{ "id": "pgr-23996", "citation": "C-125-2023", "section": "pgr_opinions", "doc_type": "dictamen", "title_es": "Obligación de la SUGEF de entregar datos crediticios al Sistema de Estadística Nacional", "title_en": "SUGEF Obligation to Provide Credit Data to the National Statistics System", "summary_es": "La Procuraduría General de la República (PGR) analiza si la SUGEF está obligada a proporcionar información crediticia, incluyendo datos personales como el número de cédula, al INEC o al Banco Central, en el marco de la Ley del Sistema de Estadística Nacional (Ley 9694). La PGR examina la tensión entre el derecho a la autodeterminación informativa y la intimidad del artículo 24 constitucional, frente al interés público de la producción estadística. Concluye que, como la Ley 9694 fue aprobada por mayoría calificada, establece una excepción válida al secreto bancario y a la protección de datos personales. Distingue los datos crediticios de los datos sensibles (origen étnico, creencias religiosas, etc.), estos últimos de entrega voluntaria según el artículo 18. Apoyándose en jurisprudencia constitucional que califica los datos crediticios como de interés público, la PGR dictamina que la SUGEF debe entregarlos cuando la solicitud tenga fines estrictamente estadísticos y no abarque información confidencial o sensible. La entrega no viola el secreto bancario y debe garantizar la confidencialidad, segregación o anonimización posterior.", "summary_en": "The Attorney General's Office (PGR) analyzes whether SUGEF is obligated to provide credit data, including personal identifiers, to INEC or the Central Bank under the National Statistics System Law (Law 9694). The PGR examines the tension between the right to informational self-determination and privacy under Article 24 of the Constitution, and the public interest in statistics. It concludes that Law 9694, approved by a qualified majority, establishes a valid exception to bank secrecy and data protection. It distinguishes credit data from sensitive data (ethnic origin, religious beliefs, etc.), the latter being voluntary under Article 18. Based on constitutional precedent classifying credit data as of public interest, the PGR rules that SUGEF must deliver such data when the request is for strictly statistical purposes and does not involve confidential or sensitive information. The delivery does not violate bank secrecy and must ensure confidentiality, segregation, or anonymization.", "court_or_agency": "", "date": "03/07/2023", "year": "2023", "topic_ids": [], "primary_topic_id": null, "es_concept_hints": [ "autodeterminación informativa", "datos sensibles", "datos crediticios", "secreto estadístico", "interés público", "anonimización", "Ley 9694", "SUGEF" ], "concept_anchors": [ { "article": "Art. 16", "law": "Ley 9694" }, { "article": "Art. 18", "law": "Ley 9694" }, { "article": "Art. 68", "law": "Ley 9694" }, { "article": "Art. 24", "law": "Constitución Política" }, { "article": "Art. 9", "law": "Ley 8968 (Protección de Datos Personales)" }, { "article": "Art. 132", "law": "Ley Orgánica del Banco Central" } ], "keywords_es": [ "SUGEF", "datos crediticios", "datos personales", "secreto bancario", "autodeterminación informativa", "estadística nacional", "INEC", "datos sensibles", "Ley 9694", "confidencialidad", "interés público", "anonimización", "artículo 24 Constitución" ], "keywords_en": [ "SUGEF", "credit data", "personal data", "bank secrecy", "informational self-determination", "national statistics", "INEC", "sensitive data", "Law 9694", "confidentiality", "public interest", "anonymization", "Article 24 Constitution" ], "excerpt_es": "Como regla general, la SUGEF debe entregar a las instituciones que forman parte del Sistema de Estadística Nacional, toda la información relacionada con operaciones crediticias, en la medida que tengan un fin estrictamente estadístico y que no se trate de información sensible, lo cual debe ser justificado tanto en la solicitud de las autoridades del Sistema Nacional de Estadística, como en un eventual rechazo de información específica que pueda realizar SUGEF. \n\n Debe recordarse que la Ley del Sistema de Estadística Nacional busca un fin público superior que facilita el acceso a la información pública y privada para fines estadísticos, sin desmeritar el carácter confidencial de la información. Así las cosas, el hecho de que se facilite el acceso a la información crediticia no violenta el secreto bancario, ni el derecho a la autodeterminación informativa, pues la ley aprobada por mayoría calificada, previó una serie de garantías para mantener la confidencialidad de esa información y su utilización en fines estrictamente estadísticos. \n\n Así las cosas, el requerimiento de la información por parte de las instituciones del Sistema Nacional de Estadística, deberá justificarse en ese interés estrictamente estadístico y bajo criterios de necesidad, sin perjuicio de que posteriormente esa información sea segregada o anonimizada para fines estadísticos, guardando los recaudos en cuanto a confidencialidad, calidad y seguridad de la información.", "excerpt_en": "As a general rule, SUGEF must provide to the institutions that are part of the National Statistics System all information related