Resolución 00645-2026

Alegatos de la demanda: Sostiene la actora que es cliente del Banco Nacional de Costa Rica, con quien tiene varias cuentas bancarias en colones y dólares, en las cuales autorizó, mediante la firma de su representante legal y el formulario respectivo, a un grupo reducido de  funcionarios para el manejo y transferencias de dinero de estas cuentas bancarias, siempre que actuaran en forma mancomunada dos de ellos, dentro de los cuales figuraba el señor Ramón Rosales Posas, quien para la fecha del evento de interés, no contaba con la aplicación móvil llamada BN token celular. Explica que el 14 de octubre del 2021, el señor Rosales Posas recibió una llamada telefónica, de un número idéntico al del BNCR, mediante la cual se le engañó para que suministrara códigos bancarios que le permitieron a un tercero no identificado, la realización de varias transferencias bancarias, que se concretaron por debilidades del sistema de seguridad de la plataforma "Internet Banking" por las sumas de ¢52.400.000,00 (cincuenta y dos millones cuatrocientos mil colones) y $77.000,03 (setenta y siete mil dólares americanos con 03/100), más comisiones bancarias por la suma de ¢15.600,00 (quince mil seiscientos colones). Sostiene que el sistema de Internet Banking permitió que un tercero, con el código de usuario del señor Ramón Rosales, creara otro administrador en las cuentas bancarias, conculcando el artículo 77 de la Ley Orgánica del Sistema Bancario Nacional, el cual claramente dispone que solo el titular de una cuenta puede dar autorizaciones para actuar en la misma y esta autorización debe realizarse por escrito, de modo que para el ICAP, esa actuación solamente podía darse por medio de un apoderado o representante legal con poder suficiente. Es este caso la autorización se realizó a través del sistema, omitiendo la presentación del formulario "Solicitud Virtual de Cambios Usuarios Administradores", el cual requiere la firma y poder del representante legal del ICAP. Estima que el sistema Intemet Banking presentó otra falla de seguridad que se constituyen en una conducta Iesiva por parte del Banco Nacional de Costa Rica que viola el derecho a la seguridad económica del lCAP, cuando permitió que un autorizado en la cuenta bancaria actuando por sí solo, desvirtuara el procedimiento de mancomunación dispuesto para transferencias bancarias, a través de la utilización del único código de usuario [Valor 001] del señor Ramón Rosales. Considera también que otra falla de seguridad del sistema Internet Banking  que se constituyen en una conducta lesiva por parte del Banco Nacional de Costa Rica que viola el derecho a la seguridad económica del ICAP, fue haber permitido que un autorizado en la cuenta bancaria actuando por sí solo desactivara todo tipo de alertas sobre los movimientos y transacciones que se estaban realizando.  Todo ello causó un daño económico al ICAP, ante la sustracción en forma fraudulenta de los dineros indicados, transferidos a cuentas bancarias de distintas personas con las que el ÍCAP no tiene ni ha tenido ninguna relación. Estima que el nexo causal se genera producto de las serias deficiencias del sistema Internet Banking y el daño y perjuicio causado al ICAP, pues el sistema permitió que se crearan terceros autorizados para el manejo de las cuentas sin la concurrencia del titular de la misma, sin que mediara un procedimiento de comunicación escrito, que se desconociera o desvirtuara el proceso de mancomunación y el hecho de que un único usuario desactivara todas las alertas, permitió la sustracción de las fuertes sumas de dinero. Sin embargo, el banco demandado declinó el reclamo administrativo que interpuso, pues concluyó que el daño no provino de una falla o vulneración del sistema de Intemet Banking ni muchos menos de una falta de información por parte del Banco, y más bien  fue causado por un tercero ajeno a la relación de consumo, al cual se le brindó información sensible, de modo que estimo que estaba frente al eximente de  responsabilidad del hecho de un tercero, además de la culpa de la víctima, en el tanto fue un autorizado del ICAP el que suministró los accesos al sistema.

Defensa del BNCR. La defensa del Banco rechaza la demanda y arguye que efectivamente el accionante mantenía sus cuentas electrónicas en colones y en dólares, mas agrega que las transacciones se realizaron con el usuario de internet banking del señor Rosales Posas, quien fue víctima de estafadores que obtuvieron información confidencial y utilizaron sus códigos de verificación que se le enviaron a su teléfono celular y a su correo electrónico, por medio de lo cual cambiaron el nivel de seguridad Web Básico que no utiliza token o firma digital, únicamente código de usuario y contraseña, y lo afiliaron a BN Token Celular, para lo cual el señor Rosales Posas tuvo que haber brindado Código de Verificación, datos de la tarjeta de débito (número y vencimiento), Código de Seguridad y OTP del token celular. Agrega que con el usuario del señor Rosales Posas se incluyó a Alex Francisco Romero Vásquez, ya que ostentaba los permisos suficientes para realizar dicha inclusión, por cuanto ostentaba el rol de administrador asignado por el ICAP, el cual le permite realizar las modificaciones que desee en cuanto a las reglas de mancomunación.  Inclusive, el proceso de inclusión de cuentas favoritas generó una alerta que fue remitida a los mismos medios de notificación, lamentablemente, la advertencia fue ignorada por el señor Ramon Rosales Posada.  Estima que el Banco Nacional de Costa Rica está en la obligación de brindar seguridad a sus clientes en el resguardo de sus fondos, mas también ellos están en la obligación de ser diligentes y precavidos con la información confidencial de acceso a sus cuentas, asumiendo una responsabilidad de custodia sobre los instrumentos para realizar los giros bancarios, la cual, en caso de incumplimiento, exime al banco de todo compromiso con relación a la supuesta pérdida económica experimentada; pues  la única forma de definir al autor de una transacción es mediante la clave –que ha sido creada por el mismo cliente– y en el presente caso: los códigos de verificación fuera de banda; los cuales son de uso personal y confidencial. Por ello, se rompe por completo el nexo de causalidad entre el daño sufrido y alguna actuación negligente, imprudente o culposa de la entidad bancaria; lo cual permite configurar el criterio de ajenidad establecido en el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor, de modo que el daño pecuniario sufrido por el ICAP  tiene como génesis la culpa de la víctima y el hecho de un tercero que manipuló la plataforma digital de Internet Banking.  Por lo indicado, pide se declare sin lugar la demanda y se condene en costas al actor.

Hechos probados. Con vista en la prueba documental admitida y evacuada en el juicio oral y público, se tiene por demostrados los siguientes hechos de relevancia:1. La accionante mantiene con el Banco Nacional de Costa Rica las cuentas bancarias; en colones número IBAN CR39015114710010006936 y en dólares número IBAN CR04015114710026005873. En ambas cuentas el ICAP, como titular de las mismas y mediante actuación de su representante legal, ha autorizado a un grupo reducido de funcionarios para el manejo y transferencias de dinero de estas cuentas bancarias, siempre que actuaran en forma mancomunada dos de ellos (hecho no controvertido).2. EL BNCR brinda un servicio adicional a sus clientes, mediante el acceso a la plataforma de Internet Banking, en el cual los clientes determinan  los mecanismos de seguridad que deseen implementar,  ya sea el básico con acceso mediante usuario o contraseña, o con la  información de las tarjetas y OTP (one time password) del  token, para los supuestos en que se pretenda matricular nuevas cuentas, aumentar los límites de transacciones diarias y realizar transferencias bancarias a otras cuentas de terceros (en tales términos declaración del testigo funcionario Héctor Obando).3. La inscripción de funcionarios autorizados en los sistemas del Banco Nacional para las cuentas bancarias del ICAP se realizaba mediante documento firmado por el representante legal del ICAP al cual se le adjunta el poder de representación (comunicaciones por correo electrónico, formularios y poderes en imágenes que van de imagen 28 a 54 del expediente judicial).

El señor Ramón Rosales Posas, en su condición de Director interino del ICAP, ostentó el cargo de apoderado generalísimo sin límite de suma de esa institución, del 22 de marzo del 2021 al 22 de junio del 2021. El señor Rosales Posas suscribió, en esa condición, el 30 de abril del 2021, el formulario diseñado por este banco llamado "Solicitud Virtual de Cambios Usuarios Administradores", en el cual solicitó eliminar al usuario Alexander López Ramírez, cédula de identidad número 6-0220–0523 y se constituyó como Administrador “con todos los permisos” para la opción de “crear”, pero debía actuar de forma mancomunada con el mismo grupo en la opción de “modificar”. El 5 de mayo del 2021 fue agregado como autorizado en varias cuentas bancarias del ICAP (poder en imagen 45 del expediente judicial, escritura No. 72 levantada en el protocolo del Notario Público Edwin Chacón Saborío, en imágenes 47 a 53 del expediente judicial, declaración testimonial de Ania Mora Hernández, formulario en imágenes 43 y 44 del expediente judicial y oficio DS-028-2022 en imágenes a 182 del expediente judicial).

El Señor Ramón Rosales Posas, estando aún autorizado como administrador de dichas cuentas bancarias, con código [Valor 001], recibió el 14 de octubre de 2021 una llamada telefónica que se identificó con el número telefónico 2212-2000, el cual corresponde al número telefónico del Banco Nacional de Costa Rica. Mediante esta llamada telefónica se le engañó para que suministrara códigos bancarios que le permitieron a un tercero no identificado, ingresar a la plataforma "Internet Banking". Para ese momento, el señor Rosales Posas no contaba con la Aplicación BN token celular (declaración del testigo Ramón Rosales Posas, hecho no controvertido).

De conformidad con el informe de seguridad DS-1305-2021, el ingreso al Sistema de Internet Banking por parte de terceros, se produjo con el usuario de la clave de BN móvil del señor Rosales Posas, con código [Valor 001], al ser las 11:37:06 se modificó el nivel de seguridad Web Básico (que no utiliza token o firma digital, únicamente código de usuario y contraseña)  y se cambió al nivel de seguridad Hardware Token (HWToken) y se afilió a BN Token Celular, de modo que la plataforma tecnológica envió un código de verificación al señor Rosales Posas, tanto a su número de teléfono como a su correo electrónico, ambos registrados ante el BNCR, por lo que necesariamente el señor Rosales debió facilitar los OTP (one time pasword) generados por dichos token (ver Análisis de Bitácora de Eventos Internet Banking plasmado en el informe de seguridad DS-1305-2021 en imágenes 92 a 168 del expediente judicial).7. Según los registros de la bitácora de eventos de Internet Banking Corporativo/BN MOVIL, asociado al ICAP, código de usuario 300304512300, para esa fecha el cambio de administradores o autorizados lo efectuaba quien tuviera el rol de administrador. A través del usuario de administrador del señor Rosales, terceros eliminaron accesos y las cuentas otorgadas a otros usuarios, eliminaron los mecanismos de comunicación de alertas, además incluyeron un nuevo autorizado en calidad de administrador, código 117890350, Alex Francisco Romero Vásquez, a quien se le incluyó en el grupo mancomunado 1, además se le otorgaron permisos para ingresar cuentas, transferencia rápida ATM, confirmación de transferencias, transferencias de fondos 1 a 1, transferencias múltiples en línea y transferencia. Así, usando los códigos de usuarios [Valor 001] (del señor Rosales Posas) y 117890350 (de Alex Francisco Romero Vásquez) del ICAP, en un lapso de tiempo de dos horas, ese mismo día, se realizaron y una serie de gestiones, 24 transferencias bancarias, con lo cual, se sustrajo un monto de ¢52.400.000 (cincuenta y dos millones cuatrocientos mil colones) y $771.110,03 (setenta y siete mil dólares americanos con 03/100), con el siguiente detalle:a) Se realizó una transferencia por un monto total de $64.257,03 (sesenta y cuatro mil doscientos cincuenta y siete dólares americanos con tres centavos) desde la cuenta en dólares antes indicada a la cuenta en colones del ICAP antes señalada. Esto significó un crédito de ¢40.000.000 (Cuarenta millones de colones) en dicha cuenta.b) Se realizó una segunda transferencia por un monto total de $48.192,77 (cuarenta y ocho mil ciento noventa y dos dólares americanos con setenta y siete centavos) desde la cuenta en dólares antes indicada a la cuenta en colones del ICAP antes señalada. Esto significó un crédito de ¢30.000.000 (treinta millones de colones).c) Se realizaron un total de catorce transferencias por una suma total ¢52.400.000 (cincuenta y dos millones cuatrocientos mil colones) de la cuenta en colones antes indicada a cuentas bancarias de terceras personas con las que el ICAP no tiene ninguna relación. d) Estas catorce transacciones generaron además catorce comisiones bancarias.e) Finalmente, se realizaron diez transferencias por una suma total US$77.110.03 (setenta y siete mil ciento diez dólares con tres centavos) de la cuenta en dólares antes indicada, a cuentas bancarias de terceras personas con las que el ICAP no tiene, ni ha tenido ninguna relación. (Ver informe de seguridad DS-2377-2025 a partir de la imagen 272 hasta la 287 del expediente judicial, Análisis de Bitácora de Eventos Internet Banking plasmado en el informe de seguridad DS-1305-2021 en imágenes 92 a  168 del expediente judicial, declaraciones de los testigos Ramón Rosales Posas y Héctor Obando Rojas.)8. El ICAP interpuso formal reclamo administrativo ante el BNCR,  el cual resultó infructuoso según oficio SGO-251-2021 de fecha 7 de diciembre de 2021, del señor Jaime Murillo Viquez, Subgerente de Operaciones del Banco Nacional de Costa Rica, quien rechazó la solicitud de restitución del dinero sustraído, sobre la base del informe DS-1305-2021 suscrito por el señor Juan de Dios Andrés Bonilla, de la Subgerencia General de Operaciones de la Dirección de Seguridad e Investigaciones del Banco Nacional, indicando que: “Basado en el resultado obtenido del análisis de la información aportada en la bitácora de eventos del servicio Internet Banking y en la información observada en el SFB Sistema Financiero Bancario), referente a los movimientos que afectaron las cuentas del Instituto Centroamericano de Administración Pública ICAP cédula jurídica 300304512300, y los datos de los comprobantes que se adjuntaron, salvo mejor criterio, se recomienda Rechazar  el Reclamo del ofendido, al observarse que todas las transacciones se realizaron con el código de usuario 300304512300 y el código de usuario [Valor 001] el cual esta asignado al señor Ramón Rosales Posas”.9. Inconforme, el ICAP presentó recurso de revocatoria y apelación en subsidio mediante el cual reclamó que el Banco Nacional no hizo una investigación para verificar la verdad real de los hechos, ya que, según su parecer,  de forma simplista se limitó a concluir que todas las transacciones reclamadas fueron realizadas por el código de usuario [Valor 001] del ICAP, sin explicar como un delincuente logró constituirse en administrador con los accesos de un funcionario del ICAP que no contaba con poder de representación para nombrar administradores y con un procedimiento anormal, ya que siempre se había requerido un formulario con firma digital de un representante legal del ICAP y acompañado del poder de representación vigente. El recurso reclamó el hecho de que el ICAP utilizó un procedimiento de autorización mancomunada para transferencia de dinero y con los únicos accesos de un solo administrador se logró constituir otro administrador para lograr la mancomunación, lo cual en su criterio, era una seria violación al sistema de seguridad convenido con el BNCR de actuación mancomunada.10. La Dirección Jurídica del BNCR emitió el dictamen D.J. 251 -2021 con la REF/7398-2021, indicando lo siguiente:"Según los registros de la bitácora de eventos de Internet Banking Corporativo/BN MOVIL,  asociado al Instituto Centroamericano de Administración Pública (ICAP) Código de usuario 30030-l5I23()(), para la fecha 14-10-2021 a las 11:45:47 se modifican las seguridades del cliente, sin embargo la mancomunación sigue activa, por lo que a las 11:51:29 se incluye el usuario I117890350 al cual se le otorga el grupo mancomunado 1, mismo grupo al que pertenece el usuario 801140602, así ambos pueden actuar en conjunto para realizar transferencias.El usuario 117890350 ƒue incluido por el código de usuario [Valor 001] y se le asignó el rol de administrador.(...)Según los registros de la bitácora de eventos de Internet Banking Corporativo/BN MOVIL, asociado al Instituto Centroamericano de Administración Pública (ICAP), código de usuario 300304512300, para la fecha 14-10-2021, para cambiar administradores o autorizados, le efectuaba quien tuviera el rol de administrador. (…)Según los registros de la bitácora de eventos de Internet Banking Personal BN MOVIL,asociado Osvaldo de la Guardia Boyd, código de usuario [Valor 001], se evidencia la alerta por inclusión de cuenta favorita misma que fue enviada al número de teléfono 83134879 y al correo electrónico rrosales@icap.ac.cr."Según los registros de la bitácora de eventos de Internet Banking Corporativo/BN MOVIL asociado al Instituto Centroamericano de Administración Pública (ICAP), código de usuario 300304512300, para la fecha 14-10-2021a las 11:43:31 se modifican las seguridades del usuario [Valor 001] para que el sistema no envíe correos ni mensajes de texto con la confirmación de las transferencias."(imágenes 106 a 121 del del expediente administrativo en disco compacto).11. Mediante oficio SGO-017-2022 de fecha 27 de enero de 2022 de la Subgerencia General de Operaciones del Banco Nacional rechazó el recurso de revocatoria presentado indicando:"(…) Fue posible determinar un uso inadecuado de los dispositivos de seguridad que ostenta uno de sus autorizados en las cuentas, específicamente, el señor Ramon Rosales Posas.El señor Ramon Rosales Posas se encuentra autorizado en las cuentas bancarias del Instituto Centroamericano de Administración Pública desde mayo del año 2021.Es una obligación del cliente custodiar la información asociada a la cuenta, así como los mecanismos de seguridad El descuido grave en que se incurrió por parte del señor Ramon Rosales Posas, autorizado en las cuentas bancarias ICAP configura uno de los eximentes de la responsabilidad: culpa de la víctima.El daño no proviene de una falla o vulneración del sistema de Internet Banking ni muchos menos de una falta de información por parte del Banco; dicho daño es causado por un tercero ajeno a la relación de consumo; al cual se le brindó información sensible para producir el daño alegado, por lo que estaríamos ƒrente a otro eximente de: el hecho de un tercero.”V.- Hechos no probados. De relevancia para resolver esta causa, no se demuestra el siguiente hecho de relevancia:1. Que el ICAP hubiera comunicado al BNCR el cambio de su apoderado generalísimo, ni hubiera modificado los permisos que se otorgaron al señor Ramón Rosales Posas mientras ocupó el cargo de Director interino (los autos).

Sobre el fondo. El contrato de cuenta corriente, entendido análogamente el de cuenta de ahorros, implica una obligación legal de custodia de los fondos por parte de la entidad bancaria, el cual brinda servicios de seguridad de los fondos que se le depositan. La Ley 7472 prevé el derecho de información en beneficio de los consumidores y usuarios quienes han de contar con datos veraces, oportunos, específicos, claros, pertinentes y suficientes (artículos 17 incisos b) y c), 32 incisos c) y e) y 34 inciso b) de esa normativa), a fin de procurar, hasta donde sea posible, decisiones de consumo oportunas, racionales y razonables. Ello es un derivado del artículo 46 de la Carta Magna, el cual dispone que la información relevante suministrada al potencial consumidor debe ser veraz y adecuada. Es deber del comerciante demostrar que cumplió con su obligación legal de brindar la información necesaria al consumidor, enfatizando que, en los supuestos de contratos de adhesión, como ocurre con las cuentas bancarias, debe entregarle aquella que sea medular y permita al adquirente del bien o servicio, suscribir el contrato sin vicio alguno de la voluntad. Además, la entidad bancaria debe indicar a sus usuarios el servicio que se brinda por internet, cuáles son los mecanismos de seguridad digital que pone a su disposición, para que el usuario elija cuál de ellos obtener.

Sobre los hechos acaecidos. En esta causa, el cuadro fáctico en sí no tiene mayor controversia entre las partes, del cual se desprende que los sistemas de acceso a la plataforma de Internet Banking por parte de los clientes del banco, son un servicio adicional que presta dicha entidad financiera, de modo que ellos mismos son los que determinan  los mecanismos de seguridad que deseen implementar,  ya sea el básico con acceso mediante usuario o contraseña, o con la  información de las tarjetas y OTP (one time password) del  token, o inclusive por medio de certificado digital (en tales términos declaración del testigo funcionario Héctor Obando). Durante el período en que el señor Ramón Rosales Posas fungió en el cargo de Director interino del ICAP (del 22 de marzo al 22 de junio del 2021), suscribió el 30 de abril del 2021, el formulario diseñado por este banco llamado "Solicitud Virtual de Cambios Usuarios Administradores", en el cual se constituyó como Administrador en la opción de “crear” “con todos los permisos”, pero debía actuar de forma mancomunada con el mismo grupo cuando se trataba de “modificar”. Entonces, a pesar de que el sistema de Internet Banking se establece como auto gestión del usuario, quien es el que tiene en su poder y custodia todos los mecanismos de seguridad, desde la contraseña hasta el uso de certificados o token, los mecanismos de acceso a la plataforma de internet banking  del señor Rosales Posas eran los más básicos que suministra el BNCR, pues con solo su  usuario y password, se podía ingresar a las cuentas del ICAP, sin necesidad de que se hubiera afiliado al servicio de hardware token. Además, por haberse constituido en calidad de Administrador, tenía permisos para hacer todo tipo de modificaciones en el sistema, por lo que podía incluir nuevos usuarios y administradores (ver oficio DS-028-2022 en imágenes 179 a 182 del expediente judicial). Es claro entonces que, durante el periodo que fungió en ese cargo, legalmente asumía la representación legal del Instituto, por lo que podía tomar decisiones de forma autónoma a nombre y por cuenta del ICAP. En tales condiciones se constituyó como usuario 80114608 de Internet Banking, por lo que esa misma condición le habilitaba para agregar nuevos usuarios.  A pesar de que el señor Rosales Posas dejó el cargo de Director del ICAP en junio del 2021, el ICAP no modificó aquellas plenas facultades que venía ostentando el señor Rosales Posas en el Sistema de Internet Banking, de modo que, a nivel telemático, sus habilitaciones permanecían vigentes para el momento en que se dieron las transacciones irregulares en las cuentas del ICAP.  Al revisarse las bitácoras y los informes de área de seguridad bancaria del BNCR, junto con la propia declaración testimonial el señor Rosales Posas, no hay duda que de manera involuntaria y sin tener conciencia de que estaba siendo objeto de una maniobra de ingeniería social, su colaboración fue indispensable para que se perfeccionara el atraco, quien brindó a terceros sus credenciales de acceso al Sistema de Internet Banking. Ello se desprende del  reconocimiento expreso  que se hace en la demanda, así como en el reclamo presentado ante el BNCR y la respectiva denuncia interpuesta ante las autoridades judiciales, lo cual reiteró en la declaración testimonial en el juicio oral, quien admitió haber tenido contacto telefónico con los delincuentes el 14 de octubre del 2021 antes del mediodía, declaración que, analizada a la luz de la bitácora levantada por el área de seguridad del banco, permite concluir que, al haberse perfeccionado todas las gestiones y transacciones bancarias con el usuario del señor Rosales Posas, durante la conversación telefónica necesariamente tuvo que haber suministrado información sensible y de carácter privado, a terceros no autorizados. Ello se facilitó debido a que el señor Rosales Posas tenía un sistema básico de seguridad en dicha plataforma bancaria, de acceso solo con usuario y password, de modo que para los antisociales fue sencillo el ingreso a la cuenta del ICAP a través del usuario suministrado por el señor Rosales Posas. Una vez que los terceros incursionaron en dicha plataforma, lograron hacer modificaciones en los sistemas de alarmas, cambiaron los parámetros de acceso eliminando otros usuarios, obtuvieron la  suscripción al servicio de BN token celular,  para lo cual el señor Rosales tuvo que brindar un código de verificación que le fue enviado por mensajería de texto y al correo electrónico, según quedó registrado en el Análisis de Bitácora de Eventos Internet Banking contenido en el  informe de seguridad DS-1305-2021, por lo que la única manera posible para que se perpetrara la estafa, era persuadiéndolo y engañándolo para que suministrara los códigos de autorización. Ciertamente el señor Rosales Posas tenía el deber de conocer y entender que no debía suministrar sus datos sensibles vía telefónica o por correo electrónico a terceros, mas es claro que esa actuación se produjo en un contexto de engaño que le hizo creer que había que brindar los datos de ingreso al sistema de Internet Banking, entregando su información sensible a personas inescrupulosas. Así, con los poderes de Administrador, terceros crearon cuentas favoritas y, como las transferencias necesariamente se podían generar con autorizaciones mancomunadas de dos personas que ostentaran permisos al efecto en el sistema, los malhechores agregaron otro usuario, Alex Francisco Romero Vásquez, a quien se le asignó el código 117890350, de modo que lograron obtener dos usuarios que autorizaban los débitos de fondos, así se concretaron las 24 transferencias bancarias a cuentas de terceros de forma mancomunada, por las sumas totales de ¢52.400.000 (cincuenta y dos millones cuatrocientos mil colones) y $77.000,03 (setenta y siete mil dólares americanos con 03/100).

El ICAP estima que el Sistema de Internet Banking del BNCR, permitió de manera ilegítima que un tercero con el único código de usuario [Valor 001] del señor Ramón Rosales, sin autorización del ICAP, creara otro administrador en sus cuentas bancarias, burlando la mancomunidad dispuesta al efecto, conculcando el artículo 77 de la Ley Orgánica del Sistema Bancario Nacional, a pesar de que solamente un apoderado o representante legal con poder suficiente para representarlo podía dar este tipo de autorizaciones. Además, es del criterio que se produjo una transgresión de los derechos que como consumidor le otorga el artículo 35 de la Ley 7472, cuando permitió que un autorizado en la cuenta bancaria actuando por sí solo, desvirtuara el procedimiento de mancomunación dispuesto para transferencias bancarias, además se bloquearon usuarios y se desactivaron las alertas sobre los movimientos y transacciones, de modo que se facilitó el atraco del que fue víctima. La tesis de la accionante es que ello es un incumplimiento de sus obligaciones como entidad bancaria dentro del marco de la Ley 7472, pues se produjo una omisión de brindar protección de sus intereses económicos, lo que propició los eventos delictivos que sufrió, por terceros, lo que le lleva a considerar que está en el derecho de reclamar la debida indemnización por el daño sufrido, consistente en el dinero sustraído más los intereses de ley.  Por su parte, la defensa del BNCR no aborda el eje del objeto del proceso, dejando ayuna la contestación de la demanda sobre esta tesis en concreto, mas enfocó su defensa en el hecho de que, la única manera mediante la cual era posible el ingreso de terceros a la plataforma de Internet Banking, era mediante el suministro de información sensible suministrada por el ICAP, a través de los permisos de acceso que confirió al señor Rosales Posas en su condición de Administrador de la cuenta, por lo que medió culpa de la víctima y hecho de un tercero como causales eximentes de responsabilidad. Para esta Cámara, la teoría del caso de la parte actora obvia los poderes otorgados por escrito al señor Rosales Posas (explicados líneas atrás), los mecanismos de ingreso, uso y administración de sus cuentas bancarias vigentes para ese momento, desarrollando una tesis que le reprocha al banco un curso causal que omite el análisis de su culpa alegando ausencia de autorización por parte del ICAP, en donde la responsabilidad de la entidad bancaria deriva de la existencia de sistemas bancarios inseguros que permitieron que a través de un único usuario, se pudiera  generar todos esos movimientos, en transgresión de la regla de mancomunidad que había dispuesto oportunamente y de la disposición contenida en el ordinal 77 de la Ley Orgánica del Sistema Bancario Nacional.  Sobre este particular, debe indicarse lo siguiente: Del informe DS-1305-2021  que obra en autos, que se complementa con  el oficio DS-2357-2025 ofrecido y admitido como prueba para mejor resolver en el juicio oral y público,  así como de la declaración testimonial que rindió el Ingeniero Héctor Obando, se desprende que ciertamente la institución financiera pone a disposición del cliente el servicio bancario por vía de internet, por medio del cual el usuario es que asume las riendas de la administración de su cuenta y los fondos que en ella se depositan, por vía remota. A partir de ese momento, es el cliente el que define los parámetros para utilización de la plataforma electrónica. Sin duda existe un riesgo en toda actividad de comercio relacionada con dinero, en el tanto se encuentra en la mira de la delincuencia organizada. Precisamente, el dinero electrónico ha venido a sustituir el trasiego tradicional de la moneda y el billete físico, en un porcentaje importante de las transacciones del comercio nacional, por la barrera que implica para los ladrones. El hampa ha burlado los límites de acceso a las redes bancarias, usando timos para engañar a los clientes, a quienes le sonsacan sus datos sensibles e irrumpen sobre las plataformas suplantando la identidad del cliente. Al efecto, el BNCR desarrolló su plataforma tecnológica de Internet Banking y, con la finalidad de garantizar la identidad del cliente, entrega su código de usuario y clave de acceso, y también provee mecanismos más seguros como el token como dispositivo físico de seguridad, o la firma digital, todos ellos de uso exclusivo y personalísimo del cliente. Aunado a esto, es un hecho público y notorio las diversas campañas que los bancos del Sistema Bancario Nacional han implementado para informar a sus clientes de los riesgos inherentes al Internet Banking, pues el resguardo apropiado de su información confidencial y no revelarla a terceros desconocidos, es clave para la seguridad de los dineros e impedir el acceso a gente inescrupulosa que pretenda sustraerlos. Para esta Cámara, si bien existe en la actualidad desarrollos de software más avanzados que potenciarían la seguridad bancaria, la propuesta que plantea el Instituto accionante se desarrolla a sabiendas de que el señor Rosales Posas fue víctima de esa estafa bancaria y cayó en la trampa de la delincuencia, brindando su información bancaria y facilitándoles así el acceso a las cuentas bancarias del ICAP.  De los hechos probados de esta sentencia se desprende que el sistema del BNCR funcionó con normalidad y no se vulneró, siendo que la sustracción del dinero solo se produjo por el ardid en que cayó el señor Rosales Posas, suministrando información sensible. A través del token se dificulta a la delincuencia la concreción de sus estafas por internet debido a que se requiere de los códigos que este suministra para poder realizar las transacciones bancarias, la cual funciona como una llave maestra asociada en forma unívoca a su dueño, representando así una identidad digital debidamente protegida, por medio de la cual se aumenta la seguridad de la institución bancaria y de sus usuarios, puesto que es indispensable el uso del dispositivo junto con el pin de activación qué únicamente define su propietario, el cual también es un dispositivo físico que se puede configurar al teléfono celular. Uno de los problemas que enfrentan las instituciones bancarias para con sus usuarios es el fraude mediante el robo de identidad y el fraude en llamadas telefónicas. A criterio de esta Cámara, tratándose de obligaciones legales, el Banco demandado sí cumplió con su deber de suministrar una red de seguridad informática mediante la cual dotó al accionante de acceso seguro por internet a sus cuentas, con la salvedad que la responsabilidad del uso de esa plataforma quedó bajo la administración del ICAP. Se ha verificado que el señor Rosales Posas fue incautado por vía telefónica y, una vez que creyó en el engaño de su interlocutor, entregó al menos sus credenciales y los pines que se le suministraron para la afiliación al sistema de token. Sin duda, la información que entregó fue suficiente para que se perpetrara el robo del dinero, ya que los hampones lograron ingresar a la plataforma mediante la suplantación de su identidad y, aprovechando la condición de Administrador que aún ostentaba, sustrajeron el dinero del ICAP que tenía depositado en custodia del BNCR. Se concluye que por ingeniería social enredaron al cliente-víctima de manera audaz y malintencionada, lo engañaron y obtuvieron la información sensible que finalmente dio total acceso a las cuentas bancarias del ICAP.  Ello se produjo porque se le facilitaron todos los permisos al señor Rosales, desde que él mismo, el 30 de abril del 2021, dispuso ser el Administrador de las cuentas, mientras ejercía el cargo del Director y apoderado generalísimo sin límite de suma del ICAP. En términos estrictamente legales, debe entenderse que el ICAP dispuso darle esas facultades, de modo que podía realizar toda clase de gestiones en la plataforma por su cuenta y a su nombre. La opción de “crear” “con todos los permisos” era plena, y solo la posibilidad de “modificar” debía ser mancomunada. Lamentablemente, con el vencimiento de su cargo, el ICAP no modificó los parámetros de autorización que le había otorgado. Entonces, tales circunstancias permitieron que con su usuario se eliminaron los otros usuarios y se agregara un nuevo administrador, de modo que la mancomunidad ordenada se cumplió cuando se utilizó el usuario del señor Rosales Posas y el del nuevo administrador agregado. En la demanda, pareciera que el ICAP entiende que la mancomunidad iba referida a todas y cada una de las actuaciones del señor Rosales Posas, bajo el entendido que le entregó un poder general mancomunado, de modo que no podía actuar solo ni agregar más usuarios, pero del formulario respectivo firmado el 30 de abril del 2021 no se desprende esa misma lectura. A la luz del ordinal 77 de la Ley Orgánica del Sistema Bancario Nacional, es del criterio que solamente el titular de la cuenta podía actuar en las cuentas del ICAP, a través de su representante legal, y por ello otorgó autorizaciones o poderes limitados a algunos de sus funcionarios. Advierte que se trató de una especie de poderes generales, los cuales siempre se dieron por escrito, de conformidad con esa normativa, lo cual demuestra con las autorizaciones documentadas que brindó en ocasiones anteriores. Ciertamente consta en autos que se enviaron formularios con las personas autorizadas los días 8 de noviembre del 2019 y 30 de abril del 2021, además de la gestión formal de autorizados suscrito el 4 de abril del 2022.   Al respecto, la norma de cita dispone que “En la declaración que se haga para la apertura de la cuenta se determinará quiénes serán las personas autorizadas para su manejo y cualquier cambio debe ser notificado debidamente al banco por escrito”, y precisamente por ello, es que se llenan los formularios respectivos. A criterio de esta Cámara, la lectura de esa norma requiere una interpretación para el momento histórico en que ocurrieron los hechos, puesto que, claro está, la misma es de vieja data pues está vigente desde el 26 de setiembre del 1953, cuando los servicios bancarios solamente se atendían mediante cajero humano, en las sucursales de cada banco. El desarrollo tecnológico actual permite que los clientes bancarios no realicen las diligencias de manera presencial y personal en las instalaciones bancarias, y para ello los servicios por internet irrumpen con una solución sustitutiva en la cual les brindan la posibilidad de administrar sus cuentas, suplantando la atención personalizada por una impersonal, mediante sistemas informáticos, en los cuales se puede realizar las mismas gestiones siempre y cuando se ingrese con las credenciales otorgadas por el banco.  Ello permite comprender que, si el ICAP dispuso que el señor Rosales Posas sería el Administrador de sus cuentas, con todos los permisos, hasta tanto no se modificara esa condición, podía también establecer y crear nuevos usuarios, así como incorporar nuevos parámetros (lo cual se desprende del formulario respectivo visible en imagen 44 del expediente judicial). El deber del ICAP, si hubiera sido su interés, era eliminarle todos los permisos al vencer su gestión como Director a.i., cambio que debió notificarlo con un nuevo formulario o por medio de las gestiones de rigor utilizando la plataforma electrónica. Entonces, queda claro que desde el usuario del señor Rosales se podía realizar estas actuaciones, puesto que por la propia autorización del ICAP, el señor Rosales Posas mantuvo el cargo de Administrador de las cuentas a pesar de no fungir como representante legal para la fecha en que se produjo el atraco. Si bien el formulario no es claro, entiende esta Cámara que la mancomunidad se exigía para materializar las transferencias bancarias, pues era por ese medio por donde se modificaban los saldos de las cuentas, para lo cual necesitaba la colaboración de otro autorizado al efecto en el sistema, mas no era una exigencia para quien ostentaba la condición de Administrador que toda su actuación fuera en mancomunidad. En otras palabras, el darle ese cargo en la plataforma, vino a ser el remedio a nivel informático para disponer quién sería el encargado de manejar las cuentas bancarias.

Ahora bien, la parte actora reprocha que el Banco demandado estima que fue suficiente el mecanismo de seguridad brindado, trasladando a su cliente un deber de custodia de datos para dar protección de sus cuentas, incumpliendo el manejo secreto del sistema de acceso al Internet Banking. En efecto, el BNCR es del parecer que fue el propio actor, por medio del usuario del señor Rosales Posas, quien permitió el ingreso de terceros a sus cuentas bancarias, ya que todas las transacciones se realizaron con su código de usuario, su clave de acceso, los códigos de verificación y el OTP del token, de modo que considera que debe exonerársele de responsabilidad. Estamos en presencia de dos tesis excluyentes, la parte accionante reclama las omisiones del BNCR respecto del deber de dar más protección y seguridad a su cliente, obviando las reglas de mancomunidad dispuestas a través de la actuación de un usuario que no ostentaba su representación, mientras que la otra, plantea su discurso defensivo atribuyendo al actor el incorrecto cumplimiento de sus obligaciones pactadas y la participación de un tercero, como causas eximentes de responsabilidad. La doctrina objetiva de imputación de responsabilidad, conforme al ordinal 190 de la LGAP, prescinde de la conducta individualizada del sujeto responsable, pues basta con la existencia de una situación jurídicamente tutelable que una norma dispone, creando así el nexo generador de responsabilidad. La responsabilidad objetiva en materia de consumidor se encuentra prevista en el artículo 35 de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor N° 7472, el cual dispone: “El productor, el proveedor y el comerciante deben responder concurrente e independientemente de la existencia de culpa, si el consumidor resulta perjudicado por razón del bien o el servicio, de informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos. Sólo se libera quien demuestre que ha sido ajeno al daño.(...)”. Atendiendo al contenido de esta norma, la situación jurídicamente tutelable es un resultado dañoso cuyo origen o causa sea producto del bien o el servicio brindado por el banco, por informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos.  El beneficiario de tal régimen de responsabilidad es el consumidor, donde la aquiescencia, la autopuesta en riesgo y la culpa de la víctima, tienen la capacidad de romper el nexo causal. No obstante, ya sea por el hecho de que se haya consentido el evento dañoso (aquiescencia), haya asumido el riesgo de un eventual daño, o este lo haya generado, lucrado, promovido, o incrementado injustificadamente (auto puesta en riesgo) o que sea la propia conducta del sujeto (dolo o culpa, por acción u omisión) el que haya provocado el resultado dañoso (culpa de la víctima), para que la responsabilidad se configure, el artículo de cita se refiere al vicio en el consentimiento justamente al referirse a: “informaciones inadecuadas o insuficientes sobre ellos o de su utilización y riesgos”, ya que el consumidor tiene derecho al acceso claro y efectivo a los términos y condiciones del bien o servicio adquirido, las instrucciones de uso, manuales, guías, prevenciones o precauciones a tomar, los riesgos eventuales de su exposición, indicaciones y contra indicaciones, todo en un lenguaje  que, objetivamente, pueda ser comprendido por el destinatario final del bien o servicio, en los términos regulados en el artículo 32 del mismo cuerpo legal. El cliente bien informado del bien o servicio adquirido, que no utiliza esa información de manera correcta y adecuada, ya sea de manera voluntaria, dolosa, imprudente, negligente, con impericia o por simple descuido, se expone al daño y, si se genera la lesión, no hay antijuricidad y no le es indemnizable. Así las cosas, suministrado el bien o servicio, nace una carga obligacional al consumidor en cuanto al correcto uso de lo adquirido. Ahora bien, la determinación de la existencia de un nexo de causalidad, en la presente causa requiere que se genere una falta de la entidad bancaria demandada, consistente en la inseguridad de su plataforma de internet acusada por la parte demandante, como generadora del riesgo y el daño ocasionado.  A criterio de esta Cámara, la tesis de la demanda no es de recibo. En primer lugar, porque el daño que se le ocasionó al ICAP no fue producto de la inseguridad de los sistemas bancarios, misma que esta Cámara ni siquiera aprecia, pues los parámetros para el uso de la plataforma de Internet Banking los había designado el propio ICAP, además que fue indispensable colaboración de su propio agente pues el señor Rosales Posas figuraba como Administrador de las cuentas, con todos los permisos. En tales condiciones, el sistema le permitía al ICAP definir parámetros de actuación de cada colaborador e, inclusive, de agregar nuevos autorizados, a su nombre y por su cuenta. El accionante no puso en cuestionamiento que el Banco le suministró de mecanismos de seguridad y, de hecho, lamentablemente su propio Administrador rompió con el secreto de la información sensible, violentando el hermetismo de sus datos que solo para él mismo se le habían proveído por medio del sistema de Internet Banking. El daño no proviene de una falla o vulneración del sistema de Internet Banking, ni muchos menos de una omisión por cuanto no actuó el titular del ICAP, o por transgresión a la regla de mancomunidad dispuesta; dicho daño es causado por el descuido del ICAP, puesto que la persona que escogió en calidad de administradora de sus cuentas, facilitó de manera involuntaria por descuido y engaño, a un tercero información sensible para ingresar a las mismas, perpetrar el robo del dinero y producir el daño alegado, por lo que se está frente a otro eximente de responsabilidad, que es el hecho de un

Desde esta óptica, no existe nexo de causalidad alguno, en el tanto las omisiones que se acusan del Banco eluden el accionar del propio agente del ICAP y de terceros. En este caso, la plataforma tecnológica funcionó perfectamente con los métodos de seguridad implementados y, en sentido contrario, quien tenía en sus manos la capacidad de evitarlo era el propio accionante, si hubiera actualizado los datos de su Administrador mediante la eliminación de todos los poderes del señor Rosales Posas, una vez que cesó su cargo interino, y custodiando celosamente su información. La tesis planteada por la parte demandada resulta de recibo, entendiéndose que no existe causalidad que le resulte imputable pues sin duda, también medió culpa de la víctima como eximente de responsabilidad. No se aprecia que haya habido transgresión de los derechos de consumidor, de intereses económicos, a la seguridad y a sus datos, conforme lo regulan los artículos 46 constitucional, 29, 31 32, 34 y 35 de la Ley 7472,  190 de la LGAP y 46 constitucional, debido a la propia intervención del demandante, por lo que las pretensiones tendientes a declarar una actuación lesiva del BNCR y su responsabilidad indemnizatoria por concepto de daños y perjuicios (entendidos como los intereses y la indexación reclamados), son improcedentes. En estas condiciones, ha de declararse sin lugar la demanda en todos sus extremos y con lugar la defensa de falta de derecho.

Sobre las costas. Respecto a las costas, de conformidad con el numeral193 del Código Procesal Contencioso Administrativo, las costas procesales y personales constituyen una carga que se impone a la parte vencida por el hecho de serlo. La dispensa de esta condena sólo es viable cuando hubiere, a juicio del Tribunal, motivo suficiente para litigar o bien, cuando la sentencia se dicte en virtud de pruebas cuya existencia desconociera la parte contraria. En la especie, el Tribunal no ubica algún motivo para exonerar en costas, por lo que procede imponerlas a cargo de la parte demandante, extremos que se determinarán y liquidarán en fase de ejecución de sentencia, una vez firme este pronunciamiento.POR TANTOSe declara con lugar la defensa de falta de derecho y, sin lugar por improcedente, la demanda interpuesta. Son las costas a cargo de la parte actora, las cuales se determinarán y liquidarán en fase de ejecución de sentencia, una vez firme este pronunciamiento.   Evelyn Solano Ulloa Karen Calderón Chacón  Rodolfo Marenco Ortiz   - Código Verificador -ZOMNYWVIXI061 Documento firmado por:EVELYN SOLANO ULLOA, JUEZ/A DECISOR/AKAREN CALDERÓN CHACON, JUEZ/A DECISOR/AELEUTERIO RODOLFO MARENCO ORTIZ, JUEZ/A DECISOR/A EXP: 23-000887-1027-CAGoicoechea, Calle Blancos, 50 metros oeste del BNCR, frente a Café Dorado. Teléfonos: 2545-0099. Ext. 01-2707 ó 01-2599. Fax: 2241-5664 ó 2545-0006. Correo electrónico: tproca-sgdoc@poder-judicial.go.cr