Accesibilidad
Opinión Jurídica : 004 - del 08/01/2021
08 de enero 2021
OJ-004-2021
Señor
Enrique Sánchez Carballo
Diputado
Asamblea Legislativa
Estimado señor:
Con aprobación del señor Procurador
General de la República, nos referimos a su oficio AL-FPAC-12-OFI-035-2020 del
1 de diciembre de 2020, mediante el cual solicita nuestro criterio sobre lo siguiente:
“(…) si los gobiernos municipales
requieren una norma habilitante, con rango de ley ordinaria preferiblemente
especial, para proceder de conformidad como lo vienen anunciando al
público; es decir, para acceder y
utilizar datos biométricos de los transeúntes sin su consentimiento, a los
efectos de ejecutar políticas públicas municipales de seguridad ciudadana
preventiva, mediando (o no) tecnología de inteligencia artificial (u otras
plataformas o aplicaciones afines).
(…)” (El resaltado pertenece al original)
Según señala el señor diputado, dicha
interrogante se plantea en virtud de la posible implementación de métodos de
video-vigilancia policial ligada con inteligencia artificial y detección facial
(datos biométricos de los ciudadanos), por parte de las municipalidades. Lo
anterior, como parte de la innovación en materia de políticas públicas sobre
seguridad ciudadana.
Previamente debemos señalar que, de
conformidad con las atribuciones dispuestas en la Ley Orgánica de la
Procuraduría General de la República, este órgano asesor únicamente está
facultado para ejercer su función consultiva rindiendo los criterios legales
que le solicite la Administración Pública. Consecuentemente, la Asamblea
Legislativa sólo está legitimada para consultar cuando lo haga en ejercicio de
potestades administrativas, pero no cuando se trata del ejercicio de su función
legislativa.
A pesar de lo anterior, en un afán de
colaboración con la importante labor que desempeñan las señoras y señores
diputados, hemos acostumbrado atender las consultas que formula la Asamblea
Legislativa y sus diputados, advirtiendo que se trata de criterios jurídicos no
vinculantes sobre determinados proyectos de ley o en relación con la función de
control político.
Asimismo, debemos señalar que la
emisión de nuestros pronunciamientos no se rige por lo dispuesto en los
artículos 27 y 30 de la Constitución Política, ni 32 de la Ley de la
Jurisdicción Constitucional (N° 7135 del 11 de octubre de 1989), en tanto lo
consultado no concierne a una petición pura y simple de información en poder de
la Procuraduría, sino al estudio y emisión de un criterio técnico jurídico que
por su naturaleza no queda sujeto al plazo de diez días hábiles establecido en
el último precepto citado. Sirva como referencia lo señalado por la Sala
Constitucional en la sentencia n.°2019-23112 de las 8:50 horas del 22 de
noviembre de 2019:
“En este
nuevo amparo es claro que la recurrente pretende que la Procuraduría General de
la República emita un criterio jurídico. De conformidad con las razones
expuestas de manera reiterada por este Tribunal una consulta
así planteada no constituye parte del ejercicio de los derechos consagrados en
los artículos 27 y 30 de la Constitución Política. Por consiguiente, no hay
razón para estimar el recurso.” (El subrayado no es del original).
Dejando establecido lo anterior,
procederemos a referirnos sobre lo consultado.
I. SOBRE LOS
DERECHOS DE INTIMIDAD, AUTODETERMINACIÓN INFORMATIVA E IMAGEN
En primer término, conviene recordar que,
el artículo 24 de la Constitución Política garantiza el derecho a la intimidad, a la libertad y al secreto
de las comunicaciones y de allí se desprenden los derechos fundamentales de
inviolabilidad de los documentos privados y de autodeterminación informativa.
Dicho numeral dispone:
“Artículo 24.- Se
garantiza el derecho a la intimidad, a la libertad y al secreto de las
comunicaciones.
Son inviolables
los documentos privados y las comunicaciones escritas, orales o de cualquier
otro tipo de los habitantes de la República. Sin embargo, la ley, cuya
aprobación y reforma requerirá los votos de dos tercios de los Diputados de la
Asamblea Legislativa, fijará en qué casos podrán los Tribunales de Justicia
ordenar el secuestro, registro o examen de los documentos privados, cuando sea
absolutamente indispensable para esclarecer asuntos sometidos a su
conocimiento.
Igualmente, la ley
determinará en cuáles casos podrán los Tribunales de Justicia ordenar que se
intervenga cualquier tipo de comunicación e indicará los delitos en cuya
investigación podrá autorizarse el uso de esta potestad excepcional y durante
cuánto tiempo. Asimismo, señalará las responsabilidades y sanciones en que
incurrirán los funcionarios que apliquen ilegalmente esta excepción. Las
resoluciones judiciales amparadas a esta norma deberán ser razonadas y podrán
ejecutarse de inmediato. Su aplicación y control serán responsabilidad
indelegable de la autoridad judicial.
La ley fijará los
casos en que los funcionarios competentes del Ministerio de Hacienda y de la
Contraloría General de la República podrán revisar los libros de contabilidad y
sus anexos para fines tributarios y para fiscalizar la correcta utilización de
los fondos públicos.
Una ley especial,
aprobada por dos tercios del total de los Diputados, determinará cuáles otros
órganos de la Administración Pública podrán revisar los documentos que esa ley
señale en relación con el cumplimiento de sus competencias de regulación y
vigilancia para conseguir fines públicos. Asimismo, indicará en qué casos
procede esa revisión.
No producirán
efectos legales, la correspondencia que fuere sustraída ni la información
obtenida como resultado de la intervención ilegal de cualquier comunicación.”
