SFC - Interés público de la actividad financiera. Contrato de cuenta corriente. Phishing. Prácticas de protección propia de los consumidores finan id2013-0613

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

REPÚBLICA DE COLOMBIA

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

DELEGATURA PARA FUNCIONES JURISDICCIONALES

80000

ACCIÓN DE PROTECCIÓN AL CONSUMIDOR ARTÍCULOS 57 y 58 DE LA LEY 1480 DE 2011 y 24 DE LA LEY 1564 DE 2012.

Radicado interno: XXXX

506 Jurisdiccionales 23 Fallo

Expediente: XXXX

Demandante: XXXX

Demandado: XXXX

Asunto: AUDIENCIA PÚBLICA - PROCESO VERBAL SUMARIO DE MAYOR CUANTÍA.

En Bogotá, a 23 días del mes de julio de 2014, siendo las 2:30 p.m., fecha y hora señaladas en audiencia del pasado 3 de junio (fls. 221 y 222) para continuar con el trámite respectivo dentro de la acción de protección al consumidor de la referencia, la Delegatura para Funciones Jurisdiccionales se constituye en audiencia pública para los efectos correspondientes, disponiendo el registro de lo actuado de conformidad con lo previsto en el numeral 5 del artículo 432 del Código de Procedimiento Civil, cuyo archivo hace parte integral de la presente acta. Asiste la diligencia Claudia Marcela Gómez Vásquez, profesional especializado de la misma Delegatura. (…) SENTENCIA Procede la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia, bajo la perspectiva del régimen de protección al consumidor financiero, a resolver en derecho la controversia surgida de la relación contractual entre la sociedad XXXX y XXXX

I. ANTECEDENTES Y ACTUACIÓN PROCESAL La sociedad XXXX, en ejercicio de la acción de protección al consumidor, presentó demanda en contra del XXXX en procura de que éste le reconozca y pague: (i) la suma de $352’129.860, correspondientes a 12 operaciones efectuadas los días 15 y 16 de mayo de 2013, a través de las cuales se debitaron recursos depositados en la cuenta corriente de la que es titular la sociedad demandante, (ii) los costos asociados a las mismas (Impuesto al Gravamen Financiero, comisiones e Impuesto al Valor Agregado) y, (iii) el interés bancario corriente calculado desde el 15 de mayo de 2013 hasta la fecha del reintegro, teniendo en cuenta “la tasa pasiva de interés más alta que aplique al instrumento de colocación bancario que posea XXXX durante el periodo”.

Indica que el representante legal de la sociedad se enteró de las mencionadas operaciones después de recibir varios correos electrónicos por parte del Banco el 15 de mayo de 2013, que no fueron objeto de alarma, en los cuales se le informaba de la creación de lotes para el pago de facturas y del posterior pago de los mismos. Cuando recibió un correo denegando una operación, el 16 de mayo de 2013, se comunicó con la contadora de la empresa y posteriormente con el Banco, para averiguar por tal situación. La abogada de la compañía se dirigió a una sucursal en la entidad, para solicitar el bloqueo para el débito de la cuenta, que se produjo en la misma fecha, así como el reintegro correspondiente, petición ésta última que no fue acogida por el Banco, aduciendo que el cliente fue afectado por una modalidad de fraude denominada “PHISHING”.

Mediante providencia de 25 de noviembre de 2013 fue admitida la demanda (fl. 112), ordenando su notificación al XXXX, quien dio oportuna contestación, admitiendo lo relacionado con la relación Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co SUPERINTENDENCIA FINANCIERA DE COLOMBIA contractual existente entre las partes, la reclamación formulada por la sociedad demandante y la recuperación de parte de los dineros así debitados de la cuenta, y negando los restantes hechos, al tiempo que propuso las excepciones de mérito que denominó “Culpa de la sociedad demandante” y “hecho de un tercero”. Por no existir acuerdo conciliatorio y al no observar causal de nulidad que pudiera afectarlo, esta Delegatura continúo el curso del proceso, surtiendo todas las etapas que le son propias y que concluyen en la fecha con la decisión correspondiente, previa la presentación de las conclusiones de las partes.

