Scotiabank incumplió el deber de seguridad que le impone la Ley de Protección de los Derechos de los Consumidores al no acreditar que adoptó las medidas necesarias para detectar y prevenir operaciones fraudulentas.
Con fecha 10 de julio la Segunda Sala de la Corte Suprema, en causa Rol N°51.579-2024, acogió el recurso de queja interpuesto contra los integrantes de la Décima Tercera Sala de la Corte de Apelaciones de Santiago y dejó sin efecto la sentencia de 30 de septiembre de 2024, dictada en el Rol N°1.308-2022, que había revocado el fallo del Primer Juzgado de Policía Local de Ñuñoa, Rol N°28.181-2020. En consecuencia, el máximo tribunal confirmó la sentencia de primer grado, que había acogido parcialmente la querella infraccional y la demanda civil deducidas contra Banco Scotiabank.
La controversia tuvo su origen en un fraude informático ocurrido el 19 de marzo de 2020. El consumidor sostuvo que recibió un correo electrónico proveniente de la casilla “comprobantes.info@scotiabank.cl”, que aparentaba provenir del banco, mediante el cual se le solicitó sincronizar su dispositivo de seguridad. Tras ingresar al enlace contenido en dicho mensaje, terceros accedieron a sus productos bancarios y realizaron diversas operaciones no autorizadas. Según los antecedentes establecidos en la causa, primero se efectuó un traspaso de fondos desde la tarjeta de crédito a la cuenta corriente del cliente y, posteriormente, tres pagos de impuestos ante la Tesorería General de la República y el Servicio de Impuestos Internos, por un total de $17.389.624, asociados a empresas sin vínculo con el actor.
El Primer Juzgado de Policía Local estimó acreditado que el banco había infringido el deber de seguridad previsto en los artículos 3 letra d) y 23 de la Ley N°19.496. Por ello condenó a Banco Scotiabank al pago de una multa de 25 Unidades Tributarias Mensuales y a indemnizar el daño emergente sufrido por el consumidor por la suma de $17.389.624, rechazando la indemnización por daño moral.
Sin embargo, la Corte de Apelaciones de Santiago revocó esa decisión. Consideró que el fraude no obedeció a una insuficiencia de las medidas de seguridad del banco, sino al actuar del propio cliente al entregar información mediante la técnica conocida como phishing. Asimismo, estimó acreditado que la entidad financiera había informado adecuadamente a sus clientes sobre este tipo de fraudes mediante publicaciones y contenidos disponibles en su sitio web, descartando la existencia de una infracción a la Ley de Protección de los Derechos de los Consumidores.
Al conocer del recurso de queja, la Corte Suprema desarrolló un criterio diverso. Recordó que como es sabido, el contrato de cuenta corriente bancaria constituye una especie de depósito respecto de un bien eminentemente fungible, de manera que es de cargo del depositario el riesgo de pérdida de la cosa depositada durante la vigencia de la convención. En ese contexto, destacó que la normativa administrativa de la entonces Superintendencia de Bancos e Instituciones Financieras exige a las entidades financieras implementar sistemas destinados a identificar patrones de fraude y operaciones que no correspondan al comportamiento habitual del cliente.
El máximo tribunal observó que el banco no acreditó haber comunicado al cliente las operaciones cuestionadas ni haber activado alertas de seguridad frente a transacciones que presentaban características objetivamente inusuales, operaciones que tampoco fueron comunicadas al cliente. La sentencia destaca que las operaciones fueron realizadas desde una dirección IP distinta de las utilizadas habitualmente por el cliente, involucraron un traspaso remoto de fondos desde la tarjeta de crédito a la cuenta corriente y, en un breve lapso, permitieron efectuar tres pagos electrónicos por más de diecisiete millones de pesos destinados al pago de obligaciones tributarias de terceros. A juicio de la Corte, ese conjunto de circunstancias debía haber activado los mecanismos de monitoreo y control de fraude implementados por la entidad financiera.
Asimismo, la Corte Suprema sostuvo que el banco tampoco acreditó haber enviado las comunicaciones de seguridad relativas a las operaciones realizadas ni haber desplegado medidas eficaces para impedir la materialización del fraude. Agregó que la sola circunstancia de que el cliente hubiera sido víctima de un correo electrónico fraudulento no eximía a la institución financiera del cumplimiento de las obligaciones de seguridad que pesan sobre ella, especialmente cuando la normativa administrativa le impone la obligación de detectar operaciones sospechosas antes de que se produzca el desplazamiento patrimonial.
Concluyó que la Corte de Apelaciones omitió examinar la conducta desplegada por la entidad bancaria, en quien recae el deber de resguardo de los fondos depositados, el de contar con las herramientas informáticas idóneas para pesquisar operaciones sospechosas y quien, en definitiva, otorgó un crédito en forma digital y permitió la realización de tres pagos electrónicos por más de diecisiete millones de pesos, pese a que se trata de operaciones no habituales para el cliente, realizadas desde un número de IP no utilizado por éste y sin alertar su ocurrencia a través de mensajería o correos electrónicos que el cuentacorrentista tenía registrados. Sobre esa base, indicó que incurrió en falta o abuso grave al centrar su análisis únicamente en la conducta del consumidor. En consecuencia, acogió el recurso de queja, dejó sin efecto la sentencia impugnada y confirmó el fallo de primer grado, manteniendo la condena al pago de una multa de 25 UTM y de $17.389.624 por concepto de daño emergente, reajustado conforme a la variación del IPC desde la fecha de los hechos hasta su pago efectivo, además de los intereses correspondientes al crédito utilizado para ejecutar fraudulentamente las operaciones. También confirmó el rechazo de la indemnización por daño moral.
