CE - Sentencia 76001233100020090103001 de 2025

CONSEJO DE ESTADO

SECCIÓN TERCERA

SALA DE LO CONTENCIOSO ADMINISTRATIVO

SUBSECCIÓN A

Consejero ponente: JOSÉ ROBERTO SÁCHICA MÉNDEZ

Bogotá, D.C., dieciséis (16) de junio de dos mil veinticinco (2025)

Expediente: 76001233100020090103001 (57.457)

Demandante: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Acción: Acción contractual (CCA) Asunto: Sentencia de segunda instancia

TEMAS: DICTAMEN PERICIAL – Es un medio de prueba destinado a verificar hechos relevantes que requieren conocimientos científicos, técnicos o artísticos especializados - la valoración individual de la prueba exige verificar:

(i) idoneidad del perito, es decir, que cuente con conocimientos especializados pertinentes; (ii) fundamentación, que las premisas estén sólidamente sustentadas; (iii) conclusión clara y firme, derivada lógicamente de la argumentación y metodología del dictamen; (iv) ausencia de objeción o fracaso de la misma; y (v) contradicción efectiva en el curso del proceso judicial // OBJETIVO DE LA VALORACIÓN PROBATORIA - los medios de prueba no deben permitir la confirmación, más allá de toda duda razonable, de la hipótesis fáctica planteada por el Banco, pues tal estándar es propio del proceso penal - Tratándose de un razonamiento abductivo, el objetivo de la valoración conjunta de las pruebas no es alcanzar certeza lógica, sino un grado razonable de confirmación // RESPONSABILIDAD EN CONTRATOS DE DEPÓSITO DE CUENTA CORRIENTE O DE AHORROS - La regla

valoración conjunta de las pruebas no es alcanzar certeza lógica, sino un grado razonable de confirmación // RESPONSABILIDAD EN CONTRATOS DE DEPÓSITO DE CUENTA CORRIENTE O DE AHORROS - La regla general es que el depositario responda incluso por culpa leve en la custodia y conservación de la cosa, y se presume que la pérdida o deterioro se debe a su culpa (Código de Comercio, art. 1171) - Tratándose de depósitos en cuenta corriente o de ahorros (Código de Comercio, arts. 1382 y 1396), los deberes de seguridad —instrumentales de la obligación de custodia— adquieren una especial trascendencia, en razón del carácter profesional y habitual de las actividades de intermediación financiera y del compromiso de los recursos captados del público

Surtido el trámite de ley, sin que se advierta causal de nulidad que invalide lo actuado, la Sala procede a resolver los recursos de apelación presentados contra la sentencia proferida por el Tribunal Administrativo del Valle del Cauca.

La controversia se refiere a una serie de transacciones electrónicas fraudulentas mediante las cuales se sustrajeron recursos de una cuenta corriente de la Beneficencia del Valle del Cauca. La entidad demandante sostuvo que la institución financiera debía reintegrar los fondos, dado que el fraude obedeció a deficiencias de seguridad del sistema transaccional. El banco alegó que las operaciones fueron posibles por la instalación física de un software malicioso en los equipos del cliente, lo que permitió la extracción de sus credenciales de acceso, lo que evidenciaría el incumplimiento del deber de custodia de dicha información.

I. LA SENTENCIA IMPUGNADA

extracción de sus credenciales de acceso, lo que evidenciaría el incumplimiento del deber de custodia de dicha información.

I. LA SENTENCIA IMPUGNADA

1. El 25 de febrero de 2016, el Tribunal Administrativo del Valle del Cauca profirió la

siguiente decisión:

“PRIMERO. DECLARAR no probadas las excepciones ‘culpa exclusiva del usuario del servicio electrónico’, ‘clave y nombre están bajo el cuidado del cuentacorrentista – contrato no cumplido’ y ‘contrato cumplido’, formuladas por el Banco de Occidente S.A.

SEGUNDO. DECLARAR contractualmente responsable al Banco de Occidente S.A. por el incumplimiento del contrato de cuenta corriente No. 001 -13373-5, del contrato de cuentaRadicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

2

de ahorro No. 001 -89000-3 y del contrato adicional de ser vicio Occired No. 0012677, suscritos entre la Beneficencia del Valle del Cauca y dicha entidad financiera.

