Saltar al contenido
01 · Consultoría01 · Consulting

Cumplimiento Ley 8968 (PRODHAB)Ley 8968 Compliance (PRODHAB)

Protección de datos personales en Costa Rica: registro, consentimiento y medidas.Personal data protection in Costa Rica: registration, consent and safeguards.

Ley 8968 · PRODHABLey 8968 · PRODHAB 1.4 · Cumplimiento Costa Rica1.4 · Costa Rica Compliance

¿Qué es este servicio?What is this service?

Es la adecuación de una organización a la Ley 8968, la Ley de Protección de la Persona frente al tratamiento de sus datos personales, y a su reglamento. Es la norma costarricense de protección de datos y la autoridad que la aplica es la PRODHAB.

This is bringing an organisation into compliance with Law 8968, the Law on the Protection of Individuals with regard to the Processing of their Personal Data, and its implementing regulation. It is Costa Rica's data protection statute and the authority that enforces it is PRODHAB.

¿Para qué se usa?What is it used for?

Permite identificar qué datos personales trata la organización, con qué base los trata y qué ocurre si se filtran. El trabajo incluye levantar el inventario de tratamientos, revisar cómo se pide y se guarda el consentimiento, inscribir las bases de datos que corresponda ante la PRODHAB, ajustar los contratos con terceros que tratan datos por cuenta de la organización, y montar el procedimiento para atender a una persona que ejerza sus derechos.

It establishes what personal data the organisation processes, on what basis, and what happens if it leaks. The work includes building the processing inventory, reviewing how consent is collected and stored, registering the relevant databases with PRODHAB, adjusting contracts with third parties that process data on its behalf, and setting up the procedure to handle individuals exercising their rights.

Qué beneficios traeBenefits it delivers

  • Reduce la exposición a sanciones y, sobre todo, al daño reputacional de una filtración mal manejada.
  • Ordena una pregunta que casi nadie puede contestar de memoria: dónde está cada dato personal y quién tiene acceso.
  • Deja los contratos con proveedores en regla, que es por donde se filtran la mayoría de los datos.
  • Adelanta trabajo para la reforma que está en trámite, que es más exigente que la ley actual.
  • Sirve de base para RGPD si la organización trata datos de personas en la Unión Europea.
  • Reduces exposure to penalties and, above all, to the reputational damage of a badly handled breach.
  • Answers a question almost nobody can answer from memory: where every piece of personal data sits and who can access it.
  • Puts supplier contracts in order, which is where most data actually leaks from.
  • Front-loads work for the reform currently in progress, which is stricter than the law in force.
  • Provides the basis for GDPR work if the organisation processes data of people in the European Union.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • La Ley 8968 está vigente y obliga a toda persona física o jurídica que trate datos personales en Costa Rica, sea pública o privada.
  • Exige consentimiento informado y expreso antes de recolectar o tratar datos personales, salvo las excepciones que la propia ley define.
  • Reconoce a la persona los derechos de acceso, rectificación y eliminación de sus datos.
  • Hay una reforma en trámite: el proyecto de ley 23097 derogaría la 8968 y la alinearía al RGPD. Se aprobó en primer debate el 14 de octubre de 2024, pero el 17 de octubre se aprobó una moción de retrotracción y volvió a primer debate. No está aprobado, así que hoy la norma aplicable sigue siendo la 8968.
  • Law 8968 is in force and binds any individual or legal entity processing personal data in Costa Rica, whether public or private.
  • It requires informed, express consent before collecting or processing personal data, except for the exceptions the law itself defines.
  • It grants individuals rights of access, rectification and deletion of their data.
  • A reform is in progress: bill 23097 would repeal Law 8968 and align it with the GDPR. It passed first debate on 14 October 2024, but on 17 October a motion to send it back was approved and it returned to first debate. It has not been enacted, so Law 8968 remains the applicable rule today.

InternacionalInternational

  • Cuando se tratan datos de personas que están en la Unión Europea, aplica el RGPD con independencia de dónde esté la empresa.
  • Cuando se prestan servicios a empresas de Estados Unidos, lo habitual no es una ley general sino la exigencia contractual del cliente y, según el sector, HIPAA para datos de salud.
  • Varias leyes estatales de Estados Unidos aplican por volumen de datos o de facturación, no por tener oficina en el estado.
  • Where data of people located in the European Union is processed, the GDPR applies regardless of where the company sits.
  • When serving US companies, the driver is usually not a general statute but the client's contractual requirement and, depending on the sector, HIPAA for health data.
  • Several US state laws apply based on data volume or revenue, not on having an office in the state.

Requisitos mínimosMinimum requirements

  • Acceso a los sistemas y formularios donde se recolectan datos personales, incluidos los del sitio web.
  • Una persona de contacto por área que sepa qué datos usa su equipo y para qué.
  • Contratos vigentes con proveedores que tratan datos por cuenta de la organización.
  • Políticas de privacidad y textos de consentimiento que se estén usando hoy, aunque estén desactualizados.
  • Inventario de bases de datos, aunque sea parcial.
  • Access to the systems and forms where personal data is collected, including those on the website.
  • A contact person per area who knows what data their team uses and why.
  • Current contracts with suppliers that process data on the organisation's behalf.
  • The privacy notices and consent texts in use today, even if outdated.
  • A database inventory, even a partial one.

Plazo típico de entregaTypical delivery time

6 a 12 semanas 6 to 12 weeks rango habitual del mercado usual market range

El rango de mercado para una adecuación completa va de seis a doce semanas en una organización mediana. El inventario de tratamientos se lleva la mitad del tiempo porque depende de entrevistar a cada área. Un diagnóstico rápido, sin remediación ni inscripción de bases, se entrega en dos a tres semanas.

The market range for a full compliance programme runs from six to twelve weeks in a mid-sized organisation. The processing inventory takes half of that, because it depends on interviewing each business area. A quick assessment, without remediation or database registration, is delivered in two to three weeks.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

PRODHABPRODHAB
Agencia de Protección de Datos de los Habitantes. Es la autoridad costarricense que supervisa el cumplimiento de la Ley 8968. Costa Rican Data Protection Agency, the authority that oversees compliance with Law 8968.
Dato personalPersonal data
Cualquier información sobre una persona identificada o que se pueda identificar. No es solo el nombre: un número de teléfono o un identificador de dispositivo también lo son. Any information about an identified or identifiable person. Not just a name: a phone number or a device identifier also counts.
TratamientoTreatment
Cualquier operación sobre datos personales: recolectar, guardar, consultar, compartir, borrar. Any operation on personal data: collecting, storing, consulting, sharing, deleting.
Consentimiento informadoInformed consent
Autorización de la persona dada con conocimiento de para qué se van a usar sus datos. Debe poder demostrarse que se obtuvo. The person's authorisation, given in the knowledge of what their data will be used for. It must be possible to prove that it was obtained.
RGPDRGPD
Reglamento General de Protección de Datos de la Unión Europea. Aplica a quien trate datos de personas que estén en la UE, sin importar dónde esté la empresa. The European Union's General Data Protection Regulation. It applies to anyone processing data of people located in the EU, regardless of where the company is based.