II. CONSIDERACIONES

1. Competencia y presupuestos Esta Delegatura es competente para conocer del conflicto surgido entre las partes, en ejercicio de la acción de protección al consumidor, toda vez que se trata de una controversia relacionada con la ejecución y cumplimiento de las obligaciones emanadas de la relación contractual establecida entre XXXX, como consumidor financiero y el XXXX, entidad vigilada por esta Superintendencia (fl. 112 a 114). Adicionalmente se encuentra habilitado el elemento temporal a que alude el numeral 3º del artículo 58 de la Ley 1480 y no se observa causal alguna de nulidad

que pueda invalidar lo actuado, por lo que la presente instancia finalizará con un pronunciamiento sobre el fondo del litigio.

2. Problema Jurídico ¿Se predica un incumplimiento contractual de XXXX por las 12 operaciones efectuadas los días 15 y 16 de mayo de 2013, a través de las cuales se debitaron recursos depositados en la cuenta corriente de la que es titular la sociedad demandante, quien afirma no haberlas efectuado ni autorizado?

Para resolver el problema así planteado, la Delegatura analizará, de manera general, el contrato de depósito y su régimen de responsabilidad, lo que le permitirá avocar el caso concreto.

3. Características generales del contrato de depósito y el régimen de responsabilidad El contrato de depósito en cuenta de corriente constituye un depósito irregular, por el cual, el establecimiento bancario adquiere la propiedad de las sumas o especies dinerarias depositadas, obligándose a restituir su equivalente, junto con los intereses estipulados, al depositante o a quién éste designe cuando le sea solicitado o acaezca la condición o plazo acordados.

El contrato así suscrito se encuentra enmarcado en dos escenarios de clara y expresa protección constitucional, el del derecho del consumidor previsto por el artículo 78 de la Carta y el ejercicio de la actividad financiera, de evidente interés público como lo establece el artículo 335 ibídem. Bajo dicho marco, la ejecución del contrato impone precisos deberes de diligencia a las partes contratantes, determinados por aspectos tales como la utilidad que éste les reporta, experiencia, profesionalismo, poder negocial, ubicación en el contrato, etc. A este respecto, la Corte Suprema de Justicia en sentencia del once (11) de marzo de dos mil

diez (2010) señaló que “(…) ha sido criterio constante de esta Corporación considerar que las instituciones financieras, y particularmente las bancarias, están sujetas a un especial régimen de responsabilidad civil frente a los daños que puedan sufrir los clientes o usuarios de sus servicios, el que ha estado presidido, entre otros, por lineamientos tales como que dichos establecimientos son empresarios profesionales que se consideran expertos en la intermediación financiera; que reciben una especial habilitación del Estado para desarrollar su actividad en virtud de la confianza que se deposita en ellos al conferirles la posibilidad de manejar el ahorro del público, por lo que surgen a su cargo especiales deberes de diligencia; que en las operaciones de captación de recursos ordinariamente celebran contratos de depósito irregular en los que el banco se convierte en titular de los recursos transferidos y asume, por ende, obligaciones de resultado para efectos de su restitución; y, finalmente, que en su labor deben administrar diversos riesgos (de falsificación de títulos, de indebidas intromisiones informáticas, etc.) respecto de los cuales no es admisible su traslado sin formula de juicio a los ahorradores o cuentahabientes, menos aún a través de estipulaciones SUPERINTENDENCIA FINANCIERA DE COLOMBIA contractuales que contengan exoneraciones totales de responsabilidad que el ordenamiento aplicable proscribe expresamente (art. 98, num. 4.1, inc. 2°, del Estatuto Orgánico del Sistema Financiero) y que la jurisprudencia igualmente ha censurado.” (Corte Suprema de Justicia, Sala de Casación Civil. Tutela 2010-00320. MP. Arturo Solarte Rodríguez).