TERCERO. Como consecuencia de la anterior declaración, condenar al Banco de Occidente S.A. al pago de una suma de dinero equivalente a mil cuatrocientos veintisiete millones trescientos ochenta y dos mil setecientos noventa y ocho pesos ($1.427’382.798) a favor de la Beneficencia del Valle del Cauca.

CUARTO. SIN COSTAS en esta instancia.

QUINTO. ORDENAR para que la Secretaría proceda a inscribir el presente proceso en el sistema de justicia Siglo XXI.

a favor de la Beneficencia del Valle del Cauca.

CUARTO. SIN COSTAS en esta instancia.

QUINTO. ORDENAR para que la Secretaría proceda a inscribir el presente proceso en el sistema de justicia Siglo XXI.

SEXTO. LIQUIDAR los gastos del proceso conforme se ordenó en el auto admisorio de la demanda y previa solicitud, DEVOLVER si existieren, los remanentes a la parte demandante.

SÉPTIMO. En el evento que la presente providencia no sea objeto de recurso de apelación DESE trámite al grado jurisdiccional de consulta, conforme a lo estipulado por el artículo 184 del C.C.A.”1.

2. La anterior providencia resolvió la demanda presentada por la Beneficencia del Valle del Cauca 2 (en adelante, la “Beneficencia”) contra el Banco de Occidente S.A.

(en adelante, el “Banco”), cuyas pretensiones, hechos principales y fundamentos de derecho son los siguientes: Pretensiones

3. La Beneficencia formuló las siguientes pretensiones:

“1. Se declare la existencia y celebración del contrato de cuenta corriente No. 001133735 y accesorio o adicional de servicio Occired No. 0012677, y del contrato de cuenta de ahorro No. 001-89000-3 firmados entre la Beneficencia del Valle del Cauca EICE y el Banco de Occidente S.A.

2. Como consecuencia de la existencia del vínculo contractual anterior, se declare el incumplimiento de los contratos antes citados por parte del Banco de Occidente S.A., en detrimento de la Beneficencia del Valle del Cauca EICE.

3. Que como consecuencia del incumplimiento se declare al Banco de Occidente S.A.,

incumplimiento de los contratos antes citados por parte del Banco de Occidente S.A., en detrimento de la Beneficencia del Valle del Cauca EICE.

3. Que como consecuencia del incumplimiento se declare al Banco de Occidente S.A., contractualmente responsable por los daños y perjuicios causados a la Beneficencia del Valle del Cauca EICE, por el traslado electrónico fraudulento que terceros llevaron a cabo de la cuenta corriente de la Beneficencia del Valle del Cauca EICE, a las cuentas corrientes de terceros — delincuentes.

4. Como consecuencia de la responsabilidad por incumplimiento se condene al Banco de Occidente S.A. a pagar a la Beneficencia del Valle del Cauca EICE, el valor de los perjuicios de orden material (daño emergente y lucro cesante), que le fueron ocasionados, los (sic) ascienden aproximadamente a la suma de MIL CIENTO CUARENTA Y DOS MILLONES SEISCIENTOS NOVENTA Y NUEVE MIL VEINT ICINCO PESOS CON CINCUENTA Y TRES CENTAVOS ($1.142’699.025.53) de conformidad con lo que resulte probado en el proceso, suma que deberá ser indexada, y cancelada con intereses comerciales moratorios causados a partir de la fecha de la defraudación.

1 C2, fl. 698. 2 La Beneficencia del Valle del Cauca es una empresa industrial y comercial del Estado del orden departamental, con patrimonio propio, autonomía financiera y administrativa, transformada mediante Ordenanza No. 117 de 2001 de la Asamblea Departamental del Valle del Cauca. C1, fl. 1-2.Radicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

3

5. Se condene al Banco de Occidente S.A. al pago de costas procesales”3.

Hechos

4. En apoyo de sus pretensiones, expuso los siguientes hechos4:

5. La Beneficencia celebró con el Banco tres contratos: (i) cuenta de ahorros No. 00189000-3, (ii) cuenta corriente No. 001 -13373-5 y (iii) servicio OCCIRED No.

