Reglamento
Reglamento a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales
- Número
- 74352
- Estado
- Vigente
- Última actualización registrada
Estado jurídico
Vigente
Norma vigente según la fuente oficial verificada por LANX.
Información jurídica, no asesoría legal. Cómo verificamos
CAPÍTULO I
Disposiciones Generales
Las presentes disposiciones tienen por objeto reglamentar la Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales, en cuanto a garantizar a cualquier individuo, independientemente de su nacionalidad, residencia o domicilio, el respeto a sus derechos fundamentales, concretamente, su derecho a la autodeterminación informativa en relación con su intimidad o actividad privada, así como la defensa de su libertad e igualdad con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona o bienes.
Además de las definiciones establecidas en la Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales, para los efectos del presente Reglamento se entenderá por:
- Agencia o PRODHAB: Agencia de Protección de Datos de los Habitantes.
- Base de datos: Cualquier archivo, fichero, registro u otro conjunto estructurado de datos personales públicos o privados, que sean objeto de tratamiento, automatizado o manual, en el sitio o en la nube, bajo control o dirección de un responsable, cualquiera que sea la modalidad de su elaboración, organización o acceso.
- Base de datos interna, personal o doméstica: Se considerará como base de datos personal o doméstica, cualquier archivo, fichero, registro u otro conjunto estructurado de datos personales restringidos o de acceso irrestricto, mantenidos por personas físicas, siempre y cuando las bases de datos o su contenido no sea comercializado, distribuido o difundido. Se considerará como base de datos interna cualquier archivo, fichero, registro u otro conjunto estructurado de datos personales mantenidos por personas jurídicas, públicas o privadas, siempre y cuando las bases de datos o su contenido no sea comercializado, distribuido o difundido. Conservarán la calidad de base de datos interna, aquellas bases de datos que sean compartidas dentro de un mismo grupo de interés económico ya sea local o con presencia internacional siempre que no medie difusión o distribución a terceros, venta o comercialización de cualquier naturaleza.
- Bases de datos de acceso público: Aquellos ficheros, archivos, registro u otro conjunto estructura de datos que pueden ser consultados por cualquier persona que no estén impedidos por una norma limitativa, o sin más exigencia que el pago de una contraprestación.
- Comercializar: Vender, transar, intercambiar o de cualquier manera enajenar o pignorar, con fines de lucro a favor de un tercero, una o más veces, aquellos datos personales que consten en bases de datos.
- Consentimiento del titular de los datos personales: Toda manifestación de voluntad expresa, libre, inequívoca, informada y específica que se otorgue por escrito o en medio digital para un fin determinado, mediante la cual el titular de los datos personales o su representante, consienta el tratamiento de sus datos personales. Si el consentimiento se otorga en el marco de un contrato para otros fines, dicho contrato deberá contar con una cláusula específica e independiente sobre consentimiento del tratamiento de datos personales.
- Consulta: Solicitud realizada a una base de datos, en la que se requiere información concreta en función de criterios de búsqueda definidos, siempre que dicha solicitud no resulte en una trasbase o réplica de la base de datos.
- Contrato global: Acuerdo de voluntades mediante el cual las partes manifiestan o expresan su consentimiento, sea de manera física o electrónica, y que tiene por objeto el servicio de un conjunto de consultas realizadas por un mismo solicitante a una base de datos que contenga datos personales, mediante el pacto de una remuneración pecuniaria en atención al volumen.
- Datos en la nube: Archivo, fichero, registro u otro conjunto estructurado de datos a los cuales se accesa haciendo uso de Internet.
- Distribución, difusión: Cualquier forma en la que se repartan o publiquen datos personales, a un tercero, por cualquier medio siempre que medie un fin de comercializar el dato o medie el lucro con la base de datos.
- Encargado: Toda persona física o jurídica, entidad pública o privada, o cualquier otro organismo que da tratamiento a los datos personales por cuenta del responsable de la base de datos.
- Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma, fin o modalidad de su creación, almacenamiento, organización y acceso.
- Garantía de confidencialidad: Obligación de toda persona física o jurídica, pública o privada, que tenga participación en el tratamiento o almacenamiento de datos personales, de cumplir con el deber de confidencialidad que exige la Ley.
- Intermediario tecnológico o proveedor de servicios: Persona física o jurídica, pública o privada que brinde servicios de infraestructura, plataforma, software u otros servicios.
