Accesibilidad
Opinión Jurídica : 027 - del 28/01/2021
28 de enero
2021
OJ-027-2021
Licenciada
Daniella Agüero Bermúdez
Jefe de Área
Comisiones
Legislativas VII
Asamblea
Legislativa
Estimada
señora:
Con
aprobación del señor Procurador General de la República me refiero a su oficio
AL-21321-CPSN-OFI-0095-2019 del 4 de julio de 2019, reasignado a mi oficina el
día 5 de enero de 2021, mediante el cual solicita nuestro criterio sobre el proyecto
de ley denominado “Ley de Repositorio Único Nacional para Fortalecer las
Capacidades de Rastreo e Identificación de Personas", el cual se tramita
bajo el número de expediente 21321, en la Comisión Permanente Especial de
Seguridad y Narcotráfico.
Previamente
debemos señalar que, de conformidad con las atribuciones dispuestas en la Ley
Orgánica de la Procuraduría General de la República, este órgano asesor
únicamente está facultado para ejercer su función consultiva rindiendo los
criterios legales que le solicite la Administración Pública. Consecuentemente,
la Asamblea Legislativa sólo está legitimada para consultar cuando lo haga en
ejercicio de potestades administrativas, pero no cuando se trata del ejercicio de su función legislativa.
A pesar de lo anterior, en un afán de colaboración con la importante
labor que desempeñan las señoras y señores diputados, hemos acostumbrado
atender las consultas que formula la Asamblea Legislativa y sus
diputados, advirtiendo que se trata de criterios jurídicos no vinculantes sobre
determinados proyectos de ley o en relación con la función de control político.
Asimismo, debemos señalar que el plazo de ocho días
concedido no vincula a esta Institución, por cuanto no nos encontramos ante
ninguno de los supuestos del artículo 157 del Reglamento de la Asamblea
Legislativa (consulta al Tribunal Supremo de Elecciones, la Universidad de
Costa Rica, el Poder Judicial o una institución autónoma). En el mismo sentido,
la emisión de nuestros pronunciamientos no se rige por lo dispuesto en los
artículos 27 y 30 de la Constitución Política, ni 32 de la Ley de la
Jurisdicción Constitucional (n.°7135 del 11 de octubre de 1989), en tanto lo
consultado no concierne a una petición pura y simple de información en poder de
la Procuraduría, sino al estudio y emisión de un criterio técnico jurídico.
Sirva como referencia lo señalado por la Sala Constitucional en la sentencia
n.°2019-23112 de las 8:50 horas del 22 de noviembre del 2019:
“En este nuevo amparo es claro que la
recurrente pretende que la Procuraduría General de la República emita un
criterio jurídico. De conformidad con las razones expuestas de manera
reiterada por este Tribunal una consulta así planteada no constituye
parte del ejercicio de los derechos consagrados en los artículos 27 y 30 de la
Constitución Política. Por consiguiente, no hay razón para estimar el recurso.” (El
subrayado no es del original).
Partiendo
de ello, atendemos la presente consulta dentro del plazo que ha permitido
nuestras capacidades institucionales, ante nuestra obligación de dar prioridad
a aquellas consultas presentadas por los órganos legitimados por ley.
I.
OBJETO DEL PROYECTO DE LEY
El
proyecto de ley que se consulta tiene como intención centralizar en el Tribunal
Supremo de Elecciones, la responsabilidad de crear, como reserva de Estado, una
Plataforma Nacional de Identificación Biométrica, la cual almacenará en un
único repositorio nacional la información biométrica de todos los
costarricenses mayores de doce años y de los extranjeros que ingresen y residan
de manera temporal o permanente en el país o los que requieran solicitar visa
para ingresar al territorio nacional.
Según la exposición de motivos, parte de
los fines que pretende el proyecto de ley, es que el repositorio nacional sea
el único medio del país en que se albergue y custodie la información biométrica
de tipo civil de las personas nacionales y extranjeras, iniciándose con los
datos biométricos de las diez huellas de los dedos y los rasgos faciales y,
como lo prevé la misma iniciativa, se deja la prevista para que a futuro se
puedan adicionar otros datos biométricos; de esta manera, las autoridades
judiciales y policiales al tener acceso inmediato y directo a la Plataforma
Nacional de Identificación Biométrica, lograrán fortalecer las capacidades de
rastreo e identificación de sujetos sospechosos de cometer delitos.
Debemos aclarar que durante el trámite
legislativo fue aprobado un texto sustitutivo para el presente proyecto de ley,
por lo que nuestro pronunciamiento se referirá al nuevo texto y no al
originalmente consultado.
II.
MARCO
CONSTITUCIONAL Y LEGAL DE REFERENCIA PARA EL PROYECTO DE LEY QUE SE CONSULTA
Como primer
aspecto de relevancia antes de pronunciarnos sobre el articulado específico del
proyecto de ley, debemos señalar que recientemente este órgano asesor emitió la
opinión jurídica OJ-004-2021 del 8 de enero de 2021, mediante el cual nos
referimos al acceso de los datos biométricos, a su naturaleza jurídica, su
protección constitucional y a la necesidad de contar con una ley, aprobada por
mayoría calificada, que autorice su almacenamiento y tratamiento por parte de
autoridades públicas y particulares.
Entenderíamos
que la
presente iniciativa pretende precisamente regular el almacenamiento de los
datos biométricos en un repositorio único nacional, cuyo
custodio sería el Tribunal Supremo de Elecciones, por lo que resulta
indispensable, de previo al análisis del proyecto de ley, referirnos al marco
normativo legal y constitucional y, específicamente, a los derechos
fundamentales involucrados y que deben resguardarse en un proyecto de esta
naturaleza.
No se puede analizar un proyecto de ley como
el que se pretende aprobar, sin tener en consideración los derechos
fundamentales a la intimidad, a la autodeterminación informativa y a la imagen,
todos ellos derivados de lo dispuesto en el numeral 24 de la Constitución y
reconocidos por la jurisprudencia reiterada de la Sala Constitucional.
Dicho numeral
dispone:
“Artículo 24.- Se garantiza el derecho a la intimidad,
a la libertad y al secreto de las comunicaciones.
Son inviolables los documentos privados y las
comunicaciones escritas, orales o de cualquier otro tipo de los habitantes de
la República. Sin embargo, la ley, cuya aprobación y reforma requerirá los
votos de dos tercios de los Diputados de la Asamblea Legislativa, fijará en qué
casos podrán los Tribunales de Justicia ordenar el secuestro, registro o examen
de los documentos privados, cuando sea absolutamente indispensable para
esclarecer asuntos sometidos a su conocimiento.
Igualmente, la ley determinará en cuáles casos podrán
los Tribunales de Justicia ordenar que se intervenga cualquier tipo de comunicación
e indicará los delitos en cuya investigación podrá autorizarse el uso de esta
potestad excepcional y durante cuánto tiempo. Asimismo, señalará las
responsabilidades y sanciones en que incurrirán los funcionarios que apliquen
ilegalmente esta excepción. Las resoluciones judiciales amparadas a esta norma
deberán ser razonadas y podrán ejecutarse de inmediato. Su aplicación y control
serán responsabilidad indelegable de la autoridad judicial.
