Cargando la resolución…
Tribunal Contencioso Administrativo Sección I
Cargando texto de la resolución…
Los enlaces corresponden únicamente a citas expresas verificadas.
Documento judicial
EV Generación de Machote: F:\Gestion-Judicial\Servidor de Archivos\Modelos\Contencioso\TCRESOL016.dpj
EXPEDIENTE:
17-003354-1027-CA - 0
PROCESO:
CONOCIMIENTO
ACTOR/A:
CLAN SOCIEDAD ANÓNIMA
DEMANDADO/A:
BANCO NACIONAL DE COSTA RICA
Nº79-2022-I
TRIBUNAL CONTENCIOSO ADMINISTRATIVO Y CIVIL DE HACIENDA, SEGUNDO CIRCUITO JUDICIAL, SAN JOSÉ, GOICOECHEA, a las once horas cuarenta minutos del veintiséis de julio de dos mil veintidós.-
Proceso de conocimiento interpuesto por CLAN SOCIEDAD ANONIMA (CLAN SA), cédula jurídica 3-101-022687, representada por su apoderado generalísimo sin límite de suma, el señor Carlo Giangiulio Vinciguerra, mayor, portador de la cédula de identidad número ocho – cero cero cuarenta – cero ciento noventa y seis, contra el BANCO NACIONAL DE COSTA RICA, representado por su apoderado especial judicial, el Lic. Genaro Jiménez Orozco, con carnet del colegio de abogados 22101. Participa como abogado director y apoderado especial judicial de la parte actora, el Lic. Andrés Pérez González, carné de colegiado 4263.
En fecha 07 de abril del 2017, el actor interpone la presente demanda, solicitando que en sentencia se declare lo siguiente: "D. Que se condene al Banco Nacional de Costa Rica al pago de las costas personales y procesales del presente proceso". Posteriormente, en escrito de fecha 18 de mayo de 2017, se reformulan las pretensiones a, b y c, que fueron ajustadas su redacción en audiencia preliminar que quedaron con la siguiente redacción: “A. Que el Banco Nacional de Costa Rica es patrimonialmente responsable frente a la entidad actora Clan Sociedad Anónima, por el daño que se origina en virtud de haber omitido información veraz, adecuada u oportuna y/o haber incumplido con ello las exigencias de claridad, veracidad, y legibilidad, que debe contener la publicidad en nuestro sistema jurídico, daño que consiste en el apoderamiento ilegítimo por parte de terceros mediante hechos ejecutados concretamente el día 20 de mayo del año dos mil dieciséis, por las transferencias hechas desde la cuenta de la actora 100-02-0210600069-4 a las cuentas bancarias registradas a nombre de los señores Frachel Lucía Mora, Adrián Gerardo Aguilar S, Artavia Montero Manuel, Bryan Antonio Salazar y Castillo Ramírez Steven por la suma, cada una, de ocho mil cuatrocientos setenta y ocho dólares, desde la cuenta de la actora 100-2-600580-2 a la cuenta registrada a nombre del señor Bryan Antonio Salazar G por la suma de ocho mil cuatrocientos setenta y ocho dólares que, entre todas las transferencias, ascienden a las sumas totales de cuarenta y dos mil quinientos setenta dólares con noventa y nueve centavos moneda de curso legal de los Estados Unidos de América descontando la devolución hecha a la empresa actora en fecha 19 de agosto de dos mil dieciséis por la suma de ocho mil trescientos dólares con cuarenta y tres céntimos. B. Que el Banco Nacional de Costa Rica es patrimonialmente responsable frente a la entidad actora Clan Sociedad Anónima, por el daño que se origina en virtud de haber omitido información veraz, adecuada u oportuna y/o haber incumplido con ello las exigencias de claridad, veracidad, y legibilidad, que debe contener la publicidad en nuestro sistema jurídico, daño que consiste en el apoderamiento ilegítimo por parte de terceros mediante hechos ejecutados concretamente el día 20 de mayo del año dos mil dieciséis, por las transferencias hechas desde la cuenta de la actora 100-01-000211071-6 a las cuentas bancarias registradas a nombre de los señores Adrián Gerardo Aguilar S por la suma de cuatro millones de colones, y Gerardo Andrés Flores Na y Castillo Ramírez Steven, estos dos últimos por la suma de cuatro millones quinientos colones que, entre todas las transferencias, ascienden a la suma total de ocho millones novecientos noventa y tres mil cuatrocientos cincuenta y siete colones con veintitrés céntimos, descontando la devolución hecha a la empresa actora en fecha 19 de agosto de dos mil dieciséis por la suma de cuatro millones quinientos seis mil quinientos cuarenta y dos colones con setenta y siete céntimos. C. Que el Banco Nacional de Costa Rica es patrimonialmente responsable frente a la entidad actora Clan Sociedad Anónima, por los perjuicios causados con su actuar, los cuales consisten en los intereses legales de las sumas que la empresa actora fue desapoderada, concretamente por las transferencias hechas el día 20 de mayo del año dos mil dieciséis, desde la cuenta de la actora 100-02-0210600069-4 a las cuentas bancarias registradas a nombre de los señores Frachel Lucia Mora, Adrián Gerardo Aguilar S, Artavia Montero Manuel, Bryan Antonio Salazar y Castillo Ramírez Steven por la suma, cada una, de ocho mil cuatrocientos setenta y ocho dólares, desde la cuenta de la actora 100-2-600580-2 a la cuenta registrada a nombre del señor Bryan Antonio Salazar G por la suma de ocho mil cuatrocientos setenta y ocho dólares y desde la cuenta de la actora 100-01-000211071-6 a las cuentas bancarias registradas a nombre de los señores Adrián Gerardo Aguilar S por la suma de cuatro millones de colones, y Gerardo Andrés Flores Nay Castillo Ramírez Steven, estos dos últimos por la suma de cuatro millones quinientos colones que, entre todas las transferencias, ascienden a las sumas totales de cuarenta y dos mil quinientos setenta dólares con noventa y nueve centavos moneda de curso legal de los Estados Unidos de América y ocho millones novecientos noventa y tres mil cuatrocientos cincuenta y siete colones, descontando las devoluciones hechas a la empresa actora en fecha 19 de agosto de dos mil dieciséis por las sumas de ocho mil trescientos d61ares con cuarenta y tres céntimos y cuatro millones quinientos seis mil quinientos cuarenta y dos con setenta y siete céntimos, intereses que corren a partir desde la fecha en que se produjo cada uno de los apoderamientos ilegítimos por terceros, hasta el día del efectivo pago de la obligación”. (Ver imágenes 10, 43, 44, 45 y 150 del expediente judicial digital, así como audio de la audiencia preliminar en el sistema SIGAO).
Conferido el traslado de la demanda a la entidad bancaria, rechaza la acción en escrito de fecha 18 de diciembre de 2017 y alega las excepciones de falta de derecho, culpa de la víctima y hecho de un tercero. (ver imágenes 53 a 128 del expediente judicial formato electrónico).
La audiencia preliminar se realizó el día 16 de abril del 2018. En la misma se fijaron las pretensiones, los hechos controvertidos, y se admitió la prueba para evacuar a juicio. (Audio en el SIGAO y minuta visible a imágenes 149 a 153 del expediente judicial digital).
En fecha 5 de julio de 2022 se realizó el juicio oral y público, en el cual se recibió la declaración de los testigos admitidos en audiencia preliminar, y se rindieron conclusiones de manera de oral. (Audio y video en SIGAO).
En los procedimientos se han observado las prescripciones y términos de ley, y no se perciben vicios, defectos u omisiones susceptibles de producir nulidad de lo actuado o indefensión a las partes. Se dicta la presente resolución por unanimidad y previa deliberación.
Redacta el juez Mejías Rodríguez, con el voto afirmativo de las juezas Bolaños Salazar y Gómez Chacón.
I.
Se tienen como tales, por tener el correspondiente sustento, los siguientes:
La empresa actora es cuentahabiente del demandado Banco Nacional y es el titular de las cuentas bancarias 100-01-000-211071-6, 100-02-021-600069-4 y 100-02-037-600580-2 y es usuario de Internet Banking Corporativo. (Folio 27 del expediente administrativo).
Que la señora Karla Giangiulio Segui es dependiente de comercio de la empresa actora, y es la persona acreditada ante el Banco Nacional como usuario autorizado de la plataforma Internet Banking para el uso de las cuentas de la accionante y es la usuaria del OTP (Token) emitido por la demandada. (Folio 25 del expediente administrativo y declaración de la señora Giangiulio Segui en audiencia de juicio).
Que el Banco Nacional ha realizado campañas de concientización respecto de posibles fraudes bancarios para el momento de los hechos que acá se analizan. (CD de prueba “SIRT Concienciación en Seguridad y Educación.pdf” y declaración de Robert William Valerio Ávila).
Que en fecha 20 de mayo de 2016, se presenta denuncia 002-16-002995 en el Organismo de Investigación Judicial (OIJ) bajo la sumaria 16-002635-0059-PE por parte de Karla Giangiulio Segui, señalando: “… el día de hoy recibí llamada de la central de mi empresa INDUDI de un supuesto Daniel Blanco que estaba interesado en comprar productos de consumo y realizaría un SIMPE (sic) telefónico por lo que al parecer esta persona llama el (sic) Banco Nacional y comienza el proceso donde el funcionario pide los datos a mi y a el supuesto Daniel. En medio de la llamada me doy cuenta que es una estafa por lo que por otra línea llamo al banco pido (sic) que me congelen las cuentas y se dan cuenta que ya retiraron dinero en varias sucursales en Heredia y Cartago por montos pequeños de 350 000 colones hasta llegar a los 40 000 000 millones (sic), corté la llamada con los estafadores y me presenté a la sucursal del Real Cariari donde me indican lo que está sucediendo y que había un sujeto retirando dinero en una de las sucursales pero como no había denuncia lo dejaron retirarse. Del sujeto tienen los datos personales el jefe de seguridad del Banco Nacional de nombre Pablo Arce por lo que solicito se investigue lo sucedido y se menciona que algunos fondos no fueron retirados y se encuentran congelados. Es importante mencionar que el dinero robado son de la empresa Clan SA donde también soy socia, se adjunta estados de cuenta de las cuentas donde me sustrajeron dinero. Es todo.” (Folios 70-121 del expediente administrativo).
En fecha 20 de mayo de 2016, la señora Karla Giangiulio Segui presenta nota ante la sucursal de Real Cariari del banco accionado señalando: “El día de hoy a las aproximadamente (sic) a las 11:45am, recibimos una llamada de un cliente que iba a efectuar un pago de una factura a través del sistema “SINPE telefónico”, solicitando toda la información y comenzaron “el fraude”, a la mitad de la llamada entré en sospecha y llamamos por otra línea al Bco el cual nos dijo que era una estafa que termináramos la llamada lo que se hizo inmediatamente. Se pidió que congelaran las cuentas de todo el grupo más las receptoras. Lograron sustraer de las 3 cuentas de CLAN SA un aproximado de 41 millones de colones. Pedimos al Banco que investigue los hechos. Se presenta denuncia al OIJ” (Folios 68-69 del expediente administrativo).
En fecha 17 de junio de 2016 se emite el informe técnico USI-256-2016 por parte de Cilliam Cuadra de la Unidad de Seguridad Informática del Banco Nacional, señalando en lo que interesa: “… se procede por parte de la Unidad de Seguridad Informática con el Informe Técnico fundamentado en el análisis de los registros de la bitácora de eventos de Internet Banking. Los elementos propios de la llamada, la visita a la Sucursal del Real Cariari, deben ser analizados y verificados por la Dirección de Seguridad del Banco Nacional. Estos elementos pueden incluir la completitud del Reclamo, proveer información de sistemas de vigilancia solicitados o información de llamadas realizadas de forma oficial al BNCR. Según lo indicado en el reclamo administrativo y la denuncia del OIJ, la señora Karla Giangiulio Segui, brindó información personal y de las cuentas bancarias, en una supuesta llamada en conferencia con el BNCR para realizar el depósito por el pago de una factura por la venta de productos de consumo. Al realizar el análisis de las transacciones asociadas con el reclamo interpuesto por parte de la señora Giangiulio Segui, se establece que las mismas fueron realizadas con el código de usuario 108220762, el cual está asignado a la señora Karla Giangiulio Segui. Por ende, para todos los efectos del sistema del Banco Nacional, las transacciones fueron lícitas y realizadas por el titular (es) / autorizado (s)m oyes se realizaron con el (pin, código de usuario, contraseña, información de las tarjetas, OTP del Token) que obran exclusivamente en su poder. El código de usuario de la señora Karla Giangiulio Segui, tiene asignados los siguientes permisos, para poder ser usados dentro del Internet Banking Corporativo asociado con Clan SA: Descripción: * Ingresar Cuentas Crédito * Confirmación de Transferencia * Transferencia de fondos de 1 a 1 * Transferencia múltiple en línea / Tipo Transferencias. Dentro de los parámetros definidos para las transferencias de fondos realizadas por medio de Internet Banking Corporativo asociado con Clan SA, se establecieron las siguientes opciones: Transferencias: Permite Autorizaciones por grupo *No; modo de verificar autorizaciones: Cantidad de autorizados de 1 a 1: 1; Cantidad de autorizados 1 a N: 1”. La definición de los anteriores parámetros, más los permisos establecidos para el código de 108220762, el cual está asignado a la señora Karla Giangiulio Segui, permite al usuario 108220762 el ingreso y confirmación de las transferencias reclamadas sin necesidad de contar con una estructura de mancomunación, donde un usuario ingresa y otro confirma o no las transferencias ingresadas previamente… Adicionalmente al esquema de seguridad de mancomunación de transferencias descrito anteriormente, para incluir cuentas en Internet Banking Corporativo, se requiere la digitación de un OPT del Token, del usuario que cuenta con los permisos para incluir cuentas de crédito. En el caso de la señora Karla Giangiulio Segui, no fue definido el esquema de mancomunación, por lo que el código de usuario 108220762 pudo realizar y confirmar las transacciones reclamadas. Basado en el resultado del análisis de los eventos registrados en la Bitácora de Internet Banking Corporativo, se recomienda salvo mejor criterio, rechazar el reclamo del cliente al presentarse evidencia de un compromiso de datos por parte de la señora Karla Giangiulio Segui… Al día 20 de mayo de 2016 a las 11:31:59 a.m, el código de usuario 108220762 presenta actuvo el servicio de Teclado Virtual y el servicio de Token Llavero… Según registros del banco, no existen personas autorizadas que tengan relación con el caso en estudio…”. Adicionalmente, presenta un desglose de las transacciones realizadas que se describen a continuación:
Cuenta Débito
Fecha
Hora
Comprobante
Monto
100-01-000-211071-6
20/05/2016
11:41:12
a. m.
72033171
¢4.500.000,00
100-01-000-211071-6
20/05/2016
11:42:50 a.m.
72033378
¢4.500.000,00
100-01-000-211071-6
20/05/2016
11:44:26 a.m.
72033637
¢4.500.000,00
100-02-037-600580-2
20/05/2016
11:47:38 a.m.
72034084
¢4.500.000,00
100-02-021-600069-4
20/05/2016
11:50:34 a.m.
72034452
¢4.500.000,00
100-02-021-600069-4
20/05/2016
11:55:02 a.m.
72035046
¢4.500.000,00
100-02-021-600069-4
20/05/2016
11:58:13 a.m.
72035620
¢4.500.000,00
100-02-021-600069-4
20/05/2016
12:04:45 p.m.
72036396
¢4.500.000,00
100-02-021-600069-4
20/05/2016
12:10:34 p.m.
72037121
¢4.500.000,00
Asimismo, aporta el reporte de la Bitácora transaccional de Internet Banking que se detalla a continuación:
Hora/Fecha
Detalle
20/05/2016 11:31:59 a.m.
Se agregó como favorita la cuenta número: 200-01-146-027458-0. Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 11:32:58 a.m.
Se agregó como favorita la cuenta número: 200-01-208-072156-3. Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 11:33:40 a.m.
Se agregó como favorita la cuenta número: 200-01-000-822913-9. Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 11:41:12 a.m.
Se realiza la transferencia de fondos a: Adrián Gerardo Aguilar Sánchez
Cédula: 304580741
Manto acreditado: ¢4.500.000,00
Cuenta: 200-01-146-027458-0
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 11:42:50 a.m.
Se realiza la transferencia de fondos a: Gerardo Andrés Flores Navarro
Cédula: 113590331
Manto acreditado: ¢4.500.000,00
Cuenta: 200-01-208-072156-3
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 11:44:26 a.m.
Se realiza la transferencia de fondos a: Stiven Jesús Castillo Ramírez
Cédula: 402250471
Monto acreditado: ¢4.500.000,00
Cuenta: 200-0 -000-822913-9
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 11:45:49 a.m.
Se agregó como favorita la cuenta número: 200-01-123-025093-2. Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 11:47:38 a.m.
Se realiza la transferencia de fondos a: Brayan Antonio Salazar Gómez
Cédula: 402170998
Monto acreditado: ¢4.500.000,00
Cuenta: 200-01-123-025093-2
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 11:48:47 a.m.
Se agregó como favorita la cuenta número: 200-01-172-015171-1. Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 11:50:34 a.m.
Se realiza la transferencia de fondos a: Franchell Lucía Mora Chinchilla
Cédula: 116880292
Monto acreditado: ¢4.500.000,00
Cuenta: 200-01-172-015171-1
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 11:55:02 a.m.
Se realiza la transferencia de fondos a: Adrián Gerardo Aguilar Sánchez
Cédula: 304580741
Monto acreditado: ¢4.500.000,00
Cuenta: 200-01-146-027458-0
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 11:57:10 a.m.
Se agregó como favorita la cuenta número: 200-01-014-025789-3. Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 11:58:13 a.m.
Se realiza la transferencia de fondos a: Manuel Alonso Artavia Montero
Cédula: 115710530
Monto acreditado: ¢4.500.000,00
Cuenta: 200-01-014-025789-3
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 12:04:45 p.m.
Se realiza la transferencia de fondos a: Brayan Antonio Salazar Gómez
Cédula: 402170998
Monto acreditado: ¢4.500.000,00
Cuenta: 200-01-123-025093-2
Dirección IP: 186.96.84.2 (Costa Rica)
20/05/2016 12:05:56 p.m.
Se agregó como favorita la cuenta número: 15202001182362276 (BCR). Para realizar dicha transacción es indispensable: Digitar un OTP del Token y digitar los datos de la cuenta a la que se desea transferir. La cuenta puede ser del Banco Nacional de Costa Rica o bien de otro banco en formato cuenta cliente (17 dígitos).
20/05/2016 12:10:34 p.m.
Se realiza la transferencia de fondos a: Stiven Jesús Castillo Ramírez
Cédula: 402250471
Monto acreditado: ¢4.500.000,00
Cuenta: 200-01-000-822913-9
Dirección IP: 186.96.84.2 (Costa Rica)
(Folios 22-67 del expediente administrativo).
En fecha 4 de julio de 2016, la oficina de Gestión de Calidad de la Contraloría de Servicios del banco accionado declina el reclamo presentado. (Folios 19-20 del expediente administrativo).
En fecha 5 de julio de 2016, la accionante presenta recurso de revocatoria con apelación en subsidio contra el rechazo del reclamo. (Folios 7-17 del expediente administrativo).
En fecha 14 de julio de 2016, se rechaza por inadmisibilidad el recurso presentado por parte del banco accionado. (Folios 3-4 del expediente administrativo).
En juicio oral y público se recibió la declaración de Ciliam Cuadra Chavarría, quien trabaja para el banco demandado desde hace 22 años, para el 2016 en la Unidad de Seguridad Informática, en la Dirección a partir del 2017. Señala que, en el contexto de Banca en Línea, un proceso de autenticación es cuando la organización corrobora que quien está detrás de la comunicación es quien dice ser, se han desarrollado tecnologías para tales fines, usando usualmente los datos que se tiene de las personas y para crear un perfil de responsabilidad en las transacciones. Hay diferencia entre el Internet Banking Personal y Corporativo, en el caso del BN es diferente, el primero está dirigido a clientes activos del banco para acceder a sus cuentas bancarias, para hacer diferentes transacciones, movimientos de dinero, inversiones, administración de tarjetas de créditos, algunos créditos en general y pagos de servicio. Para el corporativo, se tienen otro tipo de servicios basados en modelos de control interno, por ejemplo, el control de los representantes de las personas jurídicas (mancomunación es la más usual), al igual que sucede con métodos de pago usuales como el cheque que exigen doble firma y otros mecanismos de control, se modelan en el Internet Banking Corporativo para tener ese mismo control, que eso no lo tiene el personal, eso para respetar la autonomía de la entidad jurídica, para poder hacer transacciones, se reitera, la más común es la mancomunación, para que una sola persona no actúe de manera única a nombre de toda la organización. En cuanto al esquema de mancomunación no es obligatorio, eso lo definen los clientes, ya que cada organización opera diferente y, de hecho, puede haber otros métodos de control interno además de la mancomunación. En relación al informe USI-256-2016, la actora manejaba Internet Banking Corporativo. Para el 20 de mayo de 2016, el BN, se utilizaba el servicio de teclado virtual y el token, celular y tarjeta, y el servicio de firma digital disponible, creo que estaba el servicio SMS y correo para envío de códigos de seguridad. La empresa tenía asociados a ese servicio, según la página 5 del informe (folio 26 del expediente administrativo). El token es un mecanismo de seguridad que genera un código, llamado one time password en inglés, que se origina a través de funciones matemáticos que tiene el chip del aparato, y que utilizan combinaciones gigantes de números primos. El token es una función matemática que tiene el chip que interacciona con el que funciona en la organización, teniendo que coincidir ambos, para ser válido, es un número único, la secuencia no se conoce, a esta interacción entre usuario – banco se denomina “desafío”. Una persona sin token no podría adivinar el número, pero lo que a veces pasa, es que se entrega el token a terceros, sabemos que no es recomendado, pero es común, pero el dueño es el único que puede tener el dispositivo y es el que tiene que hacer el desafío (usar el token). En el caso de la empresa, el esquema no tenía mancomunación, por eso consideramos que el asunto pudo haberse evitado (véase página 4 del informe en folio 25), la persona básicamente manejaba todo, actuaba, en la práctica como un administrador completo de toda la transaccionalidad de la organización, es decir, no comparte competencias con nadie, por eso es que no modela con el control interno usual empresarial, pero es una decisión de la empresa. Para esa época, para ingresar una cuenta favorita, al tener un administrador único, se parece mucho al Internet Banking Personal, se ingresa como cuenta favorita y luego la activa, si fuese mancomunada, una la ingresa y otra la activa, en este caso, ambas actividades la hacía la misma persona, es decir, podía ingresar la cuenta y activarla la misma persona, para eso se ocupaba un OTP del token para el ingreso a la página junto con usuario y contraseña, ir a cuentas favoritas, agregar la cuenta, usar otro OTP, luego ir a cuentas favoritas y activar la cuenta con otro OTP y hasta ese momento se puede hacer la cuenta favorita, eso es por cada cuenta. Y se reitera, si fuese mancomunado, el otro tenía que ingresar usuario, contraseña, OTP ingresar a cuentas por activar y usar ese otro OTP para activar la cuenta, y eso ya que las cuentas pueden ser para crédito, débito o ambos, aunque eso no opera así si se usa firma digital, pero no es el caso. En el análisis de la dirección IP que detectó el banco, básicamente la dirección IP te dice dónde está un equipo, aunque ahora, hay direcciones IP para todo, entonces, hoy por hoy, ya no es posible, hay IP internas, externas, entonces, actualmente funciona casi como una dirección postal, no pasa saber exactamente dónde está, ya que un tercero lo que ve es el último punto de contacto de internet, que es la IP externa, que puede ser una organización y no un usuario en específico. La IP sirve para registro, conocer comportamientos, pero no está asociada a un lugar específico físico o geográfico. Según la página 6 del informe técnico (folio 27), los eventos transaccionarios se realizaron con el usuario de Karla Giangiulio Segui, y tenía, conforme la página 4, carácter de administrador completo. En contrainterrogatorio, especificó que lo que se utilizó para logs, las bitácoras transaccionales, ingresos y de comportamiento, este último, se refiere a comparación de la actividad, por ejemplo, si hay fallos en los ingresos, que revelan, por ejemplo, que se trata de un usuario que está tratando de adivinar la contraseña y eso provoca que se bloquee la cuenta. Eso no pasó en este caso, no hubo errores en este caso. (Audio y video en SIGAO).
Posteriormente, se recibió la declaración de Robert William Valerio Ávila, quien es ingeniero en sistemas, trabaja para el BN desde hace 26 años, estaba en la Unidad de la Información, era el Jefe de esa Unidad para el año 2016. El rol de esta unidad estaba dentro de la Dirección de Riesgos Operativos y estaba enfocado en políticas, normativas, valoraciones de riesgo digital, soluciones y concientización a lo interno del vano y a lo externo hacia los clientes. El documento de concienciación denominado “concienciación en Seguridad y Educación Financiera”, era un compendio de las acciones que el banco tomaba, relacionadas a lo que es la prevención de fraudes informáticos, las mismas fueron analizadas por un equipo de trabajo que sesiona regularmente en el banco, compuesto por personas de seguridad física y prevención de fraudes, seguridad de TI, riesgo, de información (nosotros) y las principales áreas del banco, la idea es que se visibilizara todos los esfuerzos del banco en prevención en fraudes. En materia de seguridad, se consignaban muchas acciones, de cara a todo este esfuerzo, la principal preocupación estaba pensado comunicar por diferentes medios y el departamento de relaciones institucionales le daban forma para remitirlo por diferentes canales o medios, ellos eran los que creaban campañas publicitarias en medios, prensa, noticias, en cajeros automáticos, redes sociales, en las pantallas del banco en oficinas. En empresas y clientes se enviaban invitaciones a charlas, mensajes, conversatorios, sobre los principales riesgos y principales situaciones que se estaban dando en ese tiempo: correos maliciosos, llamadas tripartitas, entre otros. La principal campaña desde hace muchos años es la campaña “póngase vivo”, ha sido la más icónica, es para provocar en la gente esa malicia, ya que el banco no pide contraseñas, pines y esto, se usó en diferentes canales, en televisión, radio, prensa, electrónicos, en la página principal del banco, BN móvil, Internet Banking e incluso en el cine, en televisión se pautó algunos videos cortos, incluso con gente de la media docena se hicieron algunos sketch con lenguaje sencillo, popular, accesible, para llegar a un gran grupo de personas para estar alerta, no entregar información y estar alerta, ya que el banco nunca iba a pedir esa información, así como una campaña con emojis. Esas campañas no preciso cuando comenzaron, creo que fue como en el 2014. En contrainterrogatorio, no preciso cuál era la campaña vigente para el 2016, ya que eran varios medios usados, pero sí había campaña para mayo de 2016, pero no puedo precisar exactamente cuál estaba dirigida al segmento empresarial, se manejaba de manera general. No se llevaba un control de si la campaña impactaba a la clientela corporativa, ni se llevaba una medición de la efectividad de la campaña, eso no lo hacía nuestra área, nosotros hacíamos los insumos y eso lo pasábamos a relaciones institucionales. (Audio y video en SIGAO).
Finalmente, se recibió la declaración de Karla Giangiulio Seguí, quien labora para la empresa Indudi SA, 14 años, siendo Clan SA parte del grupo Indudi, también labora para dicha empresa desde el mismo tiempo, “directora de operaciones” pero tiene que ver con pagos, cobros, logística y bodega, así como el mantenimiento general de las instalaciones donde laboran. Para mayo del año 2016 tenía las funciones citadas, estaba encargada del mantenimiento de las cuentas bancarias, específicamente, el departamento contable monta las transferencias y ella las autoriza, ella se encarga de revisar bancos y depósitos, se encarga de verificarlos. No existían autorizaciones mancomunadas, las cuentas de la empresa tiene como 40 años de existir, no recuerdo que haya tenido un apersonamiento de alguien del banco, nunca se usó el sistema mancomunado. Nunca nos comentaron que se pudiese mancomunar las cuentas. El 20 de mayo, nos llamaron de que había una venta grande, el señor tenía problemas para hacer la transferencia y pidieron hablar con ella para ver “cómo se podía solucionar” en eso entró una llamada del BN diciendo que el cliente estaba pidiendo ayuda para la transferencia, ella revisó que se trataba del número del BN, con la música de espera del BN, el muchacho se identificó como funcionario del banco y preguntó qué formas de pago se podían. Ella se encargó de entregar el OTP, destaca que, en su criterio, el engaño fue muy bien diseñado, no tuve dudas ni nada que me sospechaba, “todo sonaba bien” para ese momento, no contábamos con asesor bancario, habían cerrado la sucursal de belén y los pasaron al centro corporativo, por eso nos pasaron con la sucursal de Real Cariari. Fueron como 2 o 3 veces que di el OTP, fue cuando pedí que llamaran al banco y me dijeron que el muchacho trabaja ahí, pero estaba incapacitado, pedimos que el congelaran las cuentas, pero nos dijeron que fuera personalmente, y en la sucursal de Real Cariari, me pidieron que fuera primero al OIJ, incluso fui con un gerente y nos pidieron hacer ese trámite, una denuncia ante el OIJ para “parar lo que estaba pasando”. No recibí capacitación de parte del banco en el uso de las plataformas, ni tampoco haber recibido información en correo, publicidad o comunicado, relacionado con el tema. Aclara que el OTP es un dispositivo para hacer transferencias con códigos aleatorios. En ese momento me pidieron el OTP, la justificación era para “cerrar una venta” de 5 o 6 millones, y los suministré. No recuerdo que me hayan informado de los riesgos del uso del OTP. No me acuerdo el monto exacto de lo sustraído, pero estimo que fueron como cincuenta mil dólares y como diez millones de colones. De esa suma, al entregar el documento del OIJ, el BN detuvieron dos transacciones. Después de eso, tratamos de conversar con los personeros del Real Cariari que era nuestra oficina, y básicamente dijeron que era culpa mía por haber entregado el OTP y se cerraron las conversaciones, no me entregaron un informe o explicación de lo ocurrido. No me acuerdo haber visto publicidad sobre fraudes bancarios, posteriormente sí me acuerdo de que vi algo del grupo cómico de “la media docena”, pero si lo vi, le resté importancia por no ser serio poner a cómicos a hablar de fraudes, pero yo no soy publicista, no me mueve a oírlo, siento que me quita tiempo. Ahora sí está inundado de información, pero en aquel momento, me parece que lo mantenían a calladito. Ante preguntas del Tribunal, aclara que ellos cuentan con otros asesores, del BCR, BCT, pero con el Banco Nacional solo para transacciones internacionales, que les asiste. (Audio y video en SIGAO).
HECHOS NO PROBADOS: Se tienen como hechos no probados de relevancia para el dictado de la sentencia, los siguientes:
Que existiese una vulneración achacable al banco demandado en los sistemas de banca electrónica. (Los autos).
Que la conducta de la dependiente de la empresa Clan SA Karla Giangiulio Seguí se enmarcasen dentro de la diligencia mínima en los eventos del 20 de mayo de 2016. (Los autos).
Que la supuesta falta de información de parte de la entidad bancaria fuese la causa eficiente de los eventos del 20 de mayo de 2016 o que, de existir ésta, se hubiese evitado los eventos de dicho día. (Los autos).
SOBRE LOS ARGUMENTOS DE LA PARTE ACTORA: De manera puntual, el actor señala que ha contratado la prestación de servicios bancarios para la administración y custodia de los activos dinerarios de sus actividades comerciales lucrativas, dentro de ellos, aquellos que le han sido ofrecidos por la demandada, figurando, la citada empresa y a lo largo de los últimos años, como destinataria final de los servicios bancarios que ha consumido del Banco Nacional de Costa Rica. En esa línea, el banco ofrece a través de la plataforma Internet Banking el servicio de transferencia electrónica de fondos, a terceros, tanto aquellos que son consumidores de los servicios que brinda esa entidad bancaria, como otros sujetos a quienes se les suministra los servicios a través de transferencias electrónicas entre entidades bancarias, mediante transacciones denominadas SINPE. Narra que, para el 20 de mayo de 2016 al ingresar a la dirección indicada en el sitio web, la entidad bancaria demandada, no contaba con información veraz y adecuada, que cumpliera con las exigencias de claridad, veracidad y legibilidad, que debe contener la publicidad en nuestro sistema jurídico que advirtiera, sobre las medidas que se debían adoptar los consumidores de los servicios del banco, para evitar ser víctimas de un fraude y sobre los mecanismos necesarios para proteger la información financiera, específicamente en lo relacionado con códigos de acceso, contraseñas y uso del dispositivo OTP. Expone que, en la actualidad, aparece en el sitio web una propaganda de “#póngase vivo que no lo estafen con llamadas” para informar, únicamente con ese medio carente de seriedad y omitiendo información relevante a sus clientes, acerca de las medidas de seguridad y prevención que sugiere el banco demandado, ante posibles estafas a sus clientes, por medios de llamadas telefónicas, incumpliendo con ello las exigencias normativas en perjuicio de la entidad actora, de las exigencias de claridad, veracidad y legibilidad, que debe contener la publicidad en nuestro sistema jurídico. Para el acceso al sistema se requiere de un usuario, contraseña y un OTP. Para el día 20 de mayo de 2016, la señora Karla Giangiulio Segui, persona encargada por la entidad actora para el manejo de las cuentas bancarias del Banco Nacional de Costa Rica, recibió una llamada de la línea telefónica central de la empresa INDUDI, en la que se le informó que requerían algunos datos por parte del Banco Nacional de Costa Rica, para realizar una operación que presuntamente era requerida por el Banco Nacional de Costa Rica, ante lo cual la señora Giangiulio Segui, por la falta de información clara, veraz, oportuna y relevante sobre las medidas de prevención, seguridad y protección de las cuentas bancarias, procedió a facilitar los datos que le fueron solicitados en dicha llamada telefónica, y sin conocer adecuadamente por no haber sido informada debidamente por la entidad demandada de las medidas de prevención, seguridad y protección de las cuentas bancarias, realizó desde la cuenta 100-02-0210600069-4 que le pertenece a la empresa actora, la transferencia número 72034452 a favor de Franchel Lucia Mora, por la suma de ocho mil cuatrocientos setenta y ocho dólares cincuenta y siete centavos, moneda de curso legal de los Estados Unidos de América; desde la cuenta 100-02-0210600069-4 que le pertenece a la empresa actora, la transferencia número 72035046 desde la cuenta 100-02-0210600069-4 que le pertenece a la empresa actora, a favor de Adrián Gerardo Aguilar S, por la suma de ocho mil cuatrocientos setenta y ocho dólares cincuenta y siete centavos, moneda de curso legal de los Estados Unidos de América; la transferencia número 72035620 desde la cuenta 100-02-0210600069-4 que le pertenece a la empresa actora, a favor de Artavia Montero Manuel, por la suma de ocho mil cuatrocientos setenta y ocho d61ares cincuenta y siete centavos, moneda de curso legal de los Estados Unidos de América; la transferencia número 72036396 desde la cuenta 100-02-0210600069-4 que le pertenece a la empresa actora, a favor de Brayan Antonio Salazar S., por la suma de ocho mil cuatrocientos setenta y ocho dólares cincuenta y siete centavos, moneda de curso legal de los Estados Unidos de América; la transferencia número 772037121 desde la cuenta 100-02-0210600069-4 que le pertenece a la empresa actora, a favor de Castillo Ramírez Steven, por la suma de ocho mil cuatrocientos setenta y ocho dólares cincuenta y siete centavos, moneda de curso legal de los Estados Unidos de América; realizó la transferencia número 72034084 desde la cuenta 100-02-600580-2 que le pertenece a la empresa actora, a favor de Brayan Antonio Salazar G, por la suma de ocho mil cuatrocientos setenta y ocho dólares cincuenta y siete centavos, moneda de curso legal de los Estados Unidos de América; la transferencia número 772037121 desde la cuenta 100-01-000211071-6 que le pertenece a la empresa actora, a favor de Adrián Gerardo Aguilar S. por la suma de cuatro millones quinientos colones; la transferencia número 772037121 desde la cuenta 100-01-000211071-6 que le pertenece a la empresa actora, a favor de Gerardo Andrés Flores Na. por la suma de cuatro millones quinientos colones; la transferencia número 772037121 desde la cuenta 100-01-000211071-6 que le pertenece a la empresa actora, a favor de Castillo Ramírez Stiven por la suma de cuatro millones quinientos colones. Posteriormente, en fecha 19 de agosto de 2016, mediante la transferencia 190816 se devuelve la suma de 4.506.542.77 colones a la cuenta 100-01-000-211071-6 y ese mismo día mediante la transferencia, 190816 se devuelve $8.300.43 a la cuenta 100-02-021-600069-4, ambas cuentas de la empresa actora. Apunta que la inadecuada e insuficiente información acerca de los riesgos del uso de la plataforma de internet banking del Banco Nacional de Costa Rica, le causó a la actora un daño patrimonial que asciende a la suma de cuarenta y dos mil quinientos setenta dólares noventa y nueve centavos y ocho millones novecientos noventa y tres mil cuatrocientos cincuenta y siete colones veintitrés céntimos, que a la fecha no ha sido indemnizado, invoca los artículos 39, 41 y 46 último párrafo de la Constitución Política, primero, 2, 32 incisos b) y e), 33 inciso d), 35, 37 y 46 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor y 115, 117, 118 y 119 de su Reglamento, por tratarse de un caso de responsabilidad objetiva o por riesgo creado en el que se prescinde del elemento culpa como criterio de imputación y el enfoque se acentúa en la actividad del sujeto que ejecuta una actividad peligrosa o es poseedor o tenedor de un producto peligroso. En conclusiones, señala que el banco no demostró que se le haya suministrado, por cualquier medio, información a la empresa actora. Tampoco el testigo destaca que las actividades publicitarias bancarias no tienen medición de efectividad. El testigo técnico no aporta nada diferente a lo ya dicho en el documento y no está en discusión. A su criterio, la señora Giangiulio Segui no tenía los insumos antes del evento, para saber que el número podía estar clonado, o que la música podía ser copiada, ni los insumos para detener desde un inicio la sustracción por parte de terceras personas, insumos que hubiesen prevenido que esto hubiese pasado. Se trata de brindar información e insumos, no mediante la media docena, para evitar estas circunstancias. Invoca la Ley de defensa del consumidor.
SOBRE LOS ARGUMENTOS DEL BANCO: El banco demandado tanto en su contestación como en conclusiones, descarta la tesis de la parte actora, indicando que, con el propio decir de la parte accionante, es comerciante y, por ende, no ostenta la calidad de consumidor y por ende, no tiene a su favor las prerrogativas de los de la ley 7472. Sobre todo, si se considera que las cuentas que la actora alega fueron defraudas en su perjuicio, iban a ser utilizadas como un instrumento financiero-contable que en su actividad administrativa y comercial. Esto por cuanto, la misma parte actora confiesa que las mismas iban a ser utilizadas para el pago de productos par parte del supuesto cliente y no se pretendía utilizar las mismas para un fin privado, por lo que no se puede decir en el presente litigio que la parte actora ostenta la calidad de consumidor final en ocasión a la venta que se disponía a concretar con el supuesto estafador. Destaca que la plataforma Internet Banking es un servicio adicional que se le ofrece a los clientes y no es un requisito obligatorio asociada al manejo de las cuentas, por lo que la decisión de afiliar el servicio es exclusiva del cliente, quien al acordar las condiciones de prestación del servicio, acepta los riesgos que se asocian a este, lo cual se ingresa a través del sitio web o ventanilla electrónica que requiere de internet para utilizarlo, no siendo el banco un proveedor de tal servicio de red. Para acceder propiamente al servicio de Internet Banking, el usuario previamente debe contar con al menos una cuenta, sea corriente, electrónica o de ahorros, en estado activo. Una vez el banco realiza la apertura de una cuenta, entrega al cliente en forma personal una serie de información confidencial necesaria para la administración de la cuenta, hablamos la tarjeta asociada a la cuenta, del PIN (Personal Identification Number por sus siglas en inglés) y el código de seguridad de la tarjeta, información que posteriormente será necesaria para el afiliar el servicio de Internet Banking. Al momento de realizar el registro en línea, el sistema requerirá del cliente ingresar una serie de información que es de su uso y conocimiento exclusivo, entre éstos el tipo de débito en posesión del cliente, secuencia de números que aparece en relieve en la parte frontal de la tarjeta, clave de la tarjeta que utiliza el cliente en el uso de los cajeros automáticos, código de seguridad o de comprobación de datos localizado generalmente al reverso de la tarjeta, número de identificación del cliente. Ahora bien, por medio del proceso de autenticación, entendido aquí como la forma en que un sistema verifica o se asegura que un usuario que intenta acceder y realizar acciones dentro del sistema, es quien dice ser y que tiene autorización para realizar las transacciones, el sistema analiza de acuerdo con los parámetros de seguridad si las credenciales aportadas son o no las requeridas para que el solicitante acceda al sistema. El proceso de autenticación en Internet Banking combina distintos elementos de seguridad entre ellos "algo que cliente sabe" es decir una contraseña, y "algo que el cliente tiene", como un elemento de seguridad. El esquema de autenticación por medio de contraseñas del Banco define parámetros que el cliente debe respetar en el diseño de su contraseña, como que debe estar compuesta por 8 a 16 dígitos, debe contener letras y números, no puede contener vocales, debe ser cambiada cada cierto período de tiempo definido por el cliente dentro del rango permitido por el sistema, no puede contener una misma letra o número repetido en forma consecutiva, entre otros. Una vez creada y aceptada la clave por el sistema, el cliente recibe un mensaje de que ha sido autorizado para el uso de Internet Banking y a partir de ese momento solo el cliente puede acceder a sus cuentas por Internet, mediante el uso de su identificación y de la clave creada por el mismo. Es importante destacar que la clave creada por el cliente para registrarse en el sistema de Internet Banking y acceder a los servicios electrónicos que ofrece el Banco Nacional, es secreta y personal, solamente es conocida por el interesado que la creó al registrarse en el sistema y es intransferible. En relación con las amenazas a los sistemas de contraseñas, el sistema de autenticación de Internet Banking del Banco, cuenta con el protocolo de seguridad del teclado virtual. El teclado virtual es una herramienta que se despliega en la pantalla y permite la digitalización de los caracteres que componen la contraseña del usuario, de forma que la contraseña se ingresa no en un espacio en blanco mediante la utilización del teclado del ordenador sino en el calculador desplegado en el monitor. Entre sus ventajas están las de minimizar las amenazas de Keylogger de software (captura de pantallas) y hardware (captura de teclado). Por otra parte, en relación con el mecanismo de seguridad basado en "algo que el cliente tiene", en el caso particular, el Internet Banking mantiene asociado un dispositivo OTP (One Time Password). El dispositivo OTP es entregado al cliente para su uso personal e intransferible, y genera una clave o código adicional de un solo uso o desechable, que se despliega en la pantalla del dispositivo y que deberá ser ingresado en el sistema. A partir de que, en términos de autenticación, el usuario ha demostrado ser quien dice ser y tener autorización para el manejo de las cuentas, puede impartir las “órdenes” que el sistema pone a su disposición, utilizando tal nomenclatura dado que el banco es solamente un depositario de fondos que pertenecen al cliente, un deudor de este por decirlo de alguna manera, al haberse identificado al usuario como el titular de la cuenta o autorizado a su uso, los fondos que se reflejen en el balance le son enteramente disponibles. Adicionalmente una vez dentro del propio sistema, se siguen implementando medidas de seguridad adicionales, que restringen las actuaciones del usuario, para ciertas opciones -como el adicionar cuentas favoritas para transferir fondos, realizar transferencias a cajeros automáticos, o cambiar el límite diario de las transferencias, el sistema solicitara el uso de dispositivos adicionales de seguridad como el token, o envío y confirmación de claves mediante teléfono móvil o correo electrónico. Nuevamente tal información y dispositivos son de uso exclusivo del cliente y estos no deben de ser compartidos con terceros ajenos a relación de consumo existente entre el cliente y el Banco. Ahora bien, la estructura de seguridad de Internet Banking está compuesta por tres elementos, el primero, el sistema de información utilizado por el Banco y las herramientas de seguridad que componen la plataforma de Internet Banking. El segundo elemento lo constituye el hardware o equipo utilizado por el cliente para acceder a internet, y esto conlleva la protección que el cliente obtenga para su propio equipo. El último elemento de seguridad, lo constituye la conducta del cliente. El primero de los elementos mencionados es responsabilidad del Banco, quien debe garantizar la seguridad de sus sistemas y de la plataforma de Internet Banking, el segundo y tercer elementos son responsabilidad exclusiva del cliente. Señala que la propia parte manifiesta que la persona encargada en el manejo de las cuentas entregó a terceras personas la información de acceso a sus cuentas. Conforme la prueba de descargo aportada se consigna que las transferencias reclamadas por la actora se dieron con el usuario asignado a la señora Karla Giangulio Segui. Lo anterior obliga a afirmar no solo que su representado cuenta con sistemas de seguridad robustos, que incluyen el uso de claves, números de tarjeta y OTP' s (o tokens) - estos ultimas dispositivos que generan una clave única para cada transacción y que se encuentra en exclusivo poder del cliente, sino que las transacciones tuvieron lugar utilizando el usuario asignado a la señora Karla Giangulio Segui, mediante el uso de la información de uso personal e intransferible y los dispositivos de seguridad e intransferibles que le fueron proporcionados en forma personal por el Banco, que la actora admite a lo largo de la demanda haber entregado a terceras personas, lo que les permitió el acceso a las cuentas, por lo que el banco no puede tener ningún tipo de responsabilidad en relación con las transacciones que se reclaman. Si bien es cierto, el Banco está en la obligación de brindar seguridad a sus clientes en el resguardo de sus fondos, así también los clientes están en la obligación de ser diligentes y precavidos con la información confidencial de acceso a dichos fondos, siendo aplicable por analogía, el del Código de Comercio. De esto se observa que el cliente tiene una responsabilidad de custodia sobre los instrumentos para realizar los giros bancarios, lo cual en caso de incumplimiento eximirá al banco de toda responsabilidad en relación con la supuesta perdida económica experimentada; pues, insistimos, la única forma de definir al autor de una transacción es mediante el código de usuario (clave) que ha sido creada por el mismo cliente, la cual es personal y confidencial. Por otra parte, existe una obligación del cliente de dar aviso inmediato al banco en caso de extravío, pérdida, hurto o robo del cuaderno de cheques; situación que en la especie y aplicado al caso concreto se dio en forma posterior a las transferencias, por lo que el Banco no puede asumir ningún tipo de responsabilidad por las transferencias de conformidad con la ley. Señala que, frente a orden judicial dentro del expediente 16-002635-0059-PE, se reintegró los fondos congelados, reintegrando a la empresa actora mediante el comprobante de depósito N° 190816 a la cuenta 100-02-021-600069-4, la suma de $8.300.43, y a la cuenta 100-01-000-211071-6 la suma de ¢4.509.524,77, esto en fecha 19 de agosto de 2016. Así, resalta que el daño experimentado por la empresa CLAN S.A. acaeció como resultado directo y exclusivo de la acción de la propia empresa, quien a través de su representante, procedió a entregar a terceras personas, la información confidencial y de uso personal para el manejo de las cuentas y de la herramienta Internet Banking, careciendo de causalidad frente al banco, invoca el voto 385-F-S1-2015 y 516-F-S1-2009. Invoca como defensa la falta de derecho materializada en culpa de la víctima y hecho de un
En conclusiones, afirmó que, conforme la prueba testimonial de la parte actora, para los eventos bajo análisis se logra determinar de que se suministró al menos 20 OTP’s a terceros, lo que se prueba además con el informe técnico del banco y la declaración del funcionario bancario Cuadra Chavarría. Destaca que ningún banco pide OTP’s o información de cuentas, y, sobre todo, nunca se ha ocupado la entregas de OTP’s para recibir dinero, diligencia que era lo que se suponía se estaba tratando el día del evento de la llamada, ello siguiendo la declaración de la testigo de la actora. Se demostró que el banco sí tenía una campaña de información, y que existe información suministrada a los clientes bancarios que se recopilan en el documento de Concienciación en Seguridad y Educación Financiera y la deposición del funcionario Robert Valerio Ávila. Rescata que la publicidad debe ir hacia el consumidor medio, Karla acepta que sí tuvo contacto con la campaña "póngase vivo" desde antes de los eventos, pero que, además, es propio de estas actividades el secreto de la información financiera y la aplicación de un principio de competencia profesional no puede pasarse como un consumidor. Reitera que la jurisprudencia señala el rompimiento del vínculo causal cuando hay culpa de la víctima y señala que, conforme consta en autos, el banco reintegró sumas congeladas.
SOBRE EL RÉGIMEN ESPECIAL DE RESPONSABILIDAD OBJETIVA APLICABLE AL DERECHO DE CONSUMIDOR BANCARIO. INVERSIÓN DE LA CARGA DE LA PRUEBA. CULPA DE LA VÍCTIMA. DERECHO DE INFORMACIÓN AL CONSUMIDOR. Esta misma Sección del Tribunal, en la resolución n°71-2021-I, de las 15:35 horas del 04 de agosto del 2021, señaló que la doctrina objetiva de imputación de responsabilidad, se ha desarrollado bajo la premisa de prescindir de la conducta individualizada del sujeto responsable, el cual no es necesario que sea identificado plenamente, toda vez que por mandato legal, basta con la existencia de una situación jurídicamente tutelable que una norma dispone, creando así el nexo generador de responsabilidad. Además, se agregó que: "A partir de ello, a diferencia de los sistemas de imputación subjetivos en los cuales es necesario identificar un sujeto responsable, una acción realizada por éste, un resultado dañoso y una víctima; en los modelos de responsabilidad objetiva la conducta es sustituida por la descripción de la situación jurídicamente tutelable por la norma jurídica. Para el caso en que nos interesa, la responsabilidad objetiva del consumidor, se encuentra prevista en el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor N° 7472, el cual dispone: “El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Sólo se libera quien demuestre que ha sido ajeno al daño. Los representantes legales de los establecimientos mercantiles o, en su caso, los encargados del negocio son responsables por los actos o los hechos propios o por los de sus dependientes o auxiliares. Los técnicos, los encargados de la elaboración y el control responden solidariamente, cuando así corresponda, por las violaciones a esta Ley en perjuicio del consumidor”. A partir de lo transcrito, encontramos un conjunto de sujetos responsables los cuales se convertirán en los deudores cuyo patrimonio se ve afectado en garantía del acreedor, ellos son: el productor, proveedor y el comerciante, los cuales responden de manera objetiva. Ahora bien, valga aclarar, que en el caso de los representantes legales de los establecimientos mercantiles o encargados de negocio, así como los técnicos, encargados de elaboración y control, responden bajo el sistema de responsabilidad vicaria o indirecta, ya que poseen un criterio de imputación subjetiva, por actuación de terceros (dependientes o auxiliares) para los primeros dos casos, o por un régimen de fiscalización en el caso de los restantes. Atendiendo al espíritu y fin de la norma, tenemos que el escenario o situación jurídicamente tutelable es un resultado dañoso cuyo origen o causa sea producto del bien o el servicio brindado por los sujetos responsables, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Y el beneficiario de tal régimen de responsabilidad, sea, el eventual acreedor, sería el consumidor. No obstante, tenemos que entender que este no es un régimen automático, es decir, que la existencia del sistema de responsabilidad per se no implica el nacimiento de la obligación indemnizatoria en los términos del 1045 y 1046 del Código Civil, sino cuando todos los componentes del sistema sean correctamente acreditados por los medios probatorios idóneos. Así, encontramos que, en el régimen estudiado, existen mínimos y máximos dentro de los cuales se puede de eximir la responsabilidad, en el cual concretamente encontramos la aquiescencia, la autopuesta en riesgo y la culpa de la víctima, los cuales aunque si bien es cierto es, son teóricamente diferentes, cada uno de ellos conlleva la extinción del vínculo obligacional a cargo de los responsables. No obstante, ya sea por el hecho de que se haya consentido el evento dañoso (aquiescencia), haya asumido el riesgo de un eventual daño, o este lo haya generado, lucrado, promovido, o incrementado injustificadamente (autopuesta en riesgo) o que sea la propia conducta del sujeto (dolo o culpa, por acción u omisión) el que haya provocado el resultado dañoso (culpa de la víctima), para que esta se configure plenamente este eximente, deben respetarse al menos dos parámetros: Por un lado, que exista un efectivo consentimiento informado y por otro, la ausencia de una mala praxis. En cuanto al primer elemento, el artículo 35 en análisis lo contiene de manera expresa, al referirse al vicio en el consentimiento justamente al referirse a: “informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos”, ya que el consumidor tiene derecho al acceso claro y efectivo a los términos y condiciones del bien o servicio adquirido, las instrucciones de uso, manuales, planos, guías, prevenciones o precauciones a tomar, los riesgos eventuales de su exposición, indicaciones y contra indicaciones, todo en un lenguaje que, objetivamente, pueda ser comprendido por el destinatario final del bien o servicio. Una omisión total o parcial de este componente, impide la aplicación del eximente de responsabilidad, aún si el resultado es usual o previsible, a una razón proporcionalmente inversa, es decir, a mayor información, menos responsabilidad para los sujetos garantes, y a menor información, más responsabilidad para éstos. Por ello, es que de este dogma se desprenden reglas de etiquetado, así como las exigencias de un compendio mínimo de información accesible al cual todo consumidor tiene derecho para la comprensión real, o al menos, de una apreciación objetiva de circunstancias que orienten la toma de la decisión y configuren el consentimiento suficiente y necesario que es la base de eximente de responsabilidad. Por otra parte, la mala praxis, entendida ésta como la violación a las reglas de la ciencia y de la técnica propias del bien o servicio aprovechado por el consumidor, anulan el eximente de responsabilidad, es decir, aún frente a un consentimiento informado, este nunca va a alcanzar para eximir de responsabilidad en presencia de una mala praxis". En otro orden de ideas, la ley 7472 en su artículo 32, regula de diversas formas un derecho de información al consumidor, tal y como lo encontramos en el inciso c) que señala “acceso a una información, veraz y oportuna, sobre los diferentes bienes y servicios, con especificación correcta de cantidad, características, composición, calidad y precio”, que a su vez se vincula con el inciso a) con la finalidad de “La protección contra los riesgos que puedan afectar su salud, su seguridad y el medio ambiente”, y ello a través del inciso d) que implica en lo que interesa “La educación y la divulgación sobre el consumo adecuado de bienes o servicios…”. Tal situación tiene sus orígenes en la tutela que tiene el ordenamiento jurídico que refuerza una tutela al consumidor para que, en la adquisición de bienes y servicios no baste el simple consentimiento, sino que éste se genere en términos de un consentimiento informado, que se plasma como un tipo calificado de voluntad que requiere para su formación de insumos especiales. En este caso, se genera una relación proporcional inversa entre la responsabilidad del proveedor del bien o servicio frente a la información que éste brinda, así, a mayor información brindada, menos es la responsabilidad que el proveedor asume, a contrario sensu, a menor información, mayor responsabilidad del proveedor. En cuanto al contenido de la información a brindar, se entiende que debe comprender instrucciones, manuales, diagramas, planos necesarios para el correcto uso y/o disfrute del bien o servicio, así como potenciales efectos secundarios o adversos, prevenciones a tomar en consideración, prohibiciones y potenciales riesgos propios del bien o servicio. Ello puede hacerse de manera escrita en español o a través de imágenes o cualquier otro medio audio visual, material o digital que permitan la transmisión de la información que, de forma intelectiva, pueda ser accesible al consumidor. Tal contenido tiene que caracterizarse como clara, completa, y sencilla, procurando, consecuentemente, un mínimo de tecnicismos y si tales son necesarios, que se cuenten con elementos explicativos que permitan una comprensión de la información. Ha de advertirse, de manera consecuente, que este derecho parte de la ficción jurídica de un consumidor medio, es decir, la materialización de la información no se individualiza en la comercialización del bien, sino que se recurre a la construcción ficta de un usuario eventual que, de manera razonable y en torno al nicho de mercado destino del bien o servicio, sería el potencial consumidor. Así, el acceso a la información no es sinónimo de una garantía de comprensión de ésta por parte del consumidor individual, ni tampoco una garantía del correcto uso del bien o servicio por parte del consumidor, existiendo entonces, consumidores reales con mayor o menor pericia. Consecuentemente, suministrado el bien o servicio, nace una carga obligacional al consumidor en cuanto al efectivo uso de lo adquirido, recayendo en éste si considera o no la información a disposición. Las acciones y decisiones que, en ese marco, tome el consumidor que contravengan o sobresalgan por dolo, culpa, negligencia, impericia o imprudencia y le genere un daño para sí o para tercero, rompen la causalidad que habilita el régimen de garantía exigible al proveedor en términos de la ley 7472.
REFERENCIA RESPECTO DEL RÉGIMEN APLICABLE A LOS DEPENDIENTES DE COMERCIO: Con motivo de la situación de fondo que se presenta, considera este Tribunal realizar un rápido recordatorio del régimen jurídico aplicable al presente asunto. En concreto, encontramos que la empresa actora es una persona jurídico-privada de tipo asociativo societario, el cual, conforme el artículo 5° en relación con el 17.d) del Código de Comercio, tiene la calidad de comerciante. Ahora bien, la forma en cómo, materialmente, dicho comerciante actúa puede identificarse de diversas formas: a través de sus personeros, entendidos éstos como los que realizan la representación societaria conforme su pacto constitutivo, a través de apoderados, bajo las figuras reguladas en el Código Civil, y, en lo que nos interesa, los dependientes. El Código de Comercio regula en el qué se entiende por este último, señalando: “Son dependientes las personas a quienes el principal encarga la ejecución de determinadas operaciones de su actividad comercial, dentro del establecimiento”, lo que conlleva una tarea realizada por éste en nombre del comercio para el cual labora. Esta precisión la recopila el artículo 371 al crear un régimen de imputación de las actuaciones del dependiente al señalar: “Los actos de los dependientes obligan a su principal en las operaciones que les estuvieren encomendadas expresamente”, con lo cual, como se verá, constituye un elemento fundamental de valoración por el cuadro fáctico de fondo.
DE PREVIO AL FONDO. LA ACCIONANTE SÍ ACTÚA EN ESTE CASO COMO CONSUMIDOR BANCARIO: La entidad demandada, busca señalar que, la empresa accionante por su naturaleza, no puede ser beneficiaria del régimen de protección al consumidor por tratarse de un comerciante, con lo que el asidero teórico que invoca la acción carece de aplicabilidad. Criterio del Tribunal. En cuanto a si tal régimen atañe o no a la acá accionante por ser una sociedad mercantil, encontramos que el artículo 2° de la ley 7472 señala que se considera consumidor: “Toda persona física o entidad de hecho o de derecho, que, como destinatario final, adquiere, disfruta o utiliza los bienes o los servicios, o bien, recibe información o propuestas para ello. También se considera consumidor al pequeño industrial o al artesano -en los términos definidos en el Reglamento de esta Ley- que adquiera productos terminados o insumos para integrarlos en los procesos para producir, transformar, comercializar o prestar servicios a terceros” (resaltado es nuestro). Como puede observarse, el elemento determinante para considerar a una entidad “de hecho o de derecho”, lo cual incluye a la acá accionante, es si ésta actúa o no como destinatario final de un servicio, lo cual, a efectos del objeto en discusión, constituye un usuario del servicio de Internet Banking del Banco Nacional, y lo aprovecha como usuario final de tal plataforma que funciona como un servicio financiero del banco. Esta separación entre usuario de Internet Banking y cuentahabiente es una diferenciación que el propio banco incorpora en su contestación de la demanda resumido en el considerando cuarto de esta sentencia. Así, el objeto de esta litis, no gira en torno a la condición de cuentahabiente, o de los servicios asociados a las cuentas bancarias (datáfonos, SINPE, u otros), sino que se circunscribe a un supuesto problema sobre la falta de información en el servicio accesorio (así catalogado por el propio banco) de Internet Banking, que lo clasifica como cliente corporativo (véase el informe técnico en expediente administrativo a folio 24 y declaración de Ciliam Cuadra Chavarría), siendo coherente con lo que dispone el artículo 87 párrafo segundo del reglamento 37899-MEIC a la ley 7472, que señala: “Para estos efectos, el término "cliente" y todas sus expresiones equivalentes, empleadas en cualquier rama comercial, técnica o profesional, se considerará equivalente a "consumidor" en cuanto califique como tal conforme a la definición contenida en la Ley y este reglamento”. En tal sentido, el acá accionante se encuentra realizando su acción en cuanto cliente del banco accionado y destinatario final como usuario de la plataforma “Internet Banking” de la entidad demandada (hecho probado 1), por lo que el régimen jurídico a aplicar entra dentro de los supuestos tutelados en la ley 7472, contrario a la tesis de la entidad bancaria demandada.
SOBRE EL CASO CONCRETO: De manera muy puntual y eliminando los alegatos novedosos expuestos en conclusiones por la parte actora, dada la improcedencia de considerar tales en el momento procesal que fueron expuestos, toda la teoría del caso de la parte accionante gira en torno al presunto incumplimiento de parte del banco accionado de brindar información certera, veraz y oportuna respecto al tema de fraudes bancarios, y que, en su opinión, si hubiese sido brindado a la accionante como corresponde, se hubiese podido evitar el fraude bancario del cual fue víctima, a lo cual el banco accionado responde que se trata de un hecho de un tercero y culpa de la víctima y que, en todo caso, existía al momento de los hechos campañas publicitarias respecto del tema objeto del proceso. Criterio del Tribunal: Dentro de la valoración que realiza el Tribunal, se entiende que, del objeto en discusión de la litis, no se encuentra bajo disputa si el banco ha retenido y/o devuelto dineros de la empresa accionante, sino que las pretensiones giran en torno a la declaratoria de responsabilidad por una presunta falta de información que impactaron, en criterio de quien demanda, en una causalidad que propició o al menos, no permitió evitar o manejar los eventos del 20 de mayo de 2016 de diferente forma. De igual manera, queda claro que los eventos de ese día fueron propiciados por terceros, acciones que escapan del análisis de fondo de este asunto. Por ende, nos circunscribimos al análisis del argumento de falta de información y si ésta es imputable o no al banco demandado en términos un reproche por incumplimiento de obligaciones en el marco de la ley 7472. Previo a ello, esta Cámara tiene que tomar en consideración que la participación de Karla Giangiulio Segui en los eventos del 20 de mayo de 2016, lo son en una doble condición, por un lado, califica como dependiente de comercio conforme se expuso en el considerando sexto de esta sentencia, y, por otro lado, corresponde a la contraparte del banco, ostentando la condición de usuaria en nombre y por cuenta de la empresa accionante en el servicio telemático denominado Internet Banking Corporativo, tal y como se desprende del informe técnico descrito en los hechos probados 1 y 6 de esta sentencia. Ello resulta relevante ya que, como se expuso en los considerandos quinto y sétimo de este fallo, la condición genérica de “consumidor” ha de precisarse, en este cuadro fáctico concreto, puesto que se trata de un consumidor bancario corporativo, lo que le da características particulares. Dentro de esas características encontramos que, el usuario de la plataforma Internet Banking corresponde a quien dice ser la directora de operaciones de la parte demandante y que posee dentro de sus obligaciones la tarea de realizar los pagos, cobros, logística y bodega, así como el mantenimiento general de las instalaciones donde laboran, lo que obliga a tener presente que se trata de un sujeto acostumbrado a realizar transacciones de manera diaria a través de los diferentes instrumentos financiero-contables a su cargo, entre ellos, el Internet Banking, lo que hace entender que ostenta un conocimiento técnico y habitualidad en el ejercicio de actividades bancarias. Hablamos de tal forma, ya que, de la deposición de la señora Giangiulio Segui, afirma tener 14 años laborando para el grupo Indudi, es decir, no sólo para la empresa accionante, sino para el grupo económico al cual éste pertenece y que, específicamente en cuanto a lo bancos, estaba encargada del mantenimiento de las cuentas, siendo que “el departamento contable monta las transferencias y ella las autoriza”, se encarga de revisar bancos, depósitos y de verificarlos, siendo la única encargada para ello, puesto que las cuentas no eran mancomunadas y ser la única que manipulaba el OTP y única usuaria habilitada de la empresa en Internet Banking, contando además, con actividad de otros bancos como el BCR y BCT, y siendo la contraparte con los asesores bancarios de dichas instituciones financieras (véase la declaración de la señora Giangiulio Segui), lo que desprende entonces, que se trata no de un consumidor medio, en términos de lo expuesto en el considerando quinto de esta sentencia, sino en un consumidor calificado o experto. Asentando las anteriores bases, encontramos que, el cuadro fáctico del 20 de mayo de 2016, se realizaron una serie de actividades en la plataforma de Internet Banking de la empresa actora, iniciando conforme la bitácora de dicha plataforma a partir de las 11:31:59 a.m y hasta las 12:10:34 p.m.; que corresponde a la inclusión de 7 cuentas favoritas y la realización de 9 transacciones: 3 contra la cuenta 100-01-000-211071-6, 1 contra la cuenta 100-02-037-600580-2 y 5 contra la cuenta 100-02-021-600069-4, todas por un valor de ¢4.500.000 (monto que reconocemos como efectivo frente al informe técnico del banco accionado y no la apreciación o cálculo que se realiza en la demanda y que no fue controvertido con contraprueba), y que corresponden a las transacciones identificadas con los comprobantes 72033171, 72033378, 72033637, 72034084, 72034452, 72035046, 72035620, 72036396 y 72037121, todas desde el usuario 108220762 que corresponde a la señora Karla Giangiulio Segui (hecho probado 6). Ahora bien, tal situación hace ponderar, frente a la deposición del testigo Ciliam Cuadra Chavarría, que expuso sobre cómo funciona la plataforma de Internet Banking del Banco Nacional que, tomando en cuenta los hechos narrados por la señora Giangiulio Segui tanto en su deposición en juicio, como en la denuncia al OIJ dentro de la sumaria 16-002635-0059-PE y la denuncia ante el banco de fecha 20 de mayo de 2016 (hechos probados 4, 5 y 12), suprimiendo las inconsistencias que entre ellos existen, se narra que en los eventos del 20 de mayo de 2016, a través de llamada telefónica, terceros accedieron a información financiero contable de la empresa, supuestamente en el marco de una compra a formalizar a través de “SINPE telefónico” para un potencial cliente y con la participación de un tercero que se hizo pasar por operador bancario. Sin demérito de la credibilidad de la testigo respecto de la forma eventual en cuanto a cómo y por qué aceptó tal llamada, la duración de ésta y el fin que buscaba, lo cual en todo caso no es objeto de este proceso, lo que sí resulta acreditado, en análisis integral de la prueba, es que en ese evento fue entregado el usuario y contraseña de la plataforma Internet Banking del banco demandado, 1 OTP que fue utilizado para el ingreso a ésta y al menos 14 OTP’s que fueron utilizados para la inclusión de cuentas y 9 para la realización de cada transferencia, lo que da un total mínimo de 24 OTP’s, se habla de mínimo puesto que pudieron haber sido más que, en razón de la narración sobre la forma en cómo termina la llamada telefónica y las acciones a posteriori, pudieron frustrar otras transacciones y acciones dentro de la plataforma. A este escenario hay que reforzar el hecho de que, según la bitácora de la plataforma, no existieron vulneraciones informáticas a ésta, ni tampoco existe prueba de una situación de este tipo y, de hecho, no existen inconsistencias como errores en la actividad (OTP’s o contraseñas incorrectas) que hubiesen quedado registradas tal y como expuso el testigo Cuadra Chavarría (hecho probado 10). Esta conducta desplegada por la dependiente de comercio de la empresa accionante, hace apreciar a este Tribunal que se trató de un evento negligente que no responde a la lógica y experiencia de quien es la encargada de las finanzas y contabilidad de la empresa, y que le es exigible un ejercicio de cuidado reforzado con la información que es de tipo confidencial, dato que, por la habitualidad en la actividad, era conocido por la señora Giangiulio Segui o al menos, tenía el deber de conocer, sobre todo si se conocía que la única que ostentaba esta información, era solo ella, por el modelo de trabajo con la que operaba la empresa demandante. Frente a esto, la teoría del caso de la parte actora pretende achacarle al banco un curso causal hipotético basado en una comparación de base omisiva por la presunta ausencia de “información veraz, adecuada u oportuna y/o haber incumplido con ello las exigencias de claridad, veracidad, y legibilidad, que debe contener la publicidad en nuestro sistema jurídico” ya que, considera que, de haber existido tal, no hubiese acaecido los eventos ya expuestos. Esta tesis no es aceptada por este Tribunal en un doble fundamento: El primero, queda acreditado que el banco sí contaba con campañas generales de información respecto del tema de estafas o actividades de riesgo basadas en servicios como Internet Banking y que se demuestran con la declaración del señor Valerio Ávila, la existencia de la política bancaria recopilada en el documento “Concienciación en Seguridad y Educación” y pautas publicitarias como el “póngase vivo” (hechos probados 3 y 11), de las cuales la propia dependiente de la actora Giangiulio Segui reconoce haber visto. Ello nos lleva entonces a una contradicción en la propia alegación de la parte, ya que, por un lado, afirma de la existencia de una omisión, pero por el otro, de que sí existió información, pero que no cumplía con los parámetros esperables de seriedad, es decir, se refiere a información defectuosa. Con lo expuesto, esta Cámara descarta la existencia de una omisión en la información brindada al público en general respecto de estafas telefónicas, con lo que el argumento debe rechazarse, mientras que, aún si aceptamos el agravio de información defectuosa, que no es el contenido en las pretensiones, lo cierto es que la norma legal expuesta y desarrollada en el considerando quinto de este fallo, lo que obliga es la emisión hacia un consumidor medio, generalizado e hipotético, no pudiendo desprenderse una obligatoriedad de brindar información personalizada por cada consumidor real, por lo que, la alegada falta de seriedad en los mecanismos de información, es una apreciación subjetiva de la propia accionante, ya que no apoya su afirmación en criterios técnicos en materia publicitaria que acreditasen las bondades o defectos de la estrategia informativa del banco demandado, y en realidad, lo que revela es la condición de consumidor calificado de la demandante, sobre todo, de la dependiente de comercio a cargo de la materia bancaria de la empresa, siendo de igual manera desechada esta alegación. De segundo, encontramos el ejercicio causal hipotético que plantea la tesis de la demandante, en tanto si hubiese contado con la información, el evento no hubiese ocurrido, no puede considerarse plausible por este Tribunal dada la gravedad en la conducta negligente de la dependiente del comercio, donde, aún si aceptáramos la tesis de una supuesta falta de información, la conducta desplegada no refleja la lógica, pericia, experiencia y cuidado mínimo para el cuadro fáctico presentado el 20 de mayo de 2016. En la habitualidad de las transacciones de las cuales la señora Giangiulio Segui era la única a cargo, se tenía el conocimiento, o al menos, el deber objetivo de tener conocimiento, de que la información bancaria es confidencial y personalísima, específicamente, usuarios, contraseñas y en aplicación de estos, instrumentos como el OTP, caracterización que no es exclusiva de la plataforma bancaria, sino de cualquier servicio telemático moderno (correo electrónico, celulares y computadoras, plataformas web de toda clase, etc). Pero aún obviando lo anterior, y circunscribiéndonos exclusivamente a la actividad bancaria, queda acreditado por la propia declaración de la testigo de la parte actora que el marco en el que se extrae la información era para la formalización de una compra, es decir y como lo alega el banco demandado, para recibir dinero, no existiendo indicios de que en tal actividad se ocupe brindar información como usuario, contraseña o OTP’s, es decir, se trató desde el comienzo de una actividad calificable de sospechosa. De igual manera, de la declaración rendida, se extrae que la dependiente de comercio tenía contacto usual con agentes bancarios, los que le auxiliaban en diferentes gestiones de este tipo, sin que se acreditase, de igual manera, que existiese referencia a la habitualidad de la entrega de este tipo de información a quien fuese funcionario bancario, por lo que la dependiente de la actora estaba habituada a trabajar con personal bancario para tener un parámetro de referencia objetivo, no sólo con el banco demandado sino con otros bancos y por lapso que brinda una experiencia que supera la década, que debió levantar en un principio sospecha de la irregularidad o atipicidad del evento, lo que hace calificar de reproche grave que no puede considerarse excusable, como lo pretende la actora y trasladable a título de omisión de información, en contra de la entidad bancaria demandada, tratándose por ende, de un evento imputable exclusivamente a la víctima. Consecuentemente, al no existir causalidad imputable al demandado, no se configuran los elementos necesarios para la declaratoria de responsabilidad civil en contra de éste, por lo que ha de rechazarse las pretensiones demarcadas como A, B y C de la demanda citadas en el resultando primero de este fallo, por lo que debe rechazarse en su totalidad la acción, abordándose la pretensión D de costas en considerando aparte infra.
SOBRE LAS DEFENSAS INTERPUESTAS: La representación de la parte demandada, interpuso las defensas de falta de derecho. Por la forma en cómo se resuelve el asunto, esta defensa ha de acogerse en su totalidad.
SOBRE LAS COSTAS PROCESALES Y PERSONALES: Respecto a las costas, de conformidad con el numeral ciento noventa y tres del Código Procesal Contencioso Administrativo, las costas procesales y personales constituyen una carga que se impone a la parte vencida por el hecho de serlo. La dispensa de esta condena sólo es viable cuando hubiere, a juicio del Tribunal, motivo suficiente para litigar o bien, cuando la sentencia se dicte en virtud de pruebas cuya existencia desconociera la parte contraria. En la especie, el Tribunal no ubica algún motivo para exonerar en costas, por lo que procede imponerlas a cargo de la parte demandada.
Decisión final del tribunal
Con base en los fundamentos de hecho y derecho expuestos, se acoge la defensa de falta de derecho. Consecuentemente, se declara SIN LUGAR la demanda interpuesta por CLAN SOCIEDAD ANÓNIMA contra del BANCO NACIONAL DE COSTA RICA. Son ambas costas a cargo del actor, mismas que se deberán de liquidar en la etapa de ejecución de sentencia. Notifíquese.
CARLOS JOSÉ MEJÍAS RODRÍGUEZ
CLAUDIA BOLAÑOS SALAZAR LAURA GÓMEZ CHACÓN
HRO5OEN8HEG61CARLOS JOSE MEJIAS RODRIGUEZ - JUEZ/A DECISOR/A
NEKQMWHCSGS61LAURA GOMEZ CHACON - JUEZ/A DECISOR/A
E53ZP47ZSJDO61CLAUDIA BOLAÑOS SALAZAR - JUEZ/A DECISOR/A
EXP: 17-003354-1027-CA
Goicoechea, Calle Blancos, 50 metros oeste del BNCR, frente a Café Dorado. Teléfonos: 2545-0107 (EXT 01-2707) ó 2545-0099 (EXT 01-2599). Fax: 2241-5664 y 2545-0006. Correo electrónico: tproca-sgdoc@poder-judicial.go.cr