septiembre de 2016 el cliente ya había realizado otras en condiciones cualitativa y cuantitativamente similares.
Empero, el Banco demandado se limitó a poner de presente que en algunos meses puntuales Protevis hizo movimientos los fines de semana; y en sus alegatos de conclusión expuso que la empresa demandante ya había hecho dos transferencias individuales a proveedores –aunque a decir verdad entre semana- por montos considerables, constataciones con las cuales pretendió acreditar que Protevis estaba habituada a realizar operaciones en los fines de semana y por cuantías semejantes.
Pero si bien quedó demostrado que Protevis realizaba operaciones los fines de semana, sostener que dentro de su ‘Perfil transaccional’ podían comprenderse operaciones como las que se realizaron el sábado 14 de septiembre de 2013 implicaría tener por demostradas circunstancias puntuales que, como se verá enseguida, Davivienda no acreditó. En otros términos, a partir de esa constatación no podría sostenerse, sin más, que Apelación Sentencia: 1100 1319 9001 2015 00206 01 20 cualquier tipo de operaciones que hiciera Protevis con posterioridad quedara necesariamente cobijada por su perfil.
Y ello es así porque aun cuando la utilización del portal en días no laborales comenzaba a ser indicativa de un hábito, la naturaleza bien caracterizada que se predica de la costumbre como elemento fundacional del perfil transaccional no queda fehacientemente acreditada con el sólo hecho de que el cliente acceda y realice operaciones en un momento dado, sino que está dada por las cualidades propias de las operaciones mismas, se insiste, por sus aspectos cuantitativos y cualitativos.
Davivienda, pues, tenía que acreditar que su cliente realizó operaciones pretéritas los fines de semana, y, además, que las condiciones de modo, tiempo y lugar en las que fueron hechas presentaban factores de coincidencia con los movimientos a la cuenta realizados el 14 de septiembre de 2013, por donde al Banco le sería dado asumir que Protevis era la persona que estaba detrás de estas últimas transacciones. 5.
Entonces, aunque no era exótico que Protevis utilizara el Portal Empresarial los fines de semana y a pesar de que los movimientos a la cuenta hechos el 14 de septiembre de 2013 se hicieron desde la dirección IP que el cliente solía utilizar, Davivienda no probó, teniendo la carga de hacerlo, que con antelación Protevis ya había realizado transacciones en un solo día del fin de semana en la cuantía y modalidad en que se hicieron las que son materia de análisis.
Nótese que en los meses que el Banco sostuvo que el cliente realizó operaciones los fines de semana o en días festivos, la suma total de dichas operaciones, pero también individualmente consideradas, distan sustancialmente de la cuantía que alcanzaron las transferencias Apelación Sentencia: 1100 1319 9001 2015 00206 01 21 cuestionadas.
Sobre lo primero, el monto transferido el 14 de septiembre de 2013 reclamado por Protevis asciende a $330’000.000, mientras que el total de operaciones a que se refieren los extractos aportados por Davivienda al proponer excepciones, descontando los pagos de planilla única por corresponder a aportes de Protevis al Sistema de Seguridad Social, fue de $317’889.110.
Ahora, considerados individualmente, los movimientos realizados por Protevis con anterioridad a los hechos que son materia de controversia muestran que en marzo de 2012 apenas si hizo una transferencia por $1’149.414 (fl. 50-52); el 14 y el 28 de abril se hicieron traslados por $23’652.428 (fl. 53-57); en julio por $4’912.024 y en noviembre por $83’962.455 (fl. 64-69); ya en 2013: en enero (5 y 19) se transaron $41’692.000 (fls.70-73), en febrero $3’032.431 (fls. 74-79), en mayo $109’404.388 (fls. 80-86) y en julio (el 6 y el 20) $50’093.970.
El importe de las sumas de las que Protevis dispuso en cada uno de esos meses es ostensiblemente inferior al monto final de la operación que tuvo lugar el 14 de septiembre de 2013. Siendo ya el aspecto cuantitativo bastante revelador de que algo inusual ocurrió con la cuenta de Protevis, pues es notorio que como máximo habría llegado a negociar en un fin de semana $109’404.388, el Banco tampoco acreditó que la forma, esto es, los aspectos puramente cualitativos de las operaciones cuestionadas (p. ej., la frecuencia, las horas, generación y aplicación y destinatarios), correspondían, también, a un patrón más o menos identificable con operaciones pretéritas de Protevis.
Porque el Perfil transaccional, como se dijo, no solamente lo conforman los días y los montos en que el cliente suele negociar, sino también la forma como realiza sus transacciones, los aspectos más descriptivos de las mismas y con base en los cuales pueden identificarse Apelación Sentencia: 1100 1319 9001 2015 00206 01 22 anomalías que den lugar a la activación de protocolos de confirmación y/o bloqueo.
Puede suceder, en efecto, que las transacciones coincidan en los días y montos, pero que el modo en el que se dispone de los fondos resulte completamente inusual, sospechoso. En este caso, es de notar que en tan sólo 4 minutos (entre las 08:05 y las 08:09 del 14 de septiembre de 2013), se hicieron 3 de las transacciones cuestionadas cuyo importe ascendió a $124’780.000, suma que de por sí excedía el monto máximo que, como acaba de verse, había llegado a negociar Protevis en un fin de semana; de modo que en lo sucesivo ya era esperable que entraran a operar mecanismos más fuertes de confirmación por parte de Davivieda, por ejemplo, la telefónica, mas la inercia del Banco permitió que en poco menos de 2 horas (de las 08:33 a las 10:14) se realizaran operaciones por $150’628.000 y las restantes en las horas de la tarde (cfr. fl. 105). 6.
En definitiva, contrario a lo que sostuvo la Superintendencia, Davivienda no probó que las transacciones que a primera vista podrían atribuirse a Protevis en verdad correspondían a su perfil transaccional; de hecho, de los extractos que aportó como venero de sus defensas refulge que las cuantías negociadas en algún momento se separaron de las costumbres transaccionales del cliente, por lo que en cierto punto debió activar los mecanismos de verificación o de bloqueo, lo que se dice sin perjuicio de que tampoco acreditó que el modo en el que se hicieron esos procedimientos permitía presumir que Protevis era quien los ordenaba.
El Banco demandado creyó, pues, ver cumplida su carga de la prueba con acreditar llanamente que Protevis utilizaba el Portal empresarial los fines de semana y, además, con el argumento que la empresa demandante al fijar los parámetros no limitó la realización de operaciones los fines de Apelación Sentencia: 1100 1319 9001 2015 00206 01 23 semana, y que no respondió con inmediatez las notificaciones que el Banco le envió, razones estas últimas que, como se vio en su momento, no hacen en modo alguno al perfil transaccional. 7.
En este estado de las consideraciones y a manera de colofón, hay que decir que con base en las pruebas recaudadas es posible establecer que el cliente desatendió la obligación de custodiar la información requerida para que cursaran las operaciones disputadas, además de que habiendo estado en condiciones de morigerar la extensión del perjuicio decidió ignorar los mensajes a través de los cuales el Banco le notificaba de las operaciones que se dicen fraudulentas, siendo claro a este respecto que de haberlos atendido el alcance del daño habría sido mucho menor.
Sin perjuicio de que hay lugar a concluir que la incuria de Protevis resultó determinante del daño experimentado y que de su culpa no podrá extraer ningún provecho, se verificó asimismo que las transacciones del 14 de septiembre de 2013 estaban por fuera del perfil transaccional que el Banco estaba en obligación de advertir a partir del cúmulo de datos a su alcance, por lo que Davivienda en el curso del día de las operaciones de marras debió adoptar medidas oportunas de confirmación o bloqueo, con independencia o al margen de que su cliente hubiera sido incurioso2. 8.
En razón de lo anterior, es incuestionable que ambas culpas actuaron de manera concurrente en la producción del daño, siendo ostensiblemente mayor el descuido de la sociedad actora, como quedó visto, a todo lo cual debe agregarse la actitud que asumió durante la etapa probatoria, por lo 2 En respaldo de lo anterior L. 1328/09: parágrafo 1º art. 6°; letra a. art. 5°; letra q. artículo 7°, en concordancia con la Circular Externa de la Superintendencia Financiera del año 2012, a cuya observancia se encuentra obligado el Banco Davivienda por mandato expresa de la L. 1328/09, in fine letra a. art. 3° y letra u. art. 7°.
Apelación Sentencia: 1100 1319 9001 2015 00206 01 24 que deberá asumir el 90% de la pérdida patrimonial, y el 10% restante correrá por cuenta del Banco demandado. La suma a que tiene derecho Protevis será actualizada como lo pidió en la demanda (pretensión segunda)3, pero no se accederá a la pretensión de pago de intereses pues la obligación de restituir sólo surge con ocasión de esta condena, por lo que sólo a partir del incumplimiento en el pago de la misma se producirán intereses moratorios.
