Un archivero lleno de expedientes de clientes sin llave, en un lobby de acceso público
Imaginá entrar al lobby de una clínica y encontrar un archivero de metal con cientos de expedientes médicos: nombres, diagnósticos, resultados de laboratorio, direcciones. El archivero no tiene llave. Cualquiera que pase puede abrir una carpeta y leer lo que quiera. Nadie lo hace porque nadie ha pensado en hacerlo, pero la posibilidad está ahí, visible y desprotegida. Ahora transportá esa imagen al mundo digital: una base de datos de clientes en un servidor sin contraseña adecuada, un Excel con datos de empleados compartido por correo sin cifrar, un formulario web que recopila información personal y la guarda sin ningún control de acceso. Eso es lo que hacen, sin saberlo, la mayoría de las PYMEs centroamericanas cada día.
La protección de datos personales ya no es solo una buena práctica. En Costa Rica es una obligación legal desde 2011. Y las consecuencias de ignorarla van desde multas económicas hasta restricciones operativas que pueden afectar directamente el funcionamiento del negocio.
Lo más importante: esta ley no fue diseñada para grandes corporaciones. Aplica a cualquier empresa, sin importar su tamaño, que recopile, almacene o use datos personales de ciudadanos costarricenses. Eso incluye a la ferretería del barrio que guarda los datos de sus clientes frecuentes, a la clínica veterinaria que tiene expedientes digitales, y al despacho de abogados que maneja información confidencial de sus clientes.
El panorama legal en Centroamérica: país por país
Costa Rica: Ley 8968 y la PRODHAB
Costa Rica tiene la legislación más desarrollada de la región. La Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (Ley 8968), promulgada en 2011, establece un marco completo de protección de datos personales y creó la Agencia de Protección de Datos de los Habitantes (PRODHAB) como ente autónomo de vigilancia y cumplimiento.
La ley fue complementada en 2013 con su reglamento ejecutivo y ha sido reforzada con resoluciones posteriores de la PRODHAB que aclaran obligaciones específicas.
Panamá: Ley 81 de 2019
Panamá aprobó en 2019 la Ley 81 de Protección de Datos Personales, que entró en vigencia gradualmente y tiene similitudes con el GDPR europeo. Establece obligaciones de consentimiento, derechos de los titulares, y sanciones por incumplimiento. La Autoridad Nacional de Transparencia y Acceso a la Información (ANTAI) es el ente de control.
El Salvador: en proceso
El Salvador aprobó en 2021 la Ley de Protección de Datos Personales, pero su implementación ha sido gradual y el ente regulador aún está en proceso de consolidación. Las obligaciones existen pero la capacidad de enforcement todavía se está desarrollando.
Guatemala: sin ley específica aún
Guatemala no tiene aún una ley específica de protección de datos personales, aunque hay iniciativas legislativas en proceso. Sin embargo, la Constitución Política y el Código Civil establecen algunas protecciones básicas sobre información personal. Las empresas guatemaltecas que operan con clientes o socios en Costa Rica, Panamá o Europa están sujetas a esas legislaciones por los datos que manejan.
Honduras
Honduras tampoco tiene una ley de protección de datos personales específica y robusta. Se trabaja en un proyecto de ley, pero al 2026 sigue sin aprobarse. Las empresas hondureñas, sin embargo, están obligadas a cumplir con las leyes de los países donde residen sus clientes cuyos datos procesan.
Qué dice la Ley 8968: las obligaciones concretas
¿Qué son datos personales bajo esta ley?
Cualquier información que permita identificar directa o indirectamente a una persona física. Eso incluye:
Las 5 obligaciones principales de las empresas
1. Registrar las bases de datos ante PRODHAB
Toda empresa costarricense que mantenga bases de datos con información personal de terceros debe registrarlas ante la PRODHAB. El registro es gratuito y se hace en línea en el portal de la Agencia. Muchas empresas desconocen esta obligación. Las bases que deben registrarse incluyen: base de clientes, base de empleados, base de proveedores, listas de correo, expedientes médicos, datos de facturación.
2. Tener una política de privacidad clara y accesible
Cualquier empresa que recopile datos (especialmente a través de formularios web, apps o contratos) debe tener una política de privacidad que explique en lenguaje comprensible: qué datos recopila, para qué los usa, cuánto tiempo los guarda, con quién los comparte, y cómo el titular puede ejercer sus derechos.
3. Obtener consentimiento informado y libre
No podés usar los datos de una persona para un propósito que ella no autorizó explícitamente. El consentimiento debe ser:
Las famosas casillas pre-marcadas de "acepto los términos" que muchos sitios usan NO son consentimiento válido bajo la Ley 8968.
4. Garantizar los derechos ARCO
Los titulares de los datos tienen derechos que la empresa debe respetar y atender:
La empresa tiene 5 días hábiles para responder a una solicitud ARCO.
5. Notificar brechas de seguridad
Si la empresa sufre un incidente que compromete datos personales (hackeo, pérdida de dispositivo con datos, acceso no autorizado), tiene la obligación de notificarlo a la PRODHAB y, en casos donde el riesgo para los titulares sea alto, también notificar a las personas afectadas. Ocultar una brecha es una agravante que incrementa significativamente las sanciones.
Las multas: de cuánto estamos hablando
La PRODHAB puede imponer multas de uno a diez salarios base (el salario base en Costa Rica es actualmente alrededor de ₡462,200, aproximadamente $900 USD) por cada infracción. En casos graves o reincidentes, las multas pueden ser significativamente mayores.
Más allá de las multas, las sanciones pueden incluir:
En 2024 y 2025, la PRODHAB incrementó notablemente su actividad fiscalizadora, con inspecciones proactivas a empresas de sectores financiero, salud, telecomunicaciones y comercio electrónico. Ya no es solo teoría.
