Resolución 08357-2025

La representación de la asociación actora formuló demanda cuyas pretensiones se precisaron en la audiencia preliminar realizada el día 26 de agosto de 2024 para que en sentencia se disponga: "PRIMERO: Que en virtud de haber violentado la accionada su obligación de dar aviso a mi representada de las transacciones irregulares que se estaban llevando a cabo y omitir la emisión de las alertas de rigor en defensa de los intereses de la misma, se le condene al pago de 50.060.000 de colones (Cincuenta Millones Sesenta Mil Colones exactos) que resulta ser la suma en que se vio perjudicada mi representada por la totalidad de los movimientos realizados en la cuenta corriente en colones de esa entidad número [Valor 001] el día 19 de noviembre del 2022 y conforme fue descrito en los Hechos de esta demanda.

Se condene a la demandada a pagar los intereses legales que ha generado la suma de dinero antes indicadas los cuales se calcularán desde la fecha en que fue retirado el dinero de la cuenta corriente en colones de esa entidad número [Valor 001] y hasta su efectivo pago por parte del Banco accionado.

Se condene a la demandada a pagar la indexación de las sumas de dinero antes indicadas una vez firme la condenatoria de las mismas y en aras de traer a valor presente dichas sumas de dinero evitando mayores pérdidas para la actora.

Que se condene a la demandada al pago de ambas costas de este proceso por haber actuado en todo momento de mala fe, lo cual queda en clara evidencia desde la negativa de acoger las reclamos interpuestos así como tratar de justificar su omisión de vigilancia y avisos de alertas bajo justificaciones improcedentes y contrarias a la ley y a la lógica." (Ver imágenes  de la 2 a la 23 del expediente digital judicial y respaldo digital de la audiencia preliminar).

Otorgado el traslado de la demanda, la representación del BNCR contestó negativamente la demanda y en su defensa opuso las excepciones de falta de legitimación pasiva y falta de derecho. (Ver  imágenes  de la 134 a la 147 del expediente digital judicial).

La audiencia preliminar se realizó el día 26 de agosto de 2024. La pretensión se definió en los términos del primer resultando de este fallo. Se determinaron los hechos controvertidos y no controvertidos de relevancia para la resolución del caso y se admitió al actor la prueba documental y testimonial. (Ver imágenes  de la 309 a la 312 del expediente digital judicial y respaldo digital de la audiencia preliminar).

La audiencia de juicio oral y público fue celebrada el día 05 de agosto de 2025, contando con la presencia de la representación de las partes. En lo que resulta relevante, las partes rindieron su alegato de apertura. Se evacuó la prueba testimonial y finalmente rindieron sus conclusiones y este Tribunal dispuso darle al presente proceso el trámite previsto en el artículo 111, inciso 1) del Código Procesal Contencioso Administrativo. (Respaldo digital de la audiencia complementaria).

En los procedimientos no se han observado nulidades que deban ser declaradas, y/o vicios que hayan de ser subsanados.

Redacta el Juez Salas Leitón;

ALEGATO DE LAS PARTES: La representación de la Asociación actora señaló en su demanda: "...HECHOS:

Que mi representada, es cliente del Banco Nacional de Costa Rica en donde mantiene una cuenta corriente en colones número [Valor 001]. Dicha cuenta corriente fue ligada de forma automática al anterior presidente de mi representada (así como a mi persona por ser el actual presidente) por lo cual el mismo tenía acceso a sus cuentas personales y a la de la Asociación sin tener que ingresar de forma separada a las mismas.

Que el día 19 de noviembre del 2022 nuestra Asociación sufrió una vulneración en nuestra cuenta corriente bancaria, indicada supra, donde de manera irregular e ilegítima, se extrajeron dineros de nuestra cuenta corriente que fueron depositados en cuentas de  terceras personas las cuales no son asociados ni la Asociación los conoce o mantiene ningún tipo de relación con ellos. Cabe indicarse que las cuentas en donde se realizaron los depósitos no pertenecen al Banco demandado sino a otras instituciones financieras. EI monto total sustraído asciende a la suma total de CINCUENTA Y CUATRO MILLONES SESENTA MIL COLONES, que como indiqué se depositó en diferentes cuentas bancarias de terceras personas que, como se dijo antes, pertenecen a personas que no tienen ninguna relación de asociados o clientes de la Asociación, así como tampoco son proveedores de esta. El detalle de lo sustraído puede apreciarse del siguiente cuadro (...).

Que el modus operandi del ilícito fue el siguiente: la esposa del anterior Presidente de la Asociación, señor Allan José Pérez Orozco, mayor, casado, docente, vecino de Alajuela, San Ramon, San Rafael, frente a la Escuela de San Rafael, cédula de identidad 1.971~002 recibió una llamada telefónica de parte de un supuesto interesado, quien dijo ser Estadounidense, en comprar un automotor que el señor Pérez Orozco y su esposa tenían para la venta, dicha persona le indicó al señor Pérez Orozco que iba a proceder a realizar un depósito de Dos Mil Dólares moneda de curso legal de los Estados Unidos de Norteamérica a manera de enganche del negocio para lo cual le pidió información y lo comenzó a "guiar" en lo que aparentaba ser la página virtual del Banco Central de Costa Rica en la cual el señor Pérez Orozco facilitó información sensible del acceso de las cuentas bancarias que él poseía en el Banco Nacional lo que le permitió a los delincuentes tener acceso a las cuentas personales del señor Pérez Orozco y a la cuenta de mi representada por estar ligada de forma automática la misma a las cuentas personales del antiguo representante de la Asociación. Lo anterior pese a que no existe autorización alguna de parte del señor expresidente de la asociación para ligar y relacionar las cuentas personales con la que poseía su representada dado que eso lo realiza de forma automática la entidad bancaria demandada. La llamada recibida por el anterior presidente de la asociación duró aproximadamente unas 2 horas durante las cuales el sujeto que supuestamente iba a realizar el depósito del dinero precitado realizaba otras llamadas y le indicaba que no ingresara las cuentas bancarias de él porque podría dar al traste con la transferencia que se estaba llevando a cabo, momento en el cual el expresidente desconfió de lo que estaba sucediendo e ingresó a las cuentas bancarias respectivas percatándose de que se habían realizado múltiples movimientos bancarios, unos relacionados con incrementos de límites de transferencias, así como un total de 23 transferencias a diferentes cuentas bancarias extrayendo de la cuenta de mi representada la suma total de ¢54.060.000 (Cincuenta v Cuatro Millones Sesenta Mil colones exactos). Cabe indicarse en este Hecho que resulta inaceptable que: a) pese a la cantidad de movimientos bancarios (transferencias) realizados casi de forma inmediata y continua a cuentas de terceros y por sumas en muchos casos millonarias, b) pese a que se liquidó un certificado millonario de depósito a plazo de mi representada y se depositó en la cuenta adonde se realizaban los movimientos para disponer de ese dinero y c) pese a darse dos incrementos millonarios en los límites de sumas de dinero que podían ser transferidas a terceros desde la cuenta bancaria en donde se estaban realizando esos movimientos, el área de monitoreo de la demandada no haya tratado de localizar y/o comunicarse con el representante o dueño de la cuenta bancaria para verificar la legalidad de lo que estaba sucediendo, o en su defecto hayan bloqueado la cuenta bancaria de mi representada por movimientos irregulares y sospechosos (los cuales a simple vista son irregulares máxime que era un día Sábado en la tarde-noche que se estaban realizando como para creer que era pago de proveedores o depósitos en las cuentas de asociados) todo en aras de proteger al cliente bancario ejecutando las medidas de seguridad para determinar la procedencia de lo que sucedía. Asimismo, no se remitieron al teléfono del expresidente de la Asociación y/o correo electrónico del mismo (en tiempo real) avisos por parte del Banco de las transferencias que se estaban realizando así como tampoco se ejecutaron los adecuados controles para proteger al usuario de la cuenta pese a las irregularidades de movimientos realizados.

Que mi representada en fecha 07 de diciembre del 2022, presentó una solicitud de información al Banco Nacional de Costa Rica en donde específicamente se le consultó a esa entidad bancaria lo siguiente: "Nuestras inquietudes se relacionan principalmente con siguientes situaciones: a. El día en cuestión era un sábado en la tarde, fuera del horario laboral; ¿por qué el sistema de monitoreo de seguridad del Banco no detecto las transacciones inusuales? b. ¿Por qué el sistema de monitoreo de seguridad del Banco no bloqueó las cuentas al realizarse tantas transferencias a cuentas ƒuera de la institución? c. La Asociación tenía un monto limite máximo para transferencia de treinta millones de colones, el mismo ƒue cambiado ¿cómo pudo realizar esta modificación?" Dicha entidad responde el día 02 de enero del 2023 lo requerido indicando que: "El día en cuestión era un sábado en la tarde, fuera del horario laboral, ¿por qué el sistema de monitoreo de seguridad del Banco no detectó las transacciones inusuales?" Las plataformas bancarias se encuentran habilitadas las 24 horas del día los 365 días del año, el horario no es un factor relevante para determinar si una transacción es inusual, siendo el cliente quien decide en que horario realiza las transacciones que requiera. "2 Por qué el sistema de monitoreo de seguridad del Banco no bloqueó las cuentas al realizarse tantas transferencias a cuentas fuera de la institución? "El ingreso y uso de nuestras plataformas de banca en línea consta de varios niveles de seguridad (usuario y password, taken físico, software token, códigos fuera de banda, certificado CA/SINPE del BCCR, temas biométricos en nuestras apps) al momento de la autenticación y de la ejecución de las transacciones, estos niveles el cliente los define a su conveniencia,. incluso algunos de estos sólo el cliente los conoce. Si el ingreso al sistema cumple con la autenticación de seguridad y los niveles de seguridad establecidos de previo por el cliente, tanto los ingresos como las transacciones son validadas como reales o lícitas y no como transacciones fraudulentas. "La Asociación tenía un monto límite máximo para transferencia de treinta millones de colones, el mismo fue cambiado ¿cómo pudo realizar esta modificación? Cabe resaltar que los límites diarios los establece la persona que el cliente corporativo haya designado y le haya otorgado los permisos para realizar esta tarea. Para el día de interés existe registro de dos aumentos de límite, el primero pasando de 30 millones a 50 millones de colones v el segundo de 50 millones a 100 millones de colones, ambos realizados en apariencia por una persona a la que el cliente le otorgó los permisos para realizar estas actividades. Es importante indicar que nuestras plataformas tecnológicas cuentan con las medidas de seguridad necesarias para garantizar un ambiente seguro a nuestros clientes, el Banco Nacional nunca le va a llamar para solicitar usuarios, claves, código de verificación ni le va a solicitar que los digite en ningún (sic) sitio web, tampoco le enviará por correo electrónico o mensajería instantánea de ningún tipo enlaces de internet que le direccionen a sitios en internet iguales o similares a nuestro sitio web oficial." Esta respuesta denota claramente la falta de seguridad para con los clientes que posee esa institución al indicar que "por tener plataformas habilitadas 24/7" no consideran como sospechosas posibles transacciones de una Asociación realizadas un sábado, quiere decir que aunque hubiese sido en la madrugada del domingo y bajo ese argumento igual serían transacciones normales; de seguido indicar que el posible uso de datos delicados da veracidad a la transacción es una falacia que beneficia a los delincuentes y no a los usuarios ya que en estos momento, y conforme a las diferentes formas de delitos informáticos, no resulta aplicable ese argumento y para eso existen los departamentos de monitoreo quienes tiene la obligación de valorar los movimientos de las cuentas para poder llegar a la sospecha de posibles transacciones fraudulentas y/o irregulares, sino entonces para que monitorear cuentas bajo esos argumentos?. Pero la parte más preocupante de lo indicado en la respuesta a las inquietudes es en donde la entidad demandada indica que no encuentra anomalía alguna en que se haya triplicado el límite del monto máximo de millones para hacer transferencias y transacciones en un lapso menor a 2 horas sin que eso haya llamado la atención del Departamento de Monitoreo o haya generado alguna alerta sobre la posible intención de incrementar el delito. Una cuenta como la que posee mi representada que ha mantenido el límite del monto de transacciones por mucho tiempo y que no realizaba movimientos como los ejecutados el día de los hechos no cabe dentro de los parámetros de una cuenta de mucha movilidad como para justificar lo respondido por el Banco demandado y menos considerar que lo que estaba sucediendo era "normal". El banco demandado es responsable de forma objetiva por su falta al deber de cuidado y de vigilancia dentro de todas las obligaciones que posee como proveedor de ese servicio bancario y debe ir más allá en sus labores en aras de proteger a sus clientes de ilícitos como del que fuimos objeto.

Que mí representada interpuso ante la entidad demandada formal reclamo administrativo en donde se pedía el reintegro de las sumas de dinero que habían sido retiradas de la cuenta bancaria perteneciente a la sociedad que represento pero en todo momento la entidad bancaria demandada mantuvo su postura de que no eran procedentes por cuanto se habían usado datos y accesos confidenciales que se "encontraban", supuestamente, en poder del anterior presidente de la asociación actora. Producto de lo resuelto, y de los hechos precitados, es que nos vemos en la necesidad de interponer el presente proceso en aras de recuperar las sumas de dinero que se nos transfirieron de la cuenta bancaria. FUNDAMENTO DEL CASO SOBRE LOS DERECHOS FUNDAMENTALES DE LOS CONSUMIDORES. REGULACIÓN CONSTITUCIONAL Y LEGAL. Para este caso. se hace necesario hacer una breve referencia al ordenamiento constitucional y legal que precisa el conjunto de derechos que le resultan aplicables a los consumidores en las relaciones de adquisición de bienes y/o servicios. Esto es relevante al considerar que los contratos de cuenta corriente (incluso la electrónica), así como la generalidad de la oferta financiera y bancaria, forman parte de ese tipo de relaciones comerciales en las cuales, el destinatario del servicio o bienes se constituye como consumidor, categoría a la cual, debido a la dinámica del comercio, se han consagrado derechos y obligaciones. Este tema ha sido ya objeto de examen por parte del Tribunal Contencioso Administrativo. en las sentencias números 1112-2009 de las 13 horas con 30 minutos del 15 de junio de 2009, número 602-1010 de las dieciséis horas treinta minutos del diecinueve de febrero del dos mil diez, número 2758-2010 de las once horas con cuarenta y cinco minutos del veintiocho de julio del dos mil diez y la número 3699-2010 de las once horas con cincuenta y siete minutos del treinta de setiembre de dos mil diez. En dichos precedentes, la Sección Sexta de ese respetable Tribunal ha establecido que este tipo de relaciones participa de la categoría de relaciones de consumo y, desde este plano, el canon 46 párrafo quinto de la Constitución Política establece el conjunto de derechos que acuden a los consumidores, en la mayoría de las ocasiones como parte débil de la relación comercial. En esa línea, estatuye el citado numeral: "Artículo 46.(...) Los consumidores y usuarios tienen derecho a la protección de su salud, ambiente, seguridad e intereses económicos; a recibir información adecuada y veraz; a la libertad elección, y a un trato equitativo. El Estado apoyará los organismos que ellos constituyan para la deƒensa de sus derechos. La Ley regulará esas materias". Cabe precisar que el derecho a un trato equitativo supone, en cualquier supuesto, el deber del comerciante o proveedor, de tratar al consumidor de manera atenta y respetuosa frente a sus simples reclamos, o en la tutela de sus derechos tanto en sede administrativa y judicial. Ahora bien, es claro que la aplicación de estos principios y su interpretación debe orientarse hacia la tutela y resguardo de la parte más débil de la relación. Así lo ha entendido la Sala Constitucional, en la cual, sobre el tema objeto de comentario señaló: "...Es notorio que el consumidor se encuentra en el extremo de la cadena formada por la producción, distribución y comercialización de los bienes de consumo que requiere adquirir para su satisfacción personal, y su participación en ese proceso, no responde a razones técnicas ni profesionales, sino en la celebración constante de contratos a título personal. Por ello su relación en esa secuencia comercial es de inferioridad y requiere de una especial protección ƒrenfe a los proveedores de los bienes y servicios, a los efectos de que previo a externar su consentimiento contractual cuente con todos los elementos de juicio necesarios, que le permitan expresarlo con toda libertad y ello implica el conocimiento cabal de los bienes y servicios ofrecidos. Van incluidos por lo expresado, en una mezcla armónica, varios principios constitucionales, como la preocupación estatal a ƒavor de los más amplios sectores de la población cuando actúan como consumidores, la reafirmación de la libertad individual al facilitar a los particulares la libre disposición del patrimonio con el concurso del mayor posible conocimiento del bien o servicio a adquirir, la protección de la salud cual está involucrada, el ordenamiento y la sistematización de las relaciones reciprocas entre los interesados, la homologación de los prácticas comerciales internacionales al sistema interno y en fin, la mayor protección del funcionamiento del habitante en los medios de subsistencia..."; de lo expuesto se colige, en la relación de consumo entre el comerciante o proveedor y el consumidor, existe por la dinámica natural del comercio, una desigualdad entre ambos, y el consumidor, en la mayoría de las ocasiones, en esta relación natural, es la parte más débil. De ahí que la Constitución Política equilibre la dinámica de cargas de esa relación de consumo, otorgándole al consumidor una serie de derechos fundamentales que lo protegen de su desigualdad natural con el comerciante o proveedor. Como derivación de ello, la interpretación y la aplicación de las normas, en caso de duda, en los conflictos de esta naturaleza, deben favorecer al más débil, es decir, en tesis de principio, al consumidor. De ahí que, en esos supuestos, el comerciante o proveedor tiene una obligación de demostrar que ha cumplida con sus obligaciones en la relación de consumo y que ha respetado los derechos fundamentales del consumidor, en caso contrario, deberá responder por la infracción a estas reglas como lo determine las normas infra constitucionales. Ahora, como lo dice el artículo 46 constitucional, es a la Ley a la que le corresponderá regular esos derechos, lo que se concreta en la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, No. 7472. Dicho cuerpo legal establece, grosso modo, los derechos que acuden al consumidor, tema desarrollado en el canon 32. así como los deberes del comerciante. establecidos en el canon

Es claro, por ende, la infracción a los deberes del comerciante genera por efecto directo v como consecuencia natural y lógica, el quebranto de los derechos del consumidor, tutelados constitucional y legalmente en los términos ya expuestos. Ello supone entonces, el surgimiento de un sistema de responsabilidad del comerciante o proveedor hacia el consumidor, de reparar los daños  y perjuicios que se le ocasionen a este último. En consecuencia, si existe y pe una violación a los derechos constitucionales y legales del consumidor, por parte del comerciante o proveedor, éste debe reparar el efecto dañoso que se le haya causado al consumidor, bajo el régimen de responsabilidad objetiva. RÉGIMEN DE RESPONSABILIDAD APLICABLE EN LAS RELACIONES DE CONSUMO: Una vez examinados los derechos fundamentales del consumidor, y que su violación por parte de los comerciantes o proveedores produce como consecuencia una responsabilidad de éstos últimos sujetos de reparar cualquier daño o perjuicio que se le haya causado al cliente o consumidor, es necesario ubicar cual régimen de responsabilidad debe aplicarse en el presente caso. En ese sentido, el régimen de responsabilidad que se debe aplicar a este asunto es el dispuesto en los artículos 31 y 35 de la Ley de Promoción de la Competencia y de Defensa Efectiva del Consumidor y no el regulado en el 457 y 461 del Código de Comercio, esto debido a que estamos en presencia de una relación comercial de consumo. Es claro que el régimen de responsabilidad aplicable es el contenido en el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor. Además, la Ley de Promoción y Defensa del Consumidor regula un régimen jurídico especial, que debe ser aplicado sobre el régimen jurídico general, que se encuentra regulado en el Código de Comercio, por lo que, desde esta simple óptica, debe aplicarse las reglas de la responsabilidad objetiva que regula la citada Ley de Protección del Consumidor. En ese mismo sentido, el régimen de responsabilidad objetiva contenido en el articulo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, debe ser aplicado cuando exista una relación de consumo, como se ha explicado; es decir, siempre que se brinde un servicio comercial, por lo que se le debe aplicar las mismas reglas de la responsabilidad objetiva que regula la citada Ley de Protección del Consumidor. REGLAS EN LA VALORACIÓN DE LA PRUEBA DENTRO DE LAS RELACIONES COMERCIALES DE CONSUMO: Es evidente que en este caso estamos en presencia de una relación comercial de consumo, entre mi representada y la empresa demandada. En ese sentido, los derechos fundamentales de los consumidores vienen establecidos en la Carta Magna, y el desarrollo de éstos se realiza principalmente dentro de la Ley de Promoción de la Competencia y de Defensa Efectiva del Consumidor, número7472, del 20 de diciembre de mil novecientos noventa y cuatro y sus reformas. Precisamente, nuestra Constitución Política, en su articulo 46, párrafo quinto, establece claramente los derechos fundamentales del consumidor al indicar: "Artículo 46.(...) Los consumidores y usuarios tienen derecho a la protección de su salud, ambiente, seguridad e intereses económicos; a recibir información adecuada y veraz; a la libertad elección, y a un trato equitativo. El Estado apoyará los organismos que ellos constituyan para la defensa de sus derechos. La Ley regulará esas materias." Como se desprende claramente del texto constitucional, los derechos fundamentales del consumidor se pueden resumir en los siguientes:

Protección de su salud;

Protección de su ambiente;

Protección de su seguridad,

Protección de sus intereses económicos;

Derecho a recibir información adecuada y veraz de los servicios o bienes que adquiera,

A la libertad de elección de los bienes y servicios que desea adquirir o utilizar;

Un trato equitativo, en el sentido de que el comerciante o proveedor, debe tratar al consumidor de manera equitativa y respetuosa frente a sus simples reclamos, o en la tutela de sus derechos tanto en sede administrativa como en la judicial. Esta serie de derechos fundamentales del consumidor, se enmarcan, y hay que interpretarlos y aplicarlos, dentro de la naturaleza jurídica que tienen las relaciones comerciales de consumo, que protegen al sujeto más débil de esa relación. Lo anterior significa que, en la relación comercial de consumo entre el comerciante o proveedor y el consumidor, existe por la dinámica natural del comercio, una desigualdad entre ambos, y el consumidor en esta relación natural, es la parte más débil, por lo que nuestra Constitución Política, viene a equilibrar esa relación de consumo, otorgándole al consumidor una serie de derechos fundamentales que lo protegen de su desigualdad natural con el comerciante y proveedor. Además, nuestro texto constitucional le impone al Estado, la obligación de apoyar los derechos que defiendan al consumidor, esto significa que en los procesos en los que se debe resolver un conflicto producido dentro de una relación comercial de consumo, como en el presente asunto, la interpretación y la aplicación de las normas. en caso de duda, deben favorecer al más débil, es decir, al consumidor. Precisamente, en materia de protección al consumidor, sucede algo similar a lo que ocurre en la sede laboral con el indubio pro-operario y en el mismo procesa penal con el indubio pro-reo. En general, son normas proteccionistas, que defienden a la parte más débil de una relación, por lo que en caso de conflicto en sede administrativa o jurisdiccional, el órgano director de un procedimiento administrativo, así como el juez, deben interpretar y aplicar la norma jurídica teniendo siempre en cuenta que el consumidor tiene una serie de derechos fundamentales, por lo que procesalmente hablando, el comerciante o proveedor, tiene una obligación mayor que en otras materias, de demostrar que ha cumplido con sus obligaciones en la relación de consumo v que ha respetado los derechos fundamentales del consumidor. Es decir, tiene la carga de la prueba, lo que es una regla fundamental en materia de protección al consumidor. Justamente, si el comerciante o proveedor no demuestran que respetaron los derechos fundamentales del consumidor, deberá responder por la infracción a esos derechos como lo determinen las normas infra constitucionales. Ahora, como lo dice el artículo 46 constitucional, es a la Ley la que le corresponderá regular esos derechos. Justamente lo anterior, lo hace la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, número 7472, que viene a desarrollar y precisar los derechos fundamentales del consumidor citados en el numeral 46 de la Constitución Política. en su artículo 32, y de manera correlativa, la citada normativa establece las obligaciones de los comerciantes o proveedores con los consumidores, en su artículo

Precisamente, de esos dos artículos de la Ley de Promoción de la Competencia y de Defensa Efectiva del Consumidor, se resumen los principales derechos y deberes que se presentan en toda relación comercial de consumo, como son: a) El comerciante o proveedor debe dar acceso al consumidor a la información, veraz y oportuna (preventiva, completa y cierta), sobre los diferentes bienes o servicios que vaya adquirir o utilizar el consumidor, por ejemplo, se debe dar información previa y durante la utilización de un servicio, debe ser completa y claramente comprensible y correcta, es decir, nunca falsa, y debe brindarse de manera oportuna a  efectos de que el consumidor pueda tomar sus decisiones de consumo de una manera adecuada y evitando caer en situaciones dañosas o riesgosas; b) El comerciante o proveedor, deberá proteger al consumidor contra los riesgos que puedan afectar la seguridad de los bienes y servicios que éste adquiera o utilice. En palabras sencillas, se le debe garantizar seguridad al consumidor por parte del comerciante o proveedor, disminuyendo los riesgos que le puedan generar daños a éste último; c) El comerciante o proveedor debe proteger los intereses económicos legítimos de sus consumidores; d) A nivel contractual, el comerciante o proveedor, debe proteger al consumidor de cláusulas abusivas en los contratos de adhesión; e) El comerciante o proveedor, debe procurar el darle al consumidor un trato equitativo, esto significa no sólo una igualdad de condiciones, sino el derecho del consumidor de ser tratado de manera justa, respetuosa, brindando, lo que en las prácticas usuales, se denomina un buen servicio al cliente, evitando el trato irrespetuoso, injusto y emitiendo criterios subjetivos de la forma de actuar de sus clientes. Ahora, considera este Tribunal, que cuando un comerciante o proveedor incumple estas obligaciones y de forma correlativa viola los derechos del consumidor, se transgrede directamente la Constitución Política y la Ley de Promoción de la Competencia y de Defensa Efectiva del Consumidor, y surge como efecto necesario y lógico, una responsabilidad del comerciante o proveedor hacía el consumidor, de reparar los daños y perjuicios que se le ocasionen a este último. En consecuencia, si acontece una violación a los derechos constitucionales y legales del consumidor, por parte del comerciante o proveedor, éste debe reparar el efecto dañoso que se le haya causado al consumidor, bajo el régimen de responsabilidad objetiva que se encuentra establecido en el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, que dispone: "ARTÍCULO

Régimen de responsabilidad. El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Sólo se libera quien demuestre que ha sido ajeno al daño. Los representantes legales de los establecimientos mercantiles o, en su caso, los encargados del negocio son responsables por los actos o los hechos propios o por los de sus dependientes o auxiliares. Los técnicos, los encargados de la elaboración y el control responden solidariamente, cuando así corresponda, por las violaciones a esta Ley en perjuicio del consumidor." Del examen de dicho mandato, se llega a las siguientes reglas para la aplicación de este tipo de responsabilidad:

Es una responsabilidad objetiva, en la cual no es necesario la demostración del dolo o culpa del autor del daño, sino que lo importante es la imputación del daño;

Debe existir una conducta lesiva, activa u omisiva, esto significa que debe presentarse por parte del comerciante o proveedor una violación activa o pasiva de los derechos fundamentales del consumidor;

Se debe producir un daño que significa una lesión al bien jurídico tutelado, que en este caso sería la protección al consumidor al ser éste el sujeto más débil de la relación comercial de consumo;

Nexo de causalidad que vincule la conducta lesiva y el daño producido; 5)Este nexo de causalidad puede ser roto, únicamente, si la parte a la que se le imputa el daño, comerciante o proveedor; demuestra "que ha sido ajeno al daño", es decir; tiene  la carga de la prueba, tanto en un procedimiento administrativo como jurisdiccional. Lo anterior se debe a que estamos en presencia de una responsabilidad objetiva, que está relacionada a la finalidad que tienen las normas constitucionales y legales de proteger al consumidor como el sujeto más débil dentro de la relación comercial de consumo, por lo que le corresponde al comerciante o proveedor, para exonerarse de responsabilidad, probar que cumplió con sus obligaciones ante el consumidor, así como que fue ajeno totalmente y sin ninguna duda de cualquier daño producido a este último. En resumen, todos los derechos fundamentales del consumidor y las reglas explicadas deben ser aplicadas al presente caso sin dejar de lado aspectos específicos como lo sería el Reglamento del Sistema de Pagos del Banco Central de Costa Rica, que en su articulo 35 establece lo siguiente: "Artículo

Comunicación o aviso al cliente (notificación). Cualquier transacción intra o inter bancaria aplicada sobre una cuenta IBAN, realizada en línea y liquidada individualmente, debe notificarse electrónicamente al cliente, en menos de un minuto; (...)". No puede pasarse por alto que la utilización de herramientas electrónicas ha provocado el surgimiento de nuevas figuras de fraude, situación que debe ser prevenida y mitigada por los bancos, y por lo tanto requiere una inversión fuerte en el tema de seguridad transaccional, para así evitar el riesgo que se pueda generar y para asegurar de esta manera al consumidor y cliente un adecuado manejo de sus transacciones y servicios prestados y brindarle un medio seguro que le genere confianza; es por ello que existen distintas alternativas tecnológicas que hoy funcionan como mecanismos para proteger al usuario y a los sistemas de las empresas entre esas el monitoreo de transacciones que genera alertas en caso de transacciones sospechosas. Las instituciones y sistemas reguladores del Estado deben garantizar la confianza, protección y seguridad jurídica de las partes involucradas en las transacciones económicas electrónicas. Ante ello la autenticación y seguridad de documentos y mensajes digitales son fundamentales para garantizar a los agentes económicos que sus transacciones tendrán reconocimiento legal y que en caso de que se tengan que dirimir conflictos, se puedan asignar responsabilidades y reparar daños según fuese el caso. Realmente lo que opera en este caso es una omisión de alertas de seguridad que permitió que a mi representada le sustrajeran en pocas horas más de 50 millones de colones sin haber catalogado alguna de todas las transacciones como sospechosa para activar todos los mecanismos de protección que debió activar el demandado. Lo que implica sin duda alguna un daño en el patrimonio de mi representada como usuaria y cliente por varios años, daño que se consumó con ocasión a la omisión de alertas. Las entidades bancarias son responsables, por ser parte de una cadena contractual, electrónica, productor de un servicio, y como tal responden de los daños que de él se deriven. De este modo, se advierte que la responsabilidad en la que incurren los bancos es de tipo objetiva. Además, se considera que de acuerdo con los hechos, los bancos no se encuentran eximidos de responsabilidad objetiva, pues no se encuentran presentes las eximentes estipuladas por ley en este supuesto. La responsabilidad para el Banco surge en el momento en que un cliente se ve perjudicado o dañado en razón al servicio que se le ofrece, y se demuestra que éste generó un riesgo. Nace ahí la responsabilidad contractual objetiva. Para responsabilizar al ente bancario debe probarse el nexo causal, es decir, verificar que el hecho o la omisión del banco es la causa directa, eficiente e inmediata del daño provocado. El riesgo se genera en el servicio prestado, si el banco presta un servicio de intermediación financiera y de custodia de valores, mediante la realización de operaciones activa, pasiva o neutra, entre otros, y obtiene por ello un lucro, debe tener altos estándares de seguridad. Pero. además, si decide adoptar el uso de nuevas tecnologías, debe asumir la responsabilidad que se pueda derivar de ello, pues está creando un riesgo al ofrecer el servicio, riesgo que es inherente a la actividad y donde está indisolublemente ligada la seguridad, riesgo que ha sido incluso admitido por los mismos bancos. Es criterio del Tribunal Contencioso Administrativo que, si quiere dar el Banco un servicio de avanzada, debe también proveer a sus clientes de la seguridad adecuada, lo cual pareciera no ocurrió en nuestra situación. En cuanto a la tesis de la Responsabilidad Objetiva, se tiene como superado el Principio de la culpa, sin que se hagan necesarios los elementos antes descritos para que se configure la obligación de reparación. Dentro de esta teoría sólo sería necesaria la existencia de un daño y de una conducta o actividad que sirva como criterio de imputación de ese daño. Así, por  ejemplo, en la responsabilidad objetiva se tiene el daño y la creación de un riesgo como elementos del supuesto. Así, para el jurista don Víctor Pérez Vargas, "la responsabilidad objetiva se resume en una ventaja a ƒavor del lesionado, que significa una parcial inversión de la carga de la prueba, en el sentido de que éste queda exonerado de la carga de probar la culpa (culpa o dolo) del causante del daño y vano sería el intento de probar su falta de culpa, a diferencia de lo que ocurre en los supuestos de responsabilidad subjetiva". Así las cosas, nuestra jurisprudencia, desde épocas pretéritas, ha reconocido este tipo de responsabilidad. Sobre el particular, pueden consultarse las sentencias de la antigua Sala de Casación número 97 de las 16 hrs. del 20 de agosto de 1976; y de esta Sala, entre otras, los números 26 de las 15:10 hrs. del 10 de mayo de 1989; 263 de las 15:30 hrs. del 22 de agosto de 1990; 354 de las 10 hrs. Del 14 de diciembre de 1990; 138 de las 15:05 hrs. del 23 de agosto de 1991; 112 de las 14:15 hrs. del 15 de julio de 1992; y, 61 de las 14:50 hrs. del 19 de junio de 1996." Alegatos que fueron reiterados en la audiencia complementaria de juicio oral y público.

Por su parte la representación del BNCR indicó en lo que interesa: "FUNDAMENTOS DE DERECHO: El derecho ha denominado bajo el concepto de responsabilidad civil al deber que tiene uno o varios sujetos de indemnizar a la víctima de los daños y perjuicios que ésta haya sufrido, sea por culpa o atribución del sujeto causante del daño o del llamado a indemnizar o reparar. Es menester advertir que deben concurrir distintos requisitos para que a un sujeto se le pueda declarar responsable civil por un daño ocasionado a otro. En cuanto a los elementos fundamentales de la responsabilidad civil se ha indicado lo siguiente: “Cabe señalar, desde ahora, que la responsabilidad civil consta de cuatro elementos fundamentales:1- El hecho que la generaría;

El daño producido;

El nexo de causalidad entre el hecho y el daño;

El criterio jurídico de imputación del deber resarcitorio, a cargo de un sujeto distinto de quien fue lesionado en sus bienes jurídicos materiales o inmateriales. En la responsabilidad subjetiva, este criterio jurídico de imputación radica en el dolo o la culpa en el actuar del obligado; mientras que en la objetiva se prescinde del dolo o la culpa, para  imputar legalmente el deber resarcitorio a sujetos vinculados al hecho generador del daño, por aspectos de justicia o equidad relevantes para el legislador, tales como el riesgo creado o el principio según el cual quien obtiene un lucro de una actividad debe asumir los daños que esta produce (aunque no sea un riesgo grave el generado por ella), entre otros. En cuanto a la carga de la prueba, en ambos tipos de responsabilidad quien reclama el resarcimiento debe demostrar el hecho generador, el daño producido y la necesaria vinculación causal entre ambos. En la responsabilidad subjetiva ha de demostrar, además, que el daño se produjo por dolo o culpa de quien es llamado a responder, pero en la objetiva no es necesario probar estos aspectos, bastando entonces con la prueba de los tres primeros elementos señalados. Eso sí, conforme a la doctrina más relevante en este campo, la parte demandada podría exonerarse de la responsabilidad objetiva si acredita que el daño es producto de fuerza mayor, caso fortuito o culpa de la víctima o de un tercero”. (Tribunal Segundo Civil, Sección Segunda, resolución 089-2010, de las trece horas diez minutos del diecisiete de marzo de dos mil diez). De acuerdo con lo expuesto por el Tribunal citado, para que se dé la responsabilidad civil deben cumplirse cuatro requisitos, a saber: “1- El hecho que la generaría;

El daño producido;

El nexo de causalidad entre el hecho y el daño;

El criterio jurídico de imputación del deber resarcitorio, a cargo de un sujeto distinto de quien fue lesionado en sus bienes jurídicos materiales o inmateriales”. El hecho generador corresponde determinar si hubo o no un actuar o conducta que haya generado daño; en cuanto al daño, evidentemente, corresponde analizar si hubo o no un menoscabo patrimonial por parte del sujeto damnificado y cuál es el alcance de dichos daños; el nexo alude a la relación causa-efecto entre la conducta y el daño; por último, el criterio jurídico de imputación, donde correspondería el análisis de la culpa, en el caso de que sea necesario, puesto que en la responsabilidad civil objetiva no se requiere del elemento de la culpa. El elemento de la causalidad debe estar presente en todo esquema de responsabilidad civil, sea este subjetivo u objetivo. Con respecto al tema de la causalidad, en nuestro país se sigue la teoría de la causalidad adecuada y al respecto la Sala Primera ha indicado lo siguiente: “En cuanto a la causalidad, es menester indicar, se trata de una valoración casuística realizada por el juzgador en la cual, con base en los hechos, determina la existencia de relación entre el daño reclamado y la conducta desplegada por el agente económico. Si bien existen diversas teorías sobre la materia, la que se ha considerado más acorde con el régimen costarricense es la de la causalidad adecuada, según la cual existe una vinculación entre daño y conducta cuando el primero se origine, si no necesariamente, al menos con una alta probabilidad según las circunstancias específicas que incidan en la materia, de la segunda. (En este sentido, esta Cámara así lo ha estimado, entre otras en las resoluciones no. 467-F-2008 de las 14 horas 25 minutos del 4 de julio de 2005, no. 1008-F-2006 de las 9 horas 30 minutos del 21 de diciembre de 2006 y 783-2016 de las 9 horas 25 minutos del 21 de julio de 2016). En este punto, es importante aclarar que la comprobación de las causas eximentes (culpa de la víctima, hecho de tercero o la fuerza mayor), actúa sobre el nexo de causalidad, descartando que la conducta atribuida a la parte demandada fuera la productora de la lesión sufrida”. Asimismo, el nexo causal encuentra regulación en el artículo 704 del Código Civil, que señala: “Artículo 704.- En la indemnización de daños y perjuicios sólo se comprenderán los que, como consecuencia inmediata y directa de la falta de cumplimiento de la obligación, se hayan causado o deban necesariamente causarse.” Sobre el particular ha señalado la doctrina especializada: “La relación de causalidad jurídicamente relevante es la que existe entre el daño ocasionado y el antecedente que lo produce normalmente, conforme al curso natural y ordinario de las cosas. No todas las condiciones sine qua non del daño son equivalentes, sólo la condición que típicamente origina esa consecuencia dañosa puede ser retenida por nuestra mente en el carácter de causa adecuada del daño”. Al respecto ha señalado la Sala Primera de la Corte Suprema de Justicia: “Existen diversas teorías en cuanto al mecanismo que permite reconducir el daño a una conducta en particular, de las cuales, la que mejor responde a las exigencias jurídicas de racionalidad y razonabilidad es la de la causalidad adecuada, consistente en determinar cuáles factores, dentro de la multiplicidad de supuestos que pudieron concurrir a generar un hecho específico, son directa o indirectamente causa eficiente y adecuada del mal irrogado”. Así las cosas, la causalidad adecuada busca distinguir entre la causa idónea y las meras condicionantes del evento con resultado dañoso. En el caso que nos ocupa, se aprecia que la causa generadora de las transacciones que son objeto de reclamo definitivamente es el compromiso de datos sensibles por parte del autorizado en la cuenta bancaria, lo cual rompe por completo el nexo de causalidad y permite configurar el criterio de ajenidad establecido en el artículo 35 de la Ley de Promoción a la Competencia y Defensa Efectiva del Consumidor: “Artículo

Régimen de responsabilidad. El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Sólo se libera quien demuestre que ha sido ajeno al daño…” (subrayado es suplido) El presunto daño pecuniario sufrido por la Asociación Solidarista de Empleados del Instituto Tecnológico de Costa Rica tiene como génesis el hecho de un tercero, por cuanto fue el señor Allan José Pérez Orozco quien facilitó datos sensibles como token, contraseñas y otros (como él mismo declara en la denuncia) lo cual fue precisamente la causa medular, significativa y adecuada que permitió la realización de las transacciones ocurridas el 19 de noviembre de 2024 (Sic) y no otras causas que la parte actora pretende achacarle al Banco Nacional. Nótese que sin ese compromiso de datos sensibles no estaríamos ante este proceso judicial, de manera que estamos claramente ante un hecho de un tercero que representa la ruptura de cualquier nexo de causalidad y con ello se demuestra diáfanamente que el Banco Nacional es ajeno al daño. En suma, de acuerdo con lo anterior se logra acreditar que el perjuicio económico es consecuencia directa de la revelación de información sensible en la forma de códigos de seguridad y códigos de verificación según se mencionó supra, no verificándose una falla en los sistemas de seguridad del Banco Nacional de Costa Rica. Resulta importante en ese punto indicar que la plataforma de internet banking fue diseñada para ser operada o administrada por los titulares así como autorizados de las cuentas, razón por la cual, para acceder a sus servicios, es necesario que el cliente tenga en su poder cierta información confidencial que solo él conoce y algunos otros datos que responden a medidas o dispositivos de seguridad diversos y; al ser todos estos elementos información de uso exclusivo de dicha persona, una vez que en el sistema se insertan correctamente las claves, el código de usuario, los códigos de seguridad y los códigos de verificación, se entiende que quien realiza las transferencias es, en efecto, el autorizado de la cuenta. Relacionado con el tema, la Sala Primera de Corte Suprema de Justicia por medio del voto número 516-F-S1-2009 de las 10:20 horas del 27 de mayo del 2009 indicó: "...VI.- En lo medular, el reclamo del recurrente gira en torno a una indebida valoración probatoria de la confesión de la parte, de la cual, considera, se demuestra, precisamente, un supuesto de culpa de la víctima, y en forma indirecta, el quebranto de los numerales 190 de la Ley General de Administración Pública y 35 de la Ley de Defensa del Consumidor. El recurrente recrimina al Tribunal, no tener por acreditada la culpa de la víctima, a pesar de existir una confesión de parte en donde la señora Ramírez Fernández acepta haber recibido un correo electrónico y que suministró su clave. Asimismo, reclama lo indicado que aún de presentarse alguno de estos supuestos en concurrencia con una situación de riesgo, no se eliminaría la responsabilidad, ya que no se podría afirmar la ajeneidad que exige el precepto 35 de la Ley del Consumidor. Sobre este último punto particular, lleva razón el recurrente, toda vez que la responsabilidad objetiva no puede ser vista como una transferencia patrimonial automática. Por el contrario, de operar una causa eximente a favor del demandado, resulta imposible afirmar la existencia de un nexo de causalidad. Ahora bien, revisada la evacuación de la prueba en cuestión, la actora manifestó: “abrí el correo y comencé a completar datos pero ese día andaba un poquillo apuradilla y como yo en realidad no tenía ningún cambio en los datos que se me estaban solicitando, cerré el correo, me desconecté de internet y decidí que mejor después, en algún momento, pasaba al banco” (transcripción de la grabación del juicio oral y público, a las 10 horas 10 minutos del 22 de octubre del 2008, reiterado a la 10 horas 20 minutos del mismo día). Asimismo, indica que el correo que recibió era, en apariencia del banco, ya que presentaba características similares a la imagen publicitaria de este. Lo anterior se extrae de lo manifestado a las 10 horas 18 minutos, durante el juicio oral y público. De la deposición de la actora, valorada en su conjunto, se extraen conclusiones importantes para la resolución del caso. Por un lado, la víctima recibió un correo electrónico, en el cual se le solicitaba que entregara información personal de sus cuentas. Por el otro, queda claro que dicha comunicación no sólo fue abierta, sino también completada, al menos en forma parcial. La situación descrita debe ser considerada dentro del cuadro fáctico al momento de valorar el nexo de causalidad, en particular, la influencia que esta pueda tener en el posible origen del daño. En criterio de mayoría, la conducta reconocida por la víctima tiene incidencia directa en la lesión jurídica, contribuyendo como causa de esta. Según lo expuesto sobre la carga de la prueba, y en aplicación de la sana crítica, el juzgador debe considerar el grado de probabilidad de que el daño se derive de una imprudencia de la víctima en el manejo de su clave personal y no del funcionamiento inadecuado del servicio que presta el intermediario bancario. En la especie existen indicios suficientes de que se dio la primera situación. Si bien en virtud del régimen de responsabilidad objetiva que impone la Ley de Defensa del Consumidor, el proveedor se encuentra obligado a la reparación de los daños causados incluso como derivación de un riesgo creado, ello no libera al usuario de un nivel medio de diligencia en la administración de aquellos elementos riesgosos que le incumben. La utilización de un servicio altamente tecnológico hace suponer cierto grado de conocimiento y precaución. Así como nadie concebiría entregar las llaves de su casa a un extraño, de igual forma, el sentido correcto de las cosas impone al cliente bancario cierto grado de prudencia en el manejo de la clave de acceso al sistema de “internet banking”; esto resulta más evidente al considerar que se trata de la llave de entrada que permite el ingreso a las cuentas en que se encuentran depositados sus recursos (…)”. Nuestra jurisprudencia ha sido clara en indicar que se debe considerar el grado de probabilidad de que el perjuicio se derive de una imprudencia de la persona en el manejo de sus claves y no del funcionamiento inadecuado del servicio que presta el intermediario bancario. Siendo que, para el caso de marras, la parte actora reconoce que hubo un compromiso de datos por parte de un sujeto autorizado en su cuenta y que dicho actuar generó la utilización de contraseñas y claves de acceso que permitieron la realización efectiva de las transacciones realizadas el 19 de noviembre de 2022, estamos ante un evidente hecho de un tercero que genera a todas luces el rompimiento del nexo de causalidad entre el daño que indica haber sufrido y cualquier atribución de responsabilidad que le pretenda achacar al Banco Nacional. El autorizado de acuerdo con su propio decir en la denuncia penal brindó información sensible que no debía compartir con terceros que a la postre permitió que se dieran las transacciones realizadas el 19 de noviembre de 2022, las cuales están descritas en el hecho segundo de la demanda. Por tal motivo, es el hecho de un tercero la causa adecuada y generadora del presunto daño y no el Banco Nacional y por ello se alega además de la falta de derecho por la eximente de hecho de un tercero, la falta de legitimación pasiva. EXCEPCIONES Se interponen las excepciones DE FONDO de FALTA DE DERECHO y FALTA DE LEGITIMACIÓN PASIVA." Alegatos que fueron reiterados en la audiencia complementaria de juicio oral y público.

II.-

De importancia para la resolución de la presente litis, se tienen como debidamente acreditados los siguientes:

La Asociación actora y el BNCR suscribieron el día 24 de mayo de 2017 el CONTRATO DE AFILIACIÓN INTERNET BANKING CORPORATIVO, cuyo objeto fue:

Y es la cláusula novena se indicó:

(Ver imágenes de la 88 a la 91 del expediente digital judicial.)

Que la Asociación actora al 19 de noviembre de 2022 poseía la cuenta corriente en colones número [Valor 001] del Banco Nacional de Costa Rica (De los autos).

Que al día 19 de noviembre de 2022, ni la asociación actora, ni el señor Allan Pérez Orozco solicitaron al BNCR activar en envío de alertas financieras. (Ver imagen 260 del expediente digital judicial y declaración d ela señora Kendy Vanessa Jiménez López).

Que el día 19 de noviembre de 2022 de la cuenta de la ASET, se realizaron los siguientes movimientos, para lo cual se utilizaron las claves en resguardo del señor Allan Pérez Orozco para ingresar el sistema banca en línea del BNCR:

Imagen 001

(Ver imagen 4 del expediente digital judicial.).

Que las transferencias hechas desde la cuenta de la actora fueron realizadas una vez validadas por el el sistema de acreditación del usuario del BNCR,como medio de control y seguridad instaurado por el Banco demandado para tal fin y cuya información sólo podía ser conocida por el señor Allan Pérez Orozco en ese entonces Presidente de la ASET. (Ver hecho tercero de la demanda y declaración de la señora Kendy Vanessa Jiménez López).

Que el día 19 de noviembre de 2022 el señor Allan José Pérez Orozco interpuso la denuncia número 015-22-002361 ante el Organismo de Investigación Judicial, informando la realización de las transacciones fraudulentas en la cuenta, mediante la cual se le sustrajo a la Asociación actora la suma de 54,060,000.00 millones de colones:

imagen 002

(Ver imagen 46 del expediente digital judicial.)

Que la representación de la ASET por escrito de fecha 07 de diciembre del 2022, consultó al BNCR: "Nuestras inquietudes se relacionan principalmente con siguientes situaciones: a. El día en cuestión era un sábado en la tarde, fuera del horario laboral; ¿por qué el sistema de monitoreo de seguridad del Banco no detecto las transacciones inusuales? b. ¿Por qué el sistema de monitoreo de seguridad del Banco no bloqueó las cuentas al realizarse tantas transferencias a cuentas fuera de la institución? c. La Asociación tenía un monto limite máximo para transferencia de treinta millones de colones, el mismo fue cambiado ¿cómo pudo realizar esta modificación ?"  (Ver imagen 36 del expediente digital judicial.)

El BNCR contestó por oficio No. SGO-001-2022 del 02 de enero del 2023 la anterior gestión de la siguiente manera: "...Sirva la presente para saludarles y a la vez brindar respuesta a las consultas plasmadas en oficio emitido por esta asociación con fecha 07 de diciembre del 2022, las cuales nos permitimos citar y emitir la debida respuesta. “El día en cuestión era un sábado en la tarde, fuera del horario laboral; ¿por qué el sistema de monitoreo de seguridad del Banco no detectó las transacciones inusuales? “ Las plataformas bancarias se encuentran habilitadas las 24 horas del día los 365 días del año, el horario no es un factor relevante para determinar si una transacción es inusual, siendo el cliente quien decide en que horario realiza las transacciones que requiera. “¿Por qué el sistema de monitoreo de seguridad del Banco no bloqueó las cuentas al realizarse tantas transferencias a cuentas fuera de la institución? “El ingreso y uso de nuestras plataformas de banca en línea consta de varios niveles de seguridad (usuario y password, token físico, software token, códigos fuera de banda, certificado CA/SINPE del BCCR, temas biométricos en nuestras apps,) al momento de la autenticación y de la ejecución de las transacciones, estos niveles el cliente los define a su conveniencia, incluso algunos de estos solo el cliente los conoce. Si el ingreso al sistema cumple con la autenticación de seguridad y los niveles de seguridad establecidos de previo por el cliente, tanto los ingresos como las transacciones son validadas como reales o lícitas y no como transacciones fraudulentas. “La Asociación tenía un monto límite máximo para transferencia de treinta millones de colones, el mismo fue cambiado ¿cómo pudo realizar esta modificación? “Cabe resaltar que los límites diarios los establece la persona que el cliente corporativo haya designado y le haya otorgado los permisos para realizar esta tarea. Para el día de interés existe registro de dos aumentos de límite, el primero pasando de 30 millones a 50 millones de colones y el segundo de 50 millones a 100 millones de colones, ambos realizados en apariencia por una persona a la que el cliente le otorgó los permisos para realizar estas actividades. Es importante indicar que nuestras plataformas tecnológicas cuentan con las medidas de seguridad necesarias para garantizar un ambiente seguro a nuestros clientes, el Banco Nacional nunca le va a llamar para solicitar usuarios, claves, código de verificación ni le va a solicitar que los digite en ningún sitio web, tampoco le enviará por correo electrónico o mensajería instantánea de ningún tipo enlaces de internet que le direccionen a sitios en internet iguales o similares a nuestro sitio web oficial. Agradeciendo la atención a esta solicitud, esperamos haber aclarado sus inquietudes..." (Ver imágenes 43 y 44 del expediente digital judicial.)

Que la representación de la ASET por escrito de fecha 26 de mayo del 2023, presentó ante el BNCR "PROCESO ADMINISTRATIVO POR RECLAMO DE FRAUDE INFORMÁTICO Y DEVOLUCIÓN DE LA DINEROS EXTRAÍDOS ILEGÍTIMAMENTE DE LA CUENTA DE LA ASOCIACIÓN, y se ordene el reintegro de la totalidad de los dineros extraídos de la cuenta número [Valor 001] propiedad de la ASOCIACIÓN SOLIDARISTA DE EMPLEADOS DEL INSTITUTO TECNOLÓGICO DE COSTA RICA, suma que asciende a los CINCUENTA Y CUATRO MILLONES SESENTA MIL COLONES". (Ver imágenes de la 37 a la 42 del expediente digital judicial.)

El BNCR por oficio No. RACQ-2023-016 del 10 de agosto de 2023, realizó la investigación del caso y rechazó la gestión presentada por la ASET indicando en lo que interesa: "...Basado en el resultado del análisis de la información aportada en la bitácora de eventos del servicio internet banking, el sistema financiero bancario (SFB), además de la documentación aportada por el cliente para el análisis de su caso, se procede a rechazar lo interpuesto por la Sr. Allan José Pérez Orozco ya que cada una de las transacciones fueron realizadas con los datos personales y confidenciales que obran exclusivamente en poder del aquí reclamante..." (Ver imágenes de la 45 a la 86 del expediente digital judicial.)

111) La representación de la ASET presentó el día 16 de agosto de 2023 recurso de revocatoria con apelación en subsidio contra el oficio No. RACQ-2023-016 del 10 de agosto de 2023. (Ver imágenes de la 29 a la 35 del expediente digital judicial.)

HECHOS NO PROBADOS: De relevancia para la resolución del presente proceso, se tuvo por no demostrado:

Que el acceso a la cuenta de ahorros de la asociación actora por parte de terceros, haya sido realizado con motivo de una vulneración de los sistemas de seguridad y control del banco demandado. (Ausencia de elementos probatorios).

DEL OBJETO DEL PROCESO: El objeto del presente proceso estriba en determinar la existencia de una eventual responsabilidad objetiva del banco accionado, con motivo de la sustracción de los recursos depositados en su cuenta de ahorros o en su defecto, la existencia del rompimiento del vínculo causal, con motivo de un hecho de la víctima.

VALORACIÓN DE LA DEMANDA POR PARTE DE ESTE TRIBUNAL: La representación de la asociación actora acusó en lo medular:

OMISIÓN DEL ENVÍO DE ALERTAS ANTE MOVIMIENTOS SOSPECHOSOS: Que el BNCR vinculó de manera automática la cuenta corriente de la ASET No. [Valor 001], a la  cuenta personal del señor Allan Pérez Orozco entonces su presidente sin mediar autorización expresa de la asociación. Que ello permitió que con ocasión de la venta de un vehículo propiedad del señor Pérez Orozco, el día 19 de noviembre de 2022 la Asociación sufrió una vulneración en su cuenta corriente No. [Valor 001], de la que le fue sustraída la suma de 54,060,000.00 millones de colones. Ello por cuanto el señor Allan José Pérez Orozco facilitó información sensible de acceso a su cuenta bancaria, sin embargo, al estar vinculada la cuenta de la Asociación a la cuenta del señor Pérez Orozco, delincuentes tuvieron acceso a la cuenta corriente de la Asociación. En lo medular endilga responsabilidad civil objetiva del BNCR para con la ASET, bajo el alegato de que para la fecha en que se realizó la sustracción de su cuenta corriente existían distintas alternativas tecnológicas, mediante las cuales el BNCR podía monitorear las transacciones y generar alertas en caso de transacciones sospechosas. Indicó que a pesar de que en la cuenta corriente de la Asociación No. [Valor 001], se levantó el límite diario de transacciones y se realizaron entre las 03:11pm y las 06:29 pm 23 transferencias por 54.060,000.00 millones de colones; el área de monitoreo del BNCR omitió catalogar las transacciones realizadas un sábado en la tarde-noche como sospechosas y enviarle alertas del caso, tratar de localizar y/o comunicarse con el representante o dueño de la cuenta bancaria para verificar la legalidad de lo que estaba sucediendo o en su defecto bloquear la cuenta bancaria por movimientos sospechosos e irregulares o que remitieran al teléfono o a su correo personal del expresidente en tiempo real, avisos en tiempo real de las transferencias que se estaban realizando. Que la omisión del BNCR de enviar las alertas informando sobre los movimientos que se estaban realizando desde la cuenta de la Asociación actora fue la causa directa, o nexo causal eficiente e inmediato del daño provocado y por ello solicitó que en sentencia se condene al BNCR al pago de 50,060,000.00 millones de colones. Monto que se corresponde con el dinero sustraído de su cuenta corriente No. [Valor 002]; más sus intereses legales computados desde el día 19 de noviembre de 2022 fecha en que fueron sustraídos y hasta su efectivo pago. Así como su indexación respectiva. y al pago de ambas costas de esta acción.

RELACIÓN DE CONSUMO Y RÉGIMEN DE RESPONSABILIDAD: Indicó que conforme a la jurisprudencia y legislación patria, la relación que corre entre un cliente y una entidad bancaria es una relación de consumo y por el ser el cliente la parte débil de la relación goza de una tutela especial establecida en el numeral 46 de la Constitución Política, en la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor en sus artículos 32, 34 y 35 y 35 del Reglamento del Sistema de Pagos del BCCR, que regula la organización y el funcionamiento del Sistema Nacional de Pagos Electrónicos (SINPE), administrado por el Banco Central de Costa Rica (BCCR); imponiéndose en estos casos una responsabilidad de tipo objetiva por todo daño que sufra el cliente en razón del riesgo creado por la entidad bancaria al ofrecer un servicio mediante la plataforma electrónica.

Criterio del Tribunal: En criterio de este Tribunal la demanda se declara improcedente en razón de lo que a continuación se detalla.

a) Respecto a la vinculación de la cuenta de la ASET a la del señor Pérez Orozco: Conforme a lo hechos probados, tenemos que el día 24 de mayo de 2017 se suscribió entre el señor Arnoldo José Gadea Rivas como representante de la Asociación Solidarista de los Empleados del ITC (ASET) y el BNCR el "Contrato de afiliación" para que esa entidad bancaria le prestara el servicio a la ASET de BN-Internet Banking Corporativo. Como es sabido Internet Banking o también conocida como banca por internet, banca virtual, banca web o banca a domicilio; es un sistema que permite que clientes, en este caso del BNCR realice diversas transacciones financieras a través de su sitio web o aplicación móvil. Fue así entonces como desde ese momento se le dotó a la ASET información confidencial para interactuar con el sistema en línea, y conforme a las disposiciones internas de la ASET esta forma de interactuar se trasladó de funcionario a funcionario conforme a quien ostentara el cargo o puesto requerido para esos efectos. Fue así como al 19 de noviembre de 2022 quien estaba autorizado para accionar en representación de la ASET con el BNCR a través de la banca virtual lo era el señor Pérez Orozco. Sin embargo, no es hasta después que se dio la situación de la transferencia de fondos, que se acusa al BNCR de haber vinculado la cuenta corporativa de la ASET con la cuenta personal del señor Pérez Orozco en ese mismo Banco. No obstante conforme al testimonio de la señora Kendy Vanessa Jiménez López, la vinculación de dicha cuenta con la del señor Pérez Orozco se había dado desde tiempo atrás, sin que la Asociación o el señor Pérez orozco solicitara al Banco la desvinculación de dichas cuentas, pues de haberlo solicitado el BNCR lo hubiese realiozado. De esta forma, para este Tribunal el señor Pérez Orozco pudo pedir tal desvinculación, o la ASET como titular de la cuenta, sin embargo no lo hicieron. Así, para esta Cámara de hecho el señor Pérez Orozco y la ASET consintieron que esa cuenta se mantuvieran vinculada a la cuenta del presidente de la ASET y no fue hasta que se dieron los hechos que cuestionaron tal vinculación, lo cual no resulta de recibo para este Tribunal, pues se reitera; a pesar de que el contrato se suscribió desde el día 24 de mayo de 2017 en ningún momento se le solicitó al BNCR desvincular la cuenta de la ASET con quien ejerciera como su presidente de la Asociación de tener cuenta personal en el BNCR también. De esta forma, tal vinculación no fue irregular, sino que fue abiertamente consentida a pesar del tiempo que transcurrió desde la suscripción del contrato (24/05/17) y los hechos cuestionados en la presente demanda que se dieron el día 19 de noviembre de 2022; sin que hubiese existido durante todo ese lapso de tiempo una solicitud de que se desvinculara la cuenta de la ASET a la cuenta de su presidente.

b) Respecto a la relación de consumo y el régimen de responsabilidad objetiva: La parte actora alega la existencia de una relación de consumo con el BNCR, en virtud de la existencia de un contrato de cuenta de ahorros con él. En este sentido indica que dicho ente posee responsabilidad objetiva, en tanto que como producto de la situación de riesgo generada por el servicio bancario mediante internet, se le generó un daño, al habérsele sustraído la suma reclamada.  De previo a entrar a resolver en el caso en concreto, es menester realizar algunas consideraciones con respecto a la responsabilidad de los entes bancarios. En este sentido,  es pacífico el criterio jurisprudencial en el sentido de que en este materia debe aplicarse el régimen de responsabilidad objetiva establecido en el ordinal 35 de la Ley No. 7472, que dispone: "Régimen de responsabilidad. El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Sólo se libera quien demuestre que ha sido ajeno al daño. Los representantes legales de los establecimientos mercantiles o, en su caso, los encargados del negocio son responsables por los actos o los hechos propios o por los de sus dependientes o auxiliares. Los técnicos, los encargados de la elaboración y el control responden solidariamente, cuando así corresponda, por las violaciones a esta Ley en perjuicio del consumidor."  Lo anterior, en tanto que la relación entre un Banco y el cliente puede ser considerada como una relación de consumo, mediante la cual el segundo adquiere un servicio del primero, sea es "consumidor" del mismo. Dicho servicio parte de una forma tradicional, sea el contrato de cuenta de ahorros o corriente,  pero puede manifestarse además en otras modalidades, electrónicas, también generadoras de riesgo, en tanto que por su naturaleza devendrán en acceso a la información personal del usuario y el acceso a sistemas informáticos, de los cuales se tiene conocimiento sobre la existencia de diferentes medios para su uso inadecuado por parte de terceros mal intencionados (v.g. técnicas tales como las conocidas como sniffing o phishing, o  herramientas como los llamados keyloggers). Así las cosas, de conformidad con los alcances de la norma en mención, en el caso de la responsabilidad bancaria, se obvia toda consideración subjetiva sobre el hecho generador de responsabilidad y la carga de la prueba recae no sobre quien la invoca (cliente o usuario del servicio de la cuenta), sino sobre el  banco proveedor  o comerciante,  bajo el supuesto de que quien se aprovecha de una actividad lucrativa lícita que presenta elementos potencialmente peligrosos para los demás, debe también soportar sus inconvenientes (ubi emolumentum, ubi onus). En este orden de ideas, se estima que dichos agentes económicos con su operación generan un riesgo inherente a la misma, que podría tener una causalidad con los daños que se invoquen y que en el mundo de las transacciones bancarias, tanto a nivel personal como informático es más evidente.  En este sentido la Sala Primera de la Corte Suprema de Justicia ha considerado que: "...No obstante lo anterior, debe tomar en cuenta la entidad financiera demandada que su función esencial es la intermediación financiera, que incluye la captación de fondos provenientes del ahorro del público, concepto que lleva implícita su custodia, tanto desde el punto de vista físico, como del registro electrónico correspondiente. No cabe duda que se encuentra sometida a una ineludible obligación de garantizar la seguridad de las transacciones realizadas, ya sea en ventanilla o mediante cualquier otro medio puesto a disposición de los clientes, la cual debe abarcar, necesariamente, el uso de todos aquellos mecanismos disponibles que le permitan contar con un mayor grado de certeza en cuanto a la identificación de las personas que se encuentran facultadas para realizar transacciones electrónicas desde las cuentas. La responsabilidad que le fue imputada al Banco se fundamenta, no en la sustracción del dinero por un tercero, sino en la existencia de un riesgo, según lo expuesto en el considerando III, en el funcionamiento propio del servicio que ofrece, lo que permite imputar el origen del daño al funcionamiento del servicio. Lo anterior, a pesar de disponer de mecanismos que permiten mayor seguridad. (...) Al fin y al cabo, los bancos, sin que el demandado sea la excepción, custodian y administran, entre otros, un bien ajeno; y no cualquier bien, sino fondos del público. Así las cosas, no solo responde por la fortaleza de sus sistemas internos, sino también por la seguridad de quien, para llegar allí, utiliza los únicos canales posibles que el propio Banco conoce y reconoce como riesgosos. Y responde no en cuanto ajenos, sino en la medida en que constituye el medio del que se prevalece, directamente, para la prestación del servicio. Tal y como lo preceptúa el numeral 35 de la Ley de Protección al Consumidor, ha habido un perjudicado en razón del servicio, que al ser utilizado (y en vista de su carácter riesgoso) produjo una lesión importante a quien figura en el proceso como parte actora. (...) El medio para acceder a la plataforma del Banco no se trata, por ende, de un foco ajeno de riesgo, sino de un instrumento consustancial al servicio que presta; si se quiere, forma parte intrínseca de la actividad, que si bien es accesorio a la actividad del intermediario, resulta imprescindible. De allí que los mecanismos de garantía al cliente – usuario-, deben darse no solo dentro de los muros informáticos del propio Banco, sino también en el camino de acceso a él como parte del servicio. No en vano, el Sistema Financiero se ha abocado, en general, a la implementación de mecanismos de doble identificación, al mejoramiento de las claves y, en general, el uso de sistemas recientes como la utilización de tockens, claves cambiantes, llaves con dispositivos especiales, entre otros..." (voto No. 300-2009 de las once horas veinticinco minutos del veintiséis de marzo del dos mil nueve). Como complemento a lo anterior, debe indicarse que la indicada responsabilidad sólo cede ante el rompimiento del vínculo causal, implícito en la ajenidad del daño a que hace referencia la norma indicada ut supra. Con respecto a esta posibilidad el voto de la Sala Primera de la Corte Suprema de Justicia, ha indicado: "....el demandado puede liberarse de la responsabilidad en el tanto logre comprobar que el régimen establecido en el cardinal 35 de la Ley de Defensa del Consumidor no le es aplicable, ya sea porque no concurren en la especie los presupuestos subjetivos para su aplicación (por ejemplo, si las partes no se encontraran en una relación de consumo), o bien, en el caso específico de la teoría del riesgo que contempla dicha norma, que este no se ubica en un grado de anormalidad. A manera de síntesis, se puede observar que se trata de una redistribución del deber probatorio en atención a las circunstancias específicas de cada uno de las partes y su proximidad a las fuentes probatorias, las cuales, en todo caso, serán valoradas conforme a las reglas de la sana crítica, a partir de las cuales, los juzgadores deben recurrir, no sólo a las consecuencias que se derivan en forma directa del acervo probatorio, sino también de indicios y su propia experiencia al momento de valorarlo. Ahora bien, en casos como el presente, se da la particularidad de que, para el demandado, la demostración de las causas eximentes presenta la misma complejidad a la que se enfrenta el actor, ya que allegar al proceso prueba de un eventual supuesto de culpa de la víctima, como lo podría ser el que se haya entregado la clave a un tercero, requeriría verificar, entre otros actos, un comportamiento del ámbito personal del actor, respecto del cual resulta absolutamente ajeno. En este sentido, la consideraciones expuestas resultan, igualmente, aplicables al demandado. Esta necesidad se hace aún más patente, si se considera que el comercio electrónico se caracteriza por el hecho de ser impersonal, ya que las partes no entran en contacto directo al momento de realizar la transacción, sino que lo hacen mediante canales informáticos mediante los cuales se transmiten los datos, lo que facilita que se cometan ilícitos originados en la connivencia o confabulación de los usuarios del sistema financiero. Es por lo anterior, que las probanzas deben ser valoradas considerando el acceso a las fuentes probatorias por las partes, cuyo análisis ha de abarcar, necesariamente, y en aplicación de las reglas de la sana crítica, la existencia de elementos que, eventualmente, contradigan la presunción de buena fe que le asiste al actor respecto de sus pretensiones, considerando la dificultad, ya comentada, de demostrar ciertos hechos constitutivos de su ruego. Así, un correcto entendimiento de los mecanismos de seguridad que en cada momento implementen los intermediarios financieros resulta clave para apreciar si la parte demandante actúa, o no, con buena fe....". Con respecto a los alcances de esta  última posibilidad, se advierte la existencia de dos posiciones muy marcadas en sendas resoluciones judiciales de las diferentes secciones de este Tribunal, Por una parte, se evidencia un criterio en el cual la posibilidad de rompimiento del vínculo de causalidad del daño por parte del banco se ve reducido al mínimo, fundado en una consideración amplia de la teoría del riesgo creado con motivo de la actividad bancaria. En este sentido,  el voto 06-2012 de ocho horas de quince de junio de dos mil doce de la Sección IV de este Tribunal indicó con respecto al mismo banco demandado en este proceso lo siguiente: "...sí conoce que en el servicio que rinde, el cliente es la parte débil y expuesta a este tipo de eventos dañosos en el uso del servicio que pone a su disposición y por el cual recibe una contraprestación, tiene la obligación, por ser éste, el que cuenta con los recursos y plataformas tecnológicas para desarrollar las medidas de seguridad necesarias para garantizar a su cliente la protección de sus recursos los cuales le fueron confiados, y eliminar el riesgo de verse engañados y en consecuencia afectado su patrimonio en el uso de una herramienta que el Banco puso a su disposición en el servicio contratado por el cliente. Si en el plano material, lo único viable fuera la reducción del riesgo, de suerte que siempre existen márgenes de este, necesariamente correspondería al ente de consumo, asumirlos. El mismo testigo experto manifestó como las medidas implementadas por el Banco en virtud de una situación de riesgo informático generado hace algunos años, e incluso indicó como la medida implementada (clave dinámica) resultó adecuada en el entendido que los supuestos de fraudes informáticos se redujeron a rubros donde prácticamente no se presenta y mucho menos con vulneración de los sistemas del banco, y es precisamente bajo este conocimiento que la Institución bancaria tiene obligación de adquirir la tecnología necesaria y actualizada para contar con óptimos sistemas de seguridad contra la criminalidad existente y que actúa en detrimento de sus clientes y su patrimonio. No obstante el banco debe actuar no solo en respuesta a la consecuencia de esta criminalidad, sino de forma preventiva..." De conformidad con lo anterior, la posibilidad de demostración de la "ajenidad" se encuentra sumamente limitada, habida cuenta que se parte de un deber general del ente bancario de ser proactivo y preventivo y no solamente demostrador de la no vinculación de su actuar u omisión al caso concreto.  (En el mismo sentido puede verse el voto 030-2012 de 21 de marzo de 2012 de la indicada Sección).  Por otra parte, se advierte la existencia de otra posición más amplia en cuanto a la posibilidad de tomar en consideración eximentes de responsabilidad y más restrictiva en lo que corresponde al reconocimiento del deber de resarcir el daño por parte del banco demandado. En este orden de ideas, el voto  083-2012 de 8:00 horas de  10 de setiembre de 2012 de la Sección VIII de este Tribunal resolvió lo siguiente: "...está demostrado que el acceso a la cuenta bancaria de la parte actora, lo fue mediante el uso de la clave y la contraseña autorizada, por lo cual la transacción -para efectos del banco- fue lícita, normal y ordinaria, pues se trataba de la orden de giro de dinero contra los fondos depositados en una cuenta, orden emanada de quien tiene las identificaciones respectivas. Amén de ello, se trajo al proceso un perito independiente, profesional especialista en la materia, que corrobora lo anterior, pero además agrega que los sistemas de seguridad del banco ofrecen una plataforma robusta, difícil de vulnerar, salvo que el acceso de pueda realizar porque el usuario no observó el deber de probidad y resguardo de los datos. Sin embargo, no puede causarse una vulnerabilidad del sistema, para obtener los datos, incluyendo los que solo conoce el cliente, sino tal cosa no ocurre con la intervención del propio usuario del sistema, entiéndase, cuenta habiente, con o sin su conocimiento, situación que escapa al área de seguridad determinada y sobre la cual puede ejercer fiscalización el banco demandado. Conclusión a la que se llega en razón de la lógica de la máxima y la experiencia, atendiendo a las presunciones, que en materia probatoria, aún mantiene validez como elemento de juicio, al tenor de los artículos 414 al 417 del Código Procesal Civil, aplicable en la especie por disponerlo el artículo 220 del CPCA. En este caso hay que entender y valorar que el riesgo que asume el cliente no lo es por el hecho de ser usuario del banco en línea, sino por el de ser usuario de internet, servicio que no presta la entidad bancaria, se repite, pues en uso ordinario de la red, aunque no accese a la página web del banco, el cybernauta puede ser infiltrado para ser desposeído de sus datos, aún y cuando no lo concienta o ni se de cuenta de ello, se repite. Dentro de este contexto lo que no resulta admisible a la luz del artículo 35 LPCDEF es que habiéndose probado por parte del demandado que el acceso a la cuenta bancaria fue mediante el uso de las claves y códigos entregados al cliente bancario, y más aún, el usuario dice que no fue él quien accesó la cuenta, entonces queda absolutamente clara la participación de un tercero, que en la especie es el eximente de responsabilidad que dispone la ley para desaplicar la teoría del riesgo, pues rompe el nexo de causalidad necesario. Sin embargo, a pesar de que la ley dispone el peso de esa causal eximente, habiendo sido probado en este proceso a la participación de un tercero, y en consecuencia, que el daño fue ajeno al demandado, entonces no es feliz la idea de que se mantiene y hasta se hace extensiva esa responsabilidad en contra el banco, asumiendo la hipótesis de que fue la entidad bancaria la que puso en riesgo al usuario, por brindar un servicio mediante una pista de comunicación insegura, por lo que, incluso, además de la sola existencia de la participación de un tercero, en la línea de esa tesis el banco estaría también obligado a probar en el juicio que el cliente fue negligente o responsable de haber entregado sus llaves, códigos de seguridad o claves de identificación. A la luz de la sana crítica no me resulta posible admitir lo anterior, puesto que no existe una omisión en la conducta del banco, dado que efectivamente dispuso de medidas de seguridad que debía además resguardar el cliente, en la esfera de su responsabilidad, y la teoría del riesgo ya fue excluida por la aplicación de un eximente (rompiéndose el nexo causal), pues de la prueba traída a los autos ( inclusive testimonial) aportada por la entidad demandada, claramente se analiza que el acceso a las cuentas del actor, fue mediante el uso de las claves entregadas al cliente, y no por evasión de las medidas de seguridad impuestas por el banco. Es más, el propio dicho del actor deja al descubierto que fue un tercero el que realizó la acción, ya que afirma el demandante que no fue él quien hizo tales movimientos bancarios, a lo cual debe agregarse el valor de las presunciones acerca de la inadecuada protección que el actor pudo haber dado a sus datos. Por último, este Tribunal no es ajeno a la realidad social, esto es, a los posibles efectos de sus pronunciamientos y sin hacer referencia al caso en concreto (no se plantea con relación a la parte actora), no deja de preocuparnos la posibilidad de que tal interpretación que ha prevalecido respecto del artículo 35 Ley No. 7472, pueda ser a futuro aprovechada por cualquier persona que, conocedora de que no se le exige ningún deber de cuidado al cuenta habiente en su condición de usuario de los servicios de internet, entonces pueda utilizarse -por parte de inescrupulosos- las claves y códigos personales de cualquier cliente bancario, desde la red y con total impunidad desde el punto de vista de la responsabilidad, para realizar maniobras en cuentas bancarias, pues ahora tendríamos que entender que el banco -a pesar de ser ajeno al daño, por acción de un tercero- siempre responderá por los daños ocasionados, a pesar de que no los causó su actividad o su inactividad, e incluso con entera independencia del papel que debe asumir el cuenta habiente en lo que se refiere al resguardo de sus datos vitales, pues se le carga al banco el deber de probar, además de la participación de un tercero (como una manifestación de la ajenidad del daño), que el cuenta habiente ha sido partícipe de la conducta, sea por acción u omisión del cliente, prueba que viene a imponer un régimen de responsabilidad subjetiva del cliente, como la única forma de eliminar la responsabilidad objetiva, respecto del demandado. Tal circunstancia resulta inadecuada, desde el punto de vista técnico, pues se le está diciendo al Banco que el hecho de un tercero es insuficiente para demostrar la ajenidad del daño, si no es comprobado en forma concurrente con la culpa de la víctima, con injerencia directa en el ámbito personal que ostenta la esfera privada el cuenta habiente. El artículo 35 de la Ley 7472 dispone un régimen de responsabilidad contractual objetiva, con un eximente muy claro, la ajenidad del daño, por lo cual, verificado éste, no debe exigirse adicionalmente que se demuestre la culpa de la víctima, pues en este caso, el sólo hecho de un tercero rompe la causalidad y el riesgo no es atribuible al Banco. Esto es más grave cuando se comprende que no existe ninguna barrera de entrada o sistema de seguridad que funcione adecuadamente, si el dueño de la llave "pierde la llave", aunque sea sin su consentimiento. Y pretender decir que además de que el banco debe probar la ajenidad del daño, también debe probar que el cuenta habiente tuvo culpa en la pérdida de esa llave, pues fue el banco quien lo puso en ese potencial peligro, es imponer una carga de la prueba adicional que no exige el artículo 35 Ley de cita, dentro del marco de responsabilidad objetiva del contrato de cuenta bancaria....". (Resaltado es nuestro). Como se advierte del texto de la resolución de cita, bajo este criterio se admite la demostración de la adopción de medidas de seguridad suficientes y necesarias por parte del Banco, de manera complementaria a la existencia de un motivo que funda  el rompimiento del nexo causal, cual es el hecho de un tercero, e inclusive el de la propia víctima. En este orden de ideas,  se ha estimado que por aplicación supletoria del artículo 190 de la Ley General de la Administración Pública (conforme a la remisión que estatuye el canon 71 de la Ley de Promoción de la Competencia y Protección Efectiva del Consumidor), las causas eximentes de responsabilidad allí previstas, son de plena aplicación a esa materia. Es menester indicar que además de los dos criterios señalados anteriormente, existe una tercera posición en este Tribunal, sobre la participación del tercero como eximente de responsabilidad. En este sentido el voto 252-2011 de 17 de noviembre de 2011  de la Sección Sexta, indicó lo siguiente: "En este tipo de conflictos por tesis de principio, siempre existirá la participación de un tercero ajeno a la relación comercial del ente bancario y el cliente. No obstante, ese solo elemento no elimina la responsabilidad del agente económico, el que acorde al sistema objetivizado que sostiene la Ley No. 7422, solo se descarga ante la ajeneidad del daño..."

