{ "id": "pgr-22541", "citation": "OJ-027-2021", "section": "pgr_opinions", "doc_type": "legal_opinion", "title_es": "Dictamen sobre proyecto de ley de repositorio único de identificación biométrica", "title_en": "Opinion on bill for a single biometric identification repository", "summary_es": "La Procuraduría General de la República analiza, de manera no vinculante, el proyecto de ley 21.321 «Ley de Repositorio Único Nacional para Fortalecer las Capacidades de Rastreo e Identificación de Personas». Señala que la iniciativa pretende centralizar en el TSE una plataforma de datos biométricos de costarricenses y extranjeros. Advierte que el texto omite toda referencia a los derechos de intimidad, imagen y autodeterminación informativa (derivados del Art. 24 constitucional) y carece de reglas claras sobre el acceso, la confidencialidad, los fines, el tratamiento y las sanciones. Concluye que los datos biométricos deben catalogarse como datos sensibles, por lo que su tratamiento está en principio prohibido y debe ser regulado por ley con límites razonables y proporcionales. La falta de garantías genera dudas de constitucionalidad que deberá evacuar la Sala Constitucional.", "summary_en": "The Attorney General's Office issues a non-binding legal opinion on Bill 21.321, which aims to create a single national biometric identification platform managed by the Supreme Electoral Tribunal (TSE). The opinion finds that the bill entirely omits any reference to the fundamental rights of privacy, image, and informational self-determination (derived from Article 24 of the Constitution) and lacks clear rules on access, confidentiality, purpose, data processing, and penalties. It concludes that biometric data must be classified as sensitive data, meaning its processing is generally prohibited and must be regulated by a qualified law with reasonable and proportionate limits. The absence of safeguards raises constitutional concerns that the Constitutional Chamber must resolve.", "court_or_agency": "", "date": "28/01/2021", "year": "2021", "topic_ids": [ "_off-topic" ], "primary_topic_id": "_off-topic", "es_concept_hints": [ "autodeterminación informativa", "datos sensibles", "reserva de Estado", "Principio de consentimiento informado", "Prodhab", "Ley 8968" ], "concept_anchors": [ { "article": "Art. 24", "law": "Constitución Política" }, { "article": "Art. 4", "law": "Ley 8968" }, { "article": "Art. 8", "law": "Ley 8968" }, { "article": "Art. 9", "law": "Ley 8968" }, { "article": "Art. 11", "law": "Ley 8968" }, { "article": "Art. 47", "law": "Código Civil" } ], "keywords_es": [ "Procuraduría General de la República", "OJ-027-2021", "Proyecto de Ley 21.321", "datos biométricos", "autodeterminación informativa", "intimidad", "derecho de imagen", "Artículo 24 Constitución", "datos sensibles", "reserva de Estado", "Tribunal Supremo de Elecciones", "Ley de Protección de Datos Personales", "Ley 8968", "Prodhab", "principio de consentimiento informado", "dudas de constitucionalidad" ], "keywords_en": [ "Attorney General's Office", "OJ-027-2021", "Bill 21.321", "biometric data", "informational self-determination", "privacy", "right to image", "Article 24 Constitution", "sensitive data", "state reserve", "Supreme Electoral Tribunal", "Personal Data Protection Law", "Law 8968", "Prodhab", "informed consent", "constitutional concerns" ], "excerpt_es": "No existe en el proyecto de ley consultado una sola referencia a los derechos a la intimidad, imagen o autodeterminación informativa, a pesar de que la creación de una base de datos con información personal de los costarricenses y extranjeros constituye un límite evidente a estos derechos.\n\nTal como señalamos, estos derechos fundamentales no son irrestrictos y vía ley podrían establecerse límites razonables por motivos de seguridad nacional, interés público u otras excepciones dispuestas en la ley. Pero la ponderación entre el ejercicio de esos derechos y sus límites, no es clara ni suficiente en el articulado del proyecto de ley, en el cual más bien parece inferirse un acceso irrestricto a estos datos por parte de terceros.\n\nLos datos biométricos se encuentran resguardados por el artículo 24 de la Constitución Política, por lo que su acceso, recopilación y archivo debe ser expresamente consentido por el titular y sus límites deben estar establecidos por ley. Dichos límites, además, deben estar regulados de manera razonable y proporcional y, por tanto, es indispensable que el legislador establezca reglas claras sobre el fin público que se persigue con el acceso a los datos, su confidencialidad, quién tendrá acceso a esta información y su propósito, el tratamiento que se les dará, el régimen sancionatorio en caso de incumplimiento, medidas de seguridad y respaldo, entre otras.", "excerpt_en": "The consulted bill contains not a single reference to the rights of privacy, image, or informational self-determination, even though the creation of a database with personal information of Costa Ricans and foreigners constitutes an evident limitation on these rights.\n\nAs we have noted, these fundamental rights are not absolute, and reasonable limits may be established by law for reasons of national security, public interest, or other statutory exceptions. However, the balancing between the exercise of these rights and their limits is neither clear nor sufficient in the bill's text, which rather seems to imply unrestricted access to this data by third parties.\n\nBiometric data are protected under Article 24 of the Constitution; therefore, their access, collection, and storage must be expressly consented to by the data subject, and any limitations must be established by law. Moreover, such limits must be regulated in a reasonable and proportionate manner; thus, it is essential that the legislator establish clear rules on the public purpose pursued, the confidentiality of the data, who will have access and for what purpose, how the data will be processed, the sanctioning regime for non-compliance, and security and backup measures, among others.", "outcome": { "label_en": "Interpretive opinion", "label_es": "Dictamen interpretativo", "summary_en": "The PGR issues a non-binding opinion on Bill 21.321, identifying serious omissions in the protection of fundamental rights and raising constitutional concerns.", "summary_es": "La Procuraduría emite criterio no vinculante sobre el proyecto de ley 21.321, señalando omisiones graves en la protección de los derechos fundamentales y generando dudas de constitucionalidad." }, "pull_quotes": [ { "context": "Conclusión e)", "quote_en": "The consulted bill contains not a single reference to the rights of privacy, image, or informational self-determination, even though the creation of a database with personal information of Costa Ricans and foreigners constitutes an evident limitation on these rights.", "quote_es": "No existe en el proyecto de ley consultado una sola referencia a los derechos a la intimidad, imagen o autodeterminación informativa, a pesar de que la creación de una base de datos con información personal de los costarricenses y extranjeros constituye un límite evidente a estos derechos." }, { "context": "Conclusión d)", "quote_en": "Biometric data are protected under Article 24 of the Constitution; therefore, their access, collection, and storage must be expressly consented to by the data subject, and any limitations must be established by law. Moreover, such limits must be regulated in a reasonable and proportionate manner.", "quote_es": "Los datos biométricos se encuentran resguardados por el artículo 24 de la Constitución Política, por lo que su acceso, recopilación y archivo debe ser expresamente consentido por el titular y sus límites deben estar establecidos por ley. Dichos límites, además, deben estar regulados de manera razonable y proporcional." }, { "context": "Conclusión e)", "quote_en": "The balancing between the exercise of these rights and their limits is neither clear nor sufficient in the bill's text, which rather seems to imply unrestricted access to this data by third parties.", "quote_es": "La ponderación entre el ejercicio de esos derechos y sus límites, no es clara ni suficiente en el articulado del proyecto de ley, en el cual más bien parece inferirse un acceso irrestricto a estos datos por parte de terceros." } ], "cites": [], "cited_by": [], "references": { "internal": [ { "target_id": "nexus-sen-1-0007-951854", "kind": "cited_jurisprudence", "label": "Sentencia 23112-2019" }, { "target_id": "nexus-ext-1-0007-133137", "kind": "cited_jurisprudence", "label": "Sentencia 05273-2010" }, { "target_id": "norm-43077", "kind": "cited_norm", "label": "Código de la Niñez y la Adolescencia" }, { "target_id": "norm-66148", "kind": "cited_norm", "label": "Código Electoral" }, { "target_id": "norm-871", "kind": "cited_norm", "label": "Constitución Política" }, { "target_id": "norm-70975", "kind": "cited_norm", "label": "Ley de Protección de la Persona frente al tratamiento de sus datos personales" } ], "external": [ { "ref_id": "nexus-res-5268-2011", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=510088&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 05268-2011", "resolution_num": "05268", "year": "2011", "expediente": "11-003415-0007-CO" }, { "ref_id": "nexus-res-910-2009", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=437959&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 00910-2009", "resolution_num": "00910", "year": "2009", "expediente": "08-016044-0007-CO" }, { "ref_id": "nexus-res-12959-2007", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=391708&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 12959-2007", "resolution_num": "12959", "year": "2007", "expediente": "07-011425-0007-CO" }, { "ref_id": "nexus-res-9250-2001", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=172229&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 09250-2001", "resolution_num": "09250", "year": "2001", "expediente": "00-010224-0007-CO" }, { "ref_id": "pgr-22510", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/pronunciamiento/pro_ficha.aspx?param1=PRD¶m6=1&nDictamen=22510&strTipM=T", "kind": "related_opinion", "label": "004", "dictamen_id": "22510" }, { "ref_id": "pgr-23185", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/pronunciamiento/pro_ficha.aspx?param1=PRD¶m6=1&nDictamen=23185&strTipM=T", "kind": "related_opinion", "label": "024", "dictamen_id": "23185" }, { "ref_id": "pgr-22992", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/pronunciamiento/pro_ficha.aspx?param1=PRD¶m6=1&nDictamen=22992&strTipM=T", "kind": "related_opinion", "label": "251", "dictamen_id": "22992" }, { "ref_id": "norm-15437", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/normas/nrm_norma.aspx?param1=NRM&nValor1=1&nValor2=15437&nValor3=148770&strTipM=FN&strNoVolver=no", "kind": "cited_norm", "label": "Código Civil", "norm_id": "15437" } ] }, "source_url": "https://pgrweb.go.cr/scij/Busqueda/Normativa/Pronunciamiento/pro_ficha.aspx?param6=1&nDictamen=22541&strTipM=T", "tier": 2, "_editorial_citation_count": 0, "regulations_by_article": null, "amendments_by_article": null, "dictamen_by_article": null, "concordancias_by_article": null, "afectaciones_by_article": null, "resoluciones_by_article": null, "cited_by_votos": [], "cited_norms": [], "cited_norms_inverted": [], "sentencias_relacionadas": [], "temas_y_subtemas": [], "cascade_only": false, "amendment_count": 0, "body_es_text": "Opinión Jurídica : 027 - J   del 28/01/2021   \n\n\n\n28 de enero 2021\n\n\n\n\nOJ-027-2021\n\n\n\n\n \n\n\n\n\nLicenciada\n\n\n\n\nDaniella Agüero Bermúdez\n\n\n\n\nJefe de Área\n\n\n\n\nComisiones Legislativas VII\n\n\n\n\nAsamblea Legislativa\n\n\n\n\nEstimada señora:\n\n\n\n Con aprobación del señor Procurador General de la República me refiero a su oficio AL-21321-CPSN-\nOFI-0095-2019 del 4 de julio de 2019, reasignado a mi oficina el día 5 de enero de 2021, mediante el\ncual solicita nuestro criterio sobre el proyecto de ley denominado “Ley de Repositorio Único\nNacional para Fortalecer las Capacidades de Rastreo e Identificación de Personas\", el cual se\ntramita bajo el número de expediente 21321, en la Comisión Permanente Especial de Seguridad y\nNarcotráfico. \n\n\n\n Previamente debemos señalar que, de conformidad con las atribuciones dispuestas en la Ley Orgánica\nde la Procuraduría General de la República, este órgano asesor únicamente está facultado para\nejercer su función consultiva rindiendo los criterios legales que le solicite la Administración\nPública. Consecuentemente, la Asamblea Legislativa sólo está legitimada para consultar cuando lo\nhaga en ejercicio de potestades administrativas, pero no cuando se trata del ejercicio de su función\nlegislativa.\n\n\n\n A pesar de lo anterior, en un afán de colaboración con la importante labor que desempeñan las\nseñoras y señores diputados, hemos acostumbrado atender las consultas que formula la Asamblea\nLegislativa y sus diputados, advirtiendo que se trata de criterios jurídicos no vinculantes sobre\ndeterminados proyectos de ley o en relación con la función de control político.\n\n\n\n Asimismo, debemos señalar que el plazo de ocho días concedido no vincula a esta Institución, por\ncuanto no nos encontramos ante ninguno de los supuestos del artículo 157 del Reglamento de la\nAsamblea Legislativa (consulta al Tribunal Supremo de Elecciones, la Universidad de Costa Rica, el\nPoder Judicial o una institución autónoma). En el mismo sentido, la emisión de nuestros\npronunciamientos no se rige por lo dispuesto en los artículos 27 y 30 de la Constitución Política,\nni 32 de la Ley de la Jurisdicción Constitucional (n.°7135 del 11 de octubre de 1989), en tanto lo\nconsultado no concierne a una petición pura y simple de información en poder de la Procuraduría,\nsino al estudio y emisión de un criterio técnico jurídico. Sirva como referencia lo señalado por la\nSala Constitucional en la sentencia n.°2019-23112 de las 8:50 horas del 22 de noviembre del 2019:   \n\n\n\n “En este nuevo amparo es claro que la recurrente pretende que la Procuraduría General de la\nRepública emita un criterio jurídico. De conformidad con las razones expuestas de manera\nreiterada por este Tribunal una consulta así planteada no constituye parte del ejercicio de los\nderechos consagrados en los artículos 27 y 30 de la Constitución Política. Por consiguiente, no hay\nrazón para estimar el recurso.”  (El subrayado no es del original).\n\n\n\n\n \n\n\n\n        Partiendo de ello, atendemos la presente consulta dentro del plazo que ha permitido nuestras\ncapacidades institucionales, ante nuestra obligación de dar prioridad a aquellas consultas\npresentadas por los órganos legitimados por ley.\n\n\n\n\nI.    OBJETO DEL PROYECTO DE LEY\n\n\n\n El proyecto de ley que se consulta tiene como intención centralizar en el Tribunal Supremo de\nElecciones, la responsabilidad de crear, como reserva de Estado, una Plataforma Nacional de\nIdentificación Biométrica, la cual almacenará en un único repositorio nacional la información\nbiométrica de todos los costarricenses mayores de doce años y de los extranjeros que ingresen y\nresidan de manera temporal o permanente en el país o los que requieran solicitar visa para ingresar\nal territorio nacional.