Resolución 00032-2011

Se declara sin lugar la defensa previa de caducidad incoada por el Banco Nacional de Costa Rica." (Folio 99 vuelto del legajo judicial- ver detalle de las 14 horas 01 minutos de la grabación de la audiencia preliminar. Minuta que corre a folio 99 del expediente principal).

La audiencia preliminar establecida en el ordinal 90 del Código Procesal Contencioso Administrativo, que se encuentra grabada en el sistema digital de este Despacho, fue celebrada a partir de las 13 horas 54 minutos del 23 de noviembre de 2010, con la asistencia de ambas partes. Al no existir prueba que evacuar, el presente asunto fue declarado como de puro derecho y se rindieron conclusiones. El expediente respectivo fue remitido a este órgano colegiado para la emisión del fallo pertinente en fecha 14 de enero de 2010, según consta en sello de pase visible a folio 99 vuelto del expediente judicial.

En los procedimientos ante este Tribunal no se han observado nulidades que deban ser subsanadas y la sentencia se dicta dentro del plazo de quince días hábiles establecido al efecto por el artículo 82.4 del Reglamento Autónomo de Organización y Servicio de la Jurisdicción Contencioso Administrativa y Civil de Hacienda.

Redacta el juez Giusti Soto con el voto afirmativo de la juzgadora Abarca Gómez y el Juzgador Garita Navarro;

CONSIDERANDO.

Hechos probados. De relevancia para efectos del presente proceso se tienen los siguientes:

Que el 14 de marzo de 2008, el señor Nombre142961 le solicitó al Banco Nacional de Costa Rica realizar investigación de las transacciones realizadas a las cuentas de su representada entre los días 10 y 14 de marzo de ese año. (Folio 18 del expediente principal).

El día 14 de marzo de 2008, el señor Nombre142961 presentó denuncia N° 013-08-00456 ante el Organismo de Investigación Judicial de Liberia Guanacaste, en la que indicó que la contadora de la empresa el lunes 14 de marzo utilizó internet para hacer unas transferencias percatándose que la clave había sido cambiada, de inmediato solicitó una nueva clave y se dio cuenta de la sustracción de treinta y nueve mil dólares, los que fueron depositados en otras cuentas de otras personas de las que no conocen. (Folio 20 del expediente principal).

El Supervisor de Seguridad de Banca Regional Guanacaste-Puntarenas, el Lic.Gilberth Marchena Viales, en oficio N° BRGP-005-2008 del 7 de abril de 2008, dirigido al Director Regional del Banco Nacional de Costa Rica, Nombre142962 , le informó acerca de la investigación realizada ante solicitud del representante de la empresa Bahía Pez Vela Administration S.A. por débitos realizados a sus cuentas, concluyendo que el registro transaccional de Internet Banking Personal para cada una de las transferencias sospechosas reportadas, figuran los datos que identifican al titular de la cuenta, como autor de las mismas, lo que refleja que lo ocurrido no obedece a una violación de los sistemas de seguridad del banco, sino a una falta del usuario. (Folios 1 a 4 del expediente administrativo).

Que mediante oficio BRGP-142-2008 fechado 9 de abril de 2008, el Director Regional de Banca Regional Guanacaste Puntarenas del Banco Nacional de Costa Rica, le comunicó al señor Nombre142961 acerca de la investigación realizada en el caso por él denunciado, haciéndole de conocimiento el resultado de lo investigado por la Dirección de Seguridad, además se le indicó el listado de todas las transacciones y que el monto ascendía a la suma de ¢19.5000.000; que se había podido detener a Nombre142963 cuando se presentó a la oficina de Heredia quien fue dejado a las órdenes del Organismo de Investigación Judicial. Asimismo le indicó que la suma de ¢498.311.50 fue bloqueada en la cuenta de la sospechosa Nombre142964 , de lo cual se está a la espera de coordinar con el Ministerio Público para el respectivo reintegro; que los movimientos no fueron realizados desde ninguna máquina relacionada con el Banco y que de acuerdo a las direcciones IP de donde se ejecutaron son servicios que brinda el ICE, Racsa, Cable Amnet y Cable Tica, por lo que no obedece a la violación de los sistemas de seguridad del banco, sino a una falla del usuario. Por ello le comunicaron el rechazo de todos los extremos del reclamo presentado. (Folios del 5 al 7 del expediente administrativo).

El representante de la empresa Bahía Pez Vela Administration S.A. el 22 de abril de 2008, planteó ante la Banca Regional Guanacaste-Puntarenas, recurso de revocatoria y apelación en subsidio contra lo resuelto en oficio BRGP-142-2008, alegando que la empresa fue objeto de una acción de terceros que abusando del sistema de manejo electrónico de fondos que tiene el Banco Nacional, le sustarjeron de dos cuentas la suma de ¢19.500.000, por lo que existe responsabilidad objetiva por parte del banco por ser la página electrónica un servicio brindado por la entidad, sobre el cual debe verificar todas las medidas de seguridad para que terceros ajenos no realicen transferencias electrónicas en perjuicio de los cuenta corrientistas, y tomando en cuenta la autorización de transferencias superiores a los límites diarios permitidos, evidencia la falla en los controles en los sistemas tecnológicos. (Folio 11 al 20 del expediente administrativo).

El Director Regional de Banca Regional Guanacaste-Puntarenas del Banco Nacional de Costa Rica, en oficio BRGP-163-2008 de 30 de abril de 2008, rechaza el recurso de revocatoria presentado al considerar que en los terminos expuestos no se agregan elementos nuevos de juicio a lo originalmente planteado. Le informó que remitía el asunto a conocimiento de la Junta Directiva General a los efectos de que de por agotada la vía administrativa (Folio 21 del expediente administrativo).

Mediante oficio sin número, fechado 1 de setiembre de 2008 y rubricado por el señor Nombre142965 , Secretario General de la Junta Directiva del Banco Nacional de Costa Rica, le comunican al señor Nombre142961 que la Junta Directiva en artículo 10, de la sesión N° 11.497 del 26 de agosto de 2008, conoció de la apelación presentada contra el oficio BRGP-142-2008, indicándole que se decidió acoger en todos sus extremos el dictamen DJ.1482-2008 del 7 de agosto anterior de la Dirección Jurídica, por lo que se declara sin lugar el recurso, aduciendo que el daño patrimonial ocasionado no ocurrió por una conducta desplegada por el Banco, sino por una conducta negligente realizada por un representante o autorizado en la cuenta, quien reveló datos necesarios para el acceso a la cuenta lo que implicó la transferencia de dinero de la cuentas a varias personas, por lo que el Banco no tiene responsabilidad. (Folio 23 frente y vuelto del expediente administrativo).

Que el 13 de agosto de 2009 el representante de la empresa Bahía Pez Vela Administration S.A. planteó reclamo administrativo ante la sucursal de Liberia del banco Nacional de Costa Rica, solicitando el reconocimiento de los $40.000 que fueron sustraídos de sus cuentas entre el 10 al 14 de marzo de 2008, por medio de transferencias electrónicas que no fueron autorizados por su representada. (Folio 40 y 41 del expediente principal).

Que el 8 de enero de 2010, el señor Nombre142961 solicitó a la Sucursal de Liberia del Banco Nacional de Costa Rica, se diera respuesta a su solicitud de 13 de agosto de 2009 respecto a su reclamo administrativo, advirtiendo que de no hacerlo acudiría a la vía correspondiente. (Folio 73 del expediente principal).

Hechos no probados. De relevancia para efectos del presente proceso se tiene como tal: Que la sucursal de Liberia del Banco Nacional de Costa RIca hubiera dado respuesta o resolución alguna al reclamo de reconocimiento del dinero sustraído a las cuentas de su cliente Bahía Pez Vela Administration S.A, presentado por el representante de dicha empresa el señor Nombre142961 el día 13 de agosto de 2009 y reafirmado el 8 de enero de 2010. (No se acredita tal situación).

Objeto del proceso. Alegatos de las partes. Analizadas las alegaciones y peticiones de las partes involucradas en este conflicto, se determina como objeto del proceso la indemnización a la empresa actora por la suma de $40.000 sustraídos de sus cuentas entre el 10 y el 14 de marzo de 2008, alegándose la falta de controles del Banco demandado al utilizar el servicio de Internet Banking.

