La Audiencia Provincial de Navarra condena a CaixaBank a devolver 4.370 € por operaciones fraudulentas

El tribunal confirma que la entidad no demostró la autorización de las transacciones ni protegió adecuadamente al cliente

La sentencia de la Audiencia Provincial de Navarra, Sección Tercera, aborda un caso significativo de operaciones bancarias no autorizadas, destacando la importancia de la seguridad en las transacciones electrónicas y la responsabilidad de las entidades bancarias en la protección de sus clientes.

En este caso, la demandante reclamó a CaixaBank la devolución de dos cargos fraudulentos realizados en su cuenta corriente, que sumaban un total de 4.370,79 euros. La sentencia confirma la decisión del Juzgado de Primera Instancia e Instrucción n.º 2 de Aoiz, que ya había fallado a favor de la clienta, declarando el incumplimiento de las obligaciones contractuales por parte de la entidad bancaria y ordenando la restitución de las cantidades defraudadas junto con intereses legales.

¿Qué ocurrió?

El caso se centra en dos operaciones no autorizadas realizadas el 26 de agosto de 2022. La demandante alegó que estas operaciones fueron el resultado de un caso de phishing, en el que recibió un correo electrónico falso que imitaba la imagen de CaixaBank y solicitaba la actualización de sus datos de seguridad.

Creyendo que el mensaje era legítimo, introdujo sus credenciales en una web fraudulenta, lo que permitió a los ciberdelincuentes acceder a su cuenta y realizar transacciones sin su consentimiento.

Fallos en el sistema de seguridad del banco

CaixaBank argumentó que las operaciones fueron correctamente autenticadas y que cualquier responsabilidad recaía en la demandante por negligencia al compartir sus credenciales. Sin embargo, el tribunal fue contundente: la entidad no acreditó que las operaciones fueran efectivamente autorizadas por la clienta, ni que esta hubiera incurrido en negligencia grave.

El fallo señala que el sistema de seguridad de la entidad era insuficiente. Las notificaciones de autenticación se enviaron a una aplicación, pero no a un dispositivo concreto controlado por la clienta, lo que permitió que un tercero pudiera aprobar las operaciones sin ser detectado.

La banca debe asumir su responsabilidad

La sentencia subraya la responsabilidad cuasi-objetiva de los proveedores de servicios de pago, conforme a la Ley 19/2018 de servicios de pago, que obliga a las entidades a:

• Implementar sistemas robustos de autenticación.
• Probar que el cliente consintió cada operación.
• Asumir la devolución de fondos si no se cumplen estas condiciones.

En este caso, el tribunal considera que la clienta fue víctima de un fraude bien orquestado y actuó de buena fe, sin indicios de negligencia grave. En cambio, fue la entidad la que falló en proteger adecuadamente sus servicios digitales.

Un precedente clave para consumidores digitales

La Audiencia Provincial desestimó el recurso de apelación de CaixaBank y confirmó la condena al banco, imponiendo las costas del recurso a la parte apelante.

Este fallo no solo protege a la víctima del fraude, sino que establece un precedente importante para futuras reclamaciones derivadas de fraudes electrónicos. Refuerza la idea de que los bancos deben demostrar que sus sistemas son seguros y que no basta con culpar al usuario cuando ocurre un acceso fraudulento. Por tanto, se consolida un criterio ya adoptado por otros tribunales: “si eres víctima de phishing y no has cometido una imprudencia grave, el banco debe asumir la pérdida si no prueba que su sistema es infalible”. Desde Bufete Iribarren le recomendamos que, si ha sido víctima de un fraude similar, no dude en ponerse en contacto con nosotros. La legislación vigente y la jurisprudencia actual respaldan sus derechos.