LA ASAMBLEA LEGISLATIVA

DE LA REPòBLICA DE COSTA RICA

DECRETA:

PROTECCIîN DE LA PERSONA FRENTE AL

TRATAMIENTO DE SUS DATOS PERSONALES

CAPêTULO I

DISPOSICIONES GENERALES

SECCIîN òNICA

ARTêCULO 1.- Objetivo y fin

Esta ley es de orden pœblico y tiene como objetivo garantizar a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el respeto a sus derechos fundamentales, concretamente, su derecho a la autodeterminaci—n informativa en relaci—n con su vida o actividad privada y dem‡s derechos de la personalidad, as’ como la defensa de su libertad e igualdad con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona o bienes.

ARTêCULO 2.- çmbito de aplicaci—n

Esta ley ser‡ de aplicaci—n a los datos personales que figuren en bases de datos automatizadas o manuales, de organismos pœblicos o privados, y a toda modalidad de uso posterior de estos datos.

El rŽgimen de protecci—n de los datos de car‡cter personal que se establece en esta ley no ser‡ de aplicaci—n a las bases de datos mantenidas por personas f’sicas o jur’dicas con fines exclusivamente internos, personales o domŽsticos, siempre y cuando estas no sean vendidas o de cualquier otra manera comercializadas.

ARTêCULO 3.- Definiciones

Para los efectos de la presente ley se define lo siguiente:

a) Base de datos: cualquier archivo, fichero, registro u otro conjunto estructurado de datos personales, que sean objeto de tratamiento o procesamiento, automatizado o manuales, cualquiera que sea la modalidad de su elaboraci—n, organizaci—n o acceso.

b) Datos personales: cualquier dato relativo a una persona f’sica identificada o identificable.

c) Datos personales de acceso irrestricto: los contenidos en bases de datos pœblicas de acceso general, segœn dispongan leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

d) Datos personales de acceso restringido: los que, aun formando parte de registros de acceso al pœblico, no son de acceso irrestricto por ser de interŽs solo para su titular o para la Administraci—n Pœblica.

e) Datos sensibles: informaci—n relativa al fuero ’ntimo de la persona, como por ejemplo los que revelen origen racial, opiniones pol’ticas, convicciones religiosas o espirituales, condici—n socioecon—mica, informaci—n biomŽdica o genŽtica, vida y orientaci—n sexual, entre otros.

f) Deber de confidencialidad: obligaci—n de los responsables de bases de datos, personal a su cargo y del personal de la Agencia de Protecci—n de Datos de los Habitantes (Prodhab), de guardar la confidencialidad con ocasi—n del ejercicio de las facultades dadas por esta ley, principalmente cuando se acceda a informaci—n sobre datos personales y sensibles. Esta obligaci—n perdurar‡ aun despuŽs de finalizada la relaci—n con la base de datos.

g) Interesado: persona f’sica, titular de los datos que sean objeto del tratamiento automatizado o manual.

h) Responsable de la base de datos: persona f’sica o jur’dica que administre, gerencie o se encargue de la base de datos, ya sea esta una entidad pœblica o privada, competente, con arreglo a la ley, para decidir cu‡l es la finalidad de la base de datos, cu‡les categor’as de datos de car‡cter personal deber‡n registrase y quŽ tipo de tratamiento se les aplicar‡n.

i) Tratamiento de datos personales: cualquier operaci—n o conjunto de operaciones, efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos personales, tales como la recolecci—n, el registro, la organizaci—n, la conservaci—n, la modificaci—n, la extracci—n, la consulta, la utilizaci—n, la comunicaci—n por transmisi—n, difusi—n o cualquier otra forma que facilite el acceso a estos, el cotejo o la interconexi—n, as’ como su bloqueo, supresi—n o destrucci—n, entre otros.

CAPêTULO II

PRINCIPIOS Y DERECHOS BçSICOS PARA LA

PROTECCIîN DE DATOS PERSONALES

SECCIîN I

PRINCIPIOS Y DERECHOS BçSICOS

ARTêCULO 4.- Autodeterminaci—n informativa

Toda persona tiene derecho a la autodeterminaci—n informativa, la cual abarca el conjunto de principios y garant’as relativas al leg’timo tratamiento de sus datos personales reconocidos en esta secci—n.

Se reconoce tambiŽn la autodeterminaci—n informativa como un derecho fundamental, con el objeto de controlar el flujo de informaciones que conciernen a cada persona, derivado del derecho a la privacidad, evitando que se propicien acciones discriminatorias.

