La debida diligencia recopila datos de clientes y beneficiarios finales. La Ley 8968 y su reglamento definen cómo pedir el consentimiento, en qué plazo atender los derechos de cada persona y qué seguridad debe sostener el responsable ante la PRODHAB.
En resumen
Qué regula
El tratamiento automatizado o manual de datos personales en bases públicas y privadas, y todo uso posterior de esos datos (arts. 1 y 2). Su reglamento es el Decreto Ejecutivo 37554-JP.
A quién obliga
A la persona física o jurídica, pública o privada, que decide la finalidad y el tratamiento de una base de datos personales (art. 3). La ley excluye las bases con fines exclusivamente internos, personales o domésticos que no se venden ni comercializan (art. 2).
Autoridad
La Agencia de Protección de Datos de los Habitantes, adscrita al Ministerio de Justicia y Paz: lleva el registro de bases de datos, resuelve denuncias y sanciona (arts. 15 y 16).
Vigencia
Publicada en La Gaceta 170 y sin reformas desde entonces. Su reglamento rige desde el 5 de marzo de 2013 y fue modificado por los decretos 40008-JP (2016) y 41582 (2019).
Qué exige
La ley fija los principios y el reglamento los convierte en procedimientos, plazos y medidas que la PRODHAB puede verificar.
Avisar de modo expreso, preciso e inequívoco que existe la base, sus fines, sus destinatarios, si cada respuesta es obligatoria, qué pasa si la persona se niega, qué derechos tiene y quién es el responsable. En un formulario, las advertencias van claramente legibles (art. 5.1).
En documento físico o electrónico, revocable sin efecto retroactivo (art. 5.2). Si se pide dentro de un contrato con otros fines, va en una cláusula específica e independiente, y probarlo le corresponde al responsable (reglamento, arts. 2 y 6). La revocación se ejecuta en cinco días hábiles (art. 8 del reglamento).
Solo datos actuales, veraces, exactos y adecuados al fin con que se recolectaron; los que dejan de ser necesarios se eliminan. Los que puedan afectar al titular no se conservan más de diez años, salvo norma especial (art. 6; reglamento, art. 11).
Acceso, rectificación y supresión, de forma gratuita y en cinco días hábiles desde la solicitud (art. 7). El responsable ofrece medios sencillos para ejercerlos, responde aunque no tenga datos de la persona y justifica por escrito cualquier negativa (reglamento, arts. 16 a 22).
Nadie está obligado a dar datos sensibles, y su tratamiento está prohibido salvo las excepciones del artículo 9. Los datos de comportamiento crediticio se rigen por las normas del Sistema Financiero Nacional, sin exceder los límites de la ley (art. 9.4).
Medidas técnicas y organizativas, y secreto aun después de terminar la relación (arts. 10 y 11). El reglamento pide análisis de riesgos, cálculo del riesgo residual y un plan de trabajo, y ante una vulneración, informar a los titulares en cinco días hábiles (arts. 36 y 38).
Un protocolo mínimo de actuación con políticas de privacidad, capacitación del personal, control interno y un procedimiento gratuito para atender a los titulares. Quien contrata a un proveedor tecnológico mantiene la responsabilidad y debe verificar su seguridad (reglamento, arts. 29 y 32).
Transferir datos a un tercero requiere la autorización expresa del titular (art. 14). Se inscriben ante la PRODHAB las bases con fines de distribución, difusión o comercialización (art. 21); el reglamento exime de inscripción a las entidades supervisadas por SUGEF (art. 3).
Consecuencias
La PRODHAB impone multas en salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto: hasta cinco por faltas leves, de cinco a veinte por graves y de quince a treinta por gravísimas, que además suspenden el funcionamiento del fichero de uno a seis meses (art. 28), sin perjuicio de las sanciones penales. Es grave tratar datos sin el consentimiento informado y expreso del titular, usarlos para una finalidad distinta o negar sin justificación el acceso, la rectificación o la eliminación (art. 30). Es gravísimo, entre otros casos, que una persona privada recolecte o emplee datos sensibles, revelar información que se está obligado a guardar en secreto, tratar datos sin la inscripción que corresponde o transferir datos a bases de terceros países sin el consentimiento de sus titulares (art. 31).
Cómo lo resolvemos
Snap Compliance no tiene un producto específico de protección de datos para Costa Rica. Lo que sí hace: con Compliance Agent, su entidad gestiona la Ley 8968 y su reglamento como parte de su modelo de cumplimiento, con la norma en su catálogo de regulaciones, controles asociados, evaluaciones, planes de acción con seguimiento, KRIs y la evidencia ordenada para auditorías. Y en Debida Diligencia, el módulo donde vive el expediente del cliente, el catálogo de campos de los formularios tiene control de privacidad por campo, y queda la trazabilidad de quién revisó qué y cuándo.
Módulos de Snap Compliance
Ley 7786 · SUGEF · SUGEVAL · SUPEN · SUGESE
Ley 7786: cumplimiento AML en Costa Rica
Ley 10.889 · SUGEF
Ley 10.889 y SUGEF 5-26: autodiagnóstico y toolkit
Ley 9416 · BCCR · DGT
Ley 9416: beneficiario final y RTBF en Costa Rica
CONASSIF 4-16 · CONASSIF
CONASSIF 4-16: gobierno corporativo en Costa Rica
Revisamos con usted dónde está su entidad frente a esta normativa y qué le falta para dejarlo demostrado.
Hablar con un especialistaLucía
Asistente virtual · Snap Compliance
Antes de empezar
Soy Lucía, te estaré brindando asistencia por este medio y ayudarte con lo que necesites de Snap Compliance.
Tratamos tus datos conforme a las leyes y normativas aplicables.