Texto Completo acta: ECA5D
N° 37554-JP
- LA PRESIDENTA DE
LA REPÚBLICA
- Y EL MINISTRO DE JUSTICIA Y PAZ
Con fundamento en los artículos 24 y 140 incisos 3), 8) y 18) de
la Constitución
Política; el Transitorio III de
la Ley de Protección de
la Persona Frente al
Tratamiento de sus Datos Personales, Nº 8968 del 7 de julio del 2011 y el
artículo 28 inciso 2) acápite b) de
la Ley General de
la
Administración Pública.
Considerando:
1º-Que el Estado democrático y constitucional de derecho costarricense está
comprometido en garantizar a cualquier persona, el respeto a sus derechos
fundamentales.
2º-Que en actualidad las tecnologías de la información y de la comunicación
han hecho posible que las personas puedan acceder a condiciones para
interactuar en una gran cantidad de escenarios, y por ende incursionar en
medios o plataformas tecnológicas que pueden contener información personal y en
consecuencia se ha transformado profundamente la forma en que la humanidad crea
y distribuye sus conocimientos, lo que a su vez genera un riesgo a su intimidad
o actividad privada.
3º-Que en razón del riesgo a la intimidad o actividad privada del
individuo, deviene necesario velar por la defensa de la libertad e igualdad del
mismo con respecto al tratamiento automatizado o manual de los datos
correspondientes a su persona, cuando estos figuren en bases de datos de organismos
públicos o privados.
4º-Que mediante Ley Nº 8968 del 7 de julio del 2011, se promulgó
la Ley de Protección de
la Persona Frente al
Tratamiento de sus Datos Personales, siendo que la misma en su Transitorio III impone
al Poder Ejecutivo emitir la debida reglamentación.
5º-Que dado lo anterior, mediante Acuerdo Ejecutivo N° 212-MJP de fecha 22
de noviembre de 2011, publicado en el Diario Oficial
La Gaceta N° 11 del
16 de enero de 2012, el Poder Ejecutivo conformó una Comisión
Interinstitucional asignándole la responsabilidad de redactar el Reglamento a
la citada Ley.
6º-Que la Agencia
de Protección de Datos de los Habitantes quedó conformada e integrada según lo
dispone el Transitorio III de la Ley
8968, siendo que la Agencia
participó en las sesiones de
la Comisión y emitió sus recomendaciones técnicas,
las cuales fueron analizadas e incorporadas, cuando así se consideró oportuno.
7º-Que de conformidad con el numeral 361 de
la Ley General de
la Administración
Pública el proyecto de Reglamento a
la Ley de Protección de
la Persona Frente al
Tratamiento de sus Datos Personales, salió a consulta pública mediante aviso
divulgado en el Diario Oficial La
Gaceta, de fecha 24 de agosto de 2012, Alcance 119, con
plazo de recepción de observaciones de 10 días hábiles, que transcurrieron del
27 de agosto al 11 de setiembre, ambas fechas del 2012.
8º-Que para la atención de las observaciones se habilitó un blog en la
página Web del Ministerio de Justicia y Paz, así como se recibieron documentos
físicos y digitales. Todas las observaciones, comentarios y sugerencias
recibidas dentro del plazo establecido, fueron debidamente estudiados por
la Comisión Redactora
instaurada para ese efecto. Realizado el análisis correspondiente, se arribó al
presente texto de Reglamento.
Por tanto,
- DECRETAN:
- Reglamento a la Ley
de Protección de la Persona
- Frente al Tratamiento de sus Datos Personales
- Capítulo I
- Disposiciones Generales
Artículo 1. Objeto. Las presentes disposiciones tienen por objeto
reglamentar la Ley
de Protección de la
Persona Frente al Tratamiento de sus Datos Personales, en
cuanto a garantizar a cualquier individuo, independientemente de su
nacionalidad, residencia o domicilio, el respeto a sus derechos fundamentales,
concretamente, su derecho a la autodeterminación informativa en relación con su
intimidad o actividad privada, así como la defensa de su libertad e igualdad
con respecto al tratamiento automatizado o manual de los datos correspondientes
a su persona o bienes.
Ficha articulo
Artículo 2. Definiciones, siglas y acrónimos. Además de las
definiciones establecidas en la
Ley de Protección de
la Persona Frente al
Tratamiento de sus Datos Personales, para los efectos del presente Reglamento
se entenderá por:
a) Agencia o PRODHAB: Agencia de Protección de Datos de los Habitantes.
b) Base de datos: Cualquier archivo, fichero, registro u otro conjunto
estructurado de datos personales públicos o privados, que sean objeto de
tratamiento, automatizado o manual, en el sitio o en la nube, bajo control o
dirección de un responsable, cualquiera que sea la modalidad de su elaboración,
organización o acceso.
c) Base de datos
interna, personal o doméstica: Se considerará como base de datos personal o
doméstica, cualquier archivo, fichero, registro u otro conjunto estructurado de
datos personales restringidos o de acceso irrestricto, mantenidos por personas
físicas, siempre y cuando las bases de datos o su contenido no sea
comercializado, distribuido o difundido. Se considerará como base de datos
interna cualquier archivo, fichero, registro u otro conjunto estructurado de
datos personales mantenidos por personas jurídicas, públicas o privadas,
siempre y cuando las bases de datos o su contenido no sea comercializado,
distribuido o difundido. Conservarán la calidad de base de datos interna,
aquellas bases de datos que sean compartidas dentro de un mismo grupo de
interés económico ya sea local o con presencia internacional siempre que no
medie difusión o distribución a terceros, venta o comercialización de cualquier
naturaleza.
(Así
reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 40008
del 19 de julio de 2016)
d) Bases de datos de acceso público: Aquellos ficheros, archivos, registro
u otro conjunto estructura de datos que pueden ser consultados por cualquier
persona que no estén impedidos por una norma limitativa, o sin más exigencia
que el pago de una contraprestación.
e) Comercializar: Vender, transar, intercambiar o de cualquier manera
enajenar o pignorar, con fines de lucro a favor de un tercero, una o más veces,
aquellos datos personales que consten en bases de datos.
f) Consentimiento del titular de
los datos personales: Toda manifestación de voluntad expresa, libre,
inequívoca, informada y específica que se otorgue por escrito o en medio
digital para un fin determinado, mediante la cual el titular de los datos
personales o su representante, consienta el tratamiento de sus datos
personales. Si el consentimiento se otorga en el marco de un contrato para
otros fines, dicho contrato deberá contar con una cláusula específica e
independiente sobre consentimiento del tratamiento de datos personales.
(Así reformado el inciso anterior por el
artículo 1° del decreto ejecutivo N°
40008 del 19 de julio de 2016)
g) Consulta: Solicitud realizada a una base de datos, en la que se requiere
información concreta en función de criterios de búsqueda definidos, siempre que
dicha solicitud no resulte en una trasbase o réplica
de la base de datos.
h) Contrato global: Acuerdo de voluntades mediante el cual las partes
manifiestan o expresan su consentimiento, sea de manera física o electrónica, y
que tiene por objeto el servicio de un conjunto de consultas realizadas por un
mismo solicitante a una base de datos que contenga datos personales, mediante
el pacto de una remuneración pecuniaria en atención al volumen.
i) Datos en la nube: Archivo, fichero, registro u otro conjunto
estructurado de datos a los cuales se accesa haciendo
uso de Internet.
j) Distribución,
difusión: Cualquier forma en la que se repartan o publiquen datos personales, a
un tercero, por cualquier medio siempre que medie un fin de comercializar el
dato o medie el lucro con la base de datos.
(Así
reformado el inciso anterior por el artículo 1°
del decreto ejecutivo N° 40008 del 19 de julio de 2016)
k) Encargado: Toda persona física o jurídica, entidad pública o privada, o
cualquier otro organismo que da tratamiento a los datos personales por cuenta
del responsable de la base de datos.
l) Fichero: Todo conjunto organizado de datos de carácter personal,
cualquiera que fuere la forma, fin o modalidad de su creación, almacenamiento,
organización y acceso.
m) Garantía de confidencialidad: Obligación de toda persona física o
jurídica, pública o privada, que tenga participación en el tratamiento o
almacenamiento de datos personales, de cumplir con el deber de confidencialidad
que exige la Ley.
n) Intermediario
tecnológico o proveedor de servicios: Persona física o jurídica, pública o
privada que brinde servicios de infraestructura, plataforma, software u otros
servicios.
(Así
reformado el inciso anterior por el artículo 1°
del decreto ejecutivo N° 40008 del 19 de julio de 2016)
o) Investigación científica: Proceso de aplicación de un método científico que
procura obtener información relevante y fidedigna para entender, verificar,
corregir o aplicar datos, entre ellos personales de carácter no sensible o que
siendo sensibles no sean identificables, con la finalidad de obtener
conocimientos y solucionar problemas científicos, filosóficos o
empírico-técnicos.
p) Ley: Ley de Protección de
la Persona Frente al Tratamiento de sus Datos
Personales, número 8968.
q) Persona física identificable: Persona cuya identidad pueda determinarse,
directa o indirectamente, mediante cualquier información referida a su
identidad anatómica, fisiológica, psíquica, económica, cultural o social. Una
persona física no se considerará identificable si dicha identificación requiere
plazos o actividades desproporcionadas.
r) Procedimiento de desasociación: Acción y
efecto de disociar los datos personales, de modo que la información que se
obtenga no pueda asociarse o vincularse a persona determinada o determinable.
s) Responsable: Toda persona física o jurídica, pública o privada, que administre
o, gerencia o, se encargue o, sea propietario, de una o más bases de datos
públicas o privadas, competente con arreglo a
la Ley, para decidir cuál es la finalidad de la base
de datos, cuáles categorías de datos de carácter personal deberán registrarse y
qué tipo de tratamiento les aplicarán.
t) (Derogado por el artículo 11° del decreto ejecutivo N° 40008 del 19 de julio
de 2016)
u) Supresión o eliminación: Procedimiento en virtud del cual el responsable
o el encargado de la base de datos, borra o destruye total o parcialmente de
manera definitiva, los datos personales del titular, de su base de datos.
v) Titular o interesado: Persona física dueña de los datos personales
tutelados en la Ley,
o su representante.
w) Transferencia de
datos personales: Acción mediante la cual se trasladan datos personales del
responsable de una base de datos personales a cualquier tercero distinto del
propio responsable, de su grupo de interés económico, del encargado, proveedor
de servicios o intermediario tecnológico, en estos casos siempre y cuando el
receptor no use los datos para distribución, difusión o comercialización.
(Así
reformado el inciso anterior por el artículo 1 del decreto ejecutivo N° 40008
del 19 de julio de 2016)
x) Tratamiento de datos: Cualquier operación o conjunto de operaciones,
efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos
personales, tales como la recolección, el registro, la organización, la
conservación, la modificación, la extracción, la consulta, la utilización, la
comunicación por transmisión, difusión, distribución o cualquier otra forma que
facilite el acceso a estos, el cotejo o la interconexión, así como su bloqueo,
supresión o destrucción, entre otros.
y) Tratamiento de datos automatizado: Cualquier operación, conjunto de
operaciones o procedimientos, aplicados a datos personales, efectuados mediante
la utilización de hardware, software, redes, servicios, aplicaciones, en el
sitio o en la nube, o cualquier otra tecnología de la información que permitan
la recolección, el registro, la organización, la conservación, la modificación,
la extracción, la consulta, la utilización, la comunicación por transmisión,
difusión, distribución o cualquier otra forma que facilite el acceso a estos,
el cotejo, o la interconexión, así como su bloqueo, supresión o destrucción,
intercambio o digitalización de datos personales, entre otros.
z) Grupo de interés
económico: agrupación de sociedades que se manifiesta mediante una unidad de
decisión, es decir, la reunión de todos los elementos de mando o dirección
empresarial por medio de un centro de operaciones, y se exterioriza mediante
dos movimientos básicos: el criterio de unidad de dirección, ya sea por
subordinación o por colaboración entre empresas, o el criterio de dependencia
económica de las sociedades que se agrupan, sin importar que la personalidad
jurídica de las sociedades se vea afectada, o que su patrimonio sea objeto de
transferencia, independientemente de su domicilio y razón social. Cuando la
PRODHAB lo requiera la condición de grupo de interés económico podrá ser
demostrada al menos por medio de una declaración notarial jurada o documento
legal equivalente de la jurisdicción del titular de la base de datos sin
perjuicio de las facultades de investigación de la PRODHAB.
(Así
adicionado el inciso anterior por el artículo 1 del decreto ejecutivo N° 40008
del 19 de julio de 2016)
Ficha articulo
Artículo 3. Ámbito de aplicación. Este Reglamento será de aplicación
a los datos personales que figuren en las bases de datos automatizadas o
manuales, de organismos públicos o privados, y a toda modalidad de uso
posterior de estos datos, en tanto surtan efectos dentro del territorio
nacional, o les resulte aplicable la legislación costarricense derivada de la
celebración de un contrato o en los términos del derecho internacional.
El régimen de protección de los datos de carácter personal que se establece
en este Reglamento, no será de aplicación a las bases de datos mantenidas por
personas físicas o jurídicas, públicas o privadas, con fines exclusivamente
internos, personales o domésticos, siempre y cuando éstas no sean de cualquier
manera comercializadas.
Las bases de datos
de entidades financieras que se encuentren sujetas al control y regulación por
parte de la Superintendencia General de Entidades Financieras (SUGEF), no
requerirán inscribirse ante la Agencia de Protección de Datos de los
Habitantes. Sin perjuicio de lo anterior, la Agencia tendrá plena competencia
para regular y fiscalizar la protección de los derechos y garantías cubiertos
bajo la Ley N° 8968 y ejercer todas las acciones que se conceden al efecto, sobre
dichas bases de datos.
(Así
reformado el párrafo anterior por el artículo 2 del decreto ejecutivo N° 40008
del 19 de julio de 2016)
El régimen de
protección de los datos de carácter personal que se establece en este
Reglamento tampoco será de aplicación a los datos que se refieran a personas
físicas en su calidad de profesionales siempre y cuando ello se realice para
fines propios de la profesión o en cumplimiento de disposiciones legales.
(Así
adicionado el párrafo anterior por el artículo 2 del decreto ejecutivo N° 40008
del 19 de julio de 2016)
Ficha articulo
Capítulo II
Del Consentimiento
Artículo 4. Requisitos del Consentimiento. La obtención del
consentimiento deberá ser:
a) Libre: no debe mediar error, mala fe, violencia física o psicológica o
dolo, que puedan afectar la manifestación de voluntad del titular;
b) Específico: referido a una o varias finalidades determinadas y definidas
que justifiquen el tratamiento;
c) Informado: que el titular tenga conocimiento previo al tratamiento, a
qué serán sometidos sus datos personales y las consecuencias de otorgar su
consentimiento. Asimismo, de saber quién es el responsable que interviene en el
tratamiento de sus datos personales, y su lugar o medio de contacto;
d) Inequívoco: debe otorgarse por cualquier medio o mediante conductas
inequívocas del titular de forma tal que pueda demostrarse de manera
indubitable su otorgamiento y que permita su consulta posterior.
(Así reformado el inciso anterior por el artículo 3° de decreto ejecutivo N° 40008 del 19 de julio
de 2016)
e) Individualizado: debe existir mínimo un otorgamiento del consentimiento
por parte de cada titular de los datos personales.
Ficha articulo
Artículo 5. Formalidades del consentimiento. Quien recopile datos
personales deberá, en todos los casos, obtener el consentimiento expreso del
titular para el tratamiento de datos personales, con las excepciones
establecidas en la Ley.
El consentimiento
deberá ser otorgado por el titular, en un documento físico o electrónico.
Tratándose de consentimiento recabado en línea, el responsable deberá poner a
disposición un procedimiento para el otorgamiento del consentimiento conforme a
la Ley.
(Así
reformado el párrafo anterior por el artículo 4° del decreto ejecutivo N° 40008 del 19 de julio
de 2016)
De igual manera, el documento por medio del cual el autorizante de los
datos personales extiende su consentimiento, debe ser de fácil comprensión,
gratuito y debidamente identificado.