La ley fijará los casos en que los funcionarios
competentes del Ministerio de Hacienda y de la Contraloría General de la
República podrán revisar los libros de contabilidad y sus anexos para fines
tributarios y para fiscalizar la correcta utilización de los fondos públicos.
Una ley especial, aprobada por dos tercios del total
de los Diputados, determinará cuáles otros órganos de la Administración Pública
podrán revisar los documentos que esa ley señale en relación con el
cumplimiento de sus competencias de regulación y vigilancia para conseguir
fines públicos. Asimismo, indicará en qué casos procede esa revisión.
No producirán efectos legales, la correspondencia que
fuere sustraída ni la información obtenida como resultado de la intervención
ilegal de cualquier comunicación.”
En relación con la autodeterminación informativa, la Sala Constitucional ha señalado
que este derecho constituye una ampliación del ámbito protector del derecho a
la intimidad, que surge como respuesta a los cambios en la fluidez de la
información, evolucionando a nuevas herramientas de comunicación y distribución
de la información, por lo que se debe garantizar el derecho fundamental de los
ciudadanos a decidir quién, cuándo, dónde y bajo qué circunstancias se puede
tener contacto con sus datos (dictamen C-412-2020 del 21 de octubre de 2020).
Tal es el caso de la resolución 910-2009 de las 13:36 horas de 23 de enero de
2009, a través de la cual, la Sala Constitución dispuso:
“La
ampliación del ámbito protector del derecho a la intimidad surge como una respuesta
al ambiente global de fluidez informativa actual, ambiente que ha puesto en
entredicho las fórmulas tradicionales de protección a los datos personales,
para evolucionar en atención a la necesidad de utilizar nuevas herramientas que
permitan garantizar el derecho fundamental de los ciudadanos a decidir quién,
cuándo, dónde y bajo qué y cuáles circunstancias tiene contacto con sus datos.
Es reconocido así el derecho fundamental de toda persona física o jurídica a
conocer lo que conste sobre ella, sus bienes o derechos en cualquier registro o
archivo, de toda naturaleza, incluso mecánica, electrónica o informatizada, sea
pública o privada; así como la finalidad
a que esa información se destine y a que sea empleada únicamente para dicho fin,
el cual dependerá de la naturaleza del registro en cuestión. Da derecho también
a que la información sea rectificada, actualizada, complementada o suprimida,
cuando la misma sea incorrecta o inexacta, o esté siendo empleada para fin
distinto del que legítimamente puede cumplir. Es la llamada protección a la
autodeterminación informativa de las personas, la cual rebasa su simple ámbito
de intimidad. Se concede al ciudadano el
derecho a estar informado del procesamiento de los datos y de los fines que con
él se pretende alcanzar, junto con el derecho de acceso, corrección o
eliminación en caso el que se le cause un perjuicio ilegítimo. El derecho
de autodeterminación informativa tiene como base los siguientes principios: el
de transparencia sobre el tipo, dimensión o fines del procesamiento de los
datos guardados; el de correspondencia entre los fines y el uso del
almacenamiento y empleo de la información; el de exactitud, veracidad,
actualidad y plena identificación de los datos guardados; de prohibición del procesamiento de datos relativos a la esfera íntima
del ciudadano (raza, creencias religiosas, afinidad política, preferencias
sexuales, entre otras) por parte de entidades no expresamente autorizadas para
ello; y de todos modos, el uso que la información se haga debe acorde con
lo que con ella se persigue; la destrucción de datos personales una vez que
haya sido cumplidos el fin para el que fueron recopilados; entre otros. La
esfera privada ya no se reduce al domicilio o a las comunicaciones, sino que es
factible preguntarse si es comprensible incluir "la protección de la
información" para reconocerle al ciudadano una tutela a la intimidad que
implique la posibilidad de controlar la información que lo pueda
afectar. …La tutela a la intimidad implica, la posibilidad real y efectiva
para el ciudadano de saber cuáles datos suyos están siendo tratados, con qué
fines, por cuáles personas, bajo qué circunstancias, para que pueda ejercer el
control correspondiente sobre la información que se distribuye y que lo afecta
(artículos 24 de la Constitución Política y 13 inciso 1 de la Convención
Americana de Derechos Humanos). En resumen se deduce
entonces que la autodeterminación informativa es una ampliación del derecho a
la intimidad y que su protección surge a partir del desarrollo de mecanismos
informáticos y tecnológicos globales que manejan bases de datos que contienen
información de las personas. Respecto de
la delimitación del contenido del derecho de autodeterminación informativa es
importante acotar que para que la información sea almacenada de forma legítima,
debe cumplir al menos con los siguientes requisitos: primero no debe versar
sobre información de carácter estrictamente privado o de la esfera íntima de
las personas; segundo debe ser información exacta y veraz (v. sentencia
#2000-1119 de las 18:51 horas del 1° de febrero de 2000) y tercero la persona
tiene el derecho de conocer la información y exigir que sea rectificada,
actualizada, complementada o suprimida, cuando sea incorrecta o inexacta, o
esté siendo empleada para fin distinto del que legítimamente puede cumplir (v.
sentencias #2007-6793 de las 11:24 horas del 18 de mayo del 2007 y #2008-10114
de las 19:18 horas del 17 de junio de 2008)”. (La negrita no es del original)
Como se desprende de lo anterior, el derecho a la autodeterminación
informativa amplía el ámbito de intimidad de las personas, además,
comprende el derecho del individuo a estar informado sobre el procesamiento de
sus datos, sobre el fin que se persigue con su acceso, así como la posibilidad
de tener control de los
datos que contiene un registro y corregirlos o eliminarlos
en caso de que le cause algún perjuicio.