ARTêCULO 5.- Principio de consentimiento informado

1.- Obligaci—n de informar

Cuando se soliciten datos de car‡cter personal ser‡ necesario informar de previo a las personas titulares o a sus representantes, de modo expreso, preciso e inequ’voco:

a)   De la existencia de una base de datos de car‡cter personal.

b)   De los fines que se persiguen con la recolecci—n de estos datos.

c)   De los destinatarios de la informaci—n, as’ como de quiŽnes podr‡n consultarla.

d)   Del car‡cter obligatorio o facultativo de sus respuestas a las preguntas que se le formulen durante la recolecci—n de los datos.

e)   Del tratamiento que se dar‡ a los datos solicitados.

f)   De las consecuencias de la negativa a suministrar los datos.

g)   De la posibilidad de ejercer los derechos que le asisten.

h)   De la identidad y direcci—n del responsable de la base de datos.

Cuando se utilicen cuestionarios u otros medios para la recolecci—n de datos personales figurar‡n estas advertencias en forma claramente legible.

2.-           Otorgamiento del consentimiento

Quien recopile datos personales deber‡ obtener el consentimiento expreso de la persona titular de los datos o de su representante. Este consentimiento deber‡ constar por escrito, ya sea en un documento f’sico o electr—nico, el cual podr‡ ser revocado de la misma forma, sin efecto retroactivo.

No ser‡ necesario el consentimiento expreso cuando:

a) Exista orden fundamentada, dictada por autoridad judicial competente o acuerdo adoptado por una comisi—n especial de investigaci—n de la Asamblea Legislativa en el ejercicio de su cargo.

b) Se trate de datos personales de acceso irrestricto, obtenidos de fuentes de acceso pœblico general.

c) Los datos deban ser entregados por disposici—n constitucional o legal.

Se proh’be el acopio de datos sin el consentimiento informado de la persona, o bien, adquiridos por medios fraudulentos, desleales o il’citos.

ARTêCULO 6.- Principio de calidad de la informaci—n

Solo podr‡n ser recolectados, almacenados o empleados datos de car‡cter personal para su tratamiento automatizado o manual, cuando tales datos sean actuales, veraces, exactos y adecuados al fin para el que fueron recolectados.

1.-           Actualidad

Los datos de car‡cter personal deber‡n ser actuales. El responsable de la base de datos eliminar‡ los datos que hayan dejado de ser pertinentes o necesarios, en raz—n de la finalidad para la cual fueron recibidos y registrados. En ningœn caso, ser‡n conservados los datos personales que puedan afectar, de cualquier modo, a su titular, una vez transcurridos diez a–os desde la fecha de ocurrencia de los hechos registrados, salvo disposici—n normativa especial que disponga otra cosa. En caso de que sea necesaria su conservaci—n, m‡s all‡ del plazo estipulado, deber‡n ser desasociados de su titular.

2. Veracidad

Los datos de car‡cter personal deber‡n ser veraces.

La persona responsable de la base de datos est‡ obligado a modificar o suprimir los datos que falten a la verdad. De la misma manera, velar‡ por que los datos sean tratados de manera leal y l’cita.

3.- Exactitud

Los datos de car‡cter personal deber‡n ser exactos. La persona responsable de la base de datos tomar‡ las medidas necesarias para que los datos inexactos o incompletos, con respecto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados.

Si los datos de car‡cter personal registrados resultan ser inexactos en todo o en parte, o incompletos, ser‡n eliminados o sustituidos de oficio por la persona responsable de la base de datos, por los correspondientes datos rectificados, actualizados o complementados. Igualmente, ser‡n eliminados si no media el consentimiento informado o est‡ prohibida su recolecci—n.

4.-        Adecuaci—n al fin

Los datos de car‡cter personal ser‡n recopilados con fines determinados, expl’citos y leg’timos, y no ser‡n tratados posteriormente de manera incompatible con dichos fines.

No se considerar‡ incompatible el tratamiento posterior de datos con fines hist—ricos, estad’sticos o cient’ficos, siempre y cuando se establezcan las garant’as oportunas para salvaguardar los derechos contemplados en esta ley.

Las bases de datos no pueden tener finalidades contrarias a las leyes ni a la moral pœblica.

ARTêCULO 7.- Derechos que le asisten a la persona

Se garantiza el derecho de toda persona al acceso de sus datos personales, rectificaci—n o supresi—n de estos y a consentir la cesi—n de sus datos.

La persona responsable de la base de datos debe cumplir lo solicitado por la persona, de manera gratuita, y resolver en el sentido que corresponda en el plazo de cinco d’as h‡biles, contado a partir de la recepci—n de la solicitud.

1.- Acceso a la informaci—n

La informaci—n deber‡ ser almacenada en forma tal que se garantice plenamente el derecho de acceso por la persona interesada.