No será necesario el consentimiento expreso cuando:
a) Exista orden fundamentada, dictada por autoridad judicial competente o
acuerdo adoptado por una comisión especial de investigación de
la Asamblea Legislativa
en el ejercicio de su cargo.
b) Se trate de datos personales de acceso irrestricto, obtenidos de fuentes
de acceso público general.
c) Los datos deban ser entregados por disposición constitucional o legal.
Ficha articulo
Artículo 6. Carga de la prueba del consentimiento. Para efectos de
demostrar la obtención del consentimiento, la carga de la prueba recaerá, en
todos los casos, en el responsable de la base de datos.
Ficha articulo
Artículo 7. De la revocación. En cualquier momento, el titular podrá
revocar su consentimiento para el tratamiento de sus datos personales, para lo
cual el responsable deberá establecer mecanismos expeditos, sencillos y
gratuitos, que permitan al titular revocar su consentimiento.
Ficha articulo
Artículo 8. Trámite de la revocación. El responsable de la base de
datos, ante la presentación de la solicitud de revocación del consentimiento,
contará con un plazo de cinco días hábiles a partir del recibido de la misma,
para proceder conforme a la revocación. Asimismo, dentro del mismo plazo de
cinco días hábiles, deberá informarles de dicha revocación a aquellas personas
físicas o jurídicas a quienes haya transferido los datos, mismas que deberán
proceder en un plazo de cinco días hábiles a partir de la notificación a
ejecutar la revocación del consentimiento.
La revocación del consentimiento no tendrá efecto retroactivo.
Ficha articulo
Artículo 9. Plazo para la confirmación de la revocación. Cuando el
titular solicite la confirmación del cese del tratamiento de sus datos, el
responsable deberá responder en forma gratuita, expresamente en el plazo de
tres días hábiles, a partir de la presentación de dicha solicitud.
Ficha articulo
Artículo 10. Negativa a la revocación. En caso de negativa, expresa
o tácita, por parte del responsable, a tramitar la revocación del
consentimiento, el titular podrá presentar ante
la Agencia la denuncia
correspondiente a que refiere la
Ley y este Reglamento.
Ficha articulo
Artículo 11. Derecho
al olvido. La conservación de los datos personales que puedan afectar a su
titular, no deberá exceder el plazo de diez años, desde la fecha de terminación
del objeto de tratamiento del dato, salvo disposición normativa especial que
establezca otro plazo, que por el acuerdo de partes se haya establecido un
plazo distinto, que exista una relación
continuada entre las partes o que medie interés público para conservar
el dato.
(Así reformado
por el artículo 5° del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Ficha articulo
Capítulo III
- De los Derechos de los Titulares y su Ejercicio
Artículo 12. Autodeterminación informativa. Es el derecho
fundamental de toda persona física, a conocer lo que conste sobre ella, sus
bienes o derechos en cualquier base de datos, de toda naturaleza, pública o
privada, el fin para el cual está siendo utilizada o recabada su información personal,
así como exigir que sea rectificada, actualizada, complementada o suprimida,
cuando la misma sea incorrecta o inexacta, o esté siendo empleada para un fin
distinto del autorizado o del que legítimamente puede cumplir.
Ficha articulo
Artículo 13. Ejercicio de los derechos. El ejercicio de cualquiera
de los derechos de acceso, rectificación, modificación, revocación o
eliminación de los datos personales por parte del titular, no excluye la
posibilidad de ejercer unos u otros, ni puede constituir requisito previo para
el ejercicio de cualquiera de estos derechos.
Ficha articulo
Artículo 14. Restricciones al ejercicio de los derechos. El
ejercicio de los derechos mencionados en el artículo anterior, podrá
restringirse por razones de seguridad nacional, disposiciones de orden público
y salud pública o para proteger los derechos de terceras personas, en los casos
y con los alcances previstos en las leyes aplicables en la materia, mediante resolución
de la autoridad competente debidamente fundamentada y motivada.
Ficha articulo
Artículo 15. Personas facultadas para el ejercicio de los derechos.
Los derechos de acceso, rectificación, modificación, revocación o eliminación,
se ejercerán por el titular o su representante, previa acreditación de la
titularidad o de la representación.
Ficha articulo
Artículo 16. Medios y formas para el ejercicio de los derechos. El
responsable, deberá poner a disposición del titular, los medios y formas
simplificados de comunicación electrónica u otros que considere pertinentes
para facilitar a los titulares el ejercicio de sus derechos.
Ficha articulo
Artículo 17. Medio para recibir notificaciones del titular. En la
solicitud de acceso, rectificación, modificación, revocación o eliminación,
para los efectos de la Ley
y el presente Reglamento, se deberá indicar medio para recibir notificaciones.
En caso de no cumplir con este requisito, opera la notificación automática
señalada en la Ley
de Notificaciones Judiciales, Ley No. 8687, del 4 del diciembre del 2008,
publicado en La Gaceta No.
20 del 29 de enero de 2009, y sus reformas.
Ficha articulo
Artículo 18. De las solicitudes del titular hacia el responsable. El
responsable, deberá dar trámite a toda solicitud para el ejercicio de los
derechos personales del titular. El plazo para que se atienda la solicitud será
de cinco días hábiles, contados a partir del día siguiente en que la misma haya
sido recibida por el responsable, en cuyo caso éste anotará en el acuse de
recibo que entregue al titular, la correspondiente fecha de recepción.
El plazo señalado se interrumpirá en caso de que el responsable requiera
información adicional al titular.
Ficha articulo
Artículo 19. Requerimiento de información adicional. En el caso de
que la información proporcionada en la solicitud sea insuficiente o errónea
para atenderla, el responsable podrá requerir al titular, por una vez y dentro
de los cinco días hábiles siguientes a la recepción de la solicitud, que aporte
los elementos o documentos necesarios para dar trámite a la misma. El titular
contará con un plazo de cinco días hábiles, contados a partir del día siguiente
de su recepción, para atender el requerimiento.
De no dar respuesta en dicho plazo, se tendrá por no presentada la
solicitud correspondiente. En caso de que el titular, atienda el requerimiento
de información, el plazo para que el responsable dé respuesta a la solicitud,
será de cinco días hábiles, que empezarán a correr el día siguiente de que el
titular, haya atendido el requerimiento.
Ficha articulo
Artículo 20. Respuesta por parte del responsable. En todos los
casos, el responsable deberá dar respuesta a las solicitudes que reciba del
titular, con independencia de que figuren o no datos personales de éste en sus
bases de datos, de conformidad con el plazo establecido en
la Ley y este Reglamento.
La respuesta del responsable al titular, deberá referirse sobre la
totalidad del registro perteneciente al titular, aún cuando el requerimiento
solo comprenda un aspecto de los datos personales, y deberá presentarse en un
formato legible, comprensible y de fácil acceso. En caso de uso de códigos,
siglas o claves se deberán proporcionar los significados correspondientes.
Este informe en ningún caso podrá revelar datos pertenecientes a terceros,
aún cuando se vinculen con el titular solicitante.
Ficha articulo
Artículo 21. Derecho de acceso a la información. El titular tiene
derecho a obtener del responsable, la información relacionada con sus datos
personales, entre ellos lo relativo a las condiciones, finalidad y
generalidades de su tratamiento.
Podrá realizar las consultas de información a la base de datos, con un
intervalo mínimo de seis meses, salvo que de manera fundamentada el titular
exprese al responsable de la base de datos sus motivos y pruebas, por los
cuales considera existe una vulneración de sus derechos protegidos en
la Ley y el presente Reglamento.
En caso de que el responsable de la base de datos considere que los motivos no
son de recibo y existiera la posibilidad de un uso abusivo de ese derecho,
dentro de los cinco días hábiles siguientes a la solicitud, elevará el asunto
ante la PRODHAB,
quien resolverá en definitiva, dentro del plazo de diez días hábiles, a partir
de la recepción de dicha gestión.
El responsable, deberá evacuar la consulta de información dentro del plazo
de cinco días hábiles a partir de la recepción de la solicitud.
Ficha articulo
Artículo 22. Negativa por parte del responsable. El responsable que
niegue el ejercicio de cualquier gestión del titular, deberá justificar por
escrito su respuesta. Si el titular lo considera pertinente, podrá acudir ante
la Agencia conforme el
Capítulo VII "De la
Protección de Derechos ante
la Agencia" de este
Reglamento.
