Responsabilidad bancaria ante estafa electrónica. Medida cautelar a favor del consumidor

Por Gabriela Abad/ Fallo Comentado: Poder Judicial de la Ciudad de Buenos Aires, Secretaría N° 2 de la Oficina de Gestión Judicial en las Relaciones de Consumo- Juzgado N° 22, «C., R. L. c/ Banco Macro Sociedad Anónima s/ relación de consumo«, 12 de julio de 2021.

Introducción.

El reciente precedente a comentar nos introduce en el estudio de la responsabilidad bancaria ante la explosión de estafas electrónicas durante la pandemia, cuyas víctimas resultaron ser -en su mayoría- los consumidores de servicios bancarios. El objetivo de este comentario es centrarnos, una vez más, en los deberes de seguridad que las entidades tienen frente a sus clientes, que en muchos casos no estuvieron a la altura de las circunstancias, lo que originó un enorme problema cuya solución terminó en manos de la justicia.

El fallo.

Como surge de los antecedentes, el caso tiene su origen en la estafa sufrida por una consumidora, a través de la técnica denominada «phishing» (cosecha y pesca de contraseñas(2)) donde un ciberdelincuente logró ingresar a su «home banking», bajo una serie de engaños y manipulaciones, captando fraudulentamente sus datos. De esta forma, una vez en sus cuentas, el tercero solicitó fraudulentamente un préstamo preaprobado y sustrajo dinero propio de la accionante, todo ello sin el consentimiento ni autorización de la actora. A pesar de la denuncia penal efectuada y los numerosos reclamos administrativos ante el Banco, la consumidora sufrió numerosos débitos en su cuenta con motivo a la cuota del préstamo «a un solo click». Inevitablemente, inició la acción legal contra el banco, solicitando como medida cautelar que la entidad se abstenga de efectuar débitos con motivo a las cuotas del crédito, hasta tanto se resuelva el fondo de la cuestión.

La Magistrada de Primera Instancia del reciente Fuero de Consumo de la Ciudad Autónoma de Buenos Aires dio lugar a la medida cautelar, bajo fundamentos sumamente valiosos.

En primer lugar, efectúa un análisis pormenorizado en materia procesal sobre la procedencia de las medidas cautelares y sus requisitos, los cuales encontró en el caso en cuestión.

En segundo lugar, realiza un recorrido por las distintas comunicaciones emanadas del Banco Central de la República Argentina (en adelante «BCRA»), como Autoridad de Contralor, que hacen referencia a «las obligaciones de las entidades bancarias en miras a garantizar la efectiva protección de los intereses económicos de los usuarios en operaciones de servicios financieros». Es así como hace foco en el Texto Ordenado del BCRA en lo que respecta a los «Requisitos Mínimos de Gestión, Implementación y Control de los riesgos relacionados con Tecnología Informática, Sistemas de Información y recursos asociados para las entidades financieras».

Es así como el fallo resalta las obligaciones que surgen en cabeza de las entidades bancarias a raíz de dicha normativa, como ser:

-Desarrollar, planificar y ejecutar un plan de protección de sus activos, procesos, recursos técnicos y humanos relacionados con los Canales Electrónicos bajo su responsabilidad, basado en un análisis de riesgo de actualización (…);

-Contar con un programa de concientización y capacitación de seguridad informática anual, medible y verificable, cuyos contenidos contemplen todas las necesidades internas y externas en el uso, conocimiento, prevención y denuncia de incidentes, escalamiento y responsabilidad de los Canales Electrónicos con los que cuentan (…);

-Adquirir, desarrollar y/o adecuar los mecanismos implementados para la verificación de la identidad y privilegios de los usuarios internos y externos, estableciendo una estrategia basada en la interoperabilidad del sistema financiero, la reducción de la complejidad de uso y la maximización de la protección del usuario de servicios financieros (…);

-Garantizar un registro y trazabilidad completa de las actividades de los Canales Electrónicos en un entorno seguro para su generación, almacenamiento, transporte, custodia y recuperación (…).

Cuando nos referimos a la «Concientización y Capacitación», la disposición del BCRA es clara al categorizarlo como «aquel proceso relacionado con la adquisición y entrega de conocimiento en prácticas de seguridad, su difusión, entrenamiento y educación, para el desarrollo de tareas preventivas, detectivas y correctivas de los incidentes de seguridad en los Canales Electrónicos»; lo mismo por lo que se entiende por «Control de Acceso» como aquel «proceso relacionado con la evaluación, desarrollo e implementación de medidas de seguridad para la protección de la identidad, mecanismos de autenticación, segregación de roles y funciones y demás características del acceso a los Canales Electrónicos».