Alegatos de las partes. El accionante aduce que su representada tenía una relación comercial con el Banco Nacional de Costa Rica mediante la cuenta corriente número 100-01-015-006077-5 en colones y la número 100-02-015-600387-8 en dólares. Que en la semana del 10 al 14 de marzo de 2008, personas ajenas sustrajeros de sus cuentas electrónicas la suma de cuarenta mil dólares. Que el 10 de marzo de 2008 la contadora de la empresa al revisar las cuentas pudo notar el faltante, por lo que el 14 de marzo de 2008 se remitió nota al Banco Nacional para que iniciara la investigación respectiva en torno a las transacciones realizadas por medio de internet en la cuenta de su representada y además, en la misma fecha procedió a formular denuncia ante el Organismo de Investigación Judicial de Liberia Gunacaste. Indica que la Sucursal del Banco de Liberia el 8 de abril siguiente le indicó que por parte de la entidad determinaron que en la semana del 10 al 14 de marzo de 2008 se realizaron varios traslados de dinero vía Internet Banking de la cuenta 100-02-015-600387-8 en dólares y 100-01-015-6077-5 en colones a nombre de la empresa a diferentes cuentas, realizando un total de 39 operaciones algunas de las cuales tenían como destinatarios los señores Nombre142963 y Nombre142964 , y le indicaron que el incidente no era responsabilidad del banco pues se había dado por una falta de la empresa. Expresa que planteó contra esa decisión recurso de revocatoria con apelación ante el Director Regional de Guanacaste el día 21 de abril de 2008, siendo los mismos rechazados el 30 de abril siguientes, dándose por agotada la vía administrativa. Alega que nuevamente formuló reclamo administrativo el 28 de julio de 2009, solicitando se aplicara el artículo 190 de la Ley General de la Administración Pública y 158 del Código Procesal Contencioso. Indica que ante la omisión, el 8 de enero volvió instar la respuesta lo que no surtió efecto. Niega que haya sido por negligencia de parte de su representada, ya que las transacciones no fueron realizadas ni por empleados, ni por máquinas de la empresa, tal y como puede corroborarse de las direcciones IP de donde se hicieron las transacciones ilícitas. De seguido desarrolla la teoría de la responsabilidad objetiva insertada en la Ley General de la Administración pública, indicando que la responsabilidad en el caso concreto deriva de la falta de controles del Banco por medio de la utilización de un servicio brindado a su empresa mediante Internet Banking, lo que encuentra sustento en la Ley de Protección al Consumidor, tal y como lo ha indicado el Tribunal, por lo que derivado de la naturaleza contractual de su representada con la institución bancaria y el deber de indemnización de conformidad con la cita que hace de la sentencia 116-08 de las 14 horas del 26 de setiembre de 2008, de lo cual colige que al no haber sido responsabilidad de la empresa el que personas inescrupulosas entraran por la falta de seguridad del banco y que su dinero fuera sustraído, conlleva el deber de la institución de responsabilizarse por el daño causado, sea la perdida de cuarenta mil dólares. Alega la aplicación de los artículos 31, 34 y 35 de la Ley de Promoción de la Competencia, en virtud del servicio prestado. Indica además que a mayor abundamiento, la responsabilidad de los bancos en materia de fraude electrónico ya fue conocido por la Sala Primera de la Corte Suprema de Justicia en varias sentencias, entre ellas menciona la N° 300-F-S1-2009 de las 11:25 horas del 26 de marzo de 2009 y la N° 394-F-S1-2009 de las 10:23 horas del 23 de abril de 2009.

Por su parte, la representación del banco demandado indica que efectivamente la empresa Bahía Pez vela Administration S.A. es titular de las cuantas bancarias números 100-02-015-600387-8 en dólares y la 100-01-015-006077-5 en colones. Que en el informe BRGP-005-2008 de 7 de abril de 2008 suscrito por el Supervisor de Seguridad de la Regional del Banco en Guanacaste, se determinó que las transferencias mediante Internet Banking realizadas entre los días 10 al 14 de marzo de 2008 lo fue por un monto total de ¢19.500.000, en cuyo informe se destaca que del análisis de las transacciones fueron realizadas con el código del usuario del ciente (nombre completo y número de cédula), que los sistemas informáticos del Banco no fueron vulnerados, que en las transacciones investigadas no se localizaron direcciones IP asignadas y utilizadas por el Banco Nacional, que los dineros fueron retirados por medio de distintos cajeros automáticos y que al darse el aviso se procedió a cerrar las cuentas utilizadas y se codificó a sus titulares. Expresa que posterior a la restricción de la cuentas se logró al detención de Nombre142966 cuando se presentó a la Sucursal de Heredia, el cual fue dejado a la orden del Organismo de Investigación Judicial y que existe retenida la suma de ¢498.311.50 de la transferencia realizada a la cuenta de Nombre142964 . Manifiesta que el Personal de la Dirección de Seguridad Informática realizó una verificación de los hechos reportados y sobre los elementos de control y seguridad asociados a los servicios electrónicos del Banco Nacional, determinando que los números de las direcciones IP de donde se realizaron las transacciones son de origen costarricense, indicando que la clave (password) creada por el cliente para registrarse en el Sistema de Internet Banking y acceder a los servicios electrónicos es secreta, solamente es conocida por el interesado y es intransferible y esa clave fue la utilizada para las transacciones investigadas, y que no se utilizaron direcciones IP asignadas o utilizadas por el Banco Nacional, por lo que se concluyó que no obedeció a una violación de los sistemas de seguridad del banco, sino a una falta del usuario, con todo lo cual se recomendó declinar el reclamo administrativo presentado. Respecto de la solicitud de investigación presentada por la empresa, indica que culminó con el informe BRGP-005-2008 del 7 de abril de 2008 y basado en éste, el Director del Banco Regional Guanacaste en oficio BRGP-142-2008 de 9 de abril siguiente, rechazó el reclamo planteado explicándole los aspectos suscitados. Que contra lo resuelto se plantearon los recursos de revocatoria con apelación en subsidio, siendo rechazado el primero mediante oficio BRGP-163-2008 suscrito por el Director del Banco Regional Guanacaste, elevando el asunto a la Junta Directiva General, la que resolvió la apelación rechazándola según artículo 10 de la sesión N° 11.497 del 26 de agosto de 2008, notificado el 3 de setiembre siguiente, momento que indica a partir del cual empieza a correr el plazo de un año previsto en el Código Procesal Contencioso Administrativo. Que la empresa afectada nuevamente presentó reclamo administrativo el 13 de agosto de 2009 en la sucursal del Banco Nacional de Liberia, sea prácticamente una año después de que el asunto había sido resuelto en firme incluso por la Junta Directiva de la institución, lo que indica que la gestión era absolutamente improcedente, pues los hechos ya habían sido ampliamente conocidos y resueltos por el Banco, e indica que ese reclamo se presentó para disimular la evidente caducidad de la acción. Sobre el tema de los fraudes mediante Internet Banking, cita la sentencia 1496-2010 del Tribunal, de lo cual considera se puede extraer que el correcto análisis de este tipo de casos debe partir de cuatro aspectos: a) que el actor acredite de manera fehaciente que haya observado patrones de comportamiento adecuados para proteger sus datos sensibles, incluyendo la no divulgación de su clave y su pin que son creación personal del cliente, b) Que resulta imposible explicar como un tercero puede accesar a los datos sin el concurso del propio titular de la cuenta ya sea por acción u omisión, pues el primer obligado a custodiar adecuadamente los datos es el cliente, y si no lo hizo en forma diligente entonces terceros podrían accesarla; c) que el banco ha tomado los medios necesarios para que los datos privados queden consignados en distintos medios, unos completamente distintos de otros y algunos incluso de creación única y exclusiva del propio cliente; y d) que no es posible obviar de que la única forma posible para que haya ocurrido el supuesto fraude es por medio del descuido del cliente que permitió por su acción u omisión la fuga de sus datos. Así, considera que que en la especie son aplicables los eximentes que rompen el nexo causal (culpa de la víctima y hecho de un tercero), por lo que solicita declarar sin lugar la demanda en todos sus extremos. Por otra parte, en cuanto a la defensa previa de caducidad de la acción, indica que el actor carece de todo sustento jurídico para accionar judicialmente en contra del Banco, por cuanto sus reclamos administrativos fueron resueltos incluso por la Junta Directiva de la institución, cuya resolución le fue notificada el 3 de setiembre de 2008, sea hace casi dos años, por lo que es aplicable lo dispuesto en los artículos 31 y 39 del Código Procesal Contencioso Administrativo, evidenciando la caducidad para interponer el presente proceso, solicitando se declare inadmisible la demanda. Finalmente, opuso las defensas de fondo de Falta de Derecho, Hecho de un Tercero y Culpa de la víctima.

Sobre los derechos fundamentales de los consumidores. Regulación constitucional y legal. Para este caso, se hace necesario hacer una breve referencia al ordenamiento constitucional y legal que precisa el conjunto de derechos que le resultan aplicables a los consumidores en las relaciones de adquisición de bienes y/o servicios. Esto es relevante al considerar que los contratos de cuenta corriente (incluso la electrónica), así como la generalidad de la oferta financiera y bancaria, forman parte de ese tipo de relaciones comerciales en las cuales, el destinatario del servicio o bienes se constituye como consumidor, categoría a la cual, en razón de la dinámica del comercio, se han consagrado derechos y obligaciones. Este tema ha sido ya objeto de examen por parte de este Tribunal , en las sentencias números 1112-2009 de las 13 horas con 30 minutos del 15 de junio de 2009, número 602-2010 de las dieciséis horas treinta minutos del diecinueve de febrero del dos mil diez , número 2758-2010 de las once horas con cuarenta y cinco minutos del veintiocho de julio del dos mil diez y la número 3699-2010 de las once horas con cincuenta y siete minutso del treinta de setiembre de dos mil diez . En dichos precedentes, esta Sección Sexta ha establecido que este tipo de relaciones participa de la categoría de relaciones de consumo. Desde este plano, el canon 46 párrafo quinto de la C onstitución Política establece el conjunto de derechos que acuden a los consumidores, en la mayoría de las ocasiones, como parte débil de la relación comercial. En esa línea, estatuye el citado numeral: “Artículo 46.- (…) Los consumidores y usuarios tienen derecho a la protección de su salud, ambiente, seguridad e intereses económicos; a recibir información adecuada y veraz; a la libertad elección, y a un trato equitativo. El Estado apoyará los organismos que ellos constituyan para la defensa de sus derechos. La Ley regulará esas materias”. Cabe precisar que el derecho a un trato equitativo supone en cualquier supuesto, el deber del comerciante o proveedor, de tratar al consumidor de manera atenta y respetuosa frente a sus simples reclamos, o en la tutela de sus derechos tanto en sede administrativa y judicial. Ahora bien, es claro que la aplicación de estos principios y su interpretación, debe orientarse hacia la tutela y resguardo de la parte más débil de la relación. Así lo ha entendido la Sala Constitucional, entre otros, en la sentencia número 2002-0 857, en l a cual, sobre el tema objeto de comentario señaló: “Es notorio que el consumidor se encuentra en el extremo de la cadena formada por la producción, distribución y comercialización de los bienes de consumo que requiere adquirir para su satisfacción personal, y su participación en ese proceso, no responde a razones técnicas ni profesionales, sino en la celebración constante de contratos a título personal. Por ello su relación en esa secuencia comercial es de inferioridad y requiere de una especial protección frente a los proveedores de los bienes y servicios, a los efectos de que previo a externar su consentimiento contractual cuente con todos los elementos de juicio necesarios, que le permitan expresarlo con toda libertad y ello implica el conocimiento cabal de los bienes y servicios ofrecidos. Van incluidos por lo expresado, en una mezcla armónica, varios principios constitucionales, como la preocupación estatal a favor de los más amplios sectores de la población cuando actúan como consumidores, la reafirmación de la libertad individual al facilitar a los particulares la libre disposición del patrimonio con el concurso del mayor posible conocimiento del bien o servicio a adquirir, la protección de la salud cual está involucrada, el ordenamiento y la sistematización de las relaciones recíprocas entre los interesados, la homologación de las prácticas comerciales internacionales al sistema interno y en fin, la mayor protección del funcionamiento del habitante en los medios de subsistencia” De lo expuesto se colige, en la relación de consumo entre el comerciante o proveedor y el consumidor, existe por la dinámica natural del comercio, una desigualdad entre ambos, y el consumidor, en la mayoría de las ocasiones, en esta relación natural, es la parte más débil. De ahí que la Constitución Política equilibre la dinámica de cargas de esa relación de consumo, otorgándole al consumidor una serie de derechos fundamentales que lo protegen de su desigualdad natural con el comerciante o proveedor. Como derivación de ello, la interpretación y la aplicación de las normas, en caso de duda, en los conflictos de esta naturaleza, deben favorecer al más débil, es decir, en tesis de principio, al consumidor. De ahí que en esos supuestos, el comerciante o proveedor, tiene una obligación de demostrar que ha cumplido con sus obligaciones en la relación de consumo y que ha respetado los derechos fundamentales del consumidor, en caso contrario, deberá responder por la infracción a estas reglas como lo determine las normas infra constitucionales. Ahora, como lo dice el artículo 46 constitucional, es a la Ley a la que le corresponderá regular esos derechos, lo que se concreta en la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, No. 7472. Dicho cuerpo legal establece, grosso modo, los derechos que acuden al consumidor, tema desarrollado en el canon 32, así como los deberes del comerciante, establecidos en el canon

Es claro por ende, la infracción a los deberes del comerciante, genera por efecto directo y como consecuencia natural y lógica, el quebranto de los derechos del consumidor, tutelados constitucional y legalmente en los términos ya expuestos. Ello supone entonces, el surgimiento de un sistema de responsabilidad del comerciante o proveedor hacía el consumidor, de reparar los daños y perjuicios que se le ocasionen a este último. En consecuencia, si existe una violación a los derechos constitucionales y legales del consumidor, por parte del comerciante o proveedor, éste debe reparar el efecto dañoso que se le haya causado al consumidor, bajo el régimen de responsabilidad objetiva que en el siguiente considerando de esta sentencia se explicará con detalle y precisión.

V

Sobre el régimen jurídico de responsabilidad aplicable a las relaciones de comercio electrónico de índole bancario. Aspecto relevante dentro de este proceso es la determinación del régimen jurídico aplicable a este tipo de vinculaciones comerciales como la que se ha presentado entre las partes. Sobre regulaciones legales que d el contrato de cuenta corriente establece el Código de Comercio, este Tribunal ha sido claro, tesis que sostiene al no aportarse argumentos de derecho que justifiquen una variación en esta postura, siendo los contratos de cuenta corriente con servicios electrónicos de internet bankin g una variación más de las relaciones económicas de consumo, en este caso, de servicios bancarios y financieros, son de total y plena aplicación las normas de responsabilidad fijadas por la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor. Aún considerando que en el contexto actual, las cuentas electrónicas suponen como criterio de base la existencia de un contrato de cuenta corriente, considerándose por ende en un servicio adicional a este último, o bien, una variación actualizada, lo cierto del caso es que en el contexto conceptual desarrollado en el artículo 2 de la Ley No. 7472, esa vinculación encaja a plenitud dentro de las relaciones de consumo en tanto se trata de una parte comerciante o proveedora de servicios financieros o bancarios, que son adquiridos por un cliente que constituye el destinatario final de esa oferta de mercado. Se trata de un contrato comercial por adhesión que tiene por objeto la oferta de servicios bancarios de administración de fondos mediante una cuenta corriente, en virtud del cual el Banco recibe del cliente fondos u otros valores acreditables de manera inmediata o en calidad de depósito o bien, otorgamiento de crédito, para girar contra él. Resulta evidente que cuando la cuenta permita transferencias electrónicas, como derivación de la modernidad tecnológica, no resulta de aplicación la referencia al concepto de cheques (como documento físico). Precisamente la aplicación de mecanismos desmaterializados en el comercio para la disponibilidad de esos fondos y cuentas prescindiendo de emisión de documentos físicos, es hoy en día una oferta más dentro del citado contrato de cuenta corriente, que resulta altamente atractiva para el consumidor, dada la agilidad y simplificación de las transacciones, lo que exige, mecanismos de seguridad de movimientos monetarios para concretar el deber de eficiente y diligente custodia de los fondos del cliente. Desde esa arista de examen, las normas que refieren a la tipología contractual del vínculo no desmejora ni elimina que se trate de una relación de consumo, regulada por ende, además, por las disposiciones de la Ley No. 7472. De ahí que no exista duda en que el régimen jurídico de responsabilidad aplicable al presente asunto es el numeral 35 de la citada Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor. Así, a modo de referencia lo ha expuesto esta Sección en el fallo No. 2758-2010 precitado, en el cual, sobre el tema en concreto se señaló: "De esas resoluciones, se puede extraer el criterio unánime de que el régimen de responsabilidad objetiva que debe aplicarse en asuntos como el presente, es el dispuesto en los artículos 31 y 35 de la Ley de Promoción de la Competencia y de Defensa Efectiva del Consumidor, esto debido a que estamos en presencia de una relación comercial de consumo, en la cual el Banco Nacional de Costa Rica, pese a que es una administración pública, brinda un servicio comercial de Internet Bankin, el cual se califica como un servicio mercantil privado, por lo que dicha institución bancaria no está actuando dentro de sus potestades administrativas, sino como un sujeto de derecho privado y debe regularse por la normativa respectiva, como lo es la Ley de Promoción de la Competencia y de Defensa Efectiva del Consumidor. Asimismo, la empresa actora viene en su calidad de cliente del banco demandado, por lo que se configuran los elementos esenciales para la existencia de una relación comercial de consumo que se rige por las reglas de la citada Ley de Protección al Consumidor. (...) Además, de lo dicho por este mismo Tribunal Contencioso Administrativo, este órgano jurisdiccional considera que la Ley de Promoción y Defensa del Consumidor, regula un régimen jurídico especial, que debe ser aplicado sobre el régimen jurídico general, como sería en este caso la normativa comercial sobre cuentas corrientes, o sobre la materia contractual, por lo que desde esta simple óptica, debe aplicarse las reglas de la responsabilidad objetiva que regula la citada Ley de Protección del Consumidor. Asimismo, y bajo los mismos argumentos indicados anteriormente, este Tribunal no está de acuerdo con el alegato de la parte demandada en el sentido de que se apliquen las normas del Código de Comercio, específicamente en lo concerniente a los contratos de cuentas corrientes, ya que como ha quedado expuesto, la normativa de protección al consumidor es un régimen especial que se encuentra sobre el general del Código de Comercio."