En relación con la autodeterminación
informativa, la Sala Constitucional ha señalado que este derecho constituye
una ampliación del ámbito protector del derecho a la intimidad, que surge como
respuesta a los cambios en la fluidez de la información, evolucionando a nuevas
herramientas de comunicación y distribución de la información, por lo que se debe
garantizar el derecho fundamental de los ciudadanos a decidir quién, cuándo,
dónde y bajo qué circunstancias se puede tener contacto con sus datos (dictamen
C-412-2020 del 21 de octubre de 2020). Tal es el caso de la resolución 910-2009
de las 13:36 horas de 23 de enero de 2009, a través de la cual, la Sala
Constitución dispuso:
“La ampliación del ámbito protector del
derecho a la intimidad surge como una respuesta al ambiente global de fluidez
informativa actual, ambiente que ha puesto en entredicho las fórmulas
tradicionales de protección a los datos personales, para evolucionar en
atención a la necesidad de utilizar nuevas herramientas que permitan garantizar
el derecho fundamental de los ciudadanos a decidir quién, cuándo, dónde y bajo
qué y cuáles circunstancias tiene contacto con sus datos. Es reconocido así el
derecho fundamental de toda persona física o jurídica a conocer lo que conste
sobre ella, sus bienes o derechos en cualquier registro o archivo, de toda
naturaleza, incluso mecánica, electrónica o informatizada, sea pública o
privada; así como la finalidad a que esa información se destine y a que sea
empleada únicamente para dicho fin, el cual dependerá de la naturaleza del
registro en cuestión. Da derecho también a que la información sea rectificada,
actualizada, complementada o suprimida, cuando la misma sea incorrecta o
inexacta, o esté siendo empleada para fin distinto del que legítimamente puede
cumplir. Es la llamada protección a la autodeterminación informativa de las
personas, la cual rebasa su simple ámbito de intimidad. Se concede al ciudadano
el derecho a estar informado del procesamiento de los datos y de los fines que
con él se pretende alcanzar, junto con el derecho de acceso, corrección o
eliminación en caso el que se le cause un perjuicio ilegítimo. El derecho de
autodeterminación informativa tiene como base los siguientes principios: el de
transparencia sobre el tipo, dimensión o fines del procesamiento de los datos
guardados; el de correspondencia entre los fines y el uso del almacenamiento y
empleo de la información; el de exactitud, veracidad, actualidad y plena
identificación de los datos guardados; de prohibición del procesamiento de
datos relativos a la esfera íntima del ciudadano (raza, creencias religiosas,
afinidad política, preferencias sexuales, entre otras) por parte de entidades
no expresamente autorizadas para ello; y de todos modos, el uso que la
información se haga debe acorde con lo que con ella se persigue; la destrucción
de datos personales una vez que haya sido cumplidos el fin para el que fueron
recopilados; entre otros. La esfera privada ya no se reduce al domicilio o a
las comunicaciones, sino que es factible preguntarse si es comprensible incluir
"la protección de la información" para reconocerle al ciudadano una
tutela a la intimidad que implique la posibilidad de controlar la información
que lo pueda afectar. …La tutela a la intimidad implica, la posibilidad
real y efectiva para el ciudadano de saber cuáles datos suyos están siendo
tratados, con qué fines, por cuáles personas, bajo qué circunstancias, para que
pueda ejercer el control correspondiente sobre la información que se distribuye
y que lo afecta (artículos 24 de la Constitución Política y 13 inciso 1 de la
Convención Americana de Derechos Humanos). En resumen
se deduce entonces que la autodeterminación informativa es una ampliación del
derecho a la intimidad y que su protección surge a partir del desarrollo de
mecanismos informáticos y tecnológicos globales que manejan bases de datos que
contienen información de las personas. Respecto de la delimitación del
contenido del derecho de autodeterminación informativa es importante acotar que
para que la información sea almacenada de forma legítima, debe cumplir al menos
con los siguientes requisitos: primero no debe versar sobre información de
carácter estrictamente privado o de la esfera íntima de las personas; segundo
debe ser información exacta y veraz (v. sentencia #2000-1119 de las 18:51 horas
del 1° de febrero de 2000) y tercero la persona tiene el derecho de conocer la
información y exigir que sea rectificada, actualizada, complementada o
suprimida, cuando sea incorrecta o inexacta, o esté siendo empleada para fin
distinto del que legítimamente puede cumplir (v. sentencias #2007-6793 de las
11:24 horas del 18 de mayo del 2007 y #2008-10114 de las 19:18 horas del 17 de
junio de 2008)”.
Tal y como se desprende del anterior voto constitucional, el derecho
a la autodeterminación informativa amplía el ámbito de intimidad de las
personas, además, comprende el derecho del individuo a estar informado
sobre el procesamiento de sus datos, sobre el fin que se persigue con su
acceso, así como la posibilidad de tener control de los datos que contiene un
registro y corregirlos o eliminarlos en caso de que le cause algún perjuicio.
Hasta el año 2011, el contenido del
derecho de la autodeterminación informativa, derivado del artículo 24 de la
Constitución Política, había sido desarrollado únicamente por jurisprudencia de
la Sala Constitucional, la cual había sido reiterativa en señalar la necesidad
de llenar el vacío legal que existía en cuanto al control de archivos que
contenían información de los particulares. En ese sentido, a través de la
resolución No. 5268-2011 de las 15:13 horas de 27 de abril de 2011, la Sala
Constitucional señaló:
“…la
normativa se ocupa de llenar un importante vacío normativo relacionado con el
derecho a la autodeterminación informativa, que si
bien la jurisprudencia de la Sala se ha ocupado de desarrollar su contenido,
persiste la necesidad de desarrollar una institución administrativa que vele
por un equilibrio en la actividad, y para que se constituya en una primera
línea de defensa especializada de este derecho fundamental. Por ello es
necesario señalar la máxima jurídica (más conocida en el derecho anglosajón) de
que no hay derechos sin un remedio procesal (there is no right without a remedy).
