LA RESPONSABILIDAD SUBSIDIARIA DE LAS ENTIDADES BANCARIAS EN SUPUESTOS DE ESTAFA: UNA APROXIMACIÓN DESDE EL ARTÍCULO 120.3 DEL CÓDIGO PENAL Y LA NORMATIVA DE PREVENCIÓN DE BLANQUEO DE CAPITALES

La creciente responsabilidad de las entidades bancarias en delitos de estafa y fraude digital

La creciente sofisticación de los fraudes cometidos en el ámbito digital, especialmente aquellos que afectan a usuarios de entidades bancarias, está planteando relevantes cuestiones jurídicas en torno a la eventual responsabilidad de dichas entidades. En este contexto, cobra especial interés la aplicación del artículo 120.3 del Código Penal, precepto que regula la responsabilidad civil subsidiaria de personas físicas o jurídicas en determinados supuestos vinculados a delitos cometidos en sus establecimientos.

Dicho precepto establece que las personas naturales o jurídicas responderán civilmente de forma subsidiaria cuando, en los establecimientos de los que sean titulares, se cometan delitos por sus empleados o dependientes, siempre que exista una infracción de reglamentos de policía o disposiciones de la autoridad relacionadas con el hecho punible, de tal modo que este no se hubiera producido sin dicha infracción.

La clave, por tanto, reside en la existencia de un incumplimiento normativo relevante y en la concurrencia de un nexo causal entre dicho incumplimiento y el resultado dañoso.

El artículo 120.3 del Código Penal y su aplicación al ámbito bancario

Trasladado al ámbito bancario, este régimen puede adquirir especial relevancia en supuestos de estafa en los que los fondos defraudados son canalizados a través de cuentas abiertas en entidades financieras que no han cumplido adecuadamente sus obligaciones de control.

En particular, la normativa en materia de prevención del blanqueo de capitales —Ley 10/2010 y su desarrollo reglamentario mediante el Real Decreto 304/2014— impone a las entidades financieras una serie de obligaciones de diligencia debida que trascienden la mera identificación formal del cliente.

Estas obligaciones incluyen, entre otras:

Correcta identificación del titular real

Las entidades financieras deben verificar adecuadamente quién es la persona física que ostenta el control o el beneficio efectivo de la relación bancaria.

Conocimiento del propósito e índole de la relación de negocios

La normativa exige que la entidad conozca el origen, finalidad y coherencia económica de la operativa desarrollada por el cliente.

Seguimiento continuo de las operaciones realizadas

La obligación de diligencia no se agota en el momento inicial de apertura de la cuenta, sino que exige una supervisión continuada de las operaciones ejecutadas.

Medidas reforzadas en relaciones no presenciales

Especialmente relevante resulta el régimen aplicable a relaciones no presenciales, donde el legislador exige medidas reforzadas para mitigar los riesgos inherentes a la contratación a distancia.

Incumplimiento de obligaciones de prevención de blanqueo y responsabilidad subsidiaria

En este contexto, cuando una entidad bancaria incumple dichas obligaciones —por ejemplo, permitiendo la apertura de cuentas con identidades falsas o insuficientemente verificadas, o no detectando operaciones sospechosas— puede entenderse que se ha producido una infracción normativa directamente relacionada con el delito posterior de estafa.

Si, además, puede acreditarse que dicha infracción ha facilitado la comisión del delito —por ejemplo, al dificultar la identificación del autor o permitir la canalización de los fondos— se abre la puerta a la exigencia de responsabilidad civil subsidiaria conforme al artículo 120.3 del Código Penal.

La relevancia práctica de esta construcción jurídica ha sido recientemente confirmada por la jurisprudencia menor. En particular, la Sentencia de la Audiencia Provincial de Baleares nº 494/2023, de 18 de octubre, constituye un ejemplo paradigmático de cómo los tribunales están empezando a valorar la conducta de las entidades financieras en este tipo de supuestos.

La Sentencia de la Audiencia Provincial de Baleares nº 494/2023

En el caso analizado, la entidad bancaria fue condenada a indemnizar al perjudicado por un delito de estafa, al considerarse acreditado que no actuó con la diligencia exigible en la apertura de la cuenta utilizada para canalizar los fondos ilícitos.

La resolución pone de manifiesto que la entidad no verificó adecuadamente la identidad del titular, permitiendo la apertura de la cuenta por una persona distinta, lo que facilitó la operativa fraudulenta.

Asimismo, la Audiencia destaca que la diligencia debida no se agota en el cumplimiento formal de los requisitos legales, sino que exige una actuación proactiva y acorde con el riesgo de la operación.

