Sala Quinta de Decisión Civil- Familia Providencia: Apelación de sentencia No. - 115 - 2024 Proceso: Responsabilidad Civil Contractual Demandante: Urbamon S.A.S. Demandado: Banco de Bogotá Radicado: 76-111-31-03-001-2022-00015-01 Procedencia: Juzgado Primero Civil del Circuito de Buga Asunto: Carga de la prueba. Cuando se vulneran los protocolos de autenticación del portal transaccional y un tercero dispone ilícitamente de los recursos depositados en la cuenta corriente del demandante, la entidad financiera es responsable por el incumplimiento de la obligación de verificación, salvo que demuestre el acaecimiento de una causa extraña. MAGISTRADA PONENTE: DRA. BÁRBARA LILIANA TALERO ORTIZ Guadalajara de Buga, septiembre veintisiete (27) de dos mil veinticuatro (2024) (Proyecto discutido y aprobado en Sala de Decisión de la fecha.
Acta No. 74)
1. OBJETO DE LA DECISIÓN: Decidir el recurso de apelación formulado por la entidad demandada, contra la sentencia No. 010 del 28 de septiembre de 2023, proferida por el Juzgado Primero Civil del Circuito de Buga, dentro del proceso de la referencia, para lo cual se observarán las prescripciones de los artículos 279 y 280 del Código General del Proceso.
2. SÍNTESIS DE LA CONTROVERSIA: 2.1. Solicitó la sociedad demandante que se condenara al BANCO DE BOGOTÁ sucursal Guacarí (Valle del Cauca) a pagarle la suma de $159.509.000, a título de 2 responsabilidad “por culpa”, así como los “intereses y la corrección monetaria dejados de percibir desde el día 27 de agosto de 2021, a título de lucro cesante” 1. 2.2.
Como sustento factual de la demanda, denunció que el 27 de agosto de 2021 la entidad financiera ejecutó una transacción no autorizada por la sociedad demandante desde la cuenta corriente Nro. 352-15068-4 de la cual es titular. En dicha operación, pagó a nombre de la CORPORACIÓN PARA LA INVESTIGACIÓN Y EL FOMENTO EMPRESARIAL “CIFIN” en la DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES DIAN el valor de $159.509.000, pese a que, la sociedad titular no ha tenido ningún vínculo con la referida corporación, ni ha realizado pagos de impuestos tributarios en nombre de terceros.
Por último, denunció que el BANCO DE BOGOTÁ no confirmó la transacción antes de materializar el desembolso, tampoco analizó las transferencias realizadas con anterioridad, ni envió soporte del pago al correo electrónico del cuentahabiente. 2.3. Mediante providencia del 28 de marzo de 20222 se admitió la demanda, la cual fue debidamente enterada al extremo pasivo3, quien no realizó pronunciamiento alguno dentro del término legal4.
Realizadas las audiencias de que tratan los artículos 372 y 373 del Código General del Proceso se dictó sentencia. 3.
3.1. LA SENTENCIA IMPUGNADA: La sentencia de primera instancia declaró “civil y contractualmente responsable al BANCO DE BOGOTÁ frente a la transacción desconocida por la demandante, URBAMON SAS, y que se llevó a cabo el 27 de agosto de 2021 por valor de $159.509.000”. En consecuencia, ordenó la restitución de dicha suma a la cuenta corriente de la sociedad actora, debidamente indexada al momento del pago.
Además, condenó a la demandada al pago del interés legal sobre el valor reseñado desde el 28 de agosto del año 2021, a título de lucro cesante. Por último, condenó en costas al extremo vencido. 3.2. Para así decidir, la juez de primer grado comenzó por verificar la concurrencia de los presupuestos procesales, cumplido lo cual ingresó al fondo del asunto, señalando que de acuerdo con la jurisprudencia de la Corte Suprema de Justicia, la obligación de la entidad financiera es especialísima y exigente, dado el interés público que reviste sus operaciones, el lucro que obtiene de estas y la 1 006Demanda.pdf 2 015AutoAdmiteDemanda.pdf 3 020MemorialConstanciaNotDdo.pdf 4 022ConstanciaPasaDespacho.pdf 3 experticia que requiere el manejo del servicio que ofrece, enmarcando su ejercicio en una especie particular de responsabilidad profesional.
En el caso concreto, concluyó que el BANCO DE BOGOTÁ incumplió su obligación de otorgar seguridad a las transacciones, pues no logró siquiera determinar la dirección IP desde la cual se efectuó la operación desconocida por el demandante, ni generó alerta por la supuesta utilización de una IP distinta de la que normalmente usaba su cliente.
Finalmente, enfatizó que, al no haber contestado la demanda, tampoco demostró culpa alguna en cabeza de la representante legal de la parte actora. 4.
4.1. DE LA IMPUGNACIÓN: Conforme con lo previsto en los artículos 320 y 328 del Código General del Proceso, la sentencia apelada será examinada "…únicamente en relación con los reparos concretos formulados por el apelante…"5, de ahí que el Tribunal se pronunciará "…solamente sobre los argumentos expuestos por el apelante …". 4.2. El apoderado judicial de la entidad demandada apeló la sentencia, reparando que la a quo realizó una indebida valoración probatoria, pues a su juicio no se acreditó de manera fehaciente que “los sistemas del banco fallaron”, ni que la parte actora cumplió “con el deber de custodia de los elementos transaccionales que el Banco les entregó”.
Resaltó que la juez no valoró la conducta del demandante, tampoco analizó las obligaciones contractuales que se encontraban a cargo de aquella, ni indagó sobre las medidas de seguridad en el equipo desde el cual ingresaba al portal empresarial para el manejo de su cuenta. Agregó que se apreciaron indebidamente las medidas de seguridad que le correspondía cumplir a la entidad financiera y las normas sobre responsabilidad contractual, al punto que dio por sentado que el “token no es un mecanismo fuerte de autenticación sin sustento alguno”.