0012677. El objeto del contrato OCCIRED era brindar al cliente acceso al servicio así denominado, “el cual permite la comunicación telefónica con el sistema de computación del banco, con el fin de brindarle al cliente información o consultas, y

[permite] la realización de operaciones bancarias”, incluida la transferencia electrónica de fondos.

6. El 19 y 20 de noviembre de 2007, el sistema OCCIRED registró varios intentos de acceso con usuario o contraseña inválidos y transacciones fallidas y sin autorización desde las cuentas bancarias de la Beneficencia. El mismo 20 de noviembre de 2007, entre las 17:00 y las 18:00, un funcionario del Banco contactó al coordinador financiero de la Beneficencia para verificar si la entidad había autorizado una transferencia a través del sistema OCCIRED hacia la cuenta de un tercero en Cartagena. La respuesta fue negativa. En consecuencia, personal autorizado de la Beneficencia intentó ingresar a la plataforma para consultar el movimiento y el saldo, pero el sistema negó el acceso.

7. El 21 de noviembre de 2007, el Banco informó a la Beneficencia que se habían ejecutado transferencias electrónicas fraudulentas desde sus cuentas. De acuerdo con

a la plataforma para consultar el movimiento y el saldo, pero el sistema negó el acceso.

7. El 21 de noviembre de 2007, el Banco informó a la Beneficencia que se habían ejecutado transferencias electrónicas fraudulentas desde sus cuentas. De acuerdo con la comunicación, a la 01:18:44 A.M del 19 de noviembre de 2007 se autorizó una transferencia de $1.400’000.000 desde la cuenta de ahorros hacia la cuenta corriente de la Beneficencia. P osteriormente, entre la 1:00 y las 6:00 de la mañana del mismo día, se intentaron ocho operaciones bancarias para trasladar fondos a cuentas de terceros creadas en Barranquilla, Bogotá, Cartagena y Cúcuta. Como resultado, se retiraron fraudulentamente $996’129.289. La Beneficencia precisó que las operaciones no se realizaron desde su dirección IP ni desde computadores de la entidad.

8. Según el demandante, el Banco no desplegó una conducta diligente en la protección de sus recursos. Indicó que cuatro meses antes de los hechos se presentó un intento de hurto físico a los dineros de la Beneficencia, situación que debió alertar a todas sus sucursales. Añadió que la Beneficencia no mantenía relaciones comerciales en Barranquilla, Cartagena y Cúcuta, por lo que la s transferencias dirigidas a esas ciudades debieron generar una alerta adicional. Señaló, además, que de acuerdo con las obligaciones contractuales del servicio OCCIRED, el Banco debió suspender el sistema al detectar intentos de acceso por parte de usuari os no autorizados. No obstante, afirmó que, pese a todas las operaciones —fallidas y exitosas—, el sistema solo fue bloqueado el 21 de noviembre de ese año.

suspender el sistema al detectar intentos de acceso por parte de usuari os no autorizados. No obstante, afirmó que, pese a todas las operaciones —fallidas y exitosas—, el sistema solo fue bloqueado el 21 de noviembre de ese año.

9. La Fiscalía General de la Nación (en adelante, “FGN”) inició procesos penales en contra de Femir Espitia Hoyos, Edgar Bustamante y Edna Margarita Velilla, presuntos

3 C1, fl. 212. 4 C1, fls. 212-217.Radicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

4

responsables de las transacciones fraudulentas. Esta última suscribió un preacuerdo con la Fiscalía en virtud del cual restituyó a la Beneficencia $19’600.000. Fundamentos de derecho5

10. El demandante sostuvo que el Banco incumplió las obligaciones derivadas de los contratos bancarios. Señaló que, al tratarse de depósitos de cosas de género, el Banco asumía una obligación de resultado consistente en custodiar y devolver una suma de dinero equivalente a la entregada, asumiendo el riesgo de su pérdida.

11. La Beneficencia argumentó que la actividad bancaria es, por naturaleza, riesgosa, en especial cuando se apoya en el uso de nuevas tecnologías. Por consiguiente, consideró que los daños derivados de fraudes debían examinarse desde la perspectiva de la responsabilidad objetiva, como sucede en los casos de cheques falsificados.

12. Por otra parte, la demandante señaló que las relaciones entre los bancos y sus

consideró que los daños derivados de fraudes debían examinarse desde la perspectiva de la responsabilidad objetiva, como sucede en los casos de cheques falsificados.

