SFC - Carácter de interés público de la actividad financiera. Obligaciones del contrato de cuenta corriente, obligación de custodia de la informac -2013-0420

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

REPÚBLICA DE COLOMBIA

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

DELEGATURA PARA FUNCIONES JURISDICCIONALES

80000

ACCIÓN DE PROTECCIÓN AL CONSUMIDOR ARTÍCULOS 57 y 58 DE LA LEY 1480 DE 2011 Y 24 DE LA LEY 1564 DE 2012.-

Radicado interno: XXXX

506 Jurisdiccionales 24 Audiencia

Expediente: XXXX

Demandante: XXXX Demandado: XXXX CONTINUACIÓN DE LA AUDIENCIA PÚBLICA DE QUE TRATA EL ARTÍCULO 439 DEL CÓDIGO DE PROCEDIMIENTO CIVIL – PROCESO VERBAL SUMARIO DE MENOR CUANTÍA.

En Bogotá, a trece (13) de febrero de dos mil catorce, siendo las 2:30 p.m., fecha y hora señaladas en audiencia del pasado 30 de enero (fl. 167) la suscrita Superintendente Delegada para Funciones Jurisdiccionales, se constituye en audiencia pública para los efectos correspondientes, disponiendo la grabación de lo actuado cuya grabación hace parte integral de la presente acta. Asiste la diligencia Gloria Lucía Cabieles Caro, profesional especializado de la Delegatura. (…) SENTENCIA Procede la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia, bajo la perspectiva del régimen de protección al consumidor, a resolver en derecho la controversia surgida de la relación contractual entre la sociedad XXXX y el XXXX

I. ANTECEDENTES Y ACTUACIÓN PROCESAL La sociedad XXXX, en ejercicio de la acción de protección al consumidor presentó demanda en

contra de XXXX, el 5 de agosto 2013 (fls. 1 a 4), en procura de que se condene a la entidad financiera demandada a restituir a su favor la suma de $75.060.600 sustraídos de su cuenta corriente a través del canal de internet. Así mismo, pide el reconocimiento de intereses causados sobre dicha suma de dinero, considerando que el dinero fue sustraído por negligencia de la entidad financiera. Como soporte de sus pretensiones el apoderado de la demandante expuso que el 30 de noviembre de 2012, el señor XXXX representante legal de la sociedad intentó infructuosamente consultar el saldo de la cuenta corriente de nómina por internet, porque la página presentaba demora, que en horas de la tarde logró ingresar y se encontraba un saldo de más de $130.000.000 y que al día siguiente 1 de diciembre de 2012, hacia las 10 de la mañana aproximadamente la señora XXXX esposa del señor XXXX ingresa a la página y encuentra que hay un mensaje que informa de una transacción de pago a proveedores por valor de $19.103.300, motivo por el cual se comunica con la línea de atención del Banco informando lo sucedido y solicitando el bloqueo de la cuenta, momento en el cual se le da a conocer que la cuenta fue bloqueada, procediendo la señora XXXX a imprimir un pantallazo que refleja un saldo de $112.594.112,98. Al día siguiente Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

Continuación audiencia 2013–0425.- sábado 1 de diciembre de 2012, a las 11.45 a.m. aproximadamente se acercan los señores XXXX Y XXXX a la sucursal de la calle 82 del Banco en donde se les informa que la cuenta no había sido bloqueada todavía, y que por lo mismo, se han realizado una nueva transacción de pago de nómina a 6 cuentas más por cuantía total de $55.533.400, que presenta denuncia penal y reclamación al Banco el 3 de diciembre de 2012, la cual le fue respondida de manera negativa mediante comunicación del 8 de enero de 2013. Notificada la demanda el XXXX, dio oportuna contestación, y propuso las excepciones de mérito que denominó “CUMPLIMIENTO DEL XXXX DE LAS NORMAS ESTABLECIDAS POR LAS ENTIDADES COMPETENTES”, “INCUMPLIMIENTO DEL CONTRATO POR PARTE DE LA DEMANDANTE Y CULPA DE LA DEMANDANTE”, “INCUMPLIMIENTO DEL CONTRATO POR PARTE DE LA DEMANDANTE POR NO CUSTODIAR SUS CLAVES DE ACCESO AL CANAL DE INTERNET”, “CUMPLIMIENTO DEL XXXX EN LA SEGURIDAD Y CALIDAD DE LA INFORMACIÓN” y “EXCEPCIÓN GENÉRICA” (fls. 98 vuelto a 102 vuelto). Como soporte de sus defensas, señaló que la entidad cumplió con sus obligaciones contractuales y con los requerimientos mínimos de seguridad para las operaciones con cargo a la cuenta de la sociedad demandante. Además, que en el presente asunto la demandante realizaba sus transacciones desde diferentes direcciones IP, que se realizó revisión y análisis de las estaciones

