Leyes de Privacidad de Datos de Costa Rica: Guía de Cumplimiento de la Ley 8968 y PRODHAB (2026)

Costa Rica protege los datos personales mediante la Ley N.° 8968, una norma de 2011 aplicada por PRODHAB, la autoridad nacional de control. La ley exige el consentimiento por escrito, informado y expreso antes de recopilar o tratar cualquier dato personal, otorga a las personas los derechos de acceso, rectificación y eliminación, y autoriza multas de hasta 30 salarios base por infracciones.

Costa Rica sancionó la Ley N.° 8968 el 7 de julio de 2011, convirtiéndose en uno de los primeros países centroamericanos en adoptar una ley integral de protección de datos. La ley, formalmente titulada Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, se sustenta en el derecho constitucional a la intimidad consagrado en el artículo 24 de la Constitución Política, y su reglamento de implementación, el Decreto Ejecutivo 37554-JP, se encuentra vigente desde 2013.

Información verificada por última vez el 10 de septiembre de 2026. Este artículo aún no ha sido revisado por un abogado habilitado. Presenta información legal general sobre el marco de protección de datos de Costa Rica; no constituye asesoramiento legal para ninguna situación específica.

Alcance jurisdiccional: este artículo abarca el marco nacional de protección de datos de Costa Rica en virtud de la Ley 8968 y el Decreto 37554-JP, administrado por PRODHAB. No aborda las leyes de otros países centroamericanos o latinoamericanos. Para conocer las reglas de consentimiento para grabaciones de Costa Rica, consulte nuestra guía sobre las leyes de grabación de Costa Rica.

Respuesta Rápida: la Privacidad de Datos en Costa Rica en Términos Simples

Costa Rica protege los datos personales mediante la Ley 8968, que la Agencia de Protección de Datos de los Habitantes (PRODHAB) aplica como la autoridad de control independiente del país. La ley exige el consentimiento por escrito, expreso e informado antes de que puedan recopilarse o tratarse los datos personales; otorga a las personas los derechos de acceso, corrección y eliminación, junto con el derecho a revocar el consentimiento; obliga a los responsables que distribuyan, divulguen o comercialicen datos personales a inscribir sus bases de datos ante PRODHAB; solo permite una transferencia de datos personales cuando el titular ha autorizado expresamente esa transferencia específica, ya que Costa Rica no tiene un régimen de adecuación; exige notificar toda vulneración de seguridad al titular y a PRODHAB dentro de los cinco días hábiles; y autoriza multas de hasta 30 salarios base por infracciones.

La Resolución 5802-99 de la Sala Constitucional reconoció por primera vez la autodeterminación informativa como un derecho fundamental en virtud del artículo 24 de la Constitución, y la Ley 8968 traduce esa garantía constitucional en obligaciones operativas. Una ley de reemplazo propuesta (el Proyecto 23097), que acercaría a Costa Rica al Reglamento General de Protección de Datos de la UE, fue presentada el 17 de mayo de 2022 y no ha sido sancionada; la Ley 8968 nunca ha sido reformada.

Fundamento Constitucional: El Artículo 24 y la Autodeterminación Informativa

El marco de protección de datos de Costa Rica no comienza en la ley, sino en el propio texto constitucional. El artículo 24 de la Constitución Política de la República de Costa Rica establece:

"Se garantiza el derecho a la intimidad, a la libertad y al secreto de las comunicaciones. Son inviolables los documentos privados y las comunicaciones escritas, orales o de cualquier otro tipo de los habitantes de la República."

La Sala Constitucional de la Corte Suprema extendió el alcance del artículo 24 más allá de un escudo pasivo frente a la vigilancia estatal. En la Resolución 5802-99, la Sala reconoció la autodeterminación informativa como un derecho constitucional activo: las personas no solo gozan de protección frente a la divulgación ilícita de sus datos, sino que tienen un derecho afirmativo a conocer qué información personal existe sobre ellas, a controlar cómo se utiliza, y a exigir la corrección o eliminación de los datos inexactos o tratados de manera ilegítima.

Este fundamento constitucional distingue a Costa Rica de muchas jurisdicciones latinoamericanas en las que la protección de datos es puramente legal. Dado que el derecho tiene rango constitucional, ninguna ley ordinaria puede eliminarlo. La Ley 8968 pone en práctica el derecho; no lo crea. Cualquier reforma o ley de reemplazo debe preservar, y no reducir, el piso constitucional.

La base de datos del SCIJ, en pgrweb.go.cr, alberga el texto oficial consolidado tanto del artículo 24 como de la Ley 8968.

Ley 8968: Ámbito de Aplicación, Definiciones y Principios Fundamentales

La Ley 8968 se aplica a los datos personales contenidos en bases de datos automatizadas y manuales operadas por cualquier persona física o jurídica, pública o privada, dentro del territorio costarricense. También se aplica a las entidades ubicadas fuera de Costa Rica que traten datos de personas en el país cuando la relación esté regida por el derecho costarricense.

Definiciones Clave

El artículo 3 de la Ley 8968 establece el vocabulario de trabajo:

Datos personales: cualquier dato referido a una persona física identificada o identificable.

Datos sensibles: información relativa a la esfera íntima de la persona, como los datos que revelen el origen racial, las opiniones políticas, las convicciones religiosas o espirituales, la situación socioeconómica, la información biomédica o genética, y la vida y la orientación sexual, entre otros. Dos puntos sorprenden a los equipos de cumplimiento extranjeros: la situación socioeconómica es una categoría sensible expresamente nombrada en Costa Rica, y los datos biométricos y la afiliación sindical no lo son. El tratamiento de datos sensibles está prohibido, no meramente restringido, como se explica más adelante.

Base de datos: todo archivo, fichero, registro u otro conjunto estructurado de datos personales sujeto a tratamiento automatizado o manual, cualquiera que sea la forma de su creación, organización o acceso.

Tratamiento de datos: cualquier operación realizada sobre datos personales, incluidas la recolección, el registro, el almacenamiento, la organización, la adaptación, la modificación, la consulta, el uso, la comunicación por transmisión o difusión, el cotejo o la combinación, y el bloqueo o la eliminación.

Responsable de la base de datos: la persona física o jurídica que decide la finalidad y el contenido de una base de datos, y la forma en que se tratan los datos.

Encargado del tratamiento: toda persona física o jurídica, entidad pública o privada, u otro órgano que trate datos personales por cuenta del responsable. Esta definición está en el artículo 2(k) del Decreto 37554-JP, no en el artículo 3 de la ley.

Datos personales de acceso irrestricto: datos contenidos en bases de datos de acceso público conforme a leyes especiales, utilizables de manera consistente con la finalidad para la cual fueron recolectados. El artículo 9.3 excluye expresamente de esta categoría la dirección exacta de la residencia, las fotografías y los números de teléfono privados.

Datos personales de acceso restringido: datos que forman parte de un registro público pero que solo interesan al titular o a la administración pública. Solo pueden tratarse con fines públicos o con el consentimiento expreso del titular.

Exenciones de la Ley

El artículo 2 de la Ley 8968 contiene una sola exclusión, y es más acotada de lo que sugieren la mayoría de los resúmenes:

• Las bases de datos mantenidas por personas físicas o jurídicas con fines exclusivamente internos, personales o domésticos, siempre que no se vendan ni se comercialicen de otra forma. El Decreto 40008-JP agregó que una base de datos sigue siendo interna cuando se comparte dentro de un mismo grupo de interés económico, local o internacional, mientras no haya distribución, divulgación ni venta a terceros.

No existe una exclusión por seguridad nacional ni una exclusión periodística. La seguridad del Estado y la investigación criminal aparecen en el artículo 8 como motivos para limitar derechos en un caso concreto, que es algo distinto: la ley sigue aplicándose.

Otras tres exclusiones parciales están en el reglamento y en el artículo 9.4 de la ley, y no en el artículo 2:

• Los datos de comportamiento crediticio, regidos por las normas del Sistema Financiero Nacional
• Los datos de personas físicas en su condición profesional, cuando se tratan con fines profesionales o en cumplimiento de deberes legales
• Las entidades financieras supervisadas por la SUGEF, que no tienen que inscribir sus bases de datos ante PRODHAB, aunque PRODHAB conserva plena facultad para regular y supervisar esas bases de datos

Principios Fundamentales

Los artículos 4 a 6 y 10 a 11 de la Ley 8968, junto con el Decreto 37554-JP, enuncian los principios que rigen todas las actividades de tratamiento:

1. Principio de finalidad: los datos deben recopilarse para una finalidad específica, explícita y legítima, y no deben tratarse posteriormente de manera incompatible con esa finalidad.
2. Calidad de los datos: los datos personales deben ser exactos, completos, actuales y pertinentes en relación con la finalidad declarada.
3. Seguridad: el responsable debe adoptar medidas técnicas y organizativas adecuadas al riesgo del tratamiento.
4. Confidencialidad: las personas con acceso a los datos personales deben mantenerlos confidenciales, incluso después de finalizada su función.
5. Consentimiento: el tratamiento requiere el consentimiento previo, libre, específico, informado e inequívoco del titular, otorgado por escrito, salvo en los tres casos enumerados en el artículo 5.2 de la ley.

Bases Legales para el Tratamiento

Costa Rica no utiliza un menú de bases legales. El consentimiento informado por escrito es la regla general, y el artículo 5.2 de la Ley 8968 prescinde del consentimiento expreso en solo tres casos. El artículo 5 del Decreto 37554-JP repite esos mismos tres.

En el derecho costarricense no existe un fundamento de interés legítimo, ni de necesidad contractual, ni de intereses vitales, ni de misión de interés público. Esos provienen del artículo 6 del GDPR de la UE y no tienen equivalente aquí. Un responsable que trate datos personales invocando una necesidad contractual en lugar de obtener el consentimiento por escrito comete una falta grave conforme al artículo 30(a).

Un responsable que se base en datos públicos de acceso irrestricto igualmente debe tratarlos de manera consistente con la finalidad para la cual se hicieron públicos, y con los principios generales de la Ley 8968.

El artículo 8 permite por separado limitar, de manera justa y razonable, los derechos y las garantías de la ley por razones de seguridad del Estado, el ejercicio de la autoridad pública, la prevención y la investigación de delitos o de faltas disciplinarias profesionales, el funcionamiento de bases de datos estadísticas, históricas o científicas en las que las personas no puedan ser identificadas, la adecuada prestación de servicios públicos, y la eficiente actividad ordinaria de la administración.

Requisitos de Consentimiento

El consentimiento conforme a la Ley 8968 debe ser libre, específico, informado, inequívoco y por escrito. El artículo 5.2 lo dice de forma directa: el consentimiento "deberá constar por escrito, ya sea en un documento físico o electrónico".

Este es el requisito que los equipos de cumplimiento extranjeros pasan por alto con más frecuencia. El consentimiento por escrito rige para todos los datos personales, no solo para las categorías sensibles.

Por escrito significa un documento físico o electrónico. Cuando el consentimiento se recoge en línea, el responsable debe habilitar un procedimiento para otorgarlo que cumpla la ley (artículo 5 del Decreto 37554-JP, reformado por el Decreto 40008-JP). Cuando el consentimiento se recoge dentro de un contrato firmado con otra finalidad, ese contrato debe contener una cláusula específica e independiente sobre el tratamiento de datos personales.

Informado significa que el titular recibió, antes de consentir, información clara sobre: la existencia de la base de datos; las finalidades de la recolección; los destinatarios de la información y quiénes pueden consultarla; si las respuestas son obligatorias o facultativas; el tratamiento que recibirán los datos; las consecuencias de negarse a suministrarlos; los derechos que la ley concede; y la identidad y la dirección del responsable.

Inequívoco significa que el consentimiento se otorga por un medio o una conducta que hace la concesión demostrable sin lugar a dudas y disponible para consulta posterior. El silencio, las casillas premarcadas y la inacción no califican.

Libre significa que el consentimiento no es forzado ni se condiciona a términos ajenos al servicio que el titular busca obtener.

La carga de probar el consentimiento válido recae siempre en el responsable (artículo 6 del Decreto 37554-JP). El artículo 5 de la ley prohíbe expresamente recolectar datos sin consentimiento informado o por medios fraudulentos, desleales o ilícitos.

Los Datos Sensibles Están Prohibidos, No Solo Restringidos

El artículo 9.1 no crea una vía de consentimiento por escrito para los datos sensibles. Dispone que ninguna persona está obligada a suministrar datos sensibles y luego prohíbe el tratamiento de datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas, espirituales o filosóficas, y los datos relativos a la salud, la vida y la orientación sexual, entre otros.

La prohibición se levanta solo en cuatro situaciones:

1. El tratamiento es necesario para salvaguardar el interés vital del titular o de otra persona, cuando el titular esté física o legalmente incapacitado para consentir
2. El tratamiento se realiza en el curso de las actividades legítimas, y con las garantías adecuadas, de una fundación, asociación u otro organismo con finalidad política, filosófica, religiosa o sindical, limitado a sus miembros o a las personas en contacto regular con él, y los datos no se divulgan a terceros sin consentimiento
3. Los datos fueron hechos públicos voluntariamente por el titular, o son necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un proceso judicial
4. El tratamiento es necesario para la prevención o el diagnóstico médico, la prestación de asistencia o tratamiento de salud, o la gestión de servicios de salud, realizado por un profesional de la salud sujeto al secreto profesional o por otra persona sujeta a un deber de secreto equivalente

Tratar datos sensibles fuera de esos cuatro casos, por parte de una persona física o jurídica privada, es una falta gravísima conforme al artículo 31(a). Cuando la ley sí permite el tratamiento de datos sensibles, el artículo 37 del reglamento exige revisar y actualizar las medidas de seguridad al menos una vez al año.

Revocación del Consentimiento

Los titulares pueden revocar el consentimiento en cualquier momento, en la misma forma en que lo otorgaron, y la revocación no tiene efecto retroactivo. El responsable debe habilitar mecanismos expeditos, sencillos y gratuitos para la revocación (artículo 7 del Decreto 37554-JP).

El artículo 8 del reglamento da al responsable cinco días hábiles desde la recepción para hacer efectiva la revocación y, dentro de esos mismos cinco días, para informar a quienes les haya transferido los datos. Esos destinatarios cuentan a su vez con cinco días hábiles para hacerla efectiva. Cuando el titular pide confirmación de que el tratamiento cesó, el artículo 9 exige una respuesta escrita y gratuita dentro de los tres días hábiles.

Derechos de los Titulares

El artículo 7 de la Ley 8968, en su Capítulo II, enumera los derechos que las personas tienen sobre sus datos personales, y el Capítulo III del Decreto 37554-JP (artículos 12 a 26) regula su ejercicio. Estos derechos se ejercen en primer lugar frente al responsable, y si este no responde o el titular no queda conforme, puede escalar el caso ante PRODHAB.

Derecho de Información

Cualquier persona puede consultar a cualquier entidad pública o privada para saber si esa entidad posee una base de datos que contenga sus datos personales, qué datos contiene, la finalidad de la base de datos, y la identidad del responsable. Este derecho se aplica independientemente de si los datos fueron proporcionados por el titular o recopilados de terceros.

Derecho de Acceso

Los titulares pueden solicitar una copia completa de sus datos personales contenidos en cualquier base de datos. Conforme al artículo 7 de la Ley 8968 y a los artículos 18 y 21 del Decreto 37554-JP, el responsable debe responder dentro de los cinco días hábiles, contados desde el día siguiente a la recepción de la solicitud. La respuesta debe abarcar todo el registro que se tenga sobre el titular y darse en un formato legible y comprensible, con el significado de los códigos o las abreviaturas que se utilicen. Toda respuesta es gratuita, sin tope anual.

La restricción real es otra. El artículo 21 del reglamento permite al titular consultar una misma base de datos con un intervalo mínimo de seis meses. El titular que exponga motivos y aporte prueba de una infracción puede consultar antes. Si el responsable considera abusiva la solicitud, cuenta con cinco días hábiles para trasladar el asunto a PRODHAB, que resuelve dentro de los diez días hábiles.

Derecho de Rectificación

Cuando los datos personales sean inexactos, incompletos o confusos, el titular puede solicitar su corrección conforme a los artículos 23 y 24 del Decreto 37554-JP. La solicitud debe identificar los datos y la corrección pretendida y acompañarse de la documentación de respaldo, y el responsable cuenta con cinco días hábiles para responder.

El deber de notificar a terceros corresponde a la revocación del consentimiento, no a la rectificación. El artículo 8 del reglamento es la norma que obliga al responsable a informar a quienes les haya transferido los datos, dentro de los cinco días hábiles.