VI

Antecedentes de la Sala Primera de la Corte Suprema de Justicia en casos similares. Ya con lo expuesto, merece traerse a colación lo resuelto por la Sala Primera en la sentencia número 300-20 0 9 de las once horas veinticinco minutos del veintiséis de marzo del dos mil nueve, analizando el tema objeto de controversia, señaló: "III.- Responsabilidad objetiva por riesgo en materia del consumidor. En lo que se refiere a la responsabilidad, se pueden ubicar dos grandes vertientes, una subjetiva, en la cual se requiere la concurrencia, y consecuente demostración, del dolo o culpa por parte del autor del hecho dañoso (v.gr. el cardinal 1045 del Código Civil), y otra objetiva, que se caracteriza, en lo esencial, por prescindir de dichos elementos, siendo la imputación del daño el eje central sobre el cual se erige el deber de reparar. Como ejemplo de lo anterior, se encuentra el numeral 35 de la Ley de Defensa Efectiva del Consumidor, en donde el comerciante, productor o proveedor, responderá por aquellos daños derivados de los bienes transados y los servicios prestados, aún y cuando en su actuar no se detecte negligencia, imprudencia, impericia o dolo. Asimismo, es importante considerar, por su influencia en el tema probatorio, que los elementos determinantes para el surgimiento de la responsabilidad civil, sea esta subjetiva u objetiva, son: una conducta lesiva (la cual puede ser activa o pasiva, legítima o ilegítima), la existencia de un daño (es decir, una lesión a un bien jurídico tutelado), un nexo de causalidad que vincule los dos anteriores, y en la mayoría de los casos la verificación de un criterio de atribución, que dependerá del régimen legal específico. En cuanto a la causalidad, es menester indicar que se trata de una valoración casuística realizada por el juzgador en la cual, con base en los hechos, determina la existencia de relación entre el daño reclamado y la conducta desplegada por el agente económico. Si bien existen diversas teorías sobre la materia, la que se ha considerado más acorde con el régimen costarricense es la de causalidad adecuada, según la cual existe una vinculación entre daño y conducta cuando el primero se origine, si no necesariamente, al menos con una alta probabilidad según las circunstancias específicas que incidan en la materia, de la segunda (en este sentido, pueden verse, entre otras, las resoluciones 467-F-2008 de las 14 horas 25 minutos del 4 de julio de 20085, o la 1008-F-2006 de las 9 horas 30 minutos del 21 de diciembre de 2006). En este punto, es importante aclarar que la comprobación de las causas eximentes (culpa de la víctima, de un hecho de tercero o la fuerza mayor), actúa sobre el nexo de causalidad, descartando que la conducta atribuida a la parte demandada fuera la productora de la lesión sufrida. En lo que se refiere a los distintos criterios de imputación, para los efectos del presente caso, interesa la teoría del riesgo creado, la cual fue incluida, en forma expresa, en la Ley de Defensa del Consumidor. El esquema objetivo por el que se decanta la ley, así como la aplicación del criterio de imputación citado, se desprenden de la simple lectura de la norma en cuestión, la cual estipula (...) Realizando un análisis detallado de la norma recién trascrita, se desprenden una serie de elementos condicionantes de su aplicación. En primer lugar, y desde el plano de los sujetos, esto es, quien causa el daño y quien lo sufre, la aplicación de este régimen de responsabilidad se encuentra supeditada a que en ellos concurran determinadas calificaciones. Así, en cuanto al primero, se exige que sea un productor, proveedor o comerciante, sean estas personas físicas o jurídicas. Por su parte, en cuanto al segundo, la lesión debe ser irrogada a quien participe de una relación jurídica en donde se ubique como consumidor, en los términos definidos en el cuerpo legal de referencia y desarrollados por esta Sala. Se requiere, entonces, que ambas partes integren una relación de consumo, cuyo objeto sea la potencial adquisición, disfrute o utilización de un bien o servicio por parte del consumidor. El Banco actúa en ejercicio de su capacidad de derecho privado, como una verdadera empresa pública, y en dicha condición, ofrece a sus clientes un servicio, por lo que, al existir una relación de consumo, el caso particular debe ser analizado bajo el ámbito de cobertura del numeral 35 en comentario. Asimismo, del precepto bajo estudio se desprende, en segundo lugar, que el legislador fijó una serie de criterios de atribución con base en los cuales se puede imputar la responsabilidad objetiva que regula este cardinal, dentro de los que se encuentra la ya citada teoría del riesgo. Así, este sirve como factor para endilgarle la responsabilidad a los sujetos a que se hace referencia. En esencia, dicha teoría postula que, quien crea, ejerza o se aprovecha de una actividad lucrativa lícita que presenta elementos potencialmente peligrosos para los demás, debe también soportar sus inconvenientes (ubi emolumentum, ubi onus, el cual puede ser traducido como donde está el emolumento, está la carga). De la anterior afirmación se pueden colegir dos características: por un lado, que el riesgo proviene de una actividad de explotación; y por el otro, al ser realizada por el ser humano, se excluyen los denominados hechos de la naturaleza. Concomitantemente, importa realizar algunas precisiones en cuanto a los riesgos aptos para la generación de la responsabilidad, ya que no todo riesgo implica el surgimiento, en forma automática, de esta. En la actualidad, la vida en sociedad ofrece un sinnúmero de riesgos, de distintos grados y alcances, al punto que se puede afirmar que es imposible encontrar una actividad cotidiana que se encuentre exenta de ellos. En esta línea, la interpretación de las normas no puede partir de una aversión absoluta y total al riesgo, el cual, como se indicó, forma parte integral de la convivencia societaria y de los avances tecnológicos que se integran a esta. Lo anterior lleva a afirmar que, para el surgimiento del deber de reparación, el riesgo asociado con la actividad debe presentar un grado de anormalidad, esto es, que exceda el margen de tolerancia que resulta admisible de acuerdo a las reglas de la experiencia, lo cual debe ser analizado, de manera casuística, por el juez. El segundo punto que requiere algún tipo de comentario es en cuanto al sujeto que deviene obligado en virtud de una actividad considerada como peligrosa. Como ya se indicó, el criterio de imputación es, precisamente, el riesgo creado, lo que hace suponer que la persona a quien se le imputa el daño debe estar en una posición de dominio respecto de aquel, es decir, debe ser quien desarrolla la actividad o asume las posibles consecuencias negativas asociadas, recibiendo un beneficio de ello. Este puede ser directo, el cual se puede identificar, entre otros, con los ingresos o emolumentos obtenidos a título de contraprestación, o bien indirectos, cuando la situación de ventaja se da en forma refleja, que podría ser el caso de mecanismos alternos que tiendan a atraer a los consumidores, y en consecuencia, deriven en un provecho económico para su oferente. Es importante mencionar que en una actividad es dable encontrar distintos grados de riesgo, los cuales deben ser administrados por aquel sujeto que se beneficia de esta, circunstancia que ejerce una influencia directa en el deber probatorio que le compete, ya que resulta relevante para determinar la imputación en el caso concreto. Lo anterior, aunado a la existencia de causales eximentes demuestra que la legislación en comentario no constituye una transferencia patrimonial automática." .

