Con ocasión de una brecha de seguridad que tuvo lugar en los sistemas informáticos de la entidad Gamboa, una persona no identificada, haciéndose pasar por un empleado de la compañía y utilizando su dominio de correo, contactó con un concesionario con el que Gamboa mantenía relaciones comerciales con la finalidad de solicitar la realización de una transferencia a una cuenta bancaria (de la que no era titular la entidad). A pesar de que tuvo conocimiento de esta brecha y del incidente descrito, la entidad no informó a otros concesionarios con los que trabajaba con el fin que se abstuvieran de realizar pagos mientras no se verificara la cuenta de destino.
El día después de haber tenido conocimiento de este incidente, terceras personas suplantaron la dirección de correo electrónico de otro empleado de la entidad con la finalidad de ponerse en contacto con otro concesionario para, siguiendo la operativa previamente descrita, solicitarle la realización de una transferencia de 32.000 € a una cuenta bancaria creada por un tercero (que no era empleado de la entidad y que colaboraba con las personas que llevaron a cabo esta operación) “en la creencia de que estaba haciendo el pago de la cesión del vehículo en una cuenta del cedente”. El Juzgado de lo Penal de Oviedo dictó sentencia por la que condenó a este tercero como cooperador necesario de un delito de estafa y absolvió a la entidad de la responsabilidad civil subsidiaria reclamada por el concesionario.
Contra dicha sentencia, el concesionario interpuso el correspondiente recurso de apelación, por cuanto entendía que la ausencia de advertencia derivada del primer incidente propició que, al no tener constancia de la posible suplantación, se efectuara la transferencia. La Audiencia Provincial de Oviedo dictó sentencia estimando dicho recurso y condenando a la entidad como responsable civil subsidiaria. Contra esta resolución, la entidad Gamboa interpuso recurso de casación.
En su sentencia, se establece que el apartado tercero del artículo 120 del Código Penal dispone que serán responsables civilmente “Las personas jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que los dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción”. En este sentido, el Tribunal Supremo ha declarado que, si bien el Código Penal no precisa el contenido y extensión del concepto establecimiento, “resulta difícil negar que el sistema informático y los medios tecnológicos utilizados habitualmente por el empresario o sus empleados […] no queden abarcados” en este término.
Asimismo, se indica que la infracción a la que hace referencia el artículo debe estar relacionada con el delito, de modo que el mismo haya sido propiciada por la misma. En este sentido, se pone de manifiesto que debe “entenderse estos reglamentos como normas de actuación profesional en el ramo de que se trate abarcando cualquier violación de un deber impuesto por ley o por cualquier norma positiva de rango inferior, incluso el deber objetivo de cuidado que afecta a toda actividad para no causar daños a terceros”. Así, el hecho omisivo de no haber informado a otros concesionarios con los que mantenía una relación contractual y que tenían pendientes abonos de la brecha de seguridad y del primer incidente propició el pago incorrecto a los estafadores, por lo que no hay lugar al recurso de casación interpuesto, confirmándose por el Alto Tribunal la condena como responsable civil subsidiaria.
Puede acceder a la sentencia del Tribunal Supremo aquí.