12. Por otra parte, la demandante señaló que las relaciones entre los bancos y sus clientes se fundan en los principios de confianza, seguridad material y responsabilidad.

Agregó que el artículo 78 de la Carta Política impone a todo proveedor de bienes y servicios una obligación de seguridad, consistente en garantizar que los consumidores no sufran daños en su persona o bienes. Concluyó señalando que esta obligación es compatible con el régimen de responsabilidad objetiva de protección al consumidor.

13. La Beneficencia sostuvo que de ese artículo constitucional también se deriva un deber de información. A su juicio, este deber, desarrollado en el Estatuto Orgánico del Sistema Financiero y en el Estatuto del Consumidor, fue desatendido por el Banco dado que no le explicó los riesgos que implicaba la contratación del servicio OCCIRED.

En consecuencia, afirmó que corresponde a la institución financiera demostrar que cumplió con el mandato, que la plataforma ofrecía condiciones de seguridad frente a ataques cibernéticos y que el personal de las sucursales actuó con la diligencia debida. Contestación de la demanda

14. El Banco se opuso a las pretensiones y formuló excepciones 6. En primer lugar, propuso la excepción de culpa exclusiva del usuario del servicio electrónico. Señaló que las operaciones efectuadas a través del sistema OCCIRED, en especial los pagos a terceros, se ejecutan únicamente mediante el usuario y la contraseña que son de exclusivo conocimiento, manejo y responsabilidad del cliente. Agregó que, conforme a la denuncia pe nal aportada con la demanda, las transacciones fraudulentas

a terceros, se ejecutan únicamente mediante el usuario y la contraseña que son de exclusivo conocimiento, manejo y responsabilidad del cliente. Agregó que, conforme a la denuncia pe nal aportada con la demanda, las transacciones fraudulentas reprodujeron operaciones análogas a las habituales de la Beneficencia, lo que indica que quienes ejecutaron la maniobra tenían acceso a los tiempos, cuentas y datos de seguridad, motivo por el cual no resultaron inusuales ni sospechosas.

15. En relación con las ocho transacciones efectuadas entre la 1:00 y las 6:00 de la mañana del 19 de noviembre, el Banco sostuvo que todas fueron aprobadas por usuarios de la Beneficencia con un sistema de doble auto rización. Indicó que, al rastrear la actividad de los usuarios a través de los cuales se autorizaron los giros, no

5 C1, fls. 217-237. 6 C1, fls. 388-399.Radicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

5

se encontraron registros de cambios de contraseña. Esa circunstancia demostraría que las claves utilizadas eran las correctas y conocidas por el cuentacorrentista.

16. Sostuvo que el uso de diferentes direcciones IP por parte de la Beneficencia en el giro ordinario de sus operaciones, así como la existencia de varios usuarios con acceso al canal transaccional, desactivó el filtro de seguridad que debía mantener el propio cliente, lo que impidió detectar actividades sospechosas mediante el rastreo de IP.

Agregó que la Beneficencia debió habilitar una única dirección IP registrada ante la

al canal transaccional, desactivó el filtro de seguridad que debía mantener el propio cliente, lo que impidió detectar actividades sospechosas mediante el rastreo de IP. Agregó que la Beneficencia debió habilitar una única dirección IP registrada ante la institución financiera, además de cambiar mensualmente la clave de acceso y crear un usuario exclusivo para pagos a terceros.

17. El Banco formuló también la excepción “ clave y cuenta de usuario están bajo el cuidado del cuentacorrentista – contrato no cumplido ”. Sostuvo que la Beneficencia incumplió su obligación de cu stodiar debidamente la clave de acceso al sistema OCCIRED y de no compartirla con terceros. Indicó que, al suscribir el contrato, el demandante autorizó la realización de consultas, transferencias y pagos a través de dicho canal, por lo que las operaciones efectuadas en noviembre de 2007 contaban con su aprobación y debía demostrar que se ejecutaron sin su usuario y contraseña o que no las autorizó.