Finalmente, adujo que la sentencia no satisfacía el principio de congruencia. Por lo anterior, solicitó que se revocara la condena impuesta. Subsidiariamente, pidió que se disminuyera la indemnización, considerando escenarios como una eventual concurrencia de culpas o culpa compartida con la demandante.
5. TRASLADO NO RECURRENTE: El apoderado de la parte actora reiteró los hechos que fundamentaron sus pretensiones y enfatizó en la necesidad de aplicar las consecuencias procesales ante la falta de contestación de la demanda. 5 “…sin perjuicio de las decisiones que deba adoptar de oficio, en los casos previstos por la ley…”. 4 6. 6.1. CONSIDERACIONES: Se encuentran presentes los presupuestos procesales, y no se observa causal de nulidad que pueda invalidar la actuación surtida, ni impedimento alguno para proferir la decisión de fondo que en derecho corresponda. 6.2.
En atención a los reparos planteados contra la sentencia de primer grado, el problema jurídico que ocupa la atención de la sala se centra en determinar ¿Si la disposición ilícita por parte de un tercero de los recursos depositados en la cuenta corriente del demandante, tras vulnerar los protocolos de autenticación del portal transaccional, compromete la responsabilidad civil de la entidad financiera? 6.2.1.
Para resolver el anterior cuestionamiento, conviene precisar que la acción aquí instaurada es la de responsabilidad civil contractual, derivada del convenio de cuenta corriente celebrado entre la sociedad demandante y el BANCO DE BOGOTÁ desde el 18 de octubre de 20076, tipificado en el artículo 1382 del Código de Comercio, cuya vigencia quedó suficientemente acreditada en el proceso y no fue objeto de reproche en sede de apelación. 6.2.2.
Como presupuestos axiológicos de esta acción, además de la existencia de un contrato válido, debe demostrarse: i) la ocurrencia de un hecho ilícito, consistente en el incumplimiento de alguna de las obligaciones pactadas por las partes o impuestas por la ley para determinado negocio jurídico; ii) El daño, entendido como la afectación del patrimonio de la víctima, bien patrimonial y/o extrapatrimonial; y iii) El nexo causal entre la insatisfacción de los deberes convencionales y el daño imputado.7 6.2.3.
Vale la pena anotar que, en la esfera del hecho ilícito, la culpa del agente cobra especial relevancia para determinar el régimen de imputación de responsabilidad. Así, como principio orientador, la culpa, falta, cualificación o ingrediente psicológico8 de la conducta es un elemento esencial en múltiples instituciones de la responsabilidad civil.
Empero, excepcionalmente, bajo el amparo de la teoría del riesgo o de la responsabilidad objetiva, aquella deja de ser un punto definitorio, pues como regla general – pasando por alto el álgido debate doctrinal y jurisprudencial sobre la presunción de la culpa - basta verificar la acción o la omisión del agente9 sin el componente subjetivo y el cumplimiento de los demás elementos 6 005AnexosDemanda.pdf 7 Corte Suprema de Justicia SC 5585 de 2019.
Citada en la sentencia SC 5142 de 2020. M.P. Octavio Augusto Tejeiro Duque. 8 Tamayo Jaramillo, Tratado de Responsabilidad Civil, Tomo I, Legis, Pagina 188 y siguientes. 9 Ibidem. 5 axiológicos, para comprometer su responsabilidad, de modo que aquél sólo podrá exonerarse demostrando una causa extraña. 6.2.4. Precisamente, la causa extraña como motivo de exoneración, tiene la virtud de fracturar el nexo causal y se tipifica en los eventos de: caso fortuito, fuerza mayor, el hecho de un tercero o de la víctima, siempre que hayan “determinado el resultado lesivo”10 y tengan “la connotación de imprevisibles e irresistibles”11 (Negrilla fuera del texto). 6.2.5.
Decantados los anteriores conceptos y pasando al ámbito de la responsabilidad civil contractual por operaciones financieras fraudulentas, debe resaltarse que la Sala de Casación Civil de la Corte Suprema de Justicia clarificó su doctrina en sentencia SC 5176 de 2020, tras advertir que previamente había sostenido tesis disímiles que conllevaban a conclusiones contrarias respecto de la evaluación o incidencia del elemento subjetivo de la culpa, como las que se fundan en la existencia de responsabilidad especial profesional del banco12, la presunción de culpa13 o la posible aplicación de la teoría del riesgo creado y que precisamente fueron tomadas por la juez de primer grado para estructurar su decisión.14 De manera extensa, la alta Corporación explicó: Del anterior compendio se sigue que el marco teórico empleado para explicar la responsabilidad del banco por el pago de cheques falsos o adulterados, no puede asimilarse con la regulación de la responsabilidad extranegocial derivada del ejercicio de actividades peligrosas, no solo porque el fundamento normativo de ambas es distinto, sino también porque un sector de la jurisprudencia considera que el artículo 2356 del Código Civil consagra un régimen de responsabilidad subjetivo o “por culpa”, lo que impide su filiación con la responsabilidad “por riesgo”, que busca precisamente obviar ese juicio de reproche.
(…) Por idéntico sendero, tampoco es apropiado sostener que siempre que se juzgue la responsabilidad de las entidades financieras debe prescindirse del juicio de reproche de su conducta, puesto que las actividades que estas desarrollan no admiten una cualificación común, ni existe un marco legal o jurisprudencial que permita sustraerlas por completo del régimen de responsabilidad por culpa, que constituye principio general de nuestro ordenamiento.