\n\n\n\n\n \n\n\n\n        Según la exposición de motivos, parte de los fines que pretende el proyecto de ley, es que\nel repositorio nacional sea el único medio del país en que se albergue y custodie la información\nbiométrica de tipo civil de las personas nacionales y extranjeras, iniciándose con los datos\nbiométricos de las diez huellas de los dedos y los rasgos faciales y, como lo prevé la misma\niniciativa, se deja la prevista para que a futuro se puedan adicionar otros datos biométricos; de\nesta manera, las autoridades judiciales y policiales al tener acceso inmediato y directo a la\nPlataforma Nacional de Identificación Biométrica, lograrán fortalecer las capacidades de rastreo e\nidentificación de sujetos sospechosos de cometer delitos.\n\n\n\n\n \n\n\n\n        Debemos aclarar que durante el trámite legislativo fue aprobado un texto sustitutivo para el\npresente proyecto de ley, por lo que nuestro pronunciamiento se referirá al nuevo texto y no al\noriginalmente consultado.\n\n\n\n\n \n\n\n\n\nII.               MARCO CONSTITUCIONAL Y LEGAL DE REFERENCIA PARA EL PROYECTO DE LEY QUE SE CONSULTA\n\n\n\n Como primer aspecto de relevancia antes de pronunciarnos sobre el articulado específico del\nproyecto de ley, debemos señalar que recientemente este órgano asesor emitió la opinión jurídica\nOJ-004-2021 del 8 de enero de 2021, mediante el cual nos referimos al acceso de los datos\nbiométricos, a su naturaleza jurídica, su protección constitucional y a la necesidad de contar con\nuna ley, aprobada por mayoría calificada, que autorice su almacenamiento y tratamiento por parte de\nautoridades públicas y particulares.\n\n\n\n Entenderíamos que la presente iniciativa pretende precisamente regular el almacenamiento de los\ndatos biométricos en un repositorio único nacional, cuyo custodio sería el Tribunal Supremo de\nElecciones, por lo que resulta indispensable, de previo al análisis del proyecto de ley, referirnos\nal marco normativo legal y constitucional y, específicamente, a los derechos fundamentales\ninvolucrados y que deben resguardarse en un proyecto de esta naturaleza.\n\n\n\n No se puede analizar un proyecto de ley como el que se pretende aprobar, sin tener en consideración\nlos derechos fundamentales a la intimidad, a la autodeterminación informativa y a la imagen, todos\nellos derivados de lo dispuesto en el numeral 24 de la Constitución y reconocidos por la\njurisprudencia reiterada de la Sala Constitucional.\n\n\n\n\nDicho numeral dispone:\n\n\n\n “Artículo 24.- Se garantiza el derecho a la intimidad, a la libertad y al secreto de las\ncomunicaciones.\n\n\n\n Son inviolables los documentos privados y las comunicaciones escritas, orales o de cualquier otro\ntipo de los habitantes de la República. Sin embargo, la ley, cuya aprobación y reforma requerirá los\nvotos de dos tercios de los Diputados de la Asamblea Legislativa, fijará en qué casos podrán los\nTribunales de Justicia ordenar el secuestro, registro o examen de los documentos privados, cuando\nsea absolutamente indispensable para esclarecer asuntos sometidos a su conocimiento.\n\n\n\n Igualmente, la ley determinará en cuáles casos podrán los Tribunales de Justicia ordenar que se\nintervenga cualquier tipo de comunicación e indicará los delitos en cuya investigación podrá\nautorizarse el uso de esta potestad excepcional y durante cuánto tiempo. Asimismo, señalará las\nresponsabilidades y sanciones en que incurrirán los funcionarios que apliquen ilegalmente esta\nexcepción. Las resoluciones judiciales amparadas a esta norma deberán ser razonadas y podrán\nejecutarse de inmediato. Su aplicación y control serán responsabilidad indelegable de la autoridad\njudicial.\n\n\n\n La ley fijará los casos en que los funcionarios competentes del Ministerio de Hacienda y de la\nContraloría General de la República podrán revisar los libros de contabilidad y sus anexos para\nfines tributarios y para fiscalizar la correcta utilización de los fondos públicos.\n\n\n\n Una ley especial, aprobada por dos tercios del total de los Diputados, determinará cuáles otros\nórganos de la Administración Pública podrán revisar los documentos que esa ley señale en relación\ncon el cumplimiento de sus competencias de regulación y vigilancia para conseguir fines públicos.\nAsimismo, indicará en qué casos procede esa revisión.\n\n\n\n No producirán efectos legales, la correspondencia que fuere sustraída ni la información obtenida\ncomo resultado de la intervención ilegal de cualquier comunicación.”\n\n\n\n\n \n\n\n\n En relación con la autodeterminación informativa, la Sala Constitucional ha señalado que este\nderecho constituye una ampliación del ámbito protector del derecho a la intimidad, que surge como\nrespuesta a los cambios en la fluidez de la información, evolucionando a nuevas herramientas de\ncomunicación y distribución de la información, por lo que se debe garantizar el derecho fundamental\nde los ciudadanos a decidir quién, cuándo, dónde y bajo qué circunstancias se puede tener contacto\ncon sus datos (dictamen C-412-2020 del 21 de octubre de 2020). Tal es el caso de la resolución\n910-2009 de las 13:36 horas de 23 de enero de 2009, a través de la cual, la Sala Constitución\ndispuso: \n\n\n\n\n \n\n\n\n “La ampliación del ámbito protector del derecho a la intimidad surge como una respuesta al ambiente\nglobal de fluidez informativa actual, ambiente que ha puesto en entredicho las fórmulas\ntradicionales de protección a los datos personales, para evolucionar en atención a la necesidad de\nutilizar nuevas herramientas que permitan garantizar el derecho fundamental de los ciudadanos a\ndecidir quién, cuándo, dónde y bajo qué y cuáles circunstancias tiene contacto con sus datos. Es\nreconocido así el derecho fundamental de toda persona física o jurídica a conocer lo que conste\nsobre ella, sus bienes o derechos en cualquier registro o archivo, de toda naturaleza, incluso\nmecánica, electrónica o informatizada, sea pública o privada; así como la finalidad a que esa\ninformación se destine y a que sea empleada únicamente para dicho fin, el cual dependerá de la\nnaturaleza del registro en cuestión. Da derecho también a que la información sea rectificada,\nactualizada, complementada o suprimida, cuando la misma sea incorrecta o inexacta, o esté siendo\nempleada para fin distinto del que legítimamente puede cumplir. Es la llamada protección a la\nautodeterminación informativa de las personas, la cual rebasa su simple ámbito de intimidad. Se\nconcede al ciudadano el derecho a estar informado del procesamiento de los datos y de los fines que\ncon él se pretende alcanzar, junto con el derecho de acceso, corrección o eliminación en caso el que\nse le cause un perjuicio ilegítimo. El derecho de autodeterminación informativa tiene como base los\nsiguientes principios: el de transparencia sobre el tipo, dimensión o fines del procesamiento de los\ndatos guardados; el de correspondencia entre los fines y el uso del almacenamiento y empleo de la\ninformación; el de exactitud, veracidad, actualidad y plena identificación de los datos guardados;\nde prohibición del procesamiento de datos relativos a la esfera íntima del ciudadano (raza,\ncreencias religiosas, afinidad política, preferencias sexuales, entre otras) por parte de entidades\nno expresamente autorizadas para ello; y de todos modos, el uso que la información se haga debe\nacorde con lo que con ella se persigue; la destrucción de datos personales una vez que haya sido\ncumplidos el fin para el que fueron recopilados; entre otros. La esfera privada ya no se reduce al\ndomicilio o a las comunicaciones, sino que es factible preguntarse si es comprensible incluir \"la\nprotección de la información\" para reconocerle al ciudadano una tutela a la intimidad que implique\nla posibilidad de controlar la información que lo pueda afectar. …La tutela a la intimidad implica,\nla posibilidad real y efectiva para el ciudadano de saber cuáles datos suyos están siendo tratados,\ncon qué fines, por cuáles personas, bajo qué circunstancias, para que pueda ejercer el control\ncorrespondiente sobre la información que se distribuye y que lo afecta (artículos 24 de la\nConstitución Política y 13 inciso 1 de la Convención Americana de Derechos Humanos). En resumen se\ndeduce entonces que la autodeterminación informativa es una ampliación del derecho a la intimidad y\nque su protección surge a partir del desarrollo de mecanismos informáticos y tecnológicos globales\nque manejan bases de datos que contienen información de las personas. Respecto de la delimitación\ndel contenido del derecho de autodeterminación informativa es importante acotar que para que la\ninformación sea almacenada de forma legítima, debe cumplir al menos con los siguientes requisitos:\nprimero no debe versar sobre información de carácter estrictamente privado o de la esfera íntima de\nlas personas; segundo debe ser información exacta y veraz (v. sentencia #2000-1119 de las 18:51\nhoras del 1° de febrero de 2000) y tercero la persona tiene el derecho de conocer la información y\nexigir que sea rectificada, actualizada, complementada o suprimida, cuando sea incorrecta o\ninexacta, o esté siendo empleada para fin distinto del que legítimamente puede cumplir (v.\nsentencias #2007-6793 de las 11:24 horas del 18 de mayo del 2007 y #2008-10114 de las 19:18 horas\ndel 17 de junio de 2008)”. (La negrita no es del original)\n\n\n\n\n \n\n\n\n Como se desprende de lo anterior, el derecho a la autodeterminación informativa amplía el ámbito de\nintimidad de las personas, además, comprende el derecho del individuo a estar informado sobre el\nprocesamiento de sus datos, sobre el fin que se persigue con su acceso, así como la posibilidad de\ntener control de los datos que contiene un registro y corregirlos o eliminarlos en caso de que le\ncause algún perjuicio.\n\n\n\n Hasta el año 2011, el contenido del derecho de la autodeterminación informativa, derivado del\nartículo 24 de la Constitución Política, había sido desarrollado únicamente por jurisprudencia de la\nSala Constitucional, la cual había sido reiterativa en señalar la necesidad de llenar el vacío legal\nque existía en cuanto al control de archivos que contenían información de los particulares. En ese\nsentido, a través de la resolución No. 5268-2011 de las 15:13 horas de 27 de abril de 2011, la Sala\nConstitucional señaló:\n\n\n\n “…la normativa se ocupa de llenar un importante vacío normativo relacionado con el derecho a la\nautodeterminación informativa, que si bien la jurisprudencia de la Sala se ha ocupado de desarrollar\nsu contenido, persiste la necesidad de desarrollar una institución administrativa que vele por un\nequilibrio en la actividad, y para que se constituya en una primera línea de defensa especializada\nde este derecho fundamental. Por ello es necesario señalar la máxima jurídica (más conocida en el\nderecho anglosajón) de que no hay derechos sin un remedio procesal\n(there is no right without a remedy). En un escenario en el que los recursos tecnológicos permiten\nun uso masivo de almacenamiento de datos de toda naturaleza, y con múltiples posibilidades de\ntransferencia, es importante que toda aquella información personal que llegue formar parte de las\nbases de datos tenga normada las conductas lícitas e ilícitas de los operadores para que no lleguen\na lesionar derechos fundamentales. Actualmente, tanto las Administraciones Públicas, como las\npersonas físicas y empresas que recopilan datos personales, carecen de regulaciones legales que\nfiscalicen, controlen e intervengan los archivos que contienen estos datos, lo cual repercute en los\nmétodos que sistematizan estos datos. Es claro, los derechos de los particulares están más expuestos\nsin normativa que cuando ésta la regula de forma más ordenada y compatible con el Derecho de la\nConstitución. Lo contrario, evidentemente, prolonga una asimetría entre los ciudadanos y los poderes\npúblicos y privados que manejan dicha información, lo cual se ha venido solventando mediante la\njurisprudencia de la Sala, la que desde hace más de una década reconoció la ausencia de legislación\ny de un organismo administrativo de control. De ahí que la legislación llena un importante vacío del\nordenamiento jurídico al procurar un equilibrio entre las instituciones y la sociedad costarricense\nque permita una tutela eficaz de la libertad a la autodeterminación informativa y una mejor\nprotección administrativa de frente a la acumulación de poderes que ha ocurrido a lo largo de los\naños en que no ha habido tales controles.” (La negrita no es del original)\n\n\n\n\n \n\n\n\n\n \n\n\n\n Posterior a ello, se promulgó la Ley N° 8968 del 5 de setiembre de 2011, Ley de Protección de la\nPersona frente al Tratamiento de sus Datos Personales, cuya finalidad es garantizar a cualquier\npersona, sin discriminación alguna, el respeto a su derecho a la autodeterminación informativa en\nrelación con su vida o actividad privada y demás derechos de la personalidad, así como la defensa de\nsu libertad e igualdad, con respecto al tratamiento automatizado o manual de los datos sobre su\npersona o bienes (artículo 1). Adicionalmente, fue emitido el Decreto Ejecutivo N° 37554 del 30 de\noctubre de 2012, Reglamento a la Ley de Protección de la Persona frente al Tratamiento de sus Datos\nPersonales.\n\n\n\n\n \n\n\n\n Respecto a su ámbito de aplicación, la citada Ley contempla todos aquellos datos que figuren en\nbases de datos automatizadas o manuales, de organismos públicos o privados y a toda modalidad de uso\nposterior de estos datos, excluyéndose a las bases de datos mantenidas por personas físicas o\njurídicas con fines exclusivamente internos, personales o domésticos, siempre y cuando estas no sean\nvendidas o de cualquier otra manera comercializadas (artículo 2 de la Ley).\n\n\n\n\n \n\n\n\n Concretamente, sobre el derecho a la autodeterminación informativa, para el adecuado tratamiento de\nlos datos personales, el numeral 4 señala:\n\n\n\n\n \n\n\n\n\n“ARTÍCULO 4.- Autodeterminación informativa\n\n\n\n Toda persona tiene derecho a la autodeterminación informativa, la cual abarca el conjunto de\nprincipios y garantías relativas al legítimo tratamiento de sus datos personales reconocidos en esta\nsección.\n\n\n\n Se reconoce también la autodeterminación informativa como un derecho fundamental, con el objeto de\ncontrolar el flujo de informaciones que conciernen a cada persona, derivado del derecho a la\nprivacidad, evitando que se propicien acciones discriminatorias.”\n\n\n\n\n \n\n\n\n Un aspecto importante a resaltar es que, para efectos de determinar el tratamiento o restricción de\nacceso que se le debe dar a la información de los particulares, la Ley en comentario, así como su\nreglamento, clasifican los datos en las siguientes categorías:\n\n\n\n\n\n“ARTÍCULO 9.- Categorías particulares de los datos\n\n\n\n\n(…)\n\n\n\n\n1.-        Datos sensibles\n\n\n\n Ninguna persona estará obligada a suministrar datos sensibles. Se prohíbe el tratamiento de datos\nde carácter personal que revelen el origen racial o étnico, opiniones políticas, convicciones\nreligiosas, espirituales o filosóficas, así como los relativos a la salud, la vida y la orientación\nsexual, entre otros.\n\n\n\n\n\nEsta prohibición no se aplicará cuando:\n\n\n\n a) El tratamiento de los datos sea necesario para salvaguardar el interés vital del interesado o de\notra persona, en el supuesto de que la persona interesada esté física o jurídicamente incapacitada\npara dar su consentimiento.\n\n\n\n b) El tratamiento de los datos sea efectuado en el curso de sus actividades legítimas y con las\ndebidas garantías por una fundación, una asociación o cualquier otro organismo, cuya finalidad sea\npolítica, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a\nlas personas que mantengan contactos regulares con la fundación, la asociación o el organismo, por\nrazón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento\nde las personas interesadas.\n\n\n\n c) El tratamiento se refiera a datos que la persona interesada haya hecho públicos voluntariamente\no sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un\nprocedimiento judicial.\n\n\n\n d) El tratamiento de los datos resulte necesario para la prevención o para el diagnóstico médico,\nla prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios,\nsiempre que dicho tratamiento de datos sea realizado por un funcionario o funcionaria del área de la\nsalud, sujeto al secreto profesional o propio de su función, o por otra persona sujeta, asimismo, a\nuna obligación equivalente de secreto.\n\n\n\n\n\n2.- Datos personales de acceso restringido\n\n\n\n Datos personales de acceso restringido son los que, aun formando parte de registros de acceso al\npúblico, no son de acceso irrestricto por ser de interés solo para su titular o para la\nAdministración Pública. Su tratamiento será permitido únicamente para fines públicos o si se cuenta\ncon el consentimiento expreso del titular.\n\n\n\n\n \n\n\n\n\n3.- Datos personales de acceso irrestricto\n\n\n\n Datos personales de acceso irrestricto son los contenidos en bases de datos públicas de acceso\ngeneral, según lo dispongan las leyes especiales y de conformidad con la finalidad para la cual\nestos datos fueron recabados.\n\n\n\n\n \n\n\n\n No se considerarán contemplados en esta categoría: la dirección exacta de la residencia, excepto si\nsu uso es producto de un mandato, citación o notificación administrativa o judicial, o bien, de una\noperación bancaria o financiera, la fotografía, los números de teléfono privados y otros de igual\nnaturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular.\n\n\n\n\n\n(…)”\n\n\n\n\n \n\n\n\n A partir de lo anterior, podemos afirmar que la Ley de Protección de la Persona frente al\ntratamiento de sus datos personales y su reglamento, brindan especial protección a las personas,\nfrente a órganos públicos y privados, respecto al manejo que se dé a su información de índole\nprivada que forme parte de las bases de datos, a fin de que no lleguen a lesionar sus derechos\nfundamentales.\n\n\n\n\n \n\n\n\n Dado ello, se contempla varias categorías de información, cuya restricción de acceso o tratamiento\ndependerá de que tan sensible sean los datos allí contenidos. Así entonces, se considera que los\ndatos sensibles o personales, son aquellos que el individuo no tiene la obligación de relevar por\nser información de carácter personal (relacionados con origen étnico, religión, salud, orientación\nsexual, etc), por lo que, se prohíbe su tratamiento por parte de terceros (con las excepciones\ncontenida en el artículo 9.1 de la Ley). Además, contempla la protección de los datos personales de\nacceso restringido, los cuales, aún y cuando consten en registros de acceso al público, no pueden\nser de acceso irrestricto, de allí que, su tratamiento está permitido sólo para el titular de la\nAdministración Pública interesada, cuando persiga fines públicos, o bien, se cuente con el\nconsentimiento expreso del titular, en ese sentido, aún y cuando se encuentre en poder de la\nAdministración, está protegida por el artículo 24 de la Constitución Política y, por ende, no\ntendrían acceso indiscriminado. Finalmente, encontramos lo datos personales de acceso irrestricto,\nlos cuales son aquellos que forman parte de las bases de datos públicas de acceso general, por\ndisposición de ley especial y para la finalidad para lo cual fueron recabados.\n\n\n\n\n \n\n\n\n Por otra parte, consideramos importante reseñar que, al responsable de la base de datos se le\nimpone un deber de adoptar las medidas de índole técnica y de organización necesarias con el objeto\nde garantizar la seguridad de los datos personales y evitar su alteración, destrucción accidental o\nilícita, pérdida, tratamiento o acceso no autorizado, así como cualquier otra acción contraria a la\nLey en mención, contemplando como mínimo dentro de esas medidas, los mecanismos de seguridad física\ny lógica más adecuados acordes con el desarrollo tecnológico que impere en el momento. Asimismo,\nsobre dichos responsables y quienes participen en cualquier fase del proceso de tratamiento de datos\npersonales, recae en correspondencia con esa información, un deber de confidencialidad sea por su\ncondición profesional o funcional.\n\n\n\n\n \n\n\n\n\nAl respecto señala el numeral 11 de la Ley en comentario:\n\n\n\n\n \n\n\n\n\n“ARTÍCULO 11.- Deber de confidencialidad\n\n\n\n La persona responsable y quienes intervengan en cualquier fase del tratamiento de datos personales\nestán obligadas al secreto profesional o funcional, aun después de finalizada su relación con la\nbase de datos. La persona obligada podrá ser relevado del deber de secreto por decisión judicial en\nlo estrictamente necesario y dentro de la causa que conoce.\n\n\n\n\n \n\n\n\n En este punto, conviene resaltar que esta misma Ley dispone expresamente las excepciones al derecho\nde autodeterminación informativa del ciudadano, al respecto, el artículo 8 acota:\n\n\n\n\n \n\n\n\n\n“ARTÍCULO 8.- Excepciones a la autodeterminación informativa del ciudadano.\n\n\n\n\n \n\n\n\n Los principios, los derechos y las garantías aquí establecidos podrán ser limitados de manera\njusta, razonable y acorde con el principio de transparencia administrativa, cuando se persigan los\nsiguientes fines:\n\n\n\n\n \n\n\n\n\na) La seguridad del Estado.\n\n\n\n\nb) La seguridad y el ejercicio de la autoridad pública.\n\n\n\n c) La prevención, persecución, investigación, detención y represión de las infracciones penales, o\nde las infracciones de la deontología en las profesiones.\n\n\n\n d) El funcionamiento de bases de datos que se utilicen con fines estadísticos, históricos o de\ninvestigación científica, cuando no exista riesgo de que las personas sean identificadas.\n\n\n\n\ne) La adecuada prestación de servicios públicos.\n\n\n\n\nf) La eficaz actividad ordinaria de la Administración, por parte de las autoridades oficiales.” \n\n\n\n\n \n\n\n\n Conforme lo anterior, la autodeterminación informativa de los ciudadanos puede ser limitada, de una\nmanera justa, razonable y acorde con el principio de transparencia administrativa, cuando se\npersigan ciertos fines, como lo son: la seguridad del Estado, la seguridad y el ejercicio de la\nautoridad pública, la prevención, persecución, investigación, detención y represión de las\ninfracciones penales, o de las infracciones de la deontología en las profesiones, el funcionamiento\nde bases de datos que se utilicen con fines estadísticos, históricos o de investigación científica,\ncuando no exista riesgo de que las personas sean identificadas, para una adecuada prestación de\nservicios públicos, y, para una eficaz actividad ordinaria de la Administración, por parte de las\nautoridades oficiales.\n\n\n\n\n \n\n\n\n  En ese sentido, este órgano técnico consultivo ha señalado que, dichas limitaciones deben ser\nestablecidas en consonancia con el principio de transparencia administrativa y deben constituir una\nlimitación justa y razonable. Lo que implica que deben ser conformes con los principios de\nrazonabilidad y proporcionalidad que rigen la actuación pública y al principio de transparencia (no\npuede ser arbitraria ni desproporcionada respecto de los fines que persigue), lo cual implica que,\naún y cuando se restrinja el derecho a la autodeterminación informativa, los titulares de los datos\no sus representantes puedan conocer sobre la existencia del archivo, los datos que constan allí y el\ntratamiento que recibirán (dictamen C-090-2013 del 28 de mayo de 2013).\n\n\n\n\n \n\n\n\n Conviene reseñar, además, que la Ley de Protección de la Persona frente al Tratamiento de sus Datos\nPersonales creó la Agencia de Protección de Datos de los habitantes (Prodhab), cuya finalidad es\ngarantizar a cualquier persona, independientemente de su nacionalidad, residencia o domicilio, el\nrespeto a su derecho a la autodeterminación informativa en relación con su vida o actividad privada\ny demás derechos de la personalidad, así como la defensa de su libertad e igualdad con respecto al\ntratamiento automatizado o manual de los datos correspondientes a su persona o bienes.\n\n\n\n\n \n\n\n\n En cumplimiento de lo anterior, las personas físicas o jurídicas propietarias de bases de datos\ndeberán inscribir ante la Agencia estos registros (artículo 44 del Reglamento a la Ley 8968),\nespecificando, entre otras cosas, las finalidades y los usos previstos.\n\n\n\n\n \n\n\n\n Ahora bien, refiriéndonos concretamente al derecho de imagen, la jurisprudencia de la Sala\nConstitucional lo ha considerado también una derivación o extensión del derecho a la intimidad\n(artículo 24 de la Constitución Política), y lo ha definido como: “aquel que faculta a las personas\na reproducir su propia imagen o por el contrario a impedir que un tercero pueda captar, reproducir o\npublicar una imagen sin autorización” (resolución 2001-09250 de las 10:22 horas del 14\nde setiembre de 2001). \n\n\n\n\n \n\n\n\n Asimismo, en la sentencia  2533-93 de las 10:03 horas del 4 de junio de 1993, señaló: “… El derecho\na la imagen es uno de los derechos de la personalidad y tiene independencia funcional y se\nmanifiesta en forma negativa cuando la persona se niega a que se le tome una fotografía y en forma\npositiva cuando el sujeto solicita o autoriza tal conducta; además, el retrato fotográfico de la\npersona no puede ser puesto en el comercio, sin el debido consentimiento…” (en similar sentido ver\nlas resoluciones Nos. 2533-93, de las 10:03 del 4 de junio de 1993, 1441-96 de las 16:15 horas del\n27 de marzo de 1996 y 2014-11715 de las 9:05 horas del 18 de julio de 2014, de la Sala\nConstitucional). (La negrita no es del original)\n\n\n\n\n      \n\n\n\n Concretamente, a través de la resolución No. 2007-12959 de las 10:22 horas del 7 de setiembre de\n2007, la Sala Constitucional dispuso:\n\n\n\n\n \n\n\n\n “II.- SOBRE EL DERECHO DE IMAGEN. - En reiteradas ocasiones, esta Sala ha desarrollado el derecho\nde imagen como una extensión del derecho a la intimidad, protegido constitucionalmente en el\nartículo 24 de la Constitución Política, cuyo fin es resguardar el ámbito o esfera privada de las\npersonas del público, salvo autorización expresa del interesado. De esta manera, se limita la\nintervención de otras personas o de los poderes públicos en la vida privada de las personas; esta\nlimitación puede encontrarse tanto en la observación y en la captación de la imagen como en la\ndifusión posterior de lo captado sin el consentimiento de la persona afectada. Este Tribunal ha\nseñalado expresamente, que para que una persona pueda invocar la vulneración a este derecho, debe\nexistir una plena identificación de la persona presuntamente perjudicada, sea por su nombre o por su\nimagen.” (Sentencia n.°2010-05273 de las 14:59 horas del 17 de marzo del 2010. En igual sentido, el\nvoto n.°2014-13162 de las 9:05 horas del 14 de agosto del 2014. El subrayado no es del original).\n\n\n\n\n \n\n\n\n “Ahora bien, como todo derecho fundamental, el derecho de intimidad, del cual deriva el derecho a\nla imagen, no se trata de uno irrestricto, y como ya ha sido aceptado por esta Sala, cede ante el\nconsentimiento del titular.”  (El subrayado no pertenece al original)\n\n\n\n\n \n\n\n\n Adicionalmente, el derecho de imagen se encuentra consagrado en el Derecho Internacional, donde se\nprotege de manera particular la imagen y el honor de las personas, ante injerencias en su vida\nprivada. Tales son los casos del artículo 17 del Pacto Internacional de Derechos Civiles y\nPolíticos, artículo 11 de la Convención Americana sobre Derechos Humanos, numeral V de la\nDeclaración Americana de Derechos y Deberes del Hombre y 12 de la Declaración Universal de los\nDerechos Humanos.\n\n\n\n Así las cosas, el derecho fundamental a la propia imagen, tiene su fundamento tanto en la\nConstitución Política, como en Tratados de Derecho Internacional. Conforme lo ha dispuesto la Sala\nConstitucional, este derecho fundamental forma parte de los derechos de la personalidad inherentes a\ntodo ser humano y supone la facultad de su titular para impedir que su apariencia física o su voz\nsean grabadas, reproducidas o publicadas sin su consentimiento. No obstante, este derecho\nfundamental no tiene un carácter absoluto, irrestricto o incondicionado, de manera que, ante\ndeterminadas circunstancias, la regla general del consentimiento del titular cede en los supuestos\nde excepción (dictamen C-111-2020 del 31 de marzo de 2020), supuestos que quedan supeditados al\nprincipio de reserva de ley por tratarse de limitaciones a derechos fundamentales.\n\n\n\n\nTal es el caso, de lo regulado en los artículos 47 del Código Civil, al disponer lo siguiente:\n\n\n\n “ARTÍCULO 47.- La fotografía o la imagen de una persona no puede ser publicada, reproducida,\nexpuesta ni vendida en forma alguna si no es con su consentimiento, a menos que la reproducción esté\njustificada por la notoriedad de aquélla, la función pública que desempeñe, las necesidades de\njusticia o de policía, o cuando tal reproducción se relacione con hechos, acontecimientos o\nceremonias de interés público o que tengan lugar en público. Las imágenes y fotografías con roles\nestereotipados que refuercen actitudes discriminantes hacia sectores sociales no pueden ser\npublicadas, reproducidas, expuestas ni vendidas en forma alguna.”\n\n\n\n\n \n\n\n\n Como se observa, el Código Civil contiene excepciones a la regla de contar con el consentimiento\ndel titular del derecho para poder captar su imagen, en los supuestos donde se evidencia una\nnotoriedad de la persona, por la función pública que desempeñe (resolución No. 2014-11715 de la Sala\nConstitucional), las necesidades de justicia o de policía a propósito de una investigación y cuando\nla grabación se relacione con hechos, acontecimientos o ceremonias de interés público o que tengan\nlugar en público.\n\n\n\n        Partiendo del contenido esencial de los derechos fundamentales anteriormente descritos, así\ncomo de los límites razonables que podrían establecerse por ley, procederemos a analizar el proyecto\nde ley que se consulta.\n\n\n\n\nIII.                ANÁLISIS DEL PROYECTO DE LEY\n\n\n\n El proyecto de ley se justifica en la exposición de motivos, como una medida para atacar la\ncriminalidad, al disponer la existencia de una base de datos personales biométricos centralizada,\nque pueda ser consultada por los organismos públicos vinculados con la investigación de la\ncriminalidad. Esta base de datos será administrada por el Tribunal Supremo de Elecciones para que\ndicho registro migre de un simple repositorio de huellas dactilares y fotografías, creado con la\nfinalidad de permitir la identificación ciudadana y el derecho al sufragio, a una base de datos\nbiométricos con otros fines, entre ellos, los policiales.\n\n\n\n A pesar de la importancia del tema que se pretende regular, este proyecto se estructura de manera\nmuy general, bajo seis artículos, dos reformas a otras leyes y tres normas transitorias, lo cual nos\nlleva a un primer cuestionamiento sobre si el articulado propuesto es suficiente para resguardar los\nderechos fundamentales involucrados y anteriormente desarrollados.\n\n\n\n No existe en el proyecto de ley consultado una sola referencia a los derechos a la intimidad,\nimagen o autodeterminación informativa, a pesar de que la creación de una base de datos con\ninformación personal de los costarricenses y extranjeros constituye un límite evidente a estos\nderechos.\n\n\n\n Tal como señalamos, estos derechos fundamentales no son irrestrictos y vía ley podrían establecerse\nlímites razonables por motivos de seguridad nacional, interés público u otras excepciones dispuestas\nen la ley. Pero la ponderación entre el ejercicio de esos derechos y sus límites, no es clara ni\nsuficiente en el articulado del proyecto de ley, en el cual más bien parece inferirse un acceso\nirrestricto a estos datos por parte de terceros. Veamos.\n\n\n\n El proyecto de ley busca la recopilación de datos biométricos de los ciudadanos costarricenses y\nextranjeros que se encuentren en nuestro territorio. Específicamente el artículo 1° establece:\n\n\n\n “ARTÍCULO 1-       El Tribunal Supremo de Elecciones tendrá la responsabilidad de crear, como\nreserva de Estado, una Plataforma Nacional de Identificación Biométrica, la cual almacenará en un\núnico repositorio nacional información biométrica de todos los costarricenses mayores de doce años,\nsin perjuicio de que se pueda adquirir nueva tecnología que permita ampliar la identificación de\npersonas a través de la incorporación de más rasgos biométricos que se consideren necesarios.  La\nDirección General de Estrategia Tecnológica del Tribunal Supremo de Elecciones será el órgano\nresponsable de administrar la Plataforma Nacional de Identificación Biométrica, así como el diseño,\ndesarrollo, mantenimiento preventivo y evolutivo del respectivo sistema automatizado, conforme a lo\nseñalado en esta ley.\n\n\n\n\n \n\n\n\n Además, en el citado repositorio se registrará la misma información de todos los extranjeros que\ningresen y residan de manera temporal o permanente en el país, así como aquellos extranjeros que\nrequieran solicitar visa para ingresar al territorio nacional.”\n\n\n\n\n \n\n\n\n\n \n\n\n\n De lo dispuesto en dicho artículo debemos realizar varias observaciones. En primer lugar, no queda\nclaro a qué se refiere con el término “reserva de Estado”, ni tampoco cuáles serían las\nimplicaciones de que la base de datos tenga esas características.\n\n\n\n\n \n\n\n\n En segundo lugar, el artículo indicado permite la recopilación de datos biométricos de menores de\nedad mayores de doce años, lo cual resulta contrario a lo que actualmente establece los artículos 24\ny 27 del Código de la Niñez y Adolescencia No. 7739 de 06 de enero de 1998. Por tanto, dichas normas\ndeben ser modificadas de manera expresa en caso de que se apruebe la presente iniciativa y, además,\ndeben establecerse garantías adicionales de protección de estos datos, en aras de procurar el\ninterés superior de los menores, principio recogido no sólo a nivel interno en la citada ley, sino\ntambién en instrumentos internacionales como la Convención Sobre los Derechos del Niño.\n\n\n\n\n \n\n\n\n En tercer lugar y no menos importante, no se desprende de dicho artículo ni de la totalidad del\nproyecto de ley, qué se entiende por datos biométricos y cuáles son los que se están autorizando\nrecopilar, con el agravante de que, a la fecha, no existe en la legislación costarricense una\ndefinición de este tipo de datos, así como tampoco una regulación específica para ellos.\n\n\n\n\n \n\n\n\n  Nótese que el artículo primero del proyecto de ley permite la ampliación de la identificación de\nlas personas a través de la incorporación de más rasgos biométricos, cuando la tecnología así lo\npermita. Esta amplitud de la norma y la falta de una definición en el proyecto de ley sobre qué se\nentiende por “información biométrica”, hace que el proyecto pueda presentar dudas de\nconstitucionalidad, por los motivos que pasamos a explicar.\n\n\n\n\n \n\n\n\n La biometría es un término que proviene del griego bio (vida) y metron (medida), por lo que se\ndedica a desarrollar técnicas que permitan medir y analizar una serie de parámetros físicos que son\núnicos en cada persona para poder comprobar su\nidentidad.(https://www.elmundo.es/espana/2013/12/05/52a0749d63fd3d8c498b456b.html). Dentro de los\ndatos biométricos más utilizados están la huella dactilar, el reconocimiento facial, iris de la\nretina, ADN, geometría de la mano o dedos, reconocimiento de voz, entre otros.\n\n\n\n\n \n\n\n\n Por tanto, la información biométrica no queda limitada a la huella dactilar o a la imagen de una\npersona (actualmente almacenada en la base de datos del TSE), sino que abarca todos aquellos datos\nrecopilados a través de procesos tecnológicos y que llevan relación con características físicas,\nfisiológicas y conductuales de una persona, las cuales, permiten identificarla inequívocamente. De\nahí que sea fundamental que el proyecto de ley que se consulta, aclare el concepto y los alcances de\nlos datos biométricos que se están autorizando recopilar, especialmente cuando parece autorizarse su\nacceso irrestricto, como veremos más adelante. \n\n\n\n\n \n\n\n\n Ahora bien, aun cuando la Ley N° 8968, Ley de Protección de la Persona frente al Tratamiento de sus\nDatos Personales, no presenta una regulación explícita sobre los datos biométricos y su tratamiento,\nno podemos negar que, dentro de las categorías reguladas en dicha ley, estos datos deben catalogarse\ncomo sensibles, pues, como indicamos, a través de ellos se permite la identificación inequívoca de\nlas características físicas, fisiológicas y conductuales de una persona. Ergo, no hay duda que estos\ndatos están relacionados con el ejercicio de los derechos a la intimidad, imagen y autodeterminación\ninformativa, quedando resguardados, en consecuencia, por lo dispuesto en el artículo 24 de la\nConstitución Política.\n\n\n\n\n \n\n\n\n  Esa conclusión encuentra respaldo en el derecho comparado y en las buenas prácticas\ninternacionales. Así, por ejemplo, el Reglamento de la Unión Europea 2016/679, relativo a la\nprotección de las personas físicas, define los datos biométricos como aquellos “…obtenidos a partir\nde un tratamiento técnico específico, relativos a las características físicas, fisiológicas o\nconductuales de una persona física que permitan o confirmen la identificación única de dicha\npersona, como imágenes faciales o datos dactiloscópicos”.\n\n\n\n\n \n\n\n\n Asimismo, el Reglamento citado (artículo 9.1) considera estos datos como una categoría especial de\ndatos personales, en cuyo caso, como regla general, está prohibido su tratamiento. Señala este\nnumeral:\n\n\n\n\n \n\n\n\n\n“Tratamiento de categorías especiales de datos personales\n\n\n\n\n \n\n\n\n 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las\nopiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el\ntratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una\npersona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones\nsexuales de una persona física.” (El subrayado no pertenece al original)\n\n\n\n\n \n\n\n\n Como se observa, conforme a la legislación europea, los datos biométricos se encuentran dentro de\nla categoría de los datos sensibles, por lo que su tratamiento está, en principio, prohibido salvo\nel consentimiento del titular.\n\n\n\n Cabe indicar que, parte de la fundamentación del Reglamento en comentario señala que, existe un\ndeber de garantizar a toda la Unión Europea que, la aplicación de las normas de protección de los\nderechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos\nde carácter personal, sea coherente y homogénea, esto en virtud de la rápida evolución tecnológica y\nla globalización, lo cual ha planteado nuevos retos para la protección de los datos personales.\n\n\n\n Como se observa, el tratamiento de los datos personales biométricos está sujeto, bajo el estándar\ninternacional, a estrictos controles, sin embargo, nada de ello se regula en el proyecto de ley\nconsultado.\n\n\n\n Asimismo, debe considerarse que mediante ley N° 8919 del 16 de diciembre de 2010, Costa Rica\nsuscribió el “Acuerdo de Diálogo Político y Cooperación entre la Comunidad Europea y sus Estados\nMiembros y las Repúblicas de Costa Rica, El Salvador, Guatemala, Honduras, Nicaragua y Panamá”,\nmediante el cual se compromete a “garantizar la protección de los datos personales y de otro tipo en\nsu tratamiento, con vistas a promover las normas internacionales más estrictas.” (artículo 5)\n\n\n\n\n \n\n\n\n Por tanto, si equiparamos los datos biométricos a la categoría de datos sensibles, tal como lo hace\nla legislación europea, su acceso está en principio prohibido, salvo consentimiento del titular o\nlas excepciones calificadas que deberán regularse por ley, en protección de los derechos a la\nintimidad, imagen y autodeterminación informativa. Pero esas excepciones deben estar reguladas de\nmanera razonable y proporcional y, por tanto, es indispensable que el legislador realice una\nadecuada ponderación de los derechos en juego y establezca reglas claras sobre el fin público que se\npersigue con el acceso a los datos, sobre quién tendrá acceso a esta información y su propósito, el\ntratamiento que se les dará, el régimen sancionatorio en caso de incumplimiento, medidas de\nseguridad y respaldo, entre otras.\n\n\n\n Nada de lo anterior es regulado en el proyecto de ley y, por el contrario, a lo largo del\narticulado parece desprenderse un acceso irrestricto a los datos biométricos.\n\n\n\n Al respecto, el artículo 2 del proyecto de ley establece que “La Dirección General de Migración y\nExtranjería, los consulados y cualquier otro organismo público que registre información biométrica\nde las personas o que expida documentos de identificación de personas, tales como cédulas de\nresidencia, permiso de trabajo, identificación de refugiados, pasaporte, visados u otros documentos\noficiales, usarán la misma plataforma tecnológica de identificación biométrica del Tribunal Supremo\nde Elecciones”.  Sin embargo, no se aclara si dichas dependencias pueden o no tener acceso a dicha\nplataforma de manera irrestricta ni cuáles funcionarios estarían habilitados para tener acceso a esa\ninformación o los fines para los cuales puede utilizarse esa información.\n\n\n\n De igual forma, el artículo 3 del proyecto de ley autoriza al Organismo de Investigación Judicial,\nlos cuerpos de policía adscritos al Ministerio de Seguridad Pública, el Ministerio Público y la\nDirección General de Migración y Extranjería a tener “acceso total a los registros biométricos\ncontenidos en el repositorio nacional para realizar las consultas y los cotejos pertinentes para\nrastrear e identificar a sospechosos de haber participado en hechos ilícitos”. Ya en la actualidad\nel artículo 40 de la Ley Orgánica del Organismo de Investigación Judicial, permite la conformación\nde un Archivo Criminal, en el cual consten las fichas y demás documentos, debidamente clasificados,\nde todas las personas que en alguna oportunidad hayan comparecido ante las autoridades en calidad de\npresuntos responsables de hechos punibles y, asimismo, con las que enviaren las autoridades\nnacionales o extranjeras.\n\n\n\n Además, el artículo 41 de dicha ley autoriza su uso para el Organismo de Investigación Judicial, el\nMinisterio Público, los órganos jurisdiccionales que conocen materia penal y los cuerpos policiales\nde carácter preventivo, las instituciones gubernamentales que regulan temas de seguridad nacional y\nla oficina del Tribunal Supremo de Elecciones encargada de aprobar los trámites de naturalización\ncostarricense, los policías que realicen labores de investigación para fines represivos, la Policía\nde Control Fiscal del Ministerio de Hacienda, la Policía de Control de Drogas del Ministerio de\nSeguridad Pública y la Policía Profesional de Migración y Extranjería.\n\n\n\n Partiendo de ello, no queda claro cuál es el impacto del presente proyecto de ley sobre el citado\nArchivo Criminal y, contrario a las normas que regulan dicho archivo, no se establece tampoco en\neste proyecto de ley el carácter confidencial de la información, lo cual atenta contra los derechos\nfundamentales ya comentados.\n\n\n\n En igual sentido, preocupa especialmente lo dispuesto en el artículo 4 del proyecto de ley. Este\nartículo señala:\n\n\n\n “ARTÍCULO 4-       Los Poderes de la República, los órganos del Poder Legislativo, los ministerios\ny sus órganos adscritos que requieran verificar la identidad de las personas, utilizarán la\nPlataforma Nacional de Identificación Biométrica del Tribunal Supremo de Elecciones para el\ncumplimiento de sus fines y quedarán exentos de los cargos a los cuales se refiere el artículo 24\ndel Código Electoral.\n\n\n\n Las instituciones descentralizadas que conforman el sector público costarricense y el sector\nprivado en general, que requieran verificar la identidad de las personas por medio de la citada\nplataforma nacional, podrán adquirir los servicios correspondientes de conformidad con lo que\nestablece el artículo 24 del Código Electoral. Para estos efectos, el Tribunal Supremo de Elecciones\nfijará las tarifas de manera razonable y objetiva”\n\n\n\n\n \n\n\n\n\n \n\n\n\n En dicha norma no queda claro cómo se realizará la verificación de la identidad de las personas por\nparte del sector público y de los particulares que accedan al servicio brindado por el TSE y hasta\ndónde tendrán acceso a los datos biométricos de terceros.\n\n\n\n\n \n\n\n\n\nSobre el particular, se señala en la exposición de motivos del proyecto de ley:\n\n\n\n\n \n\n\n\n “Cabe señalar que, a partir de la comercialización de servicios no esenciales a los que se refiere\nel artículo 24 del Código Electoral, el TSE no hace venta de datos personales, ni públicos ni\nprivados, sino que lo que se comercializa son servicios de acceso electrónico para fines de\nverificación de identidad, cumpliendo con las disposiciones legales correspondientes, lo cual\nincluye el apropiado tratamiento de los datos personales.”\n\n\n\n\n \n\n\n\n        A pesar de lo expuesto en la exposición de motivos, es nuestro criterio que la redacción de\nla norma no es clara en cuanto a sus alcances y debería contener mayores garantías, pues como\nindicamos, los datos biométricos son datos sensibles y confidenciales que, por su naturaleza, no\npueden ser accedidos por terceros sin el consentimiento del titular. De igual forma, cualquier norma\nlegal que autorice su acceso, debe hacerlo de manera restrictiva, bajo un criterio de interés\npúblico y con las garantías suficientes de respeto a la naturaleza confidencial de la información.\n\n\n\n Debe recordarse, además, que la comercialización de datos sensibles está prohibida en la\njurisprudencia de la Sala Constitucional arriba mencionada, por atentar contra los derechos a la\nintimidad, imagen y autodeterminación informativa. Por tanto, la redacción de la citada norma debe\naclararse sobre el tipo de servicio que brindará el Tribunal.\n\n\n\n\n \n\n\n\n Si bien, el proyecto de ley remite a lo dispuesto en el numeral 24 del Código Electoral y este\nartículo prohíbe de manera expresa al TSE el suministro de información confidencial, lo cierto es\nque la redacción del proyecto de ley es confusa, pues la lectura integral del articulado y la falta\nde garantías adicionales en protección de los derechos fundamentales involucrados, generan dudas\nsobre los alcances de lo dispuesto en el numeral 4. Nótese incluso que el proyecto de ley elimina el\nprincipio de consentimiento informado en materia de protección de datos cuando la información sea\npara fines electorales, de identificación o de verificación de identidad (artículo 8), redacción que\npor su amplitud nos genera más confusión sobre los alcances del proyecto de ley y especialmente del\nartículo 4.\n\n\n\n\n \n\n\n\n Debemos insistir que el proyecto de ley no establece el fin público que se persigue, ni tampoco\notros parámetros para el tratamiento de los datos biométricos, como serían, por ejemplo, quién\ntendrá acceso a esta información y su propósito, su confidencialidad, el tratamiento que se dará a\nlos datos, régimen sancionatorio en caso de incumplimiento, medidas de seguridad y respaldo, entre\notras.\n\n\n\n\n \n\n\n\n        Lo anterior nos genera dudas de constitucionalidad que, en definitiva, deberán ser evacuadas\npor la Sala Constitucional como intérprete supremo de la Constitución. Asimismo, llama la atención\nque, a pesar de los temas involucrados, durante el trámite legislativo no se ha consultado a la\nAgencia de Protección de Datos Personales de los Habitantes, como órgano competente en esta materia.\n\n\n\n        Finalmente, debemos referirnos a las normas transitorias dispuestas en el proyecto de ley.\nEn primer lugar, a pesar de que se exige a la Dirección General de Migración y Extranjería utilizar\nel repositorio nacional administrado por el TSE para almacenar la información que recopile en sus\nprocesos (artículo 2), no existe ninguna norma transitoria que le otorgue un plazo razonable a dicha\ninstitución para realizar la migración de los datos y los ajustes técnicos necesarios para ello.\n\n\n\n        Asimismo, en el transitorio I se establece la obligación del Poder Ejecutivo, en conjunto\ncon el Tribunal Supremo de Elecciones de reglamentar la ley, lo cual nos genera dudas de\nconstitucionalidad, pues a la luz de lo dispuesto en el numeral 140 inciso 3) de la Constitución,\ncorresponde al Poder Ejecutivo, de manera exclusiva, el proceso de reglamentación de las leyes. Así\nlas cosas, aun cuando el TSE puede coadyuvar en la elaboración del reglamento, lo cierto es que la\npotestad reglamentaria es exclusiva del Poder Ejecutivo.\n\n\n\n\nIV. CONCLUSIONES\n\n\n\n\n       A partir de lo expuesto debemos llegar a las siguientes conclusiones:\n\n\n\n a) La presente iniciativa pretende regular el almacenamiento de datos biométricos de costarricense\ny extranjeros en un repositorio único nacional, cuyo custodio sería el Tribunal Supremo de\nElecciones, por lo que deben tenerse en consideración los derechos fundamentales a la intimidad, a\nla autodeterminación informativa y a la imagen, reconocidos en el artículo 24 de la Constitución\nPolítica;\n\n\n\n b) La Ley de Protección de la Persona frente al tratamiento de sus datos personales contempla\nvarias categorías de información, según se trate de datos sensibles, datos personales de acceso\nrestringido o datos personales de acceso irrestricto;\n\n\n\n\n \n\n\n\n c) En la legislación costarricense no podemos encontrar a la fecha, una definición de los datos\nbiométricos, así como tampoco una regulación específica para ellos, aunque al igual que se reconoce\nen el derecho comparado europeo, deben enmarcarse dentro de la categoría de los datos sensibles,\npues son aquellos recopilados a través de procesos tecnológicos y que llevan relación con\ncaracterísticas físicas, fisiológicas y conductuales de una persona, las cuales, permiten\nidentificarlo inequívocamente, a través de su huella dactilar, reconocimiento facial, iris de la\nretina, ADN, geometría de la mano o dedos, reconocimiento de voz, entre otras; \n\n\n\n\n \n\n\n\n d) Consecuentemente, los datos biométricos se encuentran resguardados por el artículo 24 de la\nConstitución Política, por lo que su acceso, recopilación y archivo debe ser expresamente consentido\npor el titular y sus límites deben estar establecidos por ley. Dichos límites, además, deben estar\nregulados de manera razonable y proporcional y, por tanto, es indispensable que el legislador\nestablezca reglas claras sobre el fin público que se persigue con el acceso a los datos, su\nconfidencialidad, quién tendrá acceso a esta información y su propósito, el tratamiento que se les\ndará, el régimen sancionatorio en caso de incumplimiento, medidas de seguridad y respaldo, entre\notras;\n\n\n\n\n \n\n\n\n e) No existe en el proyecto de ley consultado una sola referencia a los derechos a la intimidad,\nimagen o autodeterminación informativa, a pesar de que la creación de una base de datos con\ninformación biométrica personal de los costarricenses y extranjeros constituye un límite evidente a\nestos derechos. Ergo, la ponderación entre el ejercicio de esos derechos y sus límites, no es clara\nni suficiente en el articulado del proyecto de ley, en el cual más bien parece inferirse un acceso\nirrestricto a estos datos por parte de terceros;\n\n\n\n\n \n\n\n\n f) El artículo 1 del proyecto de ley no es claro en cuanto a qué se refiere con el término “reserva\nde Estado”, ni tampoco cuáles serían las implicaciones de que la base de datos que se está creando\ntenga esas características. Este artículo tampoco tiene garantías suficientes para la recopilación\nde datos biométricos de menores de edad, lo cual resulta contrario a lo que actualmente establecen\nlos artículos 24 y 27 del Código de la Niñez y Adolescencia y la Convención Sobre los Derechos del\nNiño;\n\n\n\n\n \n\n\n\n g) Del proyecto de ley tampoco se desprende qué se entiende por datos biométricos y cuáles son los\nque se están autorizando recopilar;\n\n\n\n\n \n\n\n\n h) En el artículo 2 del proyecto no se aclara si las dependencias públicas ahí mencionadas pueden o\nno tener acceso al reservorio de datos biométricos de manera irrestricta ni cuáles funcionarios\nestarían habilitados para tener acceso a esa información o los fines para los cuales puede\nutilizarse esa información;\n\n\n\n\n \n\n\n\n i) En el artículo 3 no queda claro cuál es el impacto del presente proyecto de ley sobre el Archivo\nCriminal del OIJ y tampoco se establece el carácter confidencial de la información;\n\n\n\n\n \n\n\n\n j) La redacción del artículo 4 del proyecto no es clara sobre cómo se realizará la verificación de\nla identidad de las personas por parte del sector público y de los particulares que accedan al\nservicio brindado por el TSE y si se está permitiendo o no el acceso irrestricto y la\ncomercialización de los datos biométricos, lo cual está prohibido por tratarse de información\nsensible;\n\n\n\n k) La redacción del proyecto de ley es confusa, pues la lectura integral del articulado y la falta\nde garantías adicionales en protección de los derechos fundamentales involucrados, generan dudas\nsobre sus alcances, especialmente cuando se elimina el principio de consentimiento informado en\nmateria de protección de datos cuando la información sea para fines electorales, de identificación o\nde verificación de identidad;\n\n\n\n\n \n\n\n\n l) Las normas transitorias también presentan omisiones y aspectos de constitucionalidad que se\nrecomiendan revisar, según lo indicado en este pronunciamiento.\n\n\n\n\n \n\n\n\n\nAtentamente,\n\n\n\n\n \n\n\n\n\n \n\n\n\n\nSilvia Patiño Cruz\n\n\n\n\nProcuradora", "body_en_text": "Opinión Jurídica: 027 - J of 28/01/2021\n\n28 January 2021\nOJ-027-2021\n\nLicenciada\nDaniella Agüero Bermúdez\nArea Chief\nComisiones Legislativas VII\nAsamblea Legislativa\n\nDear Madam:\n\nWith the approval of the Attorney General of the Republic, I refer to your official communication AL-21321-CPSN-OFI-0095-2019 dated 4 July 2019, reassigned to my office on 5 January 2021, through which you request our opinion on the bill entitled “Ley de Repositorio Único Nacional para Fortalecer las Capacidades de Rastreo e Identificación de Personas,” which is being processed under file number 21321 in the Comisión Permanente Especial de Seguridad y Narcotráfico.\n\nFirst, we must note that, in accordance with the powers set forth in the Ley Orgánica de la Procuraduría General de la República, this advisory body is only authorized to exercise its consultative function by rendering the legal opinions requested by the Public Administration. Consequently, the Asamblea Legislativa is only entitled to consult when doing so in the exercise of administrative powers, but not when it concerns the exercise of its legislative function.\n\nDespite the foregoing, in a spirit of collaboration with the important work carried out by the deputies, we have customarily addressed the inquiries made by the Asamblea Legislativa and its deputies, noting that these are non-binding legal opinions on certain bills or in connection with the political oversight function.\n\nLikewise, we must point out that the eight-day deadline granted does not bind this Institution, as we are not faced with any of the scenarios set forth in Article 157 of the Reglamento de la Asamblea Legislativa (consultation to the Tribunal Supremo de Elecciones, the Universidad de Costa Rica, the Poder Judicial, or an autonomous institution). In the same vein, the issuance of our pronouncements is not governed by the provisions of Articles 27 and 30 of the Constitución Política, nor Article 32 of the Ley de la Jurisdicción Constitucional (No. 7135 of 11 October 1989), insofar as what is consulted does not concern a pure and simple request for information held by the Procuraduría, but rather the study and issuance of a technical legal opinion. Reference is made to what was stated by the Sala Constitucional in ruling No. 2019-23112 of 8:50 a.m. on 22 November 2019:\n\n“In this new amparo, it is clear that the appellant seeks for the Procuraduría General de la República to issue a legal opinion. In accordance with the reasons repeatedly set forth by this Tribunal, a consultation thus raised does not constitute part of the exercise of the rights enshrined in Articles 27 and 30 of the Constitución Política. Consequently, there is no reason to grant the appeal.” (Underlining not in original).\n\nBased on that, we address this consultation within the timeframe allowed by our institutional capacities, given our obligation to prioritize those consultations submitted by legally authorized bodies.\n\nI. PURPOSE OF THE BILL\n\nThe bill under consultation intends to centralize in the Tribunal Supremo de Elecciones the responsibility for creating, as a State reserve, a National Biometric Identification Platform (Plataforma Nacional de Identificación Biométrica), which will store in a single national repository the biometric information of all Costa Ricans over the age of twelve and of foreigners who enter and reside temporarily or permanently in the country or those who need to apply for a visa to enter the national territory.\n\nAccording to the statement of purpose, one of the aims of the bill is for the national repository to be the only means in the country for housing and safeguarding civil biometric information of nationals and foreigners, beginning with the biometric data of ten fingerprints and facial features and, as the initiative itself provides, leaving open the possibility for other biometric data to be added in the future; in this way, judicial and police authorities, by having immediate and direct access to the National Biometric Identification Platform (Plataforma Nacional de Identificación Biométrica), will be able to strengthen their capacities for tracking and identifying subjects suspected of committing crimes.\n\nWe must clarify that during the legislative process, a substitute text was approved for this bill, and therefore our pronouncement will refer to the new text and not the one originally consulted.\n\nII. CONSTITUTIONAL AND LEGAL FRAMEWORK OF REFERENCE FOR THE BILL UNDER CONSULTATION\n\nAs a first relevant aspect before addressing the specific articles of the bill, we must note that this advisory body recently issued legal opinion OJ-004-2021 of 8 January 2021, in which we addressed access to biometric data, their legal nature, their constitutional protection, and the need for a law, approved by a qualified majority, authorizing their storage and processing by public authorities and private parties.\n\nWe would understand that this initiative precisely seeks to regulate the storage of biometric data in a single national repository, whose custodian would be the Tribunal Supremo de Elecciones. Therefore, prior to the analysis of the bill, it is essential to refer to the legal and constitutional normative framework and, specifically, to the fundamental rights involved that must be safeguarded in a project of this nature.\n\nA bill such as the one intended for approval cannot be analyzed without considering the fundamental rights to privacy, to informational self-determination (autodeterminación informativa), and to one's image, all derived from the provisions of Article 24 of the Constitution and recognized by the reiterated jurisprudence of the Sala Constitucional.\n\nSaid article provides:\n\n“Article 24.- The right to privacy, freedom, and secrecy of communications is guaranteed.\n\nThe private documents and written, oral, or any other type of communications of the inhabitants of the Republic are inviolable. However, a law, whose approval and amendment shall require the votes of two-thirds of the Deputies of the Asamblea Legislativa, shall establish in which cases the Courts of Justice may order the seizure, search, or examination of private documents, when it is absolutely essential to clarify matters submitted to their knowledge.\n\nLikewise, the law shall determine in which cases the Courts of Justice may order the interception of any type of communication and shall indicate the crimes in whose investigation the use of this exceptional power may be authorized and for how long. It shall also specify the responsibilities and sanctions incurred by officials who illegally apply this exception. Judicial orders supported by this rule must be reasoned and may be executed immediately. Their application and control shall be the non-delegable responsibility of the judicial authority.\n\nThe law shall establish the cases in which the competent officials of the Ministerio de Hacienda and the Contraloría General de la República may review accounting books and their annexes for tax purposes and to oversee the correct use of public funds.\n\nA special law, approved by two-thirds of the total Deputies, shall determine which other bodies of the Public Administration may review the documents that said law specifies in relation to the fulfillment of their regulatory and supervisory powers to achieve public purposes. It shall also indicate in which cases such review is appropriate.\n\nCorrespondence that has been stolen and information obtained as a result of the illegal interception of any communication shall not produce legal effects.”\n\nIn relation to informational self-determination (autodeterminación informativa), the Sala Constitucional has indicated that this right constitutes an extension of the protective scope of the right to privacy, arising in response to changes in the flow of information, evolving towards new tools for the communication and distribution of information. Therefore, the fundamental right of citizens to decide who, when, where, and under what circumstances may have contact with their data must be guaranteed (opinion C-412-2020 of 21 October 2020). Such is the case of resolution 910-2009 of 1:36 p.m. on 23 January 2009, through which the Sala Constitucional held:\n\n“The expansion of the protective scope of the right to privacy arises as a response to the current global environment of informational fluidity, an environment that has called into question traditional formulas for protecting personal data, evolving in response to the need to use new tools to guarantee the fundamental right of citizens to decide who, when, where, and under what and which circumstances has contact with their data. Thus, the fundamental right of every natural or legal person is recognized to know what is recorded about them, their property, or their rights in any registry or file, of any nature, including mechanical, electronic, or computerized, whether public or private; as well as the purpose for which that information is intended and that it be used solely for that purpose, which shall depend on the nature of the registry in question. It also grants the right to have the information rectified, updated, supplemented, or deleted, when it is incorrect or inaccurate, or is being used for a purpose other than that which it may legitimately serve. This is the so-called protection of informational self-determination (autodeterminación informativa) of individuals, which surpasses the simple scope of their privacy. The citizen is granted the right to be informed of the processing of the data and the purposes it intends to achieve, along with the right of access, correction, or deletion in the event that it causes them illegitimate harm. The right of informational self-determination (autodeterminación informativa) is based on the following principles: transparency regarding the type, scope, or purposes of the processing of stored data; correspondence between the purposes and the use of the storage and employment of the information; accuracy, veracity, timeliness, and full identification of the stored data; prohibition of processing data relating to the intimate sphere of the citizen (race, religious beliefs, political affiliation, sexual preferences, among others) by entities not expressly authorized to do so; and in any case, the use made of the information must be in accordance with its intended purpose; the destruction of personal data once the purpose for which it was collected has been fulfilled; among others. The private sphere is no longer limited to the domicile or communications, but it is feasible to ask whether it is understandable to include 'information protection' in order to grant the citizen a protection of privacy that implies the possibility of controlling the information that may affect them. … The protection of privacy implies the real and effective possibility for the citizen to know what data of theirs are being processed, for what purposes, by which persons, under what circumstances, so that they can exercise the corresponding control over the information that is distributed and that affects them (Articles 24 of the Constitución Política and 13, paragraph 1 of the Convención Americana de Derechos Humanos). In summary, it is thus deduced that informational self-determination (autodeterminación informativa) is an extension of the right to privacy and that its protection arises from the development of global computer and technological mechanisms that manage databases containing information on individuals. Regarding the delimitation of the content of the right of informational self-determination (autodeterminación informativa), it is important to note that for information to be legitimately stored, it must meet at least the following requirements: first, it must not concern information of a strictly private nature or from the intimate sphere of individuals; second, the information must be accurate and truthful (see ruling #2000-1119 of 6:51 p.m. on 1 February 2000); and third, the individual has the right to know the information and demand that it be rectified, updated, supplemented, or deleted, when it is incorrect or inaccurate, or is being used for a purpose other than that which it may legitimately serve (see rulings #2007-6793 of 11:24 a.m. on 18 May 2007 and #2008-10114 of 7:18 p.m. on 17 June 2008).” (Bold not in original)\n\nAs can be deduced from the foregoing, the right to informational self-determination (autodeterminación informativa) expands the scope of individuals' privacy; furthermore, it includes the individual's right to be informed about the processing of their data, about the purpose sought through its access, as well as the possibility of controlling the data contained in a registry and correcting or deleting them in the event they cause any harm.\n\nUntil 2011, the content of the right of informational self-determination (autodeterminación informativa), derived from Article 24 of the Constitución Política, had been developed only through the jurisprudence of the Sala Constitucional, which had been reiterative in pointing out the need to fill the legal vacuum that existed regarding the control of files containing information on private individuals. In this regard, through Resolution No. 5268-2011 of 3:13 p.m. on 27 April 2011, the Sala Constitucional stated:\n\n“…the regulation seeks to fill an important normative vacuum related to the right to informational self-determination (autodeterminación informativa), which, although the jurisprudence of the Sala has endeavored to develop its content, there persists a need to develop an administrative institution that ensures a balance in the activity, and to constitute a first line of specialized defense for this fundamental right. It is therefore necessary to point out the legal maxim (better known in Anglo-Saxon law) that there is no right without a remedy (there is no right without a remedy). In a scenario where technological resources allow massive use of data storage of all kinds, and with multiple possibilities for transfer, it is important that all personal information that becomes part of databases has regulated the lawful and unlawful conduct of operators so that they do not come to harm fundamental rights. Currently, both Public Administrations and natural and legal persons that collect personal data lack legal regulations that supervise, control, and intervene in the files that contain these data, which impacts the methods that systematize these data. Clearly, the rights of individuals are more exposed without regulation than when it regulates them in a more orderly manner compatible with the Law of the Constitution. The opposite, evidently, prolongs an asymmetry between citizens and the public and private powers that manage said information, which has been resolved through the jurisprudence of the Sala, which more than a decade ago recognized the absence of legislation and an administrative control body. Hence, the legislation fills an important gap in the legal system by seeking a balance between institutions and Costa Rican society that allows for effective protection of the freedom of informational self-determination (autodeterminación informativa) and better administrative protection against the accumulation of powers that has occurred throughout the years in which there have been no such controls.” (Bold not in original)\n\nSubsequently, Law No. 8968 of 5 September 2011, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, was enacted, the purpose of which is to guarantee to any person, without any discrimination, respect for their right to informational self-determination (autodeterminación informativa) in relation to their private life or activity and other personality rights, as well as the defense of their freedom and equality, with respect to the automated or manual processing of data relating to their person or property (Article 1). Additionally, Decreto Ejecutivo No. 37554 of 30 October 2012, Reglamento a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, was issued.\n\nRegarding its scope of application, said Law covers all data appearing in automated or manual databases of public or private bodies and any form of subsequent use of these data, excluding databases maintained by natural or legal persons for exclusively internal, personal, or domestic purposes, provided these are not sold or otherwise commercialized (Article 2 of the Law).\n\nSpecifically, on the right to informational self-determination (autodeterminación informativa), for the proper processing of personal data, Article 4 states:\n\n“ARTICLE 4.- Informational self-determination (Autodeterminación informativa)\n\nEvery person has the right to informational self-determination (autodeterminación informativa), which encompasses the set of principles and guarantees relating to the legitimate processing of their personal data recognized in this section.\n\nInformational self-determination (autodeterminación informativa) is also recognized as a fundamental right, with the purpose of controlling the flow of information concerning each person, derived from the right to privacy, preventing discriminatory actions from being fostered.”\n\nAn important aspect to highlight is that, for purposes of determining the processing or access restriction to be applied to the information of individuals, the Law under discussion, as well as its regulation, classify data into the following categories:\n\n“ARTICLE 9.- Special categories of data\n\n(…)\n\n1.- Sensitive Data\n\nNo person shall be obliged to provide sensitive data. The processing of personal data revealing racial or ethnic origin, political opinions, religious, spiritual, or philosophical convictions, as well as data relating to health, life, and sexual orientation, among others, is prohibited.\n\nThis prohibition shall not apply when:\n\na) The processing of the data is necessary to safeguard the vital interest of the data subject or another person, in the event that the data subject is physically or legally unable to give their consent.\n\nb) The processing of the data is carried out in the course of legitimate activities and with adequate guarantees by a foundation, association, or any other body whose purpose is political, philosophical, religious, or trade union, provided that it refers exclusively to its members or to persons who maintain regular contacts with the foundation, association, or body by reason of its purpose and provided that the data are not communicated to third parties without the consent of the data subjects.\n\nc) The processing refers to data that the data subject has voluntarily made public or are necessary for the recognition, exercise, or defense of a right in a judicial proceeding.\n\nd) The processing of the data is necessary for prevention or medical diagnosis, the provision of healthcare or medical treatments, or the management of health services, provided that such data processing is carried out by a health professional subject to professional secrecy or that inherent to their function, or by another person subject to an equivalent obligation of secrecy.\n\n2.- Personal data of restricted access\n\nPersonal data of restricted access are those which, even though forming part of publicly accessible registries, are not of unrestricted access because they are of interest only to their owner or to the Public Administration. Their processing shall be permitted only for public purposes or with the express consent of the owner.\n\n3.- Personal data of unrestricted access\n\nPersonal data of unrestricted access are those contained in public databases of general access, as provided by special laws and in accordance with the purpose for which these data were collected.\n\nThe following shall not be considered included in this category: the exact residential address, except if its use results from a mandate, summons, or administrative or judicial notification, or from a banking or financial operation, the photograph, private telephone numbers, and others of a similar nature whose processing may affect the rights and interests of the data subject.\n\n(…)”\n\nBased on the foregoing, we can affirm that the Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales and its regulation provide special protection to individuals, against public and private bodies, regarding the handling given to their private information that forms part of databases, in order to prevent harm to their fundamental rights.\n\nGiven this, several categories of information are contemplated, the restriction of access to or processing of which will depend on how sensitive the data contained therein are. Thus, sensitive or personal data are considered to be those that the individual is not obliged to reveal because it is personal information (related to ethnic origin, religion, health, sexual orientation, etc.), and therefore, their processing by third parties is prohibited (with the exceptions contained in Article 9.1 of the Law). Additionally, it provides for the protection of personal data of restricted access, which, even when recorded in publicly accessible registries, cannot be of unrestricted access; hence, their processing is permitted only for the owner of the interested Public Administration when pursuing public purposes, or with the express consent of the owner. In this sense, even when held by the Administration, it is protected by Article 24 of the Constitución Política and, therefore, would not be subject to indiscriminate access. Finally, we find personal data of unrestricted access, which are those that form part of public databases of general access, by provision of special law and for the purpose for which they were collected.\n\nOn the other hand, we consider it important to note that the person responsible for the database is under a duty to adopt the necessary technical and organizational measures to guarantee the security of personal data and prevent their alteration, accidental or unlawful destruction, loss, unauthorized processing or access, as well as any other action contrary to the Law in question, including at a minimum within those measures the most appropriate physical and logical security mechanisms in accordance with the technological development prevailing at the time. Likewise, upon such responsible persons and those who participate in any phase of the personal data processing process, there falls, in correspondence with that information, a duty of confidentiality, whether due to their professional or functional status.\n\nIn this regard, Article 11 of the Law under discussion states:\n\n“ARTICLE 11.