Desde el 2022 se mantiene una disputa entre la Asociación Bancaria Costarricense (ABC), la Superintendencia General de Entidades Financieras (Sugef) y el Banco Central de Costa Rica (BCCR), ya que la junta directiva de esta última pidió que la Superintendencia le traslade los datos de crédito de más de un millón de personas físicas y jurídicas, con su número de cédula.
La ABC ingresó una acción de inconstitucionalidad que recientemente fue rechazada por la Sala IV, lo cual da vía libre a la Superintendencia para trasladar los datos al BCCR sin necesidad de anonimizarlos (remover los datos identificables de las personas como la cédula).
Aunque el BCCR cuenta con respaldo legal en su Ley Orgánica y en la Ley del Sistema de Estadística Nacional, la acumulación de los datos que ya maneja representa un riesgo significativo para todo el país. Conviene recordar que, desde el 2016 (¿inclusive antes?) la institución ha venido recopilando información proveniente de los bancos, la CCSS y el Ministerio de Hacienda.
Concentrar toda esta información en un solo lugar implica dos riesgos principales. El primero es el abuso de poder: al poder perfilar individualmente a las personas para fines políticos u otros indebidos. El segundo es el enorme atractivo para ciberdelincuentes que representa esa “mina de oro digital”, vulnerable tanto a accesos no autorizados como a fallas técnicas o errores de manejo de datos.
El BCCR argumenta que necesita que los datos incluyan el número de cédula para poder enlazar los registros de las distintas bases de datos mencionadas y, de esa forma, generar estadísticas más confiables. Pero si ese es su único objetivo, y no el de perfilar individuos o empresas, existen alternativas que permiten preservar la privacidad sin comprometer esa capacidad estadística.
En ingeniería de sistemas existe una técnica llamada seudonimización. Esta técnica es comúnmente utilizada en situaciones como la aquí presentada. Por ejemplo, el Reglamento General de Protección de Datos (GDPR) de la Unión Europea la recomienda. Funciona como una salvaguarda efectiva para cumplir con obligaciones de privacidad desde el diseño, en lugar de valerse de la confianza o de procesos para proteger los datos.
Funciona de la siguiente manera: imagine que las bases de datos de la CCSS, Hacienda y Sugef tienen registros ligados a su cédula. Si se removiera su cédula de esos registros, sería muy difícil ligarlos nuevamente a usted.
En ese caso, en lugar de que el BCCR reciba los datos en el mismo formato que los tienen los entes (con cédula en cada registro), al trasladar los datos desde el origen hasta su destino, pasan por un tercero que reemplaza su cédula por otro valor distinto. Por ejemplo, si su cédula es 1-1111-1111, cada vez que pasa por ese mecanismo, se convierte en AGD123POD.
Gracias a este método, ni el origen (CCSS, Hacienda, SUGEF) sabe qué cédula corresponde al nuevo identificador, ni el destino (BCCR) puede asociar ese identificador nuevamente con la cédula real. De este modo se preserva la privacidad sin perder la integridad referencial entre las distintas bases de datos.
Esa integridad referencial le permite al BCCR continuar vinculando los datos de todos los entes sin necesidad de conocer la cédula real a la que se vinculan. Esto asume también que otros datos identificables como nombre y número telefónico, también sean seudonimizados, enmascarados o removidos.
Este diseño requiere de un tercero de confianza (por ejemplo INEC, Prodhab u otro designado que no sea origen o destino de estos datos). Ese tercero solamente tendrá el mecanismo de seudonimización y los “secretos” correspondientes para llevar a cabo esa labor.
Esta separación de responsabilidades permite que si alguien accede a los datos del BCCR de manera no autorizada, lo que verá es un montón de datos que no se vinculan directamente a un individuo.
La seudonimización no reemplaza otras medidas de protección, las complementa. Lo cual permite bajar el nivel de riesgo que debe asumir el mismo BCCR. Es importante señalar que los datos se podrían reidentificar usando el medio que los seudonimizó, por lo cual, siguen requiriendo un tratamiento acorde.
La implementación de un esquema de este tipo podría requerir ajustes regulatorios y un esfuerzo técnico que algunos consideren complejo. Sin embargo, la protección de la información sensible y confidencial de los costarricenses amerita un compromiso proporcional.
Adoptar esta solución, o una similar, no sólo fortalecerá la seguridad tecnológica, sino que también aumentará la confianza pública, reducirá el riesgo de rechazo ciudadano y alineará al país con las mejores prácticas internacionales.
---
El autor es director de Ingeniería de Software y cofundador de Primera Línea.
