SFC - Régimen de responsabilidad de la actividad financiera. Contrato de depósito y las obligaciones de las partes Juri id2012-0133

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

REPÚBLICA DE COLOMBIA

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

DELEGATURA PARA FUNCIONES JURISDICCIONALES

80000

ACCIÓN DE PROTECCIÓN AL CONSUMIDOR ARTÍCULOS 57 y 58 DE LA LEY 1480 DE 2011-.

Radicado interno: XXXX

506 Jurisdiccionales 23 Fallo

Expediente: XXXX

Demandante: XXXX

Demandado: XXXX

Asunto: CONTINUACIÓN DE LA AUDIENCIA PÚBLICA DE QUE TRATA EL

ARTÍCULO 439 DEL CÓDIGO DE PROCEDIMIENTO CIVIL - PROCESO

VERBAL SUMARIO DE MINIMACUANTÍA.

En Bogotá D.C., a los veintidós (22) días del mes de abril de dos mil trece (2013), siendo las dos y media de la tarde (2:30 p.m.), fecha y hora señaladas en audiencia del catorce (14) de marzo de la misma anualidad, esta Delegatura para Funciones Jurisdiccionales, se constituye en audiencia pública para los efectos correspondientes, la cual será asistida por Roberto Camilo Suarez Echeverry profesional especializado de la Delegatura. (…)

SENTENCIA

1. CONSIDERACIONES Y FUNDAMENTOS. 1.1. Actuación procesal.

La señora XXXX, actuando en nombre propio, presentó demanda el 19 de noviembre de 2012 (fls. 1 a 2) pretendiendo la devolución de la suma correspondiente a 5 transacciones con cargo a la cuenta de ahorros de la cual es titular en el XXXX S.A, así como la cuota de manejo, los intereses causados a la

tasa máxima legal, junto con el reconocimiento de los daños morales y “los daños y perjuicios causados consistentes en fotocopias, transportes y gastos en general en que he incurrido”, al desconocer dichas operaciones La demanda admitida mediante auto del 11 de diciembre de 2012 (fl. 160), fue notificada personalmente a la entidad accionada el 11 de enero de 2013 (fl. 172), y contestada por la entidad financiera demandada oportunamente aceptando unos hechos y negando otros, oponiéndose a las pretensiones y proponiendo excepciones de mérito, sobre las cuales no se pronunció la demandante, todo lo cual quedó reseñado en el acta que dio inicio a esta audiencia el pasado 14 de marzo de 2013 (fls. 278 a 280) y que concluye en la fecha, con el cierre de la etapa probatoria, alegatos de conclusión y la emisión del respectivo fallo. 1.2. Presupuestos procesales. Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 1 SUPERINTENDENCIA FINANCIERA DE COLOMBIA La Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia, en armonía con lo dispuesto por el artículo 57 de la Ley 1480 de 2011, y el artículo 24 de la Ley 1564 de 2012, es competente para proferir decisión de mérito en la acción de protección al consumidor presentada por XXXX en contra del XXXX, toda vez que se trata de una controversia relacionada

con la ejecución y cumplimiento de las obligaciones derivadas del contrato de depósito de cuenta de ahorros No. 063-0405, celebrado entre un consumidor financiero y una entidad vigilada por esta Superintendencia (fl. 278 vlto). Igualmente se encuentra habilitado el elemento temporal de la competencia de esta Delegatura, contemplado en el numeral 3º del artículo 58 de la Ley 1480 de 2011, en tanto que el límite allí previsto comienza a contarse a partir de la finalización del convenio fuente de litigio, el cual en el presente asunto aún se encuentra vigente. En consecuencia, la Delegatura para Funciones Jurisdiccionales, bajo la perspectiva del régimen de protección al consumidor financiero, resolverá en derecho la controversia surgida de la relación contractual arriba mencionada.

2. ASPECTOS SUSTANCIALES. 2.1 Problema jurídico. ¿Es contractualmente responsable el XXXX por las transacciones realizadas vía internet con cargo a la cuenta de ahorros de la demandante el día 20 de junio de 2012, por un valor total de $7.422.074 y que ésta desconoce haber realizado?

