Proyecto que garantiza el derecho a la supresión de información en el tratamiento de datos personales (Expediente 25163)

El proyecto propone garantizar el derecho a la supresión de información —también llamado “derecho al olvido”— en el tratamiento de datos personales y fijar reglas específicas para los datos de comportamiento crediticio, incluyendo plazos máximos de conservación y obligaciones de actualización y supresión para las entidades financieras y los organismos supervisores. El proyecto está pendiente de aprobación por la Asamblea Legislativa.

El proyecto fue presentado por el diputado Yonder Andrey Salas Durán y figura con el número de expediente 25163; ingresó el 2025-08-21 y fue publicado el 2025-08-27 (Gaceta 159). Estos datos identifican la iniciativa y su estado administrativo inicial ante la Asamblea Legislativa. Fuente: expediente 25163 de la Asamblea Legislativa.

Las bases de datos crediticias acumulan antecedentes de pago y, según normativa y práctica actuales, existen plazos distintos que generan controversia (menciona plazos de cuatro años para registros de comportamiento crediticio y de diez años en normas de conservación de datos). El proyecto estudia esas diferencias para fijar un régimen único en materia de supresión.

El proyecto reforma el primer párrafo del artículo 7 de la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (N.º 8968) y adiciona un inciso 3.º que regula el “derecho al olvido”. El texto establece que la conservación de los datos personales que puedan afectar al titular no deberá exceder el plazo de cuatro años, “contados a partir de la fecha que se extinguió la obligación o la relación jurídica que dio origen al tratamiento del dato, lo que ocurra más recientemente.” Ese plazo es la regla general propuesta para los datos que afectan al titular.

En materia crediticia las entidades financieras tendrán la obligación de actualizar anualmente, al cierre fiscal, los registros ante la Superintendencia General de Entidades Financieras (SUGEF) y de eliminar del historial crediticio los datos prescritos o cuando exista resolución judicial de término y archivo, según los párrafos citados. Además, el proyecto ordena que la SUGEF proceda a depurar, actualizar o suprimir los registros crediticios prescritos conforme al nuevo régimen jurídico en un plazo máximo de doce meses contado desde la entrada en vigencia de la ley.

El proyecto adiciona atribuciones a la autoridad de protección de datos (la Prodhab o Agencia de Protección de Datos de los Habitantes) en el artículo 16. Entre las nuevas facultades propuestas están: k) emitir directrices técnicas vinculantes sobre supresión de datos crediticios; l) establecer un mecanismo de denuncia expedito para titulares que consideren incumplido su derecho al olvido; y m) publicar anualmente un informe de cumplimiento y sanciones aplicadas. Estas funciones buscan regular y supervisar la aplicación del derecho a la supresión en el ámbito crediticio.

El proyecto dispone plazos transitorios concretos. La SUGEF tendrá un plazo máximo de doce meses, desde la entrada en vigor de la ley, para depurar, actualizar o suprimir los registros crediticios prescritos conforme al nuevo régimen. Asimismo, la SUGEF, en conjunto con el Banco Central y la Prodhab, debe emitir el reglamento correspondiente en un plazo máximo de seis meses desde la entrada en vigor. Esos plazos buscan ordenar la implementación técnica y operativa del nuevo régimen.

El texto señala que las disposiciones de la nueva ley deberán interpretarse en concordancia con la Ley N.º 8968 (protección de datos) y la Ley N.º 7558 (Ley Orgánica del Banco Central) respecto del funcionamiento del Sistema de Información Crediticia y la regulación prudencial. Además indica que, en caso de contradicción normativa, prevalecerá el principio pro-persona en materia de protección de datos.

La iniciativa afecta a las personas que figuran en historiales crediticios, a las entidades financieras que reportan y mantienen esos historiales, a la SUGEF como registrador y supervisor y a la Prodhab como autoridad de protección de datos. Con la aprobación, las personas podrían solicitar la supresión de datos prescritos y esperar que los registros se depuren en los plazos que fija la norma; mientras tanto, el proyecto está pendiente de aprobación y las reglas descritas no están vigentes.