Source: http://www.pgrweb.go.cr/scij/busqueda/normativa/pronunciamiento/pro_ficha.aspx?param1=prd&param6=1&ndictamen=20917&strtipm=t
Timestamp: 2019-08-20 21:13:43+00:00

Document:
PGR - SINALEVI >> Pronunciamientos >> Resultados >> Dictamen 003 del 08/01/2019
Dictamen : 003 del 08/01/2019
Consultante: Cortés Víquez Ana Karen
Cargo: Directora Nacional
Institución: Agencia de Protección de Datos de los Habitantes
C-003-2019
Con aprobación del señor Procurador General de la República, me refiero a su oficio APD-11-123-2018 del 7 de noviembre de 2018, mediante el cual solicita que nos refiramos a las siguientes interrogantes:
“1- El proceso regulado por la Ley 8968 Protección de la Persona frente al Tratamiento de sus Datos ¿se podría considerar un proceso especial sumario de acuerdo a las características dadas por la ley y el reglamento?”
“2- En esa línea de ideas, siendo que la misma ley le da potestades a la Administración para sancionar las faltas cometidas ¿es posible, mediante ese procedimiento especial sumario, aplicar las sanciones contempladas en la ley, cuando se haya cometido una falta?”
“3- La resolución que ponen (sic) fin a un procedimiento de protección de derechos, tiene únicamente recurso de reconsideración, o reconsideración y apelación?”
En cumplimiento de lo dispuesto en el numeral 4 de la Ley Orgánica de la Procuraduría General de la República, se acompaña la presente consulta del criterio emitido por el Asesor Jurídico de la Agencia de Protección de Datos de los Habitantes (en adelante PRODHAB o Agencia).
I. SOBRE LOS PROCEDIMIENTOS DE TUTELA CONSAGRADOS EN LA LEY DE PROTECCIÓN DE LA PERSONA FRENTE AL TRATAMIENTO DE SUS DATOS PERSONALES
Durante muchos años, fue la Sala Constitucional la que tuteló el derecho a la autodeterminación informativa consagrado en el numeral 24 de la Constitución. La jurisprudencia constitucional fue vasta en cuanto a los alcances y límites de este derecho, sin embargo, se echaba de menos la existencia de un marco legal regulatorio.
Ante dicha ausencia normativa, se planteó la necesidad de instrumentar una serie de mecanismos tendentes a garantizar a las personas su derecho fundamental a la libre autodeterminación informativa, entendido éste como el derecho que asiste a toda persona a decidir cuáles datos personales desea hacer de conocimiento de terceros y, sobre todo, evitar que mediante las modernas tecnologías de la información se construyan perfiles o patrones de su personalidad, sin su consentimiento, para ser usados o destinados a fines distintos de los permitidos o autorizados por la persona.
Fue así como al emitirse la Ley de Protección de la Persona frente al tratamiento de sus datos personales, N° 8968 del 7 de julio de 2011, se creó un marco regulatorio destinado a normar la recolección, procesamiento, archivo y usos de la información relativa a datos personales, tanto en el ámbito público como privado. Además, se creó la Agencia de Protección de Datos de los Habitantes (Prodhab), como órgano adscrito al Ministerio de Justicia y Paz, encargada de resolver, ordenar y sancionar lo relacionado con la circulación de las informaciones contenidas en los archivos y las bases de datos, cuando estas contravengan las normas sobre protección de los datos personales.
Precisamente sobre la importancia de esta legislación y el órgano que se estaba creando, la Sala Constitucional indicó en lo que interesa:
“…la normativa se ocupa de llenar un importante vacío normativo relacionado con el derecho a la autodeterminación informativa, que si bien la jurisprudencia de la Sala se ha ocupado de desarrollar su contenido, persiste la necesidad de desarrollar una institución administrativa que vele por un equilibrio en la actividad, y para que se constituya en una primera línea de defensa especializada de este derecho fundamental. Por ello es necesario señalar la máxima jurídica (más conocida en el derecho anglosajón) de que no hay derechos sin un remedio procesal (there is no right without a remedy). En un escenario en el que los recursos tecnológicos permiten un uso masivo de almacenamiento de datos de toda naturaleza, y con múltiples posibilidades de transferencia, es importante que toda aquella información personal que llegue formar parte de las bases de datos tenga normada las conductas lícitas e ilícitas de los operadores para que no lleguen a lesionar derechos fundamentales. Actualmente, tanto las Administraciones Públicas, como las personas físicas y empresas que recopilan datos personales, carecen de regulaciones legales que fiscalicen, controlen e intervengan los archivos que contienen estos datos, lo cual repercute en los métodos que sistematizan estos datos. Es claro, los derechos de los particulares están más expuestos sin normativa que cuando ésta la regula de forma más ordenada y compatible con el Derecho de la Constitución. Lo contrario, evidentemente, prolonga una asimetría entre los ciudadanos y los poderes públicos y privados que manejan dicha información, lo cual se ha venido solventando mediante la jurisprudencia de la Sala, la que desde hace más de una década reconoció la ausencia de legislación y de un organismo administrativo de control. De ahí que la legislación llena un importante vacío del ordenamiento jurídico al procurar un equilibrio entre las instituciones y la sociedad costarricense que permita una tutela eficaz de la libertad a la autodeterminación informativa y una mejor protección administrativa de frente a la acumulación de poderes que ha ocurrido a lo largo de los años en que no ha habido tales controles.” (Sentencia No. 5268-2011 de las 15 horas 13 minutos de 27 de abril de 2011).
Es claro, entonces, que la Prodhab se convirtió en el organismo administrativo competente para tutelar las infracciones a la ley, para lo cual se le otorgaron competencias fiscalizadoras y sancionatorias en protección del derecho de autodeterminación informativa.
Si se analiza el articulado de la Ley 8968, se observa que ésta establece un listado de derechos de las personas frente al tratamiento de sus datos personales, además categoriza los datos según su grado de acceso y establece una serie de obligaciones y protocolos de actuación para los administradores de bases de datos.
Por otro lado, la ley reconoce como atribuciones de la Prodhab las siguientes:
“a) Velar por el cumplimiento de la normativa en materia de protección de datos, tanto por parte de personas físicas o jurídicas privadas, como por entes y órganos públicos.
b) Llevar un registro de las bases de datos reguladas por esta ley.
c) Requerir, de quienes administren bases de datos, las informaciones necesarias para el ejercicio de su cargo, entre ellas, los protocolos utilizados.
d) Acceder a las bases de datos reguladas por esta ley, a efectos de hacer cumplir efectivamente las normas sobre protección de datos personales. Esta atribución se aplicará para los casos concretos presentados ante la Agencia y, excepcionalmente, cuando se tenga evidencia de un mal manejo generalizado de la base de datos o sistema de información.
e) Resolver sobre los reclamos por infracción a las normas sobre protección de los datos personales.
f) Ordenar, de oficio o a petición de parte, la supresión, rectificación, adición o restricción en la circulación de las informaciones contenidas en los archivos y las bases de datos, cuando estas contravengan las normas sobre protección de los datos personales.
g) Imponer las sanciones establecidas, en el artículo 28 de esta ley, a las personas físicas o jurídicas, públicas o privadas, que infrinjan las normas sobre protección de los datos personales, y dar traslado al Ministerio Público de las que puedan configurar delito.
h) Promover y contribuir en la redacción de normativa tendiente a implementar las normas sobre protección de los datos personales.
i) Dictar las directrices necesarias, las cuales deberán ser publicadas en el diario oficial La Gaceta, a efectos de que las instituciones públicas implementen los procedimientos adecuados respecto del manejo de los datos personales, respetando los diversos grados de autonomía administrativa e independencia funcional.
j) Fomentar entre los habitantes el conocimiento de los derechos concernientes al acopio, el almacenamiento, la transferencia y el uso de sus datos personales.” (artículo 16) (La negrita no forma parte del original)
Tal como se desprende de lo anterior, la ley reconoce de manera independiente la potestad de la Agencia de resolver los reclamos por infracción a las normas sobre protección de los datos personales, la posibilidad de ordenar la supresión, rectificación, adición o restricción de la información contenida en los archivos y las bases de datos y, la potestad de imponer las sanciones a las personas físicas o jurídicas, públicas o privadas, que infrinjan las normas sobre protección de los datos.
Lo anterior resulta de vital importancia para evacuar la consulta planteada, que se refiere a la posibilidad de aplicar el procedimiento especial sumario que establece la ley, para la imposición de las sanciones administrativas por parte de la Prodhab.
Al respecto, debemos señalar que la Ley 8968 establece dos tipos diferentes de procedimiento, según la materia que vaya a conocer, por lo que cada uno de ellos debe utilizarse para los supuestos previstos por el legislador (principio de legalidad).
En primer lugar, el artículo 13 de la Ley establece el derecho de toda persona interesada”a un procedimiento administrativo sencillo y rápido ante la Prodhab, con el fin de ser protegido contra actos que violen sus derechos fundamentales reconocidos por esta ley.”