No obstante, en tratándose de la inobservancia de sus obligaciones como depositario (o como administrador sucedáneo de esos depósitos, que es lo que sucede en este caso), se justifica plenamente la aplicación de un régimen de responsabilidad objetivo en contra del ente bancario, aun cuando la infracción negocial no se materialice a través del pago de un cheque falsificado o adulterado.
En efecto, el precedente tiene decantado que la solidez de las operaciones de captación masiva de recursos del público entraña enorme trascendencia social, 10 Sentencia SC 1230 de 2018. M.P. Luis Alonso Rico Puerta 11 Ibidem. 12 Corte Suprema de Justicia SC-201- 2006 13 Corte Suprema de Justicia SC1697-2019 14 Corte Suprema de Justicia SC18614-2016 6 pues la confianza del depositante pende de la inquebrantable promesa de disponer de sus recursos cuando lo estime pertinente, o cuando acaezca el plazo prefijado, si se trata de depósitos a término fijo.
Quien entrega al banco una suma de dinero a título de depósito, pues, entiende que esta queda a buen recaudo. Precisamente para apuntalar la confianza de los cuentahabientes, el ordenamiento reclama que el ejercicio de la actividad bancaria atienda rigurosos parámetros de capital, apalancamiento, liquidez, gobierno corporativo, riesgo de crédito y composición patrimonial, por citar algunas variables, y que además cumpla altos estándares de seguridad en sus canales presenciales (oficinas, corresponsales) y no presenciales (banca móvil, cajeros automáticos, portales virtuales).
Estas imposiciones legales y reglamentarias, proporcionales a los enormes riesgos morales, operativos, de crédito, de seguridad, entre otros, que son connaturales al giro de los negocios bancarios, muestran que las entidades financieras asumen con la sociedad un compromiso de evitación de esas amenazas, de modo que serán aquellas quienes deban responder si estas se materializan, sin ninguna consideración adicional.
Y es que, en casos como este, la atribución de responsabilidad no puede depender de un juicio subjetivo de reproche. Si aun a pesar de la extrema probidad, diligencia y profesionalismo que es de esperar de un banco, los dineros depositados por sus clientes sufren mengua, no deben ser estos quienes soporten la pérdida, pues más allá de su esfera individual de influencia, carecen de las herramientas para enfrentar esa eventualidad.
El cuentahabiente no custodia el dinero depositado, ni participa de las decisiones operativas del banco. Además, no tiene acceso a la información necesaria para afrontar peligros como los anotados, ni le resulta económicamente razonable hacerlo, pues los costos de esa faena serán, casi invariablemente, superiores a la pérdida que pretende prevenir; en cambio, para el banco la situación es exactamente la opuesta, lo que justifica que sea él quien asuma el riesgo de su operación, de manera objetiva.
Ahora bien, si se analizan las cosas desde la óptica de la naturaleza de las prestaciones del banco, se arribaría a la misma conclusión. Nótese que, al celebrar el contrato de depósito en cuenta corriente o de ahorros –o de administración de estos–, el banco se obliga a permitir a sus clientes la disposición de los saldos depositados en esas cuentas, mediante el giro de cheques (en el caso de la cuenta corriente), retiros con tarjeta débito, transferencias electrónicas, entre otras posibilidades.
Todos esos canales transaccionales hacen necesario definir un protocolo de autenticación, que le permita al banco establecer, con certeza, el origen de cada orden impartida. Aunque esa carga no se encuentre consagrada en el derecho positivo, ni se incluya expresamente en los reglamentos respectivos, es connatural al negocio jurídico, al menos como se concibe hoy en día. Actualmente, sería inimaginable una relación banco-cuentahabiente en la que no fuera mandatorio «verificar la identidad [del] cliente, entidad o usuario», mediante «algo que se sabe [como las claves personales], algo que se tiene [como los tokens], algo que se es [la biometría]» (Circular Básica Jurídica, Parte I, Título II, Capítulo I, numeral 2.2.5.).
Cuando un tercero burla esos protocolos de autenticación, y –haciéndose pasar por el cuentahabiente– dispone por cualquier medio de los recursos depositados en cuentas de ahorros o corrientes, la obligación de verificación se incumple, pues la carga de que se viene hablando no puede entenderse satisfecha simplemente con los buenos oficios del banco, sino con la efectiva confirmación de la identidad de su cliente. 7 Acorde con la clasificación atribuida a Demogue 15, la prestación accesoria de la entidad financiera constituye un deber “de resultado”, no solo por la distribución del riesgo de la operación –tema sobre el que ya se detuvo la Corte, sino también por las características especiales de la relación entre el consumidor financiero y la entidad donde tiene depositado sus recursos, que lleva ínsita la garantía de salvaguarda de los dineros captados del público.
En línea con lo explicado previamente, y con la naturaleza de ese tipo de prestaciones, la comentada inobservancia comprometerá la responsabilidad civil del banco, salvo que demuestre el acaecimiento de una causa extraña, que impida que el daño puede imputársele jurídicamente; es decir, la institución financiera no puede exonerarse del deber de indemnizar con la simple prueba de haber obrado de manera diligente.
(Negrilla y subrayado fuera del texto) En síntesis, atendiendo la rectificación doctrinaria efectuada por la Corte, las entidades bancarias en el marco del contrato de depósito en cuenta corriente o de ahorros, deben cumplir la obligación de verificación, consistente en establecer con certeza el origen de cada una de las órdenes impartidas en sus canales transaccionales.
