Un grupo de nueve congresistas liderados por el diputado Jorge Dengo Rosabal presentó a la corriente legislativa un proyecto de ley para hacer enmiendas a la Ley del Sistema de Estadística Nacional tras la controversia de los últimos meses entre el Banco Central de Costa Rica (BCCR) y la Superintendencia General de Entidades Financieras (Sugef) debido a la solicitud de datos crediticios sin anonimizar para desarrollar un indicador sobre riesgo hidrológico al que están expuestos los créditos colocados por el Sistema Bancario Nacional.
Se trata del expediente 24.023 con el cual se pretenden reformar los incisos m) del artículo 3, los incisos a), b) y c) del artículo 10 y los artículos 16 y 18 de la Ley 9694 con el objetivo, según sus proponentes, de "dotar de seguridad jurídica el tratamiento de los datos personales que brindan los usuarios del sistema bancario nacional, así como garantizar el cumplimiento de los principios y limitaciones constitucionales del Derecho de protección de datos personales, lo anterior, con la finalidad de facilitar la aplicación y la interpretación del marco jurídico en esta materia vigente en Costa Rica".
Dengo citó como marco referencial para la propuesta el Reglamento General de Protección de Datos de la Unión Europea 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como los Estándares de Protección de Datos Personales para los Estados Iberoamericanos al señalar que "son una clara referencia para los países hacia donde deberíamos ir, para proteger el derecho humanos, constitucional y legal de protección de datos personales".
De acuerdo con el legislador, el artículo 16 de la Ley del SEN no contempla "los parámetros en materia de protección de datos personales conforme el marco jurídico aplicable de esta especialidad, por lo que es necesaria la reforma del artículo anterior y de algunas otras normas que se proponen en este proyecto con la finalidad de garantizar el derecho humano de protección de datos personales a sus titulares".
De hecho el diputado liberal citó que la Procuraduría General de la República en su opinión jurídica OJ-087-2018 del 17 de setiembre de 2018, al ser consultada sobre el entonces proyecto de Ley del Sistema de Estadística Nacional, advirtió de la posible inconstitucionalidad de las disposiciones contenidas en el artículo 16, 65 y 68 por considerarlas desproporcionadas y contrarias al derecho a la autodeterminación informativa.
Esta advertencia señalada por la Procuraduría más las recientes interpretaciones del Banco Central de Costa Rica para permitirse realizar una recopilación masiva de datos personales de los costarricenses, entre ellos, datos de carácter socioeconómico y por ende sensibles, conforme lo dispone el artículo 3, inciso e) de la Ley de Protección de la Persona frente al tratamiento de sus datos personales en adelante Ley No. 8968, evidencian la necesidad de este proyecto de reforma de la ley para dotar de mayor claridad y seguridad jurídica las disposiciones que regulan la recopilación, transferencias y el tratamiento de datos con fines estadísticos.
Para Dengo el acuerdo tomado por la Junta Directiva del BCCR hacia la Sugef de pedir acceso a las bases de datos con información crediticia, incluido el número de identificación, es información que corresponde a datos personales de acceso restringido y sensibles de las personas físicas que son sujetos de crédito en el sistema financiero, por lo que consideró que esa situación fue completamente ilegal y que no cumple con los requerimientos establecidos por el marco aplicable.
Según un comparativo del texto actual de la ley versus la reforma pretendida, el inciso a) del artículo 16 pasaría a indicar que el principio de confidencialidad estadística es aquel que establece la obligación de que los datos deben ser tratados de tal manera que se garantice una seguridad adecuada de éstos, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas razonables.
Actualmente ese inciso solamente señala que dicho principio garantiza la protección de los datos obtenidos por el SEN para la elaboración de las estadísticas dentro del marco de la ley, y que se exceptúan de la aplicación de ese principio los datos de carácter público que son de libre acceso para todos los ciudadanos.
También se reformaría el inciso b) que actualmente señala que el principio de transparencia es el derecho de obtener información plena sobre la protección dispensada a los datos brindados y la finalidad con que se recaban, para pasar a decir que ese principio consiste en que los sujetos que suministren los datos a los que se refiere la Ley tienen derecho a obtener de las instituciones del SEN plena información de los fines del tratamiento, la base jurídica que legitima el tratamiento de los datos, los destinatarios, las categorías de los datos, plazo de conservación, el derecho a solicitar el acceso a éstos, la rectificación y supresión cuando proceda, la existencia de decisiones automatizadas, incluida la elaboración de perfiles, cualquier uso ulterior de los datos que no corresponda a la finalidad para los cuales fueron recolectados, así como la fuente de la proceden los datos cuando no se trate de información proporcionada por el titular, la identidad y los datos de contacto del responsable, para el caso de datos personales.
En el artículo 16 las enmiendas son precisas: se establece que la remisión de la información estadística debe hacerse mediante soportes materiales seguros, se agrega el requisito de que la solicitud de los datos sea proporcional y razonable, se establece la obligación de informar el propósito de la solicitud de los datos estadísticos, los mecanismos de confidencialidad, disponibilidad e integridad que se aplicarán; y remite a la Ley de Protección de Datos Personales en lo que respecta a sanciones.
Adicionalmente se establece que las instituciones que forman parte del SEN deben tratar los datos personales de forma anonimizada o desasociados de su titular, y que solo podrán usarse para fines estadísticos, además de prohibir cualquier tratamiento de datos personales sin anonimizar o sin desasociar de la identidad, incluso al momento de hacer transferencias de datos.
Por otro lado en el artículo 18 se establece que ninguna persona estará obligada a suministrar datos personales sin que exista una base jurídica valida que permita realizar el tratamiento de éstos o no se cumplan con los principios y obligaciones establecidas en el marco normativo vigente en materia de protección de datos personales; y se prohíbe el tratamiento de datos de carácter personal que revelen el origen racial o étnico, opiniones políticas, convicciones religiosas, espirituales o filosóficas, así como los relativos a la salud, situación socioeconómica, la vida o la orientación sexual, entre otros.
Finalmente el proyecto deroga el párrafo final del artículo 68 vigente que establece que la falta de entrega de la información solicitada configurará el delito de desobediencia a la autoridad, tipificado en el Código Penal. Ese artículo ha sido usado por el Banco Central para entablar denuncias penales contra la jerarca de la SUGEF y gerentes de bancos que se negaron a remitir información crediticia sin anonimizar.
Breves
— El Plenario continuó este martes el debate por el fondo del proyecto de ley de Presupuesto Nacional 2024 por lo que no hubo mayor actividad legislativa que reportar.