Para resolver el problema jurídico planteado, esta Delegatura estudiará en primer término el régimen de responsabilidad de la actividad financiera; segundo, el contrato de depósito y las obligaciones de las partes, para finalmente, analizar el caso concreto. 2.2 El régimen de responsabilidad de la actividad financiera. A partir de la existencia del contrato de cuenta de ahorros suscrito entre el XXXX y la señora XXXX, se plantea la responsabilidad del banco demandado por el incumplimiento de las obligaciones allí pactadas, específicamente por la realización de las transacciones efectuadas vía internet el 20 de junio de 2012,

entre las 10:13:53 y las 10:48:24 horas, operaciones a través de las cuales se hicieron pagos a la Federación Colombiana de Municipios, según da cuenta el log transaccional (fl. 186), por un valor total de $7.422.074,oo y que son desconocidas por la demandante. De acuerdo con el anterior supuesto fáctico, la actividad financiera se evidencia en el presente caso en la celebración de un contrato de cuenta de ahorros o depósito irregular de dinero, contemplado y regulado en los artículos 1396 a 1398 del Código de Comercio, 126 y 127 del Estatuto Orgánico del Sistema Financiero, contrato que como lo establece el literal a), numeral 1.3, del Capítulo Cuarto, Título II de la Circular Básica Jurídica 007 de 1996 de la Superintendencia Financiera, configura “un derecho personal para el depositante traducido en un crédito a cargo del banco depositario, habida cuenta que entre las partes se estructura una operación pasiva de crédito”. Para efectos de establecer el régimen de responsabilidad aplicable, de manera liminar debe hacerse referencia al artículo 335 de la Constitución Política, el cual califica la actividad financiera como de “interés público”, toda vez que maneja, Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 2 SUPERINTENDENCIA FINANCIERA DE COLOMBIA aprovecha e invierte recursos captados del público y por ello, requiere de previa autorización del Estado para su ejercicio. Al respecto la Corte Constitucional, en sentencia C-640 de 2010, señaló que:

“…la actividad financiera, bursátil y aseguradora es, pues, una actividad esencial para el desarrollo económico; constituye principal mecanismo de administración del ahorro del público y de financiación de la inversión pública y privada y está fundada en un pacto intangible de confianza. Se trata de la confianza por parte de los usuarios en que las obligaciones derivadas de la respectiva obligación serán rutinariamente satisfechas. Y esa confianza está a su vez cimentada en una regulación adecuada y en la convicción pública de que las entidades que hacen parte del sistema están vigiladas técnica y profesionalmente…”. Esta especial protección a la actividad financiera fundada en la confianza pública inmersa en su gestión, exige precisamente de las entidades que la ejercen, mayor diligencia y profesionalismo en el desarrollo de la misma, toda vez que como prestadoras del servicio poseen un amplio margen de control de las operaciones, contando con sistemas de información y de transacción de carácter técnico, servicios por los cuales reciben una retribución por parte de los clientes, generando un régimen especial en sus relaciones contractuales. No obstante, aunque la responsabilidad que se predica de las entidades financieras, se analiza bajo la perspectiva de la anunciada diligencia y profesionalismo que se impone a aquellas en el ejercicio de su actividad, no lo es menos que ésta puede desaparecer o verse menguada atendiendo a la participación excluyente o concurrente del consumidor financiero en la causación del daño cuya indemnización se persigue. Sobre el particular, la Sala Civil de la Corte Suprema de Justicia (expediente 2010-00320-00) en sentencia de tutela

del 11 de marzo de 2010 precisó: “…en todo caso, se debe tener presente también que el particular régimen que se ha reseñado no comporta, ni mucho menos, un sistema de responsabilidad absoluta en contra de la entidad bancaria, ni una indebida generalización de los criterios objetivos de imputación, pues es bien sabido que la institución financiera puede ejercer su derecho de defensa en orden a desvirtuar algunos de los presupuestos de la pretensión indemnizatoria, y en ese sentido, aunque en ocasiones no le sea admitido acreditar su propia diligencia –caso del incumplimiento de obligaciones de resultado-, siempre podrá desplegar una amplia labor en el campo probatorio para acreditar, v.gr., que el perjuicio reclamado no ha existido o que la causa del daño que se le imputa no se encuentra en sus acciones u omisiones sino en la conducta exclusiva del cuentacorrentista o de sus vinculados o, en fin, que el daño ha sido consecuencia de un evento imprevisible e irresistible, ajeno, además, al círculo de control que corresponda a su actividad (…) ”.(Se destaca) De acuerdo con lo anterior, corresponde al XXXX acreditar, no solo que cumplió con las obligaciones contractuales pactadas, sino que, frente al retiro de los dineros recibidos para su cuidado y custodia de la demandante, de no haber sido realizados o autorizadas por ella, fue su acción u omisión la generadora del perjuicio que reclama. 2.3. El contrato de depósito y las obligaciones de las partes En virtud del contrato de cuenta de ahorros el establecimiento faculta al cliente para realizar depósitos en dinero o cheque en su cuenta y consecuentemente realizar retiros de la misma, atribución que correlativamente obliga a la entidad y

la convierte en deudora del cuentahabiente, para que siendo diligente en la custodia de esos dineros y en la prestación del servicio profesional que le fue Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 3 SUPERINTENDENCIA FINANCIERA DE COLOMBIA autorizado, además de recibir los depósitos permita las operaciones de retiro de aquellos, a través de los diferentes canales que la entidad financiera ofrece para tal efecto. No obstante, no puede perderse de vista que pese a su voluntariedad (art. 1602 del Código Civil), se trata de un contrato de adhesión, que si bien está sujeto a las normas propias de ese tipo contractual, quien determina su contenido y fija las cláusulas de manera unilateral es la entidad financiera, para que sus clientes a su elección las acepten o las rechacen, esto por tratarse de relaciones contractuales en masa, que deben desarrollarse de manera estandarizada en su ejecución y operación y que se suscriben siempre entre el mismo contrayente y un gran número de personas. Para el establecimiento de crédito surge la carga de brindar “productos y servicios con estándares de seguridad y calidad, de acuerdo con las condiciones ofrecidas y las obligaciones asumidas por las entidades vigiladas” (se resalta), derecho del consumidor que expresamente consagra el literal a) del artículo 5º de la Ley 1328 de 2009 y que de conformidad con su literal f), resultan de imperativo cumplimiento para las entidades financieras, amén que constituyen los parámetros mínimos dentro de los cuales se cumplen las obligaciones

contractuales pactadas. Se trata de derechos del consumidor financiero protegidos “durante todos los momentos de su relación con la entidad vigilada”, como lo establece ese mismo canon normativo. Así las cosas, cuando el banco recibe depósitos en cuenta de ahorros, con ocasión del contrato, en este caso, suscrito con la señora XXXX, se constituye en deudor de la misma y, por tanto, le corresponde custodiar los dineros depositados y responder por las erogaciones que ésta autoriza, a través de los diferentes canales puestos a su disposición, los que deberán cumplir con todas las condiciones de seguridad exigidas por la ley e incorporadas por éste al contrato, para evitar que se generen movimientos no autorizados en la cuenta del Consumidor Financiero. Dentro de los estándares generales mínimos establecidos para la seguridad de los dineros depositados por el consumidor financiero, resultan relevantes para el presente análisis los establecidos en el Capítulo Décimo Segundo del Título Primero de la Circular Básica Jurídica No. 007 de 1996: (i) Establecer procedimientos para el bloqueo de canales o instrumentos para la realización de operaciones cuando existan situaciones o hechos que lo ameriten o después de un número de accesos fallidos por parte de un cliente, así como las medidas operativas y de seguridad para la reactivación de los mismos (num. 3.1.12); (ii) Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos (num. 3.1.13.); (iii) Informar adecuadamente a los clientes respecto de las medidas de seguridad que deberán

tener en cuenta para la realización de operaciones por cada canal, así como los procedimientos para el bloqueo, inactivación, reactivación y cancelación de los productos y servicios ofrecidos (num. 3.4.4), y (iv) Establecer y publicar por los canales de distribución, en los que sea posible, las medidas de seguridad que deberá adoptar el cliente para el uso de los mismos (núm. 3.4.5). Ahora bien, las obligaciones de la demandante respecto de la cuenta de ahorros se contraen a hacer buen uso de la misma, debiendo cumplir con todas las recomendaciones preventivas del caso, “revisar los términos y condiciones del respectivo contrato y sus anexos”; no revelar o compartir su clave personal, cambiarla regularmente, y evitar que terceros tuvieran acceso a los productos Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 4 SUPERINTENDENCIA FINANCIERA DE COLOMBIA contratados con el banco, para lo cual, se deben “observar las instrucciones y recomendaciones que imparta la entidad vigilada sobre el manejo de productos o servicios financieros”, prácticas de protección propias del consumidor financieroartículo 6 de la Ley 1328 de 2009-. Sin embargo, desde ya advierte esta Delegatura, que de acuerdo con el parágrafo 1º del precepto que se cita, su inobservancia no da lugar a la pérdida o desatención de sus derechos y tampoco “…exime a las entidades vigiladas de las obligaciones especiales consagradas en la presente ley respecto de los consumidores financieros”. Lo anterior sin perjuicio de las

obligaciones que se contraen en virtud de los reglamentos aplicables a cada contrato en particular y siempre que no se trate de cláusulas abusivas. En el presente caso, el “reglamento de depósito a la vista en moneda legal – banca móvil-” obrante a folios 286 a 288, aplicable a la relación contractual objeto de debate, se estableció que “la única identificación del cliente para la realización de transacciones y consultas de la Cuenta Móvil a través de los medios y canales electrónicos tales como (…) internet (…), es la clave o contraseña que éste asigne para cada canal”, documento en el que igualmente se consigna como derecho del cliente el “exigir debida diligencia en la prestación del servicio por parte del BANCO”. Así mismo, en el artículo 26.4 del advertido reglamento, se señala como obligación de los clientes, el deber de “asignar de manera personalísima las claves o contraseñas de los diversos medios y canales para el manejo de la Cuenta Móvil y cambiarlas por lo menos una vez al mes”. (fl.287) Bajo los anteriores lineamientos, la Delegatura para Funciones Jurisdiccionales resolverá en derecho la controversia planteada como ha quedado identificada, con base en las pruebas oportuna y debidamente aportadas al proceso.

3. EL CASO CONCRETO En el presente asunto no se discute que entre las partes se suscribió el contrato de cuenta de ahorros mencionado, en tanto que de ello da fe el reconocimiento que sobre el particular hicieran las partes en sus intervenciones, efecto de lo cual se tuvo por cierto tal supuesto fáctico al momento de fijar el litigio (fl. 278 vlto).

El XXXX se opone a la prosperidad de las pretensiones de la demanda proponiendo las excepciones que denominó “Inexistencia de la responsabilidad que se le imputa a la entidad financiera demandada”, “Incumplimiento del contrato y Culpa del demandante”, “Hecho de un tercero e ilegitimidad de la parte pasiva”. Igualmente solicita declarar la “excepción genérica” de que trata el artículo 306 del Código de Procedimiento Civil, si a ello hubiere lugar. Como cimiento de tales defensas señala la pasiva que no ha mediado inobservancia de su parte a ninguna de sus obligaciones contractuales y por el contrario, las operaciones objetadas se realizaron desde el usuario “betica2112” y sus claves secretas”, es decir, sólo pudieron materializarse por la actividad de la demandante, un tercero o por haber desplegado aquella una conducta imprudente, descuidada y, por ende, culposa frente a su obligación de custodia, vigilancia y protección de la información, en la medida que obligatoriamente se efectuaron con los datos que solamente ella conocía . Además, señala que la señora XXXX omitió el cumplimiento de su deber contractual de observar las recomendaciones e instrucciones impartidas por el Banco para realizar cualquier transacción, como lo es la de cambiar la clave cada mes, contenido en el artículo 26 del reglamento de ahorros en la modalidad “CUENTA MOVIL”, puesto que en el “portal transaccional se evidencian solo dos cambios de clave en agosto 30 de 2011 y siete meses después el día 05 de marzo de 2012”. Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 5 SUPERINTENDENCIA FINANCIERA DE COLOMBIA De conformidad con el material probatorio recaudado, específicamente la bitácora transaccional visible en el CD obrante a folio 186 del paginario, se tiene que el día 20 de junio de 2012 de la cuenta de ahorros de la que es titular la señora XXXX, se realizaron 5 pagos a través de PSE, por un total de $7.422.074. Así mismo se evidencia que en el periodo comprendido entre el 5 de diciembre de 2011 al 20 de junio de 2012, la cuentahabiente accedía usualmente al portal transaccional del XXXX en internet, para realizar habitualmente las operaciones que allí se denominan con el descriptor “Saldo detallado”, “Consulta de movimientos” y “Realizar una transferencia en línea o programada”. Igualmente, se puede extraer que las transacciones del 20 de junio de 2012 no eran los primeros pagos que se canalizaban a través de PSE, y que, como lo reconoció la demandante en su declaración, las operaciones con cargo a su cuenta de ahorros por esa vía se realizaban desde direcciones I.P. diferentes. No obstante lo anterior, el citado medio de prueba igualmente evidencia que las operaciones demandadas no se encontraban dentro del hábito transaccional de la señora XXXX, pues si bien la demandante sí realizaba operaciones de pago a través de PSE, el monto máximo de tales transacciones no superaba la suma de $146.600, amén que nunca había realizado un pago con destino a la Federación Colombiana de Municipios, por lo que la primera operación efectuada el día 20 de

junio que desconoce la demandante, por valor de $2.171.745, ampliamente superaba el monto máximo de pagos que habitualmente se realizaban con cargo a la cuenta de ahorros por ese medio, lo que también se advierte de las demás operaciones PSE que por montos de $1.290.252, $1.133.400, $2.149.517, $677.160, se hicieron ese día, las cuales no sólo fueron consecutivas sino que su sumatoria ($7.422.074), supera el número diario de movimientos habitualmente realizadas por la demandante. Tal circunstancia podía ser advertida por el Banco convocado, pues como lo explicó el Director de Seguridad de la Información de la entidad en su declaración “usted hace un pago de PILA y ese pago de PILA se hace a través de una plataforma de comercio electrónico, esa transacción queda catalogada como tal, como una transacción de comercio electrónico, no importa si viene de PILA, el éxito (…), como tal la transacción queda catalogada como una transacción de comercio electrónico, por lo tanto si uno analiza los logs usted tenía un perfil de hacer pagos en comercio electrónico (…) y si uno analiza su perfil, su perfil indica que usted acostumbraba a hacer pagos PSE” (…), amén que cuando se le preguntó por qué razón se generó el bloqueo preventivo de la cuenta de la demandante, manifestó que “monitoreo transaccional llamó a la cliente, (…) una vez la llaman (es lo que yo tengo entendido, lo que pude leer) llaman y ella refuta la transacción, en ese momento se genera el bloqueo, pero después, digamos que hace parte de lo que yo les comentaba del perfil basado en transacciones, el sistema empieza a entender una, dos, tres y ahí empieza a determinar un patrón específico, ese patrón

específico era comercio electrónico, si, ahora miremos entonces sale el monto, si el monto, y una vez aprende que los montos están siempre ligados a tanto dinero, entonces el sistema alerta, y dice mire es posible que esta ultima transacción que estamos identificando (…) es posible que sea un inusual, entonces el sistema de monitoreo (,…) llama y contacta la persona y dice usted hizo la transacción (…) entonces cuando la refuta lo que hacemos es bloquear la cuenta preventivamente” (folio 283, minutos 49:06 a 1:07:45). De otra parte, frente a la consumación de las operaciones objeto de debate, señala la entidad convocada que las mismas cursaron técnicamente exitosas, pues se realizaron y se ejecutaron con la información necesaria para producirlas, manifestación a partir del cual estructura la defensa “inexistencia de la responsabilidad que se le imputa a la entidad financiera demandada”. No obstante, tal argumento no resulta de recibo puesto que aunado a que tal situación no Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 6 SUPERINTENDENCIA FINANCIERA DE COLOMBIA constituye un hecho discutido en este caso, tampoco traslada la responsabilidad en cabeza de la demandante, pues las transacciones monetarias objeto de reclamación fueron realizadas con cargo a la cuenta de ahorros de la demandante a través de un medio de pago aceptado y puesto a disposición de sus clientes por parte del Banco demandado, esto es, el sistema de pagos PSE (Proveedor de Servicios Electrónicos), lo que como ya se explicó, impone que

sea la misma entidad financiera quien asuma los riesgos propios de su actividad, especialmente frente a los canales que pone a disposición del consumidor, debiendo garantizar su utilización en condiciones de seguridad, pudiéndose relevar de su responsabilidad acreditando que quien lo usa, actuó negligentemente en su utilización, poniéndose en la situación de riesgo. Ahora bien, en lo que respecta al sistema de seguridad OTP implementado por el banco y que se encontraba activo para la fecha de los hechos, pues la demandante desde el 13 de junio de 2012 se encontraba inscrita en la página web del Banco y conocía de la nueva implementación, en cuanto afirma que una vez regresó de viaje, ingresó a la página web de la entidad y se encontró con que el sistema “me pide una clave, hasta el mes de mayo existía la clave de los 16 dígitos de la tarjeta debito en mi poder, mas la clave de esa tarjeta debito también mía, pero en el mes de junio” (…) “me encuentro con que voy a pagar la PILA el 12 de junio me encuentro con que ya no existe esa tal clave como teníamos el sistema de los 16 dígitos (…) “existe ahora una clave temporal (…)” (fl 283, minuto 4:52 a 5:27). Al respecto, , relató el testigo que “(…) el sistema básicamente utiliza un control llamado claves temporales de un solo uso, esa es la traducción de OTP, esas claves temporales de un solo uso, como su nombre lo indica, tienen un tiempo determinado para hacer el consumo o el uso de una transacción, a partir de eso” (…) “una clave temporal es generada a

través de un algoritmo matemático, el cual genera un numero que es irrepetible y ese número no puede ser predicho a partir de otro, a partir de eso podemos decir que ese número es único y se puede usar una sola vez y solo le llega a un solo cliente, no es repetible, eso quiere decir que no le va a llegar a usted ni a otra persona el mismo número, partiendo de ese hecho, el banco utiliza unos medios para distribuir ese número, para distribuir ese numero el banco cuenta con dos puntos específicos para hacerle llegar ese dato al cliente, cuales son, algo que posee el cliente, esos son el celular y el correo electrónico del cliente, el cliente para activar ese canal de comunicación y de intercambio de información de claves temporales, en el momento tienen que acercarse a la oficina y hacer una actualización de los datos y establecer que esos datos que él le está entregando como el celular y el correo electrónico son seguros para él, seguros para recibir información, una vez él autoriza que se utilice el canal de internet y se habiliten esos dos puntos de llegada de información de esas claves temporales el servicio queda activo, después de esto, el cliente tiene que configurar 5 preguntas las cuales 4 de ellas son escogidas a través de varias opciones que da el banco de diferentes preguntas” (…) “y hay una que configura el cliente autónomamente” (…) “las respuesta también la autoconfigura el cliente, por lo tanto se quedan 5 preguntas con 5 respuestas que solo el cliente conoce (…)” (minuto 12:04 a 12:47). Frente a dicho sistema aclaró en su exposición, que puede calificarse como de “autenticación fuerte porque el cliente es el que posee el dispositivo y posee el acceso al correo electrónico, entonces estamos haciendo autenticación fuerte” por cuanto “una vez se coloca la OTP, la transacción es

autorizada y así fluye la transacción, una vez terminada” (fl 186, minuto 12:04 a 12:47 archivo testimonio). En esta medida, con el perfil basado en transacciones, incluyendo el sistema OTP, se relacionan los montos por los que usualmente la cliente transa en el comercio, es decir, el sistema de seguridad reconoce los montos usuales de transacción a través de PSE y cuando se identifica un monto inusual, el sistema de monitoreo llama y contacta a la titular de la cuenta, como efectivamente sucedió en el presente caso. Calle 7 No. 4 - 49 Bogotá D.C.