- Investigación científica: Proceso de aplicación de un método científico que procura obtener información relevante y fidedigna para entender, verificar, corregir o aplicar datos, entre ellos personales de carácter no sensible o que siendo sensibles no sean identificables, con la finalidad de obtener conocimientos y solucionar problemas científicos, filosóficos o empírico-técnicos.
- Ley: Ley de Protección de la Persona Frente al Tratamiento de sus Datos Personales, número 8968.
- Persona física identificable: Persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad anatómica, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionadas.
- Procedimiento de desasociación: Acción y efecto de disociar los datos personales, de modo que la información que se obtenga no pueda asociarse o vincularse a persona determinada o determinable.
- Responsable: Toda persona física o jurídica, pública o privada, que administre o, gerencia o, se encargue o, sea propietario, de una o más bases de datos públicas o privadas, competente con arreglo a la Ley, para decidir cuál es la finalidad de la base de datos, cuáles categorías de datos de carácter personal deberán registrarse y qué tipo de tratamiento les aplicarán.
- (Derogado por el artículo 11° del decreto ejecutivo N° 40008 del 19 de julio de 2016)
- Supresión o eliminación: Procedimiento en virtud del cual el responsable o el encargado de la base de datos, borra o destruye total o parcialmente de manera definitiva, los datos personales del titular, de su base de datos.
- Titular o interesado: Persona física dueña de los datos personales tutelados en la Ley, o su representante.
- Transferencia de datos personales: Acción mediante la cual se trasladan datos personales del responsable de una base de datos personales a cualquier tercero distinto del propio responsable, de su grupo de interés económico, del encargado, proveedor de servicios o intermediario tecnológico, en estos casos siempre y cuando el receptor no use los datos para distribución, difusión o comercialización.
- Tratamiento de datos: Cualquier operación o conjunto de operaciones, efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos personales, tales como la recolección, el registro, la organización, la conservación, la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión, distribución o cualquier otra forma que facilite el acceso a estos, el cotejo o la interconexión, así como su bloqueo, supresión o destrucción, entre otros.
- Tratamiento de datos automatizado: Cualquier operación, conjunto de operaciones o procedimientos, aplicados a datos personales, efectuados mediante la utilización de hardware, software, redes, servicios, aplicaciones, en el sitio o en la nube, o cualquier otra tecnología de la información que permitan la recolección, el registro, la organización, la conservación, la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión, distribución o cualquier otra forma que facilite el acceso a estos, el cotejo, o la interconexión, así como su bloqueo, supresión o destrucción, intercambio o digitalización de datos personales, entre otros.
- Grupo de interés económico: agrupación de sociedades que se manifiesta mediante una unidad de decisión, es decir, la reunión de todos los elementos de mando o dirección empresarial por medio de un centro de operaciones, y se exterioriza mediante dos movimientos básicos: el criterio de unidad de dirección, ya sea por subordinación o por colaboración entre empresas, o el criterio de dependencia económica de las sociedades que se agrupan, sin importar que la personalidad jurídica de las sociedades se vea afectada, o que su patrimonio sea objeto de transferencia, independientemente de su domicilio y razón social. Cuando la PRODHAB lo requiera la condición de grupo de interés económico podrá ser demostrada al menos por medio de una declaración notarial jurada o documento legal equivalente de la jurisdicción del titular de la base de datos sin perjuicio de las facultades de investigación de la PRODHAB.
(Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así reformado el inciso anterior por el artículo 1° del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así reformado el inciso anterior por el artículo 1 del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así adicionado el inciso anterior por el artículo 1 del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Este Reglamento será de aplicación a los datos personales que figuren en las bases de datos automatizadas o manuales, de organismos públicos o privados, y a toda modalidad de uso posterior de estos datos, en tanto surtan efectos dentro del territorio nacional, o les resulte aplicable la legislación costarricense derivada de la celebración de un contrato o en los términos del derecho internacional.
El régimen de protección de los datos de carácter personal que se establece en este Reglamento, no será de aplicación a las bases de datos mantenidas por personas físicas o jurídicas, públicas o privadas, con fines exclusivamente internos, personales o domésticos, siempre y cuando éstas no sean de cualquier manera comercializadas.
Las bases de datos de entidades financieras que se encuentren sujetas al control y regulación por parte de la Superintendencia General de Entidades Financieras (SUGEF), no requerirán inscribirse ante la Agencia de Protección de Datos de los Habitantes. Sin perjuicio de lo anterior, la Agencia tendrá plena competencia para regular y fiscalizar la protección de los derechos y garantías cubiertos bajo la Ley N° 8968 y ejercer todas las acciones que se conceden al efecto, sobre dichas bases de datos.
El régimen de protección de los datos de carácter personal que se establece en este Reglamento tampoco será de aplicación a los datos que se refieran a personas físicas en su calidad de profesionales siempre y cuando ello se realice para fines propios de la profesión o en cumplimiento de disposiciones legales.
(Así reformado el párrafo anterior por el artículo 2 del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así adicionado el párrafo anterior por el artículo 2 del decreto ejecutivo N° 40008 del 19 de julio de 2016)
CAPÍTULO II
Del Consentimiento
La obtención del consentimiento deberá ser:
- Libre: no debe mediar error, mala fe, violencia física o psicológica o dolo, que puedan afectar la manifestación de voluntad del titular;
- Específico: referido a una o varias finalidades determinadas y definidas que justifiquen el tratamiento;
- Informado: que el titular tenga conocimiento previo al tratamiento, a qué serán sometidos sus datos personales y las consecuencias de otorgar su consentimiento. Asimismo, de saber quién es el responsable que interviene en el tratamiento de sus datos personales, y su lugar o medio de contacto;
- Inequívoco: debe otorgarse por cualquier medio o mediante conductas inequívocas del titular de forma tal que pueda demostrarse de manera indubitable su otorgamiento y que permita su consulta posterior.
- Individualizado: debe existir mínimo un otorgamiento del consentimiento por parte de cada titular de los datos personales.
(Así reformado el inciso anterior por el artículo 3° de decreto ejecutivo N° 40008 del 19 de julio de 2016)
Quien recopile datos personales deberá, en todos los casos, obtener el consentimiento expreso del titular para el tratamiento de datos personales, con las excepciones establecidas en la Ley.
El consentimiento deberá ser otorgado por el titular, en un documento físico o electrónico. Tratándose de consentimiento recabado en línea, el responsable deberá poner a disposición un procedimiento para el otorgamiento del consentimiento conforme a la Ley.
De igual manera, el documento por medio del cual el autorizante de los datos personales extiende su consentimiento, debe ser de fácil comprensión, gratuito y debidamente identificado.
No será necesario el consentimiento expreso cuando:
- Exista orden fundamentada, dictada por autoridad judicial competente o acuerdo adoptado por una comisión especial de investigación de la Asamblea Legislativa en el ejercicio de su cargo.
- Se trate de datos personales de acceso irrestricto, obtenidos de fuentes de acceso público general.
- Los datos deban ser entregados por disposición constitucional o legal.
(Así reformado el párrafo anterior por el artículo 4° del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Para efectos de demostrar la obtención del consentimiento, la carga de la prueba recaerá, en todos los casos, en el responsable de la base de datos.
En cualquier momento, el titular podrá revocar su consentimiento para el tratamiento de sus datos personales, para lo cual el responsable deberá establecer mecanismos expeditos, sencillos y gratuitos, que permitan al titular revocar su consentimiento.
El responsable de la base de datos, ante la presentación de la solicitud de revocación del consentimiento, contará con un plazo de cinco días hábiles a partir del recibido de la misma, para proceder conforme a la revocación. Asimismo, dentro del mismo plazo de cinco días hábiles, deberá informarles de dicha revocación a aquellas personas físicas o jurídicas a quienes haya transferido los datos, mismas que deberán proceder en un plazo de cinco días hábiles a partir de la notificación a ejecutar la revocación del consentimiento.
La revocación del consentimiento no tendrá efecto retroactivo.
Artículo 9
Plazo para la confirmación de la revocación
Vigente desde 5 de marzo de 2013 · texto SINALEVI
Cuando el titular solicite la confirmación del cese del tratamiento de sus datos, el responsable deberá responder en forma gratuita, expresamente en el plazo de tres días hábiles, a partir de la presentación de dicha solicitud.
En caso de negativa, expresa o tácita, por parte del responsable, a tramitar la revocación del consentimiento, el titular podrá presentar ante la Agencia la denuncia correspondiente a que refiere la Ley y este Reglamento.