I

Alcances del régimen de responsabilidad regulado en la Ley No. 7472. Resulta claro entonces que la norma de responsabilidad aplicable a la especie es el precitado ordinal 35 de la Ley No. 7472, que a su tenor literal precisa: "ARTÍCULO

Régimen de responsabilidad. El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos./ Sólo se libera quien demuestre que ha sido ajeno al daño./ Los representantes legales de los establecimientos mercantiles o, en su caso, los encargados del negocio son responsables por los actos o los hechos propios o por los de sus dependientes o auxiliares. Los técnicos, los encargados de la elaboración y el control responden solidariamente, cuando así corresponda, por las violaciones a esta Ley en perjuicio del consumidor." La correcta comprensión de la norma permite concluir sobre la naturaleza objetiva de este régimen de responsabilidad, que por tal, prescinde de la consideración de factores subjetivos, como el dolo o la culpa grave. Segundo, es necesario acreditar la existencia de una conducta lesiva, activa u omisiva, esto significa que debe presentarse por parte del comerciante o proveedor una violación de los derechos del consumidor o bien de sus obligaciones. Es claro que para que sea posible la imputación de responsabilidad, debe demostrarse la existencia de un daño efectivo, evaluable e individualizable, que sea consecuencia de las conductas del comerciante (presunto responsable). Esto implica, la acreditación de un nexo de causalidad entre esa lesión y el comportamiento del proveedor de servicios o bienes. Ahora bien, en el contexto del régimen jurídico aplicable al caso de este tipo de relaciones de consumo, el numeral 35 de la Ley No. 7472 establece la posible liberación de responsabilidad a quien demuestre la ajenidad con el daño. Por aplicación supletoria del artículo 190 de la Ley General de la Administración Pública (conforme a la remisión que estatuye el canon 71 de la Ley de Promoción de la Competencia y Protección Efectiva del Consumidor), las causas eximentes de responsabilidad allí previstas, son de plena aplicación a esa materia. Desde luego que a tono con la carga dinámica de la prueba, corresponde a quien pretende liberarse de una obligación, acreditar lo hechos liberatorios, impeditivos o modificativos del derecho que se pretende ejercer en su contra. Sobre el tema de carga de la prueba en este tipo de procesos, puede verse el considerando IV de la sentencia 300-2009 de la Sala Primera de la Corte Suprema de Justicia. Así las cosas, resulta determinante establecer en este proceso, la convergencia de los diversos supuestos referidos que permiten hacer surgir la responsabilidad objetiva del ente bancario, como lo alega el accionante, o si por el contrario, se ha configurado algunas de las causas eximentes de esa responsabilidad que permita tener al Banco como ajeno al daño que se reclama en esta sede .

X - Análisis del caso concreto. Sobre la responsabilidad objetiva del Banco Nacional. Acreditación del daño y nexo causal. En la especie, se ha tenido por acreditado, que la empresa Bahía Pez Vela Administration S.A. tiene dos cuenta s corriente con el Banco Nacional de Costa Rica, la número 100-01-015-006077-5 en colones y la número 100-02-015-600387-8 en dólares, siendo que en esas , en el período comprendido entre el 10 y el 14 de marzo de 2008 , se realizaron una serie de débitos por transferencias electrónicas, para un total de cuarenta y dos transferencias a favor de varias cuentas pertenecientes a otros clientes del mismo Banco demandado ( ver detalle del informe del Supervisor de Seguridad del Banco accionado visible a folios 1 al 4 del expediente administrativo ), por un total , según dicho informe de ¢19.500.000.00 ( diecinueve millones quinientos mil colones ). Según se indicó, l os débitos fueron realizados desde direcciones IP propias del País, en máquinas no vinculadas con el propio Banco demandado y que, la parte actora niega contaran con su anuencia, pues tanto ante la misma institución bancaria, como ante el Organismo de Investigación Judicial, manifestó que fue la contadora de la empresa la que se dio cuenta de los faltantes al consultar el sistema de internet a los efectos de realizar algunas operaciones, razón por la cual el mismo 14 de marzo de 2008 procedió a dar parte al Banco, solicitando la investigación respectiva. Como efecto de la denuncia presentada por el representante de la empresa afectada, el Supervisor de Seguridad del Banco Regional Guanacaste-Puntarenas en oficio BRGP-005-2008 de 7 de abril de 2008, entre sus conclusiones indicó : "... dado que en el registro transaccional que identifican al titular de la cuenta, como autor de las transferencias sospechosas reportadas, figuran los datos que identifican al titular de la cuenta, como autor de las mismas. Lo cual que (sic) refleja que lo ocurrido no obedece a una violación de los sistemas de seguridad del banco, si no a una falla del ususario. Por lo tanto se recomienda, salvo mejor criterio de su parte declinar el presente reclamo administrativo, rechazando en todos sus extremos la pretensión de reintegro de los fondos... " (folio 1 del expediente administrativo) . Sustentado en ello, el Director de Banca Regional Guanacaste-Puntarenas del Banco Nacional de Costa Rica, mediante oficio BRGP-142-2008 fechado 9 de abril de 2008, le comunicó al señor Nombre142961 sobre la investigación realizada en el caso denunciado, entre otras cosas le indicó que los movimientos no fueron realizados desde ninguna máquina relacionada con el Banco y que de acuerdo a las direcciones IP de donde se ejecutaron son servicios que brinda el ICE, Racsa, Cable Amnet y Cable Tica, por lo que no obedece a la violación de los sistemas de seguridad del banco, sino a una falla del usuario, razón por la cual se rechazaba el reclamo (Folios del 5 al 7 del expediente administrativo). Ante lo cual el representante de la empresa Bahía Pez Vela Administration S.A. , planteó el 22 de abril de 2008 recursos de revocatoria y apelación en subsidio contra lo resuelto en oficio BRGP-142-2008, alegando que la empresa fue objeto de una acción de terceros que abusando del sistema de manejo electrónico de fondos que tiene el Banco Nacional (Folio 11 al 20 del expediente administrativo). Ambos recursos le fueron rechazados, el de revocatoria en oficio BRGP-163-2008 de 30 de abril de 2008, y el de apelación por parte de la Junta Directiva General en artículo 10, de la sesión N° 11.497 del 26 de agosto de 2008, aduciendo que el daño patrimonial ocasionado no ocurrió por una conducta desplegada por el Banco, sino por la negligencia de un representante o autorizado en la cuenta, quien debió revelar los datos necesarios para tener acceso a la cuenta y realizar las transferencias de dinero de la cuentas a varias personas, (Folios 21 y 23 respectivamente del expediente administrativo). No obstante haberse dado el agotamiento de la vía administrativa, el representante de la empresa afectada, el 28 de julio de 2009 presentó nuevamente el reclamo administrativo ante la sucursal de Liberia del Banco Nacional de Costa Rica, solicitando el pago de $40.000 que indicó fueron sustraídos de sus cuentas (Folio 40 y 41 del expediente principal), y que ante la omisión de resolución, el día 8 de enero de 2010 (Folio 73 del expediente principal), se instó al Banco emitir la resolución respectiva de su reclamo, sin obtener resultado. Del cuadro fáctico anteriormente descrito, este Tribunal extrae con claridad que ha exist ido una relación de consumo entre el Banco Nacional y l a empresa accionante, con lo cual le es aplicable al caso lo dispuesto en el artículo 35 de la Ley No. 7472 , tal y como se ha indicado. A demás, se ha podido constatar un daño a los d erechos del consumidor que se concreta por el riesgo producido por la utilización de la plataforma tecnológica del servicio de internet bankin g ofrecido por el ente bancario , ocurriendo un daño en la esfera patrimonial del accionante, consistente en la sustracción no autorizada de dinero de sus cuentas, según se determina en el estudio que realizó el Banco con ocasión de las transferencias realizadas entre los días 10 al 14 de marzo de 2008 de las cuentas en dólares y colones de la empresa aquí actora . Si Bien el Banco demandado intenta indicar que no es suya la responsabilidad, lo cierto es que la lesión sufrida debe considera rse como consecuencia de la falta de implementación de mecanismos de seguridad adecuada para la utilización de los servicios de transferencias electrónicas que se posibilitan en internet bankin g, servicio que ofrece el Banco Nacional de Costa Rica, como en este caso, a la empresa Bahía Pez Vela Administration S.A. Así las cosas, es manifiesto el nexo nexo causal que es debido para poder imputar la responsabilidad en este tipo de situaciones. C omo se indicó, c abe resaltar que el representante de la empresa afectada, una vez conocido de las sustracciones procedió a denunciarlo tanto ante el Banco que le ofrecía los servicios, así como a las autoridades de polícía, en este caso al Organismo de Investigación Judicial, ambas en fecha 14 de marzo de 2008, siendo que las operaciones realizadas indebidamente a sus cuentas lo fueron entre el 10 y el día 14 de marzo de ese año, lo que evidencia la atención pronta del afectado.

X

Análisis sobre la existencia de causas eximentes en el caso . C omo se indicó en líneas anteriores, es el proveedor o comercializador del servicio de internet Banking, en este caso el Banco Nacional de Costa Rica, el que podría librarse de su reponsabilidad objetiva derivada de la aplicación del artículo 35 de la Ley 7472, solo cuando acredite (pues es su carga probatoria) la ajenidad del resultado lesivo, sea que en el caso medió la c ulpa de la víctima, hecho de tercero o bien, la fuerza mayor. El banco aleg ó, incluso como excepción de fondo, la concurrencia de culpa de la víctima, y como consecuencia de ello la participación de terceras personas. En efecto, la posición asumida por el Banco al contestar la demanda, lo es sustentado en el voto salvado del Juez Palacios Garcia a la sentencia 910-2010 de la Sección IV de este Tribunal, en el cual entre otros aspectos se detemina que en cuanto a la obtención de las claves y contraseñas necesarias para realizar las transacciones, se hace necesario determinar, ya sea que ello obedeciera a la impericia del banco o de sus funcionarios; o que un tecero haya utilizado medios informáticos para obtener de forma directa del cliente los datos necesarios a fin de accesar al sistema. No obstante, esta integración del Tribunal, mantiene su postura en cuanto a que la carga de la prueba en este tipo de casos, sigue siendo de la institución bancaria, de allí que, si ésta mantiene, como lo hace en este caso, la idea de la existencia de una supresión de su responsabilidad ya sea por la propia intervención del cliente que con descuido dejó sus datos en manos de terceros, o que el banco mismo no tuviera responsabilidad, son aspectos que, a efectos de su exención, deberá comprobar en los autos. Al respecto, se debe indicar que en la contestación a la demanda no se ahonda en el tema, y hace referencia al informe de investigación realizado con ocasión de la vicisitud acaecida a la empresa actora, por lo que se hace necesario analizar lo allí dispuesto. Así, en oficio BRGP-005-2008 de 7 de abril de 2008, el señor Gilberth Marchena Viales, Supervisor de Seguridad del Banco Nacional de Costa Rica, al analizar el caso, hace referencia a que en la normativa interna de la institución y en el contrato suscrito, el cliente se comprometió a conservar sus documentos de identificacción como clave (pasword), el código de usuario y otros datos personales necesarios para acceder al sistema informático, pero lo cierto es que en ningún momento se identifica algún motivo, circunstancia u otro dato para que de forma consecuente, concreta y determinada, se pueda concluir que efectivamente empleados o personeros de la empresa afectada cometieran por acción u omisión un descuidado uso de la documentación de identificación para usar el sistema, solamente parten de una suposición, ello derivado, a su entender, de que las transacciones no se dieron desde ninguna máquina del Banco, ni sus empleados, y que las direcciones IP utilizadas corresponden a sujetos ajenos a la instiución. Esta derivación no puede ser tomada en cuenta en un caso como el que nos ocupa para trasladar la responsabilidad al cliente o un tercero, pues los datos con los que se cometieron las transferencias no autorizadas, bien pudieron haber obtenidos de los mismos registros bancarios por la falta de controles en el sistema informático, lo que no se descarta en ningún momento con lo indicado en el informe de investigación mencionado, pues bien es sabido que, los llamados "hackers" podrían perfectamente haber incursionado en los sistemas y haber obtenido de allí los datos necesarios para haber realizado las transacciones que afectaron finalmente las cuentas que la empresa Bahía Pez Vela mantiene con la institución financiera. De hecho, como se indicó, en informe no es contundente en ese sentido, sino que parte de supuestos, incluso, al resolverse en este caso la apelación planteada, la Junta Directiva General del Banco Nacional de Costa Rica, mantuvo la conjetura, pues en el artículo décimo de la sesión 11497 del 23 de agosto de 2008, aseguró que; "...el daño patrimonial ocasionado a la recurente, no ocurrió por una conducta desplegada por el Banco Nacional de Costa Rica, sino por una conducta negligente realizada por un representante o autorizado para el acceso a la cuenta, lo que a la postre implicó la transferencia de dinero a las cuentas de varias personas..." Sea que, sin ninguna prueba, el Banco en aras de librar su responsabilidad, asevera que fueron los personeros o trabajadores de la empresa afectada la que por "negligencia" revelaron los datos. Se insiste, el Banco no puede solamente indicar que ha manejado bien los datos a lo interno y sin mayor probanza simplemente indicar que si no fue la institución debe ser el cliente el responsable, argumento que resulta totalmente desprovisto de fuerza probatoria y por ende debe ser desechado como elemento a toma en cuenta en la posible eximenta de la responsabilidad objetiva que de estos casos deriva, pues lo indicado de esa forma no tendría el mérito para ser tomado como prueba fehaciente de su accionar informático sin vulneración, ni mucho menos imputar una falta a otros sin contar con respaldo para ello. En efecto , un análisis a fondo de las diversas pruebas que constan en autos, no permiten concluir sobre conductas imprudentes o negligentes de l a cuentacorrentista que permitan supone r que puso en conocimiento de terceras personas, información relevante para el acceso a sus cuentas. Además, de la investigación técnic a que fue agregad a al expediente, no existe acreditación de que el actor hubiera cedido sus datos sensibles para la realización de las transferencias objeto de conflicto. Por lo que n o puede desprenderse en la especie la concurrencia de culpa de la víctima al no haber sido diligente en la custodia de los medios de acceso a la herramienta Internet Bankin g (datos sensibles en su poder) , y además, e l Banco no pudo demostrar en este proceso que el daño fuera ajeno a su marco de acción y previsiones. Tampoco se ha logrado acreditar que los sistemas de seguridad del banco hayan funcionado de forma adecuada o que no haya existido una falla en los sistemas de seguridad de la entidad bancaria demandada. Por otra parte, no fueron aportados elementos de convicción necesarios para acreditar el hecho de un tercero como causa de exclusión de la responsabilidad del Banco. Si bien se detecta que las transferencias fueron realizadas desde direcciones IP localizadas en el país , lo cierto del caso es que en lo medular, se insiste, el ente accionado no acreditó que sus sistemas de seguridad no hubieran sido vulnerados de manera que un nivel de seguridad y mínimo riesgo por el uso de los servicios electrónicos. No podría sostenerse que la carga de la prueba respecto de la vulnerabilidad de esos mecanismos o sistema de seguridad informática pese sobre el actor, pues en sentido contrario, su carga probatoria debe estar dirigida a la demostración de la existencia de una o varias circunstancias que impidan el surgimiento de la tantas veces mencionada responsabilidad civil, la cual por ley pesa sobre esa institución bancaria. Así las cosas, sería impensable pretender desplazar esa carga de la prueba, a fin de que el usuario de los servicios bancarios ofrecidos por el Banco Nacional de Costa Rica, sea quien deba conocer en detalle todos los sistemas de seguridad de ese banco, y a partir de ahí, demostrar además la existencia de alguna fisura. Tal posición no implica la imposibilidad de demostrar la existencia de una culpa de la víctima o el hecho de un tercero, en el marco del comercio electrónico bancario. Cabe destacar, es el demandado quien diseña y condiciona el acceso a los sistemas utilizados en el marco de la herramienta denominada Internet Bankin g , razón por la cual, cuenta con la posibilidad de establecer cuantos sistemas de seguridad estime oportunos, a fin de garantizar que las transacciones sean hechas por su cliente, y no sólo por alguien que tenga a su disposición datos sensibles de ese usuario. En este sentido, es el ente bancario, que lucra con los servicios financieros ofrecidos, quien ha de asegurarse la utilización de sistemas informáticos y administrativos, que desde el punto de vista jurídico, permitan con certeza, la acreditación de la identidad física del usuario, verbigracia, el establecimiento con carácter de obligatorio de los dispositivos OTP, o incluso, valorar en el marco de su autonomía administrativa, el establecer la utilización de dispositivos que reduzcan los riesgos y acrediten con un mayor grado de certeza la identidad del cliente, tales como las herramientas biométricas, esto a fin de contar con sistemas que permitan la pre constitución de prueba. En esta dirección ha considerado la Sala Primera de la Corte Suprema de Justicia:"No obstante lo anterior, debe tomar en cuenta la entidad financiera demandada que su función esencial es la intermediación financiera, que incluye la captación de fondos provenientes del ahorro del público, concepto que lleva implícita su custodia, tanto desde el punto de vista físico, como del registro electrónico correspondiente. No cabe duda que se encuentra sometida a una ineludible obligación de garantizar la seguridad de las transacciones realizadas, ya sea en ventanilla o mediante cualquier otro medio puesto a disposición de los clientes, la cual debe abarcar, necesariamente, el uso de todos aquellos mecanismos disponibles que le permitan contar con un mayor grado de certeza en cuanto a la identificación de las personas que se encuentran facultadas para realizar transacciones electrónicas desde las cuentas. La responsabilidad que le fue imputada al Banco se fundamenta, no en la sustracción del dinero por un tercero, sino en la existencia de un riesgo, según lo expuesto en el considerando III, en el funcionamiento propio del servicio que ofrece, lo que permite imputar el origen del daño al funcionamiento del servicio. Lo anterior, a pesar de disponer de mecanismos que permiten mayor seguridad. (...) Al fin y al cabo, los bancos, sin que el demandado sea la excepción, custodian y administran, entre otros, un bien ajeno; y no cualquier bien, sino fondos del público. Así las cosas, no solo responde por la fortaleza de sus sistemas internos, sino también por la seguridad de quien, para llegar allí, utiliza los únicos canales posibles que el propio Banco conoce y reconoce como riesgosos. Y responde no en cuanto ajenos, sino en la medida en que constituye el medio del que se prevalece, directamente, para la prestación del servicio. Tal y como lo preceptúa el numeral 35 de la Ley de Protección al Consumidor, ha habido un perjudicado en razón del servicio, que al ser utilizado (y en vista de su carácter riesgoso) produjo una lesión importante a quien figura en el proceso como parte actora. (...) El medio para acceder a la plataforma del Banco no se trata, por ende, de un foco ajeno de riesgo, sino de un instrumento consustancial al servicio que presta; si se quiere, forma parte intrínseca de la actividad, que si bien es accesorio a la actividad del intermediario, resulta imprescindible. De allí que los mecanismos de garantía al cliente –usuario-, deben darse no solo dentro de los muros informáticos del propio Banco, sino también en el camino de acceso a él como parte del servicio. No en vano, el Sistema Financiero se ha abocado, en general, a la implementación de mecanismos de doble identificación, al mejoramiento de las claves y, en general, el uso de sistemas recientes como la utilización de tockens, claves cambiantes, llaves con dispositivos especiales, entre otros." (Resolución No. 300-2009 precitada) Dicha referencia pone en evidencia que la vulnerabilidad del sistema no es un asunto que deba acreditar el cuentahabiente, por el contrario, dada la actividad que realiza, el lucro que obtiene por ese giro comercial y al constituirse un medio que permite la agilización de las transacciones derivadas de la cuenta corriente, contrato que supone una custodia de fondos del público, es el ente financiero quien debe acreditar que sus sistemas de seguridad cuentan con el grado de seguridad aceptable y que en cada caso concreto, no fueron vulnerados. En la especie, fue precisamente la falencia de mecanismos de seguridad la que generaron la concreción de un daño en contra de l a empresa actor a , consistente en la sustracción de un monto de dinero, el cual ha sido reconocido por el Banco en ¢19.500.000,00 ( diecinueve millones quinientos mil colones ) , pero para la demandanete es de $40.000.00 (cuarente mil dólares), producto de v arias transacciones realizadas a favor de otros cuentacorrentistas del mismo Banco Nacional de Costa Rica. Ello supone un daño del cual, el ente bancario no ha logrado desvincularse al no haberse acreditado la ajenidad con el daño ni la concurrencia de alguna de las causas eximentes que le permitirían liberarse de esa responsabilidad objetiva que impera en materia de relaciones de consumo.

Sobre el daño material en el caso concreto. Con fundamento en las anteriores consideraciones, debe declararse la responsabilidad objetiva del Banco Nacional por el daño padecido por l a empresa Bahía Pez Vela Administration S.A. a raíz de las cuarenta y dos transacciones realizadas en el período comprendido entre el diez y el catorce de marzo, ambas del año de 2008 , en virtud de las cuales se sustrajeron fondos de la s cuenta s tanto en colones como en dólares de l a compañia afectada , cuenta s número s 100-01-015-006077-5 (colones) y 100-02-015-600387-8 (dólares), se debe indicar que el único documento en el cual se determinan las operaciones es el oficio BRGP-005-2008 emitido por el Banco Regional Guanacaste-Puntarenas del Banco Nacional de Costa Rica visible a folios 1 al 4 del expediente administrativo, según el cual la institución acepta que las transferencias realizadas lo fueron así:

Documento

Sospechoso

cédula

Monto

Número de Cuenta

Dirección IP

Fecha

15691068

Nombre142967

1-1241-203

$1.015.74

200-01-000-733339-0

201.192.103.17. CR

10-03-08

15691088

Nombre142968

1-1101-659

$1.015.74

200-01-053-37793-8

201.192.103.17. CR

10-03-08

15691117

Nombre142969

1-874-052

$1.015.74

200-01-053-37796-2

201.192.103.17. CR

10-03-08

15691147

Nombre142970 .

1-538-870

$1.015.74

200-01-095-27326-7

201.192.103.17. CR

10-03-08

15691171

Nombre142971

1-1317-370

$1.015.74

200-01-130-7669-2

201.192.103.17. CR

10-03-08

15691420

Nombre142972

1-664-373

$1.015.74

200-01-157-8843-9

201.192.103.17. CR

10-03-08

15692310

Nombre142973

2-572-440

$1.015.74

200-01-095-11918-7

201.192.57.194.CR

10-03-08

15692499

Nombre142973

2-572-440

$1.015.74

200-01-095-11918-7

201.192.57.194.CR

10-03-08

15692533

Nombre142968

1-1101-659

$1.015.74

200-01-053-37793-8

201.192.57.194.CR

10-03-08

15692560

Nombre142970 . Nombre142970

1-538-870

$1.015.74

200-01-095-27326-7

201.192.57.194.CR

10-03-08

15728923

Nombre142970 .

1-538-870

$1.015.74

200-01-095-27326-7

190.10.29.23.CR

11-03-08

15728936

Nombre142968

1-1101-659

$1.015.74

200-01-053-37793-8

190.10.29.23.CR

11-03-08

15728952

Nombre142969

1-874-052

$1.015.74

200-01-053-37796-2

190.10.29.23.CR

11-03-08

15728964

Nombre142971

1-1317-370

$1.015.74

200-01-130-7669-2

190.10.29.23.CR

11-03-08

15728974

Nombre142972

1-664-373

$1.015.74

200-01-130-7669-2

190.10.29.23.CR

11-03-08

15729112

Nombre142973

2-572-440

$1.015.74

200-01-095-11918-7

201.192.57.194.CR

11-03-08

15729324

Nombre142973

2-572-440

$1.015.74

200-01-095-11918-7

201.192.57.194.CR

11-03-08

15729398

Nombre142974

1-1429-431

$1.015.74

200-01-000-709577-5

201.192.57.194.CR

11-03-08

15729807

Nombre142963 . Nombre142963

2-625-993

$1.015.74

200-01-053-33101-6

201.192.57.194.CR

11-03-08

15729844

Nombre142963 .

2-625-993

$6.09

200-01-053-33101-6

201.192.57.194.CR

11-03-08

15730005

Nombre142963 .

2-625-993

$1.005.59

200-01-053-33101-6

201.192.57.194.CR

11-03-081

15730021

Nombre142963 .

2-625-993

4:06 (sic)

200-01-053-33101-6

201.192.57.194.CR

11-03-08

15764332

Tranf.cuentas

Del Cliente

¢3.251.77

De dólares a colones

201.237.15.114.CR

12-03-08

15765289

Nombre90398

1-1005-991

$1.017.81

200-01-000-691558-2

201.192.9.110.CR

12-03-08

15765404

Nombre142969

1-874-052

$1.017.81

200-01-053-37796-2

201.192.9.110.CR

12-03-08

15765415

Nombre142971

1-1317-370

$1.017.81

200-01-130-7669-2

201.192.9.110.CR

12-03-08

15765430

Nombre142972

1-664-373

$1.017.81

200-01-130-7669-2

201.192.9.110.CR

12-03-08

15765449

Nombre142970 . Nombre142970

1-538-870

$1.017.81

200-01-095-27326-7

201.192.9.110.CR

12-03-08

15765465

Nombre142968

1-1101-659

$1.017.81

200-01-053-37793-8

201.192.9.110.CR

12-03-08

15765714

Nombre90398

1-1005-991

$1.017.81

200-01-000-691558-2

201.192.57.194.CR

12-03-08

15766318

Nombre142963 .

2-625-993

$1.017.81

200-01-053-33101-6

201.192.57.194.CR

12-03-08

15815479

Nombre142968

1-1101-659

$1.017.81

200-01-053-37793-8

201.192.57.194.CR

13-03-08

15815513

Nombre142970 .