Hasta el año 2011,
el contenido del derecho de la autodeterminación informativa, derivado del
artículo 24 de la Constitución Política, había sido desarrollado únicamente por
jurisprudencia de la Sala Constitucional, la cual había sido reiterativa en
señalar la necesidad de llenar el vacío legal que existía en cuanto al control
de archivos que contenían información de los particulares. En ese sentido, a
través de la resolución No. 5268-2011 de las 15:13 horas de 27 de abril de
2011, la Sala Constitucional señaló:
“…la normativa se ocupa de
llenar un importante vacío normativo relacionado con el derecho a la
autodeterminación informativa, que si bien la
jurisprudencia de la Sala se ha ocupado de desarrollar su contenido, persiste
la necesidad de desarrollar una institución administrativa que vele por un
equilibrio en la actividad, y para que se constituya en una primera línea de
defensa especializada de este derecho fundamental. Por ello es necesario
señalar la máxima jurídica (más conocida en el derecho anglosajón) de que no
hay derechos sin un remedio procesal (there is no right without a remedy). En un escenario en el que los recursos tecnológicos
permiten un uso masivo de almacenamiento de datos de toda naturaleza, y con
múltiples posibilidades de transferencia, es
importante que toda aquella información personal que llegue formar parte de las
bases de datos tenga normada las conductas lícitas e ilícitas de los operadores
para que no lleguen a lesionar derechos fundamentales. Actualmente, tanto
las Administraciones Públicas, como las personas físicas y empresas que
recopilan datos personales, carecen de regulaciones legales que fiscalicen,
controlen e intervengan los archivos que contienen estos datos, lo cual
repercute en los métodos que sistematizan estos datos. Es claro, los derechos
de los particulares están más expuestos sin normativa que cuando ésta la regula
de forma más ordenada y compatible con el Derecho de la Constitución. Lo
contrario, evidentemente, prolonga una asimetría entre los ciudadanos y los
poderes públicos y privados que manejan dicha información, lo cual se ha venido
solventando mediante la jurisprudencia de la Sala, la que desde hace más de una
década reconoció la ausencia de legislación y de un organismo administrativo de
control. De ahí que la legislación llena un importante vacío del ordenamiento
jurídico al procurar un equilibrio entre
las instituciones y la sociedad costarricense que permita una tutela eficaz de
la libertad a la autodeterminación informativa y una mejor protección
administrativa de frente a la acumulación de poderes que ha ocurrido a lo largo
de los años en que no ha habido tales controles.” (La negrita no es del original)
Posterior a ello, se promulgó la Ley N° 8968 del 5 de setiembre de 2011,
Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales,
cuya finalidad es garantizar a cualquier persona, sin
discriminación alguna, el respeto a su derecho a la autodeterminación
informativa en relación con su vida o actividad privada y demás derechos de la
personalidad, así como la defensa de su libertad e igualdad, con respecto al
tratamiento automatizado o manual de los datos sobre su persona o bienes
(artículo 1). Adicionalmente, fue emitido el Decreto Ejecutivo N° 37554 del 30
de octubre de 2012, Reglamento a la Ley de Protección de la Persona frente al
Tratamiento de sus Datos Personales.
Respecto a su ámbito de aplicación, la citada Ley contempla todos
aquellos datos que figuren en bases de datos automatizadas o manuales, de
organismos públicos o privados y a toda modalidad de uso posterior de estos
datos, excluyéndose a las bases de datos mantenidas por personas físicas o jurídicas
con fines exclusivamente internos, personales o domésticos, siempre y cuando
estas no sean vendidas o de cualquier otra manera comercializadas (artículo 2
de la Ley).
Concretamente, sobre el derecho a la
autodeterminación informativa, para el adecuado tratamiento
de los datos personales, el numeral 4 señala:
“ARTÍCULO 4.-
Autodeterminación informativa
Toda persona tiene derecho a
la autodeterminación informativa, la cual abarca el conjunto de principios y
garantías relativas al legítimo tratamiento de sus datos personales reconocidos
en esta sección.
Se reconoce también la
autodeterminación informativa como un derecho fundamental, con el objeto de
controlar el flujo de informaciones que conciernen a cada persona, derivado del
derecho a la privacidad, evitando que se propicien acciones discriminatorias.”
Un aspecto importante a resaltar es que, para efectos de determinar el
tratamiento o restricción de acceso que se le debe dar a la información de los
particulares, la Ley en comentario, así como su reglamento, clasifican los
datos en las siguientes categorías:
“ARTÍCULO 9.- Categorías
particulares de los datos
(…)
1.- Datos
sensibles
Ninguna persona estará
obligada a suministrar datos sensibles. Se prohíbe el tratamiento de datos de
carácter personal que revelen el origen racial o étnico, opiniones políticas,
convicciones religiosas, espirituales o filosóficas, así como los relativos a
la salud, la vida y la orientación sexual, entre otros.
Esta prohibición no se aplicará cuando:
a) El tratamiento de
los datos sea necesario para salvaguardar el interés vital del interesado o de
otra persona, en el supuesto de que la persona interesada esté física o
jurídicamente incapacitada para dar su consentimiento.
b) El tratamiento de
los datos sea efectuado en el curso de sus actividades legítimas y con las
debidas garantías por una fundación, una asociación o cualquier otro organismo,
cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se
refiera exclusivamente a sus miembros o a las personas que mantengan contactos
regulares con la fundación, la asociación o el organismo, por razón de su
finalidad y con tal de que los datos no se comuniquen a terceros sin el
consentimiento de las personas interesadas.
c) El tratamiento se
refiera a datos que la persona interesada haya hecho públicos voluntariamente o
sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho
en un procedimiento judicial.
d) El tratamiento de
los datos resulte necesario para la prevención o para el diagnóstico médico, la
prestación de asistencia sanitaria o tratamientos médicos, o la gestión de
servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por
un funcionario o funcionaria del área de la salud, sujeto al secreto
profesional o propio de su función, o por otra persona sujeta, asimismo, a una
obligación equivalente de secreto.
2.- Datos personales de acceso restringido
Datos personales de
acceso restringido son los que, aun formando parte de registros de acceso al
público, no son de acceso irrestricto por ser de interés solo para su titular o
para la Administración Pública. Su tratamiento será permitido únicamente para
fines públicos o si se cuenta con el consentimiento expreso del titular.
3.- Datos personales de acceso irrestricto
Datos personales de
acceso irrestricto son los contenidos en bases de datos públicas de acceso
general, según lo dispongan las leyes especiales y de conformidad con la
finalidad para la cual estos datos fueron recabados.
No se considerarán
contemplados en esta categoría: la dirección exacta de la residencia, excepto
si su uso es producto de un mandato, citación o notificación administrativa o
judicial, o bien, de una operación bancaria o financiera, la fotografía, los
números de teléfono privados y otros de igual naturaleza cuyo tratamiento pueda
afectar los derechos y los intereses de la persona titular.
(…)”
A partir de lo anterior, podemos afirmar que la Ley
de Protección de la Persona frente al tratamiento de sus datos personales y su
reglamento, brindan especial protección a las personas, frente a órganos
públicos y privados, respecto al manejo que se dé a su información de índole
privada que forme parte de las bases de datos, a fin de que no lleguen a
lesionar sus derechos fundamentales.
Dado ello, se contempla varias categorías de
información, cuya restricción de acceso o tratamiento dependerá de que tan
sensible sean los datos allí contenidos. Así entonces, se considera que los datos sensibles o personales, son
aquellos que el individuo no tiene la obligación de relevar por ser información
de carácter personal (relacionados con origen étnico, religión, salud,
orientación sexual, etc), por lo que, se prohíbe su
tratamiento por parte de terceros (con las excepciones contenida en el artículo
9.1 de la Ley). Además, contempla la protección de los datos personales de acceso restringido, los cuales, aún y cuando
consten en registros de acceso al público, no pueden ser de acceso irrestricto,
de allí que, su tratamiento está permitido sólo para el titular de la
Administración Pública interesada, cuando persiga fines públicos, o bien, se
cuente con el consentimiento expreso del titular, en ese sentido, aún y cuando
se encuentre en poder de la Administración, está protegida por el artículo 24
de la Constitución Política y, por ende, no tendrían acceso indiscriminado.
Finalmente, encontramos lo datos
personales de acceso irrestricto, los cuales son aquellos que forman parte
de las bases de datos públicas de acceso general, por disposición de ley
especial y para la finalidad para lo cual fueron recabados.
