Source: https://necessaryandproportionate.org/country-reports/costa-rica/twenty-sixteen/
Timestamp: 2020-08-13 02:23:08+00:00

Document:
By Jamila Venturini
El Código Penal de Costa Rica (Ley Nº 4573/1970)1 posee un título específico dedicado a los delitos contra el ámbito de intimidad. En la sección sobre la violación de secretos se sanciona con prisión de uno a tres años la violación de correspondencia o comunicaciones y la difusión del contenido de comunicaciones o documentos privados que carezcan de interés público (art. 196)18. La misma pena será impuesta a quienes inciten a terceros a cometer cualquiera de estos delitos.
En la misma sección también se prohíbe el apoderamiento de cartas o documentos privados2 y la captación de manifestaciones verbales sin consentimiento22. En ambos casos las penas van de uno a tres años de prisión.
El Código Procesal Penal de Costa Rica (Ley N° 7594/1996)3 determina que los elementos de prueba que hayan sido obtenidos por medios ilícitos - lo que incluye información obtenida a través de la intromisión indebida en la intimidad del domicilio, correspondencia, comunicaciones y papeles y archivos privados a menos que favorezca al imputado (art. 181)28. Finalmente, establece los procedimientos para la efectivización de un allanamiento (art. 196)4 y las condiciones en las cuales será permitida la realización de un allanamiento sin orden judicial (art. 197)30.
La Ley General de Telecomunicaciones de Costa Rica (N° 8642/2008)5 establece a la privacidad de la información entre sus principios rectores. Esto es, la obligación de los operadores de telecomunicaciones de garantizar el derecho a la intimidad, libertad y secreto de las comunicaciones, además de la confidencialidad de la información que obtengan de los usuarios u otros operadores (art. 3, j)48. La violación de la confidencialidad de las comunicaciones es considerada una infracción muy grave (art. 67, a, 16) e implica una multa de entre 0,5 a 1% de los ingresos brutos del operador en el período fiscal anterior (art. 68, a)49. Adicionalmente, el Estado - a través de la autoridad de telecomunicaciones - está autorizado a, entre otras medidas, imponer el cierre definitivo de un establecimiento caso lo juzgue necesario para garantizar la integridad y calidad de la red y de los servicios de telecomunicaciones (art. 69)50.
Además de reiterar las reglas establecidas en la Ley General de Telecomunicaciones - como la obligación de garantizar el secreto de las comunicaciones, la intimidad y protección de datos personales de los usuarios6 y de implementar medidas técnicas de seguridad7 -, el decreto detalla procedimientos de seguridad que deben ser observados por los operadores y proveedores de los servicios de telecomunicación. Asimismo, la autoridad de telecomunicaciones tiene competencia para velar por el cumplimiento de las obligaciones establecidas por ambas normas (art. 9), y debe ser informada por las prestadoras de servicios de cualquier riesgo a la seguridad de la red. Las empresas de telecomunicaciones deben establecer medidas de seguridad técnicas y administrativas con relación al acceso a información protegida por parte de su personal y detallar en los contratos laborales las políticas y sanciones previstas en casos de infracción (art. 9)59.
A pesar de establecer procedimientos para la eliminación o anonimización de datos de carácter personal utilizados para se establecer una comunicación o para fines de facturación, el decreto obliga la conservación de diversos datos relacionados a los registros de comunicación (art. 28). Dichos datos deben ser mantenidos de forma confidencial (art. 29)8 y podrán ser puestos a disposición bajo consentimiento del titular u orden judicial. Cabe resaltar que el decreto no establece un plazo máximo para la retención de datos de manera general; no obstante, en caso que sean datos de carácter personal sobre el tráfico, deberán ser eliminados o anonimizados cuando ya no sean necesarios a efectos de su transmisión; y sólo se podrán conservar aquellos datos para la facturación y los pagos de las interconexiones durante el plazo en el que pueda impugnarse la factura o exigirse el pago, luego de ello igual se solicita que sean eliminados o anonimizados ( art. 25 y 26)6465.
Costa Rica es uno de los países de la región que posee una ley general sobre la protección de datos personales, la Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales (Ley N° 8968/2011)68. Esta busca garantizar el derecho a la autodeterminación informativa con respecto al tratamiento automatizado o manual de datos personales (art. 1)9 y se aplica a los entes públicos y privados.
Entre los principios de protección de datos personales, la ley reconoce el consentimiento informado (art. 5)10 y la calidad de la información, o sea, actualidad, veracidad, exactitud y adecuación al fin (art. 6)71.
La ley además crea una Agencia de Protección de Datos de los Habitantes en el ámbito del Ministerio de Justicia y Paz (art. 15)11 con competencias para fiscalizar el cumplimiento de la ley por parte de entes públicos o privados, resolver reclamos relacionados a la infracción de normas de protección de datos, imponer sanciones en caso de infracción, dictar directrices sobre el manejo de informaciones privadas por parte de órganos públicos, entre otras (art. 16)74. Asimismo, ante esta agencia los responsables del tratamiento de datos personales deberán inscribir los Protocolos de Actuación y registrar las bases de datos que tengan a su titularidad (ar. 12 y 21). Finalmente, la ley establece las sanciones administrativas en el caso de violaciones leves, graves o gravísimas y (arts. 28 al 31).
Las personas físicas o jurídicas propietarias de bases de datos personales deben registrarlas en la Agencia de Protección de Datos de los Habitantes (art. 44), informando - entre otras cosas - los responsables y encargados de las bases, sus finalidades y usos previstos, los tipos de datos sometidos a tratamiento, el procedimiento de obtención de los datos personales, las medidas de seguridad implementadas, entre otros datos81. El registro incluye el pago de un canon anual de 200 USD12 por base de datos (arts. 50 y 78) y la revisión por parte de la Agencia, que puede declarar improcedente el registro (art. 53). Además, la Agencia podrá en cualquier momento revisar las bases de datos cuando haya denuncia o evidencia de mal manejo (art. 47)83. Mediante Decreto Ejecutivo N° 40008 - JP del 19 de julio de 201684, se derogó la figura de “superusuario” que hacía las veces de un “usuario de consulta” que se lel responsable de la base de datos electrónica entregaba a la Agencia, para que ésta pueda consultar la base de datos en cualquier momento y sin restricción alguna.
A pesar de las garantías presentes en las normas costarricenses, se han registrados violaciones a la privacidad en los últimos años. El caso más grave se refiere al espionaje de un periodista del Diario Extra por parte del Organismo de Investigación Judicial (OIJ)13 y trajo preocupación a organizaciones internacionales como Reporteros sin Fronteras86. La acción fue declarada ilegal por la Sala Constitucional por violar los principios de proporcionalidad y necesidad. A pesar de la condena, no hubo hasta el momento punición de los agentes involucrados en el caso, según informa el propio Diario Extra. Los medios además registran uso de espionaje en contra empleados en el interior de organismos estatales para instaurar procesos administrativos87.
Por otro lado, la decisión de la Sala Constitucional en favor del jugador del Real Madrid, Keylor Navas, en contra del OIJ y la Fiscalía por revisar su información privada sin orden judicial14 parece evidenciar que la corte más alta del país está preparada para identificar abusos y aplicar los principios de derechos humanos previstos en la legislación nacional - lo que refuerza también el cumplimiento con el principio de debido proceso. Aún así es preocupante que las víctimas de intervenciones ilegales tengan que recurrir a las cortes para hacer valer sus derechos, principalmente considerando la ausencia de garantías de notificación en las normas analizadas.
El Estado de Costa Rica ha sido condenado en 2004 por la Corte Interamericana de Derechos Humanos por violar el derecho a la libertad de expresión previsto en el artículo 13 de la Convención Americana sobre Derechos Humanos. El caso Herrera Ulloa v. Costa Rica15 discutió la condena criminal del periodista Mauricio Herrera Ulloa por difamación. El caso se refería a la publicación de una serie de artículos en el periódico La Nación sobre un diplomático costarricense acusado de cometer actividades ilegales en Bélgica. Además de la condena criminal y civil en contra del periodista y del periódico, la sentencia de 1999 del Tribunal Penal del Primer Circuito Judicial de San José estableció una espécie de “derecho al olvido” al ordenar la retirada del “enlace” existente en La Nación Digital entre el apellido del diplomático y los artículos presuntamente difamatorios. La orden fue comparada a censura previa por parte de la Comisión (párrafo 101.5)90.
http://www.pgrweb.go.cr/scij/Busqueda/Normativa/Normas/nrm_texto_complet… ↩︎
Artículo 197: Será reprimido, con prisión de uno a tres años, quien se apodere de una carta o de otro documento privado, aunque no esté cerrado, o al que suprima o desvíe de su destino una correspondencia que no le esté dirigida. (Reformado por el artículo 31 de la “Ley de Registro de Documentos Privados e Intervención de Comunicaciones”; ley Nº 7425 de 9 de agosto de 1994) ↩︎
Artículo 196: Formalidades para el allanamiento Una copia de la resolución que autoriza el allanamiento será entregada a quien habite o posea el lugar donde se efectúe o, cuando esté ausente, a su encargado, y, a falta de éste, a cualquier persona mayor de edad que se halle en el lugar. Se preferirá a los familiares. Cuando no se encuentre a nadie, ello se hará constar en el acta. Practicado el registro, en el acta se consignará el resultado, con expresión de las circunstancias útiles para la investigación. La diligencia se practicará procurando afectar lo menos posible la intimidad de las personas. El acta será firmada por los concurrentes; no obstante, si alguien no la firma, así se hará constar. ↩︎
Artículo 6: Los operadores de redes públicas y proveedores de servicios de telecomunicaciones disponibles al público, deberán garantizar el secreto de las comunicaciones, el derecho a la intimidad y la protección de los datos de carácter personal de los abonados y usuarios finales, mediante la instalación y operación de los sistemas y las medidas técnicas y administrativas para cumplir ese propósito. Los operadores y proveedores deberán adoptar las medidas técnicas y administrativas idóneas para garantizar la seguridad de las redes y sus servicios. En caso de que el operador o proveedor conozca de un riesgo identificable en la seguridad de la red, deberá informar a la Superintendenciade Telecomunicaciones y a los usuarios finales sobre dicho riesgo. Los operadores y proveedores deberán garantizar que las comunicaciones y los datos de tráfico asociados a ellas, no serán escuchadas, grabadas, registradas, almacenadas, intervenidas o vigiladas por terceros sin su consentimiento, salvo cuando se cuente con la autorización judicial correspondiente de conformidad con la ley. ↩︎
Artículo 7: Los proveedores y operadores de servicios de telecomunicaciones deberán adoptar las medidas técnicas y administrativas adecuadas para preservar la seguridad de sus servicios, de ser necesario en colaboración con otros operadores o proveedores de telecomunicaciones en materia de la seguridad de la red. Para tales efectos, los operadores o proveedores deberán considerar las técnicas más avanzadas a fin de garantizar un nivel de seguridad adecuado al riesgo existente. En caso de que exista un riesgo particular de violación de la seguridad de la red, el proveedor del servicio de telecomunicaciones deberá informar a sus abonados sobre dicho riesgo. Asimismo corresponderá al proveedor u operador del servicio informar cuando el riesgo quede fuera del ámbito de las medidas que éste deberá tomar, así también sobre las posibles soluciones, los costos y las vulnerabilidades que aún quedan al descubierto. ↩︎
Artículo 29: Los operadores adoptarán las medidas necesarias para garantizar que los datos se conserven de conformidad con lo dispuesto en este reglamento, en la medida en que sean generados o tratados por aquellos en el marco de la prestación de los servicios de telecomunicación de que se trate. Todos estos datos serán confidenciales y no podrán hacerse públicos ni ser entregados a persona física o jurídica alguna, si no es con la autorización expresa del abonado o su representante; o por orden judicial conforme a la legislación vigente. La citada obligación de conservación se extiende a los datos relativos a las llamadas infructuosas, en la medida que los datos son generados o tratados y conservados o registrados por los proveedores. Los datos relativos a las llamadas no conectadas están excluidos de las obligaciones de conservación contenidas en este reglamento. ↩︎
Artículo 1: Esta ley es de orden público y tiene como objetivo garantizar a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el respeto a sus derechos fundamentales, concretamente, su derecho a la autodeterminación informativa en relación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de su libertad e igualdad con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona o bienes. ↩︎
Artículo 5: 1.- Obligación de informar Cuando se soliciten datos de carácter personal será necesario informar de previo a las personas titulares o a sus representantes, de modo expreso, preciso e inequívoco: a) De la existencia de una base de datos de carácter personal. b) De los fines que se persiguen con la recolección de estos datos. c) De los destinatarios de la información, así como de quiénes podrán consultarla. d) Del carácter obligatorio o facultativo de sus respuestas a las preguntas que se le formulen durante la recolección de los datos. e) Del tratamiento que se dará a los datos solicitados. f) De las consecuencias de la negativa a suministrar los datos. g) De la posibilidad de ejercer los derechos que le asisten. h) De la identidad y dirección del responsable de la base de datos. Cuando se utilicen cuestionarios u otros medios para la recolección de datos personales figurarán estas advertencias en forma claramente legible. 2.- Otorgamiento del consentimiento Quien recopile datos personales deberá obtener el consentimiento expreso de la persona titular de los datos o de su representante. Este consentimiento deberá constar por escrito, ya sea en un documento físico o electrónico, el cual podrá ser revocado de la misma forma, sin efecto retroactivo. No será necesario el consentimiento expreso cuando: a) Exista orden fundamentada, dictada por autoridad judicial competente o acuerdo adoptado por una comisión especial de investigación de la Asamblea Legislativa en el ejercicio de su cargo. b) Se trate de datos personales de acceso irrestricto, obtenidos de fuentes de acceso público general. c) Los datos deban ser entregados por disposición constitucional o legal. Se prohíbe el acopio de datos sin el consentimiento informado de la persona, o bien, adquiridos por medios fraudulentos, desleales o ilícitos. ↩︎
Artículo 15: Créase un órgano de desconcentración máxima adscrito al Ministerio de Justicia y Paz denominado Agencia de Protección de Datos de los habitantes (Prodhab). Tendrá personalidad jurídica instrumental propia en el desempeño de las funciones que le asigna esta ley, además de la administración de sus recursos y presupuesto, así como para suscribir los contratos y convenios que requiera para el cumplimiento de sus funciones. La Agencia gozará de independencia de criterio. ↩︎
Artículo 78: De conformidad con la Ley, todas las bases de datos, públicas o privadas, con fines de distribución, difusión o comercialización, deben inscribirse ante la Agencia, y por ende cancelar ante ésta, la suma de doscientos dólares moneda de curso legal de los Estados Unidos de América (USD $200,00), al tipo de cambio mayor de referencia de venta del Banco Central de Costa Rica del día en que se realice el pago. Dicho monto corresponde al canon anual de regulación y administración de las bases de datos. ↩︎
El caso, ocurrido entre 2013 y 2014, estableció el vínculo de diferentes agentes judiciales quienes procedieron a escuchar las llamadas del comunicador Manuel Estrada, con el fin de conocer sus fuentes de información. Ver la denuncia del Diario Extra en: http://www.diarioextra.com/Dnew/noticiaDetalle/223266. ↩︎
El caso fue decidido en 2016, pero remite a hechos de 2014. Ver: http://www.nacion.com/sucesos/poder-judicial/IV-OIJ-Fiscalia-Keylor-Nava…. ↩︎
http://www.corteidh.or.cr/docs/casos/articulos/seriec_107_esp.pdf ↩︎

References: artículo 13

Artículo 197
 artículo 31

Artículo 196
 resolución 

Artículo 6

Artículo 7

Artículo 29

Artículo 1

Artículo 5

Artículo 15

Artículo 78