Resolución 01427-2011

Con base

en los hechos que expuso y disposiciones legales que citó, el actor estableció

proceso de conocimiento, cuya pretensión fue ajustada en la audiencia

preliminar, para que en sentencia se declare: “1. …la responsabilidad

objetiva y subjetiva del Banco.---

Se condene al Banco demandado al pago de

los daños y perjuicio (sic) que me ha  causado, entendiéndose por concpeto

de daño la suma que me fue sustraída, $ 27.804.06, y por concepto de

perjuicios, los intereses legales sobre la cantidad indicada, a partir de la

fecha de cada sustracción y hasta su pago efectivo…

Se ordene al Banco

depositar dichas sumas en la cuenta del Tribunal.---

Se condene al Banco al

pago de daño moral que me ha causado, el cual se estima (sic) ¢

20.000.000.00 (veinte millones de colones).---

Se condene al Banco al pago

de ambas costas personales y procesales.---“

El

apoderado del ente demandado contestó negativamente y opuso la excepción de

falta de derecho.

El licenciado Azofeifa

Castillo, espresó la negativa bancaria por conciliar por lo que se prescindió

de dicho trámite.

Al ser

las 13 horas 40 minutos del 9 de agosto de 2010, se efectuó la audiencia

preliminar, oportunidad en que hicieron uso de la palabra los representantes de

ambas partes. El Juez Francisco Hidalgo Rueda declaró el asunto como de puro

derecho.

El

Tribunal Contencioso Administrativo, Sección Sexta, integrada por la Jueza

Cynthia Abarca Gómez y los Jueces José Roberto Garita Navarro y Jorge Leiva

Poveda, en sentencia no. 3699-2010 de las 11 horas 57 minutos del 30 de

setiembre de 2010, resolvió: “Se rechaza la defensa de falta de derecho opuesta

por el Banco Nacional de Costa Rica. En consecuencia, se declara parcialmente

con lugar la demanda formulada por Rodolfo Gutiérrez Ortiz contra el Banco

Nacional de Costa Rica en los siguientes términos, teniéndose por rechazada en

lo no indicado de manera expresa:

Se condena al Banco Nacional de

Costa Rica a reintegrar al actor las sumas debitadas de manera no autorizada,

producto de veintitrés transferencias a favor de catorce cuentas de cliente s

del banco accionado, realizadas del veintisiete de julio al ocho de agosto,

ambas fechas del dos mil siete, por un monto total de $27.804.06 (veintisiete

mil ochocientos cuatro dólares seis centavos).

Sobre dichas sumas, se

condena al Banco Nacional de Costa Rica al pago de intereses legales, desde el

momento en que cada una de las debitaciones no autorizadas fue realizada hasta

el efectivo pago. Dichos réditos deberán calcularse según la tasa prime rate,

conforme a lo preceptuado por el numeral 497 del Código de Comercio. El

otorgamiento de ese perjuicio financiero supone de manera implícita la

actualización económica de la obligación para los efectos del ordinal 123 del

Código Procesal Contencioso Administrativo. Estas sumas deberán liquidarse en

fase de ejecución del presente fallo

Se condena al Banco demandado al

pago de ¢ 5 .000.000.00 ( cinco millones de colones) por concepto de daño moral

subjetivo.

Son ambas costas a cargo del ente accionado.”

6.-

El representante del ente demandado, formula recurso de casación indicando las razones

en que se apoya para  refutar la tesis del Tribunal.

7.-

En los procedimientos ante esta Sala se han observado las prescripciones de

ley. Participa en la decisión de este asunto la Magistrada Suplente Fernández

Brenes.

Redacta el Magistrado

González Camacho

El señor Rodolfo

Gutiérrez Ortiz es el titular de una cuenta corriente en dólares con el Banco

Nacional de Costa Rica (referido en lo sucesivo como Banco Nacional o Banco)

desde la cual, alega, le sustrajeron $27.804,06 mediante 14 transferencias

electrónicas de fondos realizadas entre el 27 de julio y el 7 de agosto de

2007. El 8 de agosto denunció esta situación ante el Organismo de Investigación

Judicial y posteriormente, el 27 de agosto, puso en conocimiento del Banco lo

ocurrido; no obstante, este reclamo administrativo fue desestimado, por lo que

interpuso este proceso para que se declare la responsabilidad objetiva y

subjetiva del intermediario financiero y se le condene al pago de los daños y

perjuicios causados, los cuales identifica, respectivamente, como el capital

sustraído y los intereses legales calculados sobre cada uno de los movimientos

no autorizados, a partir de la fecha de cada sustracción y hasta su efectivo

pago. Además, solicitó se le reconozcan ¢20.000.000,00 por daño moral y las

costas del proceso. Por su parte, la entidad bancaria se opuso y formuló la

defensa de falta de derecho. Esta no fue acogida por el Tribunal y declaró

parcialmente con lugar la acción, reconociéndose todas las pretensiones del

actor excepto en cuanto a la cuantificación del daño moral, el cual fijó en

¢5.000.000,00. Acude en casación el Banco Nacional.

