Cuando Mauricio París, socio director de Ecija Costa Rica, recurrió a la Agencia de Protección de Datos de los Habitantes (Prodhab) en 2020, su preocupación era la comercialización de datos ciudadanos por parte del Tribunal Supremo de Elecciones (TSE) a través de su servicio de Verificación de Identidad (VID) sin el consentimiento de los titulares. No se imaginó que terminaría cambiando la forma en la que las personas pueden consultar información de ciudadanos en el sitio web del TSE.
En la resolución de la Prodhab del 4 de mayo anterior, seis años después de presentado el recurso, la Agencia ordenó al TSE incluir un formato para solicitar el consentimiento informado de los ciudadanos y presentar una justificación legal del acceso público a los datos personales. Eso derivó en la decisión del TSE de exigir a los usuarios que cuenten con un usuario y contraseña para ingresar a la sección de “Consultas Civiles”.
“Yo no diría que esa decisión del TSE se originó en el recurso,” indicó París en una conversación con El Financiero, de la cual presentamos aquí un extracto. “La Prodhab resolvió e invitó al TSE a revisar los datos expuestos y éste aplicó esos mecanismos”.
Las modificaciones del TSE generaron diversas reacciones entre quienes recurren al servicio, incluso para averiguar una fecha de cumpleaños, y quienes prefieren que la información no esté expuesta, en un contexto de mayor preocupación por la privacidad.
Esta es el área donde París es protagonista activo, planteando la necesidad de actualizar la normativa, que hoy debe abarcar la ciberseguridad, la inteligencia artificial (IA) y su cumplimiento.
Inició su carrera dedicándose al arbitraje. En 2011, en una especialización en España, llevó un curso de protección de datos y le llamó la atención cómo esta materia integra derechos individuales, constitucionales y de la intimidad.
Luego fue parte de la Asociación Latinoamericana de Privacidad y del Consejo Internacional de Expertos de la EuroPrivacy, que certifica ámbitos de protección de datos y ciberseguridad. En Ecija, desde 2018, se dedica al arbitraje en tecnología, medios y telecomunicaciones (TMT); a la estrategia legal para multinacionales; y a la protección de datos, la IA y el cumplimiento digital, entre otras.
Justo cuando estaba en España, se aprobó en Costa Rica la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (N° 8968). Varios años después, trabajó con la Prodhab en una estrategia como parte del proceso de adhesión del país a la Organización para la Cooperación y el Desarrollo Económicos (OCDE).
Las medidas técnicas locales complementarias no prosperaron debido a la politización del tema que siguió al escándalo de la Unidad Presidencial de Análisis de Datos (UPAD) en febrero de 2020, tras un decreto de la Administración Alvarado para acceder a datos confidenciales y sensibles de la ciudadanía sin el debido sustento legal.
París señala que el escándalo, sin embargo, generó preocupación sobre la protección de la información personal. Esto aumentó con los ataques informáticos al Ministerio de Hacienda y a otras instituciones públicas en 2022 y a un buró de crédito en 2026. Lo mismo ocurrió con otros intentos de varias instituciones para acceder a datos de los ciudadanos.
“Hay un cambio abismal desde 2011. En ese entonces solo existía el modelo regulatorio europeo, cuyo reglamento entró en vigor en 2019, y al que se le critica el exceso de regulación”, explicó París. “Luego surgieron modelos como el de Estados Unidos con la Administración Trump orientado a la autorregulación y el de Asia, de totalitarismo tecnológico”.
El ciudadano debe saber cuáles datos tiene cada institución y que los usa exclusivamente según sus competencias.
Si alguien busca la fecha de cumpleaños de una persona: ¿cuál es el problema de que quede registrado que estaba buscando esos datos?
Sabemos que estamos en una situación de inseguridad insostenible, pero no se puede aplicar una política pública por el mínimo común denominador que considera que toda la población se porta mal y tiene que soportar la videovigilancia.
A continuación, un extracto de la conversación con París.
También hay cambios a nivel cultural entre los usuarios.