En un escenario en el que los recursos tecnológicos permiten un uso masivo de
almacenamiento de datos de toda naturaleza, y con múltiples posibilidades de
transferencia, es importante que toda
aquella información personal que llegue formar parte de las bases de datos
tenga normada las conductas lícitas e ilícitas de los operadores para que no
lleguen a lesionar derechos fundamentales. Actualmente, tanto las
Administraciones Públicas, como las personas físicas y empresas que recopilan
datos personales, carecen de regulaciones legales que fiscalicen, controlen e intervengan
los archivos que contienen estos datos, lo cual repercute en los métodos que
sistematizan estos datos. Es claro, los derechos de los particulares están más
expuestos sin normativa que cuando ésta la regula de forma más ordenada y
compatible con el Derecho de la Constitución. Lo contrario, evidentemente,
prolonga una asimetría entre los ciudadanos y los poderes públicos y privados
que manejan dicha información, lo cual se ha venido solventando mediante la
jurisprudencia de la Sala, la que desde hace más de una década reconoció la
ausencia de legislación y de un organismo administrativo de control. De ahí que
la legislación llena un importante vacío del ordenamiento jurídico al procurar un equilibrio entre las instituciones y la
sociedad costarricense que permita una tutela eficaz de la libertad a la
autodeterminación informativa y una mejor protección administrativa de frente a
la acumulación de poderes que ha ocurrido a lo largo de los años en que no ha
habido tales controles.” (La negrita no es del original)
Posterior a ello,
se promulgó la Ley N° 8968 del 5 de setiembre de 2011, Ley de Protección de la
Persona frente al Tratamiento de sus Datos Personales, cuya finalidad es garantizar a cualquier persona, sin discriminación
alguna, el respeto a su derecho a la autodeterminación informativa en relación
con su vida o actividad privada y demás derechos de la personalidad, así como
la defensa de su libertad e igualdad, con respecto al tratamiento automatizado
o manual de los datos sobre su persona o bienes (artículo 1). Adicionalmente,
fue emitido el Decreto Ejecutivo N° 37554 del 30 de octubre de 2012, Reglamento a la
Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales.
Respecto a su ámbito de aplicación, la citada Ley
contempla todos aquellos datos que figuren en bases de datos automatizadas o
manuales, de organismos públicos o privados y a toda modalidad de uso posterior
de estos datos, excluyéndose a las bases de datos mantenidas por personas
físicas o jurídicas con fines exclusivamente internos, personales o domésticos,
siempre y cuando estas no sean vendidas o de cualquier otra manera
comercializadas (artículo 2 de la Ley).
Concretamente, sobre el derecho a la
autodeterminación informativa, para el adecuado tratamiento de los datos
personales, el numeral 4 señala:
“ARTÍCULO
4.- Autodeterminación informativa
Toda
persona tiene derecho a la autodeterminación informativa, la cual abarca el
conjunto de principios y garantías relativas al legítimo tratamiento de sus
datos personales reconocidos en esta sección.
Se
reconoce también la autodeterminación informativa como un derecho fundamental,
con el objeto de controlar el flujo de informaciones que conciernen a cada
persona, derivado del derecho a la privacidad, evitando que se propicien
acciones discriminatorias.”
Un aspecto importante a resaltar es que, para
efectos de determinar el tratamiento o restricción de acceso que se le debe dar
a la información de los particulares, la Ley en comentario, así como su
reglamento, clasifican los datos en las siguientes categorías:
“ARTÍCULO 9.-
Categorías particulares de los datos
(…)
1.- Datos
sensibles
Ninguna persona estará
obligada a suministrar datos sensibles. Se prohíbe el tratamiento de datos de
carácter personal que revelen el origen racial o étnico, opiniones políticas,
convicciones religiosas, espirituales o filosóficas, así como los relativos a
la salud, la vida y la orientación sexual, entre otros.
Esta prohibición no se aplicará cuando:
a) El tratamiento de
los datos sea necesario para salvaguardar el interés vital del interesado o de
otra persona, en el supuesto de que la persona interesada esté física o
jurídicamente incapacitada para dar su consentimiento.
b) El tratamiento de
los datos sea efectuado en el curso de sus actividades legítimas y con las
debidas garantías por una fundación, una asociación o cualquier otro organismo,
cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se
refiera exclusivamente a sus miembros o a las personas que mantengan contactos
regulares con la fundación, la asociación o el organismo, por razón de su
finalidad y con tal de que los datos no se comuniquen a terceros sin el
consentimiento de las personas interesadas.
c) El tratamiento se
refiera a datos que la persona interesada haya hecho públicos voluntariamente o
sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho
en un procedimiento judicial.
d) El tratamiento de
los datos resulte necesario para la prevención o para el diagnóstico médico, la
prestación de asistencia sanitaria o tratamientos médicos, o la gestión de
servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por
un funcionario o funcionaria del área de la salud, sujeto al secreto
profesional o propio de su función, o por otra persona sujeta, asimismo, a una
obligación equivalente de secreto.
2.- Datos personales de acceso restringido
Datos personales de
acceso restringido son los que, aun formando parte de registros de acceso al
público, no son de acceso irrestricto por ser de interés solo para su titular o
para la Administración Pública. Su tratamiento será permitido únicamente para
fines públicos o si se cuenta con el consentimiento expreso del titular.
3.- Datos personales de acceso irrestricto
Datos personales de
acceso irrestricto son los contenidos en bases de datos públicas de acceso
general, según lo dispongan las leyes especiales y de conformidad con la
finalidad para la cual estos datos fueron recabados.
No se considerarán
contemplados en esta categoría: la dirección exacta de la residencia, excepto
si su uso es producto de un mandato, citación o notificación administrativa o
judicial, o bien, de una operación bancaria o financiera, la fotografía, los
números de teléfono privados y otros de igual naturaleza cuyo tratamiento pueda
afectar los derechos y los intereses de la persona titular.
(…)”
A partir de lo anterior, podemos afirmar
que, la Ley de Protección de la Persona frente al tratamiento de sus datos
personales y su reglamento, brindan especial protección a las personas, frente
a órganos públicos y privados, respecto al manejo que se dé a su información de
índole privada que forme parte de las bases de datos, a fin de que no lleguen a
lesionar sus derechos fundamentales.
Dado ello, se contempla varias categorías
de información, cuya restricción de acceso o tratamiento dependerá de que tan
sensible sean los datos allí contenidos. Así entonces, se considera que los datos sensibles o personales, son
aquellos que el individuo no tiene la obligación de relevar por ser información
de carácter personal (relacionados con origen étnico, religión, salud,
orientación sexual, etc), por lo que, se prohíbe su
tratamiento por parte de terceros (con las excepciones contenida en el artículo
9.1 de la Ley). Además, contempla la protección de los datos personales de acceso restringido, los cuales, aún y cuando
consten en registros de acceso al público, no pueden ser de acceso irrestricto,
de allí que, su tratamiento está permitido sólo para el titular de la
Administración Pública interesada, cuando persiga fines públicos, o bien, se
cuente con el consentimiento expreso del titular, en ese sentido, aún y cuando
se encuentre en poder de la Administración, está protegida por el artículo 24
de la Constitución Política y, por ende, no tendrían acceso indiscriminado.
Finalmente, encontramos lo datos
personales de acceso irrestricto, los cuales son aquellos que forman parte
de las bases de datos públicas de acceso general, por disposición de ley
especial y para la finalidad para lo cual fueron recabados.
Por
otra parte, consideramos importante reseñar que, al responsable de la base de
datos se le impone un deber de adoptar las medidas de índole técnica y de
organización necesarias con el objeto de garantizar la seguridad de los datos
personales y evitar su alteración, destrucción accidental o ilícita, pérdida,
tratamiento o acceso no autorizado, así como cualquier otra acción contraria a
la Ley en mención, contemplando como mínimo dentro de esas medidas, los
mecanismos de seguridad física y lógica más adecuados acordes con el desarrollo
tecnológico que impere en el momento. Asimismo, sobre dichos responsables y quienes
participen en cualquier fase del proceso de tratamiento de datos personales,
recae en correspondencia con esa información, un deber de confidencialidad sea
por su condición profesional o funcional.
Al
respecto señala el numeral 11 de la Ley en comentario:
“ARTÍCULO 11.- Deber de confidencialidad
La persona responsable y quienes intervengan en cualquier fase del
tratamiento de datos personales están obligadas al secreto profesional o
funcional, aun después de finalizada su relación con la base de datos. La
persona obligada podrá ser relevado del deber de secreto por decisión judicial
en lo estrictamente necesario y dentro de la causa que conoce.
En este punto, conviene resaltar que esta
misma Ley dispone expresamente las excepciones al derecho de autodeterminación
informativa del ciudadano, al respecto, el artículo 8 acota:
“ARTÍCULO
8.- Excepciones a la autodeterminación informativa del ciudadano.
Los principios, los
derechos y las garantías aquí establecidos podrán ser limitados de manera
justa, razonable y acorde con el principio de transparencia administrativa, cuando se persigan los siguientes fines:
a) La seguridad del Estado.
b) La seguridad y el ejercicio de la autoridad
pública.
c) La prevención, persecución, investigación,
detención y represión de las infracciones penales, o de las infracciones de la
deontología en las profesiones.
d) El funcionamiento de bases de datos que se
utilicen con fines estadísticos, históricos o de investigación científica,
cuando no exista riesgo de que las personas sean identificadas.
e) La adecuada
prestación de servicios públicos.
f) La eficaz
actividad ordinaria de la Administración, por parte de las autoridades
oficiales.”
Conforme
lo anterior, la autodeterminación informativa de los ciudadanos puede ser
limitados, de una manera justa, razonable y acorde con el principio de
transparencia administrativa, cuando se persigan ciertos fines, como lo son: la
seguridad del Estado, la seguridad y el ejercicio de la autoridad pública, la
prevención, persecución, investigación, detención y represión de las
infracciones penales, o de las infracciones de la deontología en las
profesiones, el funcionamiento de bases de datos que se utilicen con fines
estadísticos, históricos o de investigación científica, cuando no exista riesgo
de que las personas sean identificadas, para una adecuada prestación de
servicios públicos, y, para una eficaz actividad ordinaria de la
Administración, por parte de las autoridades oficiales.
En ese sentido, este órgano técnico consultivo
ha señalado que, dichas limitaciones deben ser establecidas en consonancia con
el principio de transparencia administrativa y deben constituir una limitación
justa y razonable. Lo que implica que deben ser conformes con los principios de
razonabilidad y proporcionalidad que rigen la actuación pública y al principio
de transparencia (no puede ser arbitraria ni desproporcionada respecto de los
fines que persigue), lo cual implica que, aún y cuando se restrinja el derecho
a la autodeterminación informativa, los titulares de los datos o sus
representantes puedan conocer sobre la existencia del archivo, los datos que
constan allí y el tratamiento que recibirán (dictamen C-090-2013 del 28 de mayo
de 2013).
Conviene
reseñar que, la Ley de Protección de la Persona frente al Tratamiento de sus
Datos Personales creó la Agencia de Protección de Datos de los
habitantes (Prodhab), cuya finalidad es
garantizar a cualquier persona, independientemente de su nacionalidad,
residencia o domicilio, el respeto a su derecho a la autodeterminación
informativa en relación con su vida o actividad privada y demás derechos de la
personalidad, así como la defensa de su libertad e igualdad con respecto al
tratamiento automatizado o manual de los datos correspondientes a su persona o
bienes.
En
cumplimiento de lo anterior, las personas físicas o jurídicas propietarias de
bases de datos deberán inscribir ante la Agencia estos registros (artículo 44
del Reglamento a la Ley 8968), especificando, entre otras cosas, las
finalidades y los usos previstos.
Ahora bien, refiriéndonos
concretamente al derecho de imagen,
la jurisprudencia de la Sala
Constitucional lo ha considerado una derivación o extensión del derecho a la
intimidad (artículo 24 de la Constitución Política), y lo ha definido como: “aquel que faculta a las personas a
reproducir su propia imagen o por el contrario a impedir que un tercero pueda
captar, reproducir o publicar una imagen sin autorización” (resolución
2001-09250 de las 10:22 horas del 14 de setiembre de
2001).
Asimismo, en la sentencia 2533-93 de las 10:03 horas del 4 de
junio de 1993, señaló: “… El derecho
a la imagen es uno de los derechos de la personalidad y tiene independencia
funcional y se manifiesta en forma negativa cuando la persona se niega a que se
le tome una fotografía y en forma positiva cuando el sujeto solicita o autoriza
tal conducta; además, el retrato fotográfico de la persona no puede ser puesto
en el comercio, sin el debido consentimiento…” (en similar sentido ver
las resoluciones Nos. 2533-93, de las 10:03 del 4 de junio de 1993, 1441-96 de
las 16:15 horas del 27 de marzo de 1996 y 2014-11715 de las 9:05 horas del 18
de julio de 2014, de la Sala Constitucional).
Concretamente, a través de
la resolución No. 2007-12959 de las 10:22 horas del 7 de setiembre de 2007, la
Sala Constitucional dispuso:
“II.- SOBRE EL DERECHO DE IMAGEN.
- En reiteradas ocasiones, esta Sala ha desarrollado el derecho de imagen como
una extensión del derecho a la intimidad, protegido constitucionalmente en el
artículo 24 de la Constitución Política, cuyo fin es resguardar el ámbito o
esfera privada de las personas del público, salvo autorización expresa del
interesado. De esta manera, se limita la intervención de otras personas o
de los poderes públicos en la vida privada de las personas; esta limitación
puede encontrarse tanto en la observación y en la captación de la imagen como
en la difusión posterior de lo captado sin el consentimiento de la persona
afectada. Este Tribunal ha señalado expresamente, que para que una persona
pueda invocar la vulneración a este derecho, debe existir una plena
identificación de la persona presuntamente perjudicada, sea por su nombre o
por su imagen.” (Sentencia n.°2010-05273 de las 14:59 horas del 17 de marzo
del 2010. En igual sentido, el voto n.°2014-13162 de las 9:05 horas del 14 de
agosto del 2014. El subrayado no es del original).
“Ahora bien, como todo derecho fundamental, el derecho de intimidad,
del cual deriva el derecho a la imagen, no se trata de uno irrestricto, y
como ya ha sido aceptado por esta Sala, cede ante el consentimiento del
titular.” (El subrayado no pertenece al original)
Adicionalmente, el derecho de imagen se
encuentra consagrado en el Derecho Internacional, donde se protege de manera
particular la imagen y el honor de las personas, ante injerencias en su vida
privada. Tales son los casos del artículo 17 del Pacto Internacional de
Derechos Civiles y Políticos, artículo 11 de la Convención Americana sobre
Derechos Humanos, numeral V de la Declaración Americana de Derechos y Deberes
del Hombre y 12 de la Declaración Universal de los Derechos Humanos.
Así las cosas, el derecho fundamental
a la propia imagen, tiene su fundamento tanto en la Constitución Política, como
en Tratados de Derecho Internacional. Conforme lo ha dispuesto la Sala
Constitucional, este derecho fundamental forma parte de los derechos de la
personalidad inherentes a todo ser humano y supone la facultad de su titular
para impedir que su apariencia física o su voz sean grabadas, reproducidas o
publicadas sin su consentimiento. No obstante, este derecho fundamental no
tiene un carácter absoluto, irrestricto o incondicionado, de manera que, ante
determinadas circunstancias, la regla general del consentimiento del titular
cede en los supuestos de excepción (dictamen C-111-2020 del 31 de marzo de
2020), supuestos que quedan supeditados al principio de reserva de ley por
tratarse de limitaciones a derechos fundamentales.
Tal es el caso, de lo regulado en los
artículos 47 del Código Civil, al disponer lo siguiente:
“ARTÍCULO 47.- La fotografía o la imagen de una persona no puede ser
publicada, reproducida, expuesta ni vendida en forma alguna si no es con su consentimiento,
a menos que la reproducción esté justificada por la notoriedad de aquélla,
la función pública que desempeñe, las necesidades de justicia o de policía, o
cuando tal reproducción se relacione con hechos, acontecimientos o ceremonias
de interés público o que tengan lugar en público. Las imágenes y
fotografías con roles estereotipados que refuercen actitudes discriminantes
hacia sectores sociales no pueden ser publicadas, reproducidas, expuestas ni
vendidas en forma alguna.”
Como se observa, el Código Civil contiene
excepciones a la regla de contar con el consentimiento del titular del derecho
para poder captar su imagen, en los supuestos donde se evidencia una notoriedad
de la persona, por la función pública que desempeñe (resolución No. 2014-11715
de la Sala Constitucional), las necesidades de justicia o de policía a
propósito de una investigación y cuando la grabación se relacione con hechos,
acontecimientos o ceremonias de interés público o que tengan lugar en público.
II. SOBRE EL
ACCESO A LOS DATOS BIOMÉTRICOS
En la
legislación costarricense no podemos encontrar a la fecha, una definición de
los datos biométricos, así como tampoco una regulación específica para ellos,
aunque como veremos, existe legislación que permite el acceso a estos datos en
ciertas circunstancias.
Sin
embargo, podemos encontrar parangón en el derecho comparado, siendo un ejemplo
de ello el Reglamento de la Unión Europea 2016/679, relativo a la protección de las
personas físicas. Dicha legislación, en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos, define los datos
biométricos como aquellos “…obtenidos a
partir de un tratamiento técnico específico, relativos a las características
físicas, fisiológicas o conductuales de una persona física que permitan o
confirmen la identificación única de dicha persona, como imágenes faciales o
datos dactiloscópicos”.
Asimismo, el Reglamento citado (artículo
9.1) considera estos datos como una categoría
especial de datos personales, en cuyo caso, como regla general, está prohibido su tratamiento.
Señala este numeral:
“Tratamiento de categorías
especiales de datos personales
1. Quedan prohibidos el
tratamiento de datos personales que revelen el origen étnico o racial, las
opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a
identificar de manera unívoca a una persona física, datos relativos a la
salud o datos relativos a la vida sexual o las orientaciones sexuales de una
persona física.” (El subrayado no pertenece al
original)
Como se observa, conforme a la legislación
europea, los datos biométricos se encuentran dentro de la categoría de los datos sensibles, pues son aquellos
recopilados a través de procesos tecnológicos y que llevan relación con
características físicas, fisiológicas y conductuales de una persona, las
cuales, permiten identificarlo inequívocamente, verbigracia su huella dactilar,
reconocimiento facial, iris de la retina, ADN, geometría de la mano o dedos,
reconocimiento de voz, etc.
Cabe señalar que, parte de la
fundamentación del Reglamento en comentario acota que, existe un deber de
garantizar a toda la Unión Europea que, la aplicación de las normas de
protección de los derechos y libertades fundamentales de las personas físicas
en relación con el tratamiento de datos de carácter personal, sea coherente y
homogénea, esto en virtud de la rápida evolución tecnológica y la
globalización, lo cual ha planteado nuevos retos para la protección de los
datos personales.
En el caso particular de la legislación
costarricense, como indicamos, la Ley N° 8968, Ley de Protección de la Persona
frente al Tratamiento de sus Datos Personales, no presenta una regulación
explícita sobre los datos biométricos y su tratamiento, aunque no hay duda que
el acceso a estos datos tiene relación directa con el derecho a la intimidad y, en consecuencia, quedan resguardados por el artículo 24 de la Constitución
Política.
Si equiparamos los datos biométricos a la
categoría de datos sensibles, tal como lo hace la legislación europea, su acceso está en principio prohibido, salvo consentimiento del
titular o las excepciones calificadas que deberán regularse por ley, en
protección de los derechos a la intimidad, imagen y autodeterminación
informativa. Precisamente
por ello, podemos encontrar legislación relacionada con excepciones al artículo
24 de la Constitución Política en cuanto a la recopilación y tratamiento de
este tipo de datos.
Así por ejemplo, el artículo
93 de la Ley Orgánica del Tribunal Supremo de Elecciones y del Registro Civil
establece lo siguiente:
“ARTICULO 93.- Cédula de identidad
La cédula de identidad contendrá
la información necesaria, a juicio del Tribunal Supremo de Elecciones, para
identificar, conforme a derecho, plenamente a su portador.
Para confeccionar y emitir este
documento, el Tribunal y el Registro Civil utilizarán las técnicas más
avanzadas y seguras para la identificación personal.” (El subrayado no pertenece al original)
Conforme lo anterior, para confeccionar y
emitir el documento de identidad, el Tribunal y el Registro Civil utilizan las
técnicas más avanzadas y seguras para la identificación personal, procedimiento
que denominan "Servicio de
Verificación de Identidad" (VID). Este permite a su adquirente, previa
digitación del número de cédula y la captura de la huella dactilar de su
usuario o cliente, el cotejo de esa información con la almacenada en la
base de datos de este Tribunal y, en caso de que exista coincidencia, se
despliega en la pantalla del dispositivo los datos asociados a esa cédula de
identidad y la correspondiente fotografía.
Conforme lo señaló el Tribunal Supremo de
Elecciones en la resolución No. 2357-E8-2015 de las 11:35 horas del 25 de mayo
de 2015, Interpretación de los artículos 93 y 95 de la Ley Orgánica del
Tribunal Supremo de Elecciones y del Registro Civil, “… con este sistema de verificación biométrico se alcanza de manera más
eficiente el fin perseguido por las citadas normas jurídicas, cual es la
identificación plena y segura de la persona en toda aquella diligencia u
operación en la que sea del caso acreditar su identidad personal, eliminando,
mediante esta cédula digital, toda posibilidad de suplantación por falsificación
del documento en su formato físico…”.
Ergo, con fundamento en su Ley Orgánica, el
Tribunal Supremo de Elecciones utiliza datos biométricos (captura de la huella
dactilar) para identificar fehacientemente a las personas, a través del cotejo
de esta información con la información que consta en las bases de datos del
Registro Civil, mediante el uso de herramientas tecnológicas.
En ese mismo sentido, el artículo 40 de la Ley
Orgánica del Organismo de Investigación Judicial, permite la conformación
de un Archivo Criminal, en el cual consten las fichas y demás documentos,
debidamente clasificados, de todas las personas que en alguna oportunidad hayan
comparecido ante las autoridades en calidad de presuntos responsables de hechos
punibles y, asimismo, con las que enviaren las autoridades nacionales o
extranjeras.
De igual forma, el numeral 41 de esta Ley, otorga
el carácter confidencial a toda la información que conste en el Archivo
Criminal, además, autoriza su uso para el Organismo de Investigación Judicial,
el Ministerio Público y los órganos jurisdiccionales que conocen materia penal.
Además, autoriza que sea consultado por los cuerpos policiales de carácter
preventivo, las instituciones gubernamentales que regulan temas de seguridad
nacional y la oficina del Tribunal Supremo de Elecciones encargada de aprobar
los trámites de naturalización costarricense, los policías que realicen labores
de investigación para fines represivos, la Policía de Control Fiscal del
Ministerio de Hacienda, la Policía de Control de Drogas del Ministerio de
Seguridad Pública y la Policía Profesional de Migración y Extranjería.
Señalan ambos numerales:
“Artículo 40.-El Archivo
Criminal estará a cargo de un experto en la materia. Contará con las fichas y
demás documentos, debidamente clasificados, de todas las personas que en alguna
oportunidad hayan comparecido ante las autoridades en calidad de presuntos
responsables de hechos punibles, y, asimismo, con las que enviaren las
autoridades nacionales o extranjeras.
Artículo 41- Toda la información
que contenga el Archivo Criminal tendrá carácter confidencial y será para uso
del Organismo de Investigación Judicial (OIJ), el Ministerio Público y los
órganos jurisdiccionales que conocen materia penal.
Los cuerpos policiales de carácter
preventivo, las instituciones gubernamentales que regulan temas de seguridad
nacional y la oficina del Tribunal Supremo de Elecciones encargada de aprobar
los trámites de naturalización costarricense podrán realizar consultas sobre
personas para determinar si mantienen expedientes criminales activos, datos de
identificación contenidos en la reseña policial, fotografías y asuntos
pendientes como capturas de personas, de vehículos o presentaciones.
Las policías que realicen
labores de investigación para fines represivos, como la Policía de Control
Fiscal del Ministerio de Hacienda, la Policía de Control de Drogas del
Ministerio de Seguridad Pública y la Policía Profesional de Migración y
Extranjería podrán consultar íntegramente los expedientes criminales que se
mantienen en el sistema de Archivo Criminal.”
Sobre este registro en particular, la Sala
Constitucional ha indicado:
“V. El derecho a la intimidad y los registros judiciales. El derecho
a la intimidad no se constituye en una potestad del sujeto de determinar la
existencia o no de registros con informaciones de carácter personal ni la
posibilidad de que con base en el derecho a la autodeterminación informativa
éste pueda decidir qué aspectos deben o no ser registrados. La complejidad de
las relaciones sociales y la necesidad de cumplimiento de las funciones del
Estado exigen que se cuente con información indispensable para el cumplimiento
de esos fines. En el campo del control y combate de la criminalidad el Estado
debe contar con los medios que le permitan realizar las investigaciones
necesarias para individualizar a los responsables de las conductas delictivas y
para alcanzar fines en la ejecución de las penas. Desde el punto de vista
investigativo existe un proceso de reseña a las personas que figuran como
presuntos responsables de la comisión de un delito, en la que se incluyen
huellas dactilares, anotaciones de características peculiares etc., que
facilitan la investigación y que se realizan con la finalidad de identificar
plenamente al sujeto en caso de que cometa un nuevo delito. (…)” (El subrayado no pertenece al original) (Sentencia 1999-05802 de las 15:36
horas del 27 de julio de 1999)
Ergo,
la Ley Orgánica del Organismo de Investigación Judicial es una norma
habilitante, que permite a ciertos organismos públicos, el acceso a toda la
información o datos que consten en el Archivo Criminal del OIJ, en los
supuestos donde exista una investigación por un delito, entre ellos datos
biométricos como lo son las huellas dactilares.
Ahora bien, la existencia de la
legislación anteriormente citada, sea el artículo 93 de la Ley Orgánica del Tribunal
Supremo de Elecciones y del Registro Civil y los artículos 40 y 41 de la
Ley Orgánica del Organismo de Investigación Judicial, confirman la
necesidad de que exista una norma especial habilitante, que regule las
condiciones específicas en que podrá tenerse acceso a los datos biométricos
que, por su naturaleza, están protegidos constitucionalmente.
Por tanto, el
acceso a ese tipo de datos no es indiscriminado, sino que, necesariamente
su acceso, recopilación y archivo debe estar expresamente autorizado para la
consecución del interés público que se persigue (fin específico). De allí que,
el tratamiento de los datos biométricos de las personas debe estar autorizado
por una Ley habilitante.
Partiendo de ello debe atenderse la
consulta del señor diputado, que solicita que nos refiramos si las municipalidades
requieren de una norma habilitante, con rango de ley ordinaria preferiblemente
especial, para acceder y utilizar datos biométricos de los transeúntes sin su
consentimiento, a los efectos de ejecutar políticas públicas municipales de
seguridad ciudadana preventiva, mediando (o no) tecnología de inteligencia
artificial (u otras plataformas o aplicaciones afines).
Conforme lo ya indicado en este pronunciamiento y
tratándose de datos de naturaleza sensible, no cabe duda que los datos
biométricos están resguardados por el artículo 24 de la Constitución Política,
el cual garantiza el derecho a la intimidad, a la imagen y el derecho a la
autodeterminación informativa, los cuales, como cualquier otro derecho, están sujetos al
principio de reserva de ley en orden a sus excepciones.
Sobre este tema, la Sala Constitucional ha
indicado que “los derechos
fundamentales, no son absolutos, sino que nacen limitados (intrínseca o
extrínsecamente), establecidos por el propio constituyente o por el legislador
en virtud de la reserva de ley” (Resolución No. 5268-2011 de las 15:13
horas del 27 de abril de 2011).
En
consecuencia, ante lo consultado, debemos concluir que, para que las
municipalidades o cualquier otra entidad pública o privada puedan recopilar,
almacenar o tener acceso a los datos biométricos de los habitantes,
necesariamente deberán ser autorizados por una ley, mediante la cual se defina
el fin público que se persigue con ello, además, se establezcan los demás
parámetros para su tratamiento, como serían, por ejemplo, quién tendrá acceso a
esta información y su propósito, el tratamiento que se dará a los datos,
régimen sancionatorio en caso de incumplimiento, medidas de seguridad y
respaldo, entre otras.
Finalmente,
dicha autorización deberá provenir de una ley especial, aprobada por dos
tercios del total de los Diputados, tal y como lo señala el artículo 24
Constitucional.
III.
CONCLUSIONES
A partir de lo anterior
podemos llegar a las siguientes conclusiones:
a)
El artículo 24 de la Constitución Política
garantiza el derecho a la intimidad, a la libertad y al secreto de las
comunicaciones, de cuyo contenido se desprenden los derechos a la imagen, la
inviolabilidad de los documentos privados y de autodeterminación informativa;
b)
El derecho a la imagen faculta a las personas a
reproducir su propia imagen o, por el contrario, impedir que un tercero pueda
captar, reproducir o publicar una imagen sin autorización;
c)
Por su parte, el derecho a la
autodeterminación informativa comprende el derecho del individuo a estar
informado sobre el procesamiento de sus datos, sobre el fin que se persigue con
su acceso, así como la posibilidad de tener control sobre los datos que contiene un
registro y corregirlos o eliminarlos en caso de que le cause algún perjuicio;
d)
La Ley de
Protección de la Persona frente al tratamiento de sus datos personales
contempla varias categorías de información, según se trate de datos sensibles,
datos personales de acceso restringido o datos personales de acceso
irrestricto;
e)
En la legislación
costarricense no podemos encontrar a la fecha, una definición de los datos
biométricos, así como tampoco una regulación específica para ellos, aunque
existe legislación que permite el acceso a estos datos a autoridades
específicas en ciertas circunstancias (Ley Orgánica del Tribunal Supremo de Elecciones y
del Registro Civil y Ley Orgánica del Organismo de Investigación Judicial);
f)
No obstante lo anterior, al igual que se reconoce en
el derecho comparado europeo, los datos biométricos deben enmarcarse dentro de
la categoría de los datos sensibles, pues
son aquellos recopilados a través de procesos tecnológicos y que llevan
relación con características físicas, fisiológicas y conductuales de una
persona, las cuales, permiten identificarlo inequívocamente, a través de su
huella dactilar, reconocimiento facial, iris de la retina, ADN, geometría de la
mano o dedos, reconocimiento de voz, entre otras;
g)
Consecuentemente, los datos biométricos se encuentran resguardados por el artículo 24 de la
Constitución Política, por lo que su acceso, recopilación y archivo debe
ser expresamente consentido por el titular o autorizado por una ley especial
habilitante, aprobada por mayoría calificada;
h)
Por tanto, para que las municipalidades o cualquier
otra entidad pública o privada puedan recopilar, almacenar o tener acceso a los
datos biométricos de los habitantes, necesariamente deberán ser autorizados una
norma de rango legal, mediante la cual se defina el fin público que se persigue
con ello, además, se establezcan los demás parámetros para su tratamiento, como
serían, por ejemplo, quién tendrá acceso a esta información y su propósito, el
tratamiento que se dará a los datos, régimen sancionatorio en caso de
incumplimiento, medidas de seguridad y respaldo, entre otras.
Atentamente,
Silvia Patiño Cruz Yolanda
Mora Madrigal
Procuradora Abogada de la Procuraduría
OJ-004-2021
ACCESO A DATOS BIOMÉTRICOS. DERECHO A LA INTIMIDAD. DERECHO A LA
IMAGEN. SECRETO DE LAS COMUNICACIONES. AUTODETERMINACIÓN
INFORMATIVA. TRATAMIENTO DE DATOS PERSONALES. DATOS SENSIBLES.
PRINCIPIO DE RESERVA DE LEY.
El
señor Enrique
Sánchez Carballo, Diputado de la Asamblea Legislativa, solicita criterio sobre lo siguiente:
“(…) si los gobiernos
municipales requieren una norma habilitante, con rango de ley ordinaria
preferiblemente especial, para proceder de conformidad como lo vienen
anunciando al público; es decir, para
acceder y utilizar datos biométricos de los transeúntes sin su consentimiento,
a los efectos de ejecutar políticas públicas municipales de seguridad ciudadana
preventiva, mediando (o no) tecnología de inteligencia artificial (u otras
plataformas o aplicaciones afines).
(…)” (El resaltado pertenece al original)
Mediante la
opinión jurídica OJ-004-2021 del 8 de enero de 2021, suscrito por Silvia Patiño
Cruz, Procuradora y Yolanda Mora Madrigal, abogada de la Procuraduría, se
concluyó lo siguiente:
a)
El artículo 24 de la Constitución Política
garantiza el derecho a la intimidad, a la libertad y al secreto de las
comunicaciones, de cuyo contenido se desprenden los derechos a la imagen, la
inviolabilidad de los documentos privados y de autodeterminación informativa;
b)
El derecho a la imagen faculta a
las personas a reproducir su propia imagen o, por el contrario, impedir que un
tercero pueda captar, reproducir o publicar una imagen sin autorización;
c)
Por su parte, el derecho a la
autodeterminación informativa comprende el derecho del individuo a estar
informado sobre el procesamiento de sus datos, sobre el fin que se persigue con
su acceso, así como la posibilidad de tener control sobre los datos que contiene un registro y corregirlos o eliminarlos en caso de que le cause
algún perjuicio;
d)
La Ley de Protección de la Persona frente al tratamiento de sus
datos personales contempla varias categorías de información, según se trate de
datos sensibles, datos personales de acceso restringido o datos personales de
acceso irrestricto;
e)
En la legislación costarricense no podemos
encontrar a la fecha, una definición de los datos biométricos, así como tampoco
una regulación específica para ellos, aunque existe legislación que permite el
acceso a estos datos a autoridades específicas en ciertas circunstancias (Ley Orgánica del Tribunal
Supremo de Elecciones y del Registro Civil y Ley Orgánica del Organismo de
Investigación Judicial);
f)
No obstante lo anterior, al igual que se
reconoce en el derecho comparado europeo, los datos biométricos deben
enmarcarse dentro de la categoría de los
datos sensibles, pues son aquellos recopilados a través de procesos
tecnológicos y que llevan relación con características físicas, fisiológicas y
conductuales de una persona, las cuales, permiten identificarlo
inequívocamente, a través de su huella dactilar, reconocimiento facial, iris de
la retina, ADN, geometría de la mano o dedos, reconocimiento de voz, entre
otras;
g)
Consecuentemente, los datos biométricos se
encuentran resguardados
por el artículo 24 de la Constitución Política,
por lo que su acceso, recopilación y archivo debe ser
expresamente consentido por el titular o autorizado por una ley especial
habilitante, aprobada por mayoría calificada;
h)
Por tanto, para que las municipalidades o
cualquier otra entidad pública o privada puedan recopilar, almacenar o tener acceso
a los datos biométricos de los habitantes, necesariamente deberán ser
autorizados una norma de rango legal, mediante la cual se defina el fin público
que se persigue con ello, además, se establezcan los demás parámetros para su
tratamiento, como serían, por ejemplo, quién tendrá acceso a esta información y
su propósito, el tratamiento que se dará a los datos, régimen sancionatorio en
caso de incumplimiento, medidas de seguridad y respaldo, entre otras.