08 de enero 2021

OJ-004-2021

 

Señor

Enrique Sánchez Carballo

Diputado

Asamblea Legislativa

 

Estimado señor:

Con aprobación del señor Procurador General de la República, nos referimos a su oficio AL-FPAC-12-OFI-035-2020 del 1 de diciembre de 2020, mediante el cual solicita nuestro criterio sobre lo siguiente:

“(…) si los gobiernos municipales requieren una norma habilitante, con rango de ley ordinaria preferiblemente especial, para proceder de conformidad como lo vienen anunciando al público; es decir, para acceder y utilizar datos biométricos de los transeúntes sin su consentimiento, a los efectos de ejecutar políticas públicas municipales de seguridad ciudadana preventiva, mediando (o no) tecnología de inteligencia artificial (u otras plataformas o aplicaciones afines).

(…)” (El resaltado pertenece al original)

Según señala el señor diputado, dicha interrogante se plantea en virtud de la posible implementación de métodos de video-vigilancia policial ligada con inteligencia artificial y detección facial (datos biométricos de los ciudadanos), por parte de las municipalidades. Lo anterior, como parte de la innovación en materia de políticas públicas sobre seguridad ciudadana.

Previamente debemos señalar que, de conformidad con las atribuciones dispuestas en la Ley Orgánica de la Procuraduría General de la República, este órgano asesor únicamente está facultado para ejercer su función consultiva rindiendo los criterios legales que le solicite la Administración Pública. Consecuentemente, la Asamblea Legislativa sólo está legitimada para consultar cuando lo haga en ejercicio de potestades administrativas, pero no cuando se trata del ejercicio de su función legislativa.

A pesar de lo anterior, en un afán de colaboración con la importante labor que desempeñan las señoras y señores diputados, hemos acostumbrado atender las consultas que formula la Asamblea Legislativa y sus diputados, advirtiendo que se trata de criterios jurídicos no vinculantes sobre determinados proyectos de ley o en relación con la función de control político.

Asimismo, debemos señalar que la emisión de nuestros pronunciamientos no se rige por lo dispuesto en los artículos 27 y 30 de la Constitución Política, ni 32 de la Ley de la Jurisdicción Constitucional (N° 7135 del 11 de octubre de 1989), en tanto lo consultado no concierne a una petición pura y simple de información en poder de la Procuraduría, sino al estudio y emisión de un criterio técnico jurídico que por su naturaleza no queda sujeto al plazo de diez días hábiles establecido en el último precepto citado. Sirva como referencia lo señalado por la Sala Constitucional en la sentencia n.°2019-23112 de las 8:50 horas del 22 de noviembre de 2019:   

“En este nuevo amparo es claro que la recurrente pretende que la Procuraduría General de la República emita un criterio jurídico. De conformidad con las razones expuestas de manera reiterada por este Tribunal una consulta así planteada no constituye parte del ejercicio de los derechos consagrados en los artículos 27 y 30 de la Constitución Política. Por consiguiente, no hay razón para estimar el recurso.”  (El subrayado no es del original).

Dejando establecido lo anterior, procederemos a referirnos sobre lo consultado.

I.     SOBRE LOS DERECHOS DE INTIMIDAD, AUTODETERMINACIÓN INFORMATIVA E IMAGEN

En primer término, conviene recordar que, el artículo 24 de la Constitución Política garantiza el derecho a la intimidad, a la libertad y al secreto de las comunicaciones y de allí se desprenden los derechos fundamentales de inviolabilidad de los documentos privados y de autodeterminación informativa.

Dicho numeral dispone:

“Artículo 24.- Se garantiza el derecho a la intimidad, a la libertad y al secreto de las comunicaciones.

Son inviolables los documentos privados y las comunicaciones escritas, orales o de cualquier otro tipo de los habitantes de la República. Sin embargo, la ley, cuya aprobación y reforma requerirá los votos de dos tercios de los Diputados de la Asamblea Legislativa, fijará en qué casos podrán los Tribunales de Justicia ordenar el secuestro, registro o examen de los documentos privados, cuando sea absolutamente indispensable para esclarecer asuntos sometidos a su conocimiento.

Igualmente, la ley determinará en cuáles casos podrán los Tribunales de Justicia ordenar que se intervenga cualquier tipo de comunicación e indicará los delitos en cuya investigación podrá autorizarse el uso de esta potestad excepcional y durante cuánto tiempo. Asimismo, señalará las responsabilidades y sanciones en que incurrirán los funcionarios que apliquen ilegalmente esta excepción. Las resoluciones judiciales amparadas a esta norma deberán ser razonadas y podrán ejecutarse de inmediato. Su aplicación y control serán responsabilidad indelegable de la autoridad judicial.

La ley fijará los casos en que los funcionarios competentes del Ministerio de Hacienda y de la Contraloría General de la República podrán revisar los libros de contabilidad y sus anexos para fines tributarios y para fiscalizar la correcta utilización de los fondos públicos.

Una ley especial, aprobada por dos tercios del total de los Diputados, determinará cuáles otros órganos de la Administración Pública podrán revisar los documentos que esa ley señale en relación con el cumplimiento de sus competencias de regulación y vigilancia para conseguir fines públicos. Asimismo, indicará en qué casos procede esa revisión.