Los cargos formulados

por el recurrente constituyen un único agravio dirigido a combatir el

deber de reparar dispuesto en la sentencia impugnada. Aduce que la sentencia

tiene por probado que se dio una sustracción ilícita de fondos mediante el

servicio de internet banking, sin analizar los presupuestos del artículo 196 de

la Ley General de la Administración Pública (LGAP), lo que deriva en una

indebida valoración de la prueba y la infracción de los numerales 82 (incisos

y 4)) así como el 121 y 122.m.i del Código Procesal Contencioso

Administrativo (CPCA). En lo que concierne al fondo, inicia su exposición refiriéndose

al precepto 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del

Consumidor (Ley del Consumidor) y explica que se trata de una responsabilidad

objetiva que elimina el requisito de la culpa, por lo que sólo exige comprobar

la existencia del daño. Menciona que en casos similares al presente, y en lo

que atañe a la ajenidad del daño, se ha considerado que ni la culpa de la

víctima ni el hecho de un tercero, por sí solos, rompen el nexo de causalidad

entre el daño y la prestación del servicio. No obstante, dice, no existe

inversión de la carga de la prueba respecto de la demostración efectiva del

daño, lo que le corresponde al actor. Recrimina, la sentencia prescinde de esta

demostración, quebrantándose los presupuestos del numeral 196 de la LGAP. De

esta norma desprende que solo aquella lesión que se pueda probar es

indemnizable, para lo cual cita un antecedente del Tribunal Contencioso.

Destaca en cuanto al funcionamiento de internet banking que el Banco Nacional

puso este servicio como una opción a disposición de sus clientes, siempre que

cumplieran una serie de requisitos. Arguye, su utilización responde a una

decisión libre e independiente de los clientes del Banco que poseen cuentas

corrientes o de ahorro, pero que esto no es necesario. Manifiesta, cuando un

cliente decide utilizarlo, para poder afiliarse debe utilizar información que

le ha sido entregada en forma secreta, exclusiva y personal. Explica que debe

conocer y tener en su poder el tipo, número y código de seguridad de la tarjeta

que posee, la clave utilizada en los cajeros automáticos así como su

identificación. Amplía, la clave de internet banking, además de ser personal,

es creada por el propio cliente y debe cumplir ciertos requisitos ya que

sustituyen la firma autógrafa del cliente. Esta, apunta, sólo es conocida por

el interesado que la creó. Señala, todo sistema informático está dirigido a

impedir que sin la clave de identificación correspondiente haya una

infiltración de un tercero no autorizado, por lo que si las transacciones

fueron realizadas con el código de usuario, nombre y número de cédula, debe

concluirse que estas fueron realizadas por el titular, por lo que no puede

tenerse por demostrado el daño. Lo anterior, aclara, salvo que el actor

acredite que él no las hizo o que los sistemas informáticos del Banco fueron

vulnerados. Recrimina, no puede aplicarse el régimen de responsabilidad

objetiva si la lesión no es cierta. Critica que el fallo señale que el Banco

tiene el deber de probar que las transferencias fueron realizadas por el señor

Gutiérrez Ortiz, ignorando que eso fue lo que se hizo al demostrar que estas se

hicieron con los datos ya mencionados, los cuales sólo posee el cliente.

Arguye, los juzgadores de instancia no tuvieron por probado las campañas de información

a sus clientes sobre los riesgos de phishing u otro tipo de amenazas así como

la existencia de un contrato que, alega, el cliente leyó, aceptó y entendió.

Expone, la sentencia es omisa en cuanto a uno de los alegatos principales del

actor referido a que el Banco no informa a sus clientes sobre los riesgos del

servicio de Internte Banking y que fue debidamente rebatido con base en las

múltiples publicaciones y apariciones en medios de comunicación masiva.

Menciona que esta situación ha sido reconocida incluso por esta Cámara, citando

algunos votos.

