17 de agosto, 2015 DFOE-EC-0583

Transcripción

1 Al contestar refiérase al oficio No de agosto, 2015 DFOE-EC-0583 Licenciado Rodolfo Piña Contreras Auditor Interno CONSEJO NACIONAL DE SUPERVISIÓN DEL SISTEMA FINANCIERO (CONASSIF) Estimado señor: Asunto: Emisión de criterio solicitado por el Auditor Interno del CONASSIF sobre acceso a la información del Centro de Información Crediticia (CIC). Se procede a dar respuesta a su consulta efectuada en oficio AI-CNS , en el que solicita el criterio de esta Contraloría General sobre si la Auditoría Interna del CONASSIF está facultada a través de las potestades conferidas en el artículo 33 de la Ley 8292 Ley General de Control Interno para obtener libre acceso a la información de las bases de datos relacionadas con el CIC para verificar la razonabilidad de la información almacenada en las bases de datos relacionadas con el CIC y para fiscalizar el cumplimiento de los artículos 170, 171 bis, 172 y 173 de la Ley Reguladora del Mercado de Valores y del artículo 19 Ley Orgánica del Banco Central de Costa Rica. I. MOTIVO DE LA GESTIÓN Señala en su consulta que, el Centro de Información Crediticia (CIC) es una aplicación informática que con base en la información que remiten las entidades financieras en el marco de la supervisión, genera reportes individuales de una persona sobre su situación crediticia, actual e histórica en las entidades, y además, calcula para dicha persona el nivel de comportamiento de pago histórico, según lo establecido en el Reglamento para la Calificación de Deudores. El CIC es administrado por la Superintendencia General de Entidades Financieras (SUGEF), y su operación está regulada por el Acuerdo SUGEF 7-06 Reglamento del Centro de Información Crediticia.

2 DFOE-EC de agosto, 2016 Para validar la información que genera el CIC, la Auditoría Interna del Consejo Nacional de Supervisión del Sistema Financiero (CONASSIF) a su cargo, ha dispuesto como parte de su revisión, verificar la validez e integridad de los reportes individuales que se generan en dicha aplicación informática. De igual forma, la Auditoría desea validar la integridad de los reportes de control generados por la SUGEF para el cumplimiento de lo establecido en los artículos 172 y 173 de la Ley Reguladora del Mercado de Valores, N Señala además que, para cumplir con los objetivos propuestos, la Auditoría Interna necesita el acceso a la información documentada, almacenada, generada o recabada en las bases de datos que administra la SUGEF relacionadas con el CIC. A su criterio este acceso no constituye una violación al derecho a la autodeterminación informativa debido a que se enmarca dentro de las potestades propias de las funciones de la auditoría interna y dicha dependencia se encuentra sujeta al deber de resguardar la confidencialidad de cualquier información que llegue a estar en su poder, de manera que el acceso a la información debe ser irrestricto para no interferir con sus labores. Con el propósito de atender su gestión de la mejor manera posible, la Contraloría General de la República se reunió con funcionarios de la SUGEF y remitió a dicha Superintendencia una consulta formal en relación con el manejo del CIC, que fue atendida por medio del oficio N SGF SGF-PUBLICO. En ese oficio y de conformidad con lo solicitado, la SUGEF remitió los protocolos definidos para autorizar a personas específicas el acceso a determinada información para efectos de investigaciones administrativas y/o actividades de control interno, el procedimiento para verificar el cumplimiento de los artículos 19, literal B y 21 de la Ley Orgánica del Banco Central de Costa Rica y los artículos 170 y 172 de la Ley Reguladora del Mercado de Valores y el detalle del procedimiento P-ST-119, cuyo propósito es verificar el cumplimiento de estos mismos artículos. También señaló, los diferentes roles de acceso al CIC que existen para sus funcionarios (administrador de padrones, administrador del sistema, analista informático, analista responsable del sistema, colaborador informático, colaborador temporal, creador de solicitudes de cambio, funcionario de correspondencia, procesador y validador). II. CONSIDERACIONES PRELIMINARES En primer término, señalamos que el ejercicio de la potestad consultiva de la Contraloría General, se encuentra regulada en el artículo 29 de su Ley Orgánica (Ley N 7428 del 4 de septiembre de 1994) y el Reglamento sobre la recepción y atención de consultas dirigidas a la (Resolución N R-DC ), publicado en el Diario Oficial La Gaceta N 244 del 20 de diciembre de Según lo dispuesto en la normativa citada, el órgano contralor emite criterios vinculantes en el ámbito de su competencia cuando se cumplen los siguientes requisitos:

3 DFOE-EC de agosto, 2016 a) Cuando la temática tenga relación con los componentes de la Hacienda Pública y en general con el ordenamiento de control y fiscalización superior de la Hacienda Pública. b) Cuando la consulta la hayan planteado los sujetos pasivos de fiscalización de la Contraloría General, según definición presente en el artículo 4 de la Ley N Deben entenderse incluidos el auditor y subauditor interno de las instituciones públicas. Ahora bien, por cumplir la presente consulta con los criterios anteriores, procede formular las siguientes consideraciones y observaciones, mediante la emisión del presente criterio vinculante, para que sea utilizado en el análisis sobre la legalidad de las conductas administrativas que serán adoptadas por el sujeto competente, a quien corresponde finalmente tomar las decisiones que considere más ajustadas a derecho. III. CRITERIO DEL ÓRGANO CONTRALOR Esta Contraloría General ya se ha referido en innumerables ocasiones al tema del acceso que debe garantizarse al auditor interno a la información en poder de la Administración sobre la que ejerce su competencia so pena de responsabilidad para la Administración que obstaculice este acceso 1, por lo que en esta oportunidad nos limitaremos a brindar un rápido repaso sobre este tema. La Ley General de Control Interno, N 8292, señala en su artículo 33 inciso a, como una de las potestades de la auditoría interna, el libre acceso, en cualquier momento, a todos los libros, los archivos, los valores, las cuentas bancarias y los documentos de los entes y órganos de su competencia institucional, así como de los sujetos privados, únicamente en cuanto administren o custodien fondos o bienes públicos de los entes y órganos de su competencia institucional; también tendrán libre acceso a otras fuentes de información relacionadas con su actividad. El auditor interno podrá acceder, para sus fines, en cualquier momento, a las transacciones electrónicas que consten en los archivos y sistemas electrónicos de las transacciones que realicen los entes con los bancos u otras instituciones, para lo cual la administración deberá facilitarle los recursos que se requieran Esta libertad de acceso, tiene como propósito el garantizar su independencia funcional y el adecuado ejercicio de su función de control dentro de la administración a la que pertenece. No debe perderse de vista que la labor de la auditoría interna no se circunscribe al patrimonio público, sino que abarca el análisis de la eficacia y eficiencia de la gestión. No obstante lo anterior, esta potestad no es absoluta ni irrestricta, toda vez que 1 Ver, entre otros, oficios: N (DI-CR-212) del 28 de mayo de 2003; N (DI-CR-269) del 7 de junio de 2004; N (FOE-SM-0311) del 21 de febrero de 2007; N (DJ-4181) del 23 de diciembre de 2010 y N (DJ ) del 31 de mayo de 2011 de esta Contraloría General.

4 DFOE-EC de agosto, 2016 debe darse un adecuado balance entre la transparencia y la rendición de cuentas y el derecho a la intimidad y la autodeterminación informativa del ciudadano. Señaló esta Contraloría General en el oficio N 3673 (DFOE-PG-166) del 24 de abril de 2012, en relación con este tema lo siguiente: Resulta de suma importancia, delimitar los alcances del concepto de transparencia y rendición de cuentas (artículos 11 y 30 de la Constitución Política), que encuentran sus fronteras en el derecho de intimidad, consagrado en el numeral 24 de la Constitución Política, el cual establece la inviolabilidad de los documentos privados y las comunicaciones escritas, orales o de cualquier otro tipo de los habitantes de la República. Se trata, de un fuero de protección a la vida privada de los ciudadanos, inaccesible al público, salvo expresa voluntad del interesado. Desde esta perspectiva, no debe confrontarse la aplicación del instituto de la transparencia y rendición de cuentas, con las limitaciones contenidas en el numeral 24 constitucional, ya que toda injerencia pública en la vida privada de los administrados debe ser demostrado en su necesidad y utilidad y, ante la duda sobre la satisfacción de ese requerimiento, la intervención ha de descartarse. En otras palabras, cuando el Estado escudriña la intimidad de las personas debe hacerlo, no solamente por los medios que la Constitución y las leyes le autoricen, sino también, porque hay una necesidad imperiosa de ese examen, de lo contrario se incurre en una evidente lesión a un derecho constitucional. En ese sentido, cabe recordar que el artículo 24 de la Constitución Política es el fundamento de diversos derechos fundamentales que regulan el derecho a la intimidad y a la vida privada. En efecto, este artículo consagra los derechos fundamentales a la intimidad, a la inviolabilidad de los documentos privados, el secreto de las comunicaciones y el derecho a la autodeterminación informativa o derecho a tener control sobre las informaciones que terceros ostenten sobre la persona de que se trate. Estos derechos tienen como fundamento la dignidad de la persona y su ejercicio supone la autodeterminación consciente y responsable de la propia vida. Normalmente se extiende el concepto de intimidad para abarcar ámbitos especiales de reserva, respecto de los cuales se establece una confidencialidad. La calificación de confidencialidad determina que la Administración puede recabar la información para el cumplimiento de sus fines, pero que dicha información continúa siendo privada y, de ese hecho, no puede ser transferida a terceros sin el consentimiento del derecho habiente o bien, en los supuestos en que el ordenamiento lo establece para satisfacer un interés público. Ergo, lo propio del dato o información confidencial es que una vez recabado no puede ser utilizado para fines y condiciones distintas a aquéllas por las que se recabó, salvo norma que autorice lo contrario. El carácter privado de la información se protege a través de esa calificación. En ese sentido, la confidencialidad es una garantía ante el suministro, voluntario o impuesto por el ordenamiento

5 DFOE-EC de agosto, 2016 como es el caso de una materia sensible como la salud, de información a un tercero. Se trata de información que es suministrada para fines determinados y que no puede ser divulgada sin el consentimiento de su titular. La confidencialidad puede, entonces, ser analizada como un deber de reserva para la autoridad administrativa. Deber de reserva que protege en último término la intimidad, incluyendo la libertad de disposición de los datos que le conciernen. De esta manera, si bien el auditor interno, goza en principio de un libre acceso a la información, este acceso debe analizarse en cada caso concreto en relación con el interés público que existe en su acceso y el derecho de los ciudadanos consagrado en el resto del ordenamiento jurídico. La Ley de Protección de la persona frente al tratamiento de sus datos personales, N , viene a ser una de las norma que restringe la potestad, no solo del auditor interno sino de la Administración en general, ya que tiene como objetivo garantizar la protección del derecho fundamental de la autodeterminación informativa, de modo que los datos personales del ciudadano sean tratados de forma legítima y en respeto de sus derechos a la privacidad e intimidad. Para estos efectos, entre las herramientas dirigidas a dicha tutela, la ley dispone una clasificación de tales datos y de conformidad con ésta, la mayor protección ante el acceso que pudieran tener tanto personas privadas como públicas. De igual forma, también establece esta norma una serie de excepciones o limitaciones al derecho referido 3, por lo que se hace necesario analizar en cada caso concreto, cuál es la normativa que resulta de aplicación y buscar un equilibrio entre los intereses públicos y privados. Señala la referida ley en lo que nos interesa: ARTÍCULO 9.- Categorías particulares de los datos. Además de las reglas generales establecidas en esta ley, para el tratamiento de los datos personales, las categorías particulares de los datos que se mencionarán, se regirán por las siguientes disposiciones: / 4.- Datos referentes al comportamiento crediticio: Los datos referentes al comportamiento crediticio se regirán por las normas que regulan el Sistema Financiero Nacional, de modo que permitan garantizar un grado de riesgo aceptable por parte de las entidades financieras, sin impedir el pleno ejercicio del derecho a la autodeterminación informativa ni exceder los límites de esta ley. (El destacado no es del original). Se tiene así, que la información crediticia, si bien efectivamente constituye un dato sensible personal del ciudadano, recibe un tratamiento distinto al resto de los datos personales tutelados por la norma que nos ocupa, siendo la norma a aplicar el artículo 133 de Ley Orgánica del Banco Central de Costa Rica, N 7558, que regula lo concerniente al manejo de la información que nos ocupa. Señala dicho artículo, en relación con el tema de interés: Artículo Reglas para manejar información 2 3 Publicada en La Gaceta Nº 170 de 5 de septiembre de Oficio N (DJ ) del 9 de abril de 2013.

6 DFOE-EC de agosto, 2016 De la información que la Superintendencia mantiene en virtud del ejercicio de sus labores de supervisión preventiva, en materia de concentración de riesgos crediticios, la Superintendencia podrá informar a las entidades fiscalizadas sobre la situación de los deudores del sistema financiero, de acuerdo con las reglas que se establecen en los incisos siguientes: / d) Queda prohibido a los funcionarios, empleados y administradores de las entidades fiscalizadas y de la Superintendencia, suministrar a terceros cualquier dato de la información a que se refiere este artículo. Quien violare la prohibición anterior o los funcionarios, empleados y administradores que dolosamente alteren, registren o brinden información falsa o que no conste en los registros o certificaciones de la Superintendencia, serán sancionados con una pena de prisión de tres a seis años, sin perjuicio de la responsabilidad penal establecida anteriormente. El funcionario, empleado o administrador que infrinja lo señalado en este artículo será destituido de su cargo, sin responsabilidad patronal. / e) La Superintendencia deberá establecer las medidas internas que estime necesarias para salvaguardar la confidencialidad de la información a que se refiere este artículo Resulta así claro, que la información crediticia de las personas, es información cuyo manejo resulta sensible. Ha señalado la Procuraduría General de la República en cuanto a este tema que como regla de principio, la información que consta en los diferentes repartos administrativos debe ser de acceso a la auditoría interna. Ahora bien, esta Procuraduría ha advertido que a pesar de la extensión de la competencia asignada a las auditorías internas, puede existir información que requiera de un tratamiento especial, sea porque se trata de información personal sensible o porque se trate de información no relevante para el ejercicio de las funciones de auditoría interna 4, situación en la que se encontraría precisamente la información que nos ocupa. Siendo que un proceso de auditoría de sistemas puede abarcar diferentes niveles, muchos de los análisis y verificaciones que pueden efectuar las auditorías internas no requerirán el acceso a la información confidencial de los ciudadanos, y únicamente en aquellos casos en los que se encuentre debidamente justificado podría el Auditor Interno tener acceso a la información sensible contenida en el sistema. Ahora bien, la SUGEF en cumplimento de las disposiciones supra citadas de la Ley N 7558, tiene tanto el Reglamento del Centro de Información Crediticia 5 como el Reglamento para el trámite de denuncias e investigaciones preliminares en el Banco Central de Costa Rica y sus Órganos de desconcentración máxima 6, y protocolos y procedimientos especiales que le permiten autorizar a funcionarios específicos acceso a la información en su poder para efectos de investigaciones administrativas y/o actividades de control interno, que incluyen el procedimiento para verificar el cumplimiento de los Dictamen C de 23 de noviembre de Acuerdo SUGEF 7-06 Aprobado por el Consejo Nacional de Supervisión del Sistema Financiero, mediante Artículo 9, del Acta de la Sesión , celebrada el 20 de abril de Publicado en el Diario Oficial La Gaceta N 89, del lunes 11 de mayo de Aprobado mediante artículo 11 del acta de la sesión celebrada el 25 de octubre de 2007 y publicado en el diario oficial La Gaceta Nº 216 del 9 de noviembre de 2007.

7 DFOE-EC de agosto, 2016 artículos 19, literal B y 21 de la Ley Orgánica del Banco Central de Costa Rica y artículos 170 y 172 de la Ley Reguladora del Mercado de Valores. Siendo que el auditor interno, no es un tercero ajeno a la Administración y que el acceso que se requeriría debe ser temporal y estrechamente ligado con los objetivos de la auditoría específica que se quiere realizar, resulta parte de las funciones de la Administración el facilitar este acceso a la auditoria mediante uno de los protocolos de acceso que ya tenga definidos y que le permitan, para resguardo de los ciudadanos y de la misma Auditoría, garantizar la inalterabilidad de la información y la trazabilidad de las acciones de la auditoría. Como ha señalado esta Contraloría General en anteriores ocasiones, el acceso que tutela la Ley General de Control Interno, debe ser realizado tomando siempre en cuenta una adecuada comunicación con la administración activa, siendo un aspecto clave de esa comunicación, el que la auditoría indique el objetivo de su requerimiento, de forma tal que se le faciliten los insumos necesarios que realmente agreguen valor a su investigación y al mismo tiempo no se distraigan recursos de la administración que no serían utilizados para lo que interesa a la auditoría interna 7. Una vez facilitado el acceso a la información requerida por los medios adecuados al estudio a realizar, la auditoría debe de igual forma que la Administración garantizar la confidencialidad de la información utilizada para efectos del estudio, so pena de incurrir en responsabilidad administrativa, de conformidad con la misma Ley General de Control Interno, que en su artículo 34, inciso e), establece como prohibición para los auditores Revelar información sobre las auditorías o los estudios especiales de auditoría que se estén realizando y sobre aquello que determine una posible responsabilidad civil, administrativa o eventualmente penal de los funcionarios de los entes y órganos sujetos a esta Ley, disposición que a su vez concuerda con el deber de confidencialidad -aplicable para todo servidor público- dispuesto también en el artículo 6 de la Ley General de Control Interno y 8 de la Ley contra la Corrupción y el Enriquecimiento Ilícito en la Función Pública, N 8422 y el artículo 133 ya citado, de Ley Orgánica del Banco Central de Costa Rica. IV. CONCLUSIONES Del análisis expuesto, se arriba a las siguientes conclusiones: El auditor interno es parte del sistema de control interno de los organismos sujetos a la Ley General de Control Interno. Para el ejercicio de sus funciones, la ley le garantiza el acceso a la información y documentación de la Administración, en el tanto estén relacionados estrictamente con su actividad de fiscalización y no sobrepasen los límites establecidos en el ordenamiento jurídico costarricense. La información crediticia contenida en el CIC es información personal y sensible de los ciudadanos por lo que su acceso es restringido. De conformidad con lo establecido en 7 Oficio N (DJ ) del 9 de abril de 2013 supracitado.

8 DFOE-EC de agosto, 2016 la Ley de Protección de la persona frente al tratamiento de sus datos personales, su manejo se rige por lo estipulado en la Ley Orgánica del Banco Central de Costa Rica. La SUGEF cuenta con protocolos especiales a efecto de dar accesos de diferente naturaleza a sus funcionarios a la información contenida en el CIC, mediante distintos roles dependiendo de las funciones que correspondan a cada funcionario autorizado. Para el ejercicio de sus funciones, la Auditoría Interna puede solicitar a la Administración acceso a la información del CIC en forma temporal mediante los protocolos que están establecidos a esos efectos y con el alcance que se encuentre debidamente justificado en los objetivos específicos del estudio de auditoría que va a efectuarse. La auditoría debe proteger y resguardar la información confidencial a la que tenga acceso so pena de incurrir en responsabilidad. Atentamente, Lic. Roberto Jaikel Saborío, M.Sc. Gerente de Área Licda. Ruth Houed Caamaño Fiscalizadora - Abogada RJS/FHH/RHC/kbp NI: 13102, Ci: Expediente (G: )