18. El establecimiento bancario señaló que es responsabilidad exclusiva del administrador de la cuenta garantizar que ningún tercero conozca esa clave, por lo que el cliente debe responder ante el Banco por el uso indebido del servicio OCCIRED y lo exonera de cualquier responsabilidad derivada del mal uso de la contraseña, indistintamente de la persona que la emplee. También afirmó que la Beneficencia no cuenta con una infraestructura tecnológica adecuada para garantizar la seguridad de la información y que los señores Leonor Abadía y Rogelio Díaz, funcionarios de la entidad, manifestaron haber recibido capacitación para el manejo del sistema.

19. Por último, el Banco interpuso la excepción de “ contrato cumplido”. Sostuvo que su obligación consistía en atender las instrucciones del cliente y permitir que el

entidad, manifestaron haber recibido capacitación para el manejo del sistema.

19. Por último, el Banco interpuso la excepción de “ contrato cumplido”. Sostuvo que su obligación consistía en atender las instrucciones del cliente y permitir que el cuentacorrentista dispusiera de sus recursos, lo cual se garantizó en el caso concreto.

Indicó que habría existido incumplimiento únicamente si, pese a haberse impartido una instrucción electrónica válida con usuario y clave correctos, la entidad se hubiera abstenido de realizar el giro. Alegatos en primera instanciaRadicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

6

20. Surtida la etapa probatoria 7, la demandante presentó alegatos de conclusión en los que reiteró argumentos de la demanda 8. Además, citó una providencia de la Sala Civil del Tribunal Superior del Distrito Judicial de Bogotá 9 en la que se declaró la responsabilidad contractual del Banco por transacciones electrónicas fraudulentas realizadas a través del sistema OCCIRED, con fundamento en que la entidad financiera había creado el riesgo inherente a la operación como profesional del sector y había desconocido el perfil transaccional del cliente. También cuestionó la validez del informe técnico de la FGN, que indicó la presencia de un keylogger10 en los discos duros de la Beneficencia y sugirió que era la posible causa del fraude. Alegó que dicho informe no podía valorarse como prueba, ya que no fue objeto de contradicción, toda vez que la FGN no permitió la práctica de la inspección judicial que buscaba verificar la ruptura de la cadena de custodia.

informe no podía valorarse como prueba, ya que no fue objeto de contradicción, toda vez que la FGN no permitió la práctica de la inspección judicial que buscaba verificar la ruptura de la cadena de custodia.

21. La demandante sostuvo que, con forme a la carga dinámica de la prueba, correspondía al Banco demostrar que la Beneficencia incumplió el deber de no compartir la clave de acceso al sistema OCCIRED, carga que no cumplió. Afirmó que se probó que ningún funcionario de la entidad participó e n el hurto electrónico y que existió una falla en el control del Banco al desembolsar los recursos, lo que reflejó deficiencias tanto en el sistema electrónico como en la actividad del personal.

22. El Banco presentó alegatos en los que reiteró argumentos de la contestación de la demanda11. Sostuvo que el servicio OCCIRED opera de forma permanente y que corresponde a cada usuario implementar restricciones como horarios de activación o direcciones IP fijas de acceso, medidas que la Beneficencia no adoptó. Indicó que la

7 En auto interlocutorio No. 550 del 11 de noviembre 2011 (C1, fls . 404-407) el Tribunal abrió a pruebas el proceso (art. 209 CCA) y decretó como pruebas la documental allegada con la demanda y la contestación. Adicionalmente, decretó los testimonios (y en los casos pertinentes el reconocimiento de documentos) de Héctor Banguero (practicado el 28 de noviembre de 2013 [C1A, fls. 481 -487]), Alex Bernal (practicado el 14