Derecho de Supresión

El artículo 7.2 de la Ley 8968 permite al titular obtener la rectificación, la actualización, la cancelación o la eliminación de los datos personales que hayan sido tratados en contra de la ley, que sean incompletos o inexactos, o que se hayan recolectado sin su autorización. El artículo 25 del Decreto 37554-JP permite al titular pedir en cualquier momento la eliminación total o parcial.

El artículo 26 del reglamento enumera luego ocho situaciones en las que puede denegarse la eliminación:

• La seguridad del Estado
• Los datos que deban conservarse por disposición constitucional o legal o por resolución judicial
• La seguridad ciudadana y el ejercicio de la autoridad pública
• La prevención, la persecución, la investigación, la detención y la sanción de delitos o de faltas disciplinarias profesionales
• El funcionamiento de bases de datos usadas con fines estadísticos, históricos o de investigación científica en las que las personas no puedan ser identificadas
• La adecuada prestación de servicios públicos
• La eficiente actividad ordinaria de la administración por parte de las autoridades oficiales
• Los datos personales de acceso irrestricto obtenidos de fuentes de acceso público general

Derecho de Revocación del Consentimiento

El titular puede revocar el consentimiento en cualquier momento, en la misma forma en que lo otorgó y sin efecto retroactivo. Los artículos 7 a 10 del Decreto 37554-JP fijan el procedimiento y los plazos, y el responsable que se niegue expresa o tácitamente a tramitar una revocación puede ser denunciado ante PRODHAB.

El derecho costarricense no concede un derecho general de oposición frente a un tratamiento por lo demás lícito. El artículo 7 de la Ley 8968 enumera el acceso, la rectificación, la eliminación y el derecho a consentir la cesión de datos, y el reglamento enumera el acceso, la rectificación, la modificación, la revocación y la eliminación. Un derecho de oposición solo llegaría si se sanciona el Proyecto 23097.

Resumen de Plazos

Tenga en cuenta: el plazo de cinco días hábiles corre desde la recepción de una solicitud completa y debidamente identificada. Los responsables suelen demorar el trámite tratando las solicitudes incompletas o ambiguas como no recibidas. Los titulares deberían presentar solicitudes por escrito con identificación completa y una descripción clara de los datos en cuestión, para que el plazo comience a correr con claridad.

Notificación de Vulneraciones de Seguridad

Costa Rica sí exige la notificación de vulneraciones de seguridad. La afirmación común de que no lo hace es incorrecta, y la empresa que confíe en ella incumplirá un plazo legal.

El artículo 38 del Decreto 37554-JP (Vulnerabilidad de seguridad) obliga al responsable a informar al titular de cualquier irregularidad en el tratamiento o el almacenamiento de sus datos, incluidas la pérdida, la destrucción o el extravío, ya sea que provenga de una vulneración de seguridad o que llegue de otro modo a conocimiento del responsable. El plazo es de cinco días hábiles desde el momento en que ocurrió la vulneración, para que las personas afectadas puedan tomar medidas de protección. Dentro de esos mismos cinco días el responsable debe iniciar una revisión exhaustiva para establecer la magnitud del daño y las medidas correctivas y preventivas que correspondan.

El artículo 39 fija el contenido mínimo y suma al regulador. El responsable debe informar al titular y a PRODHAB al menos cuatro cosas:

1. La naturaleza del incidente
2. Los datos personales comprometidos
3. Las acciones correctivas realizadas de forma inmediata
4. Los medios o el lugar donde puede obtenerse más información

PRODHAB publica una ficha de orientación, el Informe de vulneración, que enuncia la misma regla: cinco días hábiles desde los hechos para enviar el informe a la agencia y a los titulares afectados, por carta o correo electrónico firmado por la persona responsable de la información.

Lo que el Proyecto 23097 cambiaría es la forma del deber, no su existencia. La reforma pasaría a un plazo corto al estilo del GDPR y trasladaría la obligación a la ley en lugar del reglamento.

PRODHAB: Estructura, Facultades y Historial de Aplicación

La Agencia de Protección de Datos de los Habitantes (PRODHAB) fue creada por el artículo 15 de la Ley 8968, en su Capítulo IV. Opera como un órgano de desconcentración máxima adscrito al Ministerio de Justicia y Paz, y ejerce funciones regulatorias, de investigación y de sanción con independencia técnica y operativa respecto de la jerarquía general del ministerio.

Funciones Principales

Inscripción y gestión del registro: PRODHAB mantiene un registro público de las bases de datos sujetas al requisito de inscripción. El registro es consultable, lo que permite a los titulares identificar qué entidades poseen datos sobre ellos.

Inspección y auditoría: PRODHAB puede realizar inspecciones de las bases de datos inscritas por iniciativa propia o a raíz de un reclamo. Los inspectores pueden revisar la documentación, entrevistar al personal y examinar las medidas de seguridad.

Tramitación de reclamos: PRODHAB recibe e investiga reclamos formales de los titulares, y publica el registro de casos despersonalizado como datos abiertos. Ese registro consigna aproximadamente 2.340 expedientes de denuncia entre 2014 y junio de 2025, de los cuales cerca de 1.750 se recibieron hasta finales de 2023.

Los sectores que generan más reclamos son los burós de crédito (unos 520 expedientes), la banca y las finanzas (unos 350), los comercios (unos 340) y las gestionadoras de cobro (unos 270). El motivo más común, por amplio margen, es la solicitud de eliminar o suprimir datos personales, presente en unos 1.180 expedientes, seguido de la recolección o el tratamiento sin consentimiento informado previo y del uso de los datos con una finalidad distinta de la autorizada.

Orientación y protocolos inscritos: PRODHAB emite directrices, que el artículo 16(i) obliga a publicar en La Gaceta, y lleva el registro de los protocolos mínimos de actuación.

Esos protocolos no son un código de conducta voluntario. El artículo 32 del Decreto 37554-JP exige que todo responsable redacte uno y lo traslade a su encargado, y debe precisar al menos seis cosas: las políticas y los manuales internos de privacidad; un programa de capacitación y sensibilización del personal; un procedimiento de control interno del cumplimiento de esas políticas; procedimientos gratuitos y expeditos para atender consultas, reclamos y solicitudes de los titulares; medidas técnicas que conserven el histórico de los datos durante el tratamiento; y un mecanismo por el cual el responsable que transfiere informa al responsable que recibe las condiciones bajo las cuales el titular consintió. El protocolo y sus modificaciones posteriores deben inscribirse ante PRODHAB, el artículo 12 de la ley hace de la inscripción una condición de validez, y el artículo 33 del reglamento permite a PRODHAB verificar el cumplimiento en cualquier momento.

Sanción: PRODHAB puede imponer las sanciones graduadas descritas en la sección de Sanciones más adelante. Los procedimientos sancionatorios siguen un trámite administrativo contradictorio en el que la parte acusada puede presentar pruebas y argumentos antes de que se emita una resolución final.

El propio registro de casos publicado por PRODHAB muestra expedientes de denuncia que permanecen abiertos de un año calendario a otro, y la capacidad institucional está entre los temas que aborda el proyecto de reforma bajo el Proyecto 23097.

El 17 de julio de 2026 PRODHAB dictó la Directriz PRODHAB-DIR-DN-001-2026, una directriz general dirigida a toda entidad pública o privada que realice o contrate gestiones de cobro. Limita la recolección de datos de terceros a los casos en que esos terceros hayan dado consentimiento informado expreso, prohíbe las comunicaciones de cobro a personas sin relación directa con la deuda que no hayan consentido, prohíbe el uso de datos de contacto del lugar de trabajo para el cobro salvo que una orden judicial firme lo autorice para una finalidad específica y delimitada, exige que el responsable sea fácilmente identificable en cada comunicación de cobro, y trata la repetición de conductas ya declaradas improcedentes en resoluciones firmes como un agravante que lleva al procedimiento sancionatorio ordinario de los artículos 27 y 28.

Requisito de Inscripción de Bases de Datos

Una característica distintiva de la Ley 8968 en comparación con el GDPR de la UE es la inscripción obligatoria de ciertas bases de datos ante PRODHAB antes de iniciar el tratamiento.

Quién Debe Inscribirse

La inscripción es obligatoria para toda persona física o jurídica, pública o privada, que mantenga una base de datos personales con fines de distribución, divulgación o comercialización de esos datos. Esto abarca a los corredores de datos y proveedores de listas, las bases de datos de mercadeo y publicidad, las agencias de informes crediticios, y las empresas que venden o conceden licencias de acceso a datos personales.

Quién Está Exento

Se aplican dos exenciones, la primera del artículo 2 de la Ley 8968 y del artículo 3 del reglamento, y la segunda del artículo 3 del reglamento reformado por el Decreto 40008-JP:

1. Bases de datos de uso interno: las entidades que mantengan bases de datos personales únicamente para sus propios fines operativos internos (por ejemplo, registros de recursos humanos, registros de atención al cliente, o registros de proveedores utilizados exclusivamente por el responsable) no están obligadas a inscribirse.
2. Entidades financieras reguladas por la SUGEF: las entidades sujetas al control y la regulación de la Superintendencia General de Entidades Financieras (SUGEF) están exentas de la inscripción ante PRODHAB respecto de los datos tratados bajo el marco de supervisión de la SUGEF.

Información Requerida para la Inscripción

El artículo 44 del Decreto 37554-JP fija el contenido. Una solicitud de inscripción debe incluir: la solicitud autenticada del propietario; la designación del responsable ante PRODHAB y ante terceros, con carta de aceptación del cargo; la identificación de los encargados del tratamiento y sus datos de contacto; el nombre y la descripción de la base de datos; las finalidades y los usos previstos; las categorías de datos personales tratados y los procedimientos por los cuales se obtiene el consentimiento; los destinatarios previstos; las medidas de seguridad; y una copia de los protocolos mínimos de actuación. Las bases de datos internas y domésticas no son inscribibles.

La tarifa anual de inscripción es de USD 200, pagadera entre el 1 y el 31 de enero de cada año (artículo 33 de la ley; artículos 78 y 79 del reglamento). Tratar datos personales sin estar debidamente inscrito, cuando el artículo 21 exige la inscripción, es una falta gravísima conforme al artículo 31(e): de 15 a 30 salarios base más la suspensión del archivo por uno a seis meses.

Límite de Conservación

El tope de conservación de diez años está en la ley misma, no en una reforma al decreto, y no se limita a las bases de datos inscritas. El artículo 6.1 de la Ley 8968 dispone que los datos personales que puedan afectar al titular no pueden conservarse una vez transcurridos diez años, y el artículo 11 del Decreto 37554-JP lo reitera.

El Decreto 40008-JP cambió el punto de partida en 2016. Los diez años corren ahora desde la fecha en que termina la finalidad del tratamiento, y no desde la fecha de los hechos registrados. Se aplican cuatro excepciones: una disposición legal especial que fije otro plazo, un plazo distinto acordado entre las partes, una relación continuada entre ellas, o un interés público en conservar los datos. Cuando los datos deban conservarse más allá del plazo, la ley exige la desasociación, es decir, que los datos se disocien de la persona en lugar de simplemente mantenerse.

Transferencias Internacionales de Datos

El artículo 14 de la Ley 8968, que conforma el Capítulo III de la ley, regula las transferencias de datos personales. Costa Rica no utiliza un modelo de adecuación, y esta es la diferencia más determinante para una empresa que llega con un manual del GDPR.

El Consentimiento Es la Única Vía

El artículo 14 dispone que los responsables, públicos o privados, solo pueden transferir los datos contenidos en sus bases de datos cuando el titular del derecho haya autorizado expresa y válidamente esa transferencia, y siempre que no se vulneren los principios y los derechos que la ley reconoce.

El artículo 40 del Decreto 37554-JP, reformado por el Decreto 40008-JP, agrega que toda transferencia requiere el consentimiento inequívoco e informado del titular, salvo que una disposición legal establezca otra cosa, y que los datos deben haberse recolectado de forma lícita. Cualquier venta de un archivo o una base de datos, total o parcial, debe cumplir los mismos requisitos.

No existe una facultad de determinación de adecuación, ni una lista de adecuación de PRODHAB, ni un conjunto de excepciones al estilo del GDPR. El responsable que envía datos personales al exterior porque el país receptor se considera adecuado en otra jurisdicción no tiene base legal en Costa Rica.

Qué Cuenta como Transferencia

Conforme al artículo 40 reformado, trasladar datos del responsable a su encargado, a un intermediario tecnológico o proveedor de servicios, o a empresas del mismo grupo de interés económico no es una transferencia. Una transferencia es una cesión del responsable que transfiere a un responsable que recibe.

Dos Obligaciones que Acompañan a la Transferencia

1. Un contrato con el destinatario. El artículo 43 del reglamento exige que quien transfiere suscriba un contrato que obligue a quien recibe, al menos, a las mismas obligaciones que soporta quien transfiere.
2. Cumplimiento del protocolo inscrito. El artículo 41 condiciona toda transferencia al fiel cumplimiento de los protocolos mínimos de actuación inscritos ante PRODHAB. El artículo 42 pone en el responsable la carga de probar la licitud de la transferencia.

La Sanción por Hacerlo Mal

Transferir datos personales de costarricenses, o de extranjeros residentes en el país, a bases de datos de terceros países sin el consentimiento de los titulares es una falta gravísima conforme al artículo 31(f): de 15 a 30 salarios base, hoy de 6.933.000 a 13.866.000 colones, más la suspensión del archivo por uno a seis meses. Transferir en contra del Capítulo III en general es una falta grave conforme al artículo 30(b).

Puntos Prácticos de Cumplimiento

Las organizaciones que transfieran datos personales desde Costa Rica deberían obtener un consentimiento escrito, específico y documentado que identifique la transferencia; conservar la prueba de ese consentimiento, porque la carga probatoria recae en el responsable; suscribir un contrato que imponga al destinatario obligaciones al menos equivalentes; redactar e inscribir un protocolo mínimo de actuación y cumplirlo; y tratar por separado los flujos hacia encargados y dentro del mismo grupo, ya que esos no son transferencias conforme al artículo 40.

Sanciones y Aplicación de la Ley

El Capítulo V de la Ley 8968 establece un régimen sancionatorio administrativo graduado. El artículo 28 fija las sanciones, y los artículos 29, 30 y 31 enumeran las faltas leves, graves y gravísimas. Los artículos 33 y 34, que algunos resúmenes citan para las sanciones, son los cánones: la tarifa anual de inscripción de USD 200 y la tarifa por consulta en las ventas comerciales.

Categorías de Infracciones

Faltas leves, artículo 29, son solo dos: recolectar datos personales para su uso en una base de datos sin dar al titular la información completa que exige el artículo 5.1, y recolectar, almacenar o transmitir datos personales de terceros por mecanismos inseguros que no garanticen la seguridad y la integridad de los datos.

Faltas graves, artículo 30, son cinco: recolectar, almacenar, transmitir o utilizar de cualquier otra forma datos personales sin el consentimiento informado y expreso del titular; transferir datos personales a otras personas o empresas en contra del Capítulo III; utilizar datos personales con una finalidad distinta de la autorizada por el titular; negar injustificadamente al titular el acceso a los datos que se tienen sobre él; y negarse injustificadamente a eliminar o rectificar datos cuando se solicita de forma clara e inequívoca.

Faltas gravísimas, artículo 31, son seis: el tratamiento de datos sensibles por parte de una persona física o jurídica privada; obtener datos personales mediante engaño, violencia o amenaza; revelar información de una base de datos que se está legalmente obligado a mantener en secreto; entregar a sabiendas a un tercero información falsa o alterada de un archivo de datos; tratar datos personales sin estar inscrito ante PRODHAB cuando el artículo 21 lo exige; y transferir datos personales de costarricenses o residentes a bases de datos de terceros países sin el consentimiento de los titulares.

Conviene notar dónde están realmente dos infracciones que suelen ubicarse mal. La falta de inscripción es gravísima, no grave. El tratamiento con una finalidad distinta de la consentida es grave, no gravísima. El incumplimiento de una orden de PRODHAB para corregir o eliminar se rige por el artículo 26, que expone a la parte a las sanciones de esta y otras leyes.

Escala de Sanciones

El salario base utilizado para calcular estas multas es el salario base del puesto de auxiliar judicial I previsto en la Ley de Presupuesto de la República, según precisa el artículo 28. Para 2026 esa cifra es de 462.200 colones, fijada por la Circular N.° 246-2025 y sin cambios desde 2021, conforme a la tabla publicada por el Ministerio de Hacienda. A 30 salarios base, la multa administrativa máxima es de 13.866.000 colones, aproximadamente USD 30.500 al tipo de cambio de referencia de septiembre de 2026, de unos 454 colones por dólar.

Más allá de las multas, el artículo 28 prevé una sola sanción adicional: la suspensión del archivo por uno a seis meses, disponible para las faltas gravísimas. No existe una sanción de cancelación definitiva ni una sanción de publicación en el diario oficial, ni en la ley ni en el reglamento. La cancelación de una inscripción es un trámite voluntario que inicia el propietario o el responsable conforme al artículo 55 del reglamento, y el único deber de publicación en La Gaceta que fija la ley es el de las directrices de la propia PRODHAB, en el artículo 16(i).

PRODHAB también puede dictar apercibimientos escritos (artículo 70 del reglamento) y puede ordenar, de oficio o a solicitud de parte, la eliminación, la rectificación, la adición o la restricción de la circulación de los datos contenidos en archivos y bases de datos (artículo 16(f) y artículo 26 de la ley).

Cómo Fija PRODHAB el Monto

Ni la Ley 8968 ni el Decreto 37554-JP contienen una lista de factores agravantes y atenuantes como la del artículo 83 del GDPR de la UE. El artículo 70 del reglamento da la única instrucción: PRODHAB impone la sanción según el nivel legal en el que encaja la infracción y según el hecho generador, la conducta que la produjo, en la resolución final misma, donde se enumeran las infracciones cometidas, el monto, el plazo de pago y la cuenta.

Dos reglas relacionadas importan en la práctica. El artículo 12 de la ley concede a los datos manejados bajo un protocolo inscrito ante PRODHAB una presunción de cumplimiento que admite prueba en contrario, aunque con la finalidad específica de autorizar una cesión de datos y no como un atenuante general. Y la directriz de PRODHAB del 17 de julio de 2026 trata la repetición de conductas ya declaradas improcedentes en resoluciones firmes como una circunstancia agravante en materia de gestión de cobro.

Reformas Pendientes y Novedades Legislativas

El marco de protección de datos de Costa Rica ha sido objeto de una presión sostenida hacia la reforma desde aproximadamente 2019, impulsada por los requisitos de la membresía en la OCDE, las relaciones comerciales bilaterales con la UE, y el reconocimiento a nivel interno de que la Ley 8968 es anterior al GDPR y carece de varias características hoy consideradas estándar.

Proyecto N.° 23097: Propuesta de Nueva Ley de Protección de Datos Personales

La reforma pendiente más significativa es el Proyecto de Ley N.° 23097, presentado a la Asamblea Legislativa en mayo de 2022. El proyecto propone la derogación completa de la Ley 8968 y su reemplazo por una nueva norma alineada con el GDPR de la UE, que incluye:

• Una "base de interés legítimo" para el tratamiento (ausente en la ley vigente)
• Un plazo corto de notificación de vulneraciones al estilo del GDPR dentro de la ley, en sustitución de la regla de cinco días hábiles que ya imponen los artículos 38 y 39 del reglamento
• Evaluaciones de impacto en la protección de datos (EIPD) para el tratamiento de alto riesgo
• Obligaciones de responsabilidad proactiva, incluidos delegados de protección de datos para los responsables de tratamiento a gran escala
• Una PRODHAB fortalecida, con mayor autonomía y presupuesto propio
• Un tope máximo de multas superior al límite actual de 30 salarios base
• Derechos de portabilidad de datos para los titulares
• Disposiciones que regulan la toma de decisiones automatizada y la elaboración de perfiles
• Un período de transición de 12 meses tras su sanción

Lo que puede confirmarse sobre el proyecto es acotado. Su texto base en la Asamblea está firmado y fechado el 17 de mayo de 2022. No se ha convertido en ley: el registro de SINALEVI para la Ley 8968 no muestra legislación que la afecte, y la propia página de Normativa de PRODHAB indica que la ley nunca ha sido reformada y que solo ha cambiado el reglamento, por el Decreto 40008-JP en 2016 y el Decreto 41582-JP en 2019.

Los proyectos de ley costarricenses caducan cuatro años después de su presentación, salvo que la Asamblea los renueve, de modo que la fecha cuatrienal del Proyecto 23097 venció el 17 de mayo de 2026. El sistema de expedientes de la Asamblea estuvo inaccesible durante esta revisión, por lo que no pudimos confirmar si el proyecto fue archivado en esa fecha o si continuó su trámite. Trátelo como un insumo de planificación y no como un cambio programado, y consulte el expediente de la Asamblea antes de actuar en función de él.

Alineación con la Adhesión a la OCDE

Costa Rica se incorporó a la OCDE el 25 de mayo de 2021. La membresía en la OCDE ha acelerado la alineación con los estándares internacionales de privacidad, incluidas las Directrices de la OCDE sobre la Protección de la Privacidad y los Flujos Transfronterizos de Datos Personales (revisadas en 2013). Estas directrices se reflejan en los lineamientos vigentes de PRODHAB y en las propuestas de reforma del Proyecto 23097.

El Proceso de Adhesión al Convenio 108+ del Consejo de Europa

Costa Rica solicitó adherirse al Convenio 108+ (Convenio para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal, modernizado en 2018), y el Comité Consultivo del Consejo de Europa publicó una evaluación completa de Costa Rica para la adhesión el 11 de junio de 2021. La adhesión incorporaría a Costa Rica a un marco de tratado internacional vinculante, con protecciones sustantivas alineadas con el GDPR. En el plenario del T-PD de noviembre de 2025 el proceso seguía en la etapa de intercambio de puntos de vista, y Costa Rica no había completado la adhesión al momento de la revisión de este artículo, en septiembre de 2026.

El Contexto de Ciberseguridad Posterior a 2022

La urgencia de la reforma en Costa Rica aumentó tras los ataques de ransomware de abril y mayo de 2022 atribuidos al grupo Conti, que afectaron a múltiples ministerios del gobierno y motivaron una declaratoria de emergencia nacional de ciberseguridad. Estos incidentes expusieron falencias en la postura de ciberseguridad y en la capacidad de respuesta ante vulneraciones. El deber de notificación de los artículos 38 y 39 del Decreto 37554-JP ya existía en ese momento. El debate de reforma ha girado en torno a endurecerlo, pasando a un plazo más corto y llevando las obligaciones sobre incidentes de seguridad a la ley en lugar de dejarlas en el reglamento.

Rol Regional

Costa Rica participa en la Red Iberoamericana de Protección de Datos (RIPD), que facilita la cooperación regulatoria entre jurisdicciones de habla hispana y portuguesa. PRODHAB ha contribuido a los grupos de trabajo de la RIPD sobre gobernanza de la inteligencia artificial, mecanismos de transferencia transfronteriza, y cooperación entre autoridades de control.

Cumplimiento Empresarial: Lista de Verificación Práctica

Para las empresas que operan en Costa Rica o que transfieren datos hacia o desde el país, la Ley 8968 impone las siguientes obligaciones fundamentales:

Auditar sus bases de datos: identificar cuáles bases de datos contienen datos personales. Determinar si cada una está sujeta al requisito de inscripción (fines de distribución o divulgación comercial) o si se encuentra dentro de una exención (uso interno; entidades reguladas por la SUGEF).

Inscribir las bases de datos correspondientes: presentar una solicitud de inscripción ante PRODHAB antes de iniciar el uso comercial de cualquier base de datos sujeta al requisito. Presupuestar USD 200 por base de datos, por año.

Recabar consentimiento por escrito, para toda categoría de datos: para cada actividad de tratamiento, preparar un documento de consentimiento escrito, en papel o electrónico, que identifique al responsable, indique la finalidad específica, identifique a los terceros destinatarios, explique los derechos del titular, y describa cómo puede revocarse el consentimiento. Cuando el consentimiento va dentro de un contrato firmado con otra finalidad, dele una cláusula específica e independiente. Conserve la prueba: la carga de probar el consentimiento siempre es suya.

No tratar datos sensibles salvo que aplique una excepción: si su tratamiento toca el origen racial o étnico, las opiniones políticas, las convicciones religiosas, espirituales o filosóficas, la situación socioeconómica, la información biomédica o genética, o la vida y la orientación sexual, parta de la premisa de que el artículo 9.1 lo prohíbe. El tratamiento solo es lícito bajo una de las cuatro excepciones legales, y para una entidad privada, tratarlos fuera de ellas es una falta gravísima.

Responder a las solicitudes de los titulares dentro de los cinco días hábiles: implementar un flujo interno que señale, reconozca y responda a tiempo las solicitudes de acceso, rectificación, eliminación y revocación. La negativa injustificada de acceso, eliminación o rectificación es en sí misma una falta grave.

Obtener consentimiento antes de cualquier transferencia: no hay lista de adecuación que consultar. Antes de que los datos personales salgan de su control, obtenga la autorización expresa, informada e inequívoca del titular para esa transferencia, suscriba un contrato que obligue al destinatario a obligaciones al menos equivalentes, y conserve la documentación. Los traslados a su propio encargado o dentro de su grupo de interés económico no son transferencias conforme al artículo 40.

Implementar medidas de seguridad: el Decreto 37554-JP exige medidas técnicas y organizativas adecuadas al riesgo, incluidos controles de acceso, cifrado de los datos sensibles en tránsito y en reposo, y procedimientos documentados de respuesta a incidentes. Cuando la ley permite el tratamiento de datos sensibles, revise esas medidas al menos una vez al año.

Establecer un proceso de vulneraciones de cinco días hábiles: los artículos 38 y 39 del reglamento exigen notificar a los titulares afectados y a PRODHAB dentro de los cinco días hábiles del incidente, indicando la naturaleza del incidente, los datos comprometidos, las acciones correctivas inmediatas y dónde obtener más información. Inicie la revisión interna exhaustiva dentro de esos mismos cinco días.

Redactar e inscribir un protocolo mínimo de actuación: el artículo 32 del reglamento lo hace obligatorio, el artículo 12 de la ley hace de la inscripción ante PRODHAB una condición de validez, y el artículo 41 hace depender de su cumplimiento la licitud de las transferencias.

Vigilar la reforma, pero cumplir la ley vigente: el Proyecto 23097 daría un período de transición de 12 meses si se sanciona, y su plazo cuatrienal de presentación venció el 17 de mayo de 2026 sin aprobación confirmada. La Ley 8968 tal como está es la que obliga hoy. Cualquier análisis de brechas frente al proyecto (requisitos de evaluación de impacto, base de interés legítimo, designación de delegados de protección de datos, un plazo de notificación más corto) es trabajo de planificación, y no un plazo de cumplimiento.

Aviso Legal

Este artículo presenta información legal general sobre el marco de protección de datos de Costa Rica en virtud de la Ley N.° 8968 y el Decreto Ejecutivo 37554-JP, verificada al 10 de septiembre de 2026. No constituye asesoramiento legal ni aborda la situación específica de ninguna persona u organización. Las leyes y los reglamentos cambian, y la legislación de reforma pendiente descrita anteriormente podría modificar las obligaciones aquí analizadas. Las personas y empresas con preguntas específicas sobre el cumplimiento en materia de protección de datos en Costa Rica deberían consultar a un abogado habilitado para ejercer el derecho costarricense.