El pasado día 25 de marzo, la Sala Primera de lo Civil del Tribunal Supremo dicto su Sentencia nº.787/2026, que determina la compensación indemnizatoria cuando el tribunal constata que existe una concurrencia de culpas entre un banco y una empresa cliente con ocasión de una transferencia digital de fondos. Esta Sentencia incide en un ámbito de importancia creciente en la Economía, como es la responsabilidad derivada de errores cometidos por los bancos y sus clientes en las transferencias digitales de fondos y resulta particularmente oportuna porque los errores cometidos por la empleada de la empresa cliente fueron provocados por actos de ciberdelincuencia de terceros.
A) Identificación de la Sentencia
La Sentencia de la Sección 1ª de la Sala Primera de lo Civil del Tribunal Supremo nº.787/2026 (Id Cendoj: 28079110012026100795; Nº de Recurso: 6306/2021; Ponente: Antonio Garcia Martinez) desestima el recurso extraordinario por infracción procesal y el recurso de casación interpuestos por Privalia Venta Directa, S.A.U., así como el recurso de casación interpuesto por Banco Santander, S.A., contra la Sentencia n.º 299/2021, dictada el 30 de abril de 2021 por la Sección n.º 11 de la Audiencia Provincial de Barcelona, en el recurso de apelación n.º 221/2020, dimanante de los autos de Procedimiento Ordinario n.º 1053/2017 del Juzgado de Primera Instancia n.º 34 de Barcelona.
Esta Sentencia precisa, con particular claridad, los deberes de diligencia respectivamente exigibles a las partes implicadas en las transferencias digitales de fondos: por una parte, al banco, a quien se le aplica un deber de diligencia profesional financiero; y, por otro lado, a la empresa cliente, que debe guiar su conducta conforme al paradigma general de un “ordenado empresario”. En efecto, nos parece particularmente interesante esta Sentencia nº.787/2026, de 25 de mayo, porque ratifica una distinción esencial en la jurisprudencia en esta materia al tomar en consideración la condición empresarial del cliente ordenante para adecuar el paradigma de diligencia aplicable (“ordenado empresario”) frente a los clientes que sean consumidores (el buen padre de familia proyectado como un consumidor consciente) (el lector interesado puede consultar la entrada de este blog del 9 de abril de 2025 sobre la “Responsabilidad del banco por los servicios de pago. Es suficiente que el banco indique el «identificador único» en transferencia entre empresas. Sentencia de la Sala Primera de lo Civil del Tribunal Supremo nº.507/2025, de 27 de marzo”).
En el supuesto litigioso concurre una circunstancia particular porque los errores manifiestos cometidos por la empleada de la empresa al realizar las transferencias digitales de fondos fueron provocados por actos de ciberdelincuencia de terceros, quienes, además, recurrieron a un engaño basado en los deberes de confidencialidad que acompañan a las OPAs.
B) Supuesto de hecho
Sobre la base del resumen de antecedentes del Fundamento de Derecho Primero de la Sentencia, podemos resumir la cronología fáctica del caso del siguiente modo:
a) Privalia Venta Directa, S.A.U. tenía una cuenta corriente abierta en Banco Santander, S.A.
b) El 17 de diciembre de 2014, Privalia comunico al Banco un protocolo de instrucciones para la realización de trasferencias de fondos de su cuenta. En el email con el que se envió el protocolo, se informaba de un fraude a través de Internet en el que unos hackers entraron en el mail de una empleada y se ordenó una transferencia a una cuenta de Malasia. A partir de ese incidente, la empresa decidió permitir ordenes por carta pero exclusivamente para transferencias dentro del grupo. Y así se lo comunicó al Banco.
c) El 24 de mayo de 2016 una persona que decía llamarse Carlos Jesús, abogado de KPMG, contactó con la Sra. Zulima -empleada de Privalia- a través de su número de teléfono fijo del trabajo comunicándole -de parte del cofundador de la empresa, Sr. Claudio- que ella se tendría que encargar de una OPA por la adquisición de una empresa china y que sería el propio Sr. Claudio quien contactaría personalmente con ella para comentarle el tema, y que no podía hablar con nadie sobre esta operación. La Sra. Zulima procede a comprobar por internet que el Sr. Carlos Jesús era abogado fiscalista de KPMG.
c) El mismo día 24 de mayo de 2016 se le informó a la Sra. Zulima de que no podía hablar con nadie del tema, porque así lo exigía la CNMV y que tenía que firmar un acuerdo de confidencialidad que firmó.
d) Ese mismo día 24 de mayo de 2016, quien se hizo pasar por Carlos Jesús envió una factura del 5% del precio de compra de la compañía, 137.938,50€ y le pidió a la Sra. Zulima que preparase una carta para que el Sr. Claudio autorizara la transferencia; carta que preparó y la envió al supuesto Sr. Carlos Jesús
e) Al día siguiente, el 25 de mayo de 2016 la Sra. Zulima recibió un correo con la carta adjunta firmada -firma que ella interpretó que era la del Sr. Claudio- autorizando la transferencia.
f) Seguidamente, quien se hizo pasar por Carlos Jesús se puso en contacto con la Sra. Zulima para solicitar la transferencia. Esta operativa se repitió durante los siguientes 15 días seis veces más. Estas cartas que enviaba la Sra. Zulima (que ni tan solo era apoderada de Privalia), fueron contestadas por el Banco demandado a través del Sr. Gabino quién le facilitaba a la Sra. Zulima el duplicado del mensaje SWIFT de ejecución de las transferencias.
g) En conclusión, según relata la Sentencia recurrida de la AP; si el Banco hubiera cumplido las instrucciones del protocolo de 17 de diciembre de 2014; no se habrían producido estas transferencias defraudadoras, (137.938,50 euros el 25-3-2016, y 331.702 euros el 27-5-2016, a Wenzhou Xinhang Trading Co. Ltd.; 226.778 euros el31-5-2016, 198.120 euros el 31-5-2016, 173.802 euros el 3-6-2016 y 196.293 euros el 7-6-2016 a Wenzhou JianCng Shoes Limited Company y 302.318 euros el 9-6-2016 a Andongni Trading Limited). En ninguno de los casos se pidió la confirmación telefónica pactada, y los beneficiarios eran empresas chinas con las que nunca la parte actora había tenido ningún tipo de relación.
C) Conflicto jurídico
a) Privalia interpuso una demanda contra el Banco de Santander por incumplimiento contractual y actuación negligente “en su condición de comisionista y proveedor del servicio de cuenta corriente y transferencia bancaria”, solicitando su condena a resarcir los daños y perjuicios causados, que ascienden a 1.566.951,50 euros. En concreto, en su demanda Privalia expuso que el Banco incumplió el mandato expreso relativo a la forma de realización y aprobación de transferencias bancarias de Privalia al procesar hasta siete operaciones anómalas de transferencia de fondos -ordenadas por una empleada de su departamento de tesorería, D.ª Zulima- por correo electrónico tras ser víctima de un engaño consistente en la suplantación de personalidad de uno de sus consejeros y cofundadores. Todo ello por importe superior a un millón y medio de euros, desde la cuenta corriente de Privalia con destino a cuentas de sociedades desconocidas, ubicadas en China, en contra del protocolo de instrucciones de 17 de diciembre de 2014 vinculante entre las partes. Privalia sostiene que la ejecución de dichas transferencias sin examinar adecuadamente la veracidad y procedencia de las órdenes, así como el incumplimiento del protocolo de instrucciones recibido, constituye un supuesto de negligencia muy grave que determina la responsabilidad del Banco y le obliga a resarcir los daños y perjuicios causados, que ascienden a 1.566.951,50 euros.
b) El Juzgado de Primera Instancia n.º 34 de Barcelona dictó la Sentencia n.º 222/2019, de 9 de septiembre de 2019, que estimo íntegramente la demanda de reclamación de cantidad, condenando al Banco a abonar a la demandante la suma de 1.566.951,50 euros, más los intereses legales.