No producirán efectos legales, la correspondencia que fuere sustraída ni la información obtenida como resultado de la intervención ilegal de cualquier comunicación.”

En relación con la autodeterminación informativa, la Sala Constitucional ha señalado que este derecho constituye una ampliación del ámbito protector del derecho a la intimidad, que surge como respuesta a los cambios en la fluidez de la información, evolucionando a nuevas herramientas de comunicación y distribución de la información, por lo que se debe garantizar el derecho fundamental de los ciudadanos a decidir quién, cuándo, dónde y bajo qué circunstancias se puede tener contacto con sus datos (dictamen C-412-2020 del 21 de octubre de 2020). Tal es el caso de la resolución 910-2009 de las 13:36 horas de 23 de enero de 2009, a través de la cual, la Sala Constitución dispuso: 

 

“La ampliación del ámbito protector del derecho a la intimidad surge como una respuesta al ambiente global de fluidez informativa actual, ambiente que ha puesto en entredicho las fórmulas tradicionales de protección a los datos personales, para evolucionar en atención a la necesidad de utilizar nuevas herramientas que permitan garantizar el derecho fundamental de los ciudadanos a decidir quién, cuándo, dónde y bajo qué y cuáles circunstancias tiene contacto con sus datos. Es reconocido así el derecho fundamental de toda persona física o jurídica a conocer lo que conste sobre ella, sus bienes o derechos en cualquier registro o archivo, de toda naturaleza, incluso mecánica, electrónica o informatizada, sea pública o privada; así como la finalidad a que esa información se destine y a que sea empleada únicamente para dicho fin, el cual dependerá de la naturaleza del registro en cuestión. Da derecho también a que la información sea rectificada, actualizada, complementada o suprimida, cuando la misma sea incorrecta o inexacta, o esté siendo empleada para fin distinto del que legítimamente puede cumplir. Es la llamada protección a la autodeterminación informativa de las personas, la cual rebasa su simple ámbito de intimidad. Se concede al ciudadano el derecho a estar informado del procesamiento de los datos y de los fines que con él se pretende alcanzar, junto con el derecho de acceso, corrección o eliminación en caso el que se le cause un perjuicio ilegítimo. El derecho de autodeterminación informativa tiene como base los siguientes principios: el de transparencia sobre el tipo, dimensión o fines del procesamiento de los datos guardados; el de correspondencia entre los fines y el uso del almacenamiento y empleo de la información; el de exactitud, veracidad, actualidad y plena identificación de los datos guardados; de prohibición del procesamiento de datos relativos a la esfera íntima del ciudadano (raza, creencias religiosas, afinidad política, preferencias sexuales, entre otras) por parte de entidades no expresamente autorizadas para ello; y de todos modos, el uso que la información se haga debe acorde con lo que con ella se persigue; la destrucción de datos personales una vez que haya sido cumplidos el fin para el que fueron recopilados; entre otros. La esfera privada ya no se reduce al domicilio o a las comunicaciones, sino que es factible preguntarse si es comprensible incluir "la protección de la información" para reconocerle al ciudadano una tutela a la intimidad que implique la posibilidad de controlar la información que lo pueda afectar. …La tutela a la intimidad implica, la posibilidad real y efectiva para el ciudadano de saber cuáles datos suyos están siendo tratados, con qué fines, por cuáles personas, bajo qué circunstancias, para que pueda ejercer el control correspondiente sobre la información que se distribuye y que lo afecta (artículos 24 de la Constitución Política y 13 inciso 1 de la Convención Americana de Derechos Humanos). En resumen se deduce entonces que la autodeterminación informativa es una ampliación del derecho a la intimidad y que su protección surge a partir del desarrollo de mecanismos informáticos y tecnológicos globales que manejan bases de datos que contienen información de las personas. Respecto de la delimitación del contenido del derecho de autodeterminación informativa es importante acotar que para que la información sea almacenada de forma legítima, debe cumplir al menos con los siguientes requisitos: primero no debe versar sobre información de carácter estrictamente privado o de la esfera íntima de las personas; segundo debe ser información exacta y veraz (v. sentencia #2000-1119 de las 18:51 horas del 1° de febrero de 2000) y tercero la persona tiene el derecho de conocer la información y exigir que sea rectificada, actualizada, complementada o suprimida, cuando sea incorrecta o inexacta, o esté siendo empleada para fin distinto del que legítimamente puede cumplir (v. sentencias #2007-6793 de las 11:24 horas del 18 de mayo del 2007 y #2008-10114 de las 19:18 horas del 17 de junio de 2008)”.

 

Tal y como se desprende del anterior voto constitucional, el derecho a la autodeterminación informativa amplía el ámbito de intimidad de las personas, además, comprende el derecho del individuo a estar informado sobre el procesamiento de sus datos, sobre el fin que se persigue con su acceso, así como la posibilidad de tener control de los datos que contiene un registro y corregirlos o eliminarlos en caso de que le cause algún perjuicio.

Hasta el año 2011, el contenido del derecho de la autodeterminación informativa, derivado del artículo 24 de la Constitución Política, había sido desarrollado únicamente por jurisprudencia de la Sala Constitucional, la cual había sido reiterativa en señalar la necesidad de llenar el vacío legal que existía en cuanto al control de archivos que contenían información de los particulares. En ese sentido, a través de la resolución No. 5268-2011 de las 15:13 horas de 27 de abril de 2011, la Sala Constitucional señaló:

“…la normativa se ocupa de llenar un importante vacío normativo relacionado con el derecho a la autodeterminación informativa, que si bien la jurisprudencia de la Sala se ha ocupado de desarrollar su contenido, persiste la necesidad de desarrollar una institución administrativa que vele por un equilibrio en la actividad, y para que se constituya en una primera línea de defensa especializada de este derecho fundamental. Por ello es necesario señalar la máxima jurídica (más conocida en el derecho anglosajón) de que no hay derechos sin un remedio procesal (there is no right without a remedy). En un escenario en el que los recursos tecnológicos permiten un uso masivo de almacenamiento de datos de toda naturaleza, y con múltiples posibilidades de transferencia, es importante que toda aquella información personal que llegue formar parte de las bases de datos tenga normada las conductas lícitas e ilícitas de los operadores para que no lleguen a lesionar derechos fundamentales. Actualmente, tanto las Administraciones Públicas, como las personas físicas y empresas que recopilan datos personales, carecen de regulaciones legales que fiscalicen, controlen e intervengan los archivos que contienen estos datos, lo cual repercute en los métodos que sistematizan estos datos. Es claro, los derechos de los particulares están más expuestos sin normativa que cuando ésta la regula de forma más ordenada y compatible con el Derecho de la Constitución. Lo contrario, evidentemente, prolonga una asimetría entre los ciudadanos y los poderes públicos y privados que manejan dicha información, lo cual se ha venido solventando mediante la jurisprudencia de la Sala, la que desde hace más de una década reconoció la ausencia de legislación y de un organismo administrativo de control. De ahí que la legislación llena un importante vacío del ordenamiento jurídico al procurar un equilibrio entre las instituciones y la sociedad costarricense que permita una tutela eficaz de la libertad a la autodeterminación informativa y una mejor protección administrativa de frente a la acumulación de poderes que ha ocurrido a lo largo de los años en que no ha habido tales controles.” (La negrita no es del original)

 

Posterior a ello, se promulgó la Ley N° 8968 del 5 de setiembre de 2011, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, cuya finalidad es garantizar a cualquier persona, sin discriminación alguna, el respeto a su derecho a la autodeterminación informativa en relación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de su libertad e igualdad, con respecto al tratamiento automatizado o manual de los datos sobre su persona o bienes (artículo 1). Adicionalmente, fue emitido el Decreto Ejecutivo N° 37554 del 30 de octubre de 2012, Reglamento a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales.

 

Respecto a su ámbito de aplicación, la citada Ley contempla todos aquellos datos que figuren en bases de datos automatizadas o manuales, de organismos públicos o privados y a toda modalidad de uso posterior de estos datos, excluyéndose a las bases de datos mantenidas por personas físicas o jurídicas con fines exclusivamente internos, personales o domésticos, siempre y cuando estas no sean vendidas o de cualquier otra manera comercializadas (artículo 2 de la Ley).

 

Concretamente, sobre el derecho a la autodeterminación informativa, para el adecuado tratamiento de los datos personales, el numeral 4 señala:

 

“ARTÍCULO 4.- Autodeterminación informativa

Toda persona tiene derecho a la autodeterminación informativa, la cual abarca el conjunto de principios y garantías relativas al legítimo tratamiento de sus datos personales reconocidos en esta sección.

Se reconoce también la autodeterminación informativa como un derecho fundamental, con el objeto de controlar el flujo de informaciones que conciernen a cada persona, derivado del derecho a la privacidad, evitando que se propicien acciones discriminatorias.”

 

Un aspecto importante a resaltar es que, para efectos de determinar el tratamiento o restricción de acceso que se le debe dar a la información de los particulares, la Ley en comentario, así como su reglamento, clasifican los datos en las siguientes categorías:

“ARTÍCULO 9.- Categorías particulares de los datos

(…)

1.-        Datos sensibles

Ninguna persona estará obligada a suministrar datos sensibles. Se prohíbe el tratamiento de datos de carácter personal que revelen el origen racial o étnico, opiniones políticas, convicciones religiosas, espirituales o filosóficas, así como los relativos a la salud, la vida y la orientación sexual, entre otros.

Esta prohibición no se aplicará cuando:

a) El tratamiento de los datos sea necesario para salvaguardar el interés vital del interesado o de otra persona, en el supuesto de que la persona interesada esté física o jurídicamente incapacitada para dar su consentimiento.

b) El tratamiento de los datos sea efectuado en el curso de sus actividades legítimas y con las debidas garantías por una fundación, una asociación o cualquier otro organismo, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a las personas que mantengan contactos regulares con la fundación, la asociación o el organismo, por razón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento de las personas interesadas.

c) El tratamiento se refiera a datos que la persona interesada haya hecho públicos voluntariamente o sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un procedimiento judicial.

d) El tratamiento de los datos resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos sea realizado por un funcionario o funcionaria del área de la salud, sujeto al secreto profesional o propio de su función, o por otra persona sujeta, asimismo, a una obligación equivalente de secreto.

2.- Datos personales de acceso restringido

Datos personales de acceso restringido son los que, aun formando parte de registros de acceso al público, no son de acceso irrestricto por ser de interés solo para su titular o para la Administración Pública. Su tratamiento será permitido únicamente para fines públicos o si se cuenta con el consentimiento expreso del titular.

 

3.- Datos personales de acceso irrestricto

Datos personales de acceso irrestricto son los contenidos en bases de datos públicas de acceso general, según lo dispongan las leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

 

No se considerarán contemplados en esta categoría: la dirección exacta de la residencia, excepto si su uso es producto de un mandato, citación o notificación administrativa o judicial, o bien, de una operación bancaria o financiera, la fotografía, los números de teléfono privados y otros de igual naturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular.

(…)”

 

A partir de lo anterior, podemos afirmar que, la Ley de Protección de la Persona frente al tratamiento de sus datos personales y su reglamento, brindan especial protección a las personas, frente a órganos públicos y privados, respecto al manejo que se dé a su información de índole privada que forme parte de las bases de datos, a fin de que no lleguen a lesionar sus derechos fundamentales.

 

Dado ello, se contempla varias categorías de información, cuya restricción de acceso o tratamiento dependerá de que tan sensible sean los datos allí contenidos. Así entonces, se considera que los datos sensibles o personales, son aquellos que el individuo no tiene la obligación de relevar por ser información de carácter personal (relacionados con origen étnico, religión, salud, orientación sexual, etc), por lo que, se prohíbe su tratamiento por parte de terceros (con las excepciones contenida en el artículo 9.1 de la Ley). Además, contempla la protección de los datos personales de acceso restringido, los cuales, aún y cuando consten en registros de acceso al público, no pueden ser de acceso irrestricto, de allí que, su tratamiento está permitido sólo para el titular de la Administración Pública interesada, cuando persiga fines públicos, o bien, se cuente con el consentimiento expreso del titular, en ese sentido, aún y cuando se encuentre en poder de la Administración, está protegida por el artículo 24 de la Constitución Política y, por ende, no tendrían acceso indiscriminado. Finalmente, encontramos lo datos personales de acceso irrestricto, los cuales son aquellos que forman parte de las bases de datos públicas de acceso general, por disposición de ley especial y para la finalidad para lo cual fueron recabados.

 

Por otra parte, consideramos importante reseñar que, al responsable de la base de datos se le impone un deber de adoptar las medidas de índole técnica y de organización necesarias con el objeto de garantizar la seguridad de los datos personales y evitar su alteración, destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado, así como cualquier otra acción contraria a la Ley en mención, contemplando como mínimo dentro de esas medidas, los mecanismos de seguridad física y lógica más adecuados acordes con el desarrollo tecnológico que impere en el momento. Asimismo, sobre dichos responsables y quienes participen en cualquier fase del proceso de tratamiento de datos personales, recae en correspondencia con esa información, un deber de confidencialidad sea por su condición profesional o funcional.

 

Al respecto señala el numeral 11 de la Ley en comentario:

 

“ARTÍCULO 11.- Deber de confidencialidad

La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales están obligadas al secreto profesional o funcional, aun después de finalizada su relación con la base de datos. La persona obligada podrá ser relevado del deber de secreto por decisión judicial en lo estrictamente necesario y dentro de la causa que conoce.

 

En este punto, conviene resaltar que esta misma Ley dispone expresamente las excepciones al derecho de autodeterminación informativa del ciudadano, al respecto, el artículo 8 acota:

 

“ARTÍCULO 8.- Excepciones a la autodeterminación informativa del ciudadano.

 

Los principios, los derechos y las garantías aquí establecidos podrán ser limitados de manera justa, razonable y acorde con el principio de transparencia administrativa, cuando se persigan los siguientes fines:

 

a) La seguridad del Estado.

b) La seguridad y el ejercicio de la autoridad pública.

c) La prevención, persecución, investigación, detención y represión de las infracciones penales, o de las infracciones de la deontología en las profesiones.

d) El funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica, cuando no exista riesgo de que las personas sean identificadas.

e) La adecuada prestación de servicios públicos.

f) La eficaz actividad ordinaria de la Administración, por parte de las autoridades oficiales.” 

 

Conforme lo anterior, la autodeterminación informativa de los ciudadanos puede ser limitados, de una manera justa, razonable y acorde con el principio de transparencia administrativa, cuando se persigan ciertos fines, como lo son: la seguridad del Estado, la seguridad y el ejercicio de la autoridad pública, la prevención, persecución, investigación, detención y represión de las infracciones penales, o de las infracciones de la deontología en las profesiones, el funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica, cuando no exista riesgo de que las personas sean identificadas, para una adecuada prestación de servicios públicos, y, para una eficaz actividad ordinaria de la Administración, por parte de las autoridades oficiales.

 

 En ese sentido, este órgano técnico consultivo ha señalado que, dichas limitaciones deben ser establecidas en consonancia con el principio de transparencia administrativa y deben constituir una limitación justa y razonable. Lo que implica que deben ser conformes con los principios de razonabilidad y proporcionalidad que rigen la actuación pública y al principio de transparencia (no puede ser arbitraria ni desproporcionada respecto de los fines que persigue), lo cual implica que, aún y cuando se restrinja el derecho a la autodeterminación informativa, los titulares de los datos o sus representantes puedan conocer sobre la existencia del archivo, los datos que constan allí y el tratamiento que recibirán (dictamen C-090-2013 del 28 de mayo de 2013).

 

Conviene reseñar que, la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales creó la Agencia de Protección de Datos de los habitantes (Prodhab), cuya finalidad es garantizar a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el respeto a su derecho a la autodeterminación informativa en relación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de su libertad e igualdad con respecto al tratamiento automatizado o manual de los datos correspondientes a su persona o bienes.

 

En cumplimiento de lo anterior, las personas físicas o jurídicas propietarias de bases de datos deberán inscribir ante la Agencia estos registros (artículo 44 del Reglamento a la Ley 8968), especificando, entre otras cosas, las finalidades y los usos previstos.

 

Ahora bien, refiriéndonos concretamente al derecho de imagen, la jurisprudencia de la Sala Constitucional lo ha considerado una derivación o extensión del derecho a la intimidad (artículo 24 de la Constitución Política), y lo ha definido como: “aquel que faculta a las personas a reproducir su propia imagen o por el contrario a impedir que un tercero pueda captar, reproducir o publicar una imagen sin autorización” (resolución 2001-09250 de las 10:22 horas del 14 de setiembre de 2001). 

 

Asimismo, en la sentencia  2533-93 de las 10:03 horas del 4 de junio de 1993, señaló: “… El derecho a la imagen es uno de los derechos de la personalidad y tiene independencia funcional y se manifiesta en forma negativa cuando la persona se niega a que se le tome una fotografía y en forma positiva cuando el sujeto solicita o autoriza tal conducta; además, el retrato fotográfico de la persona no puede ser puesto en el comercio, sin el debido consentimiento…” (en similar sentido ver las resoluciones Nos. 2533-93, de las 10:03 del 4 de junio de 1993, 1441-96 de las 16:15 horas del 27 de marzo de 1996 y 2014-11715 de las 9:05 horas del 18 de julio de 2014, de la Sala Constitucional).

           

Concretamente, a través de la resolución No. 2007-12959 de las 10:22 horas del 7 de setiembre de 2007, la Sala Constitucional dispuso:

 

“II.- SOBRE EL DERECHO DE IMAGEN. - En reiteradas ocasiones, esta Sala ha desarrollado el derecho de imagen como una extensión del derecho a la intimidad, protegido constitucionalmente en el artículo 24 de la Constitución Política, cuyo fin es resguardar el ámbito o esfera privada de las personas del público, salvo autorización expresa del interesado. De esta manera, se limita la intervención de otras personas o de los poderes públicos en la vida privada de las personas; esta limitación puede encontrarse tanto en la observación y en la captación de la imagen como en la difusión posterior de lo captado sin el consentimiento de la persona afectada. Este Tribunal ha señalado expresamente, que para que una persona pueda invocar la vulneración a este derecho, debe existir una plena identificación de la persona presuntamente perjudicada, sea por su nombre o por su imagen.” (Sentencia n.°2010-05273 de las 14:59 horas del 17 de marzo del 2010. En igual sentido, el voto n.°2014-13162 de las 9:05 horas del 14 de agosto del 2014. El subrayado no es del original).

 

“Ahora bien, como todo derecho fundamental, el derecho de intimidad, del cual deriva el derecho a la imagen, no se trata de uno irrestricto, y como ya ha sido aceptado por esta Sala, cede ante el consentimiento del titular.”  (El subrayado no pertenece al original)

 

Adicionalmente, el derecho de imagen se encuentra consagrado en el Derecho Internacional, donde se protege de manera particular la imagen y el honor de las personas, ante injerencias en su vida privada. Tales son los casos del artículo 17 del Pacto Internacional de Derechos Civiles y Políticos, artículo 11 de la Convención Americana sobre Derechos Humanos, numeral V de la Declaración Americana de Derechos y Deberes del Hombre y 12 de la Declaración Universal de los Derechos Humanos.

Así las cosas, el derecho fundamental a la propia imagen, tiene su fundamento tanto en la Constitución Política, como en Tratados de Derecho Internacional. Conforme lo ha dispuesto la Sala Constitucional, este derecho fundamental forma parte de los derechos de la personalidad inherentes a todo ser humano y supone la facultad de su titular para impedir que su apariencia física o su voz sean grabadas, reproducidas o publicadas sin su consentimiento. No obstante, este derecho fundamental no tiene un carácter absoluto, irrestricto o incondicionado, de manera que, ante determinadas circunstancias, la regla general del consentimiento del titular cede en los supuestos de excepción (dictamen C-111-2020 del 31 de marzo de 2020), supuestos que quedan supeditados al principio de reserva de ley por tratarse de limitaciones a derechos fundamentales.

Tal es el caso, de lo regulado en los artículos 47 del Código Civil, al disponer lo siguiente:

“ARTÍCULO 47.- La fotografía o la imagen de una persona no puede ser publicada, reproducida, expuesta ni vendida en forma alguna si no es con su consentimiento, a menos que la reproducción esté justificada por la notoriedad de aquélla, la función pública que desempeñe, las necesidades de justicia o de policía, o cuando tal reproducción se relacione con hechos, acontecimientos o ceremonias de interés público o que tengan lugar en público. Las imágenes y fotografías con roles estereotipados que refuercen actitudes discriminantes hacia sectores sociales no pueden ser publicadas, reproducidas, expuestas ni vendidas en forma alguna.”

 

Como se observa, el Código Civil contiene excepciones a la regla de contar con el consentimiento del titular del derecho para poder captar su imagen, en los supuestos donde se evidencia una notoriedad de la persona, por la función pública que desempeñe (resolución No. 2014-11715 de la Sala Constitucional), las necesidades de justicia o de policía a propósito de una investigación y cuando la grabación se relacione con hechos, acontecimientos o ceremonias de interés público o que tengan lugar en público.

II.  SOBRE EL ACCESO A LOS DATOS BIOMÉTRICOS

En la legislación costarricense no podemos encontrar a la fecha, una definición de los datos biométricos, así como tampoco una regulación específica para ellos, aunque como veremos, existe legislación que permite el acceso a estos datos en ciertas circunstancias.

Sin embargo, podemos encontrar parangón en el derecho comparado, siendo un ejemplo de ello el Reglamento de la Unión Europea 2016/679, relativo a la protección de las personas físicas. Dicha legislación, en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define los datos biométricos como aquellos “…obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”.

Asimismo, el Reglamento citado (artículo 9.1) considera estos datos como una categoría especial de datos personales, en cuyo caso, como regla general, está prohibido su tratamiento. Señala este numeral:

“Tratamiento de categorías especiales de datos personales

 

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.” (El subrayado no pertenece al original)

 

Como se observa, conforme a la legislación europea, los datos biométricos se encuentran dentro de la categoría de los datos sensibles, pues son aquellos recopilados a través de procesos tecnológicos y que llevan relación con características físicas, fisiológicas y conductuales de una persona, las cuales, permiten identificarlo inequívocamente, verbigracia su huella dactilar, reconocimiento facial, iris de la retina, ADN, geometría de la mano o dedos, reconocimiento de voz, etc.

Cabe señalar que, parte de la fundamentación del Reglamento en comentario acota que, existe un deber de garantizar a toda la Unión Europea que, la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal, sea coherente y homogénea, esto en virtud de la rápida evolución tecnológica y la globalización, lo cual ha planteado nuevos retos para la protección de los datos personales.

En el caso particular de la legislación costarricense, como indicamos, la Ley N° 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, no presenta una regulación explícita sobre los datos biométricos y su tratamiento, aunque no hay duda que el acceso a estos datos tiene relación directa con el derecho a la intimidad y, en consecuencia, quedan resguardados por el artículo 24 de la Constitución Política.

Si equiparamos los datos biométricos a la categoría de datos sensibles, tal como lo hace la legislación europea, su acceso está en principio prohibido, salvo consentimiento del titular o las excepciones calificadas que deberán regularse por ley, en protección de los derechos a la intimidad, imagen y autodeterminación informativa. Precisamente por ello, podemos encontrar legislación relacionada con excepciones al artículo 24 de la Constitución Política en cuanto a la recopilación y tratamiento de este tipo de datos.

Así por ejemplo, el artículo 93 de la Ley Orgánica del Tribunal Supremo de Elecciones y del Registro Civil establece lo siguiente:

“ARTICULO 93.- Cédula de identidad

La cédula de identidad contendrá la información necesaria, a juicio del Tribunal Supremo de Elecciones, para identificar, conforme a derecho, plenamente a su portador.

 

Para confeccionar y emitir este documento, el Tribunal y el Registro Civil utilizarán las técnicas más avanzadas y seguras para la identificación personal.” (El subrayado no pertenece al original)

     Conforme lo anterior, para confeccionar y emitir el documento de identidad, el Tribunal y el Registro Civil utilizan las técnicas más avanzadas y seguras para la identificación personal, procedimiento que denominan "Servicio de Verificación de Identidad" (VID). Este permite a su adquirente, previa digitación del número de cédula y la captura de la huella dactilar de su usuario o cliente, el cotejo de esa información con la almacenada en la base de datos de este Tribunal y, en caso de que exista coincidencia, se despliega en la pantalla del dispositivo los datos asociados a esa cédula de identidad y la correspondiente fotografía.

Conforme lo señaló el Tribunal Supremo de Elecciones en la resolución No. 2357-E8-2015 de las 11:35 horas del 25 de mayo de 2015, Interpretación de los artículos 93 y 95 de la Ley Orgánica del Tribunal Supremo de Elecciones y del Registro Civil, “… con este sistema de verificación biométrico se alcanza de manera más eficiente el fin perseguido por las citadas normas jurídicas, cual es la identificación plena y segura de la persona en toda aquella diligencia u operación en la que sea del caso acreditar su identidad personal, eliminando, mediante esta cédula digital, toda posibilidad de suplantación por falsificación del documento en su formato físico…”.

Ergo, con fundamento en su Ley Orgánica, el Tribunal Supremo de Elecciones utiliza datos biométricos (captura de la huella dactilar) para identificar fehacientemente a las personas, a través del cotejo de esta información con la información que consta en las bases de datos del Registro Civil, mediante el uso de herramientas tecnológicas.

En ese mismo sentido, el artículo 40 de la Ley Orgánica del Organismo de Investigación Judicial, permite la conformación de un Archivo Criminal, en el cual consten las fichas y demás documentos, debidamente clasificados, de todas las personas que en alguna oportunidad hayan comparecido ante las autoridades en calidad de presuntos responsables de hechos punibles y, asimismo, con las que enviaren las autoridades nacionales o extranjeras.

De igual forma, el numeral 41 de esta Ley, otorga el carácter confidencial a toda la información que conste en el Archivo Criminal, además, autoriza su uso para el Organismo de Investigación Judicial, el Ministerio Público y los órganos jurisdiccionales que conocen materia penal. Además, autoriza que sea consultado por los cuerpos policiales de carácter preventivo, las instituciones gubernamentales que regulan temas de seguridad nacional y la oficina del Tribunal Supremo de Elecciones encargada de aprobar los trámites de naturalización costarricense, los policías que realicen labores de investigación para fines represivos, la Policía de Control Fiscal del Ministerio de Hacienda, la Policía de Control de Drogas del Ministerio de Seguridad Pública y la Policía Profesional de Migración y Extranjería.

Señalan ambos numerales:

“Artículo 40.-El Archivo Criminal estará a cargo de un experto en la materia. Contará con las fichas y demás documentos, debidamente clasificados, de todas las personas que en alguna oportunidad hayan comparecido ante las autoridades en calidad de presuntos responsables de hechos punibles, y, asimismo, con las que enviaren las autoridades nacionales o extranjeras.

 

Artículo 41- Toda la información que contenga el Archivo Criminal tendrá carácter confidencial y será para uso del Organismo de Investigación Judicial (OIJ), el Ministerio Público y los órganos jurisdiccionales que conocen materia penal.

 

Los cuerpos policiales de carácter preventivo, las instituciones gubernamentales que regulan temas de seguridad nacional y la oficina del Tribunal Supremo de Elecciones encargada de aprobar los trámites de naturalización costarricense podrán realizar consultas sobre personas para determinar si mantienen expedientes criminales activos, datos de identificación contenidos en la reseña policial, fotografías y asuntos pendientes como capturas de personas, de vehículos o presentaciones.

 

Las policías que realicen labores de investigación para fines represivos, como la Policía de Control Fiscal del Ministerio de Hacienda, la Policía de Control de Drogas del Ministerio de Seguridad Pública y la Policía Profesional de Migración y Extranjería podrán consultar íntegramente los expedientes criminales que se mantienen en el sistema de Archivo Criminal.”

 

Sobre este registro en particular, la Sala Constitucional ha indicado:

“V. El derecho a la intimidad y los registros judiciales. El derecho a la intimidad no se constituye en una potestad del sujeto de determinar la existencia o no de registros con informaciones de carácter personal ni la posibilidad de que con base en el derecho a la autodeterminación informativa éste pueda decidir qué aspectos deben o no ser registrados. La complejidad de las relaciones sociales y la necesidad de cumplimiento de las funciones del Estado exigen que se cuente con información indispensable para el cumplimiento de esos fines. En el campo del control y combate de la criminalidad el Estado debe contar con los medios que le permitan realizar las investigaciones necesarias para individualizar a los responsables de las conductas delictivas y para alcanzar fines en la ejecución de las penas. Desde el punto de vista investigativo existe un proceso de reseña a las personas que figuran como presuntos responsables de la comisión de un delito, en la que se incluyen huellas dactilares, anotaciones de características peculiares etc., que facilitan la investigación y que se realizan con la finalidad de identificar plenamente al sujeto en caso de que cometa un nuevo delito. (…)” (El subrayado no pertenece al original) (Sentencia 1999-05802 de las 15:36 horas del 27 de julio de 1999)

 

            Ergo, la Ley Orgánica del Organismo de Investigación Judicial es una norma habilitante, que permite a ciertos organismos públicos, el acceso a toda la información o datos que consten en el Archivo Criminal del OIJ, en los supuestos donde exista una investigación por un delito, entre ellos datos biométricos como lo son las huellas dactilares.

 

            Ahora bien, la existencia de la legislación anteriormente citada, sea el artículo 93 de la Ley Orgánica del Tribunal Supremo de Elecciones y del Registro Civil y los artículos 40 y 41 de la Ley Orgánica del Organismo de Investigación Judicial, confirman la necesidad de que exista una norma especial habilitante, que regule las condiciones específicas en que podrá tenerse acceso a los datos biométricos que, por su naturaleza, están protegidos constitucionalmente.

 

Por tanto, el acceso a ese tipo de datos no es indiscriminado, sino que, necesariamente su acceso, recopilación y archivo debe estar expresamente autorizado para la consecución del interés público que se persigue (fin específico). De allí que, el tratamiento de los datos biométricos de las personas debe estar autorizado por una Ley habilitante.

Partiendo de ello debe atenderse la consulta del señor diputado, que solicita que nos refiramos si las municipalidades requieren de una norma habilitante, con rango de ley ordinaria preferiblemente especial, para acceder y utilizar datos biométricos de los transeúntes sin su consentimiento, a los efectos de ejecutar políticas públicas municipales de seguridad ciudadana preventiva, mediando (o no) tecnología de inteligencia artificial (u otras plataformas o aplicaciones afines).

Conforme lo ya indicado en este pronunciamiento y tratándose de datos de naturaleza sensible, no cabe duda que los datos biométricos están resguardados por el artículo 24 de la Constitución Política, el cual garantiza el derecho a la intimidad, a la imagen y el derecho a la autodeterminación informativa, los cuales, como cualquier otro derecho, están sujetos al principio de reserva de ley en orden a sus excepciones.

Sobre este tema, la Sala Constitucional ha indicado que “los derechos fundamentales, no son absolutos, sino que nacen limitados (intrínseca o extrínsecamente), establecidos por el propio constituyente o por el legislador en virtud de la reserva de ley” (Resolución No. 5268-2011 de las 15:13 horas del 27 de abril de 2011).

En consecuencia, ante lo consultado, debemos concluir que, para que las municipalidades o cualquier otra entidad pública o privada puedan recopilar, almacenar o tener acceso a los datos biométricos de los habitantes, necesariamente deberán ser autorizados por una ley, mediante la cual se defina el fin público que se persigue con ello, además, se establezcan los demás parámetros para su tratamiento, como serían, por ejemplo, quién tendrá acceso a esta información y su propósito, el tratamiento que se dará a los datos, régimen sancionatorio en caso de incumplimiento, medidas de seguridad y respaldo, entre otras.

 

Finalmente, dicha autorización deberá provenir de una ley especial, aprobada por dos tercios del total de los Diputados, tal y como lo señala el artículo 24 Constitucional.

 

III.   CONCLUSIONES

A partir de lo anterior podemos llegar a las siguientes conclusiones:

 

a)             El artículo 24 de la Constitución Política garantiza el derecho a la intimidad, a la libertad y al secreto de las comunicaciones, de cuyo contenido se desprenden los derechos a la imagen, la inviolabilidad de los documentos privados y de autodeterminación informativa;

 

b)            El derecho a la imagen faculta a las personas a reproducir su propia imagen o, por el contrario, impedir que un tercero pueda captar, reproducir o publicar una imagen sin autorización;

 

c)             Por su parte, el derecho a la autodeterminación informativa comprende el derecho del individuo a estar informado sobre el procesamiento de sus datos, sobre el fin que se persigue con su acceso, así como la posibilidad de tener control sobre los datos que contiene un registro y corregirlos o eliminarlos en caso de que le cause algún perjuicio;

 

d)            La Ley de Protección de la Persona frente al tratamiento de sus datos personales contempla varias categorías de información, según se trate de datos sensibles, datos personales de acceso restringido o datos personales de acceso irrestricto;

 

e)             En la legislación costarricense no podemos encontrar a la fecha, una definición de los datos biométricos, así como tampoco una regulación específica para ellos, aunque existe legislación que permite el acceso a estos datos a autoridades específicas en ciertas circunstancias (Ley Orgánica del Tribunal Supremo de Elecciones y del Registro Civil y Ley Orgánica del Organismo de Investigación Judicial);

 

f)             No obstante lo anterior, al igual que se reconoce en el derecho comparado europeo, los datos biométricos deben enmarcarse dentro de la categoría de los datos sensibles, pues son aquellos recopilados a través de procesos tecnológicos y que llevan relación con características físicas, fisiológicas y conductuales de una persona, las cuales, permiten identificarlo inequívocamente, a través de su huella dactilar, reconocimiento facial, iris de la retina, ADN, geometría de la mano o dedos, reconocimiento de voz, entre otras; 

 

g)            Consecuentemente, los datos biométricos se encuentran resguardados por el artículo 24 de la Constitución Política, por lo que su acceso, recopilación y archivo debe ser expresamente consentido por el titular o autorizado por una ley especial habilitante, aprobada por mayoría calificada;

 

h)            Por tanto, para que las municipalidades o cualquier otra entidad pública o privada puedan recopilar, almacenar o tener acceso a los datos biométricos de los habitantes, necesariamente deberán ser autorizados una norma de rango legal, mediante la cual se defina el fin público que se persigue con ello, además, se establezcan los demás parámetros para su tratamiento, como serían, por ejemplo, quién tendrá acceso a esta información y su propósito, el tratamiento que se dará a los datos, régimen sancionatorio en caso de incumplimiento, medidas de seguridad y respaldo, entre otras.

 

 

Atentamente,

 

 

 

Silvia Patiño Cruz                                                   Yolanda Mora Madrigal

Procuradora                                                         Abogada de la Procuraduría