Ley 8968 en Costa Rica: el lado técnico de la protección de datos

El Art. 2 aplica la ley a los datos personales en bases de datos automatizadas o manuales, públicas o privadas. Quedan fuera las bases con fines exclusivamente internos, personales o domésticos, siempre que no se vendan ni se comercialicen. El reglamento añade que aplica a los datos que surtan efectos en el territorio nacional (Art. 3 del reglamento).

La PRODHAB es un órgano de desconcentración máxima adscrito al Ministerio de Justicia y Paz (Art. 15). El Art. 16 le da, entre otras atribuciones, llevar el registro de bases de datos, requerir a quienes las administran la información necesaria y sus protocolos, acceder a las bases en casos concretos o ante evidencia de mal manejo generalizado, resolver reclamos e imponer sanciones.

Dos figuras importan para el trabajo técnico. El responsable decide la finalidad de la base y qué datos se tratan (Art. 3 de la ley). El encargado (Art. 2 del reglamento), el proveedor de servicios o el intermediario tecnológico tratan los datos por cuenta del responsable, que conserva la responsabilidad.

El Art. 10 de la ley obliga al responsable a adoptar "las medidas de índole técnica y de organización necesarias" para proteger los datos y evitar su alteración, destrucción, pérdida o acceso no autorizado. Esas medidas deben incluir "los mecanismos de seguridad física y lógica más adecuados de acuerdo con el desarrollo tecnológico actual". El mismo artículo prohíbe registrar datos en bases que no reúnan condiciones de seguridad e integridad.

El reglamento baja eso a tierra. El Art. 34 pide medidas administrativas, físicas y lógicas y define medida de seguridad como "el control o grupo de controles para proteger los datos personales". El Art. 35 fija los factores para elegirlas, entre ellos la sensibilidad de los datos, el número de titulares, las consecuencias de una vulneración y las vulnerabilidades previas en los sistemas.

El Art. 36 del reglamento lista las acciones mínimas, que la PRODHAB puede pedir en cualquier momento:

• Descripción detallada del tipo de datos personales tratados o almacenados.
• Inventario actualizado de la infraestructura tecnológica, con equipos, programas y licencias.
• El tipo de sistema o proceso usado, con nombre y versión de la base de datos cuando proceda.
• Un análisis de riesgos que identifique peligros y estime los riesgos sobre los datos.
• Las medidas aplicables, identificando cuáles están implementadas de manera efectiva.
• El cálculo del riesgo residual entre las medidas existentes y las faltantes.
• Un plan de trabajo para implementar las medidas faltantes.

El Art. 37 obliga a actualizar las medidas cuando se revisa la política de seguridad, cuando cambia el tratamiento de forma que sube el riesgo, cuando se modifica la plataforma tecnológica y cuando se vulneran los sistemas. Para datos sensibles, cuando la ley permita tratarlos, la revisión es al menos una vez al año.

En la práctica, una migración a la nube, un nuevo sistema de clientes o un incidente obligan a rehacer el análisis de riesgos del Art. 36. Un pentest después del cambio dice si las medidas que el documento declara como efectivas lo son en el sistema nuevo.

Hay un punto de confidencialidad que conviene conocer. El Art. 36 dice que las medidas de seguridad se consideran información no divulgada, que las guarda el responsable y que la PRODHAB puede pedirlas para consulta en sitio y ante una denuncia. Para el registro se notifican los protocolos mínimos de seguridad, no el detalle.

La ley no tiene un artículo de aviso de brechas. El aviso está en el reglamento. El Art. 38 pide informar al titular sobre cualquier irregularidad, como pérdida o destrucción de sus datos, causada por una vulnerabilidad de seguridad, y para eso da "cinco días hábiles a partir del momento en que ocurrió la vulnerabilidad". En el mismo plazo, el responsable debe iniciar una revisión exhaustiva para medir la afectación y definir medidas correctivas y preventivas.

El Art. 39 fija el contenido mínimo del aviso al titular y a la Agencia: la naturaleza del incidente, los datos comprometidos, las acciones correctivas inmediatas y dónde obtener más información.

Cinco días hábiles es poco tiempo si nadie ha ensayado. En ese plazo hay que saber qué sistemas se tocaron, qué registros existen para reconstruirlo y quién redacta el aviso. Un ejercicio de mesa con un escenario de fuga de datos de clientes muestra si la información está disponible y quién decide.

La ley también tipifica faltas ligadas a la seguridad. Recolectar, almacenar o transmitir datos de terceros por mecanismos inseguros es falta leve (Art. 29 b). Revelar información que se está obligado a guardar en secreto es falta gravísima (Art. 31 c). Las multas se calculan en salarios base del cargo de auxiliar judicial I y llegan a treinta en las faltas gravísimas (Art. 28).

El Art. 29 del reglamento es directo: quien contrata servicios de un intermediario tecnológico o proveedor "mantiene la responsabilidad por el tratamiento de datos personales" y debe verificar que el proveedor tenga las medidas de seguridad mínimas. El Art. 34 repite que el responsable vela porque el encargado y el intermediario apliquen esas medidas. Para una empresa costarricense que usa un CRM en la nube, un centro de llamadas o un procesador de pagos, eso implica revisar a cada proveedor y guardar la evidencia.

El Art. 32 del reglamento pide un protocolo mínimo de actuación que se transmite al encargado. Incluye políticas de privacidad, capacitación del personal, control interno, procedimientos para atender a los titulares y medidas técnicas para mantener un historial de los datos durante su tratamiento. Esas medidas se inscriben ante la Agencia. El Art. 12 de la ley dice que operar con un protocolo inscrito hace presumir el apego a la ley para efectos de la cesión de datos.

No toda base se inscribe. El Art. 21 de la ley pide inscribir "toda base de datos, pública o privada, administrada con fines de distribución, difusión o comercialización". Tratar datos sin inscribirse cuando corresponde es falta gravísima (Art. 31 e). Las bases inscritas pagan un canon anual de USD 200 (Art. 33 de la ley y Art. 78 del reglamento), que se paga en enero (Art. 79).

El Art. 44 del reglamento lista lo que lleva la solicitud. La parte técnica incluye el nombre y la ubicación física de las bases, los tipos de datos tratados, la finalidad y los encargados con sus datos de contacto. Si usted no sabe dónde están físicamente todas sus bases, incluidas las copias de respaldo y las de proveedores, ese es el primer trabajo. Si su base debe o no inscribirse es una pregunta legal.

Ni la ley ni el reglamento piden un pentest por nombre. Piden saber qué medidas están implementadas de manera efectiva y cuál es el riesgo residual (Art. 36 e y f del reglamento). Una prueba técnica aporta hechos a ese análisis:

• Un pentest de la aplicación o el portal que recoge datos personales muestra si un tercero puede leer o extraer registros de otros clientes.
• Un pentest de red interna mide cuántos pasos separan a un empleado o proveedor de la base de clientes.
• Una prueba de restauración confirma que los datos se recuperan íntegros después de una pérdida.
• Un ejercicio de mesa de fuga de datos ensaya el aviso de cinco días hábiles de los Arts. 38 y 39.
• Una revisión de proveedores reúne la verificación que pide el Art. 29 del reglamento.