Resolución 00054-2022

Sobre la normativa que priva en materia de la protección de la persona frente al tratamiento de sus datos personales. Sin perjuicio de que es pacífico desde el punto de vista jurisprudencial que, las relaciones jurídicas comerciales que vinculan a los bancos y/o organizaciones empresariales aseguradoras son de consumo, a partir de lo cual es dable afirmar, que resulta aplicable al caso concreto la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, y en parte dadas las circunstancias en que ocurrieron los hechos, la Ley Reguladora del Mercado de Seguros, el Código de Comercio, así como el Código Civil en lo conducente, es criterio de esta Cámara que el caso se habrá de resolver en lo medular vistos los alegatos formulados por la parte actora en lo fáctico, en relación con lo que pide le sea concedido en sentencia, en observancia de la Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales Nº 8968 del  07 de julio del 2011, publicada en el Diario Oficial "La Gaceta N° 170 del 05 de septiembre del 2011, se haya o no mencionado esta normativa en el escrito de demanda, esto al abrigo del principio conforme le cual, el Juez conoce el derecho [...]

En lo que resulta relevante, el artículo 3 define estos datos personales en su inciso b), así: "cualquier dato relativo a una persona física identificada o identificable" (el resaltado no es del original); mientras que son de acceso irrestricto: "los contenidos en bases de datos públicas de acceso general, según dispongan leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados" (inciso c), y los de acceso restringido: "los que, aun formando parte de registros de acceso al público, no son de acceso irrestricto por ser de interés solo para su titular o para la Administración Pública" (el resaltado no es del original). Nos detenemos para advertir que no se encuentra incluido dentro de la categoría de datos de acceso irrestricto, los números de teléfono privados y otros de igual naturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular. Luego, el principio de autodeterminación informativa se encuentra recogido en en artículo 4 de esta Ley, guardando identidad éste con el derecho fundamental a que el tratamiento de los datos personales sólo pueda darse de modo legítimo y en un entorno de control del flujo de la información correspondiente a cada persona, en el marco del derecho a la privacidad. Así mismo (art. 5) se establece que el principio de consentimiento informado abarca en quien solicita o recolecta datos entre otras, las obligaciones de informar de previo al titular de la información, de forma de modo expresa, precisa e inequívoca, sobre el fin o propósito que se persigue con su recolección así como la identidad de quienes serán sus destinatarios y quiénes pueden consultarla. Por otro lado, (art. 6) quien recopile datos personales debe contar con el consentimiento expreso de la persona titular de los mismos, que en todo caso deberá constar por escrito, formalidad que no resulta exigible entre otros casos, si la información es de acceso irrestricto y obtenida de fuentes de acceso público general.

Además, existe expresa prohibición para el acopio  de datos sin el consentimiento informado de la persona, o su adquisición por medios fraudulentos, desleales o ilícitos. Interesa también resaltar (art. 6) que los datos sólo pueden ser utilizados cuando resulten adecuados al fin para el que fueron recolectados, debiendo estos finales o propósitos en términos de su utilidad determinados, explícitos y legítimos, no pudiendo luego, ser tratados de manera incompatible con dichos fines. En cuando a la seguridad de las bases de datos, es responsabilidad de quien ha de controlarla el adoptar las medidas de índole técnica y de organización necesarias para garantizar dicha seguridad de los datos de carácter personal, evitar su alteración, destrucción accidental o ilícita, su pérdida, así como el tratamiento o acceso no autorizado y cualquier otra acción contraria a la ley (art. 10). Concluyendo, la transferencia de los datos personales sólo ha de resultar legítima cuando el titular del derecho haya autorizado expresa y válidamente tal transferencia (art. 14). [...]

De la deposición de los testigos Adrián Olsen Agüero y Natalie Orozco Méndez quienes atendieron el reclamo del actor desde las organizaciones en las que laboran, no se logra extraer explicación alguna sobre las razones por las que no se cuenta con esta información, ni la encuentra este Tribunal pues sobre la base de la más elemental lógica racional, si un cliente como el actor, afirma no haber recibido la llamada, es con esa información que habría de demostrarse lo contrario. De este modo es que se ha considerado un hecho no probado que pese haberlo requerido en su momento, con ocasión del trámite dado al reclamo o queja planteada por el aquí actor, ya ante el banco, ya ante la Aseguradora se haya verificado he informado al actor, el día y hora de la realización de la llamada, el número de teléfono al que se hizo, quienes la hicieron o intervinieron en ella, y finalmente, si en efecto la llamada se le hizo al aquí actor. Nada explica, porqué información como ésta, que nada permite afirmar que no se encuentre en poder al menos de la aseguradora, no haya sido traída al proceso. Consideramos que bastaría con ello para afirmar que no se debió imputar al aquí actor su participación en esta llamada telefónica, incluso dejando de lado que en efecto, tal y como el mismo actor lo mencionó en su escrito de demanda, en su declaración en juicio, así como lo hizo su señor hermano Javier Portuguez Cordero quien declaró como testigo, parece evidente que la voz de quien habiendo dicho que se encontraba atendiendo la llamada "estando en la calle" como el aquí actor, no corresponde. Esto lo indicamos sólo a mayor abundamiento de razones y no obviando que en el presente asunto no medió prueba pericial al respecto, por lo que nos limitaremos a indicar que habiendo escuchado este Tribunal al aquí actor cuando declaró en juicio, se presentó de modo sereno, espontáneo y expresándose de modo totalmente natural, sin percibir esta Cámara que haya forzado en modo alguno ni su voz ni su entonación. Frente a esto, la que se escucha en el audio, parece evidente que corresponde a otra persona, ni la voz ni la forma de expresarse y su entonación, parece evidente que no corresponde con la voz del aquí demandante. La misma representación refiere a la grabación de la llamada, como una que sólo en apariencia, habría de respaldar la contratación, vínculo jurídico que no puede bajo ninguna circunstancia tenerse como perfeccionado a partir de que aparenta serlo. Por otro lado y esto sí resulta prueba directa accesoria para demostrar este hecho, se tiene que el testigo que se identificó como el señor Adrián Olsen Agüero, quien dijo ser oficinista, y trabajador de la Aseguradora, donde labora como ejecutivo junior de cuentas corporativas y que conoce al actor, afirmó en lo que interesa a este punto, en respuesta a preguntas formuladas por la representación de la Aseguradora, si bien afirmó que una forma de vender estos productos, lo es como en el caso específico, por medio de una llamada telefónica, esta venta podría resultar una "mala venta" que impondría levantar un proceso para reembolsar el dinero cobrado -sea según lo entiende este Tribunal, una que no podría generar efecto jurídico alguno-. Afirmó primero, que siendo él a quien correspondió analizar el caso del aquí actor, se determinó que la venta no correspondía y se procedió a reembolsar el dinero, lo que guarda correspondencia con el efecto que habría de producir una "mala venta". Señaló este testigo que una mala venta puede ocurrir cuando la llamada tiene interferencias o cuando no queda claro que en efecto el cliente dijo que sí -aceptando la venta del producto, entendemos, y que en el caso concreto la llamada "no se puede especificar". No especificar dado el significado del término, implicó en el caso concreto que no se habrían podido precisar los datos o detalles sobre la identidad del aquí actor, especialmente con el objetivo de diferenciarlo con claridad de otras personas o cosas, esto es, explicar, declarar con individualidad al aquí actor (Diccionario de la Lengua española, de la real Academia Española. https://dle.rae.es/especificar?m=form). [...]

Otro dato que llama la atención de este Tribunal lo es que quien hace la llamada afirma hacerlo en nombre del Banco de Costa Rica, lo que como veremos adelante, es falso según lo informado por los testigos Natalie Orozco Méndez y Adrián Olsen Agüero, en lo que relacionaron a los sujetos que intervinieron en los hechos que nos ocupan. Antes bien, en el caso concreto la llamada la habrían hecho personas exclusivamente en nombre de la Aseguradora, empresa cuya identidad que siquiera se revela en la llamada al destinatario de la misma. Aquí nos detenemos nuevamente, ahora para referir el manejo de datos personales del actor, para indicar que la no obstante el testigo Adrián Olsen Agüero afirmó que su información personal transmitida por el Banco no obra en poder de la Aseguradora, como sí de la organización empresarial o no que realiza la llamada, entiéndase, un tercero, estimamos que en el marco de una posible relación jurídica entre el Banco y la Aseguradora, la versión dada por la testigo Natalie Orozco Méndez, cuya declaración fue ordenada por este Tribunal a título de prueba para mejor proveer y quien se identificó como profesional en administración con énfasis en seguros y funcionaria del Banco, y dijo ocupar el cargo dentro de la organización de dicha entidad financiera, de gestora del área de innovación, resulta más ajustada a la las reglas de la lógica. De este modo, somos del criterio de que la aseguradora sí tuvo acceso a la información o datos personales del actor que debió obrar en exclusivo poder del Banco, y que luego  fue transmitida a un tercero como el propósito de vender uno de sus productos, al menos [...]

De lo anterior se deduce que el Banco no intervino en forma alguna en el proceso de la supuesta venta del seguro en este caso, de modo que la información personal del aquí actor, que habría de obrar en la base de datos del Banco, habría sido usada con consentimiento de la entidad financiera con el fin de facilitar la colocación de sus productos a la Aseguradora, información que con el mismo propósito de vender seguros, luego fue transmitida por la Aseguradora ésta a un tercero, identificado simplemente, como una organización identificada como un "call center", llamada "Cuéntame". Aquí estimamos que resulta irrelevante si como lo afirmaron las partes demandadas, el Banco, la Aseguradora y/o un tercero identificado como "Cuéntame", cuentan o no con autorización legal para intervenir en el mercado de seguros, pues pese a que ninguna prueba de ello se trajo al proceso pese haber afirmado esto las partes demandadas, al menos el actor no cuestiona esta circunstancia. Otro aspecto que llama la atención de este Tribunal lo es que pese las afirmaciones hechas por la representación de la Aseguradora al dar contestación a la demanda, ni ésta ni el Banco demostraron la existencia del contrato o convenio, y en consecuencia, su contenido y alcances, mediante el que les habría de vincular en el marco del mercado de seguros, o en su caso, la que habría de demostrar la relación jurídica que habría de mediar entre ésta última con un tercero, que en este asunto se identificó de modo vago, como "Cuéntame". Ninguna prueba idónea se aportó, habiendo debido ser documental, no siendo idónea para esto, la prueba testimonial, respecto de la que en todo caso, ya en el caso del testigo Adrián Olsen Agüero, ya en el de la testigo Natalie Orozco Méndez, ninguno pudo precisar aspectos relacionados con el contenido y alcances del instrumento, cualquiera que fuere, que habría de vincular jurídicamente a estos sujetos, procesales o no [...]

Sobre la responsabilidad patrimonial de las partes demandadas en el caso concreto [...]

El Banco y la entidad Aseguradora violaron también lo dispuesto en el artículo 6 de este cuerpo legal, pues pese haber sido recolectada la información personal del actor exclusivamente con ocasión y para, su vinculación con el Banco, fue dado un uso a la misma diverso, cuando únicamente podían ser usados para el fin para el que fueron recolectados, debiendo estos fines resultar explícitos. El uso dado a los datos del actor fue incompatible con el fin por el que fueron recolectados. También se acredito que producto del inadecuado manejo de los datos personales del actor, personas que no fueron identificadas adecuadamente los habrían usado con ocasión de una supuesta llamada telefónica hecha a persona desconocida, lo que con ligereza asombrosa condujo a tener ilegítimamente por perfeccionada una relación contractual inexistente dado que no medió voluntad alguna del aquí actor en ese sentido, como con ligereza posteriormente la Aseguradora gestionó ante el banco y éste del mismo modo, accedió a generar un cargo ilegítimo en contra la cuenta del aquí actor. De modo consecuente con lo anterior, las conductas desplegadas por ambas partes demandadas, concurriendo o son la causa eficiente del daño que se dirá, dadas éstas en el marco de un supuesto vínculo entre estos sujetos que se desconoce en cuanto su contenido y alcances, que condujo a un resultado dañoso en contra del actor, lo que configura la base de imputación de responsabilidad patrimonial que se reclama, en parte, siendo responsables estos sujetos procesales por el daño moral generado con causa en la inobservancia de dichas normas. A partir de lo anterior consideramos en observancia de las reglas de la experiencia humana (in re ipsa) que con causa en el manejo de los datos personales del actor por parte del Banco y la empresa Aseguradora, al aquí actor se le causó un daño de corte moral subjetivo constituido por sentimientos de enojo, inseguridad, preocupación y estrés, siendo lo esperable en la media de cualquier persona que se entera que de firma ilegítima y burdamente a través del registro de una llamada que no se le hizo, se le genera un cargo como en de interés, siendo irrelevante la suma por la que se hizo el mismo, dado que no es su importe objeto del presente proceso, siendo antes bien, lo relevante es al efecto que en una persona puede tener el revelar que sus datos personales y derechos de autodeterminación informativa son violentados de la forma en que ello ocurrió en el caso concreto [...]".