Ficha articulo
Artículo 23. Derecho de rectificación. El titular podrá solicitar en
todo momento al responsable, que rectifique sus datos personales que resulten
ser inexactos, incompletos o confusos.
Ficha articulo
Artículo 24. Requisitos para el ejercicio del derecho de rectificación.
La solicitud de rectificación, deberá indicar a qué datos personales se
refiere, así como la corrección que se solicita realizar y deberá ser
acompañada de la documentación o prueba pertinente que ampare la procedencia de
lo solicitado. El responsable, deberá ofrecer mecanismos que faciliten el
ejercicio de este derecho en beneficio del titular.
Ficha articulo
Artículo 25. Derecho de supresión o eliminación. El titular podrá
solicitar en cualquier momento al responsable, la supresión o eliminación total
o parcial de los datos personales del titular, de manera definitiva.
Ficha articulo
Artículo 26. Ejercicio del derecho de supresión o eliminación. El
titular podrá solicitar en cualquier momento al responsable, la supresión o
eliminación total o parcial de los datos personales, salvo en los siguientes
casos:
a) La seguridad del Estado;
b) Los datos deban ser mantenidos por disposición constitucional, legal o
resolución de órgano judicial;
c) La seguridad ciudadana y el ejercicio de la autoridad pública;
d) La prevención, persecución, investigación, detención y represión de las
infracciones penales, o de las infracciones de la deontología en las
profesiones;
e) El funcionamiento de bases de datos que se utilicen con fines estadísticos,
históricos o de investigación científica, cuando no exista riesgo de que las
personas sean identificadas;
f) La adecuada prestación de servicios públicos;
g) La eficaz actividad ordinaria de
la Administración,
por parte de las autoridades oficiales;
h) Se trate de datos personales de acceso irrestricto, obtenidos de fuentes
de acceso público general;
Ficha articulo
Capítulo IV
- Del Tratamiento de los Datos Personales y las Medidas de Seguridad
Artículo 27. Procedimientos para el tratamiento. El responsable establecerá
y documentará procedimientos para la inclusión, conservación, modificación,
bloqueo y supresión de los datos personales, en el sitio o en la nube, con base
en los protocolos mínimos de actuación y las medidas de seguridad en el
tratamiento de los datos personales. Además deberá el responsable de la base de
datos velar por la aplicación del principio de calidad de la información.
Ficha articulo
Artículo 28. Condiciones del tratamiento. Corresponde al responsable
o al encargado, la difusión, comercialización y distribución de dichos datos,
según lo que determine el consentimiento informado otorgado por el titular, aún
y cuando estos datos sean almacenados o alojados por un intermediario
tecnológico.
Ficha articulo
Artículo 29.
Contratación o subcontratación de servicios. En la contratación o subcontratación
de servicios prestados por un intermediario tecnológico o proveedor de
servicios, se considerará que quien contrate dichos servicios mantiene la
responsabilidad por el tratamiento de datos personales. El responsable deberá
verificar que dicho intermediario o proveedor cumpla con las medidas de
seguridad mínimas que garanticen la integridad y seguridad de los datos
personales.
(Así reformado por el
artículo 6 del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Ficha articulo
Artículo 30. Tratamiento de datos por parte del encargado. El
encargado solo podrá intervenir en el tratamiento de las bases de datos
personales, según lo establecido en el contrato celebrado con el responsable y
sus indicaciones.
Ficha articulo
Artículo 31. Obligaciones del encargado. El encargado tendrá las
siguientes obligaciones en el tratamiento de las bases de datos personales:
a) Tratar
únicamente los datos personales conforme a las instrucciones del responsable;
b) Abstenerse
de tratar los datos personales para finalidades distintas a las instruidas por el
responsable;
c) Implementar
las medidas de seguridad y cumplir con los protocolos mínimos de actuación
conforme a la Ley,
el presente Reglamento y las demás disposiciones aplicables;
d) Guardar
confidencialidad respecto de los datos personales tratados;
e) Abstenerse
de transferir o difundir los datos personales, salvo instrucciones expresas por
parte del responsable.
f) Suprimir
los datos personales objeto de tratamiento, una vez cumplida la relación jurídica
con el responsable o por instrucciones del responsable, siempre y cuando no exista
una previsión legal que exija la conservación de los datos personales.
Ficha articulo
Artículo 32. De los protocolos mínimos de actuación. Los
responsables deberán confeccionar un protocolo mínimo de actuación, el cual
deberá ser transmitido al encargado para su fiel cumplimiento y donde al menos,
se deberá especificar lo siguiente:
a) Elaborar
políticas y manuales de privacidad obligatorios y exigibles al interior de la organización
del responsable;
b) Poner
en práctica un manual de capacitación, actualización y concientización del
personal sobre las obligaciones en materia de protección de datos personales;
c) Establecer
un procedimiento de control interno para el cumplimiento de las políticas de privacidad;
d) Instaurar
procedimientos ágiles, expeditos y gratuitos para recibir y responder dudas y quejas
de los titulares de los datos personales o sus representantes, así como para
acceder, rectificar, modificar, bloquear o suprimir la información contenida en
la base de datos y revocar su consentimiento.
e) Crear
medidas y procedimientos técnicos que permitan mantener un historial de los
datos personales durante su tratamiento.
f) Constituir
un mecanismo en el cual el responsable transmitente, le comunica al responsable
receptor, las condiciones en las que el titular consintió la recolección, la transferencia
y el tratamiento de sus datos.
Estas medidas, así como sus posteriores modificaciones, deberán ser
inscritas ante la Agencia
como protocolos mínimos de actuación.
Ficha articulo
Artículo 33. Facultad de verificación.
La Agencia podrá verificar,
en cualquier momento, que la base de datos esté cumpliendo con los términos establecidos
en el protocolo mínimo de actuación.
Ficha articulo
Artículo 34. De las medidas de seguridad en el tratamiento de datos
personales. El responsable, deberá establecer y mantener las medidas de
seguridad administrativas, físicas y lógicas para la protección de los datos
personales, con arreglo a lo dispuesto en
la Ley y el presente Reglamento. Se entenderá por
medidas de seguridad el control o grupo de controles para proteger los datos
personales.
Asimismo, el responsable deberá velar porque el encargado de la base de
datos y el intermediario tecnológico cumplan con dichas medidas de seguridad,
para el resguardo de la información.
Ficha articulo
Artículo 35. Factores para determinar las medidas de seguridad. El
responsable determinará las medidas de seguridad, aplicables a los datos
personales que trate o almacene, considerando los siguientes factores:
a) La
sensibilidad de los datos personales tratados, en los casos que la ley lo
permita;
b) El
desarrollo tecnológico;
c) Las
posibles consecuencias de una vulneración para los titulares de sus datos personales.
d) El
número de titulares de datos personales;
e) Las
vulnerabilidades previas ocurridas en los sistemas de tratamiento o almacenamiento;
f) El
riesgo por el valor, cuantitativo o cualitativo, que pudieran tener los datos personales;
y
g) Demás
factores que resulten de otras leyes o regulación aplicable al responsable.
Ficha articulo
Artículo 36. Acciones para la seguridad de los datos personales. A
fin de establecer y mantener la seguridad física y lógica de los datos
personales, el responsable deberá realizar al menos las siguientes acciones,
las cuales podrán ser requeridas en cualquier momento por
la Agencia:
a) Elaborar una descripción detallada del tipo de datos personales tratados o
almacenados;
b) Crear y mantener actualizado un inventario de la infraestructura tecnológica,
incluyendo los equipos y programas de cómputo y sus licencias;
c)Señalar el tipo de
sistema, programa, método o proceso utilizado en el tratamiento o
almacenamiento de los datos; igualmente, indicarse el nombre y la versión de la
base de datos utilizada cuando proceda.