Dicha obligación es de resultado y su incumplimiento se rige por el sistema de responsabilidad objetivo, de modo que el banco demandado, sólo demostrando la configuración de una causa extraña puede resultar exonerado. Como consecuencia lógica, los argumentos relacionados con la cualificación de la conducta, esto es, si fue diligente o descuidada, carecen de relevancia, ante la exclusión de la culpa como elemento esencial en este régimen. 6.2.6.
En el caso concreto, no existe discusión en torno a que URBAMON S.A.S., contrató con el BANCO DE BOGOTÁ el servicio de cuenta corriente No. 352150684 desde el 18 de octubre de 200716. Tampoco hace parte de los reparos planteados contra la sentencia de primera instancia que se haya declarado probado que el 27 de agosto de 2021 se realizó un pago desde la cuenta corriente reseñada, dirigida a la DIAN por valor de $159.509.000, como consta en el extracto aportado con la demanda17.
Igualmente, se encuentra fuera del debate que dicho pago se hizo en favor de un tercero, concretamente de la COPORACIÓN PARA LA INVESTIGACIÓN Y EL FOMENTO EMPRESARIAL CEFIN, NIT 824004351-8, según la respuesta que otorgó la DIAN18. Incluso, como consecuencia de la negación indefinida plasmada en el libelo, a la luz del artículo 167 del Código General del Proceso, también quedó acreditado y no fue objeto de reproche en la alzada, que dicha Corporación no tenía ningún vínculo comercial, ni contractual con la sociedad actora.
En cuanto a la forma como se materializó la transacción, el BANCO DE BOGOTÁ confirmó que fue realizada “a través del portal empresarial con cargo a los recursos depositados en 15 Cfr. DEMOGUE, René. Traité des Obligations en Général (Tome V). Ed. Librairie Arthur Rousseau et Cie., Paris. 1923, pp. 538-545. 16 Folio 12, Archivo 005AnexosDemanda.pdf 17 Folio 11, Archivo 005AnexosDemanda.pdf 18 Folio 21, Archivo 005AnexosDemanda.pdf 8 la cuenta corriente No. 352150684”19, tras haberse registrado la información de seguridad correcta.
(Negrilla fuera del texto) Conviene anotar además que el BANCO DE BOGOTÁ no contestó la demanda, ni desconoció que fue un tercero quien ejecutó la transacción sin autorización expresa de la titular de la cuenta, por el contrario, lo corroboró. Nótese que en las intervenciones que realizó dentro del proceso, luego de negarse la nulidad invocada, se limitó a señalar que la operación había cumplido todos los controles de autenticación. Incluso, en la respuesta que obra en el archivo 60 del expediente digital, la entidad financiera anotó que de la revisión del log transaccional evidenciaba la presencia de un software malicioso en el equipo de cómputo utilizado por el usuario primario del portal el 07 de mayo de 2021.
Así consta en la respuesta: En el mismo sentido, en el oficio allegado por el BANCO DE BOGOTÁ al juzgado de primera instancia que obra en el archivo 76 del expediente digital, señaló: (…) cuando se utilizan concomitantemente estos elementos que constituyen la llave de seguridad y su firma electrónica, bajo control exclusivo del cliente, para el Banco es claro que quien está accediendo es su cliente, en este caso, URBAMON S.A.S. Más, el Portal cuenta con todas las medidas de seguridad necesarias para su acceso seguro, seguridad que también al cliente corresponde garantizar en cuanto a los elementos que están bajo su control y los equipos desde los cuales transa a fin de evitar que su información transaccional resulte en poder de terceros que hagan uso indebido de la misma (…) (Negrilla fuera del texto) Bajo este contexto, para la Sala es claro que la entidad financiera en ningún momento desconoció que no fue la representante legal de la sociedad demandante quien realizó la millonaria transacción, sino un tercero que burló 19 060RespuestaBancoBogota.pdf 9 los controles de autenticación, al punto que atribuyó tal situación al descuido o negligencia de la titular de la cuenta, en sus respuestas a las pruebas de oficio decretadas, alegatos de conclusión y de manera específica en la sustentación del recurso de alzada. 6.2.7.
Decantado lo que se encuentra fuera del debate y pasando al objeto de la apelación, rápidamente advierte la Sala que los reparos planteados por el BANCO DE BOGOTÁ contra la sentencia de primer grado, relacionados con la ausencia de los elementos que estructuran la responsabilidad civil contractual, no tienen vocación de prosperidad, en esencia porque desconocen el principio de carga de la prueba y el sistema de imputación de responsabilidad objetiva.
Veamos en detalle los reparos planteados, los cuales serán agrupados de manera que puedan resolverse en forma ordenada: 6.2.8. Como primer punto, el banco demandado cuestionó la valoración probatoria efectuada por la a quo. En concreto, denunció que la sociedad demandante “se limitó a negar que había realizado la transacción y a aportar los reclamos que hizo, sin aportar prueba fehaciente alguna que haya acreditado que los sistemas del banco fallaron o a probar de alguna otra manera la responsabilidad que se le endilga al Banco, o que ellos cumplieron con el deber de custodia de los elementos transaccionales que el Banco les entregó para transar”20.
(Negrilla fuera del texto) Para definir esta objeción, conviene recordar que el principio de carga de la prueba tiene como objetivo distribuir las responsabilidades probatorias entre los sujetos procesales y permitir la efectividad de la función jurisdiccional, al abordarse desde dos perspectivas: formal (carga de la prueba) y material (regla de juicio).
La primera de las acepciones puede ubicarse como una especie del género carga procesal y entenderse como una opción de conducta para las partes, respecto de la necesidad de acreditar los hechos que se alegan en el proceso, so pena de asumir las consecuencias desfavorables de su omisión21. El principio de carga de la prueba en sentido formal, también denominado principio de autorresponsabilidad, se encuentra estipulado en el artículo 167 del Código General del Proceso, según el cual “incumbe a las partes probar el supuesto de hecho de las normas que consagran el efecto jurídico que ellas persiguen”.
