Buscar:
 PGR - SINALEVI >> Pronunciamientos >> Resultados >> Dictamen 124 del 07/06/2018
Internet
Año:
Buscar en:




Opciones:
Guardar
Imprimir


Ficha del Pronunciamiento
ß&Ø¥ß%
Texto Dictamen 124
 
  Dictamen : 124 del 07/06/2018   

07 de junio de 2018


C-124-2018


 


Señor


Olger Bogantes Calvo


Director General Adjunto


Instituto Costarricense sobre Drogas


S. D.


 


Estimado señor:


 


Con la aprobación del Procurador General de la República, damos respuesta a su oficio No. DG-181-2016 de 28 de julio de 2016 en el cual consulta la posibilidad del Instituto Costarricense sobre Drogas (ICD) de acceder a bases de datos que contienen información personal, para cumplir con su función de analizar y elaborar estadísticas sobre el problema de las drogas en el país, teniendo en cuenta las limitaciones de acceso a la información que implican el derecho fundamental a la intimidad y el principio de autodeterminación informativa.


 


De previo, sírvase aceptar nuestras disculpas por la tardanza que ha tenido su atención, motivado en el volumen de trabajo que atiende esta Procuraduría.


 


I. Objeto de la consulta:


 


Concretamente, en su nota se indica que según los artículos 117 a 119 de la Ley sobre estupefacientes, sustancias psicotrópicas, drogas de uso no autorizado, actividades conexas, legitimación de capitales y financiamiento al terrorismo (No. 8204 de 26 de diciembre de 2001) el ICD debe realizar el análisis sistemático, continuo y actualizado de la magnitud, las tendencias y la evolución del fenómeno de las drogas en el país, para planificar, evaluar y apoyar el proceso de toma de decisiones en la represión y prevención en ese campo.


 


Expone que para el ejercicio de esa función, la Ley 8204 le permite al ICD obtener información de otras instituciones públicas, y que las bases de datos que necesita acceder, contienen información personal como la condición de salud de las personas y aspectos socio-económicos.


 


Considera que las estadísticas sobre el problema de las drogas en el país son un insumo indispensable para la creación de políticas públicas en la materia. Y para poder generar ese tipo de información, el ICD requiere identificar, por medio del nombre completo y número de cédula, a las personas cuya información consta en las bases de datos consultadas y así poder realizar un estudio cruzado entre los conjuntos de datos y determinar de manera certera temas importantes.


 


Por ejemplo, indica que es necesario cruzar la información de las bases de datos de salud sobre pacientes con necesidad de tratamiento por problemas con sustancias psicoactivas y bases de datos policiales, para determinar la cantidad de consumidores de drogas problemáticos que acuden al hurto, robo y tráfico de drogas para financiar su autoconsumo, dado que su enfermedad les impide tener un empleo estable. Es decir, para poder determinar el grupo de consumidores de drogas problemáticos se requiere el cruce de la información personal que consta en las bases de datos. Y además, para evitar la repetición de registros y dobles conteos sobre una misma persona, es indispensable su identificación.


 


Pese a que se requiere identificar a las personas al hacer el análisis de las bases de datos para asegurar la calidad del procesamiento de la información y los resultados, indica que las estadísticas resultantes no implican la publicación de los nombres y número de cédula de las personas a quienes corresponde esa información.


 


Y por lo anterior, con base en el criterio de la asesoría legal de la institución, considera que ese acceso a bases de datos con información personal no vulnera lo dispuesto por la Ley de protección de la persona frente al tratamiento de sus datos personales (No. 8968 de 7 de julio de 2011) en cuanto al derecho a la intimidad y el principio de autodeterminación informativa.


 


La asesoría legal institucional estima que el ICD puede obtener información sensible, siempre que sea con el propósito de ser utilizada con fines estadísticos, de conformidad con lo dispuesto por los artículos 8° inciso d) y 9° inciso d) de la Ley 8968.


 


Entonces, el objeto de esta consulta es determinar si de conformidad con lo normado por la Ley 8968 sobre el derecho a la intimidad y el principio de autodeterminación informativa, el ICD puede acceder a bases de datos de otras instituciones que contienen información personal sensible, identificando por nombre completo y número de cédula a las personas, con el fin de generar estadísticas sobre el problema de las drogas en el país y cumplir con el ejercicio de las competencias establecidas en los artículos 117 a 119 de la ley 8204.


 


De tal forma, en este dictamen haremos un análisis de la normativa relacionada para abordar el objetivo expuesto y posteriormente, a modo de conclusión, dar respuesta puntual a las interrogantes planteadas.