- Duty of confidentiality\n\nThe responsible person and those who intervene in any phase of the processing of personal data are bound by professional or functional secrecy, even after their relationship with the database has ended. The obligated person may be released from the duty of secrecy by judicial decision, strictly as necessary and within the case being heard.”\n\nAt this point, it is worth highlighting that this same Law expressly provides for exceptions to the citizen's right of informational self-determination (autodeterminación informativa). In this regard, Article 8 states:\n\n“ARTICLE 8.- Exceptions to the citizen's informational self-determination (autodeterminación informativa).\n\nThe principles, rights, and guarantees established herein may be limited in a just, reasonable manner, and in accordance with the principle of administrative transparency, when the following purposes are pursued:\n\na) State security.\n\nb) Security and the exercise of public authority.\n\nc) The prevention, prosecution, investigation, detention, and suppression of criminal offenses, or of violations of professional ethics.\n\nd) The operation of databases used for statistical, historical, or scientific research purposes, when there is no risk of the persons being identified.\n\ne) The adequate provision of public services.\n\nf) The efficient ordinary activity of the Administration, by official authorities.”\n\nPursuant to the foregoing, the informational self-determination (autodeterminación informativa) of citizens may be limited, in a just, reasonable manner, and in accordance with the principle of administrative transparency, when certain purposes are pursued, such as: State security, security and the exercise of public authority, the prevention, prosecution, investigation, detention, and suppression of criminal offenses, or of violations of professional ethics, the operation of databases used for statistical, historical, or scientific research purposes, when there is no risk of the persons being identified, for the adequate provision of public services, and for the efficient ordinary activity of the Administration, by official authorities.\n\nIn this regard, this technical consultative body has pointed out that such limitations must be established in accordance with the principle of administrative transparency and must constitute a just and reasonable limitation. This implies that they must conform to the principles of reasonableness and proportionality that govern public action and to the principle of transparency (it cannot be arbitrary or disproportionate with respect to the purposes it pursues), which means that, even when the right to informational self-determination (autodeterminación informativa) is restricted, the data subjects or their representatives may know about the existence of the file, the data recorded there, and the processing they will receive (opinion C-090-2013 of 28 May 2013).\n\nIt is also worth noting that the Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales created the Agencia de Protección de Datos de los Habitantes (Prodhab), the purpose of which is to guarantee to any person, regardless of their nationality, residence, or domicile, respect for their right to informational self-determination (autodeterminación informativa) in relation to their private life or activity and other personality rights, as well as the defense of their freedom and equality with respect to the automated or manual processing of data relating to their person or property.\n\nIn compliance with the foregoing, natural or legal persons owning databases must register these registries with the Agency (Article 44 of the Regulation to Law 8968), specifying, among other things, the purposes and intended uses.\n\nNow, referring specifically to the right to one's image, the jurisprudence of the Sala Constitucional has also considered it a derivation or extension of the right to privacy (Article 24 of the Constitución Política), and has defined it as: “that which empowers individuals to reproduce their own image or, conversely, to prevent a third party from capturing, reproducing, or publishing an image without authorization” (resolution 2001-09250 of 10:22 a.m. on 14 September 2001).\n\nLikewise, in ruling 2533-93 of 10:03 a.m. on 4 June 1993, it stated: “…The right to one's image is one of the personality rights and has functional independence and manifests itself negatively when the person refuses to have a photograph taken and positively when the subject requests or authorizes such conduct; furthermore, the photographic portrait of the person cannot be commercialized without due consent…” (in a similar vein, see resolutions Nos. 2533-93 of 10:03 a.m. on 4 June 1993, 1441-96 of 4:15 p.m. on 27 March 1996, and 2014-11715 of 9:05 a.m. on 18 July 2014, of the Sala Constitucional). (Bold not in original)\n\nSpecifically, through Resolution No. 2007-12959 of 10:22 a.m. on 7 September 2007, the Sala Constitucional established:\n\nII. ON THE RIGHT TO ONE'S IMAGE. — On repeated occasions, this Chamber has developed the right to one's image as an extension of the right to privacy, constitutionally protected in Article 24 of the Political Constitution, the purpose of which is to safeguard the private sphere or realm of individuals from the public unless expressly authorized by the person concerned. In this way, interference by other persons or by public authorities in the private life of individuals is limited; this limitation may apply both to the observation and capture of the image and to the subsequent dissemination of what has been captured without the consent of the affected person. This Court has expressly held that for a person to claim a violation of this right, there must be full identification of the allegedly harmed person, whether by name or by image.\" (Judgment No. 2010-05273 of 14:59 hours on March 17, 2010. In the same vein, vote No. 2014-13162 of 9:05 hours on August 14, 2014. The underlining is not in the original.)\n\n\"Now then, like any fundamental right, the right to privacy, from which the right to one's image derives, is not unrestricted, and as this Chamber has already accepted, it yields to the consent of the holder.\" (The underlining is not in the original.)\n\nAdditionally, the right to one's image is enshrined in International Law, where the image and honor of individuals are particularly protected against intrusions into their private life. Such is the case with Article 17 of the International Covenant on Civil and Political Rights, Article 11 of the American Convention on Human Rights, Numer V of the American Declaration of the Rights and Duties of Man, and Article 12 of the Universal Declaration of Human Rights.\n\nThus, the fundamental right to one's own image has its foundation in both the Political Constitution and in International Law Treaties. As the Constitutional Chamber has established, this fundamental right forms part of the personality rights inherent to every human being and entails the power of its holder to prevent their physical appearance or voice from being recorded, reproduced, or published without their consent. However, this fundamental right does not have an absolute, unrestricted, or unconditional character, so that, under certain circumstances, the general rule of the holder's consent yields in exceptional cases (opinion C-111-2020 of March 31, 2020), cases which are subject to the principle of legal reservation as they involve limitations on fundamental rights.\n\nSuch is the case of what is regulated in Article 47 of the Civil Code, which provides the following:\n\n\"ARTICLE 47.- The photograph or image of a person may not be published, reproduced, exhibited, or sold in any way without their consent, unless the reproduction is justified by the notoriety of that person, the public office they hold, the necessities of justice or police, or when such reproduction relates to events, occurrences, or ceremonies of public interest or that take place in public. Images and photographs with stereotyped roles that reinforce discriminatory attitudes toward social sectors may not be published, reproduced, exhibited, or sold in any way.\"\n\nAs can be observed, the Civil Code contains exceptions to the rule of obtaining the holder's consent to capture their image, in cases where the person's notoriety is evident, due to the public office they hold (Resolution No. 2014-11715 of the Constitutional Chamber), the necessities of justice or police for the purpose of an investigation, and when the recording relates to events, occurrences, or ceremonies of public interest or that take place in public.\n\nBased on the essential content of the fundamental rights described above, as well as the reasonable limits that could be established by law, we shall proceed to analyze the bill under consultation.\n\nIII. ANALYSIS OF THE BILL\n\nThe bill is justified in its statement of motives as a measure to combat crime, by providing for the existence of a centralized biometric personal database, which can be consulted by public agencies linked to criminal investigation. This database will be administered by the Supreme Electoral Tribunal (Tribunal Supremo de Elecciones) so that said registry migrates from a simple repository of fingerprints and photographs, created for the purpose of enabling citizen identification and the right to vote, to a biometric database with other purposes, including police purposes.\n\nDespite the importance of the subject matter intended to be regulated, this project is structured in a very general manner, with six articles, two amendments to other laws, and three transitional provisions, which leads us to a first question as to whether the proposed articles are sufficient to safeguard the fundamental rights involved and previously discussed.\n\nThere is not a single reference in the consulted bill to the rights to privacy, image, or informational self-determination (autodeterminación informativa), despite the fact that the creation of a database with personal information of Costa Ricans and foreigners constitutes an evident limitation on these rights.\n\nAs we have pointed out, these fundamental rights are not unrestricted and, via law, reasonable limitations may be established for reasons of national security, public interest, or other exceptions provided in the law. But the balancing between the exercise of those rights and their limitations is not clear or sufficient in the articles of the bill, in which an unrestricted access to this data by third parties seems to be inferred instead. Let us examine.\n\nThe bill seeks the collection of biometric data of Costa Rican citizens and foreigners who are in our territory. Specifically, Article 1 establishes:\n\n\"ARTICLE 1- The Supreme Electoral Tribunal shall be responsible for creating, as a state secret (reserva de Estado), a National Biometric Identification Platform, which shall store in a single national repository biometric information of all Costa Ricans older than twelve years, without prejudice to the ability to acquire new technology that allows for expanding the identification of persons through the incorporation of more biometric features deemed necessary. The General Directorate of Technological Strategy of the Supreme Electoral Tribunal shall be the body responsible for administering the National Biometric Identification Platform, as well as the design, development, preventive and evolutionary maintenance of the respective automated system, in accordance with what is set forth in this law.\n\nAdditionally, the same information shall be recorded in the cited repository for all foreigners who enter and reside temporarily or permanently in the country, as well as those foreigners who require a visa to enter the national territory.\"\n\nFrom what is provided in said article, we must make several observations. First, it is not clear what is meant by the term \"state secret (reserva de Estado),\" nor what the implications would be of the database having those characteristics.\n\nSecond, the indicated article allows the collection of biometric data of minors older than twelve years, which is contrary to what is currently established in Articles 24 and 27 of the Childhood and Adolescence Code (Código de la Niñez y Adolescencia) No. 7739 of January 6, 1998. Therefore, said provisions must be expressly amended if this initiative is approved and, additionally, additional guarantees for the protection of this data must be established in order to pursue the best interest of minors, a principle recognized not only domestically in the cited law but also in international instruments such as the Convention on the Rights of the Child.\n\nThird, and no less important, neither said article nor the entirety of the bill reveals what is understood by biometric data and which ones are being authorized for collection, with the aggravating factor that, to date, there is no definition of this type of data in Costa Rican legislation, nor is there specific regulation for them.\n\nNote that the first article of the bill allows for the expansion of identification of persons through the incorporation of more biometric features when technology so permits. This breadth of the provision and the lack of a definition in the bill of what is understood by \"biometric information\" may raise doubts of constitutionality regarding the project, for the reasons we proceed to explain.\n\nBiometrics is a term derived from the Greek bio (life) and metron (measure), and it is therefore dedicated to developing techniques that allow measuring and analyzing a series of physical parameters unique to each person in order to verify their identity. (https://www.elmundo.es/espana/2013/12/05/52a0749d63fd3d8c498b456b.html). Among the most commonly used biometric data are fingerprints, facial recognition, iris of the retina, DNA, hand or finger geometry, voice recognition, among others.\n\nTherefore, biometric information is not limited to a fingerprint or a person's image (currently stored in the TSE database), but encompasses all data collected through technological processes that relate to physical, physiological, and behavioral characteristics of a person, which allow for their unequivocal identification. Hence, it is essential that the bill under consultation clarifies the concept and scope of the biometric data being authorized for collection, especially when unrestricted access to it seems to be authorized, as we will see below.\n\nNow, even though Law No. 8968, Law on the Protection of the Person Regarding the Processing of Their Personal Data, does not present explicit regulation on biometric data and its processing, we cannot deny that, within the categories regulated in said law, this data must be classified as sensitive, since, as we indicated, it allows for the unequivocal identification of the physical, physiological, and behavioral characteristics of a person. Ergo, there is no doubt that this data is related to the exercise of the rights to privacy, image, and informational self-determination, thus being safeguarded, consequently, by the provisions of Article 24 of the Political Constitution.