de trabajo de la empresa identificándose 2 malware que pudieron permitir capturar los datos del cliente y redireccionar los datos a sitios fraudulentos, que existe un indicio en contra de la demandante por cuanto el 5 de diciembre de 2012, se realizaron procedimientos de limpieza y remoción de software malicioso que eliminaron información importante de la actividad del sistema durante los días del incidente. Igualmente la señora XXXX a quien se asignó usuario y clave incumplió con los deberes de seguridad como se evidencia en el audio de la llamada aportado cuando se le escucha encomendar a una señora de nombre Adriana realizar una consulta de cargues en internet. Surtido el traslado de las excepciones, la parte actora no efectuó ningún pronunciamiento (fls. 137 a 138), por lo cual el Despacho convocó a las partes a la audiencia de que trata el artículo 439 del Código de Procedimiento Civil, que se inició el pasado 3 de diciembre de 2013 (fl. 146). Ante el fracaso de la conciliación, se practicaron los interrogatorios a las partes, se fijó el litigio y se abrió el período probatorio, cerrado el cual, se concedió el uso de la palabra a las partes para que presentaran sus alegatos, habiendo hecho uso de tal derecho ambas partes.

II. CONSIDERACIONES

1. Competencia y presupuestos procesales En lo que respecta a los llamados presupuestos procesales y condiciones materiales para proferir fallo de mérito, requisitos indispensables para regular la formación y desarrollo de la relación jurídico procesal, no existe reparo alguno. Esta Delegatura es competente para conocer del conflicto surgido entre las partes, en ejercicio de la acción de protección al consumidor,

contemplada en el inciso 2º del artículo 57 de la Ley 1480 de 2011 y 24 de la Ley 1564 de 2012, toda vez que se trata de una controversia relacionada con la ejecución y cumplimiento de las obligaciones emanadas de la relación contractual establecida entre la sociedad XXXX, como consumidor financiero, y XXXX, entidad vigilada por esta Superintendencia. Adicionalmente se encuentra habilitado el elemento temporal a que alude el numeral 3º del artículo 58 de la Ley 1480 y tampoco se avizora causal alguna de nulidad que pueda invalidar lo actuado, lo cual significa que la presente instancia finalizará con un pronunciamiento sobre el fondo del litigio.

2. CONSIDERACIONES Y FUNDAMENTOS SUPERINTENDENCIA FINANCIERA DE COLOMBIA Continuación audiencia 2013–0425.- 2.1. Características generales del contrato de cuenta corriente y el régimen de responsabilidad de la actividad financiera.

A partir de la existencia del contrato de cuenta corriente suscrito entre la sociedad XXXX y XXXXhecho que se tuvo por cierto en virtud de lo aceptado en audiencia por las partes-, corresponde a la Delegatura establecer si las operaciones realizadas a través del canal de Internet los días 30 de noviembre y 1 de diciembre de 2012, con cargo a los recursos allí depositados, por un valor total de $75.060.600 y que el representante legal de la sociedad desconoce haber efectuado, constituyen un incumplimiento de las obligaciones contractuales del XXXX Previo a abordar los aspectos normativos y jurisprudenciales que enmarcan la controversia sometida a consideración de la Delegatura, no debe perderse de vista que la misma se ubica