La conservación de los datos personales que puedan afectar a su titular, no deberá exceder el plazo de diez años, desde la fecha de terminación del objeto de tratamiento del dato, salvo disposición normativa especial que establezca otro plazo, que por el acuerdo de partes se haya establecido un plazo distinto, que exista una relación continuada entre las partes o que medie interés público para conservar el dato.
(Así reformado por el artículo 5° del decreto ejecutivo N° 40008 del 19 de julio de 2016)
CAPÍTULO III
De los Derechos de los Titulares y su Ejercicio
Es el derecho fundamental de toda persona física, a conocer lo que conste sobre ella, sus bienes o derechos en cualquier base de datos, de toda naturaleza, pública o privada, el fin para el cual está siendo utilizada o recabada su información personal, así como exigir que sea rectificada, actualizada, complementada o suprimida, cuando la misma sea incorrecta o inexacta, o esté siendo empleada para un fin distinto del autorizado o del que legítimamente puede cumplir.
El ejercicio de cualquiera de los derechos de acceso, rectificación, modificación, revocación o eliminación de los datos personales por parte del titular, no excluye la posibilidad de ejercer unos u otros, ni puede constituir requisito previo para el ejercicio de cualquiera de estos derechos.
Artículo 14
Restricciones al ejercicio de los derechos
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El ejercicio de los derechos mencionados en el artículo anterior, podrá restringirse por razones de seguridad nacional, disposiciones de orden público y salud pública o para proteger los derechos de terceras personas, en los casos y con los alcances previstos en las leyes aplicables en la materia, mediante resolución de la autoridad competente debidamente fundamentada y motivada.
Artículo 15
Personas facultadas para el ejercicio de los derechos
Vigente desde 5 de marzo de 2013 · texto SINALEVI
Los derechos de acceso, rectificación, modificación, revocación o eliminación, se ejercerán por el titular o su representante, previa acreditación de la titularidad o de la representación.
Artículo 16
Medios y formas para el ejercicio de los derechos
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El responsable, deberá poner a disposición del titular, los medios y formas simplificados de comunicación electrónica u otros que considere pertinentes para facilitar a los titulares el ejercicio de sus derechos.
Artículo 17
Medio para recibir notificaciones del titular
Vigente desde 5 de marzo de 2013 · texto SINALEVI
En la solicitud de acceso, rectificación, modificación, revocación o eliminación, para los efectos de la Ley y el presente Reglamento, se deberá indicar medio para recibir notificaciones.
En caso de no cumplir con este requisito, opera la notificación automática señalada en la Ley de Notificaciones Judiciales, Ley No. 8687, del 4 del diciembre del 2008, publicado en La Gaceta No. 20 del 29 de enero de 2009, y sus reformas.
Artículo 18
De las solicitudes del titular hacia el responsable
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El responsable, deberá dar trámite a toda solicitud para el ejercicio de los derechos personales del titular. El plazo para que se atienda la solicitud será de cinco días hábiles, contados a partir del día siguiente en que la misma haya sido recibida por el responsable, en cuyo caso éste anotará en el acuse de recibo que entregue al titular, la correspondiente fecha de recepción.
El plazo señalado se interrumpirá en caso de que el responsable requiera información adicional al titular.
En el caso de que la información proporcionada en la solicitud sea insuficiente o errónea para atenderla, el responsable podrá requerir al titular, por una vez y dentro de los cinco días hábiles siguientes a la recepción de la solicitud, que aporte los elementos o documentos necesarios para dar trámite a la misma. El titular contará con un plazo de cinco días hábiles, contados a partir del día siguiente de su recepción, para atender el requerimiento.
De no dar respuesta en dicho plazo, se tendrá por no presentada la solicitud correspondiente. En caso de que el titular, atienda el requerimiento de información, el plazo para que el responsable dé respuesta a la solicitud, será de cinco días hábiles, que empezarán a correr el día siguiente de que el titular, haya atendido el requerimiento.
En todos los casos, el responsable deberá dar respuesta a las solicitudes que reciba del titular, con independencia de que figuren o no datos personales de éste en sus bases de datos, de conformidad con el plazo establecido en la Ley y este Reglamento.
La respuesta del responsable al titular, deberá referirse sobre la totalidad del registro perteneciente al titular, aún cuando el requerimiento solo comprenda un aspecto de los datos personales, y deberá presentarse en un formato legible, comprensible y de fácil acceso. En caso de uso de códigos, siglas o claves se deberán proporcionar los significados correspondientes.