Por otra parte, consideramos importante reseñar
que, al responsable de la base de datos se le impone un deber de adoptar las
medidas de índole técnica y de organización necesarias con el objeto de
garantizar la seguridad de los datos personales y evitar su alteración,
destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado, así como cualquier otra acción contraria a
la Ley en mención, contemplando como mínimo dentro de esas medidas, los
mecanismos de seguridad física y lógica más adecuados acordes con el desarrollo
tecnológico que impere en el momento. Asimismo, sobre dichos responsables y
quienes participen en cualquier fase del proceso de tratamiento de datos
personales, recae en correspondencia con esa información, un deber de
confidencialidad sea por su condición profesional o funcional.
Al respecto señala el numeral 11 de la Ley en
comentario:
“ARTÍCULO 11.- Deber de confidencialidad
La persona responsable y quienes intervengan en cualquier fase del
tratamiento de datos personales están obligadas al secreto profesional o
funcional, aun después de finalizada su relación con la base de datos. La
persona obligada podrá ser relevado del deber de secreto por decisión judicial
en lo estrictamente necesario y dentro de la causa que conoce.
En este punto, conviene resaltar que esta misma Ley
dispone expresamente las excepciones al derecho de autodeterminación
informativa del ciudadano, al respecto, el artículo 8 acota:
“ARTÍCULO 8.- Excepciones
a la autodeterminación informativa del ciudadano.
Los principios, los
derechos y las garantías aquí establecidos podrán ser limitados de manera
justa, razonable y acorde con el principio de transparencia administrativa, cuando se persigan los siguientes fines:
a) La seguridad del Estado.
b) La seguridad y el ejercicio de la autoridad
pública.
c) La prevención, persecución, investigación,
detención y represión de las infracciones penales, o de las infracciones de la
deontología en las profesiones.
d) El funcionamiento de bases de datos que se
utilicen con fines estadísticos, históricos o de investigación científica,
cuando no exista riesgo de que las personas sean identificadas.
e) La adecuada
prestación de servicios públicos.
f) La eficaz
actividad ordinaria de la Administración, por parte de las autoridades
oficiales.”
Conforme lo anterior, la autodeterminación
informativa de los ciudadanos puede ser limitada, de una manera justa,
razonable y acorde con el principio de transparencia administrativa, cuando se
persigan ciertos fines, como lo son: la seguridad del Estado, la seguridad y el
ejercicio de la autoridad pública, la prevención, persecución, investigación,
detención y represión de las infracciones penales, o de las infracciones de la
deontología en las profesiones, el funcionamiento de bases de datos que se
utilicen con fines estadísticos, históricos o de investigación científica,
cuando no exista riesgo de que las personas sean identificadas, para una
adecuada prestación de servicios públicos, y, para una eficaz actividad
ordinaria de la Administración, por parte de las autoridades oficiales.
En ese
sentido, este órgano técnico consultivo ha señalado que, dichas limitaciones
deben ser establecidas en consonancia con el principio de transparencia
administrativa y deben constituir una limitación justa y razonable. Lo que
implica que deben ser conformes con los principios de razonabilidad y
proporcionalidad que rigen la actuación pública y al principio de transparencia
(no puede ser arbitraria ni desproporcionada respecto de los fines que
persigue), lo cual implica que, aún y cuando se restrinja el derecho a la
autodeterminación informativa, los titulares de los datos o sus representantes
puedan conocer sobre la existencia del archivo, los datos que constan allí y el tratamiento que recibirán
(dictamen C-090-2013 del 28 de mayo de 2013).
Conviene reseñar, además, que la Ley de Protección
de la Persona frente al Tratamiento de sus Datos Personales creó la Agencia de
Protección de Datos de los habitantes (Prodhab),
cuya finalidad es garantizar a cualquier persona, independientemente de su
nacionalidad, residencia o domicilio, el respeto a su derecho a la
autodeterminación informativa en relación con su vida o actividad privada y
demás derechos de la personalidad, así como la defensa de su libertad e
igualdad con respecto al tratamiento automatizado o manual de los datos
correspondientes a su persona o bienes.
En cumplimiento de lo anterior, las personas
físicas o jurídicas propietarias de bases de datos deberán inscribir ante la
Agencia estos registros (artículo 44 del Reglamento a la Ley 8968),
especificando, entre otras cosas, las finalidades y los usos previstos.
Ahora bien, refiriéndonos concretamente al derecho de imagen, la jurisprudencia de
la Sala Constitucional lo ha considerado también una derivación o extensión del
derecho a la intimidad (artículo 24 de la Constitución Política), y lo ha
definido como: “aquel que faculta a las
personas a reproducir su propia imagen o por el contrario a impedir que un
tercero pueda captar, reproducir o publicar una imagen sin autorización”
(resolución 2001-09250 de las 10:22 horas del 14 de setiembre de
2001).
Asimismo, en la sentencia 2533-93 de
las 10:03 horas del 4 de junio de 1993, señaló: “… El derecho a la imagen es uno de los derechos de la
personalidad y tiene independencia funcional y se manifiesta en forma negativa
cuando la persona se niega a que se le tome una fotografía y en forma positiva
cuando el sujeto solicita o autoriza tal conducta; además, el retrato fotográfico de la persona no puede ser puesto en el
comercio, sin el debido consentimiento…” (en similar sentido ver
las resoluciones Nos. 2533-93, de las 10:03 del 4 de junio de 1993, 1441-96 de
las 16:15 horas del 27 de marzo de 1996 y 2014-11715 de las 9:05 horas del 18
de julio de 2014, de la Sala Constitucional). (La negrita no es del original)
Concretamente, a través de la resolución No.
2007-12959 de las 10:22 horas del 7 de setiembre de 2007, la Sala
Constitucional dispuso:
“II.- SOBRE EL DERECHO DE IMAGEN.
- En reiteradas ocasiones, esta Sala ha desarrollado el derecho de imagen como
una extensión del derecho a la intimidad, protegido constitucionalmente en el
artículo 24 de la Constitución Política, cuyo fin es resguardar el ámbito o
esfera privada de las personas del público, salvo autorización expresa del
interesado. De esta manera, se limita la intervención de otras personas o
de los poderes públicos en la vida privada de las personas; esta limitación
puede encontrarse tanto en la observación y en la captación de la imagen como
en la difusión posterior de lo captado sin el consentimiento de la persona
afectada. Este Tribunal ha señalado expresamente, que para que una persona
pueda invocar la vulneración a este derecho, debe existir una plena
identificación de la persona presuntamente perjudicada, sea por su nombre o
por su imagen.” (Sentencia n.°2010-05273 de las 14:59 horas del 17 de marzo
del 2010. En igual sentido, el voto n.°2014-13162 de las 9:05 horas del 14 de
agosto del 2014. El subrayado no es del original).
“Ahora bien, como todo derecho fundamental, el derecho de intimidad,
del cual deriva el derecho a la imagen, no se trata de uno irrestricto, y
como ya ha sido aceptado por esta Sala, cede ante el consentimiento del
titular.” (El subrayado no pertenece al original)
Adicionalmente, el
derecho de imagen se encuentra consagrado en el Derecho Internacional, donde se
protege de manera particular la imagen y el honor de las personas, ante
injerencias en su vida privada. Tales son los casos del artículo 17 del Pacto
Internacional de Derechos Civiles y Políticos, artículo 11 de la Convención
Americana sobre Derechos Humanos, numeral V de la Declaración Americana de
Derechos y Deberes del Hombre y 12 de la Declaración Universal de los Derechos
Humanos.
