La Agencia de Protección de Datos de los Habitantes (Prodhab) ordenó al Tribunal Supremo de Elecciones (TSE) solicitar el consentimiento informado de los ciudadanos de Costa Rica para usar sus datos biométricos personales en la comercialización del Sistema de Verificación de la Identidad (VID).
El VID es el que el TSE comercializa para que las empresas de diferentes actividades puedan verificar la identidad de las personas que solicitan un crédito u otro servicio comercial o financiero en empresas y entidades públicas o privadas.
La resolución de la Prodhab N.º 029-2026-RF tiene fecha del 4 de mayo pasado y se emite ante denuncia formulada por Mauricio París Cruz, socio de la firma Ecija y especialista en protección de datos personales.
“La resolución confirma que el TSE ha vulnerado el derecho fundamental de autodeterminación informativa de los ciudadanos costarricenses al comercializar sus datos biométricos —huellas dactilares y fotografías— sin informar a los titulares ni contar con su consentimiento”, destacó la firma en un comunicado de prensa distribuido este 21 de mayo.
El TSE no se pronunció aún sobre la resolución de Prodhab, pero tenía tres días hábiles a partir de esa fecha para presentar un recurso de revocatoria.
¿Qué se denunció?
La denuncia, presentada en diciembre de 2020, se dirigió contra el TSE, que estaba exponiendo sin restricciones los datos personales de todos los ciudadanos en su página web.
Entre los datos personales expuestos se incluye información que permite inferir la orientación sexual, la ubicación domiciliaria y las relaciones familiares de las personas, advirtió Ecija.
Simultáneamente, el TSE comercializa un servicio de verificación biométrica (VID) que utiliza las huellas dactilares y fotografías de los costarricenses sin que estos lo supieran. La comercialización de los servicios se inició en 2017.
El sistema realiza la comparación de la huella con la registrada en el TSE cuando el cliente realizó su trámite de cédula. Si no hay correspondencia, emite una alerta. Si la respuesta es positiva se muestran los datos del cliente, incluyendo foto, nombre y cédula, para la debida verificación por parte del ejecutivo de servicio.
“El TSE viene lucrando con los datos más íntimos de los ciudadanos —sus huellas dactilares, su rostro— sin siquiera informarles. Amparados en una norma electoral han montado un negocio millonario a costa de la privacidad de toda la población costarricense”, afirmó París.
¿Qué resolvió la Prodhab?
La Agencia Prodhab declaró con lugar la denuncia de París contra el TSE y ordenó a esta entidad:
—Solicitar el consentimiento informado de los ciudadanos “de forma inmediata” y demostrar que tiene legitimación legal para hacer uso, tratamiento o manejo de los datos biométricos de las personas para la comercialización a través del VID.
—Para eso el TSE deberá presentar el formato de consentimiento a la Agencia en un plazo de 10 días hábiles.
—El TSE debe informar en sus páginas oficiales que comercializa el VID y que permite la verificación biométrica de la identidad del titular de la cédula de identidad.
—El TSE debe, en un plazo de dos meses, presentar en su sitio web el análisis, valoración e inventario de los tipos de datos personales a los cuales da tratamiento y deberá también elaborar las actualizaciones necesarias en las medidas de seguridad y protocolos de actuación acorde con lo estipulado en la Ley de Protección de la Persona frente al tratamiento de sus datos personales (Nº 8968).
—”Se exhorta a la Magistrada Presidente para que proceda a ordenar un análisis del fin legal de la información que se recolecta en la página del TSE y el acceso público que se permite de datos personales, de conformidad con los principios del ordenamiento jurídico de protección de datos personales”.
—El TSE debe presentar a la Agencia Prodhab las medidas y métodos técnicos que se utilizan para la verificación biométrica de la identidad del titular de la cédula de identidad.
Por último, la Agencia también advirtió al TSE que, en caso de incumplimiento, podrá ordenar la apertura del procedimiento de cancelación de inscripción de la base de datos de los ciudadanos.
Precedente
Por su parte, tanto París como Ecija resaltaron que el pronunciamiento más relevante de la resolución de la Prodhab es la calificación de los datos biométricos —huellas dactilares y fotografía— como datos personales sensibles.
Con eso habría rechazado la tesis del TSE que los consideraba meros datos de acceso restringido.
“La Prodhab fundamenta esta calificación en que dichos datos permiten la identificación inequívoca de una persona, posición respaldada por la Procuraduría General de la República en sus dictámenes N.º OJ-027-2021 y N.º PGR-C-251-2021”, resaltó Ecija.
La Agencia constató además que el TSE nunca informó a los ciudadanos sobre el uso de sus datos biométricos en el sistema VID, vulnerando el principio de consentimiento informado del artículo 5 de la Ley N.º 8968, y que no actualizó la inscripción de su base de datos ante la Prodhab para incluir el VID desde 2015, ni presentó las medidas de seguridad ni los protocolos mínimos de actuación exigidos por la normativa vigente.
La resolución concluye que, si bien el artículo 24 del Código Electoral faculta al TSE a cobrar por el acceso electrónico a información de sus bases de datos, dicha potestad no autoriza la venta de datos personales sensibles, incluidos los biométricos.
“Esta resolución sienta un precedente histórico en Costa Rica. Por primera vez, la autoridad de protección de datos declara expresamente que los datos biométricos son datos sensibles y que ninguna institución pública, por importante que sea, puede comercializarlos sin el consentimiento de los ciudadanos. El TSE no está por encima de la ley”, afirmó París.
El TSE aún no respondió cuál es su posición ante la resolución de la Prodhab.
