Ley 8968 en la práctica: qué le toca hacer a su empresa

Costa Rica tiene ley de protección de datos desde 2011, y muchas empresas del país conviven con ella sin saber muy bien qué les exige. Cuando el tema aparece —normalmente porque alguien va a contratar un sistema nuevo— la conversación se llena de medias verdades repetidas, y la que más se repite es también la más imprecisa.

Qué es la Ley 8968

La Ley N.º 8968, Ley de Protección de la Persona frente al tratamiento de sus datos personales, sancionada el 7 de julio de 2011 y publicada en La Gaceta el 5 de setiembre de ese año, es la norma costarricense que regula qué puede hacer una organización con la información de personas identificables. Se reglamentó por el Decreto Ejecutivo 37554-JP y la supervisa la PRODHAB, la Agencia de Protección de Datos de los Habitantes.

Su premisa es que el dato le pertenece a la persona, no a quien lo recoge. Quien recoge lo administra bajo condiciones, y esas condiciones no se agotan en el momento de pedirlo.

Las cuatro obligaciones que alcanzan a casi cualquier empresa

1 · Consentimiento informado y expreso

Antes de recoger un dato personal hay que decirle a la persona quién lo recoge, para qué, qué se va a hacer con él, si se va a transferir a alguien y qué derechos tiene. Y hay que obtener su autorización.

Lo que más se incumple no es pedir el permiso: es respetar la finalidad. El teléfono que un cliente dio para coordinar una entrega se dio para coordinar una entrega. Usarlo después para una campaña de promoción es un tratamiento distinto, y necesita base propia.

2 · Los derechos de la persona

Cualquier persona puede pedirle que le diga qué datos suyos tiene, que los corrija si están mal, que los elimine cuando ya no sean necesarios o se hayan recogido indebidamente, y oponerse a determinados usos.

La implicación práctica se subestima: usted tiene que ser capaz de encontrar todos los datos de una persona cuando se los pida. Si los datos de un cliente están repartidos entre un sistema, tres hojas de cálculo y el WhatsApp de dos empleados, ese derecho no se puede atender aunque haya toda la voluntad.

3 · Medidas de seguridad

La ley exige medidas técnicas y organizativas proporcionales a la naturaleza del dato y al riesgo, para protegerlo de accesos no autorizados, pérdida, destrucción o alteración.

«Proporcionales» significa que a una empresa pequeña no se le pide lo mismo que a un banco, pero sí se le pide algo: control de quién accede a qué, contraseñas que no se compartan, copias de seguridad que se hayan probado, y no dejar bases de datos completas en dispositivos personales.

4 · Cuidado con las transferencias

Pasarle datos a un tercero es un tratamiento que necesita su propia base. Un proveedor de software, una plataforma de automatización o una herramienta de IA son terceros, aunque se vivan como «una herramienta». El criterio operativo para el caso de la IA está en qué datos no deberían entrar a un modelo.

El punto que casi siempre se cuenta mal

La frase que circula es: «hay que inscribir la base de datos en la PRODHAB». Dicha así, es incorrecta.

El artículo 21 de la ley dice, literalmente, que «toda base de datos, pública o privada, administrada con fines de distribución, difusión o comercialización, debe inscribirse en el registro que al efecto habilite la Prodhab». Una base que una empresa mantiene para su propia operación, y que no vende ni cede ni difunde, no cae en ese supuesto por el solo hecho de existir.

Con tres matices que importan, y por los que conviene no quedarse con la versión corta de este artículo:

• El reglamento definió qué se entiende por comercializar, distribuir, difundir y transferir, y esas definiciones son más amplias de lo que sugiere la intuición: alcanzan a compartir o ceder datos, sea a título gratuito u oneroso. Muchas prácticas cotidianas caben ahí sin que nadie las viva como «vender datos».
• La inscripción conlleva un canon anual de doscientos dólares. No lo fija la agencia a su criterio: la cifra está en el texto de la ley, en dólares de los Estados Unidos. Conviene igualmente confirmar con la PRODHAB el monto y el procedimiento vigentes antes de presupuestarlo.
• No inscribir cuando corresponde es una infracción sancionable, no un descuido administrativo. La duda sobre si hay que inscribirse no es una duda inocua, y es exactamente el tipo de pregunta que justifica una consulta legal corta.

Así que la formulación honesta es: no toda base se inscribe, pero la frontera la traza el uso, no el tamaño. Si su empresa comparte datos de clientes con terceros de forma habitual, esa consulta la debe hacer un abogado con el detalle de su operación a la vista.

Qué pasa si se incumple

La PRODHAB puede actuar por denuncia o por iniciativa propia, pedir documentación, inspeccionar bases de datos, ordenar que se suspenda un tratamiento y que se eliminen datos recogidos indebidamente.

Las faltas se gradúan en leves, graves y gravísimas, y las multas se fijan en salarios base —la unidad de referencia que usa el ordenamiento costarricense—: hasta cinco salarios base las leves, de cinco a veinte las graves y de quince a treinta las gravísimas. Su equivalente en colones cambia cada año, porque el salario base se actualiza; por eso este artículo da el rango en la unidad de la ley y no una cifra que envejecería mal.

La sanción que suele doler más, sin embargo, no es la multa. Para las faltas gravísimas la ley contempla además la suspensión del funcionamiento del fichero de uno a seis meses. Traducido a operación: seis meses sin poder usar la base de datos con la que trabaja el negocio.

Qué hacer esta semana, sin abogado todavía

Cuatro tareas que no cuestan dinero y que ordenan la conversación posterior:

1. Haga el inventario. Qué datos personales tiene, dónde viven, quién puede verlos y desde cuándo. Casi siempre aparecen dos o tres lugares que nadie recordaba.
2. Escriba la finalidad de cada uno. Para qué los pidió. Si no puede escribirla, ese es el primer problema.
3. Revise a quién se los está pasando. Sistemas, plataformas, agencias, contadores. Cada uno es una transferencia.
4. Decida quién responde. Una persona con nombre a cargo del tema. Sin dueño no hay cumplimiento, hay buenas intenciones.

Con esas cuatro cosas hechas, la consulta legal cuesta menos y sirve más. Cómo aplicamos nosotros estas mismas reglas a los datos que recogemos en este sitio está escrito en la política de privacidad.

Preguntas frecuentes

¿Qué obliga la Ley 8968 a una empresa en Costa Rica?

Cuatro cosas principales: obtener consentimiento informado y expreso antes de recoger datos personales y respetar la finalidad para la que se pidieron; poder atender los derechos de la persona a acceder, rectificar, eliminar y oponerse; aplicar medidas de seguridad proporcionales al riesgo; y tener base propia para transferir datos a terceros, incluidos los proveedores de software.

¿Hay que inscribir toda base de datos en la PRODHAB?

No. El artículo 21 de la Ley 8968 exige inscribir las bases de datos, públicas o privadas, administradas con fines de distribución, difusión o comercialización. Una base que una empresa mantiene solo para su propia operación, sin venderla, cederla ni difundirla, no cae en ese supuesto por existir. El matiz importante es que el reglamento define esos términos de forma amplia y alcanza también a compartir datos a título gratuito, así que la frontera la traza el uso concreto y conviene revisarla con un abogado. La inscripción conlleva un canon anual de doscientos dólares.

¿Qué multas contempla la ley de datos de Costa Rica?

Las faltas se gradúan en leves, graves y gravísimas. Las multas se expresan en salarios base: hasta cinco para las leves, de cinco a veinte para las graves y de quince a treinta para las gravísimas. El equivalente en colones varía cada año porque el salario base se actualiza. Para las faltas gravísimas la ley contempla además la suspensión del funcionamiento del fichero de uno a seis meses, que en la práctica suele pesar más que la multa. La PRODHAB también puede ordenar la suspensión de un tratamiento y la eliminación de datos recogidos indebidamente.

¿Usar una herramienta extranjera de IA o de automatización incumple la ley?

No por sí mismo. Lo que la norma exige es que exista base para esa transferencia y que la persona haya sido informada de que sus datos pueden tratarse así. El problema aparece cuando se pasan datos personales a un tercero con una finalidad distinta de aquella para la que se recogieron, que es lo que ocurre casi siempre sin que nadie lo advierta.

¿Va a cambiar la ley de datos de Costa Rica?

Hay un proyecto en trámite. El expediente 23.097, «Ley de Protección de Datos Personales», se presentó el 9 de mayo de 2022 y propone un marco más cercano al modelo europeo. No ha sido aprobado ni archivado, así que la norma vigente sigue siendo la Ley 8968 con su reglamento. Conviene revisar el estado del expediente antes de tomar una decisión que dependa de él.