(Así reformado el inciso
anterior por el artículo 7° del decreto
ejecutivo N° 40008 del 19 de julio de 2016)
d) Contar con un análisis de riesgos, que consiste en identificar peligros y
estimar los riesgos que podrían afectar los datos personales;
e) Establecer las medidas de seguridad aplicables a los datos personales, e
identificar aquellas implementadas de manera efectiva;
f) Calcular el riesgo residual existente basado en la diferencia de las
medidas de seguridad existentes y aquéllas faltantes que resultan necesarias
para la protección de los datos personales;
g) Elaborar un plan de trabajo para la implementación de las medidas de
seguridad faltantes, derivados del resultado del cálculo del riesgo residual.
Las medidas de seguridad
de las bases de datos serán consideradas información no divulgada y serán
resguardadas exclusivamente por el responsable de la base de datos. Podrán ser
requeridas por la Agencia únicamente para consulta in situ y para la
verificación de acciones ante la existencia de una denuncia expresa de terceros
afectados. Para efectos de registro se notificará a la PRODHAB los protocolos
mínimos de seguridad con los que cuenta el responsable.
(Así
adicionado el párrafo anterior por el artículo 7° del decreto ejecutivo N° 40008 del 19 de julio
de 2016)
Ficha articulo
Artículo 37. Actualizaciones de las medidas de seguridad. Los
responsables deberán actualizar las medidas de seguridad cuando ocurran los
siguientes eventos:
a) Se
modifiquen las medidas o procesos de seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad del responsable;
b) Se
produzcan modificaciones sustanciales en el tratamiento o almacenamiento, que deriven
en un cambio del nivel de riesgo;
c) Se
modifique la plataforma tecnológica;
d) Se
vulneren los sistemas de tratamiento o almacenamiento de datos personales, de conformidad
con lo dispuesto en la Ley
y el presente Reglamento; o,
e) Exista
una afectación a los datos personales, distinta a las anteriores.
En el caso de datos personales sensibles, cuando la ley lo permita, el
responsable deberá revisar y, en su caso, actualizar las medidas de seguridad
correspondientes, al menos una vez al año.
Ficha articulo
Artículo 38. Vulnerabilidad de seguridad. El responsable deberá
informar al titular sobre cualquier irregularidad en el tratamiento o
almacenamiento de sus datos, tales como pérdida, destrucción, extravío, entre
otras, como consecuencia de una vulnerabilidad de la seguridad o que tuviere
conocimiento del hecho, para lo cual tendrá cinco días hábiles a partir del
momento en que ocurrió la vulnerabilidad, a fin de que los titulares de estos
datos personales afectados puedan tomar las medidas correspondientes.
Dentro de este mismo plazo deberá iniciar un proceso de revisión exhaustiva
para determinar la magnitud de la afectación, y las medidas correctivas y
preventivas que correspondan.
Ficha articulo
Artículo 39. Información mínima. El responsable deberá informar al
titular y a la Agencia,
en caso de vulnerabilidades de seguridad, al menos lo siguiente:
a) La
naturaleza del incidente;
b) Los
datos personales comprometidos;
c) Las
acciones correctivas realizadas de forma inmediata; y,
d) Los
medios o el lugar, donde puede obtener más información al respecto.
Ficha articulo
Capítulo V
De la
Transferencia de Datos Personales
Artículo 40. Condiciones para la
transferencia. La transferencia requerirá siempre el consentimiento inequívoco
del titular. La transferencia implica la cesión de datos personales por parte, única
y exclusivamente, del responsable que transfiere al responsable receptor de los
datos personales. Dicha transferencia de datos personales requerirá siempre del
consentimiento informado del titular, salvo disposición legal en contrario,
asimismo que los datos a transferir hayan sido recabados o recolectados de
forma lícita y según los criterios que la Ley y el presente Reglamento dispone.
No se considera trasferencia el traslado de datos personales del responsable de
una base de datos a un encargado, proveedor de servicios o intermediario
tecnológico o las empresas del mismo grupo de interés económico.
Toda venta de datos
del fichero o de la base de datos, parcial o total, deberá reunir los
requerimientos establecidos en el párrafo anterior.
(Así reformado por el artículo 8° del decreto ejecutivo N° 40008 del 19 de julio
de 2016)
Ficha articulo
Artículo 41. Cumplimiento de los protocolos mínimos de actuación.
Las transferencias de datos personales por parte de los responsables, estarán
supeditadas al fiel cumplimiento de los protocolos mínimos de actuación,
debidamente inscritos ante la
Agencia.
Ficha articulo
Artículo 42. Carga de la prueba. Para efectos de demostrar que la
transferencia de datos personales se realizó conforme a
la Ley y el presente Reglamento,
la carga de la prueba recaerá en el responsable.
Ficha articulo
Artículo 43. Contrato para la transferencia de datos. El responsable
de la transferencia de datos personales deberá
establecer un contrato con el responsable receptor, en el que se prevean,
al menos las mismas
obligaciones a las que se encuentra sujeto el responsable de la transferencia
de dichos datos.
Ficha articulo
Capítulo VI
De
la Inscripción del Registro de Bases de Datos y
Ficheros ante la Agencia
Artículo 44. Inscripción del registro de base de datos. Las personas
físicas o jurídicas propietarias de bases de datos personales, de conformidad
con la Ley y este
Reglamento, deberán inscribir ante
la Agencia un registro de dichas bases de datos,
proporcionando la siguiente información:
a) Solicitud del propietario físico o jurídico, debidamente autenticado
notarialmente o confrontada la firma. En el caso de persona jurídica deberá
presentarse personería jurídica vigente con máximo un mes de haber sido
expedida;
b) Designación del responsable de la base de datos personales ante
la Agencia y ante terceros,
con indicación del medio y lugar de contacto. Así como carta de aceptación del
cargo y las responsabilidades inherentes al mismo.
c) Identificación de los encargados, incluyendo
sus datos de contacto, así como carta de aceptación del cargo y las
responsabilidades inherentes al mismo.
(Así reformado el inciso anterior por el artículo
9° del decreto ejecutivo N° 40008 del 19
de julio de 2016)
d) Nombres de las bases de datos y su ubicación física;
e) Especificación de
las finalidades y los usos previstos de la base de datos.
(Así reformado el inciso
anterior por el artículo 9° del decreto
ejecutivo N° 40008 del 19 de julio de 2016)
f) Tipos de datos personales sometidos a tratamiento en dichas bases de datos;
g) Procedimientos de
obtención, según el consentimiento informado, de los datos personales.
(Así reformado el inciso
anterior por el artículo 9° del decreto
ejecutivo N° 40008 del 19 de julio de 2016)
h) Descripción técnica de las medidas de seguridad que se utilizan en el
tratamiento de los datos personales, según lo dispuesto en el presente
Reglamento;
i) Los destinatarios de transferencias de los datos personales;
j) Copia de los
protocolos mínimos de actuación;
(Así reformado el inciso
anterior por el artículo 9 del decreto ejecutivo N° 40008 del 19 de julio de
2016)
k) Listado de los contratos globales y ventas de ficheros vigentes, así como
indicación de la estimación pecuniaria de cada uno de esos contratos.
l) (Derogado por el artículo
11° del decreto ejecutivo N° 40008 del
19 de julio de 2016)
m) Señalamiento de fax o correo electrónico para recibir notificaciones de
la Agencia.
Asimismo, el responsable deberá mantener el registro de la base de datos,
en todo momento, actualizados ante
la Agencia, según lo establecido en el presente
Reglamento.
No serán sujetas de
inscripción ante la Agencia, las bases de datos personales, internas o
domésticas.
(Así adicionado el párrafo anterior por el artículo
9 del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Ficha articulo
Artículo 45. (Derogado por el artículo 11° del decreto ejecutivo N° 40008 del 19 de
julio de 2016)
Ficha articulo
Artículo 46. Constatación de posibles infracciones.
La Agencia podrá realizar
inspecciones administrativas de oficio, con el fin de constatar si existen
posibles infracciones a la Ley
o a este Reglamento. En dicho caso el funcionario asignado deberá dejar
constancia de la inspección mediante el levantamiento de un acta.
Ficha articulo
Artículo 47. Bases de datos manuales.
