Política de privacidad de datos personales del ICE: aprobación y reglas básicas

El Consejo Directivo del Instituto Costarricense de Electricidad (ICE) aprobó en la Sesión 6757 del 01 de setiembre del 2026 la “Política de Privacidad de Datos Personales en el ICE”. La política entra en vigor desde su publicación en el Diario Oficial La Gaceta.

Es obligatoria para todas las dependencias, funcionarios y trabajadores del ICE que, en el ejercicio de sus funciones, gestionen, accedan o traten datos personales, ya estén en bases de datos automatizadas o en soportes manuales. También se aplicará, en lo procedente y conforme a la normativa, a proveedores, contratistas, socios comerciales y otros terceros que participen en la gestión o acceso a datos personales en virtud de una relación contractual, convenio o acuerdo comercial, cuando el objeto de la contratación, convenio o acuerdo lo requiera.

La política fija un marco institucional para proteger los datos personales y orientar su gestión como activo institucional estratégico. Entre los principios y obligaciones señalados están: la licitud (tratamiento conforme a la ley y, por lo general, sustentado en consentimiento previo, informado, expreso y escrito, salvo excepciones legales), la limitación de la finalidad (los datos solo para fines específicos y previamente informados), la minimización (recoger solo lo estrictamente necesario), la exactitud y actualización, la limitación del plazo de conservación (conservar solo lo necesario), la confidencialidad, integridad y disponibilidad (medidas para proteger los datos), y la responsabilidad proactiva de la institución.

La política describe obligaciones para cada etapa del ciclo de vida de los datos: recolección (basada en consentimiento informado cuando corresponda), almacenamiento (controles de acceso, autenticación, cifrado, respaldos, etc.), uso (ajustado a las finalidades consentidas), transmisión (protocolos y acuerdos de confidencialidad), retención y eliminación (plazos conforme a normativa, eliminación segura, anonimización o desasociación una vez cumplida la finalidad).

La transferencia a terceros responsables, dentro o fuera del país, exige el consentimiento previo, informado e inequívoco del titular, salvo disposición legal en contrario. No se considera transferencia el traslado a encargados, proveedores de servicios, intermediarios tecnológicos o empresas del Grupo ICE cuando el receptor no use los datos para distribución, difusión o comercialización; en esos casos el ICE debe garantizar mediante medidas técnicas, administrativas y contractuales que el receptor trate los datos según las instrucciones y finalidades autorizadas.

La política reconoce derechos de acceso, rectificación, supresión (cancelación), oposición y revocatoria del consentimiento. Indica que el ICE establecerá mecanismos expeditos, sencillos, accesibles y gratuitos para ejercer la revocatoria; la revocación cesa tratamientos basados únicamente en consentimiento pero no tiene efecto retroactivo ni invalida la licitud del tratamiento anterior. El ejercicio de estos derechos será gratuito, oportuno y transparente según procedimientos institucionales y plazos legales.

El documento asigna responsabilidades específicas: el Consejo Directivo aprueba la política y sus modificaciones; la Gerencia General y órganos de dirección deben promover su aplicación; la División Tecnologías de Información (DTI) y la Dirección Estrategia Digital (DED) deben elevar, velar, instrumentar y proponer el marco de gobernanza y controles; el Proceso Análisis de Datos debe generar actualizaciones y protocolos; titulares subordinados, funcionarios y trabajadores deben acatar la política.

La política incluye definiciones importantes como anonimización, ciclo de vida de los datos personales, consentimiento, datos personales (y categorías como acceso irrestricto o restringido y datos sensibles), derechos de los titulares, responsable del tratamiento, transferencia, tratamiento, entre otras. Estas definiciones son las que se deben usar para interpretar las obligaciones y restricciones dentro del ICE.

La Dirección Estrategia Digital coordinará la revisión y actualización anual del documento. La política entra en vigor con su publicación en La Gaceta. La sección de derogatoria indica “No aplica”.

Muchas reglas están sujetas a la normativa vigente (por ejemplo, Ley N° 8968 y su Reglamento) y a excepciones legales expresas (por ejemplo, orden judicial o cumplimiento de obligación legal). Cuando la política menciona consentimiento u otras condiciones señala también las excepciones previstas por ley. La política exige que en contratos, pliegos y convenios se incorporen cláusulas que garanticen la protección de datos personales, sin especificar en este texto formatos o contenidos concretos de esas cláusulas; esos detalles quedarán en los instrumentos jurídicos correspondientes. La política describe obligaciones internas y principios, pero no detalla en este documento recursos, procedimientos administrativos concretos ni plazos procesales específicos más allá de remitir al marco normativo aplicable.