El art. 32 de la Ley de Servicios de Pago (LSP) está cercano a las tarjetas y otros instrumentos análogos, como las libretas de ahorro. Precisamente, la confirmación de que las libretas de ahorros que sirven para operar en cajeros automáticos se sometan, novedosamente en relación con la situación anterior a la LSP, a la llamada franquicia de 150 euros del art. 32.1 LSP, ha sido efectuada por el Banco de España.

 

La nueva regulación legal sustituye a las cláusulas contenidas en los contratos de tarjetas ofertados por las entidades, que de forma voluntaria asumieron el compromiso de limitar la responsabilidad de sus clientes en operaciones no autorizadas a un máximo de 150 euros. También aquí gana en certeza el usuario, pues en ocasiones el Banco de España ha denunciado la existencia de contratos que no recogían esta limitación de responsabilidad, o la recogían pero en cuantía inferior, o la sometían al cumplimiento de condiciones que dificultaban su efectividad.

 

El criterio que ha prevalecido hasta el momento, matizado convenientemente por la doctrina del Banco de España, y que en esencia coincide con el de la STS de 16 de diciembre de 2009, esto es, que no se puedan imputar al titular siempre y en todo caso las operaciones anteriores a la notificación de extravío, sustracción o uso irregular sino que se haya de atender al análisis de las circunstancias particulares de cada caso, es el siguiente:

 

“Frente a ello, es indudable que el cliente al que se hace entrega de una tarjeta de crédito o débito asume la responsabilidad de su custodia, pudiéndose afirmar en este sentido que la generalidad de la clientela bancaria conoce o se percata de las consecuencias que puedan derivarse de su pérdida o sustracción. Por ello, se estima que la responsabilidad por las disposiciones efectuadas antes del aviso de sustracción recae normalmente sobre el titular, salvo que concurran circunstancias particulares que, en su caso, habrían de ser consideradas por los tribunales de justicia.

 

Y en este punto es donde entra en juego el límite de responsabilidad citado, ya que fija en 150 euros la cuantía máxima que por cargos fraudulentos debería asumir el titular en estos casos, salvo que hubiese actuado de forma fraudulenta, a sabiendas o con negligencia grave o no hubiera observado las cláusulas 6 (a) y (c) del Código [de Buena Conducta del Sector Bancario Europeo], relativas estas últimas a la necesidad de observar la debida diligencia en la custodia de la tarjeta y de su número secreto, y a la obligación de avisar de la pérdida, robo o copia de la misma con la mayor celeridad posible”.

 

Efectivamente, la Directiva de Servicios de Pago, y la Ley de Servicios de Pago por ende, asume, entre otras, las disposiciones contempladas en las Recomendaciones 87/598/CEE, 88/590/ y 97/489/CE. Esta última Recomendación se erige en antecedente inmediato del art. 32 de la Ley de Servicios de Pago.

 

El fundamento último de esta limitación de responsabilidad del titular es incentivar el uso de las tarjetas y otros instrumentos similares.

 

Se podría estimar que de la seguridad del sistema de pagos con tarjeta habrían de responder íntegramente las entidades que lo implementan y se valen de él, pero en la hipótesis de las tarjetas resulta que dada su especial naturaleza, y, en concreto, a que se le entrega al titular el instrumento físico que le permite interactuar con el sistema en las diversas formas posibles (cajeros, comercios, pagos a distancia) es coherente que el plástico deba ser diligentemente custodiado por el titular, y este deba asumir los posibles riesgos por su extravío o robo si no actúa con rapidez y pone los hechos en conocimiento del proveedor del servicio para que este adopte las medidas pertinentes al caso.

 

Ahora bien, es preciso retener, de acuerdo con la doctrina del Servicio de Reclamaciones del Banco de España y la contenida en la STS de 16 de diciembre de 2009, que el titular no responderá siempre de las posibles operaciones no autorizadas anteriores a la notificación al proveedor, pues habrá casos en que el titular haya sido absolutamente diligente en la custodia de la tarjeta y del PIN, pero a pesar de ello un tercero sea capaz de clonar su tarjeta y realizar pagos con el clon. Precisamente, la sustitución de la banda magnética por el chip electrónico va encaminada a yugular esta vía para obtener ilegítimamente los datos de la tarjeta. Por todo lo que llevamos dicho, el punto más débil en la actualidad, y hacia el que deberían dirigirse los esfuerzos para erradicar las conductas irregulares y fraudulentas más reiteradas, es el de los pagos con tarjeta a distancia, en los que sólo se pide al titular que facilite PAN, fecha de caducidad y código de seguridad del plástico.