Y tampoco se accederá al reconocimiento a título de daño emergente del valor de los costos de “asesoría y representación del abogado y demás erogaciones que se causen dentro del proceso” (pretensión segunda), no tanto porque no se hayan acreditado como porque todos esos conceptos quedarían comprendidos por las costas del proceso. 8.
Por todo lo expuesto, esta Sala revocará parcialmente la sentencia apelada, para declarar no probadas las excepciones propuestas por el Banco demandado, con excepción de las de “Incumplimiento de la Demandante Protevis Ltda. de sus obligaciones contractuales por negligencia de sus autorizados en sus acciones y omisiones”, y la de 3 La actualización de los 33 millones de pesos a que tiene derecho Protevis se hará teniendo en cuenta la siguiente fórmula: If Va = Vh ---------------- Ii Va = Valor actual Vh = Valor histórico IF = IPC final (fecha de la liquidación) Ii = IPC inicial (fecha de la erogación) IPC septiembre de 2013 = 114.22579 IPC septiembre de 2016 = 132,77698 Entonces, 132,77698 $ 33.000.000 x ------------------- = $ 38’359.466. 114,22579 De modo que la suma nominal reajustada a agosto de 2016 asciende a $38’359.466.
Los índices fueron consultados en la página web del Banco de la República. El IPC correspondiente a octubre de 2016 no había sido publicado. Apelación Sentencia: 1100 1319 9001 2015 00206 01 25 “Negligencia de Protevis teniendo en cuenta sus calidades específicas como comerciante profesional dedicado a la actividad de vigilancia” la cuales por todo cuanto antecede, no lograrán sin embargo tener efecto exonerativo pleno, habida cuenta que el Banco contribuyó asimismo en la realización del daño. La prosperidad de la última excepción en comento no procede sino bajo el entendido que Protevis incurrió en un incumplimiento de sus obligaciones contractuales que resultó determinante del daño experimentado, siendo de notar que su condición de profesional en el ramo de la vigilancia no exoneraba a Davivienda de su obligación de establecer un perfil transaccional, como se vio en párrafos precedentes.
La condena en costas de la primera instancia será en la misma proporción de la responsabilidad. Y ante los resultados de la apelación, no se impondrá condena en costas en esta instancia. DECISIÓN Por lo expuesto, el Tribunal Superior del Distrito Judicial de Bogotá, D.C., en Sala de Decisión Civil, administrando justicia en nombre de la República y por autoridad de la ley, REVOCA PARCIALMENTE la sentencia apelada, de fecha y origen prenotados, la cual quedará así: 1°.- El ordinal “PRIMERO” de la sentencia apelada quedará así: DECLARAR probadas con efecto exonerativo parcial y en los términos expuestos en la parte motiva de esta sentencia, las excepciones de “Incumplimiento de la Demandante Protevis Ltda. de sus obligaciones contractuales por negligencia de sus autorizados en sus acciones y omisiones” y la de “Negligencia de Protevis teniendo en cuenta sus calidades específicas como comerciante profesional dedicado a la Apelación Sentencia: 1100 1319 9001 2015 00206 01 26 actividad de vigilancia” y no probadas las demás excepciones propuestas por Davivienda. 2°.- REVOCAR el ordinal “SEGUNDO” de la sentencia apelada y en su lugar se dispone: a) DECLARAR que Davivienda incurrió en incumplimiento de las obligaciones de seguridad y custodia en relación con los dineros depositados por Protevis en su cuenta de ahorros, y de ese modo concurrió en un 10% en la producción del daño sufrido por Protevis Ltda. b) En consecuencia, por ese 10% de responsabilidad se CONDENA al Banco Davivienda a pagar a la parte demandante, dentro de los diez días siguientes a la ejecutoria de esta decisión, la suma de $38’359.466, que causará intereses comerciales moratorios vencido dicho plazo. c) Denegar las demás pretensiones de la demanda. 3°.- Se revoca el ordinal “TERCERO” de la sentencia apelada, y en su lugar se condena en costas a la entidad demandada a favor de la actora, en un 10%.
Tásense y liquídense por el a-quo. 4°.- Sin costas en esta instancia.
NOTIFÍQUESE Y DEVUÉLVASE Los Magistrados, GERMÁN VALENZUELA VALBUENA LUIS ROBERTO SUÁREZ GONZÁLEZ JUAN PABLO SUÁREZ OROZCO Rad: 1100 1319 9001 2015 00206 01