de febrero de 2012 [C. Pruebas, fls. 3 -7]), Jorge Enrique Chamorro (practicado el 11 de diciembre de 2013 [C1A, fls. 488-491] y el 30 de enero de 2014 [C1A, fls.492-493]), Néstor Toro (practicado el 14 de febrero de 2012 [C. Pruebas, fls. 8 -12, 14-22]), Rogelio Díaz (practicado el 21 de febrero de 2012 [C. pruebas, fls. 3442]) y Leonor Abadía (practicado el 14 y 21 de febrero de 2012 [C. Pruebas, fls. 23 -33]), así como el reconocimiento de documentos de Juan Alfonso Borrero. Asimismo, decretó la prueba pericial y la inspección judicial con intervención del perito ingeniero de sistemas a la plataforma OCCIRED y a los discos duros y servidor de los computadores de los funcionarios de la Beneficencia, ambas pruebas solicitadas en la demanda y su adición. Por otra parte, solicitó al representante de la Beneficencia rendir informe escrito y bajo juramento sobre los hechos de la demanda. Finalmente, no decretó la pr ueba pericial solicitada en la contestación de la demanda por no haberse indicado los puntos sobre los que versaría la diligencia. El Banco interpuso recurso de reposición y en subsidio apelación contra la providencia (C1, fls. 408 -409), el cual fue resuelto desfavorablemente por improcedente (C1, fls. 426-429). 8 C1A, fls. 575-587. 9 T.S.D.J. de Bogotá, Sala Civil, rad. 2012-00123-01, Fajobe S.A. vs Banco de Occidente, oct. 15/2013, M.P.

8 C1A, fls. 575-587. 9 T.S.D.J. de Bogotá, Sala Civil, rad. 2012-00123-01, Fajobe S.A. vs Banco de Occidente, oct. 15/2013, M.P. Jorge Hernán Vargas Rincón. 10 Un keylogger es un software o hardware malicioso que registra las pulsaciones de teclas en una computadora o dispositivo móvil y las almacena como texto o pantallazos. La Corte S uprema de Justicia lo ha definido como un “registrador de las pulsaciones realizadas en el teclado del computador, las cuales archiva en un fichero y envía a través de internet, permitiendo el acceso de terceros a contraseñas e información privada”. C.S.J., Cas. Civil. Sent. SC18614 -2016, dic. 19/2016. M.P. Ariel Salazar Ramírez. El dictamen pericial practicado en segunda instancia definió el keylogger, refiriéndose específicamente al software encontrado en los computadores de la Beneficencia, en los siguie ntes términos: “PERFECT KEYLOGGER es un capturador de teclado el cual funciona en modo invisible en el equipo donde es instalado. El objetivo de este programa es registrar todas las teclas presionadas por un usuario en el teclado para luego ser analizado p or quien instalo la aplicación y así obtener información del primero. Sitios visitados, conversaciones escritas y contraseñas son algunos de los elementos sensibles obtenidos por el mismo. | Los Keyloggers o capturadores de teclado son uno de los sistemas espías mas peligrosos debido a que registran información de uso sensible y de alta privacidad de los usuarios que no saben que están siendo monitoreados, y suministrando información sin su consentimiento a terceros” (Exp. digital, doc. 185, pp. 9-10).

información de uso sensible y de alta privacidad de los usuarios que no saben que están siendo monitoreados, y suministrando información sin su consentimiento a terceros” (Exp. digital, doc. 185, pp. 9-10). 11 C1A, fls. 643-661.Radicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

7

dirección IP utilizada para el primer ingreso del 19 de noviembre pertenecía a la Beneficencia y ya había sido empleada en transacciones anteriores. Asimismo, destacó que en el fraude no hubo participación de empleados del Banco.

23. Por otra parte, la institución financiera adujo que el demandante no demostró contar con mecanismos de seguridad informática adecuados y que los equipos desde los cuales se accedía al servicio OCCIRED no tenían antivirus. En ese sentido, citó el informe de l a FGN, según el cual en los equipos de la Beneficencia se encontraron virus que habrían sustraído la información del usuario y la clave utilizadas en las transacciones. Agregó que la ausencia de protocolos de seguridad también se reflejaba en el hecho de q ue el administrador y los usuarios compartían los mismos equipos para acceder a la plataforma, que los empleados desconocían las condiciones para el cambio de contraseña y que se permitió el acceso de terceros a usuarios y claves del sistema. Todo lo anter ior, afirmó, “rompe la responsabilidad objetiva que pretende endilgarle a mi representado”. Finalmente, sostuvo que brindó capacitaciones sobre el manejo operativo y las recomendaciones de seguridad del sistema OCCIRED.

24. El Ministerio Público guardó silencio.

pretende endilgarle a mi representado”. Finalmente, sostuvo que brindó capacitaciones sobre el manejo operativo y las recomendaciones de seguridad del sistema OCCIRED.