La Agencia podrá en cualquier
momento y de oficio acceder a las bases de datos manuales sin restricción
alguna, cuando exista denuncia presentada ante
la Agencia o se tenga
evidencia de un mal manejo de la base de datos o sistema de información. Para
tales efectos, la Agencia
deberá establecer lineamientos que garanticen el debido cumplimiento del
secreto profesional o funcional, y para todos los casos llevar una bitácora en
donde al menos se consignen el motivo, los accesos y consultas realizadas, así
como el funcionario asignado que los realice.
Ficha articulo
Artículo 48. Procedimiento de inscripción. Inicia con la
presentación de la solicitud de inscripción del registro de la base de datos
personales ante la
Agencia. Dicha solicitud, deberá contener los requisitos
exigidos en el presente Reglamento.
La Agencia contará con un plazo de
veinte días hábiles, contados a partir de la presentación de la solicitud, para
verificar los requisitos de forma y fondo presentados.
Ficha articulo
Artículo 49. Subsanación de defectos y archivo de la solicitud. Si
la solicitud de inscripción del registro de la base de datos presentada, no
cumple con los requisitos exigidos por el presente Reglamento,
la Agencia requerirá al
solicitante que en el plazo de diez días hábiles subsane la omisión.
Transcurrido el plazo máximo, sin que el solicitante haya cumplido con la
información prevenida, se procederá al archivo de la misma, sin perjuicio que
pueda presentarse una nueva solicitud.
Ficha articulo
Artículo 50. Del pago. Cumplidos todos los requisitos de forma y
fondo o subsanada la prevención, se otorgará al solicitante un plazo de diez
días hábiles para que cancele el canon anual. De no realizarse el pago del
canon en este plazo, se archivará la gestión sin perjuicio de que pueda
presentarse una nueva solicitud.
Ficha articulo
Artículo 51. Resolución de inscripción. El Director de
la Agencia, dictará dentro
del plazo de diez días hábiles siguientes a la recepción del pago del canon, la
resolución de inscripción del registro de la base de datos.
La inscripción del registro de una base de datos ante
la Agencia, no exime al
responsable al cumplimiento y seguimiento del resto de las obligaciones
previstas en la Ley
y demás disposiciones reglamentarias.
Ficha articulo
Artículo 52. Contenido de la resolución de inscripción. En los casos
en los que proceda la inscripción del registro de la base de datos ante
la Agencia, deberá al menos,
consignarse en la resolución de inscripción, la siguiente información:
a) El
código asignado por la Agencia
a la base de datos;
b) El
nombre de la base de datos inscrita y la ubicación de los datos;
c) La
identificación del responsable de la base de datos personales y su medio de
contacto;
d) Identificación
del encargado y su medio de contacto;
e) La
categoría de los datos personales que contiene;
f) Los
procedimientos de obtención de los datos;
g) Finalidad
de tratamiento de los datos personales.
Ficha articulo
Artículo 53. Resolución de improcedencia. El Director de
la Agencia, dentro de los
veinte días hábiles contados a partir de la presentación de la solicitud de
inscripción, cuando del análisis de los requisitos se determine la
improcedencia de la inscripción de la base de datos, según lo dispuesto en
la Ley y el presente Reglamento,
dictará resolución denegándola.
Ficha articulo
Artículo 54. Actualización y modificación de los datos inscritos del
registro. La información inscrita del registro de la base de datos, deberá
mantenerse actualizada. Cualquier modificación a la información de inscripción,
que afecte el contenido del registro de la base de datos, deberá ser comunicada
por el responsable de la base de datos a
la Agencia dentro del plazo de cinco días hábiles
posteriores a la modificación o el cambio, a fin de proceder a su
actualización.
Ficha articulo
Artículo 55. Cancelación de la inscripción del registro de las bases de
datos. Cuando el propietario o el responsable de la base de datos
personales decida la cancelación del registro de la base de datos, deberá
presentar una solicitud en tal sentido a
la Agencia, indicando expresamente el destino de los
datos personales o las previsiones para su eliminación, supresión o
destrucción. La Agencia
tendrá un mes para proceder con la cancelación de la inscripción del registro
de la base de datos.
Ficha articulo
ARTÍCULO 56.- Medios de impugnación. Contra la resolución final al procedimiento de inscripción del registro
de la base de datos, procede dentro del tercer día hábil a partir de la
respectiva notificación del acto final, la interposición ante la Agencia del
recurso ordinario de Reconsideración.
(Así reformado por
el artículo 1° del decreto ejecutivo N° 41582 del 21 de febrero del 2019)
Ficha articulo
Artículo 57. Plazo para resolver. El recurso
ordinario de Reconsideración interpuesto, deberá ser resuelto por la Agencia,
dentro de los ocho días hábiles posteriores a su presentación.
(Así reformado por
el artículo 1° del decreto ejecutivo N° 41582 del 21 de febrero del 2019)
Ficha articulo
Capítulo VII
- De la Protección
de Derechos ante la Agencia
Artículo 58. Inicio del procedimiento de Protección de Derechos.
Cualquier persona que ostente un derecho subjetivo o un interés legítimo puede
denunciar, ante la Agencia,
que una base de datos pública o privada actúa en contravención de las reglas o
los principios básicos para la protección de los datos y la autodeterminación
informativa, establecidas por la
Ley y el presente Reglamento.
Asimismo, la Agencia
podrá de oficio iniciar un procedimiento tendiente a verificar si una base de
datos, está siendo utilizada o no, conforme a
la Ley y al presente Reglamento.
La Agencia en la tramitación del
procedimiento de protección de datos, aplicará los principios establecidos en
el Libro Segundo de la Ley
General de
la
Administración Pública.
Ficha articulo
Artículo 59. Causales. El procedimiento de protección de derechos
procederá cuando:
a. Se
recolecten datos personales para su uso en base de datos sin que se le otorgue suficiente
y amplia información a la persona interesada;
b. Se
recolecten, almacenen y transmitan datos personales por medio de mecanismos inseguros
o que de alguna forma no garanticen la seguridad e inalterabilidad de los datos;
c. Se
recolecten, almacenen, transmitan o de cualquier otra forma empleen datos personales sin el consentimiento informado y
expreso del titular de los datos;
d. Se
transfieran datos personales a otras personas o empresas en contravención de
las reglas establecidas en la Ley
y el presente Reglamento;
e. Se
recolecten, almacenen, transmitan o de cualquier otro modo empleen datos
personales para una finalidad distinta de la autorizada por el titular de la
información;
f. Se
niegue injustificadamente a dar acceso a un titular sobre los datos que consten
en archivos y bases de datos, a fin de verificar su calidad, recolección,
almacenamiento y uso conforme a la
Ley y este Reglamento;
g. Se
niegue injustificadamente a eliminar o rectificar los datos de una persona que
así lo haya solicitado por medio claro e inequívoco;
h. Se
recolecten, almacenen, transmitan o de cualquier otra forma empleen, por parte
de personas físicas o jurídicas privadas datos sensibles, sin el consentimiento
de su titular o sin ley o norma especial que lo autorice;
i. Se
obtengan de los titulares o terceros, datos personales por medio de engaño,
violencia, dolo, mala fé o amenaza;
j. Se
revele información registrada en una base de datos personales cuyo secreto esté
obligado a guardar conforme a la
Ley:
k. Se
proporcione a un tercero, información falsa o distinta contenida en un archivo
de datos, con conocimiento de ello;
l. Se
realice tratamiento de datos personales sin encontrarse debidamente inscrito
ante la Agencia;
m. Se
transfieran, a las bases de datos de terceros países, información de carácter
personal de los costarricenses o de los extranjeros radicados en el país, sin
el consentimiento de sus titulares.
n. Por
otras causas que a juicio de la
Agencia afecten los derechos del titular conforme a
la Ley y al presente Reglamento.
Ficha articulo
Artículo 60. Requisitos de la denuncia. La solicitud de protección
de datos deberá contener lo siguiente:
a) Nombres,
apellidos y calidades del titular o denunciante;
b) Nombre
del dueño o responsable o de la base de datos o bien cualquier elemento que permita
identificar al denunciado;
c) Hechos
en que se funde la denuncia expuestos uno por uno, enumerados y bien especificados,
en forma clara y precisa;
d) Copia
de la solicitud del ejercicio de derechos que corresponda, así como copia de
los documentos anexos para cada una de las partes, de ser el caso;
e) Documento
en que conste la respuesta a su gestión, de ser el caso;
f) En
el supuesto en que impugne la falta de respuesta, deberá acompañar una copia en
la que conste el acuse o constancia de recepción de la solicitud del ejercicio
de derechos;
g) Las
pruebas documentales o pertinentes;
h) Pretensión
que formule;
i) Señalamiento
de medios para recibir notificaciones;
j) Cualquier
otro documento que considere procedente someter a juicio de
la Agencia.