Así las
cosas, el derecho fundamental a la propia imagen, tiene su fundamento
tanto en la Constitución Política, como en Tratados de Derecho Internacional.
Conforme lo ha dispuesto la Sala Constitucional, este derecho fundamental forma
parte de los derechos de la personalidad inherentes a todo ser humano y supone
la facultad de su titular para impedir que su apariencia física o su voz sean
grabadas, reproducidas o publicadas sin su consentimiento. No obstante, este
derecho fundamental no tiene un carácter absoluto, irrestricto o
incondicionado, de manera que, ante determinadas circunstancias, la regla
general del consentimiento del titular cede en los supuestos de excepción
(dictamen C-111-2020 del 31 de marzo de 2020), supuestos que quedan supeditados al principio de reserva de ley por
tratarse de limitaciones a derechos fundamentales.
Tal es el caso, de
lo regulado en los artículos 47 del Código Civil, al disponer lo siguiente:
“ARTÍCULO 47.- La fotografía o la imagen de una persona no puede ser
publicada, reproducida, expuesta ni vendida en forma alguna si no es con su
consentimiento, a menos que la reproducción esté justificada por la
notoriedad de aquélla, la función pública que desempeñe, las necesidades de
justicia o de policía, o cuando tal reproducción se relacione con hechos,
acontecimientos o ceremonias de interés público o que tengan lugar en público.
Las imágenes y fotografías con roles estereotipados que refuercen actitudes
discriminantes hacia sectores sociales no pueden ser publicadas, reproducidas,
expuestas ni vendidas en forma alguna.”
Como se observa,
el Código Civil contiene excepciones a la regla de contar con el consentimiento
del titular del derecho para poder captar su imagen, en los supuestos donde se
evidencia una notoriedad de la persona, por la función pública que desempeñe
(resolución No. 2014-11715 de la Sala Constitucional), las necesidades de
justicia o de policía a propósito de una investigación y cuando la grabación se
relacione con hechos, acontecimientos o ceremonias de interés público o que
tengan lugar en público.
Partiendo del contenido esencial de los
derechos fundamentales anteriormente descritos, así como de los límites
razonables que podrían establecerse por ley, procederemos a analizar el
proyecto de ley que se consulta.
III.
ANÁLISIS DEL PROYECTO DE LEY
El proyecto de ley se justifica en la
exposición de motivos, como una medida para atacar la criminalidad, al disponer
la existencia de una base de datos personales biométricos centralizada, que
pueda ser consultada por los organismos públicos vinculados con la
investigación de la criminalidad. Esta base de datos será administrada por el
Tribunal Supremo de Elecciones para que dicho registro migre de un simple
repositorio de huellas dactilares y fotografías, creado con la finalidad de
permitir la identificación ciudadana y el derecho al sufragio, a una base de
datos biométricos con otros fines, entre ellos, los policiales.
A pesar de la
importancia del tema que se pretende regular, este proyecto se estructura de
manera muy general, bajo seis artículos, dos reformas a otras leyes y tres
normas transitorias, lo cual nos lleva a un primer cuestionamiento sobre si el
articulado propuesto es suficiente para resguardar los derechos fundamentales
involucrados y anteriormente desarrollados.
No existe en el
proyecto de ley consultado una sola referencia a los derechos a la intimidad,
imagen o autodeterminación informativa, a pesar de que la creación de una base
de datos con información personal de los costarricenses y extranjeros
constituye un límite evidente a estos derechos.
Tal como
señalamos, estos derechos fundamentales no son irrestrictos y vía ley podrían
establecerse límites razonables por motivos de seguridad nacional, interés
público u otras excepciones dispuestas en la ley. Pero la ponderación entre el
ejercicio de esos derechos y sus límites, no es clara ni suficiente en el
articulado del proyecto de ley, en el cual más bien parece inferirse un acceso
irrestricto a estos datos por parte de terceros. Veamos.
El proyecto de
ley busca la recopilación de datos biométricos de los ciudadanos
costarricenses y extranjeros que se encuentren en nuestro territorio.
Específicamente el artículo 1° establece:
Además, en el citado repositorio se registrará la
misma información de todos los extranjeros que ingresen y residan de manera
temporal o permanente en el país, así como aquellos extranjeros que requieran
solicitar visa para ingresar al territorio nacional.”
De lo dispuesto en
dicho artículo debemos realizar varias observaciones. En primer lugar, no queda
claro a qué se refiere con el término “reserva de Estado”, ni tampoco cuáles
serían las implicaciones de que la base de datos tenga esas características.
En segundo lugar, el
artículo indicado permite la recopilación de datos biométricos de menores de
edad mayores de doce años, lo cual resulta contrario a lo que actualmente
establece los artículos 24 y 27 del Código de la Niñez y Adolescencia No. 7739
de 06 de enero de 1998. Por tanto, dichas normas deben ser modificadas de
manera expresa en caso de que se apruebe la presente iniciativa y, además,
deben establecerse garantías adicionales de protección de estos datos, en aras
de procurar el interés superior de los menores, principio recogido no sólo a
nivel interno en la citada ley, sino también en instrumentos internacionales
como la Convención
Sobre los Derechos del Niño.
En tercer lugar y no
menos importante, no se desprende de dicho artículo ni de la totalidad del
proyecto de ley, qué se entiende por datos biométricos y cuáles son los que se
están autorizando recopilar, con el agravante de que, a la fecha, no existe en
la legislación costarricense
una definición de este tipo de datos, así como tampoco una regulación
específica para ellos.
Nótese que el artículo primero del proyecto de
ley permite la ampliación de la identificación de las personas a través de la
incorporación de más rasgos biométricos, cuando la tecnología así lo permita.
Esta amplitud de la norma y la falta de una definición en el proyecto de ley
sobre qué se entiende por “información biométrica”, hace que el proyecto pueda
presentar dudas de constitucionalidad, por los motivos que pasamos a explicar.
La biometría es un término que
proviene del griego bio (vida) y metron (medida), por
lo que se dedica a desarrollar técnicas que permitan medir y analizar una serie de
parámetros físicos que son únicos en cada persona para poder comprobar su
identidad.(https://www.elmundo.es/espana/2013/12/05/52a0749d63fd3d8c498b456b.html).
Dentro de los datos biométricos más utilizados están la huella dactilar, el reconocimiento facial, iris de la retina, ADN,
geometría de la mano o dedos, reconocimiento de voz, entre otros.
Por tanto, la información biométrica no queda limitada a la huella
dactilar o a la imagen de una persona (actualmente almacenada en la base de
datos del TSE), sino que abarca todos aquellos datos recopilados a través de procesos tecnológicos y que llevan relación con
características físicas, fisiológicas y conductuales de una persona, las
cuales, permiten identificarla inequívocamente. De ahí que sea fundamental que
el proyecto de ley que se consulta, aclare el concepto y los alcances de los
datos biométricos que se están autorizando recopilar, especialmente cuando
parece autorizarse su acceso irrestricto, como veremos más adelante.
Ahora bien, aun cuando la Ley N° 8968, Ley de Protección de la Persona
frente al Tratamiento de sus Datos Personales, no presenta una regulación
explícita sobre los datos biométricos y su tratamiento, no podemos negar que,
dentro de las categorías reguladas en dicha ley, estos datos deben catalogarse
como sensibles, pues, como indicamos, a través de ellos se permite la
identificación inequívoca de las características físicas, fisiológicas y
conductuales de una persona. Ergo, no hay duda que estos datos están
relacionados con el ejercicio de los derechos a la intimidad, imagen y
autodeterminación informativa,
quedando resguardados, en consecuencia, por lo dispuesto en
el artículo 24 de la Constitución Política.
Esa conclusión encuentra respaldo en el derecho
comparado y en las buenas prácticas internacionales. Así, por ejemplo, el Reglamento de la Unión Europea 2016/679, relativo a la protección de las
personas físicas, define los datos biométricos como aquellos “…obtenidos a partir de un tratamiento
técnico específico, relativos a las características físicas, fisiológicas o
conductuales de una persona física que permitan o confirmen la identificación
única de dicha persona, como imágenes faciales o datos dactiloscópicos”.
Asimismo,
el Reglamento citado (artículo 9.1) considera estos datos como una categoría especial de datos personales,
en cuyo caso, como regla general,
está prohibido su tratamiento. Señala este numeral:
“Tratamiento de categorías especiales de datos personales
1. Quedan prohibidos el tratamiento de datos personales que revelen el
origen étnico o racial, las opiniones políticas, las convicciones religiosas o
filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos
biométricos dirigidos a identificar de manera unívoca a una persona física,
datos relativos a la salud o datos relativos a la vida sexual o las
orientaciones sexuales de una persona física.” (El subrayado no pertenece al original)
Como se observa,
conforme a la legislación europea, los datos biométricos se encuentran dentro
de la categoría de los datos sensibles, por
lo que su tratamiento está, en principio, prohibido salvo el consentimiento del
titular.
Cabe indicar que,
parte de la fundamentación del Reglamento en comentario señala que, existe un
deber de garantizar a toda la Unión Europea que, la aplicación de las normas de
protección de los derechos y libertades fundamentales de las personas físicas
en relación con el tratamiento de datos de carácter personal, sea coherente y
homogénea, esto en virtud de la rápida evolución tecnológica y la
globalización, lo cual ha planteado nuevos retos para la protección de los
datos personales.
Como se observa,
el tratamiento de los datos personales biométricos está sujeto, bajo el
estándar internacional, a estrictos controles, sin embargo, nada de ello se
regula en el proyecto de ley consultado.
Asimismo, debe considerarse que mediante ley N°
8919 del 16 de diciembre de 2010, Costa Rica suscribió el “Acuerdo de Diálogo
Político y Cooperación entre la Comunidad Europea y sus
Estados Miembros y las Repúblicas de Costa Rica, El Salvador, Guatemala,
Honduras, Nicaragua y Panamá”, mediante el cual se compromete a “garantizar la protección de los datos
personales y de otro tipo en su tratamiento, con vistas a promover las normas
internacionales más estrictas.” (artículo 5)
Por tanto, si
equiparamos los datos biométricos a la categoría de datos sensibles, tal como
lo hace la legislación europea, su
acceso está en principio prohibido, salvo consentimiento del titular o las
excepciones calificadas que deberán regularse por ley, en protección de los
derechos a la intimidad, imagen y autodeterminación informativa. Pero esas
excepciones deben estar reguladas de manera razonable y proporcional y, por
tanto, es indispensable que el legislador realice una adecuada ponderación de
los derechos en juego y establezca reglas claras sobre el fin público que se persigue con el acceso a los datos, sobre quién
tendrá acceso a esta información y su propósito, el tratamiento que se les
dará, el régimen sancionatorio en caso de incumplimiento, medidas de seguridad
y respaldo, entre otras.
Nada de lo
anterior es regulado en el proyecto de ley y, por el contrario, a lo largo del
articulado parece desprenderse un acceso irrestricto a los datos biométricos.
Al respecto, el
artículo 2 del proyecto de ley establece que “La
Dirección General de Migración y Extranjería, los consulados y cualquier otro
organismo público que registre información biométrica de las personas o que
expida documentos de identificación de personas, tales como cédulas de
residencia, permiso de trabajo, identificación de refugiados, pasaporte,
visados u otros documentos oficiales, usarán la misma plataforma tecnológica de
identificación biométrica del Tribunal Supremo de Elecciones”. Sin embargo, no se aclara si dichas
dependencias pueden o no tener acceso a dicha plataforma de manera irrestricta
ni cuáles funcionarios estarían habilitados para tener acceso a esa información
o los fines para los cuales puede utilizarse esa información.
De igual forma, el
artículo 3 del proyecto de ley autoriza al Organismo de Investigación Judicial,
los cuerpos de policía adscritos al Ministerio de Seguridad Pública, el
Ministerio Público y la Dirección General de Migración y Extranjería a tener “acceso total a los registros biométricos
contenidos en el repositorio nacional para realizar las consultas y los cotejos
pertinentes para rastrear e identificar a sospechosos de haber participado en
hechos ilícitos”. Ya en la actualidad el artículo 40 de la
Ley Orgánica del Organismo de Investigación Judicial, permite la
conformación de un Archivo Criminal, en el cual consten las fichas y demás
documentos, debidamente clasificados, de todas las personas que en alguna
oportunidad hayan comparecido ante las autoridades en calidad de presuntos
responsables de hechos punibles y, asimismo, con las que enviaren las
autoridades nacionales o extranjeras.
Además, el artículo 41 de
dicha ley autoriza su uso para el Organismo de Investigación Judicial, el
Ministerio Público, los órganos jurisdiccionales que conocen materia penal y
los cuerpos policiales de carácter preventivo, las instituciones
gubernamentales que regulan temas de seguridad nacional y la oficina del
Tribunal Supremo de Elecciones encargada de aprobar los trámites de
naturalización costarricense, los policías que realicen labores de
investigación para fines represivos, la Policía de Control Fiscal del
Ministerio de Hacienda, la Policía de Control de Drogas del Ministerio de
Seguridad Pública y la Policía Profesional de Migración y Extranjería.
Partiendo de ello, no queda
claro cuál es el impacto del presente proyecto de ley sobre el citado Archivo
Criminal y, contrario a las normas que regulan dicho archivo, no se establece
tampoco en este proyecto de ley el carácter confidencial de la información, lo
cual atenta contra los derechos fundamentales ya comentados.
En igual sentido, preocupa
especialmente lo dispuesto en el artículo 4 del proyecto de ley. Este artículo
señala:
“ARTÍCULO 4- Los Poderes de
la República, los órganos del Poder Legislativo, los ministerios y sus órganos
adscritos que requieran verificar la identidad de las personas, utilizarán la
Plataforma Nacional de Identificación Biométrica del Tribunal Supremo de
Elecciones para el cumplimiento de sus fines y quedarán exentos de los cargos a
los cuales se refiere el artículo 24 del Código Electoral.