Este informe en ningún caso podrá revelar datos pertenecientes a terceros, aún cuando se vinculen con el titular solicitante.
El titular tiene derecho a obtener del responsable, la información relacionada con sus datos personales, entre ellos lo relativo a las condiciones, finalidad y generalidades de su tratamiento.
Podrá realizar las consultas de información a la base de datos, con un intervalo mínimo de seis meses, salvo que de manera fundamentada el titular exprese al responsable de la base de datos sus motivos y pruebas, por los cuales considera existe una vulneración de sus derechos protegidos en la Ley y el presente Reglamento. En caso de que el responsable de la base de datos considere que los motivos no son de recibo y existiera la posibilidad de un uso abusivo de ese derecho, dentro de los cinco días hábiles siguientes a la solicitud, elevará el asunto ante la PRODHAB, quien resolverá en definitiva, dentro del plazo de diez días hábiles, a partir de la recepción de dicha gestión.
El responsable, deberá evacuar la consulta de información dentro del plazo de cinco días hábiles a partir de la recepción de la solicitud.
El responsable que niegue el ejercicio de cualquier gestión del titular, deberá justificar por escrito su respuesta. Si el titular lo considera pertinente, podrá acudir ante la Agencia conforme el Capítulo VII "De la Protección de Derechos ante la Agencia" de este Reglamento.
El titular podrá solicitar en todo momento al responsable, que rectifique sus datos personales que resulten ser inexactos, incompletos o confusos.
Artículo 24
Requisitos para el ejercicio del derecho de rectificación
Vigente desde 5 de marzo de 2013 · texto SINALEVI
La solicitud de rectificación, deberá indicar a qué datos personales se refiere, así como la corrección que se solicita realizar y deberá ser acompañada de la documentación o prueba pertinente que ampare la procedencia de lo solicitado. El responsable, deberá ofrecer mecanismos que faciliten el ejercicio de este derecho en beneficio del titular.
El titular podrá solicitar en cualquier momento al responsable, la supresión o eliminación total o parcial de los datos personales del titular, de manera definitiva.
Artículo 26
Ejercicio del derecho de supresión o eliminación
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El titular podrá solicitar en cualquier momento al responsable, la supresión o eliminación total o parcial de los datos personales, salvo en los siguientes casos:
- La seguridad del Estado;
- Los datos deban ser mantenidos por disposición constitucional, legal o resolución de órgano judicial;
- La seguridad ciudadana y el ejercicio de la autoridad pública;
- La prevención, persecución, investigación, detención y represión de las infracciones penales, o de las infracciones de la deontología en las profesiones;
- El funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica, cuando no exista riesgo de que las personas sean identificadas;
- La adecuada prestación de servicios públicos;
- La eficaz actividad ordinaria de la Administración, por parte de las autoridades oficiales;
- Se trate de datos personales de acceso irrestricto, obtenidos de fuentes de acceso público general;
CAPÍTULO IV
Del Tratamiento de los Datos Personales y las Medidas de Seguridad
El responsable establecerá y documentará procedimientos para la inclusión, conservación, modificación, bloqueo y supresión de los datos personales, en el sitio o en la nube, con base en los protocolos mínimos de actuación y las medidas de seguridad en el tratamiento de los datos personales. Además deberá el responsable de la base de datos velar por la aplicación del principio de calidad de la información.
Corresponde al responsable o al encargado, la difusión, comercialización y distribución de dichos datos, según lo que determine el consentimiento informado otorgado por el titular, aún y cuando estos datos sean almacenados o alojados por un intermediario tecnológico.
Artículo 29
Contratación o subcontratación de servicios
Vigente desde 19 de julio de 2016 · texto SINALEVI
En la contratación o subcontratación de servicios prestados por un intermediario tecnológico o proveedor de servicios, se considerará que quien contrate dichos servicios mantiene la responsabilidad por el tratamiento de datos personales. El responsable deberá verificar que dicho intermediario o proveedor cumpla con las medidas de seguridad mínimas que garanticen la integridad y seguridad de los datos personales.
(Así reformado por el artículo 6 del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Artículo 30
Tratamiento de datos por parte del encargado
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El encargado solo podrá intervenir en el tratamiento de las bases de datos personales, según lo establecido en el contrato celebrado con el responsable y sus indicaciones.