 

Antes de entrar en detalle del art. 32 LSP, recordamos que este artículo, según el art. 23.1 LSP se podrá inaplicar por acuerdo de las partes, total o parcialmente, con respecto a usuarios de servicios de pago no consumidores.

 

El tenor del art. 32 LSP es este:

 

“1. No obstante lo dispuesto en el artículo 31, el ordenante soportará, hasta un máximo de 150 euros, las pérdidas derivadas de operaciones de pago no autorizadas resultantes de la utilización de un instrumento de pago extraviado o sustraído.

2. El ordenante soportará el total de las pérdidas que afronte como consecuencia de operaciones de pago no autorizadas que sean fruto de su actuación fraudulenta o del incumplimiento, deliberado o por negligencia grave, de una o varias de sus obligaciones con arreglo al artículo 27.

3. Salvo en caso de actuación fraudulenta, el ordenante no soportará consecuencia económica alguna por la utilización, con posterioridad a la notificación a que se refiere el artículo 27.b), de un instrumento de pago extraviado o sustraído.

4. Si el proveedor de servicios de pago no tiene disponibles medios adecuados para que pueda notificarse en todo momento el extravío o la sustracción de un instrumento de pago, según lo dispuesto en el artículo 28.1.c), el ordenante no será responsable de las consecuencias económicas que se deriven de la utilización de dicho instrumento de pago, salvo en caso de que haya actuado de manera fraudulenta”.

 

Los apartados 1 y 2 del art. 32 suponen una derogación del principio de que la falta de consentimiento del usuario supondrá que la operación se repute como no autorizada (art. 25.1 LSP), así como de algunas de sus ramificaciones en otros preceptos de la Ley de Servicios de Pago (arts. 29 y 31).

 

Ello obedece al deber de custodia que pesa sobre el titular. Deber de custodia que recaerá tanto sobre el instrumento en sí, esto es, la tarjeta, como sobre el PIN. Anteriormente, estas obligaciones del titular se elevaban a rango contractual, mediante su incorporación en el contrato de emisión de tarjeta firmado por la entidad y su cliente. En la actualidad se recogen en el art. 27 LSP, en particular en su letra a), que impone al titular el deber de utilizar el instrumento según las condiciones que regulen su emisión y uso, y en adoptar, a la recepción del instrumento, todas las medidas razonables a fin de proteger los elementos de seguridad personalizados de que vaya provisto.

 

El art. 32 LSP diferencia varios casos, que son estos que siguen.

 

En caso de extravío o sustracción del instrumento de pago, el ordenante soportará hasta un máximo de 150 euros las pérdidas derivadas de operaciones de pago no autorizadas.

 

En principio, a pesar de la pérdida de la tarjeta o de su sustracción, de ahí no se debería causar daño alguno al ordenante, pues sería preciso que junto con el instrumento quien lo encontrase o sustrajera contara necesariamente con el número de identificación personal que le es propio. Especialmente reforzados quedan en la actualidad todos los implicados en el pago (titular ordenante, comercio beneficiario, proveedor de servicios de pago, caso de ser común a los dos anteriores, o proveedores, caso de contar cada uno con uno distinto) en la medida en que se ha sustituido la banda magnética por el chip electrónico, que exige el tecleo del PIN para operar de forma presencial (cajeros, comercios).

 

Durante el período en que ha estado vigente la autenticación con firma manuscrita en comercios, en los que con un instrumento extraviado o sustraído, evidentemente antes de la notificación al proveedor de tales circunstancias, y con un documento nacional de identidad o pasaporte falso o falsificado (o ni siquiera con él, sino tan sólo exhibiendo la tarjeta extraviada o sustraída) sí ha sido frecuente que el comercio, por negligencia en la identificación del presunto titular, o engañado eficazmente por este, aceptara pagos con tarjeta, con la consecuencia de que el proveedor de servicios de pago adquirente, tenido conocimiento de los hechos, le ha hecho asumir el perjuicio económico correspondiente, liberando de daño al titular de la tarjeta.

 

Préstese a atención a que la relación entre el beneficiario y su proveedor queda al margen del art. 32 de la Ley de Servicios de Pago, el cual se centra en el ordenante y el proveedor de servicios de pago emisor del instrumento. Para conocer las relaciones entre el comercio beneficiario y su proveedor se habrá de analizar, en el caso concreto, el contrato de adhesión del comercio a los sistemas de aceptación y pago con tarjeta.

 

Como adelantamos previamente, del extravío o sustracción no se habría de derivar daño para el ordenante, por ser secreto el número que permite operar, o por ser otros, los comercios, los obligados a identificar al portador del instrumento y a denegar la aceptación de la operación, o a asumir sus consecuencias, en caso contrario.

 

Por ello, podemos concluir que en los casos de extravío o sustracción el titular no sufrirá daño alguno. Pero entonces, ¿por qué alude el art. 32.1 a operaciones no autorizadas?

 

Evidentemente, se tratará de operaciones no autorizadas anteriores a la notificación al proveedor, pues “Salvo en caso de actuación fraudulenta, el ordenante no soportará consecuencia económica alguna por la utilización, con posterioridad a la notificación a que se refiere el artículo 27.b), de un instrumento de pago extraviado o sustraído” (art. 32.3 LSP).

 

El art. 27 LSP exige al usuario proteger el instrumento de pago y los elementos de seguridad de que vaya provisto y notificar al proveedor la existencia de incidencias. El incumplimiento por el usuario de estos deberes motivará que deba responder de las posibles operaciones no autorizadas. Pero según el grado de gravedad del incumplimiento, el usuario responderá de hasta 150 euros o de la totalidad de las operaciones no autorizadas. Precisando más: en caso de incumplimiento que no se pueda calificar como grave, el usuario sólo responderá hasta un máximo de 150 euros (art. 32.1 LSP), y en incumplimientos graves de la totalidad del perjuicio (art. 32.2 LSP).

 

Si observamos con detenimiento, el art. 27.b) LSP obliga al usuario del instrumento a notificar al proveedor los supuestos de extravío, sustracción, o utilización no autorizada. Los apartados 1 y 3 del art. 32 LSP omiten cualquier referencia a la utilización no autorizada, bajo cuyo concepto se podrían comprender los casos en que se haya originado una orden de pago no autorizada por la previa captación de los elementos de la tarjeta en las diversas, y variadas, formas posibles: clonación, phishing, skimming, etcétera. En estos casos, si el cliente ha sido diligente en el cumplimiento de sus obligaciones de custodia y notificación, no debería sufrir tampoco perjuicio alguno, pero de haber incurrido en negligencia grave debería asumir todos los perjuicios, según el art. 32.2 LSP, que pasamos a comentar.

 

Tanto para los casos de extravío y sustracción como en el genérico de utilización no autorizada, “El ordenante soportará el total de las pérdidas que afronte como consecuencia de operaciones de pago no autorizadas que sean fruto de su actuación fraudulenta o del incumplimiento, deliberado o por negligencia grave, de una o varias de sus obligaciones con arreglo al artículo 27” (art. 32.2 LSP). Es decir, en caso de fraude por parte del usuario, o incumplimiento deliberado o por negligencia grave de lo previsto en el art. 27 LSP, el usuario tendrá que asumir la totalidad de las pérdidas derivadas de operaciones no autorizadas, anteriores a la notificación al proveedor. De las operaciones posteriores a la notificación al proveedor, sólo responderá cuando haya actuado fraudulentamente, según el art. 32.3 LSP. Hay que aclarar que el art. 32.3 LSP sólo se refiere a los casos de extravío o sustracción de instrumento de pago, pero no parece justo que el usuario que ha actuado con negligencia grave deba también asumir las órdenes de pago posteriores a la notificación al proveedor, las cuales entendemos habrían de ser asumidas por el proveedor que las permitiera o, en última instancia, por el comercio que hubiera aceptado el instrumento.

 

Por último, el art. 32.4 contempla el supuesto, que nos atrevemos a afirmar que difícilmente se dará en la práctica, al menos con relación a nuestras entidades de crédito, de que el proveedor no disponga de los medios adecuados y gratuitos para que el usuario notifique el extravío, sustracción o utilización no autorizada del instrumento [art. 32.4 LSP, en relación con el art. 27.b) y el 28.c)]. En estos casos, la solución será que el usuario no soporte consecuencia económica alguna, ni anterior ni posterior a la notificación, pues esta no será materialmente posible, salvo que haya intervenido fraudulentamente.

 

«Comentarios a la Ley de Servicios de Pago», López Jiménez, J. M.ª, Editorial Bosch, 2011, págs. 595-602.