Resolución 00026-2023

La parte actora compareció a la jurisdicción a solicitar según se desprende del escrito de demanda interpuesta el 9 de febrero del 2021 y de acuerdo a las pretensiones fijadas en audiencia preliminar celebrada el 10 de setiembre del 2021, lo siguiente: "PRIMERA: Que se declare que el BANCO NACIONAL DE COSTA RICA incumplió la normativa vigente, Reglamento del Sistema de Pagos del Banco Central, reglamentos de tarjetas de crédito y débito, decreto ejecutivo 35867 MEIC, ambos vigentes para el momento de los hechos, siendo que esa violación generó responsabilidad objetiva y económica del Banco Nacional de Costa Rica, debe entonces el Banco reconocer al actor la suma de capital sustraída de tres millones seiscientos setenta y cinco mil doscientos dieciséis colones netos, por capital en monto que se disputa. PRIMERA BIS: Que se declare, que sobre la suma de tres millones seiscientos setenta y cinco mil doscientos dieciséis colones netos, el Banco debe reconocer intereses desde el día que debió hacer reintegro inmediato, y reconocer cargos cobrados con sus respectivos intereses. SEGUNDA: Se me reconozca el pago de un daño moral subjetivo en mi favor por el actuar negligente del Banco Nacional de Costa Rica y por los daños sufridos y accesorios los cuales estimo en la suma de tres millones de colones netos. TERCERA: Que se condene el pago de intereses, indexación y ambas costas de esta acción. CUARTA: Que se reconozca los intereses cancelados sobre el préstamo que tuve que adquirir para pagar el fraude al que fue víctima, con la negligencia y colaboración por falta de cuidados y cumplimiento de requisitos de operatividad del Banco Nacional de Costa Rica". (Imágenes 1-8, 139-141 del expediente electrónico).

Conferido el traslado a la demandada, rechaza los hechos, e invoca la defensa de falta de derecho. (Imágenes 80-103 del expediente electrónico)

Que la audiencia preliminar se realizó el 10 de setiembre del 2021, se fijaron las pretensiones, los hechos controvertidos y se admitió la prueba ofrecida por las partes. (Imágenes 139-141 del expediente electrónico)

El juicio oral y público se realizó el día 1 de marzo del 2023, con la presencia de todas las partes. Se recibió la prueba ofrecida en el momento procesal oportuno de interés de las partes y se realizaron las conclusiones respectivas. También se declaró el expediente como muy complejo de conformidad con el canon ciento once del Código Procesal Contencioso Administrativo.

En los procedimientos se han observado las prescripciones y términos de ley, y no se perciben vicios, defectos u omisiones susceptibles de producir nulidad de lo actuado o indefensión a las partes. Se dicta esta sentencia dentro del plazo legal, tomando en consideración la incapacidad médica de la jueza ponente de los días 8, 9 y 10 de marzo del 2023. Se dicta la presente resolución por unanimidad y previa deliberación.

Redacta la jueza Gómez Chacón, con el voto positivo de la jueza Bolaños Salazar y el juez Mejías Rodríguez; y

I.

El señor Edwin Gerardo Arguedas suscribió un contrato con el Banco Nacional en relación a la utilización de sistema BN-IDENTIDAD VIRTUAL, a través de dispositivos de Hardware o mediante Software TOKEN. El contrato señala entre otras cláusulas lo siguiente: "1.- El cliente reconoce que es su obligación mantener su ordenador con todos los sistemas de antivirus actualizados para evitar que terceros se impongan del conocimiento de su información y/o claves. En forma adicional, el Banco le ofrece el servicio de antifraude denominado Hardware Token y Software Token, ello como un servicio y mecanismo de seguridad adicional a los ya existentes. La incorporación de esta tecnología, es en auxilio del cliente, y por consiguiente, no implica de ninguna manera que el sistema de información que en la actualidad mantiene el Banco sea inseguro.

El Hardware Token y el Software Token debe ser utilizado únicamente en el sitio transaccional del Banco Nacional en las direcciones www.bncr.fi.cr o https:/bnonline.fi.cr compromete, ya sea por acción u omisión, a no revelar los códigos de OTP generados en el mismo a ninguna persona, organización o sitio de internet diferente a los indicados.

El cliente debe asegurarse de mantener el dispositivo en correcto estado de conservación. El Hardware token solo puede ser abierto para el cambio de batería y no para la manipulación de los componentes internos. Los daños por golpes inmersión, exposición al fuego, calor excesivo o humedad, obligan al cliente a cancelar los costos por la reposición. El Banco garantiza su correcto funcionamiento por un lapso de tres años, siempre y cuando no se presenten situaciones como las enunciadas.

El Hardware Token debe ser resguardado como dispositivo de uso personal, es decir, debe estar en custodia absoluta de su propietario, quien únicamente podrá realizar el ingreso al sistema BNINTERNET PERSONAL y podrá ejecutar las transacciones si cuenta con el dispositivo en su poder y correcto funcionamiento.

El Hardware Token y el Software Token son un complemento adicional a la clave secreta del cliente. El cliente ha sido advertido e informado de esta situación, por consiguiente, se compromete a no revelar su código de acceso del sistema y a respetar las recomendaciones en esta materia que el Banco ofrece.

El Cliente ha sido informado, reconoce expresamente y libremente acepta, que el personal del Banco no le pedirá algún número de OTP clave, número de tarjetas o cuentas.

El cliente es responsable por el mal uso que se le dé al dispositivo". Dicho contrato fue firmado el 15 de febrero del 2011. (Imágenes 1-8 del expediente administrativo, Carpeta de Contrato Token);

El día 6 de noviembre del 2018, el señor Edwin Gerardo Lizano, sufrió una sustracción de su patrimonio por terceros, de la cuenta bancaria a su nombre del Banco Nacional de Costa Rica N.200-01-156-005972-4, por el monto de tres millones seiscientos setenta y cinco mil doscientos dieciséis colones netos, de acuerdo el siguiente detalle:

Transacciones analizadas según solicitud del cliente

Fecha

Hora

Comprobante

Débito

Monto

06-11-2018

11:56:03

40360837

200-01-156-005972-4

¢700,000.00

06-11-2018

12:04:06

40362068

200-01-156-005972-4

¢300,000.00

06-11-2018

12:05:37

40362289

200-01-156-005972-4

¢500,000.00

06-11-2018

12:20:26

10364426

200-01-156-005972-4

¢100,000.00

06-11-2018

12:32:50

40366163

200-01-156-005972-4

¢50,000.00

06-11-2018

12:34:04

40366338

200-01-156-005972-4

¢50,000.00

06-11-2018

12:36:18

40366627

200-01-156-005972-4

¢500,000.00

06-11-2018

12:39:36

40367115

200-01-156-005972-4

¢450,000.00

06-11-2018

12:43:40

40367671

200-01-156-005972-4

¢500,000.00

06-11-2018

12:45:07

40367861

200-01-156-005972-4

¢200,000.00

06-11-2018

12:45:15

40368050

200-01-156-005972-4

¢130,000.00

06-11-2018

12:48:51

40368446

200-01-156-005972-4

¢100,000.00

06-11-2018

12:50:39

40368700

200-01-156-005972-4

¢50,000.00

06-11-2018

12:54:40

40369236

200-01-156-005972-4

¢30,000.00

(Folios 1- 52 del Expediente administrativo);

El 7 de noviembre del 2018, el señor Edwin Gerardo Lizano Arguedas, presentó ante el Organismo de Investigación Judicial denuncia por estafa en los siguientes términos: "HABÍA PUBLICADO UNA BICICLETA EN LA PAGINA ENCUENTRA 24 POR UN PRECIO DE ¢70,000.00 Y EL DÍA DE AYER AL SER LAS ONCE Y QUINCE LA MAÑANA CUANDO ME HALLABA EN MI LUGAR DE TRABAJO (OFICINAS CENTRALES DE LA CAJA) ME LLAMÓ UN MUCHACHO INTERESADO EN COMPRARLA, DIJO SER AGROQUIMICO, QUE ESTABA EN UN LUGAR LEJANO Y QUE POR ELLO NO TENIA RECEPCIÓN Y QUE NO PODIA HACER EL PAGO VÍA TRANSFERENCIA POR LA FALTA DE INTERNET POR LO CUAL ME PROPUSO UN SERVICIO CON EL BANCO NACIONAL POR MEDIO DE LA CUENTA DE INTERNET EMPRESARIAL, EN EL CUAL ÉL LLAMABA AL BANCO, Y EN CONFERENCIA CONMIGO, LE DABA YO UNOS DATOS AL BANCO PARA HACER LA TRANSFERENCIA DEL DINERO (PAGO DE LA BICICLETA). DE LOS DATOS QUE ME PIDIERON ME SOLICITARON EL NUMERO DE TOCKEN, VARIAS VECES Y ADEMAS EL SUPUESTO ENCARGADO DEL BANCO, ME TENIA QUE CONFIGURAR LA CUENTA CLIENTE A LA CUENTA IBAN Y ME PIDIÓ OTRAS VECES LA NUMERACION TOCKEN, ME INDICO QUE EL SISTEMA ESTABA VERIFICANDO Y QUE A LAS TRES DE LA TARDE YA PODIA INGRESAR PARA VERIFICAR LA NUEVA CONFIGURACION DE LA CUENTA IBAN CON EL TOCKEN DEL CELULAR. A LAS CINCO DE LA TARDE INTENTO INGRESAR A LA CUENTA DEL BANCO NACIONAL Y TENGO LA SORPRESA DE QUE MI CONTRASENA NO ES ADMITIDA, PROCEDO A LLAMAR AL BANCO NACIONAL PARA VER QUE ESTÁ PASANDO Y ME COMENTAN QUE ENTRE LAS 12 MD A LAS 16:00 HRS, SE INGRESARON VARIAS CUENTAS FAVORITAS Y REALIZARON ADELANTOS DE EFECTIVO DE MI TARJETA, ADEMÁS EXTRAFINANCIAMIENTOS, QUE FUERON TRASLADADOS A DIFERENTES CUENTAS DE DIFERENTES BANCOS. EL PERJUICIO ECONÓMICO ¢3,300.000. ES QUE TODO AUTORIZO A FUNCIONARIOS DEL OIJ A SOLICITAR LA INFORMACION BANCARIA NECESARIA PARA REALIZAR LA INVESTIGACION, ASI COMO A FUNCIONARIOS DEL BAC SAN JOSE, BANCO NACIONAL DE COSTA RICA, BANCO DE COSTA RICA, BANCO POPULAR, SCOTIABANK, PROMERICA Y DEMAS ENTIDADES BANCARIAS QUE TENGAN INFORMACIÓN RELACIONADA CON EL HECHO ILICITO DENUNCIADO PARA QUE PROCEDAN A APORTARLA PARA EFECTOS DE INVESTIGACIÓN DE LA PRESENTE CAUSA PENAL". (Folios 14-18 del expediente administrativo);

Mediante escrito del 12 de noviembre del 2018, el señor Edwin Gerardo Lizano Arguedas, presentó ante el Banco Nacional de Costa Rica, escrito de reclamo administrativo, en relación con operaciones y transacciones realizadas por una tercera persona en su perjuicio el día del 6 de noviembre del 2018. (Folios 2 a 6 del expediente administrativa);

Mediante oficio del 12 de noviembre del 2018, número ZCC-0307-2018, suscrito por el Banco Nacional de Costa Rica, y dirigido al señor Edwin Gerardo Lizano Arguedas, se indica que sobre el reclamo representado el día 12 de noviembre del 2018, se procedará con una investigación en relación a las transacciones realizadas. (Folios 0-1 del expediente administrativo);

Mediante escrito del 11 de noviembre del 2019, el señor Edwin Gerardo Lizano Arguedas, presentó ante el Banco Nacional de Costa Rica, escrito en el que solicita información sobre el reclamo administrativo presentado el 12 de noviembre del 2018. (Folios 27-36 del expediente administrativo);

Mediante oficio del 3 de diciembre del 2019, DS-1254-2019, se emitió informe de la Dirección de Seguridad del Banco Nacional de Costa Rica en relación al reclamo administrativo planteado por el señor Edwin Gerardo Lizano Arguedas, en el cual se anota las transacciones analizadas a solicitud del cliente:

Transacciones analizadas según solicitud del cliente

Fecha

Hora

Comprobante

Débito

Monto

06-11-2018

11:56:03

40360837

200-01-156-005972-4

¢700,000.00

06-11-2018

12:04:06

40362068

200-01-156-005972-4

¢300,000.00

06-11-2018

12:05:37

40362289

200-01-156-005972-4

¢500,000.00

06-11-2018

12:20:26

10364426

200-01-156-005972-4

¢100,000.00

06-11-2018

12:32:50

40366163

200-01-156-005972-4

¢50,000.00

06-11-2018

12:34:04

40366338

200-01-156-005972-4

¢50,000.00

06-11-2018

12:36:18

40366627

200-01-156-005972-4

¢500,000.00

06-11-2018

12:39:36

40367115

200-01-156-005972-4

¢450,000.00

06-11-2018

12:43:40

40367671

200-01-156-005972-4

¢500,000.00

06-11-2018

12:45:07

40367861

200-01-156-005972-4

¢200,000.00

06-11-2018

12:45:15

40368050

200-01-156-005972-4

¢130,000.00

06-11-2018

12:48:51

40368446

200-01-156-005972-4

¢100,000.00

06-11-2018

12:50:39

40368700

200-01-156-005972-4

¢50,000.00

06-11-2018

12:54:40

40369236

200-01-156-005972-4

¢30,000.00

De ese análisis se señala lo siguiente: "Se procede con el análisis de las transacciones asociadas con las cuentas del cliente, se establece que las mismas fueron realizadas con el código de usuario 205990434, el cual se encuentra registrado y asignado a EDWIN GERARDO LIZANO ARGUEDAS por ende, para todos los efectos del sistema del Banco Nacional, las transacciones fueron licitas y realizadas por el titular (es)  autorizado (s), pues se realizaron con el (código de usuario, contraseña, información de las tarjetas y OTP de Token) que obran exclusivamente en su poder. El días 06112018, se realizan varias transacciones en las cuenta del cliente Edwin Gerardo Lizano Arguedas tales como: Olvidó su clave; Envío Alerta Inclusión Cuenta Favorita; Agregar Cuenta Favorita; Eliminar Cuenta Favorita; Activar Cuenta Favorita; Retiro a su Favor T.C. Solicitud de Código de Seguridad las que en el proceso generan notificaciones, siendo las mismas de Tipo (A) que requiere Correo, lo cual corresponde a la forma en que la cliente recibe las notificaciones:

Imagen 001

Imagen 002

Imagen 003

Imagen 004

Con base en esa investigación se concluye lo siguiente: "Basándonos en el resultado obtenido del análisis de la información aportada en la bitácora de eventos del Servicio Internet Banking y en la información observada en el SFB (Sistema Financiero Bancario) referente a los movimientos que afectan las cuentas del reclamante, se recomienda RECHAZAR el reclamo interpuesto por Edwin Gerardo Lizano Arguedas en todos sus extremos y así le sea informado al cliente, lo anterior basándonos en que al efectuarse un análisis de los eventos presentados, el cliente por medio de lo narrado en su reclamo administrativo y denuncia penal, el cliente indica haber atendido una llamada telefónica de un supuesto funcionario bancario en una llamada tripartita, lo anterior por cuanto mantenía a la venta un artículo en una página de internet, y hubo un aparente interesado en adquirirlo, siendo que dentro de lo conversado vía telefónica brinda información personal así como varios números de su TOKEN, lo cual ocasiona un compromiso de su información y por ende el retiro del dinero desde su cuenta". (Folios 35-52 del expediente judicial);

Mediante oficio 05 de diciembre en el 2019, N° DS-156-0002-2019, del Banco Nacional de Costa Rica, se atendió el reclamo administrativo interpuesto por el señor Edwin Gerardo Lizano en el cual se señala lo siguiente: "Como resultado de la investigación realizada se determina que la solicitud planteada de su parte no procede e igualmente se le aclara que, esa resolución no agota la vía administrativa, por lo que apegado a lo establecido en el artículo 346 de la Ley General de la Administración Pública, le asiste el derecho al reclamante de presentar los recursos de revocatoria y apelación en la oficina del Banco Nacional City Mall Alajuela, ubicada en el tercer piso del centro comercial City Mall Alajuela, siempre que sea dentro de los tres días hábiles siguientes a la notificación respectiva". (Folios del 53 al 72 del expediente administrativo).

En el juicio oral y público declaró el señor Cilliam Cuadra Chavarría, con cédula 1-0828-0944, el cual indicó ser funcionario del Banco Nacional de Costa Rica desde hace más de veinte años, destacado en temas de seguridad Bancaria. Explica a grandes rasgos, que el Banco Nacional cuenta con diferentes mecanismos de seguridad bancaria en temas de internet banking, entre ellos diseño de usuarios, mensajes, notificaciones a correo electrónico y mensajes de alerta a sistema de mensajería celular. Explica en qué consiste los desafíos a derribar para el acceso y uso de la plataforma de internet banking. Señala que al Banco Nacional no se ha visto vulnerado en sus sistemas informáticos. (Soporte de audio, SIGAO).

HECHOS NO PROBADOS:

Que al señor Edwin Gerardo Lizano, no haya recibido notificaciones de los movimientos y transacciones realizadas el día 6 de noviembre del 2018, en su cuenta bancaria. (Los autos).

OBJETO DEL PROCESO: Expone la parte accionante que tiene una tarjeta de crédito con el Banco Nacional de Costa Rica, desde hace varios años. En fecha 12 de noviembre de 2018, presentó ante el Banco Nacional de Costa Rica, formal reclamo administrativo, debido a que fue objeto de un fraude en su tarjeta de crédito por un monto de tres millones seiscientos setenta y cinco mil doscientos dieciséis colones netos. Todos los fraudes electrónicos, que le realizaron a su tarjeta fueron el mismo 6 de noviembre del año 2018 y fueron realizados por alguien que hizo un cambio de clave en el sistema, sin que el Banco le notificara, ese cambio de clave. Dado que él no hizo el cambio de clave ni fue notificado. Lo anterior mediante la figura de una solicitud de extra-financiamiento y pagos varios realizados. Pero insiste el extra-financiamiento ni los montos transferidos y pagados a terceros le fueron notificados a ningún medio, lo cual genera evidentemente negligencia del Banco y falta al deber de cuidado a sus clientes. Tampoco le fue notificada las transferencias realizadas cada vez que hubo un movimiento como lo ordena la normativa. En fecha 12 de noviembre de 2018, mediante oficio ZCC-0307- 2018 la Gerencia de la Zona Comercial Central, le informa que el caso será elevado a la Dirección de Seguridad, donde le indican que le darán una respuesta a más tardar en dos meses conforme a lo establecido en el artículo 261, inciso primero de la Ley general de la Administración Pública. En el momento de hacer la reclamación se encontraba dentro del plazo establecido en el artículo 32 del Reglamento de Tarjetas de Crédito y Débito, decreto ejecutivo 35.867-MEIC publicado en La Gaceta de fecha 24 de marzo de 2010. (vigente para el momento del hecho). El artículo 468 y 469 del Reglamento del Sistema de Pagos del Banco Central de Costa Rica establecen responsabilidad del ente emisor y el artículo 32 del Reglamento de Tarjetas de Crédito y Débito, Decreto Ejecutivo 35.867-MEIC publicado en La Gaceta de fecha 24 de marzo de 2010, establecen un plazo máximo de 120 días naturales para realizar las investigaciones derivadas de denuncias de los clientes, plazo ampliamente superado en el presente caso, en donde tiene más de 361 días sin respuesta a su gestión, lo cual invalida por ende hace ineficaz cualquier intento de responsabilizarse por la situación presentada. Como hecho notorio y de una simple lectura de la ley que regula las relaciones cliente-tarjetahabientes- entidades financieras, el Banco Nacional de Costa Rica incumplió con lo dispuesto en el artículo 468 y 469 del Reglamento del Sistema de Pagos del Banco Central de Costa Rica ya que no realizó el reintegro de fondos a su cuenta de crédito en los 5 días naturales establecidos para ello, ni tampoco ha investigado. Igualmente el Banco Nacional de Costa Rica incumplió con lo dispuesto en el artículo 35 y el Transitorio III del Reglamento del Sistema de Pagos del Banco Central de Costa Rica ya que no le notificó, de manera inmediata, los movimientos realizados en su cuenta de crédito, lo cual le dejó en total indefensión frente al fraude denunciado desde el 12 de noviembre del año 2018, tampoco notificó ningún cambio de clave requerida para transferir montos. Para hacer frente a los pagos de la tarjeta de crédito cuya cuenta fue objeto del fraude denunciado, y ante la falta de respuesta oportuna del Banco Nacional de Costa Rica, ha tenido que realizar una serie de recortes en su presupuesto familiar, ha sufrido un daño moral, que han impactado de forma muy negativa a su persona y además acudir a un préstamo personal de extra-financiamiento con una empresa institucional en donde labora y por medio de una hermana para sufragar ese gasto. El artículo 29 del Reglamento de Tarjetas de Crédito y Débito, decreto ejecutivo 35.867-MEIC publicado en La Gaceta de fecha 24 de marzo de 2010, establece la responsabilidad de todas las entidades involucradas en el procesamiento de pagos con el usuario. Además de no avisar las transacciones, el Banco Nacional de Costa Rica nunca le avisó del cambio del clave que fue necesario, para las transacciones que se hicieron el día 6 de noviembre del año 2018, como ya se dijo et supra, pues el último cambio de clave realizado por él fue de fecha 3 de octubre del año 2018 y sí le fue notificado. A raíz del hecho dañoso, entonces el Banco Nacional de Costa Rica, ha generado un nexo causal necesario para el reconocimiento de un daño patrimonial, económico y un daño moral subjetivo.

ARGUMENTOS DE LA DEMANDADA: Expone que el servicio de Internet Banking es un servicio de Banca Electrónica que el Banco Nacional de Costa Rica pone a disposición de sus clientes con el objeto de que puedan realizar sus operaciones bancarias y financieras, a través de un computador y mediante la conexión a la Internet. La operación de las cuentas de ahorro no requiere como requisito sine qua non del Internet Banking Personal, pues éste es un servicio financiero agregado, cuya utilización responde a una decisión libre e independiente de los clientes del banco que poseen cuentas de ahorro en dólares o colones. Los clientes no están obligados a utilizar el servicio de Internet Banking sino que por el contrario, el mismo constituye un medio al que voluntariamente se afilian, al momento de hacerlo aceptan como parte de sus obligaciones como usuarios del sistema. La función principal de Internet Banking es la de permitir al usuario el acceso y administración de los fondos de sus cuentas, sean estas de ahorro, corrientes o electrónicas, por medio de la red global. Un sin número de transacciones pueden ser realizadas mediante esta plataforma, servicios puramente bancarios y otros relacionadas con la actividad. El sistema permite al momento de hacer el registro, crear perfiles de usuarios con permisos diversos dentro del sistema y niveles de autorización mancomunados. En resumen, el sistema permite crear usuarios, eliminarlos, asignar los permisos a cada usuario, modificar límites de transferencias, y establecer esquemas de mancomunación. El Internet Banking es una plataforma dirigida a un único usuario, diseñada para ser operada u administrada por una sola persona, el titular o la titular de la cuenta. Para acceder por primera vez a los servicios del Internet Banking, es necesario que el cliente tenga una cuenta, ya sea corriente, electrónica o de ahorros, en estado activo, el plástico (tarjeta de débito o crédito) asociado a la cuenta y la información de uso privilegiado que le fue entregada por parte del banco para la operación de estas (Token y PIN, CW, códigos de seguridad cuando se quieren realizar cierto tipo de transferencia, etc.). Es importante en este tema saber que una vez que el banco realiza la apertura de una cuenta, entrega al cliente en forma personal una serie de información confidencial necesaria para la administración de la cuenta. Ahora bien, el cliente al momento de realizar el registro en línea, el sistema va a solicitar al cliente la verificación de una serie de información confidencial que solo el cliente usuario conoce, y algunos otros datos que responden a medidas o dispositivos de seguridad diversos como por ejemplo la contraseña. Asimismo, el cliente debe ingresar una contraseña para acceder al sistema. Tal clave de Internet Banking no sólo es personal, sino que es creada por el propio cliente. Una vez creada y aceptada la clave por el sistema, el cliente recibe un mensaje de que ha sido autorizado para el uso de Internet Banking y a partir de ese momento sólo el cliente puede acceder a sus cuentas por Internet, mediante el uso de su identificación y de la contraseña creada por él mismo. Es importante destacar que la clave creada por el cliente para registrarse en el sistema de Internet Banking y acceder a los servicios electrónicos que ofrece el Banco Nacional, es secreta y personal, solamente es conocida por el interesado que la creó al registrarse en el sistema y es intransferible. Todo este proceso se conoce como autenticación. Autenticación, para el tema que nos ocupa, se va a entender como la forma en que un sistema verifica o se asegura que un usuario que intenta acceder y realizar acciones dentro del sistema, es quien dice ser y que tiene autorización para hacer lo que pretende. El sistema no pretende entonces identificar a una persona, sino autenticar que sea quien dice ser. En resumen, para poder acceder a este servicio el sistema solicitará al cliente la verificación de información confidencial que solo el cliente conoce. Tal información es de uso exclusivo del cliente y este no debe de ser compartido con terceros ajenos a relación contractual existente entre el cliente y el Banco, como es de conocimiento público. Todo esto es así por cuanto en materia de comercio electrónico como el que nos ocupa - el cual se realiza sin la presencia física de las partes - las contraseñas sustituyen la firma autógrafa del cliente, dado que es materialmente imposible rubricarla. Por esto, es que el acceso a la cuenta del cliente, en particular, por medio de la red de Internet, sólo puede ser realizado por quien tiene conocimiento de la contraseña que fue creada y habilitada y es administrada por el propio cliente, y que la operación de las cuentas y servicios mediante Internet, sólo es posible bajo esas circunstancias - utilizando la clave y otros medios pertinentes puestas en custodia exclusiva del cliente - siendo que, la cuenta bancaria es inaccesible de otra forma, lo cual responde claramente a lo definido en nuestro Código de Comercio, de la siguiente manera: "Artículo 612.- La cuenta corriente bancaria es un contrato por medio del cual un Banco recibe de una persona dinero u otros valores acreditables de inmediato en calidad de depósito o le otorga un crédito para girar contra él, de acuerdo con las disposiciones contenidas en este capítulo división. Los giros contra los fondos en cuenta corriente bancaria se harán exclusivamente por medio de cheques, sin perjuicio de las notas de cargo que el depositario emita, cuando para ello estuviere autorizado". "Artículo 617.- El contrato de cuenta corriente permite al Banco utilizar los fondos depositados y al cuentacorrentista girarlos a voluntad, todo dentro de las estipulaciones legales correspondientes." "Articulo 628.- El retiro de fondos de una cuenta corriente debe necesariamente hacerse por medio de fórmulas especiales que el Banco suministrará al cuentacorrentista. Solamente en casos especiales, el Banco podrá consentir en otra forma el retiro de fondos. Todo sistema informático está dirigido a impedir que, sin la clave de identificación correspondiente, haya una infiltración de un tercero no autorizado". Ahora bien, si el titular de la cuenta provee a terceros de la clave de ingreso, ¿cómo puede el Banco evitar que se realicen transacciones no deseadas, si es el propio titular que permite que terceros puedan tener acceso a su cuenta?. Si las transacciones fueron realizadas utilizando la información confidencial que solo el titular debe de conocer y administrar, necesariamente el sistema concluye que dichas transferencias fueron realizadas por él. ¿Quién es el obligado en resguardar la información confidencial que se utiliza para acceder y administrar el perfil de usuario de la plataforma Internet Banking? Por supuesto que la respuesta es el titular de la cuenta. Si bien es cierto, el Banco está en la obligación de brindar seguridad a sus clientes en el resguardo de sus fondos, así también los clientes están en la obligación de ser diligentes y precavidos con la información confidencial de acceso a dichos fondos. Sumado a lo anterior, debe tenerse presente, que en nuestro país no existe en la actualidad una normativa que sea directamente aplicable al servicio de Internet Banking, por lo que al respecto, debemos acudir a la legislación común que regula las cuentas corrientes, consecuentemente con lo anterior, es que la legislación ha dispuesto un deber de custodia del titular sobre el cuaderno de cheques - única forma establecida en el legislador de entonces para hacer giros bancarios - (artículo 629 del Código de Comercio) de la siguiente manera: "Artículo 629.- En caso de extravío, pérdida, hurto o robo del cuaderno de cheques, el cuentacorrentista dará aviso inmediato al Banco, y éste, por su parte, no pagará ningún cheque extendido en las fórmulas a que se refiera la denuncia del cliente". De esto se observa, que el cliente tiene una responsabilidad de custodia sobre la información confidencial para realizar los giros bancarios, la cual en caso de incumplimiento eximirá al banco de toda responsabilidad en relación con la supuesta pérdida económica experimentada, pues, insistimos, la única forma de definir al autor de una transacción es mediante el uso de la información que proviene del cliente (contraseña de ingreso). En cuanto a la supuesta responsabilidad del Banco, debemos señalar que no comprueba la responsabilidad achacable a su representado. La parte actora, es ayuna en prueba que demuestre un nexo de causalidad entre el daño alegado y una conducta desplegada por el Banco que haya provocado el supuesto daño. Su tesis parte de que el daño se provoca por una supuesta falta de información por parte del Banco. Lo anterior, no tiene un sustento fáctico sólido. Lo que se si queda demostrado es la utilización de números de OTP del Token y códigos de seguridad para realizar las transacciones reclamadas, los cuales no fueron brindados por el Banco sino más bien fueron suministrados por el actor Lizano Arguedas. Lo anterior, se desprende del análisis, realizado por la Dirección de Seguridad del Banco Nacional, de la Bitácora Transaccional de Internet Banking del perfil de usuario del actor Lizano Arguedas (ver páginas 9 a la 17 del informe DS- 1254-2019). Se desprende con claridad del Informe de Seguridad DS-1254-2019 que el ingreso al perfil de usuario del actor Lizano Arguedas se realizó mediante el cambio de contraseña, el cual se pudo llevar a cabo mediante el suministro de un OTP del Token asignado al actor (imagen 9 del Informe de Seguridad DS-1254-2019). Es importante indicar, que todos los clientes que ostentan un OTP firman el Contrato de utilización del sistema BN-IDENTIDAD VIRTUAL a través de dispositivos de HARDWARE TOKEN o mediante SOFTWARE TOKEN, el cual establece en las cláusulas 2, 4, 5, 6 y 9 lo siguiente:

El Hardware Token y el Software Token debe ser utilizado únicamente en el sitio transaccional del Banco Nacional en las direcciones www.bncr.fi.cr o https:/bnonline.fi.cr y el cliente se compromete, ya sea por acción u omisión, a no revelar los códigos de OTP generados en el mismo a ninguna persona, organización o sitio de internet diferente a los indicados.

El Hardware Token debe ser resguardado como dispositivo de uso personal, es decir, debe estar en custodia absoluta de su propietario, quien únicamente podrá realizar el ingreso al sistema BNINTERNET PERSONAL y podrá ejecutar las transacciones si cuenta con el dispositivo en su poder y correcto funcionamiento. El Hardware Token y el Software Token son un complemento adicional a la clave secreta del cliente. El cliente ha sido advertido e informado de esta situación, por consiguiente, se comprometiera no revelar su código de acceso del sistema y a respetar las recomendaciones en esta materia que el Banco ofrece. El Cliente ha sido informado, reconoce expresamente y libremente acepta, que el personal del Banco no le pedirá algún número de OTP, clave, número de tarjetas o cuentas. El cliente es responsable por el mal uso que se le dé al dispositivo. Las transacciones reclamadas fueron realizadas mediante el uso de la información y elementos de seguridad que obran exclusivamente en poder del actor Edwin Gerardo Lizano Arguedas. El actor Edwin Gerardo Lizano Arguedas brindó consciente o inconscientemente información confidencial y secreta a terceros que aprovecharon dicha información para despojar a la empresa de los fondos reclamados. Lo anterior configura la eximente de responsabilidad que establece el artículo 190 de la LGAP: la culpa de la víctima. Esto debido a que el actor Edwin Gerardo Lizano Arguedas permitió con su negligencia que delincuentes ocasionaran el daño alegado. Al aplicar el régimen de responsabilidad del Estado, también los supuestos de eximentes de responsabilidad son aplicables, máxime que el artículo 190 prevé la ajenidad respecto al daño reclamado para excluir el régimen de responsabilidad, excepciones que deben encontrarse debidamente acreditadas. El cliente bancario debe asumir una serie de deberes que le impone el ejercicio de sus obligaciones contractuales, bajo la premisa de la responsabilidad y buena fe contractual, mismas que no fueron observadas en el caso concreto, por cuanto la persona autorizada por la aquí accionante a acceder a su cuenta, no siguió las recomendaciones que en materia de seguridad bancaria ha comunicado  su representado y sus homólogos en aras de proteger y tutelar el uso de la información confidencial de sus clientes, para lo cual, ha dotado de instrumentos (OTP del Token, Códigos de Seguridad) tendientes garantizar la seguridad de la información. Desde este escenario, no puede endilgarse responsabilidad alguna a su representado, toda vez que un autorizado por la empresa actora a utilizar su cuenta inobservó su deber de debida diligencia y, por ende, se incumplieron los deberes contractuales. Desde esta perspectiva, lo procedente es acoger la eximente de responsabilidad de culpa de la víctima, toda vez que el daño patrimonial reclamado por el accionante operó por la omisión del mismo actor para acceder a su cuenta bancaria, quien inobservó los deberes resguardo debido y manejo de la información confidencial y que, por el contrario, se mostró a todas luces, descuidado y negligente. Del marco jurídico citado, se observa que el hecho de que terceras personas hayan utilizado la información del actor acredita que el Banco Nacional de Costa Rica no sea responsable, precisamente porque la institución no tuvo participación en los hechos. La administración de las claves y demás elementos de seguridad proveídos por el Banco, son responsabilidad del usuario titular de los mismos. En consecuencia, no existe responsabilidad del Banco por el mal uso que se dé de información que solo debe ser conocida y administrada por el actor Lizano Arguedas. Teniéndose por establecido que el daño acaecido al actor no proviene de una falla o vulneración del sistema de Internet Banking o una supuesta falta de información, por lo que al ser el propio el actor el que provocó el daño alegado se configura claramente el criterio de ajenidad a favor del Banco.

SOBRE EL RÉGIMEN ESPECIAL DE RESPONSABILIDAD OBJETIVA APLICABLE AL DERECHO DE CONSUMIDOR BANCARIO. INVERSIÓN DE LA CARGA DE LA PRUEBA. CULPA DE LA VÍCTIMA. DERECHO DE INFORMACIÓN AL CONSUMIDOR. Esta misma Sección del Tribunal, en la resolución n°71-2021-I, de las 15:35 horas del 04 de agosto del 2021, señaló  sobre el tema lo siguiente: "La doctrina objetiva de imputación de responsabilidad, se ha desarrollado bajo la premisa de prescindir de la conducta individualizada del sujeto responsable, el cual no es necesario que sea identificado plenamente, toda vez que por mandato legal, basta con la existencia de una situación jurídicamente tutelable que una norma dispone, creando así el nexo generador de responsabilidad. Además, se agregó que: "A partir de ello, a diferencia de los sistemas de imputación subjetivos en los cuales es necesario identificar un sujeto responsable, una acción realizada por éste, un resultado dañoso y una víctima; en los modelos de responsabilidad objetiva la conducta es sustituida por la descripción de la situación jurídicamente tutelable por la norma jurídica. Para el caso en que nos interesa, la responsabilidad objetiva del consumidor, se encuentra prevista en el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor N° 7472, el cual dispone: “El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Sólo se libera quien demuestre que ha sido ajeno al daño. Los representantes legales de los establecimientos mercantiles o, en su caso, los encargados del negocio son responsables por los actos o los hechos propios o por los de sus dependientes o auxiliares. Los técnicos, los encargados de la elaboración y el control responden solidariamente, cuando así corresponda, por las violaciones a esta Ley en perjuicio del consumidor”. A partir de lo transcrito, encontramos un conjunto de sujetos responsables los cuales se convertirán en los deudores cuyo patrimonio se ve afectado en garantía del acreedor, ellos son: el productor, proveedor y el comerciante, los cuales responden de manera objetiva. Ahora bien, valga aclarar, que en el caso de los representantes legales de los establecimientos mercantiles o encargados de negocio, así como los técnicos, encargados de elaboración y control, responden bajo el sistema de responsabilidad vicaria o indirecta, ya que poseen un criterio de imputación subjetiva, por actuación de terceros (dependientes o auxiliares) para los primeros dos casos, o por un régimen de fiscalización en el caso de los restantes. Atendiendo al espíritu y fin de la norma, tenemos que el escenario o situación jurídicamente tutelable es un resultado dañoso cuyo origen o causa sea producto del bien o el servicio brindado por los sujetos responsables, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Y el beneficiario de tal régimen de responsabilidad, sea, el eventual acreedor, sería el consumidor. No obstante, tenemos que entender que este no es un régimen automático, es decir, que la existencia del sistema de responsabilidad per se no implica el nacimiento de la obligación indemnizatoria en los términos del 1045 y 1046 del Código Civil, sino cuando todos los componentes del sistema sean correctamente acreditados por los medios probatorios idóneos. Así, encontramos que, en el régimen estudiado, existen mínimos y máximos dentro de los cuales se puede de eximir la responsabilidad, en el cual concretamente encontramos la aquiescencia, la autopuesta en riesgo y la culpa de la víctima, los cuales aunque si bien es cierto es, son teóricamente diferentes, cada uno de ellos conlleva la extinción del vínculo obligacional a cargo de los responsables. No obstante, ya sea por el hecho de que se haya consentido el evento dañoso (aquiescencia), haya asumido el riesgo de un eventual daño, o este lo haya generado, lucrado, promovido, o incrementado injustificadamente (autopuesta en riesgo) o que sea la propia conducta del sujeto (dolo o culpa, por acción u omisión) el que haya provocado el resultado dañoso (culpa de la víctima), para que esta se configure plenamente este eximente, deben respetarse al menos dos parámetros: Por un lado, que exista un efectivo consentimiento informado y por otro, la ausencia de una mala praxis. En cuanto al primer elemento, el artículo 35 en análisis lo contiene de manera expresa, al referirse al vicio en el consentimiento justamente al referirse a: “informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos”, ya que el consumidor tiene derecho al acceso claro y efectivo a los términos y condiciones del bien o servicio adquirido, las instrucciones de uso, manuales, planos, guías, prevenciones o precauciones a tomar, los riesgos eventuales de su exposición, indicaciones y contra indicaciones, todo en un lenguaje que, objetivamente, pueda ser comprendido por el destinatario final del bien o servicio. Una omisión total o parcial de este componente, impide la aplicación del eximente de responsabilidad, aún si el resultado es usual o previsible, a una razón proporcionalmente inversa, es decir, a mayor información, menos responsabilidad para los sujetos garantes, y a menor información, más responsabilidad para éstos. Por ello, es que de este dogma se desprenden reglas de etiquetado, así como las exigencias de un compendio mínimo de información accesible al cual todo consumidor tiene derecho para la comprensión real, o al menos, de una apreciación objetiva de circunstancias que orienten la toma de la decisión y configuren el consentimiento suficiente y necesario que es la base de eximente de responsabilidad. Por otra parte, la mala praxis, entendida ésta como la violación a las reglas de la ciencia y de la técnica propias del bien o servicio aprovechado por el consumidor, anulan el eximente de responsabilidad, es decir, aún frente a un consentimiento informado, este nunca va a alcanzar para eximir de responsabilidad en presencia de una mala praxis". En otro orden de ideas, la ley 7472 en su artículo 32, regula de diversas formas un derecho de información al consumidor, tal y como lo encontramos en el inciso c) que señala “acceso a una información, veraz y oportuna, sobre los diferentes bienes y servicios, con especificación correcta de cantidad, características, composición, calidad y precio”, que a su vez se vincula con el inciso a) con la finalidad de “La protección contra los riesgos que puedan afectar su salud, su seguridad y el medio ambiente”, y ello a través del inciso d) que implica en lo que interesa “La educación y la divulgación sobre el consumo adecuado de bienes o servicios…”. Tal situación tiene sus orígenes en la tutela que tiene el ordenamiento jurídico que refuerza una tutela al consumidor para que, en la adquisición de bienes y servicios no baste el simple consentimiento, sino que éste se genere en términos de un consentimiento informado, que se plasma como un tipo calificado de voluntad que requiere para su formación de insumos especiales. En este caso, se genera una relación proporcional inversa entre la responsabilidad del proveedor del bien o servicio frente a la información que éste brinda, así, a mayor información brindada, menos es la responsabilidad que el proveedor asume, a contrario sensu, a menor información, mayor responsabilidad del proveedor. En cuanto al contenido de la información a brindar, se entiende que debe comprender instrucciones, manuales, diagramas, planos necesarios para el correcto uso y/o disfrute del bien o servicio, así como potenciales efectos secundarios o adversos, prevenciones a tomar en consideración, prohibiciones y potenciales riesgos propios del bien o servicio. Ello puede hacerse de manera escrita en español o a través de imágenes o cualquier otro medio audio visual, material o digital que permitan la transmisión de la información que, de forma intelectiva, pueda ser accesible al consumidor. Tal contenido tiene que caracterizarse como clara, completa, y sencilla, procurando, consecuentemente, un mínimo de tecnicismos y si tales son necesarios, que se cuenten con elementos explicativos que permitan una comprensión de la información. Ha de advertirse, de manera consecuente, que este derecho parte de la ficción jurídica de un consumidor medio, es decir, la materialización de la información no se individualiza en la comercialización del bien, sino que se recurre a la construcción ficta de un usuario eventual que, de manera razonable y en torno al nicho de mercado destino del bien o servicio, sería el potencial consumidor. Así, el acceso a la información no es sinónimo de una garantía de comprensión de ésta por parte del consumidor individual, ni tampoco una garantía del correcto uso del bien o servicio por parte del consumidor, existiendo entonces, consumidores reales con mayor o menor pericia. Consecuentemente, suministrado el bien o servicio, nace una carga obligacional al consumidor en cuanto al efectivo uso de lo adquirido, recayendo en este si considera o no la información a disposición. Las acciones y decisiones que, en ese marco, tome el consumidor que contravengan o sobresalgan por dolo, culpa, negligencia, impericia o imprudencia y le genere un daño para sí o para tercero, rompen la causalidad que habilita el régimen de garantía exigible al proveedor en términos de la ley 7472". No existiendo motivos para apartarse del criterio expuesto, se mantiene el mismo y se analiza a continuación, el asunto sometido al conocimiento de esta Cámara.

SOBRE EL CASO CONCRETO: La parte accionante reclama en términos generales una responsabilidad objetiva del Banco demandado, por omisión en la sustracción de su patrimonio por fraude bancario a cargo de terceros, al sustentar ese endilgamiento de responsabilidad en la conducta omisiva del Banco, al desatender el deber de notificar en el momento de las transsaciones fraudulentas la realización de las mismas, desatendiendo con ésto un deber normativo de la entidad financiera, lo que expone como nexo causal entre el evento dañoso y la responsabilidad que reprocha. Criterio del Tribunal: Analizados los hechos acreditados en este proceso, tenemos que efectivamente el día 6 de noviembre del 2018, el señor Edwin Gerardo Lizano, sufrió una sustracción de su patrimonio por parte de terceros, de la cuenta bancaria a su nombre del Banco Nacional de Costa Rica N.200-01-156-005972-4, por el monto de tres millones seiscientos setenta y cinco mil doscientos dieciséis colones netos, sustracción que se realizó en diferentes transsaciones, llevadas a cabo en el marco del mismo día. Dicho fraude bancario prosperó, gracias a la participación del señor Edwin Gerardo Lizano, quien confiesa incluso, en la misma denuncia penal presentada el día 7 de noviembre del 2018, que: "HABÍA PUBLICADO UNA BICICLETA EN LA PAGINA ENCUENTRA 24 POR UN PRECIO DE ¢70,000.00 Y EL DÍA DE AYER AL SER LAS ONCE Y QUINCE LA MAÑANA CUANDO ME HALLABA EN MI LUGAR DE TRABAJO (OFICINAS CENTRALES DE LA CAJA) ME LLAMÓ UN MUCHACHO INTERESADO EN COMPRARLA, DIJO SER AGROQUIMICO, QUE ESTABA EN UN LUGAR LEJANO Y QUE POR ELLO NO TENIA RECEPCIÓN Y QUE NO PODIA HACER EL PAGO VÍA TRANSFERENCIA POR LA FALTA DE INTERNET POR LO CUAL ME PROPUSO UN SERVICIO CON EL BANCO NACIONAL POR MEDIO DE LA CUENTA DE INTERNET EMPRESARIAL, EN EL CUAL ÉL LLAMABA AL BANCO, Y EN CONFERENCIA CONMIGO, LE DABA YO UNOS DATOS AL BANCO PARA HACER LA TRANSFERENCIA DEL DINERO (PAGO DE LA BICICLETA). DE LOS DATOS QUE ME PIDIERON, ME SOLICITARON EL NUMERO DE TOCKEN, VARIAS VECES Y ADEMAS EL SUPUESTO ENCARGADO DEL BANCO, ME TENIA QUE CONFIGURAR LA CUENTA CLIENTE A LA CUENTA IBAN Y ME PIDIÓ OTRAS VECES LA NUMERACION TOCKEN, ME INDICO QUE EL SISTEMA ESTABA VERIFICANDO Y QUE A LAS TRES DE LA TARDE YA PODIA INGRESAR PARA VERIFICAR LA NUEVA CONFIGURACION DE LA CUENTA IBAN CON EL TOCKEN DEL CELULAR. A LAS CINCO DE LA TARDE INTENTO INGRESAR A LA CUENTA DEL BANCO NACIONAL Y TENGO LA SORPRESA DE QUE MI CONTRASENA NO ES ADMITIDA, PROCEDO A LLAMAR AL BANCO NACIONAL PARA VER QUE ESTÁ PASANDO Y ME COMENTAN QUE ENTRE LAS 12 MD A LAS 16:00 HRS, SE INGRESARON VARIAS CUENTAS FAVORITAS Y REALIZARON ADELANTOS DE EFECTIVO DE MI TARJETA, ADEMÁS EXTRAFINANCIAMIENTOS, QUE FUERON TRASLADADOS A DIFERENTES CUENTAS DE DIFERENTES BANCOS. Para este Tribunal es evidente de la propia narración de hechos de la dinámica en cómo operó el fraude bancario, que el accionante tuvo una participación directa en el hecho delictivo, que es la causa del daño que se reprocha en el proceso judicial, al haber conscientemente otorgado información confidencial de los mecanismos de seguridad dispuestos para el internet banking, por el Banco Nacional de Costa Rica, como es el uso de token, a terceros vía telefónica. Y es que además de la propia confesión de parte, la participación del actor en aquel evento se denota de la investigación realizada por la entidad financiera demandada, quien concluyó según oficio del 3 de diciembre del 2019, DS-1254-2019, de la Dirección de Seguridad del Banco Nacional de Costa Rica, que: "Se procede con el análisis de las transacciones asociadas con las cuentas del cliente, se establece que las mismas fueron realizadas con el código de usuario 205990434, el cual se encuentra registrado y asignado a EDWIN GERARDO LIZANO ARGUEDAS por ende, para todos los efectos del sistema del Banco Nacional, las transacciones fueron licitas y realizadas por el titular (es)  autorizado (s), pues se realizaron con el (código de usuario, contraseña, información de las tarjetas y OTP de Token) que obran exclusivamente en su poder. Basándonos en el resultado obtenido del análisis de la información aportada en la bitácora de eventos del Servicio Internet Banking y en la información observada en el SFB (Sistema Financiero Bancario) referente a los movimientos que afectan las cuentas del reclamante, se recomienda RECHAZAR el reclamo interpuesto por Edwin Gerardo Lizano Arguedas en todos sus extremos y así le sea informado al cliente, lo anterior basándonos en que al efectuarse un análisis de los eventos presentados, el cliente por medio de lo narrado en su reclamo administrativo y denuncia penal, el cliente indica haber atendido una llamada telefónica de un supuesto funcionario bancario en una llamada tripartita, lo anterior por cuanto mantenía a la venta un artículo en una página de internet, y hubo un aparente interesado en adquirirlo, siendo que dentro de lo conversado vía telefónica brinda información personal así como varios números de su TOKEN, lo cual ocasiona un compromiso de su información y por ende el retiro del dinero desde su cuenta". Es decir, la condición del fraude logra sus fines, gracias a que se realizaron las transacciones bancarias con los mecanismos de autenticación que el sistema informático requiere para permitir la realización de movimientos de cuenta, lo que sucede, por la participación directa del usuario autorizado, en este caso el actor, al haber brindado información confidencial, y no se deriva de una falla en los sistemas informáticos de base operados por la entidad financiera o en la  vulneración de los mismos, -tal cual como lo declaró el testigo perito en audiencia-, sino porque se utilizaron los mecanismos requeridos en términos de seguridad para traspasar las barreras que se imponen a los terceros para acceder a las cuentas bancarias, como es el uso de tokens. En ese escenario, no puede estimar este Tribunal que la acción dañosa sufrida por el accionante se derive de una falta de servicio o incluso de riesgo creado asociado a ese tipo de actividad de intermediación financiera, en el tanto, el servicio financiero se prestó de acuerdo a los parámetros establecidos, generándose entonces el evento dañoso, a consecuencia de un hecho propio de la víctima, - la divulgación de claves confidenciales de acceso a terceros- cuando contractualmente se imponía una obligación de no revelar las mismas, como se denota en el contrato suscrito entre el señor Edwin Gerardo Lizano Arguedas y el Banco Nacional de Costa Rica en relación a la utilización de sistema BN-IDENTIDAD VIRTUAL, a través de dispositivos de Hardware o mediante Software TOKEN, el cual señalaba entre otras cláusulas, lo siguiente: "1.- El cliente reconoce que es su obligación mantener su ordenador con todos los sistemas de antivirus actualizados para evitar que terceros se impongan del conocimiento de su información y/o claves. En forma adicional, el Banco le ofrece el servicio de antifraude denominado Hardware Token y Software Token, ello como un servicio y mecanismo de seguridad adicional a los ya existentes. La incorporación de esta tecnología, es en auxilio del cliente, y por consiguiente, no implica de ninguna manera que el sistema de información que en la actualidad mantiene el Banco sea inseguro.

El Hardware Token y el Software Token debe ser utilizado únicamente en el sitio transaccional del Banco Nacional en las direcciones www.bncr.fi.cr o https:/bnonline.fi.cr compromete, ya sea por acción u omisión, a no revelar los códigos de OTP generados en el mismo a ninguna persona, organización o sitio de internet diferente a los indicados.

El cliente debe asegurarse de mantener el dispositivo en correcto estado de conservación. El Hardware token solo puede ser abierto para el cambio de batería y no para la manipulación de los componentes internos. Los daños por golpes inmersión, exposición al fuego, calor excesivo o humedad, obligan al cliente a cancelar los costos por la reposición. El Banco garantiza su correcto funcionamiento por un lapso de tres años, siempre y cuando no se presenten situaciones como las enunciadas.

El Hardware Token debe ser resguardado como dispositivo de uso personal, es decir, debe estar en custodia absoluta de su propietario, quien únicamente podrá realizar el ingreso al sistema BNINTERNET PERSONAL y podrá ejecutar las transacciones si cuenta con el dispositivo en su poder y correcto funcionamiento.

El Hardware Token y el Software Token son un complemento adicional a la clave secreta del cliente. El cliente ha sido advertido e informado de esta situación, por consiguiente, se compromete a no revelar su código de acceso del sistema y a respetar las recomendaciones en esta materia que el Banco ofrece.

El Cliente ha sido informado, reconoce expresamente y libremente acepta, que el personal del Banco no le pedirá algún número de OTP clave, número de tarjetas o cuentas.

El cliente es responsable por el mal uso que se le dé al dispositivo". Con base en las condiciones contractuales pactadas, en notable que el accionante, sí conocía los alcances de uso de esas herramientas de seguridad bancaria, y por ende las obligaciones contraídas para la disposición de las mismas, de ahí que la desatención deliberada de esas obligaciones, como es el uso estricto y confidencial de las claves de acceso, supone un rompimiento en el nexo causal de la responsabilidad objetiva que reprocha, por culpa de la víctima. Y es que aunado a esto, debe señalarse, que si bien la parte accionante dirige su teoría de responsabilidad a la omisión de notificaciones en tiempo real de las transacciones realizadas el día 6 de noviembre del 2018, por parte de la entidad financiera, lo cierto es que tal reproche carece de asidero probatorio, al sustentarla únicamente en su dicho, omitiendo la acreditación de prueba idónea de esa circunstancia, y revelándose además de los autos del expediente administrativo, todo lo contrario, en el tanto, del informe de investigación realizado por la entidad bancaria, en atención al reclamo presentado por el señor Edwin Gerardo Lizano Arguedas, se evidencian las notificaciones efectuadas en relación a las transacciones realizadas el día 6 de noviembre del 2018, objeto de fraude, al correo electrónico del actor (Hecho probado 5), por lo que no se acredita de modo alguno una omisión en los deberes normativo- reglamentarios, específicamente lo señalado en los ordinales 35 y el Transitorio III del Reglamento del Sistema de Pagos del Banco Central de Costa Rica, por parte de la entidad financiera respecto al servicio de internet banking como se asevera por la parte actora. Consecuentemente, al no existir causalidad imputable al demandado, no se configuran los elementos necesarios para la declaratoria de responsabilidad civil en contra de éste. Así las cosas, la responsabilidad reclamada por la parte actora, carece de fundamento, resultando las pretensiones indemnizatorias en torno a ese nexo causal improcedentes. Ahora bien, en otro orden, la parte accionante sostiene un reclamo indemnizatorio por daño moral con base en dos aristas, la conducta omisiva ya analizada y la negligencia del Banco demandado en torno a la falta de respuesta oportuna, al reclamo planteado, lo que sostiene el accionante, provocó que tuviera que realizar una serie de recortes en su presupuesto familiar, además de la angustia y desesperación sufrida, ocasionándole un daño moral. Criterio del Tribunal: En relación a la base de este reclamo, el Tribunal ha tenido por acreditado de acuerdo a los hechos probados derivados del análisis del expediente administrativo, que mediante escrito del 12 de noviembre del 2018, el señor Edwin Gerardo Lizano Arguedas, presentó ante el Banco Nacional de Costa Rica, escrito de reclamo administrativo, en relación a operaciones y transacciones realizadas por una tercera persona en su perjuicio el día del 6 de noviembre del 2018. Ante esa gestión, el Banco demandado mediante oficio del 12 de noviembre del 2018, oficio ZCC-0307-2018, le indicó al señor Lizano Arguedas que sobre el reclamo representado el día 12 de noviembre del 2018, se procedería con una investigación con relación a las transacciones realizadas. Mediante escrito del 11 de noviembre del 2019, el señor Edwin Gerardo Lizano Arguedas, presentó ante el Banco Nacional de Costa Rica, escrito en el que solicita información sobre el reclamo administrativo presentado el 12 de noviembre del 2018. Mediante oficio del 3 de diciembre del 2019, DS-1254-2019, se emitió informe de la Dirección de Seguridad del Banco Nacional de Costa Rica en relación al reclamo administrativo planteado por el señor Edwin Gerardo Lizano Arguedas. Mediante oficio 05 de diciembre en el 2019, N° DS-156-0002-2019, del Banco Nacional de Costa Rica, atendió el reclamo administrativo interpuesto por el señor Edwin Gerardo Lizano, disponiendo su rechazo. De esa secuencia temporal del manejo dado por la entidad Bancaria, al reclamo presentado por el accionante en torno al fraude del cual fue víctima, se denota claramente que no solo existió por parte de la demandada una omisión formal a los tiempos previstos en la normativa financiera para la atención y resolución de denuncias de los clientes, específicamente lo señalado en el artículo 32 del Reglamento de Tarjetas de Crédito y Débito, Decreto Ejecutivo 35.867-MEIC publicado en La Gaceta de fecha 24 de marzo de 2010, el cual establece un plazo máximo de 120 días naturales para realizar las investigaciones derivadas de denuncias de los clientes, al evidenciarse que el tiempo transcurrido entre la interposición del reclamo y su resolución, superó el plazo de un año, lo que es no solo una omisión de deberes formales, generándose así una falta de servicio, sino que constituyen también una violación a principios de razonabilidad, debido proceso y acceso a justicia pronta y cumplida, los cuales son principios fundamentales que no pueden ser desconocidos por la entidad financiera, que como sujeto de derecho público, más allá del giro comercial que realiza, está sometido a los principios generales del derecho administrativo (artículos 2, 3 y 5 de la Ley General de la Administración Pública), entendiendo desde esa perspectiva que con fundamento en el ordinal 190, 196 y 197 de la Ley General de la Administración Pública, se justifica la procedencia del daño moral reclamado en torno a esa arista, al constituirse el exceso de la Administración en el plazo de atención de la gestión presentada por el actor, como una falta de servicio, generadora del daño moral reclamado, en el tanto, bajo las reglas de lógica y de la experiencia, no poder contar con una respuesta oportuna en el tiempo, en relación a un reclamo que se sustenta en un evento tan dañoso como lo es un fraude bancario, genera sentimientos de angustia y desesperación en cualquier persona, y a su vez constituye un constante recordatorio del evento dañoso en la psiquis de la persona, al tener que estar pendiente de una resolución que no se concreta en el tiempo y que conlleva la atención de gastos adicionales como es el pago de las operaciones generadas en el fraude, intereses asociados y cobros administrativos, lo que extrapola los sentimientos de angustia percibidos en la esfera íntima del accionante, al desconocer por tanto tiempo, sí existirá o no una resolución a su favor, en torno al reclamo planteado. Ese escenario, lo comprende en todos sus alcances este Tribunal, razón por la cual avala el reproche de responsabilidad endilgado por ese único extremo, el cual si bien la causa se vincula a hechos ajenos del Banco, lo cierto es que esa omisión en la falta de servicio que se analiza, es atribuible únicamente a esa entidad financiera que no puede ser desconocida, por tanto, corresponde reconocer el daño moral reclamado por ese único extremo, el cual se fija en el monto de quinientos mil colones, cifra que se estima ajustada y proporcional a los alcances de ese daño.

SOBRE LAS DEFENSAS INTERPUESTAS: La representación de la parte demandada, interpuso la defensa de falta de derecho. Por la forma en cómo se resuelve el asunto, esta defensa ha de acogerse de forma parcial.

SOBRE LAS COSTAS PROCESALES Y PERSONALES: Respecto a las costas, de conformidad con el numeral ciento noventa y tres del Código Procesal Contencioso Administrativo, las costas procesales y personales constituyen una carga que se impone a la parte vencida por el hecho de serlo. La dispensa de esta condena sólo es viable cuando hubiere, a juicio del Tribunal, motivo suficiente para litigar o bien, cuando la sentencia se dicte en virtud de pruebas cuya existencia desconociera la parte contraria. En la especie, el Tribunal ubica un vencimiento recíproco, por lo que este pronunciamiento se hace sin especial condenatoria en costas.