Así las cosas, en torno al estándar de conducta propio de las entidades financieras, la ejecución de las operaciones que les corresponden debe estar precedida y acompañada por un conjunto de medidas tuitivas, de precaución e información dispuestas para salvaguardar el interés público que la actividad financiera comporta, exigibles en el ámbito contractual por virtud de lo establecido en los artículos 38 de la Ley 153 de 1887, 871 del Código de Comercio y en la Ley 1328 de 2009, y que son correlato del derecho de los usuarios a recibir productos y servicios con estándares de seguridad y calidad (literales a del artículo 5° y b artículo 7° de la Ley 1328 de 2009); así, el artículo 5° de la misma Ley 1328 consagra un conjunto de derechos vigente “durante todos los momentos de su relación con la entidad vigilada”. En armonía con lo anterior, se contemplan unos requerimientos mínimos de seguridad y calidad para la realización de operaciones, contenidos en el Capítulo XII del Título I de la Circular Básica Jurídica No. 007 de 1996 de la Superintendencia Bancaria – hoy Financiera de Colombia, que deben asegurar las entidades financieras según sea el canal e instrumento para la realización de operaciones puestos a disposición de sus clientes. La operatividad de dichos requerimientos integra las obligaciones de la entidad financiera, pues con estos se pretenden mitigar los riesgos naturales y propios de la actividad, que asume en su ejercicio profesional y de la que consecuentemente se beneficia, sin que – en todo caso – se entienda dispensada de adoptar otros mecanismos adicionales que resulten más adecuados para minimizar la ocurrencia de situaciones que afecten el normal desarrollo de sus operaciones o representen peligro para el cumplimiento de

sus obligaciones contractuales para con los consumidores financieros. Es así como se contempla en la citada Circular Básica Jurídica como requerimientos mínimos de seguridad y calidad para la realización de operaciones, (i) “Establecer procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos por parte de un cliente, así como las medidas operativas y de seguridad para la reactivación de los mismos.” y, (ii) “Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos” (numerales 3.1.12 y 3.1.13.) Así las cosas, si bien el ejercicio de la actividad financiera genera un régimen especial de responsabilidad en sus relaciones contractuales, esto no significa que el consumidor financiero esté autorizado, ni le sea permitido, incumplir las obligaciones a su cargo, máxime si se tiene en cuenta que lo que se está en juego es su propio patrimonio. A este respecto, cabe señalar que el artículo 6° de la Ley 1328 de 2009, prevé como buenas prácticas de protección propias del consumidor financiero: (i) hacer buen uso de la cuenta, (ii) revisar “los términos y condiciones del respectivo contrato y sus anexos” y, (iii) “observar las instrucciones y recomendaciones que imparta la entidad vigilada sobre el manejo de productos o servicios financieros”, sin perjuicio del cumplimiento de las obligaciones especiales pactadas en el respectivo contrato, siempre y cuando ellas no correspondan a cláusulas abusivas que limiten o restrinjan los derechos del consumidor o

exoneren, limiten o atenúen la responsabilidad de la entidad financiera (literal d y parágrafo del artículo 11 de la Ley 1328 de 2009). A este respecto, la Corte Suprema de Justicia, en sentencia ya citada, señaló que “el particular régimen que se ha reseñado no comporta, ni mucho menos, un sistema de responsabilidad absoluta en contra de la entidad bancaria, ni una indebida generalización de los criterios objetivos de imputación, pues es bien sabido que la institución financiera puede ejercer su derecho de defensa en orden a desvirtuar algunos de los presupuestos de la pretensión indemnizatoria, y en ese sentido, aunque en ocasiones no le sea admitido acreditar su propia diligencia –caso del incumplimiento de obligaciones de resultado–, siempre podrá desplegar una amplia labor en el campo probatorio para acreditar, v.gr., que el perjuicio reclamado no ha existido o que la causa del daño que se le imputa no se encuentra en sus acciones u omisiones sino en la conducta exclusiva del cuentacorrentista o de sus vinculados o, en fin, que el daño ha sido consecuencia de un evento imprevisible e irresistible, ajeno, además, al círculo de control que corresponda a su actividad (…)” SUPERINTENDENCIA FINANCIERA DE COLOMBIA Bajo los anteriores lineamientos, la Delegatura para Funciones Jurisdiccionales resolverá en derecho la controversia planteada como ha quedado identificada, con base en las pruebas oportuna y debidamente aportadas al proceso.