c) La Sección n.º 11 de la Audiencia Provincial de Barcelona, dictó la Sentencia n.º 292/2021, de 30 de abril de 2021, que estimó en parte el recurso de apelación del Banco y, en consecuencia, revocó también parcialmente la de primera instancia, que había estimado íntegramente la demanda, reduciendo la condena por principal a la cantidad de 783.475,75 euros.
d) Privalia interpuso sendos recursos extraordinarios, por infracción procesal y de casación y, por su parte, el Banco interpuso un recurso de casación; todos ellos admitidos.
D) Doctrina jurisprudencial
D.1) Fallo
La Sala Primera de lo Civil del Tribunal Supremo acuerda: “Desestimar tanto el recurso extraordinario por infracción procesal y el recurso de casación interpuestos por Privalia Venta Directa, SAU como el recurso de casación interpuesto por el Banco de Santander, SA contra la Sentencia dictada por la Sección 11.ª de la Audiencia Provincial de Barcelona, con el n.º 292/2021, el 30 de abril de 2021, en el recurso de apelación n.º 221/2020 D, e imponer a las partes recurrentes las costas de sus respectivos recursos, con pérdida de los depósitos para recurrir”.
D.3) Fundamentación procesal de la desestimación del recurso extraordinario por infracción procesal de Privalia
La Sala desestima los tres motivos del recurso extraordinario por infracción procesal porque -por las razones que desarrolla en sus Fundamentos de Derecho Segundo y Tercero- considera que la Sentencia recurrida dictada por la Sección 11.ª de la Audiencia Provincial de Barcelona, con el n.º 292/2021, el 30 de abril de 2021 no infringe el art. 218.2 LEC, en relación con los arts. 24 y 120.3 CE, por falta de motivación, al no exteriorizar la sentencia recurrida el criterio jurídico por el que atribuye a cada parte una cuota de responsabilidad del 50%; ni incurrió en un error patente en la valoración de la prueba documental, en relación con el correo electrónico de 17 de diciembre de 2014 enviado por Privalia al Banco, y en copia oculta a la Sra. Zulima; ni incurrió un error patente en la valoración de la prueba testifical del Sr. Manuel, que declaró que la Sra. Zulima conocía el protocolo de instrucciones.
D.3) Fundamentación material de la desestimación de los recursos de casación interpuestos por Privalia y Banco Santander
Alteraremos el orden de análisis de los motivos de los recursos de casación interpuestos por Privalia y Banco Santander que establece el Fundamento de Derecho Sexto por razones de congruencia procesal. De tal manera que -en aras de la claridad y sencillez- examinaremos los respectivos preceptos de nuestro Código Civil y nuestro Código de Comercio implicados en la resolución final del litigio. Dejamos constancia en acta del “buen gusto jurídico” que implica plantear y resolver aplicando los principios ínsitos en nuestros Códigos decimonónicos un asunto tan complejo e innovador como son las consecuencias que las transferencias digitales perturbadas por la ciberdelincuencia tienen entre las partes del contrato de cuenta corriente bancaria.
a) La cuota de responsabilidad del 50% imputable a cada agente conforme a los arts.1101 y 1902 del Código Civil
Conviene comenzar recordando lo que nos dicen el artículo 1101 del Código Civil (“Quedan sujetos a la indemnización de los daños y perjuicios causados los que en el cumplimiento de sus obligaciones incurrieren en dolo, negligencia o morosidad, y los que de cualquier modo contravinieren al tenor de aquéllas”) y su artículo 1902 (“El que por acción u omisión causa daño a otro, interviniendo culpa o negligencia, está obligado a reparar el daño causado”).