dentro del ámbito de protección al derecho del consumidor, expresión del artículo 78 constitucional. Al efecto, baste hacer referencia a la ley dentro de la que ha sido creada la acción de protección al consumidor, esto es la Ley 1480 de 2011, más conocida como Estatuto del Consumidor. Por el contrato de cuenta corriente, contemplado y regulado en los artículos 1382 a 1395 del Código de Comercio y 125 del Estatuto Orgánico del Sistema Financiero y como lo establece el literal a), numeral 1.3, del Capítulo Cuarto, Título II de la Circular Básica Jurídica 007 de 1996 de la entonces Superintendencia Bancaria hoy Superintendencia Financiera, se configura “un derecho personal para el depositante traducido en un crédito a cargo del banco depositario, habida cuenta que entre las partes se estructura una operación pasiva de crédito”. Se trata, de un contrato irregular de dinero mediante el cual “el cuentacorrentista adquiere la facultad de consignar sumas de dinero y cheques en un establecimiento bancario y de disponer, total o parcialmente, de sus saldos mediante el giro de cheques o en otra forma previamente convenida con el banco” (Art. 1382 C.Co.). En tal virtud, el Banco cumple la obligación de custodia sobre el dinero a él confiado y su desembolso configura un auténtico pago, comprometiéndose la responsabilidad de la entidad cuando, se hace el desembolso a persona no autorizada por su titular, como se reclama en la presente acción, o en contravención a las autorizaciones o instrucciones que al efecto se han extendido y que la entidad bancaria debe acatar o implementar para preservar el interés de los

ahorradores y público en general y que por disposición de la Ley 1328 de 2009 se encuentran incorporadas a la relación contractual. Al efecto, la actividad financiera cumple respecto del desarrollo económico una función esencial, como lo ha sostenido de manera reiterativa la Corte Constitucional, entre otras en sentencia C-640 de 2010, y más recientemente en sentencia T-585 de 2013 con ponencia del Magistrado Nilson Pinilla Pinilla según la cual “conforme lo ha expuesto esta Corporación, la función bancaria no es igual a las demás actividades que realizan los particulares en ejercicio de la autonomía de la voluntad privada, como quiera que el artículo 355 superior califica dicha actividad como de interés público por lo que se orienta a la búsqueda del interés general. La referida disposición constitucional también restringe el acceso a la prestación de los servicios financieros en la medida en que exige la autorización previa del estado para su ejercicio. Esta limitación tiene como fundamento el alto riesgo social que implica esta actividad y la consecuente necesidad de asegurar la confianza pública en el servicio”. Significa lo anterior, la exigencia en las entidades que ejercen la actividad financiera, mayor diligencia y profesionalismo en el desarrollo de la misma, toda vez que como prestadoras del servicio poseen un amplio margen de control de las operaciones, contando con sistemas de información y de transacción de carácter técnico, servicios por los cuales reciben una retribución por parte de los clientes, generando un régimen especial en sus relaciones contractuales. Adicionalmente, formando parte del contrato se encuentran aquellas disposiciones que determinan, integran, limitan o amplían su contenido, al igual que las que imponen cargas, deberes y obligaciones que contribuyen, refuerzan o cualifican la obligación principal, como es el caso de la

Ley 1328 de 2009. Al respecto, el artículo 871 del Código de Comercio establece de manera general que “los contratos deberán celebrarse y ejecutarse de buena fe y, en consecuencia, obligarán no sólo a lo pactado expresamente en ellos, sino a todo lo que corresponda a la naturaleza de los mismos, según la ley, la costumbre o la equidad natural”. SUPERINTENDENCIA FINANCIERA DE COLOMBIA Continuación audiencia 2013–0425.- En armonía con lo anterior, se contemplan unos requerimientos mínimos de seguridad y calidad para la realización de operaciones, contenidos en el Capítulo XII del Título I de la Circular Básica Jurídica No. 007 de 1996 de la Superintendencia Bancaria -hoy Financiera de Colombia-, que deben asegurar las entidades financieras según el tipo de canal que ponen a disposición de sus clientes. La implementación, operatividad y eficacia de dichos requerimientos, fuerza decirlo, integra las obligaciones de la entidad financiera. Con estas se busca mitigar los riesgos naturales y propios de la actividad que asume en su ejercicio profesional y de la que consecuentemente se beneficia, sin que -en todo casose entienda dispensada de adoptar otros mecanismos adicionales que resulten más adecuados para minimizar la ocurrencia de situaciones que afecten el normal desarrollo de sus operaciones o representen peligro para el cumplimiento de sus obligaciones contractuales con los consumidores financieros. De esta manera, la ejecución del contrato impone precisos deberes de diligencia a las partes contratantes, determinados por aspectos tales como la utilidad que éste les reporta, experiencia, profesionalismo, poder negocial, ubicación en el contrato, etc. En torno al estándar de conducta

propio de las entidades financieras, la ejecución de las operaciones que les corresponden debe estar precedida y acompañada por un conjunto de medidas tuitivas, de precaución e información dispuestas para salvaguardar el interés público que la actividad financiera comporta y la especial protección a consumidores y usuarios previstas en los artículos 78 y 335 de la Constitución Política, medidas exigibles en el ámbito contractual por virtud de lo establecido en el artículo 38 de la Ley 153 de 1887 y la Ley 1328 de 2009. Tales medidas son correlato del derecho de los usuarios a recibir productos y servicios con estándares de seguridad y calidad (literales a del artículo 5° y b artículo 7° de la Ley 1328), así el artículo 5° de la misma Ley citada consagra un conjunto de derechos para la protección del consumidor financiero, vigente “durante todos los momentos de su relación con la entidad vigilada”. Ahora, si bien el ejercicio de la actividad financiera genera un régimen especial de responsabilidad en sus relaciones contractuales, lo anterior no significa que el consumidor financiero esté autorizado, ni le sea permitido, incumplir, descuidar, desatender o desconocer, las obligaciones que paralelamente le asisten, máxime que aquello que se encuentra en juego es su propio patrimonio. A este respecto, vale señalar que el artículo 6° la Ley 1328 de 2009, prevé como buenas prácticas de protección propias del consumidor financiero, entre otras: (i) revisar “los términos y condiciones del respectivo contrato y sus anexos”, (ii) “Informarse sobre los productos o servicios que piensa adquirir o emplear, indagando sobre las condiciones generales de la operación…” y (iii)

“observar las instrucciones y recomendaciones que imparta la entidad vigilada sobre el manejo de productos o servicios financieros”, sin perjuicio del cumplimiento de las obligaciones especiales pactadas en el respectivo contrato, siempre y cuando ellas no correspondan a cláusulas que limiten o restrinjan los derechos del consumidor o exoneren, limiten o atenúen la responsabilidad de la entidad financiera (literal d y parágrafo del artículo 11 Ley 1328 de 2009). A este respecto, la Corte Suprema de Justicia en sentencia del 11 de marzo de 2010 señaló que “el particular régimen que se ha reseñado no comporta, ni mucho menos, un sistema de responsabilidad absoluta en contra de la entidad bancaria, ni una indebida generalización de los criterios objetivos de imputación, pues es bien sabido que la institución financiera puede ejercer su derecho de defensa en orden a desvirtuar algunos de los presupuestos de la pretensión indemnizatoria, y en ese sentido, aunque en ocasiones no le sea admitido acreditar su propia diligencia –caso del incumplimiento de obligaciones de resultado–, siempre podrá desplegar una amplia labor en el campo probatorio para acreditar, v.gr., que el perjuicio reclamado no ha existido o que la causa del daño que se le imputa no se encuentra en sus acciones u omisiones sino en la conducta exclusiva del cuentacorrentista o de sus vinculados o, en fin, que el daño ha sido consecuencia de un evento imprevisible e irresistible, ajeno, además, al círculo de control que corresponda a su actividad …” (Sala de Casación Civil. Tutela 201000320. M.P. Arturo Solarte Rodríguez). (Negrita fuera del texto)

Bajo los anteriores lineamientos, la Delegatura para Funciones Jurisdiccionales resolverá en derecho la controversia planteada como ha quedado identificada, con base en las pruebas oportuna y debidamente aportadas al proceso.