Las instituciones descentralizadas que conforman el sector público
costarricense y el sector privado en
general, que requieran verificar la identidad de las personas por medio de
la citada plataforma nacional, podrán adquirir los servicios correspondientes
de conformidad con lo que establece el artículo 24 del Código Electoral. Para estos efectos, el Tribunal Supremo de
Elecciones fijará las tarifas de manera razonable y objetiva”
En dicha norma no
queda claro cómo se realizará la verificación de la identidad de las personas
por parte del sector público y de los particulares que accedan al servicio
brindado por el TSE y hasta dónde tendrán acceso a los datos biométricos de
terceros.
Sobre el particular,
se señala en la exposición de motivos del proyecto de ley:
“Cabe señalar que, a
partir de la comercialización de servicios no esenciales a los que se refiere
el artículo 24 del Código Electoral, el TSE no hace venta de datos personales,
ni públicos ni privados, sino que lo que se comercializa son servicios de
acceso electrónico para fines de verificación de identidad, cumpliendo con las
disposiciones legales correspondientes, lo cual incluye el apropiado
tratamiento de los datos personales.”
A pesar de lo expuesto en la exposición de motivos, es nuestro criterio
que la redacción de la norma no es clara en cuanto a sus alcances y debería contener mayores garantías, pues como
indicamos, los datos biométricos son datos sensibles y confidenciales que, por
su naturaleza, no pueden ser accedidos por terceros sin el consentimiento del
titular. De igual forma, cualquier norma legal que autorice su acceso, debe
hacerlo de manera restrictiva, bajo un criterio de interés público y con las
garantías suficientes de respeto a la naturaleza confidencial de la
información.
Debe recordarse,
además, que la comercialización de datos sensibles está prohibida en la
jurisprudencia de la Sala Constitucional arriba mencionada, por atentar contra
los derechos a la intimidad, imagen y autodeterminación informativa. Por tanto,
la redacción de la citada norma debe aclararse sobre el tipo de servicio que
brindará el Tribunal.
Si bien, el proyecto
de ley remite a lo dispuesto en el numeral 24 del Código Electoral y este
artículo prohíbe de manera expresa al TSE el suministro de información
confidencial, lo cierto es que la redacción del proyecto de ley es confusa,
pues la lectura integral del articulado y la falta de garantías adicionales en
protección de los derechos fundamentales involucrados, generan dudas sobre los
alcances de lo dispuesto en el numeral 4. Nótese incluso que el proyecto de ley
elimina el principio de consentimiento informado en materia de protección de
datos cuando la información sea para fines electorales, de identificación o de
verificación de identidad (artículo 8), redacción que por su amplitud nos
genera más confusión sobre los alcances del proyecto de ley y especialmente del
artículo 4.
Debemos
insistir que el proyecto de ley no establece el fin
público que se persigue, ni tampoco otros parámetros para el tratamiento de los
datos biométricos, como serían, por ejemplo, quién tendrá acceso a esta
información y su propósito, su confidencialidad, el tratamiento que se dará a
los datos, régimen sancionatorio en caso de incumplimiento, medidas de
seguridad y respaldo, entre otras.
Lo anterior nos genera dudas de constitucionalidad que, en
definitiva, deberán ser evacuadas por la Sala Constitucional como intérprete
supremo de la Constitución. Asimismo, llama la atención que, a pesar de los
temas involucrados, durante el trámite legislativo no se ha consultado a la Agencia
de Protección de Datos Personales de los Habitantes, como órgano competente en
esta materia.
Finalmente, debemos referirnos a las normas transitorias
dispuestas en el proyecto de ley. En primer lugar, a pesar de que se exige a la
Dirección General de Migración y Extranjería utilizar el repositorio nacional
administrado por el TSE para almacenar la información que recopile en sus
procesos (artículo 2), no existe ninguna norma transitoria que le otorgue un
plazo razonable a dicha institución para realizar la migración de los datos y
los ajustes técnicos necesarios para ello.
Asimismo, en el transitorio I se establece la obligación del
Poder Ejecutivo, en conjunto con el Tribunal Supremo de Elecciones de
reglamentar la ley, lo cual nos genera dudas de constitucionalidad, pues a la
luz de lo dispuesto en el numeral 140 inciso 3) de la Constitución, corresponde
al Poder Ejecutivo, de manera exclusiva, el proceso de reglamentación de las
leyes. Así las cosas, aun cuando el TSE puede coadyuvar en la elaboración del
reglamento, lo cierto es que la potestad reglamentaria es exclusiva del Poder
Ejecutivo.
IV.
CONCLUSIONES
A partir de lo expuesto
debemos llegar a las siguientes conclusiones:
a) La presente iniciativa pretende regular el almacenamiento de datos
biométricos de costarricense y extranjeros en un repositorio
único nacional, cuyo custodio sería el Tribunal Supremo de Elecciones, por lo
que deben tenerse en consideración los derechos fundamentales a la intimidad, a
la autodeterminación informativa y a la imagen, reconocidos en el artículo 24 de la Constitución Política;
b) La Ley de Protección de la Persona frente al tratamiento de sus datos
personales contempla varias categorías de información, según se trate de datos
sensibles, datos personales de acceso restringido o datos personales de acceso
irrestricto;
c) En la
legislación costarricense no podemos encontrar a la fecha, una definición de
los datos biométricos, así como tampoco una regulación específica para ellos,
aunque al igual que se reconoce en el derecho comparado
europeo, deben enmarcarse dentro de la categoría de los datos sensibles, pues son aquellos recopilados a través de
procesos tecnológicos y que llevan relación con características físicas,
fisiológicas y conductuales de una persona, las cuales, permiten identificarlo
inequívocamente, a través de su huella dactilar, reconocimiento facial, iris de
la retina, ADN, geometría de la mano o dedos, reconocimiento de voz, entre
otras;
d) Consecuentemente, los datos biométricos se
encuentran resguardados por el artículo 24
de la Constitución Política, por lo que su acceso, recopilación y archivo debe ser
expresamente consentido por el titular y sus límites deben estar establecidos
por ley. Dichos límites, además, deben estar regulados de manera razonable y proporcional y, por tanto,
es indispensable que el legislador establezca reglas claras sobre el fin público que se persigue con el acceso a los datos, su
confidencialidad, quién tendrá acceso a esta información y su propósito, el
tratamiento que se les dará, el régimen sancionatorio en caso de
incumplimiento, medidas de seguridad y respaldo, entre otras;
e) No existe en el proyecto de ley consultado una sola referencia a los
derechos a la intimidad, imagen o autodeterminación informativa, a pesar de que
la creación de una base de datos con información biométrica personal de los
costarricenses y extranjeros constituye un límite evidente a estos derechos.