El encargado tendrá las siguientes obligaciones en el tratamiento de las bases de datos personales:
- Tratar únicamente los datos personales conforme a las instrucciones del responsable;
- Abstenerse de tratar los datos personales para finalidades distintas a las instruidas por el responsable;
- Implementar las medidas de seguridad y cumplir con los protocolos mínimos de actuación conforme a la Ley, el presente Reglamento y las demás disposiciones aplicables;
- Guardar confidencialidad respecto de los datos personales tratados;
- Abstenerse de transferir o difundir los datos personales, salvo instrucciones expresas por parte del responsable.
- Suprimir los datos personales objeto de tratamiento, una vez cumplida la relación jurídica con el responsable o por instrucciones del responsable, siempre y cuando no exista una previsión legal que exija la conservación de los datos personales.
Los responsables deberán confeccionar un protocolo mínimo de actuación, el cual deberá ser transmitido al encargado para su fiel cumplimiento y donde al menos, se deberá especificar lo siguiente:
- Elaborar políticas y manuales de privacidad obligatorios y exigibles al interior de la organización del responsable;
- Poner en práctica un manual de capacitación, actualización y concientización del personal sobre las obligaciones en materia de protección de datos personales;
- Establecer un procedimiento de control interno para el cumplimiento de las políticas de privacidad;
- Instaurar procedimientos ágiles, expeditos y gratuitos para recibir y responder dudas y quejas de los titulares de los datos personales o sus representantes, así como para acceder, rectificar, modificar, bloquear o suprimir la información contenida en la base de datos y revocar su consentimiento.
- Crear medidas y procedimientos técnicos que permitan mantener un historial de los datos personales durante su tratamiento.
- Constituir un mecanismo en el cual el responsable transmitente, le comunica al responsable receptor, las condiciones en las que el titular consintió la recolección, la transferencia y el tratamiento de sus datos.
Estas medidas, así como sus posteriores modificaciones, deberán ser inscritas ante la Agencia como protocolos mínimos de actuación.
La Agencia podrá verificar, en cualquier momento, que la base de datos esté cumpliendo con los términos establecidos en el protocolo mínimo de actuación.
Artículo 34
De las medidas de seguridad en el tratamiento de datos personales
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El responsable, deberá establecer y mantener las medidas de seguridad administrativas, físicas y lógicas para la protección de los datos personales, con arreglo a lo dispuesto en la Ley y el presente Reglamento. Se entenderá por medidas de seguridad el control o grupo de controles para proteger los datos personales.
Asimismo, el responsable deberá velar porque el encargado de la base de datos y el intermediario tecnológico cumplan con dichas medidas de seguridad, para el resguardo de la información.
Artículo 35
Factores para determinar las medidas de seguridad
Vigente desde 5 de marzo de 2013 · texto SINALEVI
El responsable determinará las medidas de seguridad, aplicables a los datos personales que trate o almacene, considerando los siguientes factores:
- La sensibilidad de los datos personales tratados, en los casos que la ley lo permita;
- El desarrollo tecnológico;
- Las posibles consecuencias de una vulneración para los titulares de sus datos personales.
- El número de titulares de datos personales;
- Las vulnerabilidades previas ocurridas en los sistemas de tratamiento o almacenamiento;
- El riesgo por el valor, cuantitativo o cualitativo, que pudieran tener los datos personales; y
- Demás factores que resulten de otras leyes o regulación aplicable al responsable.
Artículo 36
Acciones para la seguridad de los datos personales
Vigente desde 19 de julio de 2016 · texto SINALEVI
A fin de establecer y mantener la seguridad física y lógica de los datos personales, el responsable deberá realizar al menos las siguientes acciones, las cuales podrán ser requeridas en cualquier momento por la Agencia:
- Elaborar una descripción detallada del tipo de datos personales tratados o almacenados;
- Crear y mantener actualizado un inventario de la infraestructura tecnológica, incluyendo los equipos y programas de cómputo y sus licencias; c)Señalar el tipo de sistema, programa, método o proceso utilizado en el tratamiento o almacenamiento de los datos; igualmente, indicarse el nombre y la versión de la base de datos utilizada cuando proceda.
- Contar con un análisis de riesgos, que consiste en identificar peligros y estimar los riesgos que podrían afectar los datos personales;
- Establecer las medidas de seguridad aplicables a los datos personales, e identificar aquellas implementadas de manera efectiva;
- Calcular el riesgo residual existente basado en la diferencia de las medidas de seguridad existentes y aquéllas faltantes que resultan necesarias para la protección de los datos personales;
- Elaborar un plan de trabajo para la implementación de las medidas de seguridad faltantes, derivados del resultado del cálculo del riesgo residual.
Las medidas de seguridad de las bases de datos serán consideradas información no divulgada y serán resguardadas exclusivamente por el responsable de la base de datos. Podrán ser requeridas por la Agencia únicamente para consulta in situ y para la verificación de acciones ante la existencia de una denuncia expresa de terceros afectados. Para efectos de registro se notificará a la PRODHAB los protocolos mínimos de seguridad con los que cuenta el responsable.
(Así reformado el inciso anterior por el artículo 7° del decreto ejecutivo N° 40008 del 19 de julio de 2016) (Así adicionado el párrafo anterior por el artículo 7° del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Artículo 37
Actualizaciones de las medidas de seguridad
Vigente desde 5 de marzo de 2013 · texto SINALEVI
Los responsables deberán actualizar las medidas de seguridad cuando ocurran los siguientes eventos:
- Se modifiquen las medidas o procesos de seguridad para su mejora continua, derivado de las revisiones a la política de seguridad del responsable;
- Se produzcan modificaciones sustanciales en el tratamiento o almacenamiento, que deriven en un cambio del nivel de riesgo;
- Se modifique la plataforma tecnológica;
- Se vulneren los sistemas de tratamiento o almacenamiento de datos personales, de conformidad con lo dispuesto en la Ley y el presente Reglamento; o,
- Exista una afectación a los datos personales, distinta a las anteriores.
En el caso de datos personales sensibles, cuando la ley lo permita, el responsable deberá revisar y, en su caso, actualizar las medidas de seguridad correspondientes, al menos una vez al año.
El responsable deberá informar al titular sobre cualquier irregularidad en el tratamiento o almacenamiento de sus datos, tales como pérdida, destrucción, extravío, entre otras, como consecuencia de una vulnerabilidad de la seguridad o que tuviere conocimiento del hecho, para lo cual tendrá cinco días hábiles a partir del momento en que ocurrió la vulnerabilidad, a fin de que los titulares de estos datos personales afectados puedan tomar las medidas correspondientes.
Dentro de este mismo plazo deberá iniciar un proceso de revisión exhaustiva para determinar la magnitud de la afectación, y las medidas correctivas y preventivas que correspondan.
El responsable deberá informar al titular y a la Agencia, en caso de vulnerabilidades de seguridad, al menos lo siguiente:
- La naturaleza del incidente;
- Los datos personales comprometidos;
- Las acciones correctivas realizadas de forma inmediata; y,
- Los medios o el lugar, donde puede obtener más información al respecto.
CAPÍTULO V
De la Transferencia de Datos Personales
La transferencia requerirá siempre el consentimiento inequívoco del titular. La transferencia implica la cesión de datos personales por parte, única y exclusivamente, del responsable que transfiere al responsable receptor de los datos personales. Dicha transferencia de datos personales requerirá siempre del consentimiento informado del titular, salvo disposición legal en contrario, asimismo que los datos a transferir hayan sido recabados o recolectados de forma lícita y según los criterios que la Ley y el presente Reglamento dispone. No se considera trasferencia el traslado de datos personales del responsable de una base de datos a un encargado, proveedor de servicios o intermediario tecnológico o las empresas del mismo grupo de interés económico.
Toda venta de datos del fichero o de la base de datos, parcial o total, deberá reunir los requerimientos establecidos en el párrafo anterior.
(Así reformado por el artículo 8° del decreto ejecutivo N° 40008 del 19 de julio de 2016)
Artículo 41
Cumplimiento de los protocolos mínimos de actuación
Vigente desde 5 de marzo de 2013 · texto SINALEVI
Las transferencias de datos personales por parte de los responsables, estarán supeditadas al fiel cumplimiento de los protocolos mínimos de actuación, debidamente inscritos ante la Agencia.
Para efectos de demostrar que la transferencia de datos personales se realizó conforme a la Ley y el presente Reglamento, la carga de la prueba recaerá en el responsable.
El responsable de la transferencia de datos personales deberá establecer un contrato con el responsable receptor, en el que se prevean, al menos las mismas obligaciones a las que se encuentra sujeto el responsable de la transferencia de dichos datos.