LecturaQué es un dato personal, uno sensible y uno de acceso restringido
Bienvenida
Bienvenido a Ley 8968 en 40 minutos: datos personales en Costa Rica. Es para quien maneja datos de clientes, pacientes, estudiantes o empleados, en TI, recursos humanos o la caja de un negocio pequeño. No necesita saber derecho; ayuda haber hecho Introducción a la ciberseguridad, aunque no es requisito.
Al terminar podrá clasificar un dato, revisar un formulario de consentimiento, responder una solicitud ARCO, saber qué le pide la PRODHAB y qué hacer ante una fuga. Son cuatro lecciones cortas, un laboratorio en el que corrige el formulario de una tienda ficticia con un editor de texto, y un quiz de 4 preguntas: unos 40 minutos.
Qué es la Ley 8968 y por qué importa
La Ley 8968, de Protección de la Persona frente al Tratamiento de sus Datos Personales, fija qué puede hacer una organización con la información de las personas y qué derechos tienen ellas. Se publicó en 2011. Antes dependía sobre todo del artículo 24 de la Constitución y de fallos de la Sala Constitucional. La desarrolla un reglamento, el Decreto Ejecutivo 37554-JP.
Le importa aunque su empresa no sea de tecnología: una soda con lista de clientes para pedidos por WhatsApp ya trata datos personales, y una fuga es también un incumplimiento legal, con multas.
| Concepto | Qué significa |
|---|---|
| Titular | La persona a quien se refieren los datos |
| Base de datos | Archivo o sistema, en papel o digital, con datos de personas |
| Responsable | Quien decide para qué y cómo se usa una base de datos |
| Tratamiento | Cualquier operación con los datos: recolectar, guardar, consultar, transferir, borrar |
| Consentimiento | La autorización libre e informada que da el titular |
| PRODHAB | La agencia estatal que vigila el cumplimiento de la ley |
Qué es un dato personal
Es cualquier información sobre una persona física identificada o identificable. El nombre no hace falta: una cédula, un correo, una placa o una foto bastan para señalar a alguien. La ley protege a personas físicas. A la empresa como persona jurídica no, pero sí a sus empleados y a sus contactos.
Las tres categorías
Los datos de acceso irrestricto son los que constan en bases públicas de acceso general, según lo dispongan leyes especiales. Públicos no quiere decir usables para cualquier cosa.
Los datos de acceso restringido, aunque figuren en registros públicos, solo interesan a su titular o a la Administración Pública. Se tratan para fines públicos o con consentimiento expreso del titular.
Los datos sensibles son los de la esfera íntima. La ley menciona el origen racial, las opiniones políticas, las convicciones religiosas, espirituales o filosóficas, la condición socioeconómica, la información biomédica o genética, y la vida y orientación sexual. Nadie puede ser obligado a entregarlos.
Un caso de ejemplo
La ficticia Clínica Dental Sonrisa Tica guarda nombre, cédula, teléfono, correo e historial clínico de cada paciente. Los primeros son datos personales; el historial es información biomédica, un dato sensible. Compartir la base con un laboratorio aliado para una campaña sería usar datos sensibles para otro fin, y sin consentimiento no se puede.
Qué queda fuera
El artículo 2 excluye del régimen de la ley las bases de personas físicas o jurídicas con fines exclusivamente internos, personales o domésticos, mientras no se vendan ni se comercialicen: los contactos de su celular, pero también, según el reglamento, la base interna de una empresa que no se distribuye ni se difunde a terceros. La exclusión es estrecha: se pierde en cuanto los datos se comparten con terceros, por ejemplo una lista de clientes enviada a una marca aliada. Tampoco cubre al vendedor que guarda a los clientes de la empresa en su WhatsApp personal.