EscucharSu empresa puede sufrir un hackeo, como en el caso de la base de datos extraída por un ciberdelincuente supuestamente de una agencia de crédito en Costa Rica. Al parecer la base contiene direcciones, correos electrónicos, fotos, referencias a juicios, salarios, nombres de personas físicas, vehículos y sus propietarios, teléfonos y matrimonios de ciudadanos costarricenses.
Situaciones como estas acarrean problemas de reputación e imagen ante clientes actuales y potenciales, proveedores y colaboradores, aparte de la exposición de información del negocio. También podrían ser causa de un proceso administrativo y legal.
“No existe una sanción de ninguna índole por ser víctima de un hecho delictivo informático. Sin embargo, sí existen obligaciones para las organizaciones que son responsables de las bases de datos personales”, indicó José Adalid Medrano, especialista legal en el área informática.
Tras el ciberataque al Ministerio de Hacienda y a otras entidades en 2022, queda demostrado que ninguna organización está exenta de ser víctima de los hackers. “Lo que marca la diferencia ante la ley es la preparación: contar con políticas de seguridad robustas, protocolos de respuesta, capacitación del personal y, desde luego, un manejo adecuado y transparente”, advirtió Mauricio París, experto en derecho digital y socio de Ecija Legal.
El nuevo incidente fue confirmado por las autoridades de Costa Rica. El Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt) indicó que la base de datos contenía más de 500 millones de registros y ocupaba entre 150 y 300 GB. En este último caso, equivalente a 150 millones de páginas de texto (documentos sin imágenes pesadas) o 100.000 fotos de alta resolución almacenadas.
Además de la necesidad de que cada persona y cada empresa aumente las medidas de seguridad, otro de los principales desafíos a nivel local es el cumplimiento de la normativa vigente, ya sea por falta de conocimiento, falta de prioridad en la materia o por considerarla un obstáculo para la innovación.
Tómelo en serio
Los ciberdelincuentes lanzan millones de intentos para encontrar agujeros de seguridad en las plataformas corporativas y engañar a los usuarios para obtener sus contraseñas e ingresar ilegalmente en los sistemas corporativos.
Sus propósitos van desde el espionaje de negocios hasta venderla en la llamada dark web o pedir dinero a la organización afectada (lo que se conoce como ransomware).
Solo en el primer semestre de 2026, Costa Rica recibió 313 millones de intentos de ciberataque, según FortiGuard Labs. Los especialistas señalan que las plataformas de inteligencia artificial (IA) permiten acelerar los ataques.
Si hace ocho años los hackers tardaban 771 días en explotar una vulnerabilidad, con la IA la explotan en cuatro horas, advierte Zero Day Clock, que registra el tiempo entre la publicación de una vulnerabilidad de software y su explotación. Esta misma fuente indica que en los últimos tres meses se triplicaron los escaneos para detectar las vulnerabilidades a nivel global, en comparación con el mismo periodo de 2025.
Las organizaciones en Costa Rica, con independencia de su tamaño y relevancia en el mercado, están expuestas a ser hackeadas. Los problemas para una firma costarricense, sea pequeña o grande, no acaban ahí.
Si la información de clientes, colaboradores y proveedores se divulga, la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales (N° 8968) y su reglamento exigen que la entidad responsable cuente con los fundamentos legales (su registro) y mantenga medidas de seguridad.
La Agencia de Protección de Datos de los Habitantes (Prodhab) verifica si las medidas de seguridad fueron implementadas antes del ataque. De hecho, en el caso del hackeo a la base de datos confirmado por el Micitt, la Agencia inició una investigación de oficio y abrió dos expedientes adicionales debido a denuncias de partes interesadas.
En cualquier caso, las autoridades deben determinar si la empresa es solamente una víctima o si, además, pasa a ser responsable por posibles incumplimientos, dado que la Ley N° 8968 establece que se deben adoptar medidas técnicas y organizativas para garantizar la seguridad de la información almacenada.
“Si un ataque informático logra comprometer esos datos, la pregunta clave es si había tomado las precauciones razonables para evitarlo”, dijo París.
Una compañía puede ser sancionada si recolecta, almacena o transmite información personal por medio de mecanismos inseguros, carece de protocolos y medidas adecuadas de seguridad física y lógica o si no tiene justificación legal para el tratamiento de los datos sustraídos.
En todos estos escenarios, el hackeo pone en evidencia un incumplimiento previo que deriva en un procedimiento. Otra situación adicional a prevenir es la filtración y venta ilegales por parte de una persona de la misma empresa.
Las condiciones que determinan si una firma hackeada es responsable se enfocan en el grado de diligencia con que gestionó los datos personales antes del incidente y en si cumplió con las obligaciones que la normativa le imponía.
Una compañía que demuestre que actuó con la debida diligencia tendrá mejor posición frente a un procedimiento, aunque la exposición se haya producido por un ataque externo.
Ahora bien, las personas afectadas también pueden reclamar responsabilidad civil derivada de un ataque.
Si el tratamiento de estos datos se da en el marco de una relación de consumo, es decir, si el afectado es cliente, existiría responsabilidad objetiva en virtud de la Ley de Promoción de la Competencia y Defensa Efectiva del Consumidor (N° 7472).
Entonces, se deberá indemnizar, independientemente de las medidas de seguridad que tuvieran implementadas.
Las sanciones
Cuando los ciberdelincuentes publican información confidencial, se abren distintos frentes legales para la organización.
“Este tipo de brechas tiene un impacto irreversible”, recordó Medrano. “Es importante crear conciencia de que no basta con promulgar leyes que protejan mejor estas materias, sino que también hay que desarrollar capacidades de forma transversal en toda la población para aumentar el cumplimiento de la ley”.