Del mismo modo, la Comunicación obliga a los bancos a implementar «técnicas de detección y prevención de apropiación de datos personales y de las credenciales mediante ataques de tipo ‘ingeniería social’, ‘phishing’, ‘vishing’ y otros de similares características».

La Magistrada también menciona la Comunicación «A» Nº 6.878, la cual dispone un punto clave para analizar la responsabilidad de las entidades, donde «deberán adoptarse normas y procedimientos internos a efectos de verificar que el movimiento que se registre en las cuentas guarde razonabilidad con las actividades declaradas por los clientes».

También se menciona la Política «conozca a su cliente» implementada por el BCRA, que impone a los bancos a tomar recaudos especiales a los fines de «minimizar el riesgo» ante determinadas situaciones que deberían resultar sospechosas para la entidad, que por honor a la brevedad nos remitimos.

Otra de las particularidades de este reciente fallo, es la mención a la última Comunicación emitida por el BCRA bajo el N° 7319, que entró en vigencia el pasado 9 de julio de 2021, que dispone: «Para la autorización de un crédito preaprobado la entidad debe verificar fehacientemente la identidad de la persona usuaria de servicios financieros involucrada. Esta verificación debe hacerse mediante técnicas de identificación positiva, de acuerdo con la definición prevista en el glosario y en el requisito técnico operativo específico (RCA040) de estas normas. Asimismo, se deberá constatar previamente a través del resultado del proceso de monitoreo y control, como mínimo, que los puntos de contacto indicados por el usuario de servicios financieros no hayan sido modificados recientemente. Una vez verificada la identidad de la persona usuaria, la entidad deberá comunicarle -a través de todos los puntos de contacto disponibles- que el crédito se encuentra aprobado y que, de no mediar objeciones, el monto será acreditado en su cuenta a partir de las 48 horas hábiles siguientes. El citado plazo de acreditación podrá ser reducido en el caso de recibirse la conformidad del usuario de servicios financieros de manera fehaciente».

Más allá de las consideraciones que podemos realizar sobre esta nueva disposición -que merece un trabajo aparte- y que su dictado fue con fecha posterior a los hechos, resulta novedosa la reflexión judicial, en cuanto dispone: «En nada modifica lo expuesto el hecho de que la Comunicación «A» 7319 tenga como fecha de entrada en vigencia el 9 de julio de 2021, ya que la misma pone en evidencia y viene a reconocer las problemáticas referidas a la gestión informática y de seguridad relacionados con el sistema de créditos preaprobados». De esta manera, sienta postura en cuanto a la relevancia de esta reciente medida, que deviene como resultado de una ola de estafas virtuales y la necesidad de ajustar las medidas de seguridad de los bancos, que hasta la fecha no habían implementado cambios de este estilo para frenar los delitos y fue necesario el dictado de una normativa de la Autoridad de Contralor a tales fines.

En tercer y último lugar, cabe destacar el argumento esgrimido en el fallo comentado, en cuanto dictamina que «tampoco, incide la eventual negligencia o inexperiencia de la actora frente al suministro voluntario de datos, ya que la concurrencia eventual de responsabilidades no puede liberar al banco de los deberes generales de seguridad por él debidos». De aquí se puede desprender cómo implícitamente se toma en cuenta la vulnerabilidad de los consumidores hacia la tecnología, en donde un comportamiento inexperto o negligente de los más débiles no debe influir sobre la obligación de seguridad que pesa sobre los bancos como proveedores de servicios financieros, que colocan en el mercado el sistema de home banking que proveen a sus clientes.

Corolario.

Más allá que la resolución judicial en consideración se trata del dictado de una medida cautelar sin que implique una opinión definitiva por parte de la magistrada sobre los hechos que serán objeto de debate y prueba, no podemos ignorar que existe una marcada tendencia en la jurisprudencia -a lo largo de todo el país- de resaltar y poner en valor el deber de seguridad que pesa sobre las entidades bancarias respecto de los usuarios y consumidores.

Notas al pie:

1) Gabriela A. Abad, Abogada (UBA). Especialista en Derecho del Consumidor.

2) Borghello, Cristian; Temperini, Marcelo G. I. La captación ilegítima de datos confidenciales como delito informático en Argentina. 41 JAIIO – SID 2012 – ISSN: 1850-2814. Recuperado de http://www.elderechoinformatico.com/publicaciones/mtemperini/JAIIO_DI_Phishing_C amera_Ready.pdf.

Fuente; por GABRIELA A. ABAD16 de Julio de 2021 www.saij.gob.ar Id SAIJ: DACF210130