1-538-870

$1.017.81

200-01-095-27326-7

201.192.57.194.CR

13-03-08

15815530

Nombre142969

1-874-052

$1.017.81

200-01-053-37796-2

201.192.57.194.CR

13-03-08

15815551

Nombre142971

1-1317-370

$1.017.81

200-01-130-7669-2

201.192.57.194.CR

13-03-08

15816501

Nombre90398

1-1005-991

$1.017.81

200-01-000-691558-2

201.192.57.194.CR

13-03-08

15765859

Nombre142964

4-186-284

¢500.000

200-01-004-94827-9

201.192.57.194.CR

12-03-08

15766428

Nombre142974

1-1429-431

¢500.000

200-01-000-709577-5

201.192.57.194.CR

12-03-08

15815568

Nombre142972

1-664-373

$1.017.81

200-01-130-7669-2

201.192.57.194.CR

14-03-08

15815588

Nombre142964

4-186-284

¢500.000

200-01-004-94827-9

201.192.57.194.CR

14-03-08

15816527

Nombre142975

4-196-146

¢500.000

200-01-124-16528-3

201.192.57.194.CR

14-03-08

15816827

Nombre142975

4-196-146

¢500.000

200-01-124-16528-3

201.192.57.194.CR

14-03-08

Derivado de lo cual, se han podido extraer la mayoría de los montos sustraídos, de los que para mayor claridad y ante la disyuntiva entre lo pedido por la parte actora que lo dispone en su totalidad en dólares y por otra parte, el banco demandado lo establece en colones, lo cierto es que del análisis del cuadro transcrito, se deben indicar los montos de las transferencias por separado tanto en dólares, como en colones, por lo que tendríamos así: en dólares la suma de $30.497.12 (treinta mil cuatrocientos noventa y siete dólares con doce centavos), y en colones ¢2.503.251.77 (dos millones quinientos cincuenta y un mil colones con setenta y siete céntimos). No obstante, debe tomarse en cuenta además que, en dicho cuadro, existe un monto el cual no se ha podido determinar con claridad y el que corresponde a la transacción número 22 que aparece en la tabla anterior que dice ser la del documento número 15730021, trasladado a la cuenta del señor Nombre142963 . Nombre142963 . cédula de identidad CED112276, a la cuenta número 200-01-053-33101-6, desde la dirección de IP 201.192.57.194.CR el día 11 de marzo de 2008, la cual aparece por un monto de (4:06) sin que se indique su moneda y sin saber si los números consignados corresponden al verdadero monto de esa sustracción, razón por la cual este quedará para ser probado en la etapa de ejecución de sentencia e incluido en el monto total. Por ende, debe el Banco Nacional cancelar a l a demandante el total de l as transferencias y s obre es as partidas debe reconocerse a título de perjuicio financiero (artículo 706 del Código Civil) el interés legal que para operaciones en moneda extranjera fija el numeral 497 del Código de Comercio, a saber, rédito según la tasa prime rate, y en las de colones (artículo 497 del Código de Comercio) la tasa básica pasiva del Banco Central de Costa Rica . Dichos intereses deberán calcularse sobre cada partida sustraída desde la fecha en que se realizó cada una de las transacciones de débito no autorizadas ya aludidas, sea, desde que se produjo cada hecho dañoso, hasta su efectivo pago, partidas a liquidarse en fase de ejecución de sentencia. El otorgamiento del citado perjuicio financiero supone, de manera implícita, la actualización del valor económico de la obligación (indexación), para los efectos del canon 123 del Código Procesal Contencioso Administrativo.

Análisis de las defensas opuestas. La representación del Banco Nacional de Costa Rica formuló la defensa previa de Caducidad, la que fue analizada en la audiencia preliminar celebrada el 23 de noviembre de 2010, por resolución No. 4381-2010 de las 14 horas 05 minutos de esa fecha, el juzgador de trámite dispuso: "

Se declara sin lugar la defensa previa de caducidad incoada por el banco Nacional de Costa Rica." En cuanto a las defensas de fondo, l a representación del banco demandado opuso la defensa de falta de derecho , la cual debe ser rechazada al haberse acreditado la procedencia del derecho del accionante de obtener retribución indemnizatoria por los daños irrogados merced de sustracciones a sus cuentas bancarias frente a las cuales, el Banco no acreditó ajenidad o bien causas liberatorias. En ese orden, también deben rechazarse los alegatos de hecho de tercero y culpa de la víctima alegados por el ente demandado, por las causas ya apuntadas anteriormente . En consecuencia, debe declararse con lugar la demanda formulada por el representante de la empresa Bahía Pez Vela Administration S.A. contra el Banco Nacional de Costa Rica en los siguientes términos: - Se condena al Banco Nacional de Costa Rica a reintegrar a l a actor a las sumas debitadas de manera no autorizada, producto de cuarenta y dos transferencias a favor de varias cu e ntas de cliente s del banco accionado, realizadas entre l os días diez al catorce de marzo ambas del año 2008 , por un monto en dólares de $30.497.12 (treinta mil cuatrocientos noventa y siete dólares con doce centavos), y en colones ¢CED112277 (dos millones quinientos cincuenta y un mil colones con setenta y siete céntimos) más el monto que corresponde a la transacción cuyo número de documento es el 15730021, trasladado a la cuenta del señor Nombre142963 . . cédula de identidad CED112276, a la cuenta número 200-01-053-33101-6, desde la dirección de IP 201.192.57.194.CR el día 11 de marzo de 2008, del cual no se consigna correctamente un monto por lo que queda para ser probado en la etapa de ejecución de sentencia e incluido en el monto total .

Sobre las sumas que resulten finalmente , se condena al Banco Nacional de Costa Rica al pago de intereses legales, desde el momento en que cada una de las debitaciones no autorizadas fue realizada hasta el efectivo pago. Dichos réditos deberán calcularse según la tasa prime rate para las operaciones en moneda extranjera y respecto de las nacionales se aplicará la tasa básica pasiva del Banco Central de Costa Rica , ello conforme a lo preceptuado por el numeral 497 del Código de Comercio. El otorgamiento de ese perjuicio financiero supone de manera implícita la actualización económica de la obligación para los efectos del ordinal 123 del Código Procesal Contencioso Administrativo. Estas sumas deberán liquidarse en fase de ejecución del presente fallo .

Costas. De conformidad con el numeral 193 del Código Procesal Contencioso Administrativo, las costas procesales y personales constituyen una carga que se impone a la parte vencida por el hecho de serlo. La dispensa de esta condena solo es viable cuando hubiere, a juicio del Tribunal, motivo suficiente para litigar o bien, cuando la sentencia se dicte en virtud de pruebas cuya existencia desconociera la parte contraria. En la especie, no encuentra este órgano colegiado motivo para aplicar las excepciones que fija la normativa aplicable y quebrar el postulado de condena al vencido. Por ende, se imponen ambas costas al ente bancario demandado.

POR TANTO.

Se rechaza la defensa de falta de derecho , así como las de "Falta de la Víctima y Hecho de un tercero" opuesta por el Banco Nacional de Costa Rica. En consecuencia, se declara con lugar la demanda formulada por Bahía Pez Vela Administration S.A. contra el Banco Nacional de Costa Rica en los siguientes términos :

Se condena al Banco Nacional de Costa Rica a reintegrar a l a actor a las sumas debitadas de manera no autorizada, producto de cuarenta y dos transferencias a favor de varias cu e ntas de cliente s del banco accionado, realizadas entre l os días diez al catorce de marzo ambas del año 2008 , por un monto en dólares de $30.497.12 (treinta mil cuatrocientos noventa y siete dólares con doce centavos), y en colones ¢2.503.251.77 (dos millones quinientos cincuenta y un mil colones con setenta y siete céntimos), más el monto que corresponde a la transacción cuyo número de documento es el 15730021, trasladado a la cuenta del señor Nombre142963 . Nombre142963 . cédula de identidad CED112276, a la cuenta número 200-01-053-33101-6, desde la dirección de IP 201.192.57.194.CR el día 11 de marzo de 2008, del cual no se consigna correctamente un monto, por lo que queda para ser probado en la etapa de ejecución de sentenciae e incluido en el monto total .

Sobre las sumas que resulten finalmente , se condena al Banco Nacional de Costa Rica al pago de intereses legales, desde el momento en que cada una de las debitaciones no autorizadas fue realizada hasta el efectivo pago. Dichos réditos deberán calcularse según la tasa prime rate para las operaciones en moneda extranjera y respecto de las nacionales se aplicará la tasa básica pasiva del Banco Central de Costa Rica , ello conforme a lo preceptuado por el numeral 497 del Código de Comercio. El otorgamiento de ese perjuicio financiero supone de manera implícita la actualización económica de la obligación para los efectos del ordinal 123 del Código Procesal Contencioso Administrativo. Estas sumas deberán liquidarse en fase de ejecución del presente fallo .

Son ambas costas a cargo del ente accionado.

Juan Luis Giusti Soto

Cinthia Abarca Gómez Roberto Garita Navarro

EXPEDIENTE: 10-001716-1027-CA

ASUNTO: PROCESO DE CONOCIMIENTO DECLARADO DE PURO DERECHO

ACTOR: Bahía Pez vela Administration S.A.

DEMANDADOS: Banco Nacional de Costa Rica.