Si, debido a una investigación, se determina que una empresa recolecta, almacena y transmite datos personales por medio de mecanismos inseguros o que de alguna forma no garanticen su seguridad e inalterabilidad, se expone a una multa de hasta cinco salarios base del cargo de auxiliar judicial I (falta leve), unos ¢2,3 millones.
Al mismo tiempo, es posible e inevitable que se hagan públicas y que las autoridades encuentren otras posibles irregularidades, como tratamientos sin el consentimiento informado y transferencias ilícitas, consideradas faltas graves.
Otras situaciones de riesgo son las transferencias internacionales sin consentimiento informado, tratamientos ilícitos, recopilación de forma ilícita (específicamente por medio de engaño, violencia o amenaza) y venta de datos personales sin contar con el consentimiento informado o ley que lo faculte, todas consideradas faltas gravísimas según el Código Penal.
La Prodhab inicia un procedimiento de oficio o por denuncia de una persona física o jurídica afectada siguiendo el procedimiento ordinario de la Ley General de la Administración Pública (N° 6227). Si se comprueba una infracción, la Prodhab impone multas según la gravedad de la falta, las cuales pueden ser administrativas, civiles y hasta penales:
a) Sanciones administrativas
La Ley N° 8968 puede imponer multas calculadas con base en el salario base del cargo de auxiliar judicial I (¢462.200), según la Ley de Presupuesto de la República, y hasta la suspensión del funcionamiento de la base de datos por uno a seis meses para las faltas gravísimas.
Para las faltas leves, como recolectar o transmitir información por mecanismos inseguros, la multa puede ser de hasta cinco salarios base (hasta ¢2.311.000).
Para las faltas graves, como carecer del consentimiento del titular o que se realicen para fines distintos a los autorizados, la multa oscila entre cinco y veinte salarios base (de ¢2.311.000 a ¢9.244.000).
Y para las faltas gravísimas como el tratamiento no autorizado, la obtención de datos mediante engaño o violencia, o la revelación de información confidencial, la multa va de quince a treinta salarios base (de ¢6.933.000 a ¢13.866.000), a lo que se suma la posibilidad de suspender el funcionamiento de la base de datos por un período de uno a seis meses.
b) Sanciones civiles
La filtración puede causar daños a terceros, por lo que la empresa podría ser demandada civilmente.
Además de reclamar el daño material sufrido por una filtración de datos (por ejemplo, un fraude con tarjetas de crédito o suplantación de identidad), una persona afectada podría reclamar el daño moral sufrido (zozobra o angustia).
En estos casos, la fijación del monto de ese daño moral le corresponde al juez civil que conozca el caso.
c) Sanciones penales
El Código Penal contempla delitos que podrían aplicarse en estos contextos, incluyendo prisión de uno a tres años a quien —en beneficio propio o de un tercero, con peligro o daño para la intimidad o privacidad y sin la autorización del titular— se apodere, modifique, interfiera, acceda, copie, transmita, publique, difunda, recopile, inutilice, intercepte, retenga, venda, compre, desvíe o dé un tratamiento no autorizado a datos personales.
Además, puede haber una pena de dos a cuatro años de prisión cuando el objeto del tratamiento ilícito sea información de personas menores de edad o determinados datos personales sensibles.
Y la Ley de Delitos Informáticos (N° 9048), que también reformó el Código Penal, tipifica conductas como la instalación de programas maliciosos (con prisión de uno a seis años) y el acceso no autorizado a sistemas informáticos.
“Estas disposiciones penales se dirigen principalmente contra quienes ejecutan el ataque, pero también podrían alcanzar a funcionarios o encargados que, por acción u omisión dolosa, faciliten la exposición de datos”, subrayó París.
Debido a que un incidente puede tener un impacto económico y reputacional difícil de cuantificar, se recomienda que las empresas construyan programas de cumplimiento normativo y capacitación constante
— José Adalid Medrano
Hoy día los consumidores están más dispuestos a contratar bienes o servicios a empresas que cuentan con mecanismos de privacidad y ciberseguridad robustos, por lo que un ataque provoca un daño reputacional irreparable
— Mauricio París
Por supuesto, se pueden presentar los respectivos descargos. El responsable, en este caso, debe demostrar evidencia de los consentimientos informados y del fundamento legal para la venta de datos personales.
Si bien parece que la legislación es muy completa, hay algunos vacíos en la regulación local.
Medrano indicó que si bien el reglamento de la Ley N° 8968 establece obligaciones de notificar al titular en caso de una vulnerabilidad de seguridad, el marco normativo no contiene sanciones expresas al respecto, lo que facilitaría que muchas organizaciones nacionales eviten cumplir con este requerimiento.
En cualquier caso, hay una afectación grave e irreversible en la imagen de la marca y sus propietarios, generando un impacto económico difícil de cuantificar.
“El impacto económico puede superar con creces el monto de las multas impuestas”, recordó París. “Hoy día los consumidores están más dispuestos a contratar bienes o servicios a empresas que cuentan con mecanismos de privacidad y ciberseguridad robustos, por lo que un ataque provoca un daño reputacional irreparable”.
El especialista recordó que en Costa Rica se ofrecen seguros que transfieren parte de la exposición económica derivada de un incidente de seguridad, cubriendo aspectos como los costos de respuesta, la responsabilidad frente a terceros y la recuperación de datos.
“Siempre es recomendable que esto se tome en cuenta cuando la organización hace un análisis de riesgos relacionado con el uso de tecnología”, dijo Medrano. “Debido a que un incidente puede tener un impacto económico y reputacional difícil de cuantificar, se recomienda que las empresas construyan programas de cumplimiento normativo y capacitación constante”.
La prevención es siempre menos costosa que las consecuencias de una brecha de seguridad.