 


II. Sobre lo consultado:


 


El artículo 24 de la Constitución Política garantiza el derecho a la intimidad, a la libertad y al secreto de las comunicaciones y de él se desprenden los derechos fundamentales a la intimidad, secreto de las comunicaciones, inviolabilidad de los documentos privados y de autodeterminación informativa.


 


En su calidad de derechos fundamentales, su regulación, limitación o restricción debe estar amparada en una ley. Y la Ley 8968 establece un marco regulatorio que garantiza a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el respeto al derecho a la autodeterminación informativa en relación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de su libertad e igualdad con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona o bienes.


 


En palabras de la Sala Constitucional, esta ley vino a recoger lo que ya en su jurisprudencia se venía disponiendo:


 


“…la normativa se ocupa de llenar un importante vacío normativo relacionado con el derecho a la autodeterminación informativa, que si bien la jurisprudencia de la Sala se ha ocupado de desarrollar su contenido, persiste la necesidad de desarrollar una institución administrativa que vele por un equilibrio en la actividad, y para que se constituya en una primera línea de defensa especializada de este derecho fundamental. Por ello es necesario señalar la máxima jurídica (más conocida en el derecho anglosajón) de que no hay derechos sin un remedio procesal (there is no right without a remedy). En un escenario en el que los recursos tecnológicos permiten un uso masivo de almacenamiento de datos de toda naturaleza, y con múltiples posibilidades de transferencia, es importante que toda aquella información personal que llegue formar parte de las bases de datos tenga normada las conductas lícitas e ilícitas de los operadores para que no lleguen a lesionar derechos fundamentales. Actualmente, tanto las Administraciones Públicas, como las personas físicas y empresas que recopilan datos personales, carecen de regulaciones legales que fiscalicen, controlen e intervengan los archivos que contienen estos datos, lo cual repercute en los métodos que sistematizan estos datos. Es claro, los derechos de los particulares están más expuestos sin normativa que cuando ésta la regula de forma más ordenada y compatible con el Derecho de la Constitución. Lo contrario, evidentemente, prolonga una asimetría entre los ciudadanos y los poderes públicos y privados que manejan dicha información, lo cual se ha venido solventando mediante la jurisprudencia de la Sala, la que desde hace más de una década reconoció la ausencia de legislación y de un organismo administrativo de control. De ahí que la legislación llena un importante vacío del ordenamiento jurídico al procurar un equilibrio entre las instituciones y la sociedad costarricense que permita una tutela eficaz de la libertad a la autodeterminación informativa y una mejor protección administrativa de frente a la acumulación de poderes que ha ocurrido a lo largo de los años en que no ha habido tales controles.” (Resolución No. 5268-2011 de las 15 horas 13 minutos de 27 de abril de 2011).


 


Lo establecido en ese marco legal, que protege y garantiza el derecho a la intimidad y autodeterminación informativa que se desprenden del artículo 24 constitucional, indudablemente es de aplicación a la presente consulta, pues, según el artículo 2° se resguardan los datos personales que figuren en bases de datos automatizados o manuales, de organismos públicos o privados, y toda modalidad de uso posterior de esos datos.


 


Aunque el ICD no elabore o mantenga una base de datos sobre los problemas de las drogas en el país, requiere acceso a bases de datos de otras instituciones para elaborar las estadísticas que legalmente le corresponden. Es decir, hace un uso posterior de esos datos, consultándolos y analizándolos, lo cual está englobado en el ámbito de aplicación de la ley, según el artículo 3° inciso i):


 


“Artículo 3.- Definiciones


Para los efectos de la presente ley se define lo siguiente:


(…)


i) Tratamiento de datos personales: cualquier operación o conjunto de operaciones, efectuadas mediante procedimientos automatizados o manuales y aplicadas a datos personales, tales como la recolección, el registro, la organización, la conservación, la modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a estos, el cotejo o la interconexión, así como su bloqueo, supresión o destrucción, entre otros”.


 


Y además, se requiere el acceso a datos personales relativos a personas identificadas o identificables que la ley cataloga como sensibles en los artículos 3° inciso e) y 9° punto 1, al tratarse de datos del fuero íntimo de la persona relativos a la salud y condición socioeconómica:


 


“Artículo 3.- Definiciones


(…)


Para los efectos de la presente ley se define lo siguiente:


 


e) Datos sensibles: información relativa al fuero íntimo de la persona, como por ejemplo los que revelen origen racial, opiniones políticas, convicciones religiosas o espirituales, condición socioeconómica, información biomédica o genética, vida y orientación sexual, entre otros.


(…).


 


Artículo 9.- Categorías particulares de los datos


 


Además de las reglas generales establecidas en esta ley, para el tratamiento de los datos personales, las categorías particulares de los datos que se mencionarán, se regirán por las siguientes disposiciones:


 


1.-        Datos sensibles


 


Ninguna persona estará obligada a suministrar datos sensibles. Se prohíbe el tratamiento de datos de carácter personal que revelen el origen racial o étnico, opiniones políticas, convicciones religiosas, espirituales o filosóficas, así como los relativos a la salud, la vida y la orientación sexual, entre otros.


 


Esta prohibición no se aplicará cuando:


 


a) El tratamiento de los datos sea necesario para salvaguardar el interés vital del interesado o de otra persona, en el supuesto de que la persona interesada esté física o jurídicamente incapacitada para dar su consentimiento.


b) El tratamiento de los datos sea efectuado en el curso de sus actividades legítimas y con las debidas garantías por una fundación, una asociación o cualquier otro organismo, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la fundación, la asociación o el organismo, por razón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento de las personas interesadas.


c) El tratamiento se refiera a datos que la persona interesada haya hecho públicos voluntariamente o sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial.


d) El tratamiento de los datos resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por un funcionario o funcionaria del área de la salud, sujeto al secreto profesional o propio de su función, o por otra persona sujeta, asimismo, a una obligación equivalente de secreto.”


 


En consecuencia, el acceso que solicita el ICD a las bases de datos con información personal sensible para el cumplimiento de sus funciones, está sujeta a las restricciones establecidas en la Ley 8968. Y por tanto, es necesario determinar si, de conformidad con esa ley, dicho acceso está permitido.


 


En primer lugar, debe advertirse que, pese a que el acceso a la información que requiere el ICD no se encuentra contemplado en los supuestos excepcionales a la prohibición de tratamiento de datos personales sensibles que establece el artículo 9° recién citado, el artículo 8° establece algunos casos en los que los principios, derechos y garantías que fija la ley pueden ser limitados de manera justa, razonable y acorde con el principio de transparencia administrativa.


 


En el inciso f) del artículo 8) se dispone que es posible excepcionar la aplicación de las reglas que para el resguardo del derecho a la intimidad y autodeterminación informativa establece la ley, cuando se persiga “la eficaz actividad ordinaria de la Administración Pública, por parte de las autoridades oficiales.”


 


            El ICD fue creado en la Ley 8204 como un órgano de desconcentración máxima del Ministerio de la Presidencia, con personalidad jurídica instrumental, y es, en términos generales, el encargado de coordinar, diseñar e implementar las políticas, los planes y las estrategias para la prevención del consumo de drogas, el tratamiento, la rehabilitación y la reinserción de los farmacodependientes, así como las políticas, los planes y las estrategias contra el tráfico ilícito de drogas y actividades conexas, la legitimación de capitales y el financiamiento al terrorismo (artículos 98 y 99).


 


Además, el ICD cuenta con una Unidad de Información y Estadística Nacional sobre Drogas que debe realizar el análisis sistemático, continuo y actualizado de la magnitud, las tendencias y la evolución del fenómeno de las drogas en el país, para planificar, evaluar y apoyar el proceso de toma de decisiones en la represión y prevención en ese campo, y para darle seguimiento (artículos 105 inciso c) y 117).


 


Las funciones específicas de esa Unidad están fijadas en el artículo 118 de la Ley 8204:


 


“Artículo 118.-Son funciones de la Unidad de Información y Estadística Nacional sobre Drogas:


 


a) Desarrollar e implementar un sistema nacional que centralice los diferentes informes, estudios e investigaciones sobre la magnitud y las consecuencias de la oferta y la demanda del consumo de drogas, en los planos nacional e internacional.


 


b) Determinar los problemas generales y específicos que se desprendan de los informes, estudios e investigaciones, que les permitan a las autoridades tomar decisiones oportunas para la investigación de campo y el desarrollo de las estrategias correspondientes.


 


c) Emitir las recomendaciones técnicas para la formulación de estrategias, dentro de la política oficial en materia de drogas.


 


d) Determinar las necesidades anuales reales para el uso lícito de drogas estupefacientes, psicotrópicos y precursores químicos en el país, para garantizar la disponibilidad de estos productos y prevenir su posible desvío al área ilícita, con la participación de la Junta de Vigilancia de Drogas Estupefacientes del Ministerio de Salud y del Ministerio de Agricultura y Ganadería.


 


e) Participar en el intercambio de la información oficial disponible sobre drogas, con los organismos nacionales e internacionales, incluso en el Programa de las Naciones Unidas para la Fiscalización Internacional de Drogas (PNUFID), la Junta Internacional de Fiscalización de Estupefacientes (JIFE), la Comisión Internacional Contra el Abuso de Drogas (CICAD-OEA) y otros.


 


f) Orientar, con base en los análisis y otros aportes científicos de esta Unidad, el desarrollo de proyectos e investigaciones sobre la problemática de las drogas, para fortalecer el conocimiento actualizado en esta materia.


 


 g) Promover la coordinación y colaboración, en los niveles nacional e internacional, de todas las instancias involucradas en el análisis del problema de las drogas, para identificar las tendencias y las preferencias en el uso indebido de drogas específicas y recomendar acciones concretas para su rectificación.


 


h) Identificar los patrones delictivos en el uso ilícito de estupefacientes, psicotrópicos y sustancias químicas precursoras, que permitan un abordaje efectivo del problema.


 


i) Apoyar al IAFA y colaborar con él en la identificación de las zonas geográficas de mayor riesgo, las poblaciones vulnerables y las principales tendencias de consumo de drogas, en un período determinado, para que se tomen las medidas necesarias para resolver el problema.


 


j) Evaluar las acciones dirigidas a reducir la oferta y la demanda de drogas en el país, con el propósito de determinar su impacto.


 


k) Apoyar al IAFA y colaborar con él en la confección y divulgación de informes periódicos sobre la situación actual del país en materia de drogas, sus proyecciones y las tendencias a corto y mediano plazo.


 


l) Participar activamente en foros, congresos, seminarios, talleres, nacionales e internacionales, sobre la represión, prevención y fiscalización, el análisis y la identificación de drogas, que permitan conocer los acuerdos adoptados y darles seguimiento.


 


m) Coordinar talleres, seminarios y demás reuniones locales para formular, estudiar, discutir y analizar propuestas que faciliten el funcionamiento óptimo de la Unidad y lo retroalimenten.


 


n) Efectuar una revisión exhaustiva y permanente sobre la legislación actual en materia de drogas, para proponer la adopción de programas, medidas y reformas pertinentes para hacer más eficaz la acción estatal en este campo.


 


ñ) Determinar las necesidades anuales de información para planificar la recolección de datos y los análisis estadísticos relacionados con el fenómeno de las drogas, conjuntamente con las instituciones involucradas.


 


o) Brindar asesoramiento técnico a todas las unidades operativas del Instituto, con el propósito de fortalecer y complementar los criterios para el análisis de la información sobre drogas.


 


p) Cumplir todas las funciones que en el futuro se consideren necesarias para alcanzar los objetivos de la Institución.”


 


            Como puede observarse, muchas de las funciones apuntadas requieren la formulación de datos sobre el problema de las drogas en el país, para que sirvan de insumo en la formulación de políticas públicas y en el desarrollo de soluciones.


 


De ahí que, como se expone en la consulta formulada, se requiere obtener datos certeros y reducir el riesgo de realizar conteos dobles, y de obtener información imprecisa, pues la consecuencia de generar datos y estadísticas erróneos podría ser adoptar decisiones y elaborar estrategias equivocadas o inadecuadas.


 


Es evidente que el abordaje del problema de las drogas, por todos los conflictos sociales, económicos y de salud que lleva aparejado, es de suma relevancia. No en vano el artículo 1° de la Ley 8204 establece que “es función del Estado, y se declara de interés público, la adopción de las medidas necesarias para prevenir, controlar, investigar, evitar o reprimir toda actividad ilícita relativa a la materia de esta Ley.”


 


Consecuentemente, el acceso a información que requiere el ICD tiene como finalidad el cumplimiento eficaz de su actividad ordinaria, y por tanto, de conformidad con lo dispuesto en el inciso f) del artículo 8° de la Ley 8968, constituye una excepción a la prohibición de tratamiento de datos personales sensibles.


 


Entonces, resulta razonable y justificado que el ICD tenga acceso a bases de datos con información personal sensible para el adecuado ejercicio de sus funciones, que persiguen como resultado final, el abordaje de un problema de interés público.


 


Además, debe considerarse que el inciso d) de ese mismo artículo 8° dispone como excepción a los principios y derechos que establece la ley, “el funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica, cuando no exista riesgo de que las personas sean identificadas.”


 


Lo cual también es reiterado en el artículo 6° punto 4, en cuanto dispone que no se considerará incompatible con el fin específico para el cual fue recopilada la información personal, “el tratamiento posterior de datos con fines históricos, estadísticos o científicos, siempre y cuando se establezcan las garantías oportunas para salvaguardar los derechos contemplados en esta ley.”


 


            Entonces, dichas normas también justifican el acceso del ICD a las bases de datos con información personal sensible, pues, de los numerales transcritos se extrae que la información es requerida para la elaboración de estadísticas y datos sobre el problema de las drogas en el país.


 


Lo anterior, claro está, siempre que las estadísticas y conclusiones finales que se divulguen no permitan identificar a las personas a las que hace referencia la información obtenida, y garantizando que en el proceso de acceso o de entrega de dicha información, no exista riesgo de que la información sensible individualizada, sea divulgada.


 


            Para ello, debe resaltarse el deber de confidencialidad que recae sobre los responsables de las bases de datos y sobre quienes intervengan en cualquier fase del tratamiento de los datos personales. Concretamente, el artículo 11 de la Ley 8968 dispone:


 


“Artículo 11.- Deber de confidencialidad.


La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales están obligadas al secreto profesional o funcional, aun después de finalizada su relación con la base de datos. La persona obligada podrá ser relevado del deber de secreto por decisión judicial en lo estrictamente necesario y dentro de la causa que conoce.”


 


Ese deber de confidencialidad también está contenido en la Ley 8204, que establece:


 


“Artículo 101.- El Instituto no podrá brindar información que atente contra el secreto de las investigaciones referentes a la delincuencia del narcotráfico, la legitimación de capitales o el financiamiento al terrorismo, ni contra informaciones de carácter privilegiado o que, innecesariamente, puedan lesionar los derechos de la persona.


 


Otra garantía que establece la Ley 8968 es el principio de consentimiento informado, que implica que los titulares de los datos deben ser informados de previo, de modo expreso, preciso e inequívoco sobre la existencia de la base de datos de carácter personal, los fines que se persiguen con la recolección, quiénes son los destinatarios de la información y quiénes podrán consultarla, el carácter obligatorio o facultativo de las preguntas que se formulen, el tratamiento que se dará a los datos, las consecuencias de la negativa de suministrar los datos, la posibilidad de ejercer los derechos que le asisten y la dirección del responsable de la base de datos (artículo 5° punto 1).


 


            A su vez, ese principio implica que, quien recopile datos personales debe obtener el consentimiento expreso, por escrito, de la persona titular de los datos o de su representante, así como de la transferencia de datos a un tercero (artículo 5° punto 2).


 


            Partiendo de lo dispuesto en esas disposiciones, para que el ICD pudiera acceder a las bases de datos de otras instituciones con información personal sensible, la institución responsable –al momento de recopilar la información– debería informar al interesado que el ICD tendría ese acceso posterior, o requerir su consentimiento en el momento en que el ICD va a acceder a la base de datos. De no contar con ese consentimiento –en principio– el acceso a la información no sería posible.


 


            Sobre este punto cabe hacer las siguientes consideraciones. Si bien la Sala Constitucional ha considerado que el consentimiento del administrado para la entrega de los datos personales es de vital importancia, reconoce que la ley puede establecer excepciones para su recolección y entrega, aun sin contar con ese consentimiento. Lo anterior, en tanto la obtención de los datos de su interés se realice dentro de los parámetros o límites razonables (voto No. 8996-2002 de las 10 horas 38 minutos de 13 de setiembre de 2002). Y ha dispuesto también, que “los derechos fundamentales, no son absolutos, sino que nacen limitados (intrínseca o extrínsecamente), establecidos por el propio constituyente o por el legislador en virtud de la reserva de ley” (Resolución No. 5268-2011 de las 15 horas 13 minutos de 27 de abril de 2011).


 


            En efecto, además de las disposiciones del artículo 8° antes comentadas, la Ley 8968 ha establecido algunas excepciones al principio del consentimiento informado establecido en el artículo 5° y a la obligación dispuesta por el artículo 14, de contar con el consentimiento expreso del interesado para transferir sus datos personales.


 


            Bajo ese entendido, el artículo 5° punto 2, establece que no será necesario el consentimiento expreso cuando “los datos deban ser entregados por disposición constitucional o legal.”


 


            En el caso del ICD debe considerarse que la Ley 8204 establece lo siguiente:


 


“Artículo 102.-Los entes, los órganos o las personas que revistan especial importancia para el cumplimiento de los propósitos del Instituto, estarán obligados a colaborar en la forma en que este lo determine, de acuerdo con los medios técnicos, humanos y materiales disponibles.”


 


            Además, para que la Unidad de Información y Estadística Nacional sobre Drogas alcance sus fines y objetivos, el artículo 117 establece que la “Unidad requerirá la información y cooperación necesarias de todas las instituciones involucradas y de los demás entes de los sectores público y privado, para facilitar el cumplimiento de sus funciones.” Y más puntualmente, se dispone que para el cumplimiento de sus funciones:


 


“Artículo 119.-Las fuentes primarias de recolección de datos para esta Unidad serán, entre otras: el Ministerio de Salud, el Ministerio de Agricultura y Ganadería, el IAFA, el Ministerio de Justicia y Gracia, el Ministerio de Seguridad Pública y Gobernación, el Ministerio de Hacienda, el Ministerio de Educación Pública, el Ministerio de Obras Públicas y Transportes, el Ministerio de Relaciones Exteriores y Culto, la CCSS, las ONG, el Instituto Nacional de Estadística y Censos, el Sistema Nacional de Salud de los sectores público y privado, las universidades públicas y privadas, los colegios profesionales, los medios de comunicación oral y escrita y otros que, por su naturaleza, se determine incorporar a esta actividad.”


 


            Entonces, de lo anterior puede afirmarse que sí existen disposiciones legales que facultan al ICD para solicitar información o requerir el acceso a bases de datos, y ello, se encuentra contemplado como una excepción al otorgamiento del consentimiento previo según lo determina el artículo 5° punto 2 inciso c) de la Ley 8968.


 


            En consecuencia, el ICD puede acceder a las bases de datos que contengan información personal sensible, cuando ello sea estrictamente necesario y lo justifique el ejercicio de sus competencias, siempre y cuando se establezcan las garantías necesarias para salvaguardar los derechos de las personas involucradas, se respete de manera estricta el deber de confidencialidad y, que al generar las estadísticas y resultados correspondientes, no se divulguen los datos que permitan identificar a las personas involucradas.


 


Por consiguiente, las instituciones públicas responsables de las bases de datos a las cuales el ICD requiera acceder, deben permitir ese acceso, pues por lo expuesto, no estarían infringiendo las disposiciones de la Ley 8968, y además, porque según los artículos 102, 117 y 119 de la Ley 8204, están obligados a cooperar con el ICD en el ejercicio de sus funciones.


 


Ahora bien, como la ley no establece el procedimiento mediante el cual se debe permitir ese acceso, en atención al deber de coordinación que debe imperar entre las instituciones públicas, que incluye la facilitación de información (artículo 8° de la Ley de Protección del Ciudadano del Exceso de Requisitos  y Trámites Administrativo, N° 8220 del 11 de marzo de 2002), éstas deberán acordar cuál será el modo más adecuado para permitir el acceso o brindar la información requerida. De manera tal, que se permita el adecuado ejercicio de las funciones para las cuales se precisa de la información, se garantice el resguardo de los derechos establecidos en la Ley 8968, esto es, que se impida la divulgación de los datos que permitan identificar a las personas, y se mantenga el deber de confidencialidad de los intervinientes.


 


Ya en ocasiones anteriores, la Procuraduría ha reconocido la aplicación de las excepciones de la Ley 8968 en otros supuestos, para garantizar el ejercicio de funciones de interés público.


 


Como ejemplo, en el dictamen No. C-082-2017 de 21 de abril de 2017 se determinó que, para el adecuado ejercicio de las competencias de la auditoría interna de CONASSIF “…la Auditoría Interna puede acceder a información privada en cuanto sea estrictamente indispensable para el cumplimiento de sus funciones, para lo cual se requiere que esa información privada tenga incidencia en el accionar público… Si el Auditor interno llega a tener acceso a la información sobre situación crediticia de un deudor del sistema financiero y, por ende del Centro de Información Crediticia, está obligado a mantener la confidencialidad de esa información, según se deriva de la Ley de Protección de la Persona frente al tratamiento de sus datos personales, Ley N° 8968 del 7 de julio del 2011 y de los artículos 32 y 34 de la Ley General de Control Interno.”


 


Y en el dictamen No. C-090-2013 de 28 de mayo de 2013 se dispuso que, de conformidad con los artículos 5°, 8° y 9° de la Ley 8968, el Ministerio de Salud puede acceder a información personal sensible, identificando a las personas correspondientes, que consta en las bases de datos de la Caja Costarricense de Seguro Social, con el fin de cumplir con las funciones de interés público que le competen. Lo dispuesto en ese criterio vinculante es de suma importancia, pues, al igual que en este caso, se justificó en la satisfacción del interés público la necesidad del Ministerio de Salud de identificar a las personas cuya información consta en las bases de datos, para la elaboración de estadísticas certeras. Concretamente, dictaminamos:


 


“La diferencia entre el Ministerio de Salud y la Caja Costarricense de Seguro Social concierne fundamentalmente el suministro de información de la salud de pacientes identificables. Es decir, la circunstancia de que los datos de salud no se requieren en forma global o de una manera anónima sino que, por el contrario, el Ministerio solicita que se identifique a la persona a quien corresponde la información. Pretensión que ampara en sus competencias y en la necesidad de contar con datos veraces, ciertos, de calidad. Y, como ya se ha indicado, la Caja argumenta su negativa del suministro de datos nominativos en el respeto debido al derecho de autodeterminación informativa, ya que en su criterio impediría suministrar los datos cuando no media el consentimiento del derecho habiente.


(…)


Como se ha indicado anteriormente, para el ejercicio de la rectoría en el ámbito de la salud, el Ministerio está autorizado a seleccionar, recopilar, integrar, analizar y difundir información sobre el estado de salud, sus determinantes y tendencias, con el objeto de seleccionar las medidas más apropiadas para proteger y mejorar la salud de la población. Una potestad que deriva de lo dispuesto en la Ley General de Salud.  Pero, además, no puede dejar de considerarse que esa Ley   establece una obligación general para todo habitante del país, relativa al suministro de la información que las autoridades de salud requieran para el cumplimiento de sus funciones. Una obligación que en modo alguno puede considerarse modificada por la Ley de Protección de la Persona frente al tratamiento de sus datos personales. Por consiguiente, cabe considerar que en resguardo de la salud pública, todo individuo está obligado por el artículo 5 mencionado, a suministrar, de manera cierta y oportuna, los datos necesarios para que el Ministerio no solo elabore las estadísticas vitales, sino también aquellos para la evaluación de los recursos de salud (términos que obviamente se refieren a todos los recursos humanos, técnicos, infraestructura, financieros, etc.) y los estudios necesarios para conocer los problemas de salud y formular las medidas correspondientes. Ergo, para definir las políticas públicas en dicho ámbito. En tanto que por el artículo 6 de la Ley toda persona debe declarar sobre cualquier asunto relacionado con la salud pública.


…con el objeto de que el Estado pueda velar por la salud pública como componente fundamental del orden público pero también como servicio público, el Ministerio de Salud requiere de información sobre la salud de los habitantes del país y a este deber se encuentran sometidos todos ellos pero también cualquier entidad, pública o privada que realice acciones en este ámbito, comprendida la Caja Costarricense del Seguro Social. Un requerimiento que se funda y tiende a satisfacer intereses públicos y en general, el orden público en materia de salud pública.


Al marco normativo del sector salud, se une ahora lo dispuesto en el artículo 9 inciso d) de la Ley de Protección de la Persona frente al tratamiento de sus datos personales. Disposición que, repetimos, permite que el Ministerio requiera el suministro de datos sobre la salud de personas determinadas cuando está de por medio la prevención médica, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, todo sujeto al deber de confidencialidad que se aplica también a las autoridades de salud y demás funcionarios de dicha área. Por consiguiente, el suministro de los datos no contraviene la protección de los datos sensibles, ya que es conforme con lo dispuesto en el artículo 9 de la Ley de Protección de la Persona frente al tratamiento de sus datos personales. Y, por ende, el tratamiento y cesión de los datos, fundado en el interés público, no requiere el consentimiento de la persona a quien conciernen.


De lo antes expuesto, se deriva que ni la Caja ni ningún otro organismo encargado de actividades en materia de salud cumple con sus obligaciones proporcionando datos globales y que no les es dable argumentar que para la elaboración de las estadísticas en materia de salud es suficiente el suministro de los datos en forma global, aun cuando ello sea lo normal en materia estadística según lo dispuesto en el artículo 4 de la Ley del Sistema de Estadística Nacional (Ley N° 7839 del 15 de octubre de 1998). Disposición que, ciertamente, establece que los datos se suministrarán en grupos de tres y en todo caso, de manera que no sea posible identificar al titular de los mismos. Empero, hay un elemento que no puede dejar de tomarse en cuenta y que refiere a la veracidad de la información como elemento para la adopción de las políticas públicas y sobre todo para la determinación del estado de salud de la población.


Evidentemente, no aportar datos nominales para los casos en los que así se ha establecido por la relevancia del evento, podría tener como consecuencia lógica una alteración de los indicadores de salud que maneja el Ministerio, la adopción de decisiones inoportunas o indebidas, con afectación de la salud pública por derivar de conclusiones inexactas; sin dejar de considerar un riesgo para el ejercicio efectivo de los poderes de policía en materia de salud, derivados entre otros de los artículos 147 y 341 de la Ley General de Salud. Todo lo anterior, desde luego que tendría un impacto negativo en el mantenimiento del orden público en materia de salud, al no poder ejercer ese Ministerio en forma adecuada la vigilancia de la salud de la población.


Pero además no puede obviarse que los datos deben ser ciertos, fidedignos y para que se cumpla con dicho requisito se deben evitar las duplicidades. El punto es cómo lograrlo sin necesidad de registrar el nombre y número de identificación de una persona concreta. Máxime cuando una misma persona puede ser atendida en diversos centros de salud, públicos y privados, por el mismo problema de salud. Incluso en diversos centros de la propia Caja Costarricense de Seguro Social, con el agravante de que esos centros estarían obligados a remitir la información sobre esa misma persona a las autoridades del Ministerio. Cabría admitir que en el seno de la Caja una duplicidad de la información dejaría de presentarse cuando exista un único expediente para el paciente, independientemente del centro y nivel que lo atienda, para lo cual tendría que generalizarse y aplicarse debidamente el expediente electrónico.  Empero, aún en ese supuesto subsistiría la posibilidad de que la información sea duplicada, ya que nada excluye que una misma persona tratada en alguno de los niveles de atención de la Caja sea atendida simultáneamente en un centro privado, obligado también a remitir la información. Y simplemente está excluido que esos centros privados tengan acceso al expediente del paciente de la CCSS, y menos aun la existencia de un expediente único, ya que podría ser totalmente lesivo al derecho fundamental aquí cuestionado y a la dignidad del paciente.


(…)


El suministro de información de datos de salud obliga a las autoridades y a todo funcionario del Ministerio a cumplir estrictamente con el deber de confidencialidad. Deber que el Reglamento de Vigilancia de Salud no ha desconocido. El artículo 28 alude a las condiciones de seguridad y confidencialidad de la información…”


 


III. Respuesta puntual a las preguntas planteadas:


 


            A. ¿Puede el ICD tener acceso a bases de datos públicas o privadas, que contengan información relativa a la salud, delitos, vida y costumbres así como cualquier otro tipo de información sin importar su naturaleza que permitan la identificación clara de las personas y sus datos personales, en el entendido que son para el análisis de datos para fines estadísticos y un insumo indispensable para la creación de políticas públicas, determinación de la magnitud, las tendencias y la evolución del fenómeno de las drogas en el país y la actualización de tendencias de consumo?


 


De conformidad con las excepciones establecidas en la Ley 8968 y para el cumplimiento de las funciones de interés público dispuestas en la Ley 8402, el ICD puede acceder a las bases de datos que contengan información personal sensible, cuando ello sea estrictamente necesario y lo justifique el ejercicio de sus competencias, siempre y cuando se establezcan las garantías necesarias para salvaguardar los derechos de las personas involucradas, se respete de manera estricta el deber de confidencialidad y, al generar las estadísticas y resultados correspondientes, no se divulguen los datos que permitan identificar a las personas comprendidas.


 


            B. En el caso que sea positiva la respuesta de la primera pregunta, ¿puede la Institución a la cual se le solicita la información, negarse a otorgarla?


 


Las instituciones públicas responsables de las bases de datos a las cuales el ICD requiera acceder, deben permitir ese acceso, pues por lo expuesto, no estarían infringiendo las disposiciones de la Ley 8968, y además, porque según los artículos 102, 117 y 119 de la Ley 8204, están obligados a cooperar con el ICD en el ejercicio de sus funciones.


 


            C. ¿Es considerada la solicitud de información que hace el ICD de las bases de datos de las fuentes abiertas consagradas en el numeral 119 de la Ley N° 8204 y sus reformas, como violatoria al derecho constitucional consagrado en el artículo 24 de nuestra Carta Magna, sobre la protección al derecho a la privacidad y la intimidad?


 


            Salvo criterio distinto de la Sala Constitucional, el acceso a las bases de datos con información personal sensible por parte del ICD no violenta el artículo 24 de la Constitución Política, siempre que se haga en estricto apego de las excepciones y normas fijadas por la Ley 8968, en ejercicio de las funciones públicas que le han sido encomendadas en la Ley 8204, y que las estadísticas o información resultante, no contenga ni divulgue la información que permita identificar a las personas involucradas, y que se respete, además, el deber de confidencialidad.


 


            Recuérdese que la Ley 8968 recoge las disposiciones y garantías que jurisprudencialmente la Sala Constitucional ha puntualizado sobre el derecho a la intimidad y autodeterminación informativa. Así, en el tanto el acceso a las bases de datos por parte del ICD, se ejecute en estricto apego a sus disposiciones, no resulta contrario al artículo 24 constitucional.


 


            D. ¿Existe un procedimiento específico por el cual se debe entregar la información que se solicita? ¿O puede el ICD, bajo las potestades que le otorga la Ley N° 8204 y sus reformas, indicar cuál es la información específica que se requiere de ciertas bases de datos?


 


La ley no establece un procedimiento específico mediante el cual se debe permitir el acceso que se solicita. En atención al deber de coordinación que debe imperar entre las instituciones públicas, que incluye la facilitación de información, éstas deberán acordar cuál será el modo más adecuado para permitir el acceso o brindar la información requerida, que además de permitir el adecuado ejercicio de sus funciones, garantice el resguardo de los derechos establecidos en la Ley 8968, impida la divulgación de los datos que permitan identificar a las personas, y mantenga el deber de confidencialidad de los intervinientes.


 


De Usted, atentamente,


 


 


 


 


Gloria Solano Martínez                                             Elizabeth León Rodríguez


Procuradora                                                               Abogada de Procuraduría


GSM/ELR