c) Sobre la supuesta omisión de envío de alertas ante transacciones sospechosas como causa eficiente del daño patrimonial causado: La representación de la ASET acusó que a pesar de la existencia de la tecnología necesaria para prevenir al cliente en tiempo real sobre la realización de transacciones sospechosas mediante el envío de alertas; en BNCR no lo hizo el día 19 de noviembre de 2022, y residenció el nexo de causalidad entre el daño patrimonial sufrido ese día con la omisión del BNCR al no enviarle de manera oportuna alertas respecto a las transacciones sospechosas realizadas en la cuenta de ahorros de la ASET. Este alegato no es compartido por este Cámara pues conforme a la jurisprudencia citada, en la especie consideramos que se dio un rompimiento del vínculo causal, en virtud de que el daño patrimonial del que fue objeto la actora fue causado por un tercero, sin que mediara conducta alguna imputable al BNCR, ya fuese por acción u omisión, por lo que medió una ajenidad en el daño sufrido por la ASET, en los términos en que lo señala el artículo 35 de la LPCDEC y con ello se debe de eximir de responsabilidad al BNCR. Veamos. En el hecho tercero de la demanda se indicó que: "...Que el modus operandi del ilícito fue el siguiente: la esposa del anterior Presidente de la Asociación, señor Allan José Pérez Orozco, mayor, casado, docente, vecino de Alajuela, San Ramon, San Rafael, frente a la Escuela de San Rafael, cédula de identidad 1-971-002 recibió una llamada telefónica de parte de un supuesto interesado, quien dijo ser Estadounidense, en comprar un automotor que el señor Pérez Orozco y su esposa tenían para la venta, dicha persona le indicó al señor Pérez Orozco que iba a proceder a realizar un depósito de Dos Mil Dólares moneda de curso legal de los Estados Unidos de Norteamericana a manera de enganche del negocio para lo cual le pidió información y lo comenzó a "guiar" en lo que aparentaba ser la página virtual del Banco Central de Costa Rica en la cual el señor Pérez Orozco facilitó información sensible del acceso de las cuentas bancarias que él poseía en el Banco Nacional lo que le permitió a los delincuentes tener acceso a las cuentas personales del señor Pérez Orozco y a la cuenta de mi representada por estar ligada de forma automática la misma a las cuentas personales del antiguo representante de la Asociación. Lo anterior pese a que no existe autorización alguna de parte del señor expresidente de la asociación para ligar y relacionar las cuentas personales con la que poseía su representada dado que eso lo realiza de forma automática la entidad bancaria demandada. La llamada recibida por el anterior presidente de la asociación duró aproximadamente unas 2 horas durante las cuales el sujeto que supuestamente iba a realizar el depósito del dinero precitado realizaba otras llamadas y le indicaba que no ingresara las cuentas bancarias de él porque podría dar al traste con la transferencia que se estaba llevando a cabo, momento en el cual el expresidente desconfió de lo que estaba sucediendo e ingresó a las cuentas bancarias respectivas percatándose de que se habían realizado múltiples movimientos bancarios, unos relacionados con incrementos de límites de transferencias, así como un total de 23 transferencias a diferentes cuentas bancarias extrayendo de la cuenta de mi representada la suma total de ¢54.060.000 (Cincuenta v Cuatro Millones Sesenta Mil colones exactos)..." Por su parte el señor Pérez Orozco indicó en su denuncia ante el OIJ:

Conforme a lo declarado ante el OIJ por el señor Pérez Orozco; el día 19 de noviembre de 2022 facilitó información sensible tales como token, contraseñas, etc, que permitió que un tercero ingresara a su cuenta y a la de la ASET y realizar las siguientes transacciones:

Imagen 003

De conformidad con lo anterior, estima este Tribunal que en el presente caso, si bien estamos en presencia de un evidente caso de hechos que podrían generar responsabilidad objetiva por parte del ente bancario, ha operado un rompimiento del vínculo causal con motivo del hecho de la propia víctima afectada por el hecho generador del daño. Del propio dicho de la parte actora se evidencia que el acceso a su cuenta de ahorros por parte de terceros se hizo de manera normal, sea, sin romper las medidas de seguridad adoptadas por el BNCR o por medios que evidenciaran fragilidad en las mismas o que significaran que se hubiere vulnerado sus controles, en tanto que para la realización y efectividad de todas las gestiones realizadas el día 19 de noviembre de 2022, fue validadas mediante los mecanismos de seguridad en poder del señor Pérez Orozco y no del BNCR. (Declaración de la señora Kendy Vanessa Jiménez López y Cilian Cuadra Chavarría). Es así como, al mediar el uso de la información requerida en poder del cliente, el BNCR verificó que el usuario era quien poseía la información necesaria y real para que pudiese interactuar en la banca en línea. De ahí que no podría considerarse que las transacciones fuesen sospechosas por el día en que se realizaron, o por el número de transferencias que se hicieron ese día, ni por el cambio en la realización del monto diario a transferir. Lo anterior, se reitera, porque quien interactuó a través de la plataforma virtual superó todos los retos que el sistema le envió, constatándose sin duda que el USUARIO que actuaba, lo hacía con la información que en cada transacción el sistema del BNCR le requirió tal como token, contraseña, etc. Por otro lado es menester indicar que no existe elemento probatorio que desvirtúe de manera alguna, que fuese el sistema del ente demandado el que sufrió la invasión por parte del

tercero.

Luego, para la asociación actora el nexo de causalidad se residencia en la omisión del BNCR de enviar alertas según lo indicado en el artículo 35 del Reglamento del Sistema de Pagos del BCCR que regula el pago mediante el sistema SINPE, informando al cliente sobre la realización de las transacciones. Criterio que tampoco comparte esta Cámara, pues es claro que la causa eficiente del daño patrimonial no se puede residenciar en tal situación, sino que el nexo causal del daño sufrido por la ASET se residencia en el hecho de que el señor Pérez Orozco suministró la información para acceder a la internet banking a terceros en razón del negocio que dijo iba a realizar de su vehículo el día 19 de noviembre de 2022. De esta forma si realizamos una supresión hipotética del suministro de la información que el señor Pérez Orozco otorgó a terceros; la sustracción del dinero simplemente no se hubiese dado, más allá de que no se hubiesen enviado las alertas. Por otro lado se debe considerar que en este tipo de estafas, cuando terceros mediante la información suministrada por la propia víctima logran accesar al sistema, lo primero que hacen es cambiar el número de teléfono de referencia ante el Banco y el correo electrónico, eso con el fin de que precisamente la entidad bancaria al mandar alertas estas no le lleguen al cliente víctima de la estafa. Nótese que en la estafa de la que fue víctima el señor Pérez Orozco, los estafadores le indicaron no ingresar al sistema, ello precisamente para que no se diera cuenta de las matrículas de las cuentas que hicieron y posterior envío de dinero a esas cuentas. Además, conforme a la investigación realizada por la funcionaria bancaria Kendy Vanessa Jiménez López, al día 19 de noviembre de 2022, ni el señor Pérez Orozco, ni la Asociación actora habían activado la opción "envío de alertas". (Ver imagen 260 del expediente digital judicial). En razón de lo anterior, no se puede hablar de existencia de una conducta anormal de la Administración, traducida en una anormalidad del sistema empleado por el banco, habida cuenta que no hubo vulneración del mismo, al haberse accesado a la plataforma virtual por la vía normal, sea mediante el uso del token, contraseña, etc. La aceptación del señor Pérez Orozco ante el Organismo de Investigación Judicial, de que él suministró la información requerida para ingresar a la plataforma de internet banking; de conformidad con la reglas de la sana crítica racional, es dable pensar que si realizó tal acción poco prudente fue quien suministró, aunque de manera involuntaria, su información personal y calificada a terceros, que se valieron de su actuar para despojar a la ASET de sus recursos. Estima este Tribunal que no es dable acoger la tesis de una responsabilidad del Banco en el caso de análisis, dado que la "ajenidad" del daño, la da el propio actuar aceptado por el señor Pérez Orozco y ante el cual, no se puede presumir, exista medio alguno para evitar o subsanar sus consecuencias, más allá de las medidas que se ha demostrado, ha adoptado el Banco demandado como medidas de control y contención ante las diferentes modalidades de fraude informático e ingeniería social. Por lo anterior, tal y como en el presente caso, existe aceptación de una conducta negligente por el usuario, por lo que no estamos en presencia de responsabilidad de la parte demandada. En el caso en particular, de sus propias manifestaciones (hecho 3 de la demanda) y de la declaración del señor Pérez Orozco ante el Organismo de Investigación Judicial, se colige que fue su actuar el que ocasionó con su conducta el hecho generador de responsabilidad. Como se ha indicado, no es el sistema mismo empleado por el Banco, ni otra conducta de sus servidores la que provocó la vulneración en sus mecanismos de seguridad, sino que fue la conducta del señor Pérez Orozco, que provocó que terceros accedieran a la información requerida para ingresar al sistema. Estima este Tribunal que no es dable exigir al Banco demandado, una diligencia más allá de la posible, necesaria y razonable dentro de la lógica, la ciencia y la experiencia, para cautelar la protección de sus intereses y los de sus clientes, ni es posible considerar que el ente bancario esté en el deber de responder por las propias acciones u omisiones de éstos o por la falta de prudencia del usuario de sus servicios, cuando éste compromete la confidencialidad de su información. Si bien la Ley de  Promoción de la Competencia y Protección Efectiva del Consumidor se funda en un concepto de responsabilidad objetiva, ésta debe ponderarse a la luz de una valoración efectiva del caso concreto y tomando en consideración que la misma no fue creada para que el comerciante o proveedor de bienes o servicios respondiera ante la propia negligencia del cliente. Un límite lógico de la responsabilidad, será entonces la propia actuación del que se dice afectado del hecho dañoso, en estricta aplicación del concepto de "ajenidad" del daño (artículo 35 de la LPCDEC) y de las normas del artículos 190 de la Ley General de la Administración Pública. En esta línea de pensamiento, véase que en el Contrato suscrito se pactó expresamente entre las partes respecto al buen uso que se le debía dar a la información confidencial en manos del cliente:

Y es que se debe reiterar a pesar de estar frente a una relación de consumo y mediar un tipo de responsabilidad objetiva, ello de manera alguna significa que el Banco sea responsable por daños patrimoniales ocasionados por el propio cliente, como sucedió en este caso que fue el titular de la información confidencial quien se la suministró a un tercero y provocó con su actuar el daño patrimonial en perjuicio de la ASET. En definitiva, el Banco demandado demostró en este proceso que el daño fue ajeno a sus obligaciones, dado que se acreditó por una parte que  los sistemas de seguridad del banco no fallaron y funcionaron de forma adecuada y por otra se demostró que la parte actora reveló de manera  negligente información a terceras personas sobre los mecanismos de ingreso a su cuenta de internet. Por ende, dicha situación compleja (integrada por dos elementos, sea la demostración de no vulneración de sistemas y en complemento, la conducta negligente del cliente) desvincula al banco de su responsabilidad, dado que el actuar del usuario trascendió los mecanismos de control existentes y creados ante la situación de riesgo propio de la actividad bancaria. En este orden de ideas, el riesgo vulnerado entonces, no es el inherente al servicio bancario como tal (el cual nunca fue objeto de injerencia anormal por parte de terceros, según consta en autos), sino a la  custodia de la clave suministrada al actor, y a cuyo actuar negligente no existe mayor mecanismo preventivo que la información de la consecuencia de sus actos irreflexivos. Corolario de lo anterior es el rechazo de la demanda en todos sus extremos.

SOBRE LAS PRETENSIONES PATRIMONIALES: La representación de la asociación actora solicitó que en sentencia se condene al BNCR a reintegrale la suma sustraída de su  cuenta corriente en colones de esa entidad número [Valor 001] el día 19 de noviembre del 2022, así como al pago de sus intereses e indexación sobre el monto sustraído computados desde el día 19 de noviembre de 2022 y hasta su efectivo pago. En razón de que conforme a los hechos que se han tenido por acreditados, en el presente caso ha mediado un ajenidad en la comisión del daño, dicha situación exime de responsabilidad patrimonial del BNCR y por ende se debe rechazar los extremos patrimoniales también en todos sus extremos.

DEFENSAS: Con respecto a las excepciones de falta de legitimación pasiva, la misma debe ser rechazada, en tanto que de los autos se advierte que la Asociación actora es la titular de la cuenta de ahorros afectada con motivo de las transferencias objeto de este proceso y el BNCR era el ente bancario responsable de la misma. Por los motivos indicados en los considerandos anteriores , procede acoger la defensa de falta de derecho opuesta por la representación del banco demandado y declarar improcedente la demanda en todos sus extremos.

COSTAS: El artículo 193 del Código Procesal Contencioso Administrativo establece que las costas procesales y personales se imponen al vencido por el solo hecho de serlo. La dispensa de esta condena solo es viable cuando hubiere, a juicio del Tribunal, motivo suficiente para litigar o cuando la sentencia se dicte en virtud de pruebas que desconociera la parte contraria. No encontrándose la situación de la actora en dicho supuesto; se le condena al pago de ambas costas de la acción, las cuales se deberán liquidar en fase de ejecución de sentencia a ruego de la representación del BNCR.