Ya esta Sala se ha

pronunciado respecto de la responsabilidad de las entidades bancarias por la

sustracción de fondos a sus clientes con ocasión de los servicios de acceso a

sus cuentas a través de internet. Entre los votos en que se ha analizado el

tema se pueden citar, entre muchos otros, el no. 300-F-S1-2009 de las 11 horas

25 minutos del 26 de marzo de 2009 así como el 394-F-S1-2009 de las 10 horas 20

minutos del 23 de abril de 2009. A manera de síntesis, se puede reseñar que en

dichos antecedentes se ha considerado que en este tipo de procesos, al existir

una relación de consumo entre los titulares de las cuentas y las entidades

bancarias, resulta aplicable el régimen de responsabilidad objetiva regulado en

el artículo 35 de la Ley del Consumidor, el cual incluye dentro de los

criterios de imputación la teoría del riesgo creado. Esta postula, se ha dicho,

que quien crea, ejerce o se aprovecha de una actividad lucrativa lícita que

presenta elementos potencialmente peligrosos para los demás, debe soportar las

consecuencias negativas que de esta se deriva. No obstante, la línea

jurisprudencial que se comenta señala que no todo riesgo implica, en forma

automática, el surgimiento del deber de reparar. “En esta línea, la

interpretación de las normas no puede partir de una aversión absoluta y total

al riesgo, el cual, como se indicó, forma parte integral de la convivencia

societaria y de los avances tecnológicos que se integran a esta. Lo anterior

lleva a afirmar que, para el surgimiento del deber de reparación, el riesgo

asociado con la actividad debe presentar un grado de anormalidad, esto es, que

exceda el margen de tolerancia que resulta admisible de acuerdo a las reglas de

la experiencia, lo cual debe ser analizado, de manera casuística, por el juez.”

(voto 300-F-S1-2009). En este sentido, la responsabilidad de las entidades

financieras se ha sustentado, no en la acción de un tercero que realizó la

sustracción (lo que sería por demás antijurídico), sino en el funcionamiento

del servicio que ofrecen y que, en los casos analizados, presenta un nivel de

riesgo inaceptable o “anormal”, así como la ausencia de causas eximentes de

responsabilidad que eliminen el nexo causal.

Ahora bien, el

recurrente critica tanto la valoración de la prueba como la existencia de un

daño que deba ser indemnizado en la especie (no así el monto concedido por daño

moral). En lo que se refiere al primer punto, es importante destacar que el

casacionista omite el deber de precisar cuáles fueron los elementos de prueba

mal apreciados o preteridos, lo que impide determinar si se cometió algún yerro

en la fijación del cuadro fáctico por parte de los juzgadores de instancia. En

todo caso, al margen de lo anterior, observa esta Sala que los reclamos

formulados se dirigen a cuestionar la existencia de la lesión debido a que las

transacciones que el actor califica de ilegítimas se deben imputar como

realizadas por él, ya que el acceso a la cuenta se realizó utilizando las

claves y datos que sirven para identificar en el sistema informático al señor

Gutiérrez Ortiz. Sobre este punto, el Tribunal, luego de establecer las pautas

jurídicas con base en las cuales consideraba adecuado solucionar el conflicto,

y que, en lo medular, resultan coincidentes con las expuestas en el

considerando anterior, establece: “Del análisis de la prueba documental que

consta en el expediente principal y en el legajo administrativo, así como del

examen a fondo de las alegaciones de las partes, es criterio de este cuerpo

colegiado, se [sic] tiene por debidamente acredita [sic] la

ocurrencia de un daño en la esfera patrimonial del accionante, consistente en

la sustracción no autorizada de un total de $27.804.06 (veintisiete mil

ochocientos cuatro dólares seis centavos. Tal efecto lesivo se considera

consecuencia de la falta de implementación de mecanismos de seguridad adecuada [sic]

para la utilización de los servicios de transferencias electrónicas que se

posibilitan en internet bankin [sic] que ofrece el banco demandado. Ello

pone en evidencia la existencia del nexo causal que es debido para poder

imputar la responsabilidad en este tipo de situaciones.” Desde la óptica

del órgano juridisdiccional, el daño consiste en la suma transferida sin el

consentimiento del actor mientras que el criterio de imputación que sustenta la

imposición del deber de reparar al intermediario financiero es la ausencia de

“mecanismos de seguridad” adecuados en atención al servicio que se presta y las

amenazas a que se ve afecto, o lo que es lo mismo, que este presenta un nivel

de riesgo que desde el punto de vista jurídico no resulta tolerable. En este

sentido, comparte este órgano el análisis realizado por los juzgadores de

instancia, y por el contrario, considera que no es admisible la línea

argumentativa del Banco en el sentido de que al haberse utilizado la clave y

los medios de identificación entregados al titular y previstos para el acceso

al sistema informático debe entenderse que necesariamente las transacciones

fueron realizadas por el señor Gutiérrez Ortiz. El planteamiento que subyace en

el alegato que se analiza podría formularse en el sentido de que, si el acceso

a la cuenta se realizó utilizando las claves del dueño de la cuenta es porque

fue este quien realizó las transferencias, y en ese tanto, no pueden

calificarse de ilegítimas, y por ende, no existe menoscabo. No obstante, ello

supone desconocer algunos elementos esenciales para la resolución de este

conflicto, como lo es que se tuvo por acreditado que la conexión se realizó

desde IP´s ubicados en Venezuela y Suecia al mismo tiempo que el actor se

encontraba en el país (hechos probados 2 y 6 de la sentencia impugnada). Esto

hace suponer, y salvo que se acrediten elementos de convicción a partir de los

cuales se pueden extraer indicios de que se entregaron las claves y datos a un

tercero (situación que no se da en la especie), que se tratan de transacciones

no autorizadas por el titular, lo que viene a configurar la existencia de una

lesión. Asimismo, el daño se constata a partir de la pérdida de los recursos.

Sobre el particular, conviene reiterar que en ese tipo de asuntos le asiste al

actor una presunción de buena fe (iuris tantum) respecto de su reclamo, la cual

debe ser desvirtuada por el demandado. Ahora bien, y en estricta relación con

lo anterior, se debe precisar que el fundamento de la sentencia del Tribunal –y

también de esta presunción- radica en que los dispositivos de seguridad

vigentes al momento en que se dieron los hechos no resultaban idóneos para

impedir que un tercero lograra acceder a las cuentas de sus clientes, lo cual

no ha sido desvirtuado por el recurrente. Para tales efectos, recae sobre este

la carga probatoria de suministrar prueba técnica mediante la cual se pueda

valorar el nivel de seguridad de los sistemas y, por ende, el grado de riesgo

generado por el servicio. En forma concomitante, los jueces de instancia

agregan: “Para este órgano jurisdiccional, a nivel técnico no se probó en

este caso, que la actora haya sido culpable por dolo o negligencia de los

hechos suscitados en este asunto, debido a que el informe técnico nunca llega a

la conclusión de que la accionante haya otorgado la información confidencial de

sus cuentas corrientes y de su tarjeta de débito, así como sus claves de acceso

al Sistema de Internet Bankin [sic], de forma dolosa o culposa, a

terceras personas.” Así las cosas, no puede afirmarse que no se acreditó el

daño que se pretende indemnizar.

Por último, especial

comentario merece el argumento de que el uso de estos servicios

electrónicos resulta libre y opcional para los clientes, lo que erige como un

factor que atenúe la responsabilidad del Banco. Desde el momento en que se pone

a disposición un servicio, este debe cumplir con todos los parámetros de

seguridad para los eventuales consumidores, máxime si se considera que de su

implementación el Banco deriva beneficios, lo que, en atención a la teoría del

riesgo, permite imputarle las consecuencias negativas derivadas del riesgo

creado, según fue explicado en el considerando III de esta resolución.

Asimismo, en lo que concierne al reproche realizado en cuanto a que el Tribunal

no se pronunció sobre el derecho de información, esta circunstancia deriva de

que ello resultaba innecesario, en la medida en que dicho órgano jurisdiccional

consideró que la responsabilidad del Banco derivaba del riesgo creado y no de

la falta de información, ya que ambos constituyen criterios de imputación

previstos en el artículo 35 de la Ley del Consumidor. En consecuencia, al

haberse acogido parcialmente la pretensión con base en el primero, el análisis

del segundo resultaba innecesario, por lo que la omisión apuntada no causa

ningún tipo de perjuicio ni tendría la virtud de eliminar el nexo causal

previamente analizado.  Todo lo anterior conlleva a que el reproche no

pueda ser acogido.

Con base en las

razones expuestas, lo procedente es rechazar el recurso interpuesto y, de

conformidad con el artículo 150.1 del CPCA, imponer las costas de este a la

parte que lo incoó.