A su turno, la regla de juicio, o carga de la prueba en sentido material, puede definirse, según su sentido tradicional, como la valoración 20 Archivo 06, Cuaderno Segunda Instancia. 21 Giacomette Ferrer, Ana, Teoría General de la Prueba, 2018, Bogotá, Editorial Ibáñez. 10 que realiza el juez sobre el cumplimiento del principio de autorresponsabilidad, para determinar a qué parte le asigna una consecuencia jurídica desfavorable.
En el asunto concreto, para estructurar el hecho ilícito como elemento axiológico, debía demostrarse que la verificación del origen de la orden impartida en el sistema transaccional se incumplió, lo cual en efecto quedó decantado dentro del proceso, al punto que no existe discusión que fue un tercero quien ingresó al portal empresarial y dispuso de los recursos custodiados por el banco.
Tal situación, generó a la luz de la jurisprudencia expuesta, un incumplimiento objetivo de la obligación de verificación por parte del BANCO DE BOGOTÁ, cuyo carácter es de resultado. Lo anterior, implica, en materia del principio de carga de la prueba, que le correspondía a la entidad financiera acreditar la existencia de una causa extraña, que le permitiese exonerarse de responsabilidad, so pena que se aplicara como regla de juicio las consecuencias desfavorables de su desatención. Lo anterior, por cuanto la atribución jurídica no depende en este caso de ningún juicio subjetivo, como infructuosamente lo plantea el demandado cuando reclama que no se acreditó ninguna falla técnica o desatención por parte de la entidad bancaria.
Bajo esta línea, es evidente el desatino del argumento expuesto en la apelación consistente en que la demandante no demostró que cumplió con el deber de custodia de los elementos transaccionales que el banco le entregó, pues dicha carga, a la luz de la jurisprudencia expuesta y dado el régimen de responsabilidad objetiva que gobierna el presente asunto, era exclusiva del banco demandado, en atención del principio de autorresponsabilidad.
Luego, no existe falencia en la evaluación de las cargas probatorias efectuada por la juez de primer grado. 6.2.9. Al hilo de lo anterior, como segundo reparo expuso el recurrente que la a quo no tuvo en cuenta el incumplimiento de la obligación del cliente relativa a “mantener en reserva sus claves de acceso al Portal Transaccional”, pese a que quedó demostrada dicha falta.
Adicionó que el “informe de seguridad concluyó que el éxito de la autenticación y la presencia de un software malicioso en el equipo del cliente por el comportamiento de la transacción”, lo que constituye un “indicio claro, de la pérdida de los elementos transaccionales por parte del cliente y que estaban y debían estar en poder exclusivo de éste”, situación que a su juicio rompe el nexo de causalidad.
También cuestionó que la juez de primer grado no hubiese indagado sobre las condiciones de seguridad del equipo usado por la 11 sociedad demandante, ni se detuviera a comprobar el acatamiento de las obligaciones que eran de su resorte. Para la Sala, lo expuesto por el BANCO DE BOGOTÁ NO se enmarca en lo que la jurisprudencia y doctrina ha definido como causa extraña, única que tendría la virtud de romper el nexo causal, por cuanto carece de sus características esenciales.
En efecto, la entidad financiera no expuso ninguna situación concreta, irresistible e imprevisible, que haya sido determinante, total o parcialmente, para la producción del daño, situación que por sí sola frustra el buen suceso de la objeción. Ciertamente, sus argumentos fueron generales y se refirieron, en abstracto, al incumplimiento de las cargas contractuales por parte de la sociedad demandante.
Incluso, sólo hasta la sustentación del escrito de apelación se planteó como hipótesis específica que el equipo desde el cual se realizaban comúnmente las transacciones tenía un software malicioso, lo que derivó en la pérdida de las claves por parte de la víctima. No obstante, el BANCO DE BOGOTÁ no enunció y mucho menos probó, que la acción de dicho software malicioso hubiese tenido lugar por una actuación u omisión específica y concluyente de la víctima, lo que impide que pueda imputársele a la sociedad actora la causa eficiente del daño. Tampoco le asiste razón al recurrente cuando adujo que la a quo falló al no indagar sobre las condiciones de seguridad del equipo utilizado por la demandante, pues si bien es cierto el artículo 170 del Código General del Proceso consagra que el juez debe decretar pruebas de oficio “cuando sean necesarias para esclarecer los hechos objeto de la controversia”, también lo es que ninguna excepción sobre el particular propuso el BANCO DE BOGOTÁ que conllevara a la necesidad de investigar sobre ese asunto concreto, ante la falta de contestación de la demanda.
Incluso, verificado el expediente, se vislumbra que la juez si adelantó una labor oficiosa importante para esclarecer los pormenores de la transacción desconocida por la sociedad actora, sin que ello implique que tuviese que reemplazar y asumir la carga probatoria que incumbía a las partes. Por otro lado, si se analizara la situación expuesta por el recurrente bajo el ropaje del hecho de un tercero, como causal de exclusión de responsabilidad, tampoco tendría posibilidad de prosperar, pues la presencia y actuación de un software malicioso, no puede calificarse como irresistible, imprevisible, ni ajeno, para un experto que desarrolla de manera profesional operaciones financieras 12 virtuales, como es la entidad bancaria demandada, cuya operación habitual involucra este tipo de riesgos.
Como si esto fuera poco, el BANCO DE BOGOTÁ informó que para el mes de mayo de 202122 en el log transaccional se evidenció un comportamiento inusual que infería la presencia de un sofware malicioso, es decir, tres meses antes de que se efectuara – el 27 de agosto de 2021 - la transacción controvertida en este proceso, el banco ya tenía conocimiento de las actuaciones sospechosas en el portal empresarial.