to credit operations, to the extent that it has a strictly statistical purpose and does not involve sensitive information, which must be justified both in the request of the authorities of the National Statistics System and in any eventual rejection of specific information that SUGEF may make. \n\n It must be remembered that the National Statistics System Law pursues a superior public purpose that facilitates access to public and private information for statistical purposes, without diminishing the confidential nature of the information. Thus, the fact that access to credit information is facilitated does not violate bank secrecy or the right to informational self-determination, because the law approved by a qualified majority provided a series of guarantees to maintain the confidentiality of that information and its use for strictly statistical purposes. \n\n Thus, the request for information by the institutions of the National Statistics System must be justified on that strictly statistical interest and under criteria of necessity, without prejudice to the fact that later that information may be segregated or anonymized for statistical purposes, while taking precautions regarding confidentiality, quality, and security of the information.", "outcome": { "label_en": "Favorable interpretive opinion", "label_es": "Dictamen interpretativo favorable", "summary_en": "The PGR concludes that SUGEF must provide credit data to National Statistics System institutions when the purpose is strictly statistical and does not involve sensitive data, without violating bank secrecy.", "summary_es": "La PGR concluye que la SUGEF debe entregar datos crediticios a las instituciones del Sistema de Estadística Nacional cuando la finalidad sea estrictamente estadística y no se trate de datos sensibles, sin violar el secreto bancario." }, "pull_quotes": [ { "context": "Considerando I", "quote_en": "In this case, the Constituent determined that it would be through a 'special law', approved by a qualified majority, where the reason of public interest that justifies the exception to Article 24 of the Constitution is established. Precisely, Law 9694 was approved by a qualified majority as evidenced by the legislative record, thereby fulfilling the established formal requirement.", "quote_es": "En este caso, el Constituyente determinó que sería a través de una “ley especial”, aprobada por mayoría calificada, donde se determine el motivo de interés público que justifique la excepción al artículo 24 constitucional. Precisamente, la Ley 9694 fue aprobada por mayoría calificada según se desprende del expediente legislativo, por lo que cumple el requisito formal establecido." }, { "context": "Considerando II", "quote_en": "...the Constitutional Chamber has classified credit data as personal data of public interest. It is worth emphasizing that this public interest rests not on the amount or source of indebtedness, but on the behavior as a debtor, especially the way in which the person honors their obligations.", "quote_es": "…la Sala Constitucional ha calificado los datos crediticios como datos personales de interés público. Interesa recalcar que ese interés público se hace recaer no en el monto o fuente del endeudamiento, sino en el comportamiento como deudor, en especial la forma como la persona honra sus obligaciones." }, { "context": "Conclusión", "quote_en": "By virtue of the foregoing, credit data are not protected under the exception contained in Article 18 of the National Statistics System Law, because they cannot be classified as sensitive data.", "quote_es": "En virtud de lo anterior, los datos crediticios no quedan protegidos en la excepción contenida en el numeral 18 de la Ley del Sistema de Estadística Nacional, por no poder ser catalogados como datos sensibles." } ], "cites": [], "cited_by": [], "references": { "internal": [ { "target_id": "norm-871", "kind": "cited_norm", "label": "Constitución Política" }, { "target_id": "norm-70975", "kind": "cited_norm", "label": "Ley de Protección de la Persona frente al tratamiento de sus datos personales" }, { "target_id": "norm-88964", "kind": "cited_norm", "label": "Ley del Sistema de Estadística Nacional" }, { "target_id": "norm-40928", "kind": "cited_norm", "label": "Ley Orgánica del Banco Central de Costa Rica" } ], "external": [ { "ref_id": "nexus-res-6357-2013", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=579413&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 06357-2013", "resolution_num": "06357", "year": "2013", "expediente": "13-004295-0007-CO" }, { "ref_id": "nexus-res-10268-2008", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=415910&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 10268-2008", "resolution_num": "10268", "year": "2008", "expediente": "08-004154-0007-CO" }, { "ref_id": "nexus-res-10114-2008", "url": "https://nexuspj.poder-judicial.go.cr/busqueda/jurisprudencia/jur_Documento.aspx?param1=Ficha_Sentencia&nValor1=1&nValor2=415833&strTipM=T", "kind": "cited_jurisprudence", "label": "Sentencia 10114-2008", "resolution_num": "10114", "year": "2008", "expediente": "08-006931-0007-CO" }, { "ref_id": "pgr-24358", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/pronunciamiento/pro_ficha.aspx?param1=PRD¶m6=1&nDictamen=24358&strTipM=T", "kind": "related_opinion", "label": "053", "dictamen_id": "24358" }, { "ref_id": "pgr-13006", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/pronunciamiento/pro_ficha.aspx?param1=PRD¶m6=1&nDictamen=13006&strTipM=T", "kind": "related_opinion", "label": "076", "dictamen_id": "13006" }, { "ref_id": "pgr-20652", "url": "http://www.pgrweb.go.cr/scij/Busqueda/Normativa/pronunciamiento/pro_ficha.aspx?param1=PRD¶m6=1&nDictamen=20652&strTipM=T", "kind": "related_opinion", "label": "087", "dictamen_id": "20652" } ] }, "source_url": "https://pgrweb.go.cr/scij/Busqueda/Normativa/Pronunciamiento/pro_ficha.aspx?param6=1&nDictamen=23996&strTipM=T", "tier": 2, "_editorial_citation_count": 0, "regulations_by_article": null, "amendments_by_article": null, "dictamen_by_article": null, "concordancias_by_article": null, "afectaciones_by_article": null, "resoluciones_by_article": null, "cited_by_votos": [], "cited_norms": [], "cited_norms_inverted": [], "sentencias_relacionadas": [], "temas_y_subtemas": [], "cascade_only": false, "amendment_count": 0, "body_es_text": "Dictamen : 125 del 03/07/2023   \n\n\n\n03 de julio del 2023\n\n\n\n\nPGR-C-125-2023\n\n\n\n\n \n\n\n\n\nSeñora Rocío Aguilar Montoya\n\n\n\n\nSuperintendente General\n\n\n\n\nSuperintendencia General de Entidades Financieras (SUGEF)\n\n\n\n\n \n\n\n\n\nEstimada señora:\n\n\n\n Con aprobación del señor Procurador General de la República, Iván Vincenti Rojas, me refiero a su\noficio SGF-2669-2022 del 23 de diciembre de 2022, mediante el cual solicita que nos refiramos a las\nsiguientes interrogantes:\n\n\n\n\n \n\n\n\n “1. ¿Está obligada esta Superintendencia a brindar al INEC, al Banco Central de Costa Rica o a\nalguna otra entidad integrante del Sistema de Estadística Nacional, información o acceso a la\ninformación integral de todas las operaciones de crédito que las entidades financieras supervisadas\nle remiten, incluyendo información que permita su identificación como por ejemplo número de cédula\nde identidad, cédula de persona jurídica, etc., tomando en consideración que se trata de datos\npersonales sensibles tutelados por el artículo 24 de la Constitución Política (derecho a la\nintimidad, derecho a la autodeterminación informativa, inviolabilidad de documentos privados), y por\nla Ley de protección de la persona frente al tratamiento de sus datos personales?\n\n\n\n\n \n\n\n\n 2. ¿Establece el artículo 18 de la Ley del Sistema de Estadística Nacional una excepción a la\nobligación de suministrar información con fines estadísticos respecto de aquellos datos personales\nque sean confidenciales y sensibles, como por ejemplo datos personales derivados de las operaciones\ncrediticias establecidas entre las entidades supervisadas y sus clientes, según ha sido calificada\ndicha información por la Sala Constitucional de la Corte Suprema de Justicia? “\n\n\n\n\n \n\n\n\n En cumplimiento de lo dispuesto en el artículo 4 de la Ley Orgánica de la Procuraduría General de\nla República, se acompaña la consulta del criterio emitido por la División de Asesoría Jurídica de\nla SUGEF.\n\n\n\n\n \n\n\n\n\nI.              LAS OBLIGACIONES DERIVADAS DE LA LEY DEL SISTEMA DE ESTADÍSTICA NACIONAL\n\n\n\n\n \n\n\n\n La Ley del Sistema de Estadística Nacional, N.° 9694 del 4 de junio de 2019, se originó como una\niniciativa del Poder Ejecutivo y fue tramitada en la Asamblea Legislativa por la Comisión Especial\nencargada de conocer y dictaminar los proyectos de ley requeridos para la adhesión de Costa Rica a\nla Organización para la Cooperación y Desarrollo Económico (OCDE).\n\n\n\n La intención de dicha iniciativa, era ajustar nuestra normativa interna a las recomendaciones del\nComité de Gobernanza de la OCDE y, específicamente, a las contenidas en el Informe sobre Buenas\nPrácticas en Estadística. A partir de ello, se detectó la necesidad de derogar la Ley del Sistema de\nEstadística Nacional del 4 de noviembre de 1998 y, en su lugar, se propuso una legislación que\nestableciera las obligaciones y responsabilidades de todas las personas e instituciones encargadas\nde hacer estadística que conforman el Sistema de Estadística Nacional (SEN), se reforzó la rectoría\nen materia estadística en manos del INEC, y se fortaleció el financiamiento de dicha institución\npara el ejercicio de sus funciones, entre otras.\n\n\n\n             Dentro de las disposiciones de dicha Ley que generaron discusión durante del trámite\nlegislativo, están los artículos 16 y 68 -finalmente aprobados- que por su importancia para la\npresente consulta, procedemos a citar:\n\n\n\n “ARTÍCULO 16- Todas las personas físicas o jurídicas, residentes en el país o no, están obligadas a\nsuministrar, de palabra, por escrito o por cualquier medio, de manera gratuita y en el plazo fijado,\nlos datos, las informaciones de carácter estadístico y los registros administrativos que las\ninstituciones públicas del SEN les soliciten, por intermedio de sus funcionarios, delegados o\ncomisionados, acerca de hechos, que por su naturaleza y finalidad sean necesarios para la\nelaboración de las estadísticas oficiales que les corresponde, según lo establece el PEN. En el caso\nde que la solicitud se requiera en forma electrónