Phishing bancari: com reclamar al banc les operacions no autoritzades
Aquest article ha estat revisat el
Ha estat víctima d'una estafa i al seu compte hi ha moviments que vostè no va ordenar? Què és la negligència greu, qui l'ha de provar i com es reclama a l'entitat.
Si ha estat víctima d'una estafa o d'un phishing i al seu compte han aparegut moviments que vostè no va ordenar, la pregunta immediata és si aquells diners es poden reclamar a l'entitat. El que decideix la resposta és un concepte jurídic concret: la negligència greu.
Phishing, smishing i vishing: de què parlem
El phishing obté les claus o les dades bancàries suplantant una entitat de confiança, habitualment mitjançant correus que demanen obrir un enllaç a una web falsa. La mateixa tècnica per SMS es denomina smishing; per trucada telefònica, vishing (font: INCIBE).
Expliquem cada modalitat, juntament amb el duplicat de targeta SIM, les pàgines mirall i els deepfakes, i com les castiga el Codi penal, al nostre article sobre els tipus d'estafes bancàries per internet.
Què és una operació de pagament no autoritzada
Quan algú suplanta una entitat de confiança per obtenir les claus, les dades de la targeta o el codi de confirmació, i després s'executen transferències o compres que el titular no ha ordenat, estem davant d'operacions de pagament no autoritzades.
Aquesta qualificació activa un règim propi, el del Reial decret llei 19/2018, de 23 de novembre, de serveis de pagament.
La negligència greu: el concepte que decideix
Gairebé totes les reclamacions per phishing es resolen en un sol punt, i no és el de si hi va haver engany —això poques vegades es discuteix—, sinó el de si el titular va incórrer en negligència greu.
La llei no la defineix amb una llista tancada, però sí que fixa contra què es mesura: contra les obligacions de l'article 41, que són només dues:
1. Utilitzar l'instrument de pagament conforme a les condicions que regulin la seva emissió i utilització, que han de ser objectives, no discriminatòries i proporcionades, prenent totes les mesures raonables per protegir les credencials de seguretat personalitzades. 2. Notificar sense demora indeguda l'extraviament, la sostracció, l'apropiació indeguda o la utilització no autoritzada.
No hi ha una tercera obligació. I «negligència greu» no equival a «haver comès un error»: és un estàndard més exigent, que es valora atenent a com es va produir l'engany, el seu grau de sofisticació i les circumstàncies concretes del cas.
Qui ha de provar què
L'article 44.1 estableix que, quan l'usuari nega haver autoritzat una operació ja executada, correspon a l'entitat demostrar que aquella operació va ser autenticada, registrada amb exactitud i comptabilitzada, i que no es va veure afectada per una fallada tècnica o una altra deficiència del servei.
L'article 44.2 precisa que el registre de l'ús de l'instrument de pagament no basta, necessàriament, per demostrar que l'operació va ser autoritzada per l'ordenant, ni que aquest va actuar de manera fraudulenta o va incomplir deliberadament o per negligència greu les seves obligacions de l'article 41.
I l'article 44.3 tanca el raonament:
- «Corresponderá al proveedor de servicios de pago […] probar que el usuario del servicio de pago cometió fraude o negligencia grave.»
Si l'entitat sosté que hi va haver negligència greu, és l'entitat qui ho ha d'acreditar.
Fins on respon el titular
Com a regla, l'article 46.1 limita a 50 euros les pèrdues que pot suportar el titular per operacions derivades d'un instrument de pagament extraviat, sostret o apropiat indegudament, amb excepcions que fins i tot eliminen aquest import.
Aquest límit desapareix, i el titular suporta totes les pèrdues, si va actuar de forma fraudulenta o va incomplir deliberadament o per negligència greu les obligacions de l'article 41.
El mateix article recull dues regles que convé conèixer:
- Si l'entitat no exigeix autenticació reforçada de client (article 46.2), el titular només suporta conseqüències econòmiques en cas d'haver actuat de forma fraudulenta.
- Si les operacions es van fer de forma no presencial utilitzant únicament les dades de pagament impreses en el propi instrument, el titular queda exempt de tota responsabilitat, llevat de frau o negligència greu en el compliment de les seves obligacions de custòdia, sempre que ho hagi notificat sense demora.
I, després de la notificació, l'article 46.3 exclou qualsevol conseqüència econòmica per al titular, llevat d'actuació fraudulenta.
Què fer les primeres hores
Les decisions de les primeres hores condicionen tota la reclamació posterior.
- Comunicar-ho a l'entitat immediatament i demanar el bloqueig. És una de les dues obligacions de l'article 41 i convé que quedi constància de l'hora.
- Canviar les contrasenyes compromeses i les de qualsevol altre compte on es repeteixin.
- No esborrar res. El missatge, el correu, el número des del qual van trucar, les captures de la web falsa i els avisos de l'aplicació són el que després permet discutir la qualificació de negligència greu.
- Denunciar els fets davant dels Mossos d'Esquadra, la Policia Nacional o la Guàrdia Civil.
- Demanar per escrit a l'entitat el detall de les operacions i de com es va autenticar cadascuna. L'article 44.4 obliga a conservar aquesta documentació almenys sis anys i a facilitar-la a l'usuari si la sol·licita.
- L'INCIBE manté una línia d'ajuda en ciberseguretat, el 017, gratuïta i confidencial, amb orientació tècnica sobre què fer i com preservar les evidències.
Terminis
La comunicació s'ha de fer sense demora injustificada des que se'n té coneixement i, en tot cas, dins d'un termini màxim de tretze mesos comptats des de la data del càrrec (article 43.1). Aquest termini no s'aplica quan l'entitat no va proporcionar ni va posar a disposició del client la informació sobre l'operació.
Les dues vies
La reclamació a l'entitat és la que persegueix la devolució de l'import: escrit al servei d'atenció al client i, si no es resol, reclamació davant del Departament de Conducta d'Entitats del Banc d'Espanya i, si escau, demanda civil. El pronunciament del Banc d'Espanya no és vinculant per a l'entitat i no substitueix la via judicial, però el procediment és gratuït i l'informe té valor després.
La denúncia penal persegueix qui va cometre l'estafa, no l'entitat. A la pràctica l'autor poques vegades apareix, però la denúncia fixa la versió dels fets des del principi, acredita la diligència del titular i s'incorpora com a prova a la reclamació civil. Si decideix denunciar, pot consultar també els drets que la llei reconeix a la víctima d'un delicte.
Què revisem abans de reclamar
- Com es va produir el contacte i quines dades va arribar a facilitar el titular.
- Quines operacions es van executar, en quin ordre i amb quin mètode d'autenticació.
- Si l'entitat va aplicar autenticació reforçada i què consta als seus registres.
- Quan es van comunicar els fets i com va quedar documentada aquella comunicació.
- Quina resposta ha donat l'entitat i amb quin fonament.
A partir d'aquí es decideix si la reclamació té recorregut i per quina via, abans de presentar res.
Fonts consultades
Li han fet moviments que vostè no va autoritzar?
Si ha estat víctima d'una suplantació i no sap si pot reclamar a la seva entitat, Villena Salarich Advocats és un despatx d'advocats a L'Hospitalet de Llobregat. Contacti amb nosaltres i revisarem la seva situació per assessorar-lo abans de prendre qualsevol decisió.