4. El caso en concreto En el presente asunto no se somete a discusión que: (i) en el año 2011, XXXX, por

intermedio de su representante legal ALI VILLAFRANCA FANYTEN, celebra con XXXX el contrato de cuenta corriente bancaria N° 11866, (ii) el 14 de mayo de 2013, el señor VILLAFRANCA FANYTEN recibió un correo electrónico en el que le informaban que la cuenta empresarial había vencido el 13 de mayo de 2013 y que debía ingresar a un link indicado para acceder de manera segura al portal Web de XXXX, (iii) el señor VILLAFRANCA FANYTEN accedió al mencionado link y suministró el NIT de la empresa, su documento de identidad y la clave de acceso al portal, (iv) los días 15 y el 16 de mayo de 2013, se efectuaron 12 operaciones débito con cargo a los recursos de la mencionada cuenta corriente, (v) el 16 de mayo de 2013 la sociedad demandante informó al Banco de las operaciones realizadas en su cuenta corriente, (vi) el Banco remitió información a la entidad demandante con el nombre de las personas beneficiarias de dichas transferencias, (vii) el 27 de mayo de 2013 se realizó una reunión con representantes de ambas partes para tratar el asunto que es objeto de esta demanda, en la cual XXXX manifestó a la sociedad demandante que no atendería positivamente su solicitud de reintegro de las sumas de dinero debitadas de la cuenta corriente en comento, posición que se ratificó en comunicación de 2 de julio de 2013, (viii) XXXX ha acreditado a la fecha la suma de $40’229.384, del total de los recursos debitados de la cuenta corriente de la sociedad demandante, que fueron abonados en los meses de mayo a agosto de 2013, por lo que la reclamación actual de la sociedad demandante asciende a la suma de

$352’129.860; hechos se declararon probados en la audiencia celebrada el pasado 14 de marzo (Disco compacto obrante a fl. 169, a partir de las 11:54:29 horas de la grabación correspondiente). Las mencionadas operaciones se describen a continuación, con apoyo en las documentales que obran en proceso, especialmente del “REGISTRO DE OPERACIONES DÍA 15 Y 16 DE MAYO 2013” (fl. 68), la comunicación de la entidad de 2 de julio de 2013 (fl. 82), el extracto de la cuenta corriente objeto de la litis, para el periodo comprendido entre el 01/05/2013 al 31/05/2013 (fls. 96 y 97) y el log transaccional correspondiente a los días 15 y el 16 de mayo de 2013 (fls. 188 a 191): Fecha Hora de autorización Login Usuario Valor 10:57:30 $49’000.000 10:58:14 $49’500.000 10:58:55 $49’600.000 10:59:48 $18’000.000 15/05/2013 10:59:48 $18’300.000 11:00:27 U9004280225_20630845 $49’550.000 11:01:02 $49’700.000 11:01:40 $49’800.000 11:02:19 $49’650.000 08:58:13 $19’500.000 16/05/2013 08:58:14 $19’200.000 08:58:14 $18’500.000 Bajo esta perspectiva, atendiendo el régimen especial que comporta el ejercicio profesional de la actividad financiera, concernía a la pasiva acreditar dentro del presente proceso: (i) el cumplimiento de las obligaciones contractuales asumidas y, (ii) que en cabeza de la sociedad

demandante se desplegó una conducta culposa u omisiva que de manera directa o indirecta diera lugar a la realización de las operaciones que por vía jurisdiccional reclama o que, simplemente, el perjuicio reclamado no existe. Respecto del cumplimiento de las obligaciones por parte de la entidad financiera, se opone la pasiva a la prosperidad de las pretensiones del libelo con las excepciones que denominó “CULPA DE LA SOCIEDAD DEMANDANTE” y “HECHO DE UN TERCERO”, que básicamente se hizo consistir en que, la demandante fue víctima de una modalidad de fraude informático denominado “PHISHING”, por lo cual las operaciones se efectuaron por terceros que contaban con la información necesaria para el efecto (NIT de la empresa, documento de identidad y la clave de acceso al portal) la cual fue suministrada por el representante legal de la sociedad actora, a través SUPERINTENDENCIA FINANCIERA DE COLOMBIA de un link que recibió por correo electrónico, contrariando en este sentido los protocolos de seguridad del Banco, como también al no asignar direcciones IP, no otorgar un token al usuario a través del cual se efectuaron las operaciones y no verificar las operaciones que el Banco le notificó, a través de correos electrónicos, relacionados con la creación de los lotes de facturas y posteriormente, con el pago de los mismos. Sobre el particular, se advierte que, de acuerdo con la respuesta a la reclamación elevada por sociedad demandante (fls. 79 a 89), los resultados de la investigación surtida al interior del Banco en ella plasmados y lo declarado por su representante legal en audiencia iniciada el 18 de octubre pasado (fl. 169 a partir de 11:09:15), así como por el testigo LUIS JAVIER ROZO ALVARADO (fl.

169 a partir de 13:28:56), los sistemas del banco funcionaron correctamente y las operaciones reclamadas cursaron con la información confidencial del cliente, “validando la clave del usuario” y dentro de los parámetros definidos por él mismo, en palabras de la perito MÓNICA YALINE SÁNCHEZ RODRÍGUEZ, en el curso de la presente audiencia. Así mismo obra en el plenario el “REGLAMENTO DEL SERVICIO DE INTERNET Y DEMÁS CANALES ELECTRÓNICOS” suscrito por las partes el 4 de junio de 2012, cuyas cláusulas cuarta y quinta indican que: “1) La totalidad de las claves que se generen para la utilización del SERVICIO DE INTERNET son secretas, personales e intransferibles, por lo tanto, EL CLIENTE, el Administrador del Sistema y los Usuarios, se obligan a no divulgarlas, de manera que ningún tercero pueda hacer uso de las mismas y por ende del SERVICIO DE INTERNET”. Así mismo, que es el administrador del servicio designado por el Cliente, quien crea y asigna las claves para el manejo de los diferentes productos a través de Internet y determina los roles de los usuarios del servicio (fl. 130). Encuentra la Delegatura que tales disposiciones contractuales no resultan limitantes o restrictivas de los derechos del consumidor ni exoneran, limitan o atenúan la responsabilidad de la entidad financiera, por lo cual, la sociedad demandante estaba llamada a su cumplimiento (literal d y parágrafo del artículo 11 Ley 1328 de 2009), sin que le resulten exigibles responsabilidades asignadas sin fórmula de juicio previo o exonerando a la entidad financiera de responsabilidad, en perjuicio de los derechos de los

usuarios. También se estableció en el curso del proceso que el Banco demandado no solicita información confidencial a sus clientes mediante el mecanismo descrito pues, como lo manifestó la representante legal de la pasiva en su declaración, existen protocolos de seguridad para la reactivación de usuarios, que implican la comunicación directa con el cliente, sin que en ningún caso se haga a través de SMS o correos electrónicos que contengan enlaces o links (fl. 169, a partir de las 11:09:15). También, que el Banco instruyó a su cliente, tanto de manera presencial (fls. 179 y 180) como virtual (a través de información divulgada a través de su sitio Web - a la que se refirió igualmente la perito ingeniera de sistemas que rindió su dictamen en precedencia, y a través de correos electrónicos directamente remitidos al representante legal de la demandante – fls. 79 a 81) sobre las medidas de seguridad que debía observar para realizar sus operaciones a través de Internet, en los cuales resaltó la importancia de abstenerse de ingresar a la Banca OnLine a través de enlaces de correos electrónicos. Al ser interrogado sobre el particular en la audiencia del pasado 14 de marzo, el representante legal de la demandante manifestó que conocía las recomendaciones de seguridad impartidas por el Banco sobre el uso de este canal, a través de correos electrónicos y en el mismo sitio Web de la entidad, dentro de las cuales mencionó las de no contestar correos electrónicos sospechosos y ser cuidadoso con el suministro de información (fl. 169, a partir de 10:20:09), recomendación de seguridad que por demás se constituye en una buena práctica e protección propia de los consumidores financieros a la luz del