3. CONSIDERACIONES SOBRE EL CASO CONCRETO.

SUPERINTENDENCIA FINANCIERA DE COLOMBIA Continuación audiencia 2013–0425.- En orden a determinar si a la entidad demandada le asiste responsabilidad por las transacciones objetadas, el Despacho examinará las pruebas recaudadas, así como la actuación surtida, aspectos que confrontará y analizará bajo la perspectiva del régimen de responsabilidad aplicable al producto contratado, en la medida, en que conforme a éste y por ser quien puso a disposición del consumidor el canal internet para la realización de sus operaciones, bajo estándares de seguridad y calidad, le concernía acreditar dentro del presente proceso: (i) de un lado, el cumplimiento de las obligaciones contractuales asumidas y (ii) que en cabeza de la demandante – consumidor financierose desplegó una conducta culposa u omisiva que de manera directa o indirecta diera lugar a la realización de la operación que por vía jurisdiccional reclama o, que simplemente el perjuicio reclamado no existe. Respecto del cumplimiento de las obligaciones por parte de la entidad financiera, formula la demandada las excepciones de “CUMPLIMIENTO DEL XXXX DE LAS NORMAS ESTABLECIDAS POR LAS ENTIDADES COMPETENTES”, y “CUMPLIMIENTO DEL XXXX EN LA SEGURIDAD Y CALIDAD DE LA INFORMACIÓN” que según la contestación de la demanda, aunado a lo declarado por su representante legal en audiencia iniciada el 3 de diciembre de 2013 (fl. 152 minuto 55:40),

encuentran su respaldo en el hecho de que los sistemas del banco funcionaron correctamente, y que los archivos con los cuales se efectuaron los correspondientes cargues fueron enviados por quien se encontraba autorizado por parte de la sociedad demandante y por la declaración del testigo XXXX, quien a partir de las 3:29:10 horas de la grabación obrante a folio 152, manifestó que el XXXX ha invertido miles de millones de pesos en la implementación de controles de seguridad protegiendo la información para que viaje cifrada, que permanentemente hacen análisis de inviolabilidad de la plataforma tecnológica, y cada vez que reciben un caso como el que nos ocupa se hace una análisis de seguridad para ver si hubo violación en los controles, pero que en este caso la violación se produjo desde el lado del cliente, es decir que hubo un ataque al computador del cliente y no a los sistemas de seguridad del Banco. De otro lado, advierte el Banco demandado que en el caso concreto las operaciones reclamadas cursaron normalmente y con la información confidencial del cliente que es privada, dando lugar a que el Banco permitiera las transacciones conforme a lo pactado, por lo que en su sentir mal puede endilgársele responsabilidad alguna, y que respecto de las operaciones reclamadas, según las conclusiones de la investigación surtida al interior de la entidad, se diligenciaron los datos necesarios para lograr el éxito de las mismas. Al respecto vale la pena mencionar que la simple manifestación de que las transacciones en efecto se realizaron y que se ejecutaron con la información necesaria para producirlas, no puede tenerse como una imputación inequívoca de responsabilidad en cabeza del consumidor financiero, pues como se explicó al inicio de esta providencia, quien pone a disposición del cuentacorrentista los

medios tecnológicos para el retiro de los dineros que le han sido entregados en razón de la confianza, es la misma entidad financiera y como se anotó, es a ella a quien corresponde acreditar: (i) que los instrumentos entregados para el manejo de los canales que se ponen a disposición son seguros y se cumplen bajo requerimientos mínimos de seguridad y calidad e indicar a su cliente las recomendaciones de seguridad que debe seguir a efectos de maximizar la seguridad del canal ofrecido, así como, (ii) la negligencia o conducta culposa de sus clientes en el uso de su información confidencial para la ejecución de esas transacciones como fuente del daño que reclama. Para el efecto, adicionalmente invocó la pasiva los medios exceptivos que denominó “INCUMPLIMIENTO DEL CONTRATO POR PARTE DE LA DEMANDANTE Y CULPA DE LA DEMANDANTE”, “INCUMPLIMIENTO DEL CONTRATO POR PARTE DE LA DEMANDANTE POR NO CUSTODIAR SUS CLAVES DE ACCESO AL CANAL DE INTERNET”, por razón a que el servidor o equipo desde el cual se solían realizar las transacciones con cargo a la cuenta corriente de la actora, no contaba con las condiciones de seguridad suficientes como recomienda la entidad demandada a sus clientes. Al respecto, obra en el expediente a folios 30 a 64 y 11 a 128 aportado por ambas partes, el dictamen elaborado por el ingeniero DANIEL TORRES FALKONERT, investigador forense digital, quien, de acuerdo con lo normado por el literal b) del numeral 2º del artículo 432 del Código de Procedimiento Civil rindió declaración en esta audiencia, surtiéndose la contradicción