24. El Ministerio Público guardó silencio.

Los fundamentos de la sentencia impugnada

25. El Tribunal Administrativo declaró la responsabilidad contractual del Banco y lo condenó al pago de perjuicios. Señaló que las entidades financieras están sujetas a un deber de diligencia especial, en razón de la confianza pública que recae sobre ellas y del beneficio inherente a su actividad profesional, deber que cobra mayor relevancia en la gestión de transacciones electrónicas, por los riesgos que implican estas operaciones. Indicó que, en ese contexto, los bancos actúan como garantes del dinero entregado en depósito, mientras que al cliente le corresponde únicamente conservar la clave de acceso. Por tanto, en casos de transacciones fraudulentas, corresponde a la institución financiera acreditar la co nducta culposa del usuario para exonerarse de responsabilidad.

26. Sostuvo que el Banco no cumplió con la carga de demostrar que el fraude se originó por culpa de la Beneficencia. Precisó que, aunque los informes de la FGN identificaron un software malicioso en los computadores de la entidad, las conclusiones contenidas en ellos no eran fiables desde el punto de vista probatorio, ya que no se garantizó la cadena de custodia sobre los discos duros de la Beneficencia. En respaldo de esta conclusión, tomó como fu ndamento los informes técnicos elaborados por Sistemas TGR S.A.12 (en adelante, “TGR”), aportados por el demandante, los cuales, además de referirse a los problemas de la cadena de custodia, evidenciaron fallas de

de esta conclusión, tomó como fu ndamento los informes técnicos elaborados por Sistemas TGR S.A.12 (en adelante, “TGR”), aportados por el demandante, los cuales, además de referirse a los problemas de la cadena de custodia, evidenciaron fallas de seguridad en el sistema OCCIRED y ausencia de mecanismos de prevención de fraudes electrónicos, aspectos que fueron confirmados en el testimonio de Néstor Toro Caicedo, representante de TGR, considerado por el Tribunal como testigo técnico.

27. El Tribunal analizó la cláusula novena del contrato OCCIRED, que atribuía al cliente la responsabilidad por todas las operaciones realizadas desde la plataforma,

12 La sociedad Sistemas TGR S.A. fue contratada por la Beneficencia para “brindar el soporte técnico contractual al abogado contratado por la Entidad, con ocasión de las transacciones fraudulentas de dineros de las cuentas de ahorro y corrientes pertenecientes a la Beneficencia” (C1, fl. 5).Radicación: 76001233100020090103001 (57.457)

Actor: Beneficencia del Valle del Cauca

Demandado: Banco de Occidente S.A.

Referencia: Acción contractual

8

hubieran sido autorizadas o no, y exoneraba al Banco en caso de uso indebido del sistema. Consideró que dicha estipulación resultaba lesiva y desproporcionada, por cuanto trasladaba al usuario el riesgo de fraude electrónico, que debía asumir la entidad financiera como profesional encargado de la custodia de los fondos. Por tal razón, concluyó que la cláusula no eximía al Banco de responsabilidad.

28. El Tribunal ordenó el pago del monto retirado de la cuenta corriente de la

entidad financiera como profesional encargado de la custodia de los fondos. Por tal razón, concluyó que la cláusula no eximía al Banco de responsabilidad.

28. El Tribunal ordenó el pago del monto retirado de la cuenta corriente de la Beneficencia, debidamente indexado. Negó el reconocimiento de intereses moratorios al considerar que los recursos tenían destinac ión específica para la prestación de servicios de salud y, en consecuencia, no estaban llamados a generar rendimientos.

Conciliación en primera instancia

29. De conformidad con el artículo 70 de la Ley 1395 de 2010, el Tribunal citó a audiencia de conciliación en primera instancia13. La audiencia se declaró fallida14.

II. LOS RECURSOS DE APELACIÓN

30. El demandante solicitó que se modifique parcialmente la sentencia y se condene al Banco a pagar intereses moratorios 15. Argumentó que los negocios jurídicos que suscribió con el Banco son contratos estatales, por lo que debía aplicarse la regla del numeral 8º del artículo 4 de la Ley 80 de 1993, que permite tanto la indexación como la liquidación de intereses de mora. Rechazó el argumento relativo a la destinación específica de los recursos, al considerar que justamente por esa razón el dinero no pudo emplearse para financiar la prestación