La Sala se pronuncia -en el Fundamento de Derecho Séptimo- sobre la diligencia profesional financiera exigible al Banco y la diligencia empresarial exigible a la empresa ordenante de las transferencias diciendo que los motivos segundo del recurso de Privalia y único del recurso del Banco de Santander deben desestimarse porque, partiendo de planteamientos antagónicos coinciden en un mismo error de base: “pretenden excluir la relevancia causal de la conducta propia mediante su absorción por la de la contraparte, lo que no resulta conforme con los criterios de imputación de la responsabilidad civil cuando, como aquí sucede, conforme a lo declarado por la Audiencia Provincial, concurren conductas negligentes de ambas partes que han contribuido de forma relevante a la producción del daño”.
En especial, sobre la diligencia profesional financiera exigible al Banco dice: “En cuanto al motivo segundo del recurso de Privalia, la tesis de que la especial cualificación profesional del Banco determina la absorción de la negligencia del cliente no puede ser acogida. Que al Banco se le debe aplicar a la hora de valorar su actuación un estándar de diligencia cualificado, acorde con su condición de profesional experto, es cierto; pero de ello no se sigue que cualquier incumplimiento de dicho estándar excluya, sin más, la relevancia causal de la conducta del cliente”. Más adelante, señala que “el motivo único del recurso del Banco, que niega toda relevancia causal a su conducta, tampoco puede prosperar. La sentencia recurrida declara, de forma expresa y fundada, que la entidad bancaria incumplió las instrucciones recibidas y no desplegó las cautelas exigibles, en particular al no verificar la autenticidad de las órdenes mediante la confirmación telefónica pactada, pese a tratarse de operaciones anómalas y dirigidas a beneficiarios no autorizados. Este incumplimiento constituye un factor causal jurídicamente relevante en la producción del daño, en cuanto permitió la efectiva disposición de los fondos y la consumación del fraude”.
Sobre la diligencia empresarial exigible a la empresa ordenante de las transferencias establece que “tampoco cabe aplicarle, además, el estándar de diligencia del buen padre de familia, sino, como reconoce la propia Privalia, el de un ordenado empresario. El ordenamiento no consagra, en este ámbito, una regla de absorción automática de la culpa del cliente por la del profesional, sino que exige ponderar la incidencia causal de las conductas concurrentes, de modo que la mayor cualificación de uno de los intervinientes no elimina necesariamente la eficacia causal de la actuación negligente del otro cuando esta ha contribuido de manera relevante al resultado dañoso”.
Sobre la compensación de las eficacias causales en el daño de la negligencia profesional financiera del Banco y de la negligencia empresarial exigible a la empresa ordenante de las transferencias, la Sala dice: “En el caso, la Audiencia Provincial no desconoce el especial deber de diligencia del Banco, sino que, precisamente por ello, declara su responsabilidad por no haber observado las cautelas derivadas del protocolo de instrucciones. Pero, al mismo tiempo, aprecia que la conducta de Privalia -tanto por la insuficiencia de las instrucciones internas dadas a su empleada como por la actuación de esta al ejecutar órdenes manifiestamente anómalas sin las comprobaciones mínimas exigibles- ha tenido una incidencia causal relevante en la producción del daño. Esta valoración no contradice el estándar reforzado exigible al Banco, sino que se sitúa en el plano distinto de la concurrencia de culpas, cuya apreciación no queda excluida por la condición de profesional experto de una de las partes. En consecuencia, no cabe apreciar la infracción denunciada”.