artículo 6º de la Ley 1328 de 2009 y que tiene por finalidad precisamente evitar que terceros no autorizados tengan acceso a la información requerida para acceder a los recursos depositados. Encuentra entonces la Delegatura que la modalidad descrita detalladamente en los hechos 2.2. y 2.3. de la demanda y que precedió a las operaciones débito cuyo reintegro se reclama, corresponde a lo que se conoce como Phishing, cuyos aspectos técnicos fueron expuestos por el testigo LUIS JAVIER ROZO ALVARADO y reiterados por la perito ingeniera de sistemas que rindió su dictamen en el curso de la presente audiencia, consistente en el envío de un correo electrónico a un usuario, simulando pertenecer a una empresa existente, mediante el cual se le solicita información privada, que posteriormente es utilizada para suplantar su identidad. Así, se dirige al usuario a visitar un sitio Web, en el cual se le solicita actualizar información personal (como una contraseña, la tarjeta de crédito, seguro social o números de cuentas bancarias) que la SUPERINTENDENCIA FINANCIERA DE COLOMBIA organización legítima ya tiene, captando los datos con los cuales se ha de acceder vía electrónica a los dineros de quien se han tomado los datos de manera ilícita. En este contexto, aparece demostrado en el plenario que el representante legal de XXXX recibió un correo electrónico el 14 de mayo de 2013, en el que le informaban que la cuenta empresarial había vencido, por lo que debía ingresar a un link “para acceder de manera segura al portal Web de

XXXX”, a lo cual procedió, suministrando el NIT de la empresa, su documento de identidad y la clave de acceso al portal (hechos que fueron relevados de prueba por las partes, por así haberlo acordado en la audiencia del 14 de marzo de 2014 – fl. 169, 11:54:29), conducta que resulta contraria no sólo lo acordado por las partes en la disposición contractual antes trascrita, sino también a los deberes de autoprotección del consumidor financiero a los que se aludió en precedencia y que incidió de manera determinante sobre la causación del daño que se aduce. Sin embargo, como la sociedad demandante reclama que, pese al suministro de la información por parte de su representante legal en las condiciones descritas, en el presente caso se predica igualmente un incumplimiento de la pasiva, por cuanto: (i) las partes habían acordado el uso de Token como elemento indispensable para la realización de operaciones a través del portal del Banco y las reclamadas se efectuaron sin contar con tal elemento; (ii) no se observaron los topes acordados para pagos a terceros y, (iii) el Banco no alertó a la sociedad sobre la realización de operaciones que no correspondían a sus hábitos transaccionales, a través de los medios acordados para el efecto, procede entonces el Despacho a analizar cada uno de los aspectos planteados por la sociedad demandante, a efectos de establecer si es posible predicar uno o más incumplimientos del Banco de sus deberes contractuales correlativos y así determinar si ambas culpas, la de la sociedad demandante, al suministrar su información confidencial en la forma anotada y la eventual de la entidad demandada, resultaron determinantes en la causación del

daño verificado: A.- DEL USO DEL TOKEN PARA LA REALIZACIÓN DE LAS OPERACIONES QUE SON OBJETO DE LA DEMANDA: se encuentra demostrado que las partes habían acordado la implementación de un mecanismo de seguridad llamado TOKEN, definido en el “REGLAMENTO DEL SERVICIO DE INTERNET Y DEMÁS CANALES ELECTRÓNICOS”, fl. 133 vuelto y “RECOMENDACIONES SEGURIDAD PAGOS A TERCEROS – fls. 159 a 161, como “el Dispositivo de hardware que genera una clave aleatoria diferente cada minuto… [la cual] está sincronizada con el portal transaccional del Banco”, que se habilitó para el servicio de Internet y demás canales electrónicos. En el mismo documento contractual se indica que el ADMINISTRADOR DEL SERVICIO DE INTERNET (en este caso, lo era el representante legal de la demandante) tenía, en virtud del contrato, la responsabilidad de recibir uno o varios token y de asignar, como usuarios de los mismos, a funcionarios de su entera confianza. Así mismo, que XXXX recibió del Banco demandado 2 dispositivos TOKEN para tales efectos el 3 y el 23 de enero de 2013 (fls. 177 y 178) lo que resulta concordante con la autorización impartida por la Sociedad al Banco al momento de solicitar el acceso a los servicios de canales electrónicos, que se refiere al uso de 2 TOKEN (fl. 157). En este orden de ideas y teniendo en cuenta que dichos dispositivos fueron asignados al administrador (9004280225) y a un usuario (52149042), como consta en la respuesta dada a la sociedad demandante por la pasiva el 2 de julio de 2013 (fls. 86 y 87) y en la documental