Tal situación, sin duda, desvirtúa que la entidad demandada no hubiese podido prever la sustracción de los datos de autenticación en el canal transaccional, ni mucho menos evitar sus efectos. 6.2.10. En tercer lugar, el recurrente sostuvo que la a quo no había valorado el comportamiento de la representante legal de la sociedad demandante, ni los demás elementos de prueba obrantes en el proceso.
En este punto, le asiste parcialmente razón a la parte demandada, toda vez que la a quo señaló que no tuvo noticia sobre los argumentos que esgrimió el BANCO DE BOGOTÁ frente a las reclamaciones efectuadas por el cliente, pese a que dos de sus respuestas obran en el archivo 60 del expediente digital, eso sí, sin la constancia de envío a la peticionaria.
Con todo, los elementos demostrativos que se extraen de dichas respuestas tampoco tienen la virtud de derribar la declaratoria de responsabilidad impuesta en la sentencia de primer grado, pues no superan la esfera especulativa. En efecto, en la contestación otorgada por el BANCO DE BOGOTÁ a la queja presentada ante la Superintendencia Financiera, señaló: “a pesar de todo este listado de medidas de seguridad puestas a disposición del cliente, algunas no fueron utilizadas por éste, comportamiento que tiene que ser calificado como culposo, por no emplear la mediana diligencia” (Negrilla de la Sala), quedando en absoluta incertidumbre cuál fue la carga incumplida.
Más adelante, en el mismo documento resaltó: (…) quien las ejecutó conocía plenamente el nombre de usuario, la clave personal requerida para ingresar al Portal y la digitación de la clave dinámica generada por el dispositivo tóken, entregado por el Banco al cliente y ordenar transacciones, y todos los datos sobre el estado de cada una de las cuentas involucradas, información que en ningún momento fue conocida por el Banco y por tanto no pudo haberse revelado por un hecho de éste, sino por un hecho del cliente mismo o sus dependientes, como consecuencia de un descuido en su obligación de custodia o vulnerabilidad de sus procedimientos, 22 060RespuestaBancoBogota.pdf 13 controles, infidelidad o acceso a lugares o sitios por fuera de su control alertados por el Banco como inconvenientes o inseguros.
(…) como se manifiesta que ustedes no realizaron las transacciones, es posible que terceros inescrupulosos se hayan apoderado de su información personal (clave y digitación de la clave dinámica generada por el dispositivo token) para poder efectuar las transacciones, hecho al cual es ajeno el banco y sus servidores. (Negrilla fuera del texto) Bajo este contexto, es claro que el BANCO DE BOGOTÁ no enunció siquiera una desatención concreta de las medidas de seguridad por parte de la sociedad demandante, ni explicitó cómo aquella fue determinante en la producción del daño, pese a que de ello dependía su defensa.
Lo anterior, sin duda implicaba la aplicación de la regla de juicio, en contra de quien tenía el deber de acreditar la causal eximente de responsabilidad y no la cumplió, como lo hizo la juez de conocimiento. En un caso de similares contornos, el Tribunal Superior de Medellín23 consideró: Igualmente, como el litigio se enmarcó en el régimen de responsabilidad objetivo, la demandada no se puede desprender de su deber probatorio en acreditar la incidencia relevante del actuar de la víctima como causa del hecho, bien determinante o concurrente.
Es así como, aun considerando que la demandante haya reconocido alguna participación en el hecho dañoso- como podría ser el no tener un antivirus de la potencia necesaria para repeler los ataques de software maliciosos- era carga de la pasiva demostrar cómo esta aceptación influyó en el daño. En otros términos, la carga del resistente comprendía (i) demostrar una incidencia causal de la víctima; y, (ii) determinar el grado de esta incidencia en la producción del daño; en ninguno de estos dos supuestos logró el banco cumplir con los imperativos de su propio interés. Se insiste en un punto que no puede desviarnos de lo que resulta crucial establecer frente a este tipo de procesos: Quien debió garantizar los máximos niveles de seguridad en relación con el patrimonio de la demandante era el banco, que a través de su canal virtual debió ofrecer todos los mecanismos de seguridad impidiendo que softwares maliciosos generaran las transacciones “fraudulentas”.
Vale recalcar que, como se expresó en el marco jurídico, el hecho de la víctima como causa extraña no se refiere a la mera participación física del demandante en el hecho dañoso, sino que se trata de demostrar que la intervención de esta fue una causa adecuada jurídicamente para la producción del perjuicio. (Negrilla fuera del texto) De otro lado, la Sala tampoco comparte el alcance que le otorga la entidad financiera demandada al “log o bitácora transaccional, informe de seguridad, reglamentos y convenios suscritos por el cliente”, los cuales, a su juicio “dan cuenta de la culpa del cliente en la pérdida de su información transaccional”, pues dichos elementos sólo aportan datos relacionados con las transacciones de la sociedad, una aparente actividad inusual en el portal, el registro correcto de la información de autenticación y la obligaciones contractuales de ambas partes, sin que de ello 23 Sentencia del 24 de marzo de 2023.
M.P. Martín Agudelo Ramírez. Rad. 05001 22 03 018 2021 00319 01. 14 se deduzca una actuación u omisión cierta y determinante de la víctima que incidiera en la causa eficiente del daño, como se expuso con anterioridad. Es que, se reitera, el banco no explicitó si la causa de la sustracción del dinero por medio del portal transaccional fue la ausencia de un antivirus licenciado, la falta de actualización del mismo, la utilización de un equipo público, la pérdida del token, la utilización del portal por parte de personas no autorizadas de la empresa u otra circunstancia, pues sus argumentos fueron absolutamente generales, de modo que no atribuyó, ni probó el acaecimiento de una situación que se tipificara como causa extraña y permitiera exonerarlo de responsabilidad o disminuir la condena impuesta, máxime cuando no propuso ninguna excepción al respecto.
Igualmente, verificado el registro de la audiencia en la que se dictó sentencia, se advierte que la juez si valoró la declaración que rindió la representante legal de la sociedad demandante, donde explicitó que era la única que tenía acceso a las cuentas bancarias y que sólo se enteró de la transacción cuando verificó en el mes de septiembre de 2021 el extracto bancario, adelantando en seguida las averiguaciones y reclamaciones ante el banco demandado.
Luego, razonó que la información suministrada por el BANCO DE BOGOTÁ en las respuestas a las pruebas de oficio decretadas no fue precisa en determinar los datos de la operación controvertida, lo que dejaba al descubierto el incumplimiento del deber contractual de seguridad. Luego, recapituló las respuestas otorgadas en el interrogatorio de parte por el representante de la entidad financiera, quién confirmó que para el banco la transacción no generó ninguna alerta.
Por tanto, diáfano se concluye que no prospera el reclamo del recurrente, relativo a que en primera instancia no se valoraron dichos medios de prueba. 6.2.11. Pasando a la siguiente réplica, adujo el apoderado del BANCO DE BOGOTÁ que había quedado demostrado que “SI le entregó como elemento de seguridad a la representante de URBAMON el TOKEN, siendo este un mecanismo fuerte de autenticación”, extendiéndose en sus características y protección que brinda para los usuarios.
De acuerdo con lo reseñado, tal razonamiento carece de enfoque y relevancia, pues la actuación diligente que pretende aducir el apoderado de la entidad financiera con el mecanismo de seguridad que le entregó al cliente para ejecutar sus transacciones, no permite exonerarlo de responsabilidad, dado el régimen objetivo que gobierna el asunto y la ausencia de defensa en torno a la causa extraña que podría romper el nexo causal.
Precisamente, sobre la implementación de medios de 15 seguridad y autenticación por parte de las entidades financieras para blindar las transacciones realizadas a través de los diferentes canales, la Corte Suprema de Justicia en la sentencia citada con anterioridad24 reflexionó lo siguiente: Si se miran bien las cosas, el cheque incluye mecanismos de autenticación, como las características del papel en el que está preimpreso, el número de serie y, por supuesto, la firma del librador.
En consecuencia y dejando a salvo las hipótesis excepcionales que engloban los artículos 73325 y 139126 del Código de Comercio, cuando se cobra un cheque falsificado o adulterado ha de admitirse que esas herramientas no cumplieron su propósito, lo cual constituye una infracción contractual del banco, que permite imputarle el menoscabo patrimonial sufrido por el cuentacorrentista.
Esa misma estructura puede replicarse en los demás supuestos de fraude bancario, pues realmente solo difieren en el canal transaccional utilizado para perpetrar la apropiación ilícita (y de los mecanismos de autenticación vulnerados). Por ende, también se justifica aplicar analógicamente el régimen de responsabilidad consagrado, de manera general, en el citado canon 1391, que es de naturaleza objetiva, y que, como ya se anotó, únicamente se desvirtúa acreditando que la pérdida no puede atribuirse jurídicamente al incumplimiento de la institución financiera.
(Negrilla fuera del texto) En otras palabras, resulta inane cualquier discusión sobre la seguridad que brindaba el token, así como la capacitación sobre el riesgo de estas operaciones que otorga el banco, si efectivamente un tercero dispuso de manera fraudulenta de los recursos del causahabiente a través del portal transaccional, sin que se demostrara la existencia de una causa extraña que impidiera atribuirle jurídicamente tal pérdida a la entidad financiera. 6.2.12.
Para recapitular, no existe discusión en torno a los hechos que rodearon la transacción debatida, esto es, que se dispuso de dineros depositados en la cuenta corriente de la demandante, que la efectuó un tercero a través del portal transaccional empresarial sin que mediara autorización de la titular y que ello le generó una afectación patrimonial a la sociedad demandante.
Lo anterior, a la luz de la jurisprudencia expuesta, permite concluir que se demostraron los elementos axiológicos de la responsabilidad contractual endilgada. Adicionalmente, aunque la juez de primera instancia fundó su decisión en la falta de diligencia de la entidad financiera en el cumplimiento de su obligación de seguridad, pasando por alto la responsabilidad objetiva que rige la materia y la jurisprudencia vigente, lo cierto es que no encontró acreditado ninguna causal de exoneración del banco demandado, tesis que comparte esta Sala de Decisión, ante el incumplimiento 24 SC 5176 de 2020 25 « El dueño de una chequera que hubiere perdido uno o más formularios y no hubiere dado aviso oportunamente al banco, sólo podrá objetar el pago si la alteración o la falsificación fueren notorias». 26 «Todo banco es responsable con el cuentacorrentista por el pago que haga de un cheque falso o cuya cantidad se haya alterado, salvo que el cuentacorrentista haya dado lugar a ello por su culpa o la de sus dependientes, factores o representantes.
La responsabilidad del banco cesará si el cuentacorrentista no le hubiere notificado sobre la falsedad o adulteración del cheque, dentro de los seis meses siguientes a la fecha en que se le envió la información sobre tal pago». 16 del principio de autorresponsabilidad probatoria ya expuesto, lo cual conllevaba a la viabilidad de las pretensiones invocadas. 6.2.13.
Como último punto, la entidad financiera aseguró que la juez de primera instancia reconoció un valor por “lucro cesante” que no fue pedido por la sociedad demandada, vulnerando con ello el principio de congruencia. Agregó que las sumas reconocidas “no pueden ser concurrentes” y que el banco “no es deudor de la parte accionante”. Pues bien, verificada la demanda y el fallo de primer grado, se constata que la sociedad actora solicitó “los intereses y la corrección monetaria dejados de percibir desde el día 27 de agosto de 2021, a título de lucro cesante” (Negrilla fuera del texto).
A su turno, la sentencia ordenó la restitución a la cuenta corriente de la demandante de $159.509.000 “debidamente indexada al momento del pago” y a título de “lucro cesante (…) el interés legal sobre la anterior suma desde el 28 de agosto del año 2021” (Negrilla y subrayado fuera del texto). En este sentido, es claro que la sentencia reconoció el valor por lucro cesante que fue efectivamente solicitado en la demanda, desvirtuándose así el vicio de incongruencia aludido en el recurso.
De otro lado, expuso el recurrente que la indexación y los intereses legales ordenados no podían ser concurrentes, empero, pasó por alto que los intereses ordenados NO son comerciales, los cuales si tienen un factor de corrección monetaria que los hace incompatibles con la indexación. Sobre el particular, ha recordado la Corte Suprema de Justicia27: (…) la compatibilidad de la indexación y de los réditos depende de la clase de estos últimos, pues si son los civiles nada impide la coexistencia de esos dos conceptos; en cambio, si se trata de los comerciales, en tanto ellos comprenden ese concepto (indexación indirecta) «imponer la corrección monetaria, per se, equivaldría a decretar una doble -e inconsulta- condena por un mismo ítem, lo que implicaría un grave quebranto de la ley misma, ya que ésta ha establecido, en forma imperativa, que la manera de hacer el ajuste monetario de las obligaciones dinerarias de abolengo mercantil, es por la vía de los intereses, por la potísima razón de que está entronizado en uno de los factores constitutivos o determinantes de la tasa reditual de mercado.
(Negrilla fuera del texto) Finalmente, señaló de manera superficial que la entidad financiera no era deudora de la sociedad demandante, al parecer para debatir la condena por los intereses. Al respecto, basta anotar que dicha suma no corresponde a intereses moratorios, como parece entenderlo en banco demandado, sino a la suma por concepto de lucro 27 Sentencia SC 507 del 12 de enero de 2024.
M.P. Octavio Augusto Tejeiro Duque. 17 cesante, cuya existencia no se controvirtió en los reparos planteados contra el fallo de primer grado. 6.3. Con todo, en lo que atañe a la liquidación de los perjuicios, llama la atención de la Sala que la juez de primera instancia no haya determinado la condena en concreto, pasando por alto lo dispuesto en el artículo 283 del Código General del Proceso.
Por tanto, corresponde a la Sala precisar las sumas y actualizarlas. En cuanto a la indexación de la condena por daño emergente, esto es, la devolución del dinero que fue sustraído de la cuenta corriente de la sociedad demandante, se realizará bajo la siguiente fórmula: VA = Vh (Condena del a – quo) x IPC Final (de la fecha de la sentencia de segunda instancia – septiembre 2024) / IPC Inicial (de la fecha en la cual se realizó la transacción – agosto 2021) Al reemplazar la ecuación, se tiene: VA = $159.509.000 x IPC Final 143,6728 ÷ IPC Inicial 109,62 = $209.055.446 En cuanto al valor del lucro cesante, se concretará liquidando la suma anterior ya indexada, a la tasa del 6% desde el 28 de agosto de 2021, hasta la fecha de la presente providencia (27 de septiembre de 2024), así: 28 Corresponde al IPC de agosto.
Valor indexado hasta septiembre de 2024. 18 Total, lucro cesante: $38.482.229 6.4. Así las cosas, concluye la sala que fue acertada la decisión de la funcionaria judicial de primera instancia, razón por la cual, se confirmará la sentencia apelada, pero por las razones aquí expuestas, precisando el valor de las condenas en concreto. Finalmente, se condenará en costas de la instancia a cargo del demandado, por motivo de la improsperidad del recurso, las cuales se encuentran causadas por la carga de vigilancia que demandó a la contraparte el trámite de la apelación (art. 365 núm. 1° del Código General del Proceso). 7.
DECISIÓN: En mérito de lo expuesto, la SALA QUINTA DE DECISIÓN CIVIL-FAMILIA DEL TRIBUNAL SUPERIOR DE DISTRITO JUDICIAL DE GUADALAJARA DE BUGA, administrando justicia en nombre de la República de Colombia y por autoridad de la Ley, RESUELVE:
PRIMERO: CONFIRMAR la sentencia de fecha y procedencia conocidas, pero por las razones aquí expuestas, precisando que el monto indexado hasta el mes de septiembre de 2024 que corresponde a la devolución ordenada es de $209.055.446 y los intereses legales a título de lucro cesante ascienden a $38.482.229.
SEGUNDO: CONDENAR EN COSTAS de esta instancia al demandado BANCO DE BOGOTÁ, por virtud de la improsperidad de su recurso (núm. 1° del art. 365 del Código General del Proceso). 19 TERCERO: DEVOLVER el expediente al Juzgado de origen, una vez se fijen por la ponente las agencias en derecho causadas en el trámite del presente recurso de apelación.
NOTIFÍQUESE Y CÚMPLASE Los Magistrados, BARBARA LILIANA TALERO ORTIZ Magistrada Ponente MARIA PATRICIA BALANTA MEDINA Magistrada FELIPE FRANCISCO BORDA CAICEDO Magistrado Rad. 76-111-31-03-001-2022-00015-01