El alto tribunal, en un fallo del 9 de abril del que fue ponente el magistrado Manuel Almenar Belenguer, analiza con profundidad la Directiva europea de los servicios de pago y la norma española al respecto y concluye que la única obligación del usuario es avisar lo antes posible a las entidades de que se ha realizado una operación no autorizada en sus cuentas corrientes. A partir de aquí, el banco, a menos que pueda demostrar que el cliente a actuado de forma fraudulenta o negligente, debe asumir la responsabilidad y reponer el dinero de inmediato o a más tardar, al final del siguiente día hábil.
El Supremo señala que los operadores de servicio de pago, como son las entidades, tienen la obligación de elevar su nivel de diligencia y buenas prácticas, lo que pasa por incrementar la seguridad y el control para detectar estas operaciones fraudulentas. Y les insta a desarrollar herramientas que detecten operaciones anómalas, como de altos importes o realizadas de madrugada, para poder bloquear los fraudes.
«Los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. […] A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe o entidades de destino, para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos», indica la sentencia. Según el fallo, «no puede considerarse como normal e irrelevante que una persona que jamás efectúa operaciones de madrugada, de repente, proceda a llevar a cabo hasta diecisiete operaciones seguidas y por un importe tan elevado».
El Supremo resuelve así el litigio entre un banco y un cliente al que le robaron las contraseñas tras entrar en su correo electrónico y duplicar la tarjeta SIM del teléfono de su mujer y le robaron hasta 83.600 euros en 15 transferencias y Bizum en plena madrugada. Tres semanas antes, y tras conocer el acceso a su correo por el aviso de Google y después de recibir varios códigos SMS para validar transferencias, el cliente avisó al banco del posible fraude. La sentencia señala que, a pesar de que el usuario cumplió con la obligación de informar cuanto antes, la entidad no tomó ningún tipo de medida.
Todo lo contrario, el banco alegó en su recurso, que las transferencias sí fueron autorizadas puesto que la persona o personas que las realizaron se identificaron correctamente.
A este respecto, el Supremo concluye que el hecho de que un tercero accediera a las claves del cliente no supone una negligencia grave por su parte y que la filtración o el conocimiento de las claves no sea imputable a la entidad bancaria «tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente (lo que no sucedió), debía acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario
