Snap Compliance
Parceiros de Soluções Parceiros de Consultoria
Contate-nos

Idioma

EN ES PT
Comece grátis
Lei 8968 · PRODHAB · Costa Rica

Trate os dados dos seus clientes conforme a Lei 8968 e consiga demonstrar isso

A devida diligência coleta dados de clientes e beneficiários finais. A Lei 8968 e seu regulamento definem como obter o consentimento, em que prazo atender os direitos de cada pessoa e que segurança o responsável deve sustentar perante a PRODHAB.

Ver o que exige Falar com um especialista

Em resumo

O que regula

Autodeterminação informativa

O tratamento automatizado ou manual de dados pessoais em bases públicas e privadas, e todo uso posterior desses dados (arts. 1 e 2). Seu regulamento é o Decreto Executivo 37554-JP.

A quem obriga

Responsáveis por bases de dados

A pessoa física ou jurídica, pública ou privada, que decide a finalidade e o tratamento de uma base de dados pessoais (art. 3). A lei exclui as bases com fins exclusivamente internos, pessoais ou domésticos que não são vendidas nem comercializadas (art. 2).

Autoridade

PRODHAB

A Agência de Proteção de Dados dos Habitantes, vinculada ao Ministério da Justiça e Paz: mantém o registro de bases de dados, resolve denúncias e aplica sanções (arts. 15 e 16).

Vigência

5 de setembro de 2011

Publicada na La Gaceta 170 e sem reformas desde então. Seu regulamento vigora desde 5 de março de 2013 e foi modificado pelos decretos 40008-JP (2016) e 41582 (2019).

Ler o texto oficial: Ley 8968

O que exige

O que a Lei 8968 exige do responsável

A lei fixa os princípios e o regulamento os transforma em procedimentos, prazos e medidas que a PRODHAB pode verificar.

Informar antes de coletar

Avisar de modo expresso, preciso e inequívoco que a base existe, seus fins, seus destinatários, se cada resposta é obrigatória, o que acontece se a pessoa se negar, que direitos tem e quem é o responsável. Em um formulário, os avisos devem ser claramente legíveis (art. 5.1).

Consentimento expresso e por escrito

Em documento físico ou eletrônico, revogável sem efeito retroativo (art. 5.2). Se for pedido dentro de um contrato com outros fins, vai em uma cláusula específica e independente, e prová-lo cabe ao responsável (regulamento, arts. 2 e 6). A revogação é executada em cinco dias úteis (art. 8 do regulamento).

Dados de qualidade, e não para sempre

Somente dados atuais, verdadeiros, exatos e adequados ao fim para o qual foram coletados; os que deixam de ser necessários são eliminados. Os que possam afetar o titular não são conservados por mais de dez anos, salvo norma especial (art. 6; regulamento, art. 11).

Atender os direitos em cinco dias úteis

Acesso, retificação e eliminação, de forma gratuita e em cinco dias úteis a partir da solicitação (art. 7). O responsável oferece meios simples para exercê-los, responde mesmo sem ter dados da pessoa e justifica por escrito qualquer recusa (regulamento, arts. 16 a 22).

Dados sensíveis e de crédito

Ninguém é obrigado a fornecer dados sensíveis, e seu tratamento é proibido salvo as exceções do artigo 9. Os dados de comportamento de crédito são regidos pelas normas do Sistema Financeiro Nacional, sem exceder os limites da lei (art. 9.4).

Segurança, confidencialidade e incidentes

Medidas técnicas e organizacionais, e sigilo mesmo depois de encerrada a relação (arts. 10 e 11). O regulamento pede análise de riscos, cálculo do risco residual e um plano de trabalho, e, diante de uma violação, informar os titulares em cinco dias úteis (arts. 36 e 38).

Protocolo mínimo e fornecedores

Um protocolo mínimo de atuação com políticas de privacidade, capacitação do pessoal, controle interno e um procedimento gratuito para atender os titulares. Quem contrata um fornecedor de tecnologia mantém a responsabilidade e deve verificar sua segurança (regulamento, arts. 29 e 32).

Transferências e inscrição

Transferir dados a um terceiro exige a autorização expressa do titular (art. 14). São inscritas na PRODHAB as bases com fins de distribuição, difusão ou comercialização (art. 21); o regulamento isenta de inscrição as entidades supervisionadas pela SUGEF (art. 3).

Consequências

O que acontece em caso de descumprimento

A PRODHAB aplica multas em salários-base do cargo de auxiliar judicial I, conforme a Lei de Orçamento: até cinco por infrações leves, de cinco a vinte por graves e de quinze a trinta por gravíssimas, que além disso suspendem o funcionamento do arquivo de um a seis meses (art. 28), sem prejuízo das sanções penais. É grave tratar dados sem o consentimento informado e expresso do titular, usá-los para uma finalidade distinta ou negar sem justificativa o acesso, a retificação ou a eliminação (art. 30). É gravíssimo, entre outros casos, que uma pessoa privada colete ou utilize dados sensíveis, revelar informação que se está obrigado a manter em sigilo, tratar dados sem a inscrição exigida ou transferir dados a bases de outros países sem o consentimento dos titulares (art. 31).

Como resolvemos

Como a Snap Compliance ajuda

A Snap Compliance não tem um produto específico de proteção de dados para a Costa Rica. O que ela faz: com o Compliance Agent, sua entidade gere a Lei 8968 e seu regulamento como parte do seu modelo de cumprimento, com a norma no catálogo de regulações, controles associados, avaliações, planos de ação com acompanhamento, KRIs e a evidência organizada para auditorias. E na Devida Diligência, o módulo onde fica o dossiê do cliente, o catálogo de campos dos formulários tem controle de privacidade por campo, com a rastreabilidade de quem revisou o quê e quando.

Módulos da Snap Compliance

Gestão de Governança Corporativa Due Diligence

Outras normas de Costa Rica

Ley 7786 · SUGEF · SUGEVAL · SUPEN · SUGESE

Lei 7786: compliance AML na Costa Rica

Ley 10.889 · SUGEF

Lei 10.889 e SUGEF 5-26: autodiagnóstico e toolkit

Ley 9416 · BCCR · DGT

Lei 9416: beneficiário final e RTBF na Costa Rica

CONASSIF 4-16 · CONASSIF

CONASSIF 4-16: governança corporativa na Costa Rica

Todas as normas de Costa Rica

O que mais nos perguntam sobre a Lei 8968

A quem se aplica a Lei 8968 na Costa Rica?
Aos dados pessoais que constam em bases automatizadas ou manuais, públicas ou privadas, e a todo uso posterior desses dados (art. 2). Obriga o responsável: a pessoa física ou jurídica que decide a finalidade da base, que dados registra e como são tratados (art. 3). A lei exclui as bases com fins exclusivamente internos, pessoais ou domésticos que não são vendidas nem comercializadas. Com o Compliance Agent, sua entidade incorpora a Lei 8968 ao seu catálogo de regulações e atribui controles a ela.
O que a Lei 8968 exige para obter o consentimento?
Antes de coletar, a entidade informa de modo expresso, preciso e inequívoco a existência da base, seus fins, seus destinatários, se cada resposta é obrigatória, as consequências de se negar, os direitos do titular e quem é o responsável (art. 5). O consentimento é expresso e consta por escrito, em documento físico ou eletrônico; se for pedido dentro de um contrato com outros fins, vai em uma cláusula específica e independente (regulamento, art. 2). Prová-lo cabe ao responsável (art. 6 do regulamento).
Em que prazo deve ser respondida uma solicitação de acesso, retificação ou eliminação?
Em cinco dias úteis a partir do recebimento, gratuitamente (Lei 8968, art. 7). O regulamento conta o prazo a partir do dia seguinte, permite pedir informação adicional uma única vez e obriga a responder mesmo que a pessoa não conste da base (arts. 18 a 20). Uma recusa é justificada por escrito (art. 22), e a revogação do consentimento é executada no mesmo prazo e comunicada a quem recebeu os dados (art. 8). Com o Compliance Agent, esse procedimento vira um controle que sua entidade avalia.
Um cliente pode exigir que seus dados sejam apagados?
Pode pedir a qualquer momento a eliminação total ou parcial (regulamento da Lei 8968, art. 25), mas ela não procede, entre outros casos, quando os dados devem ser mantidos por disposição constitucional, legal ou judicial, ou para a prevenção e investigação de infrações penais (art. 26). É a situação típica dos registros que a normativa de prevenção à lavagem de dinheiro manda conservar. A recusa é justificada por escrito (art. 22). Na Devida Diligência, o dossiê guarda a rastreabilidade de quem revisou o quê e quando.
O que são dados sensíveis segundo a Lei 8968?
Os relativos à esfera íntima da pessoa, como os que revelam origem racial, opiniões políticas, convicções religiosas, condição socioeconômica, informação biomédica ou genética, vida e orientação sexual (art. 3). Ninguém é obrigado a fornecê-los e seu tratamento é proibido, salvo exceções como o interesse vital do titular ou a defesa de um direito em juízo (art. 9). Que uma pessoa privada os colete ou utilize é infração gravíssima (art. 31). Na Devida Diligência, cada campo do formulário tem seu próprio controle de privacidade.
Uma entidade supervisionada pela SUGEF deve inscrever suas bases de dados na PRODHAB?
Não. A Lei 8968 obriga a inscrever as bases administradas com fins de distribuição, difusão ou comercialização (art. 21), que pagam uma taxa anual de US$200 (art. 33). Seu regulamento acrescenta que as bases das entidades financeiras supervisionadas pela SUGEF não precisam de inscrição, embora a PRODHAB mantenha plena competência para fiscalizá-las, e que as bases internas não são inscritas (arts. 3 e 44). Tratar dados sem a inscrição exigida é infração gravíssima (art. 31). Com o Compliance Agent, sua entidade documenta que regime se aplica a cada base.
Que medidas de segurança o regulamento da Lei 8968 exige?
Medidas administrativas, físicas e lógicas (art. 34). No mínimo: descrever os dados tratados, inventariar a infraestrutura tecnológica, analisar riscos, calcular o risco residual e executar um plano de trabalho para as medidas faltantes (art. 36). Se ocorrer uma perda ou um acesso indevido, o responsável informa os titulares em cinco dias úteis e comunica a eles e à PRODHAB a natureza do incidente e os dados comprometidos (arts. 38 e 39). O Compliance Agent conduz essas avaliações e seus planos de ação.
Contratar um fornecedor de tecnologia transfere a responsabilidade pelos dados?
Não. Quem contrata um intermediário tecnológico ou prestador de serviços mantém a responsabilidade pelo tratamento e deve verificar que ele cumpra as medidas de segurança mínimas (regulamento da Lei 8968, art. 29). Entregar dados a um encarregado ou fornecedor não é transferência (art. 40), mas transferi-los a um terceiro exige a autorização expressa do titular (lei, art. 14), e enviá-los a bases de outros países sem consentimento é infração gravíssima (art. 31). Com o Compliance Agent, a verificação de fornecedores vira um controle avaliado.
O que a PRODHAB diz sobre dados pessoais na cobrança de dívidas?
Na diretriz PRODHAB-DIR-DN-001-2026, de julho de 2026, emitida com base na Lei 8968, a Agência estabelece que quem pede dados para atividades financeiras ou de cobrança só pode exigir os do titular da operação, e que incluir terceiros exige seu consentimento informado expresso. Proíbe enviar cobranças a pessoas sem relação com a dívida que não consentiram e usar dados de contato profissional sem ordem judicial definitiva. Vigora desde sua publicação na La Gaceta. Com o Compliance Agent, a diretriz entra no seu catálogo de regulações.
Que multas a PRODHAB aplica por descumprir a Lei 8968?
São fixadas em salários-base do cargo de auxiliar judicial I, conforme a Lei de Orçamento: até cinco por infrações leves, de cinco a vinte por graves e de quinze a trinta por gravíssimas, que além disso suspendem o funcionamento do arquivo de um a seis meses (art. 28). Tratar dados sem consentimento ou negar sem justificativa o acesso é grave (art. 30); revelar informação que deve ser mantida em sigilo, gravíssimo (art. 31). O Compliance Agent organiza os controles e a evidência com que sua entidade demonstra que cumpre.

Seu programa resistiria hoje à revisão de um supervisor?

Revisamos com você onde sua entidade está diante destas normas e o que falta para deixar isso demonstrado.

Falar com um especialista

Autodiagnóstico gratuito · Chile

Quão preparada está sua organização para a Lei nº 21.719 do Chile?

Responda às perguntas que se aplicam à sua organização e conheça seus achados bloqueantes, suas lacunas por domínio e sua exposição estimada, com um plano de ação em Word. Disponível em espanhol.

16 domínios · 45 a 90 minutos · salva e retoma Faltam 46 dias para a vigência

Começar o autodiagnóstico (em espanhol)