Lo comparo con la Ley de la competencia y defensa del consumidor (N° 7472) de 1994. Hoy todo el mundo reconoce que hay regulaciones sobre garantías, devoluciones o publicidad. Ese cambio fue rápido porque el regulador es más efectivo.
En materia de datos, la preocupación creció con el caso de la UPAD y ahora el hackeo de datos de la población. Además, la prensa está atenta a iniciativas gubernamentales que normalmente son muy torpes, no se sabe si por desconocimiento o por una tendencia a acumular datos de las personas, incumpliendo las normas legales.
A las empresas les falta aprovechar más los datos para ofrecer soluciones a las necesidades de sus clientes y en las instituciones mantenemos la esperanza de la interoperabilidad para no repetir los datos personales que ya tienen cada vez que realizamos un trámite. Pero hay un uso perverso de los datos personales para el control político de la población y fraudes financieros.
Los datos son la base de la economía, pero no deben salir del control de los ciudadanos, que deben conocer quién los tiene, su uso y con qué propósito. El problema es dar los datos para un fin y que se usen para otro distinto que no fue autorizado. Esto es ilegal.
Las instituciones no entienden que los datos son de los ciudadanos y no pueden intercambiarse y que requieren protocolos, seguridad y, sobre todo, transparencia sobre su uso. Como en el caso del registro de accionistas, que ahora el Poder Ejecutivo quiere —mediante un proyecto de ley— para otros fines.
En la interoperabilidad debe establecerse un límite: la transparencia. El ciudadano debe saber cuáles datos tiene cada institución y que los usa exclusivamente según sus competencias. Como en el caso del TSE, al que le damos los datos de identificación ciudadana y para el proceso electoral.
Por supuesto, los pueden usar otras entidades como la Caja Costarricense del Seguro Social (CCSS). Solo que a la Caja no debe interesarle el domicilio electoral de la persona.
Si hay convenios entre entidades, deben conocerse públicamente, así como los mecanismos de transferencia y seguridad. No es información para enviar por correo electrónico en un Excel.
¿En el caso del TSE, la decisión se originó en el recurso que usted presentó?
Yo no diría que se originó en ese recurso que presenté hace seis años sobre la comercialización a través del VID. Este es un servicio útil y necesario, pero debe estar a prueba de balas.
El problema es que el ciudadano no tiene forma de saber quién utiliza sus datos ni tiene posibilidad de dar su consentimiento informado. El TSE incumplía la Ley N° 8968. En ese punto, Prodhab ordenó al TSE adecuar el funcionamiento del VID y, como el servicio de consultas era abierto, lo invitó a revisarlo. El TSE tomó esa invitación, hizo una revisión y aplicó los mecanismos de registro de usuarios.
Pero eso fue a raíz del mismo recurso.
Fue a raíz del mismo recurso. Fue una invitación y el TSE aplicó los mecanismos, que son bastante importantes, para que no sean consultas indiscriminadas, que exista trazabilidad, que tengan doble autenticación y que tengan usos diferenciados.
¿Qué está pendiente en el caso de los datos del Registro Civil?
Hay conversaciones que debemos tener, como el sistema de numeración de la cédula que responde a una realidad analógica. Hoy es un mecanismo inseguro de identificación que se presta para la discriminación de las personas, pues no es lo mismo ser cédula 7 que ser cédula 1.
O cédula 8.
Esa es otra. En Costa Rica no se deja de ser extranjero aunque la persona se naturalice. Debería existir la posibilidad de cambiar los números por una orden judicial cuando hayan sido vulnerados. Se podría utilizar un sistema aleatorio para asignarlos.
La reacción a ese cambio fue sobre la imposibilidad de “vinear”.
Si alguien busca la fecha de cumpleaños de una persona: ¿cuál es el problema de que quede registrado que estaba buscando esos datos?
La modificación quedó un poquito corta. Las personas la utilizan para realizar búsquedas inversas, pues con el nombre y un apellido obtienen una lista y la revisan hasta que dan con el número de cédula y otros datos de una persona.
Eso debería impedirse, pues no se deben exponer datos cuando hay riesgos reales.
¿En otras instituciones tenemos situaciones parecidas? ¿Como en el Registro de la Propiedad?
Hay que revisarlo, pero ahí opera la publicidad registral para identificar riesgos al adquirir un vehículo o una propiedad, y también en el caso de personas jurídicas. Ahí se impone la seguridad jurídica.
En el caso del registro de accionistas, se puede verificar si una persona está relacionada con alguna sociedad. Eso está así en la ley Registro de Transparencia y Beneficiarios Finales (N° 9416). El problema es que el Banco Central de Costa Rica (BCCR) tiene un formulario que pide datos (dirección, número telefónico, correo electrónico, nacionalidad) y que carece de sustento legal.
También hay un proyecto de Hacienda para utilizar esos datos, con definiciones ambiguas, en el que el derecho fundamental a la intimidad supera al argumento de la necesidad de agilidad. En este caso, ni siquiera hay una colisión de derechos.
De la misma forma, todavía las instituciones recolectan datos que no son necesarios para sus funciones y que pueden quedar expuestos por una filtración.
Y está el caso del marchamo digital que será leído por sistemas de radiofrecuencia y hasta por particulares. La Sala Constitucional —que es errática, no entiende de protección de datos y tiene una visión muy publicista (algo así como “el que nada debe, nada teme”)— le dio el aval.
Claro que permitirá fotomultas y que en condominios, centros comerciales o peajes sustituya el QuickPass y los stickers de ingreso. Pero no hay transparencia sobre los dispositivos, sobre los particulares que realizan el registro, sobre los convenios del Instituto Nacional de Seguros (INS) para compartir los datos, ni sobre si otras entidades tendrán la información.
También es el caso del decreto de videovigilancia del Ministerio de Seguridad Pública que tiene conceptos jurídicos indeterminados, puede prestarse para usos excesivos y que en algunos usos debe ser aprobado mediante ley de la Asamblea Legislativa con mayoría calificada, al afectar el artículo 24 de la Constitución Política del derecho a la intimidad.
Son tecnologías que pueden ayudar a identificar quién cometió un delito, pero permiten el uso perverso que mencioné antes.
La Ley N° 8968, en su artículo 8, establece la excepción para el uso de datos en casos de delitos en el marco de un proceso con órdenes y garantías judiciales durante una investigación.
El decreto de videovigilancia permite que los drones invadan espacios privados sin autorización de un juez. Además, amplía el uso de las cámaras de los policías más allá de lo establecido en la reforma a la Ley General de Policías (N.° 7410).
Sabemos que estamos en una situación de inseguridad insostenible, pero no se puede aplicar una política pública por el mínimo común denominador que considera que toda la población se porta mal y tiene que soportar la videovigilancia.
Son medidas que se quedarán más allá del momento de excepción, como las adoptadas en los aeropuertos después de los atentados terroristas del 11 de setiembre de 2001 en EE. UU., donde no se volvió al estado anterior.
En China se aplica la videovigilancia y las personas que el Estado considera que “se portan mal”, identificadas por un algoritmo, enfrentan diversos “castigos” (como no tener espacio en el tren o no obtener un descuento) sin posibilidad de defenderse cuando el sistema presenta sesgos o comete errores.
Es llamativo que aumentan las denuncias ante la Prodhab, pero son pocas las resoluciones de casos graves.
Así es. Otra situación es el monto máximo de la multa, que no es nada para las empresas (máximo cinco salarios base de ¢462.000). En Europa es el 2% o el 3% de las ventas anuales. En Costa Rica no hay desincentivo.
Cuando se presentó un proyecto de ley integral para actualizar estas situaciones, surgió el escándalo por los requerimientos de datos del BCCR y nuevamente la discusión se politizó. Hubo otra propuesta de reforma parcial de la Ley N° 8968, presentada en el marco de la investigación sobre la UPAD. Tuvo la misma suerte.
Es indispensable reformar esa ley en línea con la regulación europea, tener una mejor descripción del tipo de faltas (leve, grave o gravísima) y actualizar las multas para equipararlas con las de Competencia, que pueden llegar a ¢50 millones o ¢60 millones y abordar también el tema del consentimiento.