Precisamente ese procedimiento rápido y sencillo, se encuentra regulado en los numerales 24 a 26 de la Ley que establecen lo siguiente:
“ARTÍCULO 24.- Denuncia
Cualquier persona que ostente un derecho subjetivo o un interés legítimo puede denunciar, ante la Prodhab, que una base de datos pública o privada actúa en contravención de las reglas o los principios básicos para la protección de los datos y la autodeterminación informativa establecidas en esta ley.
ARTÍCULO 25.- Trámite de las denuncias
Recibida la denuncia, se conferirá al responsable de la base de datos un plazo de tres días hábiles para que se pronuncie acerca de la veracidad de tales cargos. La persona denunciada deberá remitir los medios de prueba que respalden sus afirmaciones junto con un informe, que se considerará dado bajo juramento. La omisión de rendir el informe en el plazo estipulado hará que se tengan por ciertos los hechos acusados.
En cualquier momento, la Prodhab podrá ordenar a la persona denunciada la presentación de la información necesaria. Asimismo, podrá efectuar inspecciones in situ en sus archivos o bases de datos. Para salvaguardar los derechos de la persona interesada, puede dictar, mediante acto fundado, las medidas cautelares que aseguren el efectivo resultado del procedimiento.
A más tardar un mes después de la presentación de la denuncia, la Prodhab deberá dictar el acto final. Contra su decisión cabrá recurso de reconsideración dentro del tercer día, el cual deberá ser resuelto en el plazo de ocho días luego de recibido.
ARTÍCULO 26.- Efectos de la resolución estimatoria
Si se determina que la información del interesado es falsa, incompleta, inexacta, o bien, que de acuerdo con las normas sobre protección de datos personales esta fue indebidamente recolectada, almacenada o difundida, deberá ordenarse su inmediata supresión, rectificación, adición o aclaración, o bien, impedimento respecto de su transferencia o difusión. Si la persona denunciada no cumple íntegramente lo ordenado, estará sujeta a las sanciones previstas en esta y otras leyes.”
Nótese que los artículos anteriores establecen un proceso sumario de plazos cortos, para tramitar aquellos procedimientos iniciados a gestión de parte, por quien ostente un derecho subjetivo o un interés legítimo frente a la existencia de información almacenada en una base de datos, que sea considerada falsa, incompleta, inexacta o indebidamente recolectada, almacenada o difundida.
En otras palabras, la garantía establecida en los numerales 24, 25 y 26 citados, pretende tutelar propiamente el derecho fundamental a la autodeterminación informativa, a través de un procedimiento que el legislador estimó debía ser expedito y rápido para garantizar de manera efectiva dicha protección. Por ello, se establece la existencia de una denuncia, un informe dado bajo fe de juramento en un plazo de tan sólo tres días por el responsable de la base de datos y, una resolución que debe emitir la Prodhab en un plazo corto de un mes.
Se trata, en consecuencia, de un procedimiento que debe considerarse sumario por sus plazos cortos y la inexistencia de la audiencia oral propia del procedimiento ordinario que, además, se asemeja al amparo constitucional, a través del cual se tutelaba tradicionalmente este derecho fundamental y que se caracteriza por su sumariedad al no ser compatible con la existencia de pruebas lentas o complejas.
A través de este procedimiento, además, la Prodhab únicamente puede ordenar la supresión, rectificación, adición o aclaración de la información que conste en una base de datos, o bien, impedir su transferencia o difusión. En otras palabras, no es el fin de este procedimiento la imposición de sanciones, sino más bien la tutela del derecho fundamental ante informaciones falsas, incompletas, inexactas o indebidamente recolectadas, almacenadas o difundidas en una base de datos pública o privada.
Diferente es el caso del procedimiento establecido en el numeral 27 de la Ley, que establece:
“ARTÍCULO 27.- Procedimiento sancionatorio
De oficio o a instancia de parte, la Prodhab podrá iniciar un procedimiento tendiente a demostrar si una base de datos regulada por esta ley está siendo empleada de conformidad con sus principios; para ello, deberán seguirse los trámites previstos en la Ley General de la Administración Pública para el procedimiento ordinario. Contra el acto final cabrá recurso de reconsideración dentro del tercer día, el cual deberá ser resuelto en el plazo de ocho días luego de recibido.” (La negrita no es del original)
Nótese que el artículo citado reconoce la existencia de una potestad sancionatoria de la Prodhab, que puede ser ejercida no sólo a instancia de parte, sino también de manera oficiosa y que tiene como fin determinar la existencia de una irregularidad en la base de datos, según las obligaciones que establece la ley. En este supuesto y por tratarse de materia sancionatoria, el legislador estableció expresamente que el mecanismo de tutela a utilizar será el procedimiento ordinario regulado en la Ley General de la Administración Pública.
Este procedimiento ordinario será el que deba utilizarse para imponer las sanciones estipuladas en el numeral 28 de la ley, según se trate de faltas leves, graves o gravísimas (artículos 29 a 31). Al respecto, establece el numeral 28:
Si se ha incurrido en alguna de las faltas tipificadas en esta ley, se deberá imponer alguna de las siguientes sanciones, sin perjuicio de las sanciones penales correspondientes:
a) Para las faltas leves, una multa hasta de cinco salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República.
b) Para las faltas graves, una multa de cinco a veinte salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República.
c) Para las faltas gravísimas, una multa de quince a treinta salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República, y la suspensión para el funcionamiento del fichero de uno a seis meses.”
Por tanto, el procedimiento ordinario está reservado para conocer la materia sancionatoria en la ley, pues el acto final puede causar perjuicio grave al responsable de la base de datos, sea imponiéndole obligaciones, suprimiéndole o denegándole derechos subjetivos, o causándole una lesión grave y directa a sus derechos o intereses legítimos (artículo 308 de la Ley General de la Administración Pública).
Es a partir de lo indicado, que no podría la Prohab utilizar el procedimiento sumario destinado a la tutela del derecho de autodeterminación informativa, para imponer las sanciones que establece la ley ante la existencia de faltas leves, graves o gravísimas. En este último caso, el legislador la obligó a seguir el procedimiento ordinario, en garantía del debido proceso del afectado, procedimiento que puede iniciar no sólo por denuncia, sino también de manera oficiosa.
Así las cosas, si bien un procedimiento sumario de tutela del derecho podría servir de antesala a la Prohab para sospechar la posible existencia de una falta leve, grave o gravísima en la base de datos, la imposición de la multa respectiva únicamente puede llevarse a cabo previo procedimiento ordinario donde finalmente quede acreditada la falta respectiva. Bajo esos términos, debe ser interpretado el numeral 70 del Decreto Ejecutivo 37554 del 30 de octubre de 2012 (Reglamento a la Ley), que establece:
“Artículo 70. Fijación de sanciones. La Agencia, en caso de que así correspondiere como resultado del procedimiento administrativo realizado, procederá a imponer las sanciones respectivas según éstas hayan sido determinadas como leves, graves o gravísimas, conforme lo dispone la Ley, lo anterior tomando en cuenta el hecho generador de la infracción, en el mismo acto final. En tal supuesto, se deberá enumerar las infracciones en las que incurrió el responsable, el monto que debe cancelar, el plazo para hacerlo y el número de cuenta que para el efecto designará la Agencia, a su vez cuando corresponda, el plazo para la modificación, suspensión o eliminación de los datos personales.
Además, la Agencia podrá imponer apercibimientos escritos a aquellas acciones u omisiones que atenten contra los derechos consagrados en la Ley y este Reglamento.”
Por tanto, al tratarse dicha norma de una de rango reglamentario, debe ser interpretada de conformidad con la ley y, por tanto, la imposición de las sanciones debe realizarse previo procedimiento ordinario.
Consecuentemente, el legislador ha previsto un procedimiento sumario para la protección particular del derecho y, otro procedimiento ordinario, para la imposición de sanciones contra la base de datos que no reúna los requisitos legales.
En todo caso, debe recordarse que para ambos procedimientos, el artículo 23 de la Ley 8968 prevé que: ”En lo no previsto expresamente por esta ley y en tanto sean compatibles con su finalidad, serán aplicables supletoriamente las disposiciones del libro II de la Ley General de la Administración Pública.”
II. SOBRE LOS RECURSOS PROCEDENTES CONTRA LAS DECISIONES DE LA PRODHAB
La consultante también solicita que nos pronunciemos sobre cuáles son los recursos que proceden contra el acto final del procedimiento que dicte la Agencia de Protección de Datos de los Habitantes.
Al respecto, deben analizarse las normas ya comentadas, que regulan de manera independiente el procedimiento sumario y el procedimiento ordinario regulados en la Ley 8968.
En primer lugar, tratándose del proceso sumario de tutela del derecho fundamental a la autodeterminación informativa, el artículo 25 de la ley establece en lo que interesa:
A más tardar un mes después de la presentación de la denuncia, la Prodhab deberá dictar el acto final. Contra su decisión cabrá recurso de reconsideración dentro del tercer día, el cual deberá ser resuelto en el plazo de ocho días luego de recibido. (La negrita y el subrayado no forman parte del original)
Tal como se observa de lo anterior, el legislador previó únicamente la existencia del recurso de reconsideración contra la decisión que ponga fin al procedimiento sumario.
En la misma línea, tratándose del procedimiento ordinario para la imposición de sanciones, recordamos lo dispuesto en el artículo 27 de la Ley que señala:
Nótese que la intención del legislador es clara, en cuanto a que al emitirse la ley 8968 únicamente se pensó en la existencia de un recurso de reconsideración contra los actos finales dictados por la Prodhab, tanto en el procedimiento sumario como en el ordinario.
A pesar de ello, el Reglamento a la ley, sin aclarar a cuál procedimiento se refiere, establece:
“Artículo 71. Medios de impugnación. Contra el acto final del procedimiento procede dentro del tercer día hábil a partir de la respectiva notificación, la interposición ante la Agencia de los Recursos ordinarios de Reconsideración y Apelación, siendo potestativo usar ambos recursos o uno solo de ellos, pero será inadmisible el que se interponga pasado dicho plazo.” (La negrita no forma parte del original)
Nótese que la norma reglamentaria se extralimitó y reguló la existencia de un recurso de apelación que no fue autorizado por el legislador, que si bien podría pensarse es una garantía adicional de debido proceso, lo cierto es que también podría convertirse en una etapa dilatoria de un procedimiento que el legislador pensó que debía ser rápido y expedito, específicamente cuando estamos frente al procedimiento sumario de tutela del derecho fundamental.
Además, debe considerarse que el artículo 15 de la Ley 8968 reconoce a la Prodhab no sólo una desconcentración máxima del Ministerio de Justicia y Paz, sino que además le garantiza independencia de criterio. Así las cosas, el reconocimiento del recurso de apelación ante el Ministro desvirtuaría dicha independencia otorgada por el legislador.
Por tanto, el Reglamento debe interpretarse conforme a la ley de rango superior y únicamente debe aceptarse la existencia de un recurso de reconsideración, tanto para el procedimiento sumario como para el ordinario.
A partir de lo expuesto este órgano asesor debe llegar a las siguientes conclusiones:
a) Los numerales 13, 24, 25 y 26 de la Ley 8968 del 7 de julio de 2011, reconocen el derecho de toda persona con interés legítimo o derecho subjetivo a un procedimiento administrativo sumario, sencillo y rápido de tutela del derecho fundamental a la autodeterminación informativa, que se caracteriza por sus plazos cortos. A través de este procedimiento a gestión de parte, la Prodhab únicamente puede ordenar la supresión, rectificación, adición o aclaración de la información que conste en una base de datos, o bien, impedir su transferencia o difusión;
b) Por su parte, el artículo 27 de la Ley, regula la potestad sancionatoria de la Prodhab, que puede ser ejercida a instancia de parte o de oficio, y que tiene como fin determinar la existencia de una irregularidad en la base de datos, según las obligaciones que establece la ley. En este supuesto y por tratarse de materia sancionatoria, el legislador estableció expresamente que el mecanismo de tutela a utilizar será el procedimiento ordinario regulado en la Ley General de la Administración Pública;
c) Por tanto, no podría la Prohab utilizar el procedimiento sumario destinado a la protección del derecho de autodeterminación informativa, para imponer a los responsables de las bases de datos, las sanciones que establece la ley ante la existencia de faltas leves, graves o gravísimas. Lo anterior, sin perjuicio de que procedimiento sumario sirva de antesala para sospechar la posible existencia de una falta que debe posteriormente debe ser demostrada en el procedimiento ordinario;
d) La intención del legislador al aprobar la Ley 8968 es clara, en cuanto a reconocer únicamente la existencia de un recurso de reconsideración contra los actos finales dictados por la Prodhab, tanto en el procedimiento sumario como en el ordinario (artículos 25 y 27) Además, debe considerarse que el artículo 15 de la Ley 8968 reconoce a la Prodhab una desconcentración máxima e independencia de criterio del Ministerio de Justicia y Paz;
e) Por tanto, el Decreto Ejecutivo 37554 del 30 de octubre de 2012 debe interpretarse conforme a la ley de rango superior, no sólo en cuanto a la necesidad de seguir el procedimiento ordinario para la imposición de las sanciones, sino también en cuanto a la extralimitación en que incurre al reconocer un recurso de apelación inexistente en la Ley y violatorio de la independencia de criterio reconocida a la Prodhab.

References: resolución 
 artículo 28
 artículo 13

ARTÍCULO 25

ARTÍCULO 26
 resolución 
 resolución 
 artículo 23
 artículo 25
 artículo 27
 artículo 15
 artículo 27
 artículo 15