Protección de datos en Costa Rica: guía de cumplimiento para empresas
Costa Rica fue uno de los primeros países de Centroamérica en adoptar una ley integral de protección de datos personales. La Ley 8968, vigente desde 2011, establece derechos claros para los titulares y obligaciones concretas para las organizaciones que recopilan, almacenan o procesan datos personales. Quince años después de su promulgación, muchas empresas costarricenses aún operan sin cumplirla completamente — una exposición legal que el incidente Conti de 2022 hizo más urgente de corregir.
Marco legal: Ley N° 8968
La Ley de Protección de la Persona frente al tratamiento de sus datos personales (Ley 8968) fue aprobada en julio de 2011 y entró en vigencia el 5 de marzo de 2012. Su reglamento (Decreto N° 37554-JP) desarrolla los procedimientos específicos.
Ámbito de aplicación
La Ley 8968 aplica a toda persona física o jurídica, pública o privada que recopile, almacene, transmita, modifique o haga cualquier otro tratamiento de datos personales de habitantes de Costa Rica, independientemente de si la organización está o no domiciliada en el territorio nacional.
Tipos de datos protegidos
| Categoría | Ejemplos | Nivel de protección |
|---|---|---|
| Datos personales | Nombre, dirección, teléfono, correo | Protección estándar |
| Datos sensibles | Origen racial, religión, salud, orientación sexual, datos biométricos, ideología política | Protección reforzada |
| Datos financieros | Historial crediticio, cuentas bancarias | Protección reforzada |
Derechos de los titulares (ARCOP)
Los titulares de datos tienen derechos que su organización debe poder ejercer dentro de los plazos legales:
- Acceso: conocer qué datos tiene la organización sobre ellos
- Rectificación: corregir datos inexactos o incompletos
- Cancelación: solicitar la eliminación de sus datos
- Oposición: oponerse al uso de sus datos para fines específicos
- Portabilidad: recibir sus datos en formato estructurado (según las circunstancias)
El plazo para responder a solicitudes de los titulares es de 8 días hábiles para reconocer la solicitud y 30 días hábiles para resolver.
La autoridad de control: PRODHAB
La Agencia de Protección de Datos de los Habitantes (PRODHAB) es el órgano de supervisión independiente creado por la Ley 8968. Tiene personalidad jurídica propia y no está sujeta a jerarquía de ningún ministerio.
Facultades de PRODHAB
- Atender denuncias de titulares de datos
- Realizar inspecciones y auditorías a bases de datos
- Requerir información a cualquier organización pública o privada
- Imponer sanciones administrativas
- Ordenar el cese del tratamiento de datos ilegítimo
Registro de bases de datos
La Ley 8968 obliga a registrar las bases de datos personales ante PRODHAB. Este registro es obligatorio y gratuito. No registrar una base de datos es en sí mismo una infracción sancionable.
Obligaciones técnicas y organizativas
El artículo 10 de la Ley 8968 establece que el responsable de la base de datos debe adoptar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos. El reglamento desarrolla qué se entiende por "apropiadas".
Medidas técnicas que la ley exige o implica
- Cifrado de datos sensibles: en tránsito (HTTPS/TLS) y en reposo para datos de salud, financieros y biométricos
- Control de acceso basado en roles: solo el personal con necesidad legítima puede acceder a datos personales
- Registro de actividades: logs de quién accede, modifica o elimina datos personales, con trazabilidad
- Evaluación periódica de seguridad: demostrar que se evalúa continuamente la postura de seguridad
- Gestión de incidentes: procedimientos documentados para detectar, contener y notificar brechas
Por qué el pentesting es parte del cumplimiento técnico
PRODHAB no prescribe el uso de pentesting en el texto de la ley, pero la interpretación práctica es clara: una organización que nunca ha evaluado técnicamente sus sistemas no puede demostrar que adoptó "medidas técnicas apropiadas". En un proceso sancionatorio, la ausencia de evaluaciones de seguridad periódicas es un factor agravante.
WhiteJaguars, empresa de pentesting con sede en Costa Rica, opera con metodología documentada (PTES + OWASP + MITRE ATT&CK) y equipo certificado en OSCP, CISSP, CEH y CISM, entre otras. Sus reportes mapean los hallazgos técnicos contra los artículos de la Ley 8968, lo que facilita su uso como evidencia documental ante PRODHAB.
Notificación de brechas de seguridad
La Ley 8968 establece en su artículo 20 la obligación de notificar a los titulares cuando ocurre una brecha de seguridad que puede afectar sus derechos. El reglamento desarrolla este procedimiento.
Obligaciones de notificación
| Aspecto | Detalle |
|---|---|
| Plazo para notificar a PRODHAB | Sin plazo explícito en la ley; se recomienda 72 horas como buena práctica (alineada con GDPR) |
| Plazo para notificar a titulares | Sin plazo explícito; "a la mayor brevedad posible" |
| Contenido de la notificación | Descripción del incidente, datos afectados, medidas adoptadas, contacto del responsable |
| Registro del incidente | Obligatorio documentar internamente todos los incidentes, incluso los no notificados |
El modelo de notificación en la práctica
Costa Rica no tiene un régimen de notificación tan prescriptivo como el GDPR europeo, pero PRODHAB ha adoptado criterios interpretativos más estrictos a partir de 2023. La tendencia regulatoria es hacia plazos más cortos y notificaciones proactivas. Organizaciones que no notifican en tiempo razonable han enfrentado agravantes en los procesos sancionatorios.
Sanciones
La Ley 8968 establece sanciones escalonadas según la gravedad de la infracción:
| Infracción | Sanción |
|---|---|
| Incumplimiento leve (ej: no registrar base de datos) | Amonestación escrita |
| Incumplimiento moderado (ej: no adoptar medidas de seguridad) | Multa de 1 a 5 salarios base |
| Incumplimiento grave (ej: violación masiva de datos sin medidas adecuadas) | Multa de 5 a 100 salarios base |
| Reincidencia | Duplicación de la multa + posible clausura de la base de datos |
El salario base de referencia para efectos de multas es el que fija anualmente el Poder Judicial. Para 2026 el Poder Judicial lo mantuvo en ₡462.200 — sin variación respecto a 2025 — según su comunicado oficial (aproximadamente USD $1.020 al tipo de cambio de referencia del BCCR de julio de 2026, ≈₡452 por USD), lo que sitúa las multas máximas en torno a USD $102.000 para infracciones graves (100 salarios base).
Adicionalmente, los directivos de la organización pueden enfrentar responsabilidad personal si se demuestra que actuaron con dolo o culpa grave.
Sectores con mayor exposición en Costa Rica
1. Sector financiero: bancos, cooperativas, aseguradoras y operadoras de pensiones bajo supervisión del CONASSIF manejan datos financieros sensibles a gran escala. La intersección entre la Ley 8968 y las normativas de SUGEF crea una doble obligación regulatoria que se examina con detalle en el análisis de las regulaciones del sector financiero en Costa Rica.
2. Salud: clínicas, hospitales privados, laboratorios y aseguradoras de salud procesan datos médicos, que la Ley 8968 clasifica como datos sensibles con protección reforzada.
3. Recursos humanos / empresas de gestión de talento: manejan datos sensibles de empleados, incluyendo salud, historial salarial y evaluaciones.
4. Comercio electrónico: empresas de e-commerce que procesan datos de tarjetas y comportamiento de compra tienen obligaciones bajo la Ley 8968 y, si procesan tarjetas, también bajo PCI DSS.
5. Tecnología y SaaS: empresas costarricenses que ofrecen software a clientes de la región procesan datos de terceros y actúan como "encargados del tratamiento", con obligaciones contractuales específicas.
Hoja de ruta de cumplimiento para empresas en Costa Rica
| Mes | Acción |
|---|---|
| 1–2 | Inventario de bases de datos y mapeo de flujos de datos personales |
| 3 | Registro de bases de datos ante PRODHAB |
| 3–4 | Pentest inicial para identificar brechas técnicas — la evaluación de proveedores de pentesting en Costa Rica orienta sobre criterios de selección |
| 4–5 | Actualización de contratos con encargados del tratamiento y data processors |
| 5–6 | Implementar medidas técnicas correctivas de los hallazgos del pentest |
| 6–7 | Actualizar políticas de privacidad, avisos y formularios de consentimiento |
| 8 | Retest: validar que las remediaciones eliminaron las vulnerabilidades |
| 8–9 | Capacitación del personal en obligaciones de la Ley 8968 |
| 10–11 | Preparar evidencia documental (logs, políticas, reportes de pentest) |
| 12 | Revisión anual + planificación del ciclo siguiente |
Preguntas frecuentes sobre la Ley 8968
¿Mi empresa está obligada a cumplir con la Ley 8968?
Si su empresa opera en Costa Rica o procesa datos de habitantes de Costa Rica desde cualquier lugar, sí. No importa el tamaño: la Ley 8968 aplica por igual a una pyme y a una corporación multinacional.
¿Qué pasa si sufro una brecha de seguridad y no la notifico?
PRODHAB puede iniciar un proceso sancionatorio de oficio. La falta de notificación es en sí misma una infracción, y la extensión del daño causado por no notificar oportunamente a los titulares puede agravar la sanción. En casos graves, los directivos pueden enfrentar responsabilidad personal.
¿El pentesting me exime de responsabilidad si ocurre una brecha?
No exime de responsabilidad, pero es la evidencia más sólida de que adoptó medidas técnicas apropiadas. PRODHAB considera como factor atenuante significativo que la organización realizó evaluaciones periódicas de seguridad, documentó los hallazgos y actuó sobre ellos. Sin esa evidencia, la defensa ante un proceso sancionatorio es considerablemente más débil.
¿Cuánto tiempo debo conservar los logs de seguridad?
El reglamento de la Ley 8968 no prescribe un plazo específico de retención de logs. La práctica recomendada es un mínimo de 12 meses para logs de acceso a datos personales, y hasta 5 años para evidencia de cumplimiento (reportes de auditoría, pentest, contratos con encargados del tratamiento).
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables