Protección de datos para un SaaS o una app con IA en Costa Rica: qué exige la Ley 8968 antes de lanzar

Respuesta corta: si su SaaS o su app con IA guarda correos, nombres, cédulas, ubicaciones o direcciones IP de personas, usted trata datos personales y la Ley 8968 lo obliga antes de lanzar. Debe pedir consentimiento informado y previo, publicar una política de privacidad honesta, respetar los derechos de acceso, rectificación, supresión y oposición, cuidar toda transferencia a terceros (incluido su proveedor de IA) e inscribir su base de datos ante la PRODHAB cuando corresponda.

Lo demás de este texto es el desarrollo de esa frase. Lo escribo pensando en el fundador que tiene el producto casi listo, el dominio comprado y la cabeza puesta en el lanzamiento, y que a las once de la noche se pregunta si esa tabla de usuarios que acaba de crear en la base de datos lo está metiendo en un problema legal. La respuesta suele ser: sí, un poco, pero es un problema con solución barata si se atiende ahora y caro si se atiende después de la primera queja.

¿Qué es un dato personal, y por qué su SaaS casi seguro trata datos?

Un dato personal es cualquier información sobre una persona física identificada o identificable. No hace falta que sea íntimo ni sensible. El nombre lo es. El correo lo es. El número de teléfono, la cédula, la dirección, la ubicación por GPS, la foto de perfil, y también rastros menos evidentes como la dirección IP o un identificador de dispositivo cuando permiten llegar a una persona concreta. La Ley 8968 protege a la persona frente al tratamiento de esos datos, y entiende por tratamiento casi todo lo que su aplicación hace con ellos: recolectar, almacenar, ordenar, usar, cruzar, transmitir o borrar.

Por eso digo que su SaaS casi seguro trata datos. El formulario de registro pide un correo: ya trata datos. El sistema de facturación guarda el nombre y la cédula del cliente: trata datos. La app manda notificaciones push a un dispositivo: trata datos. Muy pocos productos digitales viven sin tocar a una persona identificable, y los que creen que no lo hacen suelen estar equivocados en cuanto revisan sus registros del servidor.

La ley distingue además una categoría de datos sensibles: los que revelan origen racial, opiniones políticas, convicciones religiosas, estado de salud, vida u orientación sexual. Si su producto toca alguno de esos, el nivel de cuidado y de consentimiento sube, y conviene consultarlo con criterio legal antes de escribir la primera línea que los almacene.

¿Qué consentimiento exige la ley antes de guardar un solo dato?

El consentimiento es el corazón práctico de todo esto. Antes de recolectar los datos hay que informar a la persona, de forma expresa, precisa e inequívoca, de tres cosas: que existe una base de datos, para qué se recogen esos datos, y quiénes serán los destinatarios de la información. El consentimiento debe ser previo: se pide antes, no después; e informado: la persona tiene que entender a qué dice que sí.

En términos de producto, esto significa que la casilla preseleccionada no sirve, que enterrar el uso de los datos en la página cuarenta de un contrato ilegible no sirve, y que un consentimiento genérico de acepto todo para finalidades que aún no existen tampoco sirve. La persona consiente para una finalidad concreta. Si mañana usted quiere usar esos datos para entrenar un modelo, hacer marketing o venderlos a un tercero, esa es otra finalidad y necesita su propio consentimiento. El consentimiento, además, es revocable: la persona puede retirarlo, y su sistema tiene que estar preparado para obedecer.

¿Cuáles son los derechos de las personas (ARCO y autodeterminación informativa)?

La Ley 8968 desarrolla el derecho constitucional a la autodeterminación informativa: la idea de que cada persona decide sobre sus propios datos. En el terreno práctico ese derecho se ejerce a través de cuatro facultades, conocidas por sus siglas como derechos ARCO:

• Acceso: la persona puede preguntar qué datos suyos tiene usted y para qué los usa. Su sistema debe poder responder.
• Rectificación: puede pedir que corrija un dato inexacto o incompleto.
• Cancelación (supresión): puede pedir que borre los datos cuando ya no son necesarios para la finalidad que los justificó. Es el derecho a que su app de verdad elimine, no solo esconda.
• Oposición: puede oponerse a determinados tratamientos, por ejemplo a recibir comunicaciones comerciales.

Traducido a ingeniería: necesita un canal claro para recibir estas solicitudes (un correo de contacto sirve como mínimo), un plazo razonable para atenderlas, y funciones internas que permitan exportar, corregir y borrar de verdad los datos de un usuario. Si su arquitectura hace imposible borrar a alguien sin romper la base de datos, ese es un problema de cumplimiento disfrazado de decisión técnica, y es mejor resolverlo antes del lanzamiento.

¿Qué es la PRODHAB y cuándo hay que inscribir la base de datos?

La PRODHAB es la Agencia de Protección de Datos de los Habitantes, el órgano que la Ley 8968 creó para vigilar el cumplimiento. Es la autoridad ante la que se presentan las denuncias, la que fiscaliza y la que puede sancionar. Las multas por incumplimiento pueden llegar a montos que, para una startup joven, no son simbólicos.

Uno de los deberes concretos frente a la PRODHAB es la inscripción de bases de datos. El reglamento de la ley, el Decreto Ejecutivo 37554-JP, regula ese registro. La obligación de inscribir aparece cuando la base de datos se destina a la distribución, difusión o comercialización de los datos: es decir, cuando su negocio consiste, total o parcialmente, en tratar datos de terceros de forma comercial. Las bases estrictamente internas y personales, que no se comercializan ni difunden, quedan por lo general fuera de ese deber.

Como la frontera entre base interna y base que se comercializa o difunde no siempre es evidente para un producto que apenas nace, y como el detalle del trámite se define por reglamento, este es el punto donde conviene una consulta puntual con criterio legal antes de asumir que usted no tiene que inscribir nada.

¿Qué debe decir su política de privacidad y sus términos?

La política de privacidad no es un adorno legal que se copia de otra web. Es el documento donde usted cumple, por escrito y de cara al usuario, el deber de informar. Una política honesta dice, en lenguaje que un ser humano entiende: qué datos recoge, con qué finalidad, durante cuánto tiempo los guarda, con quiénes los comparte, cómo puede la persona ejercer sus derechos ARCO y a quién escribir para hacerlo.

Los términos y condiciones son otra cosa: regulan la relación contractual del uso del servicio. Conviene tenerlos separados y coherentes entre sí. El error frecuente del fundador apurado es tomar prestada una política de privacidad de una empresa estadounidense, traducirla a medias y publicarla. Ese texto habla de leyes que no lo rigen y omite las que sí. Es mejor un documento corto y verdadero que uno largo y ajeno.

¿Qué pasa cuando su app manda datos a un proveedor de IA?

Aquí está el nudo específico de las aplicaciones con IA, y merece un párrafo propio. Cuando su app toma el texto que escribió un usuario, o su historial, o sus documentos, y los envía a la API de un proveedor de inteligencia artificial para generar una respuesta, usted está haciendo una transferencia de datos a un tercero. No importa que ocurra en milisegundos y de forma invisible: jurídicamente es lo mismo que entregarle una carpeta con la información de su cliente a otra empresa.

La Ley 8968 reconoce, junto a los derechos de acceso, rectificación y supresión, el derecho de la persona a consentir la transferencia de sus datos. En consecuencia: esa transferencia necesita apoyarse en el consentimiento informado del usuario (su política de privacidad debe mencionar que se usan proveedores de IA y para qué), y conviene respaldarla con un contrato que obligue al proveedor a tratar los datos solo para la finalidad pactada, a no reutilizarlos y a protegerlos. Antes de conectar esa API, pregúntese qué hace el proveedor con lo que le manda, si lo usa para entrenar sus modelos y dónde lo almacena. Si trabaja con datos de clientes bajo secreto profesional, el cuidado es todavía mayor: sobre eso escribí en cómo usar ChatGPT y Claude sin violar el secreto profesional.

¿Qué resguardos mínimos hay que tener antes de lanzar?

La ley no exige una fortaleza; exige diligencia razonable y proporcional al riesgo. En la práctica, hay un piso de medidas de seguridad que ningún producto serio debería saltarse: cifrado de las contraseñas y de los datos sensibles, control de quién dentro de su equipo accede a la base de datos, copias de respaldo, y un plan mínimo de qué hacer si hay una brecha. La mayoría de estos resguardos son buenas prácticas de ingeniería que además cumplen la ley; rara vez hay conflicto entre construir bien y cumplir bien.

Una nota sobre el futuro, para que nadie se confunda: existen iniciativas en la Asamblea Legislativa que buscan modernizar el marco costarricense de protección de datos, pero a la fecha de este texto ninguna ha sido aprobada. La norma vigente sigue siendo la Ley 8968 y su reglamento. Construya sobre lo que rige hoy, y esté atento a lo que venga.

El fundador que atiende esto antes de lanzar gasta unas pocas horas y un poco de dinero. El que lo ignora se juega la confianza de sus primeros usuarios, que es lo único que una startup joven no puede permitirse perder, y se expone a las sanciones de la PRODHAB. La protección de datos no es el enemigo del producto: es parte de tener un producto que la gente pueda usar sin miedo. Si quiere ver esta pieza dentro del cuadro más amplio de blindar su empresa desde el día uno, le será útil la guía sobre cómo proteger su startup.