\n\nThis conclusion is supported by comparative law and good international practices. Thus, for example, European Union Regulation 2016/679, regarding the protection of natural persons, defines biometric data as those \"...obtained from specific technical processing, relating to the physical, physiological, or behavioral characteristics of a natural person, which allow or confirm the unique identification of that natural person, such as facial images or dactyloscopic data.\"\n\nLikewise, the cited Regulation (Article 9.1) considers this data as a special category of personal data, in which case, as a general rule, its processing is prohibited. This numeral states:\n\n\"Processing of special categories of personal data\n\n1. Processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, or trade union membership, and the processing of genetic data, biometric data for the purpose of uniquely identifying a natural person, data concerning health or data concerning a natural person's sex life or sexual orientation shall be prohibited.\" (The underlining is not in the original.)\n\nAs can be observed, under European legislation, biometric data falls within the category of sensitive data, so its processing is, in principle, prohibited except with the consent of the holder.\n\nIt should be noted that part of the recitals of the Regulation under commentary states that there is a duty to guarantee throughout the European Union that the application of the rules protecting the fundamental rights and freedoms of natural persons in relation to the processing of personal data is consistent and homogeneous, this by virtue of rapid technological evolution and globalization, which has posed new challenges for the protection of personal data.\n\nAs can be observed, the processing of biometric personal data is subject, under international standards, to strict controls; however, none of this is regulated in the consulted bill.\n\nLikewise, it must be considered that through Law No. 8919 of December 16, 2010, Costa Rica signed the \"Agreement on Political Dialogue and Cooperation between the European Community and its Member States and the Republics of Costa Rica, El Salvador, Guatemala, Honduras, Nicaragua, and Panama,\" by which it commits to \"guarantee the protection of personal data and other types of data in their processing, with a view to promoting the strictest international standards.\" (Article 5)\n\nTherefore, if we equate biometric data to the category of sensitive data, as European legislation does, its access is in principle prohibited, except with the consent of the holder or qualified exceptions that must be regulated by law, in protection of the rights to privacy, image, and informational self-determination. But those exceptions must be regulated in a reasonable and proportional manner and, therefore, it is essential that the legislator carries out an adequate balancing of the rights at stake and establishes clear rules regarding the public purpose pursued with access to the data, who will have access to this information and its purpose, the processing it will receive, the sanctioning regime in case of non-compliance, security and backup measures, among others.\n\nNone of the foregoing is regulated in the bill, and, on the contrary, throughout the articles, unrestricted access to biometric data seems to be implied.\n\nIn this regard, Article 2 of the bill establishes that \"The General Directorate of Migration and Foreigners (Dirección General de Migración y Extranjería), consulates, and any other public agency that registers biometric information of persons or issues identification documents for persons, such as residence cards, work permits, identification of refugees, passports, visas, or other official documents, shall use the same biometric identification technological platform of the Supreme Electoral Tribunal.\" However, it is not clarified whether said offices may or may not have unrestricted access to said platform, nor which officials would be authorized to have access to that information, or the purposes for which this information may be used.\n\nSimilarly, Article 3 of the bill authorizes the Judicial Investigation Organism (Organismo de Investigación Judicial), the police forces attached to the Ministry of Public Security, the Public Ministry, and the General Directorate of Migration and Foreigners to have \"full access to the biometric records contained in the national repository to conduct the pertinent queries and verifications to trace and identify suspects of having participated in illicit acts.\" Currently, Article 40 of the Organic Law of the Judicial Investigation Organism allows for the creation of a Criminal Archive, which shall contain the files and other documents, duly classified, of all persons who at any time have appeared before the authorities as alleged perpetrators of punishable acts and, likewise, those sent by national or foreign authorities.\n\nAdditionally, Article 41 of said law authorizes its use for the Judicial Investigation Organism, the Public Ministry, the jurisdictional bodies that hear criminal matters, and the preventive police forces, the governmental institutions that regulate national security issues, and the office of the Supreme Electoral Tribunal in charge of approving Costa Rican naturalization procedures, police officers conducting investigations for repressive purposes, the Fiscal Control Police of the Ministry of Finance, the Drug Control Police of the Ministry of Public Security, and the Professional Migration and Foreigners Police.\n\nBased on that, it is not clear what the impact of this bill is on the cited Criminal Archive and, contrary to the provisions that regulate said archive, this bill also does not establish the confidential nature of the information, which violates the fundamental rights already discussed.\n\nSimilarly, what is set forth in Article 4 of the bill is of particular concern. This article states:\n\n\"ARTICLE 4- The Branches of the Republic, the bodies of the Legislative Branch, the ministries, and their attached bodies that require verifying the identity of persons shall use the National Biometric Identification Platform of the Supreme Electoral Tribunal for the fulfillment of their purposes and shall be exempt from the fees referred to in Article 24 of the Electoral Code.\n\nThe decentralized institutions that make up the Costa Rican public sector and the private sector in general, that require verifying the identity of persons through the cited national platform, may acquire the corresponding services in accordance with what is established in Article 24 of the Electoral Code. For these purposes, the Supreme Electoral Tribunal shall set the rates in a reasonable and objective manner.\"\n\nIn said provision, it is not clear how the verification of the identity of persons by the public sector and by private individuals accessing the service provided by the TSE will be carried out, and to what extent they will have access to the biometric data of third parties.\n\nOn this particular matter, the statement of motives of the bill states:\n\n\"It should be noted that, based on the commercialization of non-essential services referred to in Article 24 of the Electoral Code, the TSE does not sell personal data, whether public or private, but rather commercializes electronic access services for identity verification purposes, complying with the corresponding legal provisions, which includes the appropriate processing of personal data.\"\n\nDespite what is stated in the statement of motives, it is our view that the wording of the provision is not clear as to its scope and should contain greater guarantees, since, as we have indicated, biometric data is sensitive and confidential data that, by its nature, cannot be accessed by third parties without the holder's consent. Likewise, any legal provision that authorizes its access must do so in a restrictive manner, under a criterion of public interest and with sufficient guarantees of respect for the confidential nature of the information.\n\nIt must also be remembered that the commercialization of sensitive data is prohibited in the jurisprudence of the Constitutional Chamber mentioned above, as it violates the rights to privacy, image, and informational self-determination. Therefore, the wording of the cited provision must be clarified regarding the type of service the Tribunal will provide.\n\nWhile the bill refers to what is set forth in numeral 24 of the Electoral Code and this article expressly prohibits the TSE from supplying confidential information, the truth is that the wording of the bill is confusing, since the integral reading of the articles and the lack of additional guarantees in protection of the fundamental rights involved raise doubts about the scope of what is set forth in numeral 4. Note even that the bill eliminates the principle of informed consent in the field of data protection when the information is for electoral, identification, or identity verification purposes (Article 8), wording which, due to its breadth, generates more confusion about the scope of the bill and especially of Article 4.\n\nWe must insist that the bill does not establish the public purpose pursued, nor other parameters for the processing of biometric data, such as, for example, who will have access to this information and its purpose, its confidentiality, the processing that the data will receive, the sanctioning regime in case of non-compliance, security and backup measures, among others.\n\nThe foregoing raises doubts of constitutionality that, ultimately, must be resolved by the Constitutional Chamber as the supreme interpreter of the Constitution. Likewise, it is striking that, despite the issues involved, during the legislative process, the Agency for the Protection of Personal Data of Inhabitants (Agencia de Protección de Datos Personales de los Habitantes) has not been consulted, as the competent body in this matter.\n\nFinally, we must refer to the transitional provisions set forth in the bill. First, despite requiring the General Directorate of Migration and Foreigners to use the national repository administered by the TSE to store the information it collects in its processes (Article 2), there is no transitional provision granting said institution a reasonable timeframe to carry out the migration of data and the necessary technical adjustments for this.\n\nLikewise, in Transitory Provision I, the obligation of the Executive Branch, jointly with the Supreme Electoral Tribunal, to issue regulations for the law is established, which raises doubts of constitutionality, since, in light of what is set forth in numeral 140 subsection 3) of the Constitution, the Executive Branch exclusively holds the power to issue regulations for laws. Thus, even though the TSE may assist in drafting the regulation, the truth is that the regulatory power is exclusive to the Executive Branch.\n\nIV. CONCLUSIONS\n\nBased on the foregoing, we must reach the following conclusions:\n\na) This initiative seeks to regulate the storage of biometric data of Costa Ricans and foreigners in a single national repository, the custodian of which would be the Supreme Electoral Tribunal, and therefore the fundamental rights to privacy, informational self-determination, and image, recognized in Article 24 of the Political Constitution, must be taken into consideration;\n\nb) The Law on the Protection of the Person Regarding the Processing of Their Personal Data contemplates several categories of information, depending on whether it is sensitive data, personal data with restricted access, or personal data with unrestricted access;\n\nc) In Costa Rican legislation, we cannot find, to date, a definition of biometric data, nor specific regulation for it, although, as recognized in European comparative law, it must be framed within the category of sensitive data, since it is data collected through technological processes that relate to physical, physiological, and behavioral characteristics of a person, which allow for their unequivocal identification, through fingerprints, facial recognition, iris of the retina, DNA, hand or finger geometry, voice recognition, among others;\n\nd) Consequently, biometric data is safeguarded by Article 24 of the Political Constitution, so its access, collection, and storage must be expressly consented to by the holder, and its limitations must be established by law. Said limitations, moreover, must be regulated in a reasonable and proportional manner, and, therefore, it is essential that the legislator establishes clear rules regarding the public purpose pursued with access to the data, its confidentiality, who will have access to this information and its purpose, the processing it will receive, the sanctioning regime in case of non-compliance, security and backup measures, among others;\n\ne) There is not a single reference in the consulted bill to the rights to privacy, image, or informational self-determination, despite the fact that the creation of a database with personal biometric information of Costa Ricans and foreigners constitutes an evident limitation on these rights. Ergo, the balancing between the exercise of those rights and their limitations is not clear or sufficient in the articles of the bill, in which an unrestricted access to this data by third parties seems to be inferred instead;\n\nf) Article 1 of the bill is not clear as to what is meant by the term \"state secret (reserva de Estado),\" nor what the implications would be of the database being created having those characteristics. This article also lacks sufficient guarantees for the collection of biometric data of minors, which is contrary to what is currently established in Articles 24 and 27 of the Childhood and Adolescence Code and the Convention on the Rights of the Child;\n\ng) Neither does the bill reveal what is understood by biometric data and which ones are being authorized for collection;\n\nh) In Article 2 of the bill, it is not clarified whether the public offices mentioned therein may or may not have unrestricted access to the biometric data repository, nor which officials would be authorized to have access to that information, or the purposes for which this information may be used;\n\ni) In Article 3, it is not clear what the impact of this bill is on the Criminal Archive of the OIJ, and the confidential nature of the information is also not established;\n\nj) The wording of Article 4 of the bill is not clear on how the verification of the identity of persons by the public sector and by private individuals accessing the service provided by the TSE will be carried out, and whether unrestricted access and commercialization of biometric data is being permitted or not, which is prohibited as it is sensitive information;\n\nk) The wording of the bill is confusing, since the integral reading of the articles and the lack of additional guarantees in protection of the fundamental rights involved raise doubts about its scope, especially when the principle of informed consent in the field of data protection is eliminated when the information is for electoral, identification, or identity verification purposes;\n\nl) The transitional provisions also present omissions and aspects of constitutionality that are recommended for review, as indicated in this pronouncement.\n\nSincerely,\n\nSilvia Patiño Cruz\nProcuradora" }