Conmutador: (571) 5 94 02 00 – 5 94 02 01

www.superfinanciera.gov.co 7 SUPERINTENDENCIA FINANCIERA DE COLOMBIA No obstante, en el caso bajo examen la primera transacción con cargo a la cuenta de la demandante por un monto inusual de $2.171.745, se generó a las 10:13:53 horas, frente a lo cual el “sistema de monitoreo alertó las transacciones logrando contacto telefónico con el cliente a las 11:17 de ese mismo día, quien manifestó no reconocer las transacciones, procediendo a bloquear la cuenta por causal 05 “intento de fraude”, según consta en la comunicación al Comité Interno del Banco para el estudio del caso, aportado por su Representante en la audiencia del pasado 14 de marzo (fls. 281 a 282), es decir, tal bloqueo se dio 1 hora y 4 minutos después de la primera operación, por lo que no cumplió su finalidad de evitar que se efectuaran las demás transacciones de las que se queja la demandante, las cuales terminaron casi treinta minutos antes del bloqueo, para con ello garantizar

la seguridad de los dineros depositados en su cuenta de ahorros. Por consiguiente, aunque el referido sistema de seguridad, corresponde a un medio implementado por el Banco para mitigar los riegos propios de su actividad calificado de “autenticación fuerte”, lo cierto es que no resultó suficiente para impedir la realización de las transacciones desconocidas por la demandante, pues a pesar de la existencia de operaciones irregulares, el procedimiento para alertar a la cuentahabiente y adoptar las medidas de seguridad correspondientes ocurrió tiempo después de la consumación de las 5 operaciones que no guardaban relación con su perfil transaccional, siendo como se anotó, obligación contractual del Banco prestar los servicios a través de medios y canales que cuenten con las seguridades correspondientes y que le permitan garantizar la custodia de los dineros que recibe en virtud de la confianza de sus clientes. Al respecto, debe igualmente relievarse que el nuevo sistema utilizado por el Banco para transacciones vía internet, pese a que de su utilización derivaba la seguridad de las transacciones, no contó con la participación de la demandante en los términos descritos por el testigo, tal como se puede concluir de las afirmaciones respecto sobre que no fue enterada del alcance de la actualización que estaba realizando para acceder al canal, ni sus preguntas y respuestas, que serían usadas para su autenticación, fueron actualizadas, tomando por tales aquellas que la demandante había dado tiempo atrás al vincularse con la entidad. (fl 186, minuto 1:10:35 a 1:11:10 archivo testimonio). De otro lado, el hecho de que la señora XXXX reconociera en su declaración, que las operaciones con cargo a su cuenta de ahorros vía internet se realizaban

desde direcciones I.P. diferentes, lo cierto es que como lo destacó el testigo en su exposición cuando se trata de una I.P. dinámica “digamos que eso no dice que sea riesgoso, lo único que indica para el banco es que es imposible establecer un perfil transaccional basado en un dirección I.P. es básicamente, porque mi costumbre es utilizar muchas direcciones I.P., por lo tanto yo no podría decir mire usted siempre entra desde esta dirección I.P., así usted esté haciendo, usted tenga su computador en la casa, si desde su casa el proveedor de servicio siempre le cambia la dirección de internet, cada semana o cada dos días, eso hace que usted genere una cantidad de direcciones I.P. para conexión, entonces que le impide al banco determinar que su perfil para conexión siempre va a ser una I.P. especifica, (…) en estos casos del mundo de internet genera un nivel de complejidad muy alto establecer un perfil transaccional basado en las direcciones I.P., porque el mundo natural de internet está basado en direcciones I.P. dinámicas”; de acuerdo con lo expuesto, el uso del canal a través de IPs dinámicas, genera un perfil transaccional con diversas direcciones IP, que en e