b) La integración, en el juicio de causalidad, de la conducta de la empleada como hecho imputable a la empresa conforme al art.1903 del Código Civil
También resulta útil comenzar recordando lo que nos dice el artículo 1903 del Código Civil cuando establece: “La obligación que impone el artículo anterior es exigible no sólo por los actos u omisiones propios, sino por los de aquellas personas de quienes se debe responder.(…) Lo son igualmente los dueños o directores de un establecimiento o empresa respecto de los perjuicios causados por sus dependientes en el servicio de los ramos en que los tuvieran empleados, o con ocasión de sus funciones. (…) La responsabilidad de que trata este artículo cesará cuando las personas en él mencionadas prueben que emplearon toda la diligencia de un buen padre de familia para prevenir el daño”
La Sala desestima los respectivos motivos de las partes basados en este precepto cuando dice -en su Fundamento de Derecho Séptimo- que: “Desde esta perspectiva, no resulta exigible la concurrencia de un daño a un tercero en los términos propios de la responsabilidad extracontractual, pues no se está ante el ejercicio de una acción fundada en los arts.1902 y 1903 CC, sino ante un supuesto de responsabilidad contractual en el que el art. 1903 CC se utiliza como pauta de imputación subjetiva para determinar si el daño es también consecuencia de la conducta de la propia perjudicada. En consecuencia, la sentencia recurrida no incurre en el error jurídico que se denuncia, ya que no equipara indebidamente la obligación de reparar un daño a un tercero con la de «asumir un perjuicio» propio, sino que se limita a integrar en el juicio de causalidad la conducta de la empleada como hecho imputable a la empresa, lo que permite moderar la indemnización por la concurrencia de la propia culpa de la perjudicada, que, según concluye la Audiencia Provincial, tuvo incidencia causal en la producción del resultado dañoso”.
c) La regla de exoneración de responsabilidad establecida en el art.254 del Código de Comercio para el caso de que el comisionista se sujete a las instrucciones recibidas
Resulta igualmente útil comenzar recordando lo que nos dice el artículo 254 del Código de Comercio: “El comisionista que en el desempeño de su encargo se sujete a las instrucciones recibidas del comitente, quedará exento de toda responsabilidad para con él”.
La Sala desestima el motivo primero del recurso de casación de Privalia porque “el planteamiento de la recurrente parte de una premisa incorrecta al atribuir al art. 254 CCom un alcance que no tiene. Dicho precepto no configura un régimen de responsabilidad objetiva del comisionista por el mero apartamiento de las instrucciones del comitente, sino que establece, en sentido inverso, una regla de exoneración de responsabilidad para el caso de que el comisionista se sujete a las instrucciones recibidas. De su tenor literal no cabe deducir que todo incumplimiento de tales instrucciones determine automáticamente la obligación de indemnizar con exclusión de cualquier otra consideración, ni que impida ponderar la conducta del propio comitente a efectos de la imputación del daño. (…) La sentencia recurrida no desconoce esta regla, sino que, partiendo de la existencia de un incumplimiento contractual imputable al Banco -por no ajustarse al protocolo de instrucciones ni desplegar las cautelas exigibles-, integra su enjuiciamiento en el marco general de la responsabilidad contractual, en particular en los arts. 1101 y 1258 CC, y procede a valorar conjuntamente las conductas concurrentes de ambas partes en la producción del daño”.
d) La aplicación del paradigma de diligencia establecido en el art.297 del Código de Comercio
Por último, es útil recordar lo que nos dice el artículo 297 del Código de Comercio: “Los factores y mancebos de comercio serán responsables a sus principales de cualquier perjuicio que causen a sus intereses por haber procedido en el desempeño de sus funciones con malicia, negligencia o infracción de las órdenes o instrucciones que hubieren recibido”. Finalmente, se examinarían conjuntamente el motivo segundo del recurso de Privalia -fundado en la infracción del art. 297 CCom en relación con el art. 1101 CC- y el motivo único del recurso del Banco -basado en la infracción de este último precepto y del art. 1902 CC-, por cuanto ambos confluyen en una misma cuestión: la correcta apreciación de la causalidad jurídica y de los criterios de imputación objetiva de la responsabilidad. En efecto, mientras Privalia sostiene que la especial cualificación profesional del Banco determina que su eventual negligencia absorba la falta de diligencia del cliente, excluyendo o reduciendo decisivamente la relevancia causal de esta, el Banco mantiene, en sentido inverso, que la conducta de la propia perjudicada rompe o desplaza cualquier nexo causal imputable a la entidad bancaria. Esta común controversia sobre la incidencia causal de las conductas concurrentes y su eventual efecto excluyente o absorbente justifica su examen conjunto y en último lugar, una vez delimitados los presupuestos normativos de la responsabilidad y las reglas de imputación interna previamente controvertidas