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

Continuación audiencia 2013–0425.- correspondiente, quien se ratificó en las conclusiones de su dictamen, esto es, que se hallaron “programas maliciosos, que habían sido eliminados del sistema” (…) “por el personal de soporte de la empresa, que incluyeron la instalación y ejecución de un programa antivirus, además de un proceso de eliminación de información utilizando el programa CCleaner, el cual sobre-escribe los programas de navegación, los registros de auditoría del sistema operativo, archivos y registros de la papelera de reciclaje, entre otros, lo cual afectó de manera irreversible la trazabilidad de la actividad del sistema el día que ocurrió el incidente” (…). Tal hecho debe, en consideración de la apoderada del Banco, ser considerado como indicio grave en contra del demandante, por cuanto los procedimientos de limpieza eliminaron información importante de la actividad del sistema durante los días del incidente, no obstante si bien tal conducta no resultó prudente frente a la investigación de los medios de intromisión informática utilizados, no conlleva la calificación dolosa que pretende la apoderada de la pasiva ya que resulta entendible la intención de protección de los dineros que aún se encontraban en las cuentas de la demandante. Adicionalmente se menciona en la contestación de la demanda que con base en los registros transaccionales del 31 de julio al 5 de diciembre que manifiestan anexar, se observa la ejecución de operaciones transaccionales a través de 6 direcciones IP, situación que pese a encontrar soporte en el log transaccional aportado y en la comunicación del gerente de Productos Empresariales (fls. 14 a 20) según la cual: :“Desde el 31 de julio al 5 de diciembre de 2012, el usuario

XXXX m ha transado desde nueve (9) direcciones IPs diferentes, incluidas las direcciones IP desde las cuales se realizaron transacciones sujetas a reclamación. Así mismo se registran ciudades no habituales para el usuario” tal situación si bien puede conllevar un mayor riesgo, no posee la aptitud suficiente para constituir por sí misma, un incumplimiento contractual pues no observa la Delegatura obligación alguna para la demandante en tal sentido. De otro lado y para efectos de soportar sus afirmaciones en relación con la ausencia de responsabilidad de su parte, el Banco demandando allegó al proceso el clausulado aplicable al “CONTRATO DE PRODUCTOS BANCO COMERCIAL AV VILLAS S.A. PERSONA JURÍDICA” (fls. 109 a 110), suscrito por el representante legal de la demandante, que en lo que interesa al presente caso establece en la “CLÁUSULA DÉCIMA PRIMERA” que “Para el manejo de la cuenta corriente AV VILLAS podrá autorizar el uso y manejo de …., internet Banca Móvil… y cualquier otro medio que a futuro establezca AV VILLAS para el manejo y disposición de la cuenta corriente” y añade en el numeral 11. 2 de dicha cláusula “La tarjeta débito y/o el NIP y las claves de que el Cliente dispone para accesar su cuenta corriente a través de cualquier medio electrónico son de carácter confidencial, personal e intransferible quedando el Cliente obligado a mantenerla en absoluta reserva”. En el sub judice las operaciones reclamadas fueron realizadas a través del canal de internet estando a cargo de la cliente la obligación de custodia, en la medida en que para acceder a dicho

portal requería de un usuario y clave a cargo de la titular de los depósitos, que según la pasiva fueron usados para el éxito de las transacciones rechazadas, lo que pretende demostrar entre otras, con la investigación interna realizada por la entidad cuyas conclusiones se incorporaron a las respuestas dadas a las reclamaciones de la actora (fls. 14 a 20 y 21 a 26). De acuerdo con dicho informe general, analizado en conjunto con el documento “SERVICIO DE INTERNET EMPRESAS - BBS” (fl. 135) encuentra la Delegatura: La cuenta de la actora se encontraba inscrita desde el 28 de noviembre de 2010 al servicio de internet empresas y tenía habilitados los módulos para el pago de comercio electrónico y pagos a nómina, proveedores y ACH. Tales servicios se encontraban inscritos y autorizados por la demandante desde la fecha en mención. Desde la cuenta corriente de que es titular la demandante y a través del servicio de internet empresas, se realizaron el 30 de noviembre de 2012, 2 pagos por valor total de $19.527.200 y el 1 de diciembre 6 pagos por valor total de $55.533.400. Las operaciones reclamadas se ejecutaron empleando el usuario primario de la cuenta, denominado XXXX m. Se observa un número importante de accesos a través de IP diferentes. Los pagos reclamados que ascienden a $75.060.600 se encuentran dentro del tope de $90.000.000.oo fijados para el portal BBS de la empresa, para el manejo de Pagos que SUPERINTENDENCIA FINANCIERA DE COLOMBIA Continuación audiencia 2013–0425.- comprende las modalidades de Nómina, proveedores y ACH a través de comercio

electrónico. Las operaciones se ejecutaron exitosamente con la utilización de los números (OTP) generados desde el Token físico asignado al cliente. Conforme con lo anterior, las operaciones materia del proceso se ejecutaron a través de un canal que fue puesto a disposición de la demandante, con el único usuario designado para el efecto, dentro de los topes señalados y resultaban comunes a los realizados por la demandante, lo que da lugar a concluir que tales operaciones no resultaban inusuales dentro del comportamiento de la cuenta. Así, si bien estas circunstancias permiten concluir prima facie en este asunto, que la entidad financiera demandada cumplió con los deberes especiales que le son exigibles, ello no excluye su responsabilidad frente a los riesgos inherentes de los diferentes canales –Internet, banca móvil, cajero automático, etc.- que pone a disposición de sus clientes para el manejo de los productos y servicios ofrecidos, los que como se dijo, nacen de la actividad que presta de manera profesional y masiva, aunado al beneficio correlativo que recibe por la prestación de sus servicios, a menos que acredite el incumplimiento de la demandante o su actuación u omisión culposa Ahora bien, insiste la actora en su demanda y en el interrogatorio de parte del representante legal (fl. 152 a partir del minuto 15:56) que como administradora de la cuenta la señora XXXX era la única que tenía exclusividad para realizar transacciones que cuando les instalaron el servicio, el funcionario del banco revisó la seguridad del equipo cuando instaló los programas, que ni siquiera él como representante legal de la sociedad tiene acceso a esos computadores, lo que también fue confirmado por la señora XXXX quien manifestó que ella era la única que manipulaba y digitalizaba

claves, que en ese sentido había mucha seguridad, que nunca ingresaba a la página por Google, que los computadores tenían activado un antivirus el cual se actualizaba aproximadamente cada 6 meses (2:31:20 del audio a folio 152), que nunca suministró a ninguna otra persona la información de usuario necesario para transar a través del mismo, además de contar con un sistema adicional denominado “token” que era de su exclusivo manejo, razón por la cual se cuestiona además que normalmente cuando hacían los pagos a nómina las transferencias se tardaban aproximadamente dos horas y media, mientras que en este caso, los abonos se efectuaron en cuestión de minutos, en menos de una hora. Lo cierto es, que según lo declarado por la señora XXXX y que se puede comprobar mediante la orden de servicio obrante a folio 134, según la cual ella y la señora XXXX recibieron capacitación por parte del Banco sobre el uso del token para, entre otros, los pagos de nómina y, como se anotó en precedencia conocía de las medidas de seguridad para acceder al portal, nunca dio a conocer a terceros su información personal para transar, solo usaba equipos seguros como lo son los ubicados en su oficina, su equipo contaba con un antivirus al cual le realizaba un mantenimiento semestral para actualizarlo y hacerle limpieza general y que además el dispositivo físico denominado token, entregado como una medida adicional de seguridad, siempre estuvo bajo su custodia. A este respecto, el Token es un dispositivo de uso personal e intransferible, que genera una clave aleatoria e irrepetible de 6 dígitos, que cambia cada 60 segundos, como se lee en https://www.XXXX.com.co/wps/portal/XXXX/red-servicio/red-oficinas/TokenDispositivogeneradordeclaves. Si

bien el Token facilita una clave de acceso cada 60 segundos, no se discute que una vez accedido al portal del Banco, puede permanecer en él un tiempo mayor, que de no presentarse alertas o transacciones inusuales, conllevan para el Banco una confianza de que es su cliente quien se encuentra realizando transacciones. Sobre el particular,