denominada “ADMINISTRACIÓN DE TOKENS” (fl. 158), el usuario a través del cual se realizaron las operaciones objeto del proceso (U9004280225_20630845 – fls. 68, 82, 167 y 183 a 191) no contaba con Token, ya que éste no le había sido asignado por el administrador, a quien le correspondía hacerlo, en los términos del contrato. Revisada al respecto la bitácora transaccional de la sociedad demandante (fls. 183 a 191) encuentra la Delegatura que, efectivamente, aparecen 3 usuarios efectuando operaciones en la cuenta, uno de los cuales – desde el que se realizaron las operaciones disputadas – no contaba, como se vio, con el mecanismo de autenticación fuerte que el Banco puso a disposición de su cliente para brindar una mayor seguridad en la realización de las operaciones, sin que le resulte imputable a éste un asunto que es propio de la administración de la cuenta por parte del consumidor, como lo es la decisión de asignar o no a sus diferentes usuarios, los TOKEN puestos a su disposición por la entidad financiera. Lo anterior se corrobora con el dictamen pericial rendido por la ingeniera MÓNICA YALINE SÁNCHEZ RODRÍGUEZ que, sobre el particular, indica haber ejecutado “una consulta a las bases de datos del XXXX a fecha junio de 2013, encontrando (…) que la sociedad demandante tenía asignados dos token pero ninguno de ellos correspondía al usuario 20630845, es decir el usuario 20630845 no tenía asignado token” (fl. 239). SUPERINTENDENCIA FINANCIERA DE COLOMBIA Es la oportunidad para manifestar que esta Delegatura ha dado valor al dictamen pericial en conjunto con las demás pruebas del proceso, por lo que no siendo procedente la objeción que del

mismo realizó la apoderada de la actora en audiencia, procede a su correspondiente valoración, bajo las reglas de la sana crítica. Ahora bien, no comparte la Delegatura la manifestación de que no se le informó de tal situación al administrador, por cuanto no solo obra la constancia de capacitación que recibió al respecto el representante legal de la demandada, sino que revisado el log transaccional a folios183 a 191, se observa que claramente se accedía con el usuario 20630845, quien no tenía token, circunstancia que hasta el momento de las operaciones reclamadas, no había sido óbice para la realización de operaciones en la cuenta de la entidad demandante. Concluye entonces el Despacho que, para la época de los hechos, el usuario a través del cual se realizaron las citadas operaciones, no requería de mecanismos de autenticación diferentes para la realización de transacciones a través de Internet, que la información suministrada por el señor VILLAFRANCA FANYTEN al responder el correo electrónico de 14 de mayo de 2013 (ciertamente obrando de manera desprevenida, confiada o de “buena fe” como lo indica la apoderada de la actora en sus alegatos de cierre), sin que la omisión en la asignación de TOKEN al usuario desde el cual se realizaron las mismas, pueda resultarle imputable a la entidad demandada, como se vio. Obsérvese que tal situación acaece ciertamente el día anterior a que se diera inicio al trámite de las operaciones materia de demanda, lo que permite concluir que dicha conducta tuvo un efecto determinante de las mismas.

B.- DE LA INOBSERVACIA DE LOS PARÁMETROS ESTABLECIDOS PARA EL PAGO

DE FACTURAS: se afirma en la demanda, con fundamento en la respuesta del Banco de 2 de julio de 2013 (fls. 79 a 89) que había establecido la suma de $50’000.000 como límite de la cuantía para pago de facturas, por lo que los parámetros fijados por el administrador no fueron tenidos en cuenta por el Banco en este caso (fl. 17). Posteriormente, en el escrito mediante el cual se descorrió el traslado de las pruebas aportadas en audiencia, la apoderada de la sociedad demandante afirma que el Banco desconoció el límite de $100.000.000 cada 30 días y la inscripción obligatoria de beneficiarios, acordada en la solicitud de acceso a los servicios de canales electrónicos, que consta en el documento obrante a folio 157 del expediente.

Consultadas a este respecto las pruebas del proceso, encuentra el Despacho que en el apartado relativo a “PAGOS A TERCEROS” del documento denominado “SOLICITUD DE ACCESO A LOS SERVICIOS DE CANALES ELECTRÓNI