El derecho de acceso a la informaci—n personal garantiza las siguientes facultades del interesado:

a) Obtener en intervalos razonables, segœn se disponga por reglamento, sin demora y a t’tulo gratuito, la confirmaci—n o no de la existencia de datos suyos en archivos o bases de datos. En caso de que s’ existan datos suyos, estos deber‡n ser comunicados a la persona interesada en forma precisa y entendible.

b) Recibir la informaci—n relativa a su persona, as’ como la finalidad con que fueron recopilados y el uso que se le ha dado a sus datos personales. El informe deber‡ ser completo, claro y exento de codificaciones. Deber‡ estar acompa–ado de una explicaci—n de los tŽrminos tŽcnicos que se utilicen.

c) Ser informado por escrito de manera amplia, por medios f’sicos o electr—nicos, sobre la totalidad del registro perteneciente al titular, aun cuando el requerimiento solo comprenda un aspecto de los datos personales. Este informe en ningœn caso podr‡ revelar datos pertenecientes a terceros, aun cuando se vinculen con la persona interesada, excepto cuando con ellos se pretenda configurar un delito penal.

d) Tener conocimiento, en su caso, del sistema, programa, mŽtodo o proceso utilizado en los tratamientos de sus datos personales.

El ejercicio del derecho al cual se refiere este art’culo, en el caso de datos de personas fallecidas, le corresponder‡ a sus sucesores o herederos.

2.- Derecho de rectificaci—n

Se garantiza el derecho de obtener, llegado el caso, la rectificaci—n de los datos personales y su actualizaci—n o la eliminaci—n de estos cuando se hayan tratado con infracci—n a las disposiciones de la presente ley, en particular a causa del car‡cter incompleto o inexacto de los datos, o hayan sido recopilados sin autorizaci—n del titular.

Todo titular puede solicitar y obtener de la persona responsable de la base de datos, la rectificaci—n, la actualizaci—n, la cancelaci—n o la eliminaci—n y el cumplimiento de la garant’a de confidencialidad respecto de sus datos personales.

El ejercicio del derecho al cual se refiere este art’culo, en el caso de datos de personas fallecidas, le corresponder‡ a sus sucesores o herederos.

ARTêCULO 8.- Excepciones a la autodeterminaci—n informativa del ciudadano

Los principios, los derechos y las garant’as aqu’ establecidos podr‡n ser limitados de manera justa, razonable y acorde con el principio de transparencia administrativa, cuando se persigan los siguientes fines:

a) La seguridad del Estado.

b) La seguridad y el ejercicio de la autoridad pœblica.

c) La prevenci—n, persecuci—n, investigaci—n, detenci—n y represi—n de las infracciones penales, o de las infracciones de la deontolog’a en las profesiones.

d) El funcionamiento de bases de datos que se utilicen con fines estad’sticos, hist—ricos o de investigaci—n cient’fica, cuando no exista riesgo de que las personas sean identificadas.

e) La adecuada prestaci—n de servicios pœblicos.

f) La eficaz actividad ordinaria de la Administraci—n, por parte de las autoridades oficiales.

SECCIîN II

CATEGORêAS ESPECIALES DEL

TRATAMIENTO DE LOS DATOS

ARTêCULO 9.- Categor’as particulares de los datos

Adem‡s de las reglas generales establecidas en esta ley, para el tratamiento de los datos personales, las categor’as particulares de los datos que se mencionar‡n, se regir‡n por las siguientes disposiciones:

1.-           Datos sensibles

Ninguna persona estar‡ obligada a suministrar datos sensibles. Se proh’be el tratamiento de datos de car‡cter personal que revelen el origen racial o Žtnico, opiniones pol’ticas, convicciones religiosas, espirituales o filos—ficas, as’ como los relativos a la salud, la vida y la orientaci—n sexual, entre otros.

Esta prohibici—n no se aplicar‡ cuando:

a) El tratamiento de los datos sea necesario para salvaguardar el interŽs vital del interesado o de otra persona, en el supuesto de que la persona interesada estŽ f’sica o jur’dicamente incapacitada para dar su consentimiento.

b) El tratamiento de los datos sea efectuado en el curso de sus actividades leg’timas y con las debidas garant’as por una fundaci—n, una asociaci—n o cualquier otro organismo, cuya finalidad sea pol’tica, filos—fica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la fundaci—n, la asociaci—n o el organismo, por raz—n de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento de las personas interesadas.

c) El tratamiento se refiera a datos que la persona interesada haya hecho pœblicos voluntariamente o sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial.

d) El tratamiento de los datos resulte necesario para la prevenci—n o para el diagn—stico mŽdico, la prestaci—n de asistencia sanitaria o tratamientos mŽdicos, o la gesti—n de servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por un funcionario o funcionaria del ‡rea de la salud, sujeto al secreto profesional o propio de su funci—n, o por otra persona sujeta, asimismo, a una obligaci—n equivalente de secreto.

2.- Datos personales de acceso restringido

Datos personales de acceso restringido son los que, aun formando parte de registros de acceso al pœblico, no son de acceso irrestricto por ser de interŽs solo para su titular o para la Administraci—n Pœblica. Su tratamiento ser‡ permitido œnicamente para fines pœblicos o si se cuenta con el consentimiento expreso del titular.

3.- Datos personales de acceso irrestricto

Datos personales de acceso irrestricto son los contenidos en bases de datos pœblicas de acceso general, segœn lo dispongan las leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

No se considerar‡n contemplados en esta categor’a: la direcci—n exacta de la residencia, excepto si su uso es producto de un mandato, citaci—n o notificaci—n administrativa o judicial, o bien, de una operaci—n bancaria o financiera, la fotograf’a, los nœmeros de telŽfono privados y otros de igual naturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular.

4.- Datos referentes al comportamiento crediticio

Los datos referentes al comportamiento crediticio se regir‡n por las normas que regulan el Sistema Financiero Nacional, de modo que permitan garantizar un grado de riesgo aceptable por parte de las entidades financieras, sin impedir el pleno ejercicio del derecho a la autodeterminaci—n informativa ni exceder los l’mites de esta ley.

SECCIîN III

SEGURIDAD Y CONFIDENCIALIDAD

DEL TRATAMIENTO DE LOS DATOS

ARTêCULO 10.- Seguridad de los datos

El responsable de la base de datos deber‡ adoptar las medidas de ’ndole tŽcnica y de organizaci—n necesarias para garantizar la seguridad de los datos de car‡cter personal y evitar su alteraci—n, destrucci—n accidental o il’cita, pŽrdida, tratamiento o acceso no autorizado, as’ como cualquier otra acci—n contraria a esta ley.

Dichas medidas deber‡n incluir, al menos, los mecanismos de seguridad f’sica y l—gica m‡s adecuados de acuerdo con el desarrollo tecnol—gico actual, para garantizar la protecci—n de la informaci—n almacenada.

No se registrar‡n datos personales en bases de datos que no reœnan las condiciones que garanticen plenamente su seguridad e integridad, as’ como la de los centros de tratamiento, equipos, sistemas y programas.

Por v’a de reglamento se establecer‡n los requisitos y las condiciones que deban reunir las bases de datos automatizadas y manuales, y de las personas que intervengan en el acopio, almacenamiento y uso de los datos.

ARTêCULO 11.- Deber de confidencialidad

La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales est‡n obligadas al secreto profesional o funcional, aun despuŽs de finalizada su relaci—n con la base de datos. La persona obligada podr‡ ser relevado del deber de secreto por decisi—n judicial en lo estrictamente necesario y dentro de la causa que conoce.

ARTêCULO 12.- Protocolos de actuaci—n

Las personas f’sicas y jur’dicas, pœblicas y privadas, que tengan entre sus funciones la recolecci—n, el almacenamiento y el uso de datos personales, podr‡n emitir un protocolo de actuaci—n en el cual establecer‡n los pasos que deber‡n seguir en la recolecci—n, el almacenamiento y el manejo de los datos personales, de conformidad con las reglas previstas en esta ley.

Para que sean v‡lidos, los protocolos de actuaci—n deber‡n ser inscritos, as’ como sus posteriores modificaciones, ante la Prodhab. La Prodhab podr‡ verificar, en cualquier momento, que la base de datos estŽ cumpliendo cabalmente con los tŽrminos de su protocolo.

La manipulaci—n de datos con base en un protocolo de actuaci—n inscrito ante la Prodhab har‡ presumir, Òiuris tantumÓ, el cumplimiento de las disposiciones contenidas en esta ley, para los efectos de autorizar la cesi—n de los datos contenidos en una base.

ARTêCULO 13.- Garant’as efectivas

Toda persona interesada tiene derecho a un procedimiento administrativo sencillo y r‡pido ante la Prodhab, con el fin de ser protegido contra actos que violen sus derechos fundamentales reconocidos por esta ley. Lo anterior sin perjuicio de las garant’as jurisdiccionales generales o espec’ficas que la ley establezca para este mismo fin.

CAPêTULO III

TRANSFERENCIA DE DATOS PERSONALES

SECCIîN òNICA

ARTêCULO 14.- Transferencia de datos personales, regla general

Los responsables de las bases de datos, pœblicas o privadas, solo podr‡n transferir datos contenidos en ellas cuando el titular del derecho haya autorizado expresa y v‡lidamente tal transferencia y se haga sin vulnerar los principios y derechos reconocidos en esta ley.

CAPêTULO IV

AGENCIA DE PROTECCIîN DE DATO

DE LOS HABITANTES

(Prodhab)

SECCIîN I

DISPOSICIONES GENERALES

ARTêCULO 15.- Agencia de Protecci—n de Datos de los habitantes (Prodhab)

CrŽase un —rgano de desconcentraci—n m‡xima adscrito al Ministerio de Justicia y Paz denominado Agencia de Protecci—n de Datos de los habitantes (Prodhab). Tendr‡ personalidad jur’dica instrumental propia en el desempe–o de las funciones que le asigna esta ley, adem‡s de la administraci—n de sus recursos y presupuesto, as’ como para suscribir los contratos y convenios que requiera para el cumplimiento de sus funciones. La Agencia gozar‡ de independencia de criterio.

ARTêCULO 16.- Atribuciones

Son atribuciones de la Prodhab, adem‡s de las otras que le impongan esta u otras normas, las siguientes:

a) Velar por el cumplimiento de la normativa en materia de protecci—n de datos, tanto por parte de personas f’sicas o jur’dicas privadas, como por entes y —rganos pœblicos.

b) Llevar un registro de las bases de datos reguladas por esta ley.

c) Requerir, de quienes administren bases de datos, las informaciones necesarias para el ejercicio de su cargo, entre ellas, los protocolos utilizados.

d) Acceder a las bases de datos reguladas por esta ley, a efectos de hacer cumplir efectivamente las normas sobre protecci—n de datos personales. Esta atribuci—n se aplicar‡ para los casos concretos presentados ante la Agencia y, excepcionalmente, cuando se tenga evidencia de un mal manejo generalizado de la base de datos o sistema de informaci—n.

e) Resolver sobre los reclamos por infracci—n a las normas sobre protecci—n de los datos personales.

f) Ordenar, de oficio o a petici—n de parte, la supresi—n, rectificaci—n, adici—n o restricci—n en la circulaci—n de las informaciones contenidas en los archivos y las bases de datos, cuando estas contravengan las normas sobre protecci—n de los datos personales.

g) Imponer las sanciones establecidas, en el art’culo 28 de esta ley, a las personas f’sicas o jur’dicas, pœblicas o privadas, que infrinjan las normas sobre protecci—n de los datos personales, y dar traslado al Ministerio Pœblico de las que puedan configurar delito.

h) Promover y contribuir en la redacci—n de normativa tendiente a implementar las normas sobre protecci—n de los datos personales.

i) Dictar las directrices necesarias, las cuales deber‡n ser publicadas en el diario oficial La Gaceta, a efectos de que las instituciones pœblicas implementen los procedimientos adecuados respecto del manejo de los datos personales, respetando los diversos grados de autonom’a administrativa e independencia funcional.

j) Fomentar entre los habitantes el conocimiento de los derechos concernientes al acopio, el almacenamiento, la transferencia y el uso de sus datos personales.

En el ejercicio de sus atribuciones, la Prodhab deber‡ emplear procedimientos automatizados, de acuerdo con las mejores herramientas tecnol—gicas a su alcance.

ARTêCULO 17.- Direcci—n de la Agencia

La Direcci—n de la Prodhab estar‡ a cargo de un director o una directora nacional, quien deber‡ contar, al menos, con el grado acadŽmico de licenciatura en una materia af’n al objeto de su funci—n y ser de reconocida solvencia profesional y moral.

No podr‡ ser nombrado director o directora nacional quien sea propietario, accionista, miembro de la junta directiva, gerente, asesor, representante legal o empleado de una empresa dedicada a la recolecci—n o el almacenamiento de datos personales. Dicha prohibici—n persistir‡ hasta por dos a–os despuŽs de haber cesado sus funciones o v’nculo empresarial. Estar‡ igualmente impedido quien sea c—nyuge o pariente hasta el tercer grado de consanguinidad o afinidad de una persona que estŽ en alguno de los supuestos mencionados anteriormente.

ARTêCULO 18.- Personal de la Agencia

La Prodhab contar‡ con el personal tŽcnico y administrativo necesario para el buen ejercicio de sus funciones, designado mediante concurso por idoneidad, segœn el Estatuto de Servicio Civil o bien como se disponga reglamentariamente. El personal est‡ obligado a guardar secreto profesional y deber de confidencialidad de los datos de car‡cter personal que conozca en el ejercicio de sus funciones.

ARTêCULO 19.- Prohibiciones

Todos los empleados y las empleadas de la Prodhab tienen las siguientes prohibiciones:

a) Prestar servicios a las personas o empresas que se dediquen al acopio, el almacenamiento o el manejo de datos personales. Dicha prohibici—n persistir‡ hasta dos a–os despuŽs de haber cesado sus funciones.

b) Interesarse, personal e indebidamente, en asuntos de conocimiento de la Agencia.

c) Revelar o de cualquier forma propalar los datos personales a que ha tenido acceso con ocasi—n de su cargo. Esta prohibici—n persistir‡ indefinidamente aun despuŽs de haber cesado en su cargo.

d) En el caso de los funcionarios y las funcionarias nombrados en plazas de profesional, ejercer externamente su profesi—n. Lo anterior tiene como excepci—n el ejercicio de la actividad docente en centros de educaci—n superior o la pr‡ctica liberal a favor de parientes por consanguinidad o afinidad hasta el tercer grado, siempre que no se estŽ ante el supuesto del inciso a).

La inobservancia de cualquiera de las anteriores prohibiciones ser‡ considerada falta grav’sima, para efectos de aplicaci—n del rŽgimen disciplinario, sin perjuicio de las otras formas de responsabilidad que tales conductas pudieran acarrear.

ARTêCULO 20.- Presupuesto

El presupuesto de la Prodhab estar‡ constituido por lo siguiente:

a) Los c‡nones, las tasas y los derechos obtenidos en el ejercicio de sus funciones.

b) Las transferencias que el Estado realice a favor de la Agencia.

c) Las donaciones y subvenciones provenientes de otros estados, instituciones pœblicas nacionales u organismos internacionales, siempre que no comprometan la independencia, transparencia y autonom’a de la Agencia.

d) Lo generado por sus recursos financieros.

Los montos provenientes del cobro de las multas se–aladas en esta ley ser‡n destinados a la actualizaci—n de equipos y programas de la Prodhab.

La Agencia estar‡ sujeta al cumplimiento de los principios y al rŽgimen de responsabilidad establecidos en los t’tulos II y X de la Ley N.¡ 8131, Administraci—n Financiera de la Repœblica y Presupuestos Pœblicos, de 18 de setiembre de 2001. Adem‡s, deber‡ proporcionar la informaci—n requerida por el Ministerio de Hacienda para sus estudios. En lo dem‡s, se exceptœa a la Agencia de los alcances y la aplicaci—n de esa ley. En la fiscalizaci—n, la Agencia estar‡ sujeta, œnicamente, a las disposiciones de la Contralor’a General de la Repœblica.

SECCIîN II

ESTRUCTURA INTERNA

ARTêCULO 21.- Registro de archivos y bases de datos

Toda base de datos, pœblica o privada, administrada con fines de distribuci—n, difusi—n o comercializaci—n, debe inscribirse en el registro que al efecto habilite la Prodhab. La inscripci—n no implica el trasbase o la transferencia de los datos.

Deber‡ inscribir cualesquiera otras informaciones que las normas de rango legal le impongan y los protocolos de actuaci—n a que hacen referencia el art’culo 12 y el inciso c) del art’culo 16 de esta ley.

ARTêCULO 22.- Divulgaci—n

La Prodhab elaborar‡ y ejecutar‡ una estrategia de comunicaci—n dirigida a permitir que los administrados conozcan los derechos derivados del manejo de sus datos personales, as’ como los mecanismos que el ordenamiento prevŽ para la defensa de tales prerrogativas. Deber‡ coordinar con los gobiernos locales y con la Defensor’a de los Habitantes de la Repœblica la realizaci—n peri—dica de las actividades de divulgaci—n entre los habitantes de los cantones.

Asimismo, promover‡ entre las personas y empresas que recolecten, almacenen o manipulen datos personales, la adopci—n de pr‡cticas y protocolos de actuaci—n acordes con la protecci—n de dicha informaci—n.

CAPêTULO V

PROCEDIMIENTOS

SECCIîN I

DISPOSICIONES COMUNES

ARTêCULO 23.-Aplicaci—n supletoria

En lo no previsto expresamente por esta ley y en tanto sean compatibles con su finalidad, ser‡n aplicables supletoriamente las disposiciones del libro II de la Ley General de la Administraci—n Pœblica.

SECCIîN II

INTERVENCIîN EN ARCHIVOS Y BASES DE DATOS

ARTêCULO 24.- Denuncia

Cualquier persona que ostente un derecho subjetivo o un interŽs leg’timo puede denunciar, ante la Prodhab, que una base de datos pœblica o privada actœa en contravenci—n de las reglas o los principios b‡sicos para la protecci—n de los datos y la autodeterminaci—n informativa establecidas en esta ley.

ARTêCULO 25.- Tr‡mite de las denuncias

Recibida la denuncia, se conferir‡ al responsable de la base de datos un plazo de tres d’as h‡biles para que se pronuncie acerca de la veracidad de tales cargos. La persona denunciada deber‡ remitir los medios de prueba que respalden sus afirmaciones junto con un informe, que se considerar‡ dado bajo juramento. La omisi—n de rendir el informe en el plazo estipulado har‡ que se tengan por ciertos los hechos acusados.

En cualquier momento, la Prodhab podr‡ ordenar a la persona denunciada la presentaci—n de la informaci—n necesaria. Asimismo, podr‡ efectuar inspecciones in situ en sus archivos o bases de datos. Para salvaguardar los derechos de la persona interesada, puede dictar, mediante acto fundado, las medidas cautelares que aseguren el efectivo resultado del procedimiento.

A m‡s tardar un mes despuŽs de la presentaci—n de la denuncia, la Prodhab deber‡ dictar el acto final. Contra su decisi—n cabr‡ recurso de reconsideraci—n dentro del tercer d’a, el cual deber‡ ser resuelto en el plazo de ocho d’as luego de recibido.

ARTêCULO 26.- Efectos de la resoluci—n estimatoria

Si se determina que la informaci—n del interesado es falsa, incompleta, inexacta, o bien, que de acuerdo con las normas sobre protecci—n de datos personales esta fue indebidamente recolectada, almacenada o difundida, deber‡ ordenarse su inmediata supresi—n, rectificaci—n, adici—n o aclaraci—n, o bien, impedimento respecto de su transferencia o difusi—n. Si la persona denunciada no cumple ’ntegramente lo ordenado, estar‡ sujeta a las sanciones previstas en esta y otras leyes.

ARTêCULO 27.- Procedimiento sancionatorio

De oficio o a instancia de parte, la Prodhab podr‡ iniciar un procedimiento tendiente a demostrar si una base de datos regulada por esta ley est‡ siendo empleada de conformidad con sus principios; para ello, deber‡n seguirse los tr‡mites previstos en la Ley General de la Administraci—n Pœblica para el procedimiento ordinario. Contra el acto final cabr‡ recurso de reconsideraci—n dentro del tercer d’a, el cual deber‡ ser resuelto en el plazo de ocho d’as luego de recibido.

ARTêCULO 28.- Sanciones

Si se ha incurrido en alguna de las faltas tipificadas en esta ley, se deber‡ imponer alguna de las siguientes sanciones, sin perjuicio de las sanciones penales correspondientes:

a) Para las faltas leves, una multa hasta de cinco salarios base del cargo de auxiliar judicial I, segœn la Ley de Presupuesto de la Repœblica.

b) Para las faltas graves, una multa de cinco a veinte salarios base del cargo de auxiliar judicial I, segœn la Ley de Presupuesto de la Repœblica.

c) Para las faltas grav’simas, una multa de quince a treinta salarios base del cargo de auxiliar judicial I, segœn la Ley de Presupuesto de la Repœblica, y la suspensi—n para el funcionamiento del fichero de uno a seis meses.

ARTêCULO 29.- Faltas leves

Ser‡n consideradas faltas leves, para los efectos de esta ley:

a) Recolectar datos personales para su uso en base de datos sin que se le otorgue suficiente y amplia informaci—n a la persona interesada, de conformidad con las especificaciones del art’culo 5, apartado I.

b) Recolectar, almacenar y transmitir datos personales de terceros por medio de mecanismos inseguros o que de alguna forma no garanticen la seguridad e inalterabilidad de los datos.

ARTêCULO 30.- Faltas graves

Ser‡n consideradas faltas graves, para los efectos de esta ley:

a) Recolectar, almacenar, transmitir o de cualquier otra forma emplear datos personales sin el consentimiento informado y expreso del titular de los datos, con arreglo a las disposiciones de esta ley.

b) Transferir datos personales a otras personas o empresas en contravenci—n de las reglas establecidas en el cap’tulo III de esta ley.

c) Recolectar, almacenar, transmitir o de cualquier otro modo emplear datos personales para una finalidad distinta de la autorizada por el titular de la informaci—n.

d) Negarse injustificadamente a dar acceso a un interesado sobre los datos que consten en archivos y bases de datos, a fin de verificar su calidad, recolecci—n, almacenamiento y uso conforme a esta ley.

e) Negarse injustificadamente a eliminar o rectificar los datos de una persona que as’ lo haya solicitado por medio claro e inequ’voco.

ARTêCULO 31.- Faltas grav’simas

Ser‡n consideradas faltas grav’simas, para los efectos de esta ley:

a) Recolectar, almacenar, transmitir o de cualquier otra forma emplear, por parte de personas f’sicas o jur’dicas privadas, datos sensibles, segœn la definici—n prevista en el art’culo 3 de esta ley.

b) Obtener, de los titulares o de terceros, datos personales de una persona por medio de enga–o, violencia o amenaza.

c) Revelar informaci—n registrada en una base de datos personales cuyo secreto estŽ obligado a guardar conforme la ley.

d) Proporcionar a un tercero informaci—n falsa o distinta contenida en un archivo de datos, con conocimiento de ello.

e) Realizar tratamiento de datos personales sin encontrarse debidamente inscrito ante la Prodhab, en el caso de los responsables de bases de datos cubiertos por el art’culo 21 de esta ley.

f) Transferir, a las bases de datos de terceros pa’ses, informaci—n de car‡cter personal de los costarricenses o de los extranjeros radicados en el pa’s, sin el consentimiento de sus titulares.

SECCIîN III

PROCEDIMIENTOS INTERNOS

ARTêCULO 32.- RŽgimen sancionatorio para bases de datos pœblicas

Cuando la persona responsable de una base de datos pœblica cometa alguna de las faltas anteriores, la Prodhab dictar‡ una resoluci—n estableciendo las medidas que proceda adoptar para que cesen o se corrijan los efectos de la falta. Esta resoluci—n se notificar‡ a la persona responsable de la base de datos, al —rgano del que dependa jer‡rquicamente y a los afectados, si los hay. La resoluci—n podr‡ dictarse de oficio o a petici—n de parte. Lo anterior sin perjuicio de la responsabilidad penal en que haya incurrido.

CAPêTULO VI

CçNONES

ARTêCULO 33.- Canon por regulaci—n y administraci—n de bases de datos

Las personas responsables de bases de datos que deban inscribirse ante la Prodhab, de conformidad con el art’culo 21 de esta ley, estar‡n sujetos a un canon de regulaci—n y administraci—n de bases de datos que deber‡ ser cancelado anualmente, con un monto de doscientos d—lares ($200), moneda de curso legal de los Estados Unidos de AmŽrica. El procedimiento para realizar el cobro del presente canon ser‡ detallado en el reglamento que a los efectos deber‡ emitir la Prodhab.

ARTêCULO 34.- Canon por comercializaci—n de consulta

La persona responsable de la base de datos deber‡ cancelar a la Prodhab un canon por cada venta de los datos de ficheros definidos en el inciso b) del art’culo 3 de esta ley, de personas individualizables registradas leg’timamente y siempre que sea comercializado con fines de lucro, el cual oscilar‡ entre los veinticinco centavos de d—lar ($0,25) y un d—lar ($1), moneda de curso legal de los Estados Unidos de AmŽrica, monto que podr‡ ser fijado dentro de dicho rango v’a reglamento. En caso de contratos globales de bajo, medio y alto consumo de consultas, o modalidades contractuales de servicio en l’nea por nœmero de aplicaciones, ser‡ el reglamento de la ley el que fije el detalle del cobro del canon que no podr‡ ser superior al diez por ciento (10%) del precio contractual.

TRANSITORIOS

TRANSITORIO I.-

Las personas f’sicas o jur’dicas, pœblicas o privadas, que en la actualidad son propietarias o administradoras de las bases de datos objeto de esta ley, deber‡n adecuar sus procedimientos y reglas de actuaci—n, as’ como el contenido de sus bases de datos a lo establecido en la presente ley, en un plazo m‡ximo de un a–o a partir de la creaci—n de la Prodhab.

TRANSITORIO II.-

A partir de la fecha de entrada en vigencia de esta ley, se iniciar‡ el proceso de conformaci—n e integraci—n de la Prodhab; para ello, se dispondr‡ de un plazo m‡ximo de seis meses.

TRANSITORIO III.-

El Poder Ejecutivo emitir‡ la reglamentaci—n de esta ley en un plazo m‡ximo de seis meses despuŽs de la conformaci—n de la Prodhab, recogiendo las recomendaciones tŽcnicas que le proporcione la Agencia.

Rige a partir de su publicaci—n.

ASAMBLEA LEGISLATIVA. Aprobado a los veintisiete d’as del mes de junio de dos mil once.

COMUNêCASE AL PODER EJECUTIVO

Juan Carlos Mendoza Garc’a

PRESIDENTE

JosŽ Roberto Rodr’guez Quesada              Mart’n Alcides Monestel Contreras

  PRIMER SECRETARIO                    SEGUNDO SECRETARIO

Dado en la Presidencia de la Repœblica.—San JosŽ, a los siete d’as del mes de julio del a–o dos mil once.

Ejecœtese y publ’quese

LAURA CHINCHILLA MIRANDA.—El Ministro de Justicia y Paz, Hernando Par’s Rodr’guez—1 vez.—O. C. N¼ 10601.—Sol. N¼ 1092.—C-332510.—(L8968-IN2011066106).