Proyecto de ley que obliga el cifrado de datos y regula la notificación y sanciones por filtraciones (reforma a la Ley 8968)

Se presenta un proyecto de ley que modifica la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (Ley n.º 8968) para obligar a que los datos personales custodidos por el sector público y privado se cifren, establecer una obligación de notificar brechas de seguridad y endurecer sanciones por incumplimientos. El proyecto reforma los artículos 10, 28, 30 y 31 e incorpora los artículos 10 bis y 10 ter. La iniciativa se somete a consideración de la Asamblea Legislativa y, según el texto, rige a partir de su publicación en La Gaceta.

Afecta a todas las personas y entidades que sean responsables de bases de datos públicas o privadas que almacenen datos personales en Costa Rica. En la práctica, obliga a que organismos públicos, empresas y terceros que traten datos implementen cifrado de extremo a extremo sobre: datos personales sensibles, datos de acceso restringido, datos de acceso irrestricto y datos referentes al comportamiento crediticio. Ese cifrado debe aplicarse tanto a datos en reposo (servidores centrales, nubes, discos locales, cintas de respaldo, terminales periféricos) como a datos en tránsito por redes internas o externas.

El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) queda encargado de emitir y actualizar anualmente un catálogo de estándares criptográficos mínimos, familias algorítmicas y protocolos de rotación y custodia del ciclo de vida de llaves criptográficas. Por reglamento se fijarán los requisitos que deben reunir las bases de datos y las personas que intervienen en su manejo.

Se añade el artículo 10 bis que establece la prohibición absoluta de mantener o archivar repositorios de datos personales sensibles en formatos no cifrados o usando algoritmos internacionalmente calificados como obsoletos o vulnerables.

Toda persona responsable de una base de datos que confirme o tenga indicios fundados de una brecha que afecte la confidencialidad, integridad o disponibilidad de datos personales debe notificar a la Agencia de Protección de Datos de los Habitantes (Prodhab) en un plazo máximo de setenta y dos horas naturales contado desde que tenga conocimiento del incidente. Si el tratamiento fue realizado por terceros, éstos deben informar al responsable inmediato en forma inmediata y a más tardar dentro de veinticuatro horas desde la detección. La notificación a Prodhab debe contener, como mínimo: la naturaleza y características del incidente; las categorías y número aproximado de titulares y registros afectados; las posibles consecuencias para los titulares; el estado de cifrado o las medidas de protección bajo las cuales estaban los datos; y las medidas de contención, mitigación y correctivas implementadas o previstas. Si no se puede dar toda la información en 72 horas, se debe presentar una comunicación preliminar y completar la información en fases sucesivas sin dilación indebida, justificando la demora por motivos técnicos.

Cuando la brecha suponga un alto riesgo para derechos e intereses de los titulares —especialmente si compromete datos sensibles, de acceso restringido, información financiera, credenciales de autenticación o datos que faciliten fraudes o suplantación— el responsable debe notificar directamente a las personas afectadas de manera expedita, en lenguaje claro, con recomendaciones concretas y con las medidas disponibles para mitigar perjuicios.

El proyecto modifica el artículo 28 para establecer multas según la gravedad de las faltas: para faltas leves, hasta veinte salarios base del cargo de auxiliar judicial I; para faltas graves, de veinte a cincuenta salarios base de ese cargo; y para faltas gravísimas, de cincuenta a ochenta salarios base del cargo de auxiliar judicial I y la suspensión del funcionamiento del fichero de uno a seis meses. Además, los artículos 30 y 31 precisan qué conductas se consideran faltas graves y gravísimas. Entre las faltas graves se incluyen omitir medidas técnicas mínimas en bases con datos sensibles o de comportamiento crediticio; retardar injustificadamente la notificación a Prodhab y a los titulares cuando la afectación sea inminente y masiva; y administrar llaves criptográficas en contradicción con lineamientos del Micitt cuando eso no haya provocado vulneración efectiva. Entre las faltas gravísimas se incluyen almacenar o custodiar datos sensibles o de acceso restringido sin aplicar los estándares de cifrado; provocar, facilitar o encubrir por dolo o negligencia inexcusable la sustracción o comercialización ilícita de datos; y ocultar, dilatar o consignar información falsa sobre una brecha que comprometa datos sensibles o de crédito.

El texto expresa que el régimen sancionatorio debe respetar principios constitucionales de legalidad, tipicidad y debido proceso y que no se sancionará el mero acaecimiento de un ciberataque si no hay dolo o culpa grave probada. El proyecto señala que no busca sancionar hechos fortuitos inevitables en un ciberataque; la tipificación exige culpabilidad en conductas activas u omisivas que incumplan los estándares de debida diligencia técnica y legal.

Micitt tiene seis meses desde la publicación en La Gaceta para reglamentar los estándares criptográficos obligatorios. La Administración Pública (central, descentralizada, territorial e institucional) y las empresas públicas disponen de dieciocho meses desde la publicación para completar la adecuación criptográfica integral de sus bases de datos, infraestructuras y canales. Las entidades públicas deben además adoptar de inmediato las previsiones administrativas y ajustes presupuestarios necesarios. Las personas físicas o jurídicas privadas que gestionen datos sensibles o de comportamiento crediticio cuentan con dos años desde la publicación para elaborar y ejecutar un plan de actualización técnica que garantice el cumplimiento de las exigencias de cifrado.

El proyecto indica "Rige a partir de su publicación" en La Gaceta. En tal sentido, los plazos transitorios para reglamentación y adecuación empiezan a contarse desde esa publicación.

El texto publicado proviene de La Gaceta y el proyecto lleva como encabezado "REFORMA... A LA LEY N.º 8968" y se presenta como "LEY PARA PROTEGER A LAS PERSONAS FRENTE A LA FILTRACIÓN DE SUS DATOS". En la exposición de motivos se citan incidentes de filtración en Costa Rica y la necesidad de elevar el estándar de protección, y se menciona que Micitt y Prodhab tendrán funciones específicas en la implementación. Estas referencias y los antecedentes están en la exposición de motivos del proyecto incluida en la publicación oficial.

El documento es un proyecto de ley sometido a la Asamblea Legislativa; no es todavía una ley aprobada. Donde el texto indica que Micitt emitirá normas técnicas anuales o que el reglamento fijará requisitos, esos contenidos dependerán de futuras regulaciones y no están desarrollados en el proyecto. Además, el proyecto afirma que las sanciones respetarán garantías constitucionales y que no se sancionará sin dolo o culpa grave probada, pero no detalla aquí el procedimiento de evaluación de culpabilidad ni los medios probatorios; esos procedimientos seguirían las reglas generales del debido proceso y las normas administrativas aplicables.