Ergo, la ponderación entre el ejercicio de esos derechos y sus límites, no es
clara ni suficiente en el articulado del proyecto de ley, en el cual más bien
parece inferirse un acceso irrestricto a estos datos por parte de terceros;
f) El artículo 1 del proyecto de ley no es claro en cuanto a
qué se refiere con el término “reserva de Estado”, ni tampoco cuáles serían las
implicaciones de que la base de datos que se está creando tenga esas
características. Este artículo tampoco tiene garantías suficientes para la
recopilación de datos biométricos de menores de edad, lo cual resulta contrario
a lo que actualmente establecen los artículos 24 y 27 del Código de la Niñez y
Adolescencia y la Convención
Sobre los Derechos del Niño;
g) Del proyecto de ley tampoco se desprende qué se
entiende por datos biométricos y cuáles son los que se están autorizando
recopilar;
h) En el artículo 2 del proyecto no se aclara si las dependencias públicas ahí
mencionadas pueden o no tener acceso al reservorio de datos biométricos de
manera irrestricta ni cuáles funcionarios estarían habilitados para tener
acceso a esa información o los fines para los cuales puede utilizarse esa
información;
i) En el
artículo 3 no queda claro cuál es el impacto del presente
proyecto de ley sobre el Archivo Criminal del OIJ y tampoco se establece el
carácter confidencial de la información;
j)
La redacción del artículo 4 del proyecto no es clara sobre cómo se realizará la verificación de la identidad de
las personas por parte del sector público y de los particulares que accedan al
servicio brindado por el TSE y si se está permitiendo o no el acceso
irrestricto y la comercialización de los datos biométricos, lo cual está
prohibido por tratarse de información sensible;
k) La redacción del
proyecto de ley es confusa, pues la lectura integral del articulado y la falta
de garantías adicionales en protección de los derechos fundamentales
involucrados, generan dudas sobre sus alcances, especialmente cuando se elimina
el principio de consentimiento informado en materia de protección de datos
cuando la información sea para fines electorales, de identificación o de
verificación de identidad;
l) Las normas
transitorias también presentan omisiones y aspectos de constitucionalidad que
se recomiendan revisar, según lo indicado en este pronunciamiento.
Atentamente,
Silvia Patiño Cruz
Procuradora
OJ-027-2021
DATOS BIOMÉTRICOS. DATOS PERSONALES. DATOS
SENSIBLES. BASES DE DATOS. RECOPILACIÓN DE INFORMACIÓN PERSONAL.
AUTODETERMINACIÓN INFORMATIVA. DERECHO A LA IMAGEN. DERECHO A LA INTIMIDAD. LEY
DE PROTECCIÓN DE DATOS. INFORMACIÓN CONFIDENCIAL.
La Licenciada Daniella
Agüero Bermúdez, Jefa de Área de las Comisiones Legislativas VII de la Asamblea
Legislativa solicita nuestro criterio sobre el proyecto de ley denominado “Ley
de Repositorio Único Nacional para Fortalecer las Capacidades de Rastreo e
Identificación de Personas", el cual se tramita bajo el número de
expediente 21321, en la Comisión Permanente Especial de Seguridad y
Narcotráfico.
Mediante opinión jurídica OJ-027-2021 del 28
de enero 2021, la Procuradora Silvia Patiño Cruz concluyó lo siguiente:
a) La presente
iniciativa pretende regular el almacenamiento de datos biométricos de
costarricense y extranjeros en un repositorio único nacional, cuyo custodio
sería el Tribunal Supremo de Elecciones, por lo que deben tenerse en
consideración los derechos fundamentales a la intimidad, a la autodeterminación
informativa y a la imagen, reconocidos en el artículo 24 de la
Constitución Política;
b) La Ley de
Protección de la Persona frente al tratamiento de sus datos personales
contempla varias categorías de información, según se trate de datos sensibles,
datos personales de acceso restringido o datos personales de acceso
irrestricto;
c) En
la legislación costarricense no podemos encontrar a la fecha, una definición de
los datos biométricos, así como tampoco una regulación específica para ellos,
aunque al igual que se reconoce en el derecho comparado
europeo, deben enmarcarse dentro de la categoría de los datos sensibles, pues son aquellos recopilados a través de
procesos tecnológicos y que llevan relación con características físicas,
fisiológicas y conductuales de una persona, las cuales, permiten identificarlo
inequívocamente, a través de su huella dactilar, reconocimiento facial, iris de
la retina, ADN, geometría de la mano o dedos, reconocimiento de voz, entre
otras;
d) Consecuentemente, los datos biométricos se encuentran resguardados por el artículo 24 de la Constitución Política, por lo que su acceso, recopilación y archivo debe ser expresamente consentido por el
titular y sus límites deben estar establecidos por ley. Dichos límites, además,
deben estar regulados de manera razonable y proporcional y, por tanto,
es indispensable que el legislador establezca reglas claras sobre el fin público que se persigue con el acceso a los datos, su confidencialidad,
quién tendrá acceso a esta información y su propósito, el tratamiento que se
les dará, el régimen sancionatorio en caso de incumplimiento, medidas de
seguridad y respaldo, entre otras;
e) No existe en
el proyecto de ley consultado una sola referencia a los derechos a la
intimidad, imagen o autodeterminación informativa, a pesar de que la creación
de una base de datos con información biométrica personal de los costarricenses
y extranjeros constituye un límite evidente a estos derechos. Ergo, la
ponderación entre el ejercicio de esos derechos y sus límites, no es clara ni
suficiente en el articulado del proyecto de ley, en el cual más bien parece
inferirse un acceso irrestricto a estos datos por parte de terceros;
f) El artículo 1
del proyecto de ley no es
claro en cuanto a qué se refiere con el término “reserva de Estado”, ni tampoco
cuáles serían las implicaciones de que la base de datos que se está creando
tenga esas características. Este artículo tampoco tiene garantías suficientes
para la recopilación de datos biométricos de menores de edad, lo cual resulta
contrario a lo que actualmente establecen los artículos 24 y 27 del Código de
la Niñez y Adolescencia y la Convención Sobre los Derechos del Niño;
g) Del proyecto de ley tampoco se
desprende qué se entiende por datos biométricos y cuáles son los que se están
autorizando recopilar;
h) En
el artículo 2 del proyecto no se aclara
si las dependencias públicas ahí mencionadas pueden o no tener acceso al
reservorio de datos biométricos de manera irrestricta ni cuáles funcionarios
estarían habilitados para tener acceso a esa información o los fines para los
cuales puede utilizarse esa información;
i) En
el
artículo 3 no
queda claro cuál es el impacto del presente proyecto de ley sobre el Archivo
Criminal del OIJ y tampoco se establece el carácter confidencial de la
información;
j) La redacción del artículo
4 del proyecto no es clara sobre cómo se
realizará la verificación de la identidad de las personas por parte del sector
público y de los particulares que accedan al servicio brindado por el TSE y si
se está permitiendo o no el acceso irrestricto y la comercialización de los
datos biométricos, lo cual está prohibido por tratarse de información sensible;
k) La redacción del proyecto de ley es confusa, pues
la lectura integral del articulado y la falta de garantías adicionales en
protección de los derechos fundamentales involucrados, generan dudas sobre sus
alcances, especialmente cuando se elimina el principio de consentimiento
informado en materia de protección de datos cuando la información sea para
fines electorales, de identificación o de verificación de identidad;
l) Las
normas transitorias también presentan omisiones y aspectos de
constitucionalidad que se recomiendan revisar, según lo indicado en este
pronunciamiento.