Ficha articulo
Artículo 61. Acreditación de la documentación. Si el titular no
pudiera acreditar documentalmente que gestionó ante la base de datos, podrá
acreditar ante la Agencia
la gestión, mediante declaración jurada o acta notarial que haga constar el
hecho.
Ficha articulo
Artículo 62. Subsanación, admisibilidad y archivo.
La Agencia podrá prevenir al
titular para que en el plazo de diez días hábiles a partir del día siguiente a
la recepción de la notificación, aclare y precise la información o
documentación presentada, bajo la pena de inadmisibilidad de la denuncia y su
consecuente archivo.
Ficha articulo
Artículo 63.
Admisibilidad. La Agencia deberá resolver sobre la admisibilidad de la solicitud de
protección del derecho del titular, en un plazo de cinco días hábiles a partir
de la recepción o subsanación de la denuncia.
Contra la resolución que resuelva sobre la admisibilidad de la
solicitud, procede dentro del tercer día hábil a partir de la respectiva
notificación, la interposición ante la Agencia del Recurso ordinario de
Reconsideración, el cual la Agencia deberá resolver dentro de los ocho días
hábiles posteriores a su presentación.
(Así reformado por
el artículo 1° del decreto ejecutivo N° 41582 del 21 de febrero del 2019)
Ficha articulo
Artículo 64. Medidas cautelares. En casos especiales, de manera
excepcional, y en cualquier momento,
la Agencia podrá disponer las medidas cautelares que
estime necesarias para el cumplimiento de la protección de los derechos
personales de un titular, respecto del tratamiento de sus datos, debiendo
considerar especialmente el principio de proporcionalidad, los caracteres de
instrumentalidad y provisionalidad, así como ponderar los eventuales daños y
perjuicios que se provoquen con la medida a las partes.
A tal efecto, la Agencia
dará audiencia por veinticuatro horas al responsable de la base de datos. Transcurrido
dicho plazo, la Agencia
deberá resolver sobre la medida, en un plazo máximo de tres días hábiles.
Ficha articulo
Artículo 65. Recurso contra la resolución que resuelve la medida
cautelar. Contra la resolución que resuelve la medida cautelar, cabrá
únicamente el Recurso de Reconsideración ante
la Agencia, que deberá interponerse
dentro del plazo de veinticuatro horas a partir de la notificación.
La Agencia deberá resolver el
recurso dentro del plazo de tres días hábiles a partir de la interposición del
recurso.
Ficha articulo
Artículo 66. Presupuestos de las medidas cautelares. Para la aplicación
de las respectivas medidas cautelares,
la Agencia ponderará los intereses en juego y deberá
constatar que se esté en presencia de los siguientes presupuestos:
a. Apariencia
de buen derecho;
b. Daño
inminente y de difícil reparación;
c. Ponderación
de los intereses en juego, particularmente la no afectación al interés público.
Ficha articulo
Artículo 67. Traslado de cargos. Admitida la denuncia
la Agencia hará el traslado
de cargos a quien corresponda, para que dentro del plazo de tres días hábiles,
brinde informe sobre la veracidad de los cargos y aporte la prueba que estime
pertinente. Las manifestaciones realizadas se considerarán dadas bajo fe de
juramento.
La omisión de rendir informe en el plazo estipulado hará que se tengan por
ciertos los hechos acusados.
Ficha articulo
Artículo 68. Medios de prueba. Los medios de prueba serán los
siguientes:
a. Documental
físico o electrónico;
b. El
resultado de un estudio pericial;
c. Declaraciones
juradas de los testigos, debidamente autenticadas;
Las pruebas de cargo y de descargo deberán ser presentadas junto con la
denuncia o la contestación, según corresponda.
Ficha articulo
Artículo 69. Acto final.
La Agencia resolverá el procedimiento de protección
de derechos en el plazo de un mes, a partir la firmeza de la resolución que
resuelva sobre la admisibilidad de la denuncia.
Ficha articulo
Artículo 70. Fijación de sanciones.
La Agencia, en caso de que
así correspondiere como resultado del procedimiento administrativo realizado,
procederá a imponer las sanciones respectivas según éstas hayan sido
determinadas como leves, graves o gravísimas, conforme lo dispone
la Ley, lo anterior tomando en
cuenta el hecho generador de la infracción, en el mismo acto final. En tal
supuesto, se deberá enumerar las infracciones en las que incurrió el
responsable, el monto que debe cancelar, el plazo para hacerlo y el número de
cuenta que para el efecto designará
la Agencia, a su vez cuando corresponda, el plazo
para la modificación, suspensión o eliminación de los datos personales.
Además, la Agencia
podrá imponer apercibimientos escritos a aquellas acciones u omisiones que atenten
contra los derechos consagrados en la
Ley y este Reglamento.
Ficha articulo
Artículo 71. Medios de impugnación. Contra el acto
final del procedimiento procede dentro del tercer días hábil a parir de la
respectiva notificación la interposición ante la Agencia del recurso ordinario
de reconsideración.
(Así reformado por
el artículo 1° del decreto ejecutivo N° 41582 del 21 de febrero del 2019)
Ficha articulo
Artículo 72.Plazo para
resolver. El recurso de Reconsideración interpuesto,
deberá ser resuelto por la Agencia dentro de los ocho días hábiles posteriores
a su presentación.
(Así reformado por
el artículo 1° del decreto ejecutivo N° 41582 del 21 de febrero del 2019)
Ficha articulo
Capítulo VIII
- Del Procedimiento de Cobro
Artículo 73. Inicio del Procedimiento de Cobro Administrativo.
Cuando no se cancelen las sanciones pecuniarias impuestas o los cánones que
correspondan, en el plazo dado por
la Agencia en el acto final del procedimiento de
protección de derechos o resolución al efecto, procederá el inicio del
procedimiento de cobro.
Corresponderá al Área Administrativa de
la Agencia, proceder a
gestionar el cobro de dichos montos a los responsables.
La resolución inicial deberá contener al menos:
a) La
indicación del expediente correspondiente.
b) La
identificación de la entidad pública o privada, responsable de una base de
datos personales, contra quien se procede a realizar el cobro.
c) Enumeración
de las infracciones en las que se incurrió el responsable o en los cánones omitidos,
según corresponda.
d) El
monto que debe cancelar dentro del plazo de diez días hábiles, a partir de la notificación
de la resolución inicial, y el número de cuenta que para el efecto designará
la Agencia.
Ficha articulo
Artículo 74. Multas e intereses moratorios. Cumplido el plazo dentro
del cual el responsable debió cancelar la multa impuesta, empezarán a correr
los intereses moratorios sobre las sumas sin pagar a tiempo, desde el momento
en que debió satisfacerse la obligación, hasta la fecha de su efectivo pago,
los cuales se fijarán según la resolución vigente que define la base de cálculo
de la tasa de interés a cobrar sobre deudas a cargo del sujeto pasivo, emitida
por la Dirección
General de Hacienda, de conformidad con el Código de Normas y
Procedimientos Tributarios.
Ficha articulo
Artículo 75. Criterio de oportunidad. El Área Administrativa deberá
actualizar cada mes de enero, el monto sobre el cual procederá
la Declaratoria de Cuenta
Incobrables para el cobro judicial, de conformidad con el análisis de costo
beneficio de acuerdo con el Índice de Precios al Consumidor (IPC) del Banco
Central de Costa Rica. Considerando al menos:
a. Examen de la magnitud de la deuda.
b. Existencia de bienes del deudor.
c. Bienes gravados en exceso.
d. Costo probable de la ejecución o bien de la interposición de las
acciones judiciales.
e. Indicación de los obstáculos materiales con que se cuenta, tales como
deudor no localizable, deudor sin actividades, entre otros.
El Área Administrativa en los casos que corresponda, declarará la
incobrabilidad de la deuda, atendiendo al escaso beneficio de su cobro en
relación con los costos en que debe de incurrirse para llevar adelante la
gestión.
Ficha articulo
Artículo 76. Acto final del procedimiento de cobro. Vencido el plazo
otorgado para cancelar la deuda y sin que el pago se haya realizado en tiempo y
forma, el Área Administrativa, previa aplicación del criterio de oportunidad,
emitirá resolución trasladando al Área Jurídica de
la Agencia, el expediente de
cobro administrativo para que se proceda con el trámite del cobro judicial
correspondiente.
Ficha articulo
Artículo 77. Arreglo de pago. Procederá el arreglo de pago en toda
gestión de cobro administrativo o judicial, en que el responsable en su
condición de deudor, lo solicite ante el Área Administrativa, siempre que se
cuente con las garantías y demás condiciones que así se requieran para el caso
en particular.
Procederá el arreglo de pago, en el tanto se cumplan los siguientes requisitos:
a) Cancelar
las costas procesales y personales irrogadas en relación con la prosecución del
juicio, en caso de que las hubiere.
b) Constituir
una garantía suficiente a juicio del Área Administrativa, según corresponda, que
cubra el monto adeudado, más los intereses y mora vencidos.
En ningún caso se podrá condonar capital, intereses o mora.
Ficha articulo
Capítulo IX
- Del Pago de los Cánones
Artículo 78. Canon anual de regulación y administración de bases de
datos. De conformidad con la
Ley, todas las bases de datos, públicas o privadas, con fines
de distribución, difusión o comercialización, deben inscribirse ante
la Agencia, y por ende
cancelar ante ésta, la suma de doscientos dólares moneda de curso legal de los
Estados Unidos de América (USD $200,00), al tipo de cambio mayor de referencia
de venta del Banco Central de Costa Rica del día en que se realice el pago.
Dicho monto corresponde al canon anual de regulación y administración de las bases
de datos.
Ficha articulo
Artículo 79. Plazo para el pago. El plazo para el pago del canon
anual será del 1º al 31º enero de cada año. Los responsables de las bases de
datos inscribibles, deberán depositar en la cuenta bancaria que
la Agencia determine el monto
correspondiente al canon anual.
Ficha articulo
Artículo 80. Pago proporcional. Cuando el tratamiento de los datos
personales, inicie posterior a la fecha del pago del canon anual de regulación
y administración de bases de datos, el responsable, deberá pagar de manera
proporcional el monto que le corresponda de los doscientos dólares moneda de
curso legal de los Estados Unidos de América (USD $200,00).
El plazo para el pago del canon anual en estos casos, será de un mes
calendario a partir de la fecha de inicio del tratamiento de los datos
personales o de la fecha de inscripción de la base de datos ante
la Agencia, la primera que
sea fehacientemente verificable.
Ficha articulo
Artículo 81. Canon por venta de datos del fichero. El responsable
deberá depositar en la cuenta bancaria que
la Agencia determine, la suma
de un dólar moneda de curso legal de los Estados Unidos de América (USD $1,00),
al tipo de cambio mayor de referencia de venta del Banco Central de Costa Rica
del día en que se realice la venta, por concepto de canon por cada venta de datos
del fichero que corresponda a una persona, identificada o identificable, que se
encuentre registrada en una base de datos de forma legítima.
El pago de este canon deberá realizarse a favor de
la Agencia, dentro de los
primeros diez días hábiles, del mes siguiente en que se realizó la venta de
datos de cada fichero.
Ficha articulo
Artículo 82. Contratos globales.
El responsable que realice contratos globales, ya sean de bajo, medio o alto
consumo de consultas, o modalidades contractuales de servicio en línea por
número de aplicación, deberá pagar el canon correspondiente conforme al
siguiente detalle: a) Bajo consumo de consultas: desde una y hasta quinientas
mil consultas, el 8% del precio contractual; b) Medio consumo de consultas:
desde quinientas un mil y hasta novecientas noventa y nueve mil consultas, el
5,5% del precio contractual; c) Alto consumo de consultas: desde un millón de
consultas y en adelante, el 3% del precio contractual. El pago de este canon
deberá realizarse a favor de la Agencia, junto con el pago del Canon por
Regulación y Administración de Bases de Datos, o, en su caso, dentro de los
primeros diez días hábiles del mes siguiente a la firma del contrato global. El
cobro del Canon se realizara por períodos anuales, del 1º al 31 de enero de
cada año.
(Así
reformado por el artículo 10 del decreto ejecutivo N° 40008 del 19 de julio de
2016)
Ficha articulo
Artículo 83. Canon e intereses moratorios. Cumplido el plazo dentro
del cual el responsable debió cancelar el canon correspondiente, empezarán a
correr los intereses moratorios sobre las sumas sin pagar a tiempo, desde el
momento en que debió satisfacerse la obligación, hasta la fecha de su efectivo
pago, los cuales se fijarán según la resolución vigente que define la base de cálculo
de la tasa de interés a cobrar sobre deudas a cargo del sujeto pasivo, emitida
por la Dirección
General de Hacienda, de conformidad con el Código de Normas y
Procedimientos Tributarios.
Ficha articulo
Artículo 84. Incumplimiento. En caso de incumplimiento del pago del
canon respectivo, se aplicará el mismo procedimiento de cobro establecido en
este Reglamento.
Ficha articulo
Capítulo X
- De la Agencia
Artículo 85. Régimen de empleo.
La Agencia de Protección de
Datos estará bajo el Régimen de Empleo Público y excluido del Régimen del
Servicio Civil, estando facultada para la incorporación del personal
administrativo, técnico y profesional que satisfaga las necesidades del servicio
público.
Para hacerse acreedor de este Régimen bajo el principio de idoneidad
demostrada, deberá realizarse un concurso público, para lo cual se deberá
realizar y aprobar las pruebas que
la Agencia determine necesarias.
Ficha articulo
Artículo 86. Tipos de concursos. Posterior a la realización del
concurso público y con el fin de administrar el recurso humano según las
necesidades y promover la carrera administrativa,
la Agencia estará en la
facultad de llevar a cabo concursos internos, internos ampliados, externos, nombramientos
interinos u otros mecanismos que puedan garantizar el funcionamiento de
la Institución.
Ficha articulo
Artículo 87. Manual de cargos y puestos.
La Agencia, deberá contar con
los manuales de cargos y puestos. Será responsabilidad de
la Agencia la continua
actualización de los mismos.
Ficha articulo
Artículo 88. Reclutamiento y selección. El proceso de reclutamiento
y selección deberá de contar con las siguientes fases:
a) Reclutamiento:
Con base en los requerimientos de los manuales de cargos y puestos y las
necesidades de la Agencia
en cuanto a personal, se definirán y publicarán los requisitos de cada puesto
requerido. El reclutamiento puede hacerse tanto a lo interno como externo de
la Agencia. Asimismo,
se conformará un registro de elegibles por cada puesto, mismo que se integrará
de notas de mayor a menor.
b) Selección:
La Agencia
definirá las metodologías, pruebas, herramientas y criterios de selección que
considere oportunas a aplicar para la selección del personal.
c) Conformación
de ternas o nóminas: Estarán conformadas de acuerdo con la posición de los
participantes dentro del registro de elegibles, pudiendo
la Agencia escoger a cualquiera
de las personas que las integren.
Todos los procesos de gestión y administración de recurso humano que
aplique la Agencia
deberán cumplir las normas técnicas generalmente aceptadas en la materia.
Ficha articulo
Artículo 89. Periodo de prueba. Todo el personal de
la Agencia estará sometido a
un periodo de prueba de hasta seis meses.
Ficha articulo
Artículo 90. Vigencia: Rige a partir de su publicación.
Dado en la Presidencia
de
la República.-San José, a los treinta días del mes
de octubre del dos mil doce.
Ficha articulo
- TRANSITORIO I
Por una única vez, las personas responsables de una base de datos, deberán
pagar el canon anual de regulación y administración de bases de datos, a partir
del 06 de Marzo del 2013, cancelando por tanto, el monto proporcional que
corresponda.
Ficha articulo
Fecha de generación: 18/11/2024 00:03:54
|