Diferencias con el GDPR europeo
Muchas empresas costarricenses que trabajan con clientes o socios europeos preguntan si cumplir la Ley 8968 es suficiente para el GDPR. La respuesta corta: no completamente, aunque hay mucha superposición.
| Aspecto | Ley 8968 (Costa Rica) | GDPR (Europa) |
|---|---|---|
| Multas máximas | Hasta 10 salarios base | Hasta €20 millones o 4% del volumen global |
| Delegado de protección de datos (DPO) | No obligatorio | Obligatorio en ciertos casos |
| Privacidad desde el diseño | Recomendado | Obligatorio |
| Transferencias internacionales | Restricciones básicas | Reglas estrictas con mecanismos aprobados |
| Tiempo de respuesta ARCO | 5 días hábiles | 30 días calendario |
Si tu empresa exporta servicios a Europa, recibe clientes europeos o tiene socios comerciales en la UE, necesitás evaluar el cumplimiento GDPR por separado. La buena noticia es que las medidas técnicas y organizativas que implementás para cumplir la Ley 8968 son en su mayoría válidas también para el GDPR.
Caso práctico: lo que encontramos en una auditoría típica de PYME costarricense
En una auditoría reciente a una empresa de servicios profesionales en San José con 35 empleados, encontramos la situación que es más la norma que la excepción:
Ninguna de estas situaciones requería tecnología sofisticada para resolverse. Requería proceso, política y conciencia. En 60 días de trabajo conjunto, la empresa quedó en cumplimiento razonable con la ley.
Guía práctica: cómo cumplir la Ley 8968 sin un departamento legal
Paso 1: Auditoría de datos (semana 1-2)
Identificá todos los lugares donde tu empresa almacena datos personales:
Para cada una, documentá: qué datos contiene, quién tiene acceso, cómo está protegida, cuánto tiempo se conserva.
Paso 2: Registrar las bases de datos ante PRODHAB (semana 2-3)
Ingresar a la plataforma en línea de la PRODHAB (www.prodhab.go.cr) y registrar cada base de datos identificada. El proceso en línea es relativamente sencillo y hay guías disponibles en el sitio oficial.
Paso 3: Política de privacidad (semana 3-4)
Redactar una política de privacidad clara para tu sitio web y para los formularios de recopilación de datos. No tiene que ser un documento legal de 40 páginas. Debe ser comprensible para una persona sin formación legal. Incluye:
Paso 4: Actualizar formularios de consentimiento (semana 4)
Revisá todos los formularios (físicos y digitales) donde recopilás datos. Cada uno debe tener una explicación clara del uso que se dará a los datos y una casilla NO pre-marcada donde el usuario da su consentimiento explícito.
Paso 5: Procedimiento para atender solicitudes ARCO (semana 5)
Designar un correo electrónico oficial para recibir solicitudes de acceso, rectificación, cancelación y oposición. Crear un procedimiento interno de quién recibe la solicitud, quién la evalúa, quién la responde y en qué plazo. Documentar cada solicitud recibida y su respuesta.
Paso 6: Procedimiento de gestión de brechas (semana 6)
Establecer qué hacer si ocurre un incidente: quién lo evalúa, cómo determinar si es notificable, cómo notificar a la PRODHAB y a los afectados, cómo documentar el incidente. Tener este proceso antes de que ocurra el incidente es la diferencia entre una respuesta ordenada y el caos.
Paso 7: Acuerdos con terceros (mes 2)
Revisar los contratos con proveedores que procesan datos personales de tus clientes (contabilidad externa, servicios de nube, agencias de marketing, sistemas de email). La Ley 8968 establece que el responsable de la base de datos también es responsable de los tratamientos que hacen los terceros en su nombre. Asegurarte de que esos proveedores cumplan estándares adecuados es tu obligación, no solo la de ellos.
La intersección con ciberseguridad técnica
El cumplimiento de la Ley 8968 no es solo un ejercicio jurídico. Requiere medidas técnicas concretas:
Esto es exactamente donde la ciberseguridad y el cumplimiento legal se fusionan: las mismas medidas técnicas que protegen tus datos de ciberataques son las que te permiten cumplir con la ley.
Un activo, no solo una obligación
Hay una forma de ver la protección de datos que va más allá del cumplimiento: es una ventaja competitiva. En Centroamérica, donde la cultura de protección de datos aún está en desarrollo, las empresas que demuestran activamente que cuidan la información de sus clientes generan diferenciación y confianza.
Cada vez más empresas multinacionales, al momento de seleccionar proveedores locales, preguntan por políticas de privacidad, registros ante PRODHAB y medidas técnicas de protección de datos. Estar en cumplimiento abre puertas comerciales que estar en incumplimiento cierra.
Y para los consumidores, especialmente las generaciones más jóvenes, saber que una empresa protege seriamente su información es un factor de decisión real.
Lo que no podés seguir posponer
La Ley 8968 existe desde 2011. La PRODHAB lleva años siendo más activa en su fiscalización. Si tu empresa opera en Costa Rica y maneja datos personales, el momento de actuar era hace varios años. El segundo mejor momento es hoy.
En CiberShield acompañamos a PYMEs centroamericanas en el proceso de cumplimiento de la Ley 8968 y otras regulaciones de protección de datos de la región. Realizamos auditorías de datos, elaboramos políticas de privacidad, implementamos controles técnicos y acompañamos el proceso de registro ante PRODHAB. Si no sabés por dónde empezar, empezá por escribirnos. Una empresa en cumplimiento no solo evita multas: protege a sus clientes y construye confianza.