Consentimiento, finalidad, calidad y derechos ARCO

La ley no prohíbe tratar datos personales: le pone condiciones. En la revisión de cualquier formulario o base, tres principios salen una y otra vez (consentimiento, finalidad y calidad), y una pregunta práctica: ¿qué hace usted cuando alguien escribe pidiendo ver o borrar sus datos?

Consentimiento informado

Antes de recolectar, el responsable tiene que informar a la persona de forma expresa, precisa e inequívoca. El artículo 5 pide que el aviso indique como mínimo:

1. Que existe una base de datos, quién es su responsable y su dirección.
2. Para qué se recogen los datos.
3. Quiénes los recibirán.
4. Qué preguntas son obligatorias y cuáles opcionales, y qué pasa si no se responden.
5. Cómo se tratarán los datos.
6. Cómo ejercer los derechos que la ley reconoce.

Después de informar se pide el consentimiento, que la ley quiere expreso y por escrito, en papel o en medio electrónico. Una casilla ya marcada no cumple. "Al continuar usted acepta todo", escondido en letra pequeña debajo del botón, tampoco. La persona tiene que hacer algo claro para aceptar.

Hay excepciones, por ejemplo cuando una ley o una orden de autoridad competente obliga al tratamiento, o cuando los datos son de acceso irrestricto. Pero para mercadeo o para pasar datos a terceros, cuente con que va a necesitar consentimiento.

Finalidad

Los datos se usan para lo que se informó y para nada más. Si una tienda pidió el teléfono para coordinar la entrega, no puede usarlo después para campañas por WhatsApp sin un consentimiento aparte. Cada fin nuevo es una pregunta nueva a la persona.

Es el incumplimiento que más se repite en negocios pequeños, y casi nunca por mala fe: alguien en ventas ve la lista de teléfonos de entregas y piensa que sería un desperdicio no mandarles la promoción del mes.

Calidad de la información

El artículo 6 exige que los datos sean actuales, veraces, exactos y adecuados al fin. En la práctica eso se traduce en dos reglas. Pida solo lo necesario: un formulario de boletín no necesita fecha de nacimiento ni cédula. Y borre lo que ya no sirve: la ley añade que los datos que puedan afectar a su titular no se conservan más de diez años desde los hechos registrados, salvo norma especial.

Lo que no se pidió no se puede filtrar. Cada campo que elimina de un formulario es un problema menos el día de un incidente.

Los derechos ARCO

ARCO es la sigla de cuatro derechos del titular:

Derecho	Qué puede pedir la persona
Acceso	Saber qué datos suyos tiene la organización y para qué los usa
Rectificación	Que se corrijan datos inexactos o desactualizados
Cancelación	Que se supriman datos tratados sin fundamento o que ya no son necesarios
Oposición (en Costa Rica, revocar el consentimiento)	Negarse a un tratamiento concreto, como recibir publicidad

"ARCO" es la sigla de uso común en la región, pero no aparece en la ley costarricense. El artículo 7 de la Ley 8968 habla de acceso, rectificación y supresión, y del derecho a consentir la cesión de los datos. Lo que en otros países se llama oposición aquí se ejerce como revocación del consentimiento (arts. 7 a 10 del reglamento): el responsable tiene cinco días hábiles desde que recibe la solicitud para aplicarla y, en ese mismo plazo, debe comunicarla a quienes recibieron los datos.

Ejercerlos es gratis, y la ley fija un plazo corto: cinco días hábiles desde que se recibe la solicitud. Cinco días se van rápido si nadie sabe a quién le toca, así que el procedimiento tiene que existir antes de la primera solicitud.