En este sentido, se subraya que la entidad no adoptó medidas adicionales pese a la existencia de indicios de riesgo —como el elevado volumen de operaciones en un corto periodo de tiempo— ni realizó un seguimiento adecuado de la cuenta.

La causalidad concurrente y el rechazo de la “prohibición de regreso”

Especial interés presenta también el análisis de la causalidad, en la medida en que el tribunal rechaza la aplicación de la denominada “prohibición de regreso”.

La Audiencia considera que, aunque la estafa fue ejecutada por un tercero, la falta de diligencia de la entidad bancaria contribuyó de manera decisiva a la producción del daño, configurándose así un supuesto de causalidad concurrente.

Esta línea jurisprudencial resulta especialmente relevante desde la perspectiva del artículo 120.3 del Código Penal, en tanto permite fundamentar la responsabilidad subsidiaria de la entidad bancaria no solo en términos de responsabilidad civil extracontractual, sino también en el marco del proceso penal, siempre que se acrediten los elementos exigidos por el citado precepto.

Un ámbito jurídico en plena evolución

En definitiva, nos encontramos ante un ámbito en plena evolución, donde la intersección entre el derecho penal, la responsabilidad civil y la normativa de cumplimiento normativo está dando lugar a nuevas vías de reclamación para los perjudicados por delitos de estafa.

La eventual extensión de la responsabilidad subsidiaria a las entidades bancarias, en supuestos de incumplimiento de sus obligaciones de prevención del blanqueo de capitales, abre un escenario de indudable interés práctico y dogmático.

En la actualidad, se está llevando a cabo un análisis más profundo de esta cuestión, con el objetivo de delimitar con mayor precisión:

• Los requisitos de imputación.
• El alcance de la responsabilidad.
• El estándar de diligencia exigible.
• Las posibles estrategias procesales en este tipo de procedimientos.

Todo apunta a que nos encontramos ante una línea de desarrollo jurisprudencial que, en los próximos años, podría consolidarse como un mecanismo eficaz de protección para las víctimas de fraude financiero.

Preguntas frecuentes sobre responsabilidad bancaria en estafas y fraude financiero

¿Puede un banco responder por una estafa cometida por terceros?

Sí. Una entidad bancaria puede ser declarada responsable civil subsidiaria cuando incumple sus obligaciones legales de control y dicho incumplimiento facilita la comisión del delito.

¿Qué regula el artículo 120.3 del Código Penal?

El artículo 120.3 del Código Penal regula la responsabilidad civil subsidiaria de personas físicas o jurídicas cuando determinados delitos se cometen en sus establecimientos existiendo infracción normativa relacionada con el hecho delictivo.

¿Qué obligaciones tienen las entidades bancarias en materia de prevención del blanqueo de capitales?

Las entidades financieras deben cumplir obligaciones de diligencia debida, entre ellas:

• Identificación del titular real.
• Conocimiento del cliente.
• Seguimiento continuo de operaciones.
• Detección de operaciones sospechosas.
• Aplicación de medidas reforzadas en contratación no presencial.

¿Qué sucede si el banco permite abrir cuentas con identidades falsas?

Si la entidad no verifica adecuadamente la identidad del titular y ello facilita una estafa o fraude financiero, puede abrirse la posibilidad de exigir responsabilidad civil subsidiaria.

¿Es necesario acreditar relación causal entre el incumplimiento y el daño?

Sí. Resulta imprescindible demostrar que el incumplimiento normativo de la entidad contribuyó de forma relevante a la producción del daño o facilitó la comisión del delito.

¿Qué importancia tiene la Sentencia de la Audiencia Provincial de Baleares nº 494/2023?

La resolución constituye uno de los precedentes más relevantes en esta materia, al condenar a una entidad bancaria por falta de diligencia en la apertura y control de una cuenta utilizada para canalizar fondos procedentes de una estafa.

¿Puede reclamarse esta responsabilidad dentro del procedimiento penal?

Sí. La responsabilidad civil subsidiaria prevista en el artículo 120.3 del Código Penal puede ejercitarse dentro del propio procedimiento penal seguido por delito de estafa.

¿Qué tipos de fraude pueden dar lugar a responsabilidad bancaria?

Entre otros:

• Estafas digitales.
• Phishing.
• Fraudes online.
• Suplantación de identidad.
• Transferencias fraudulentas.
• Canalización de fondos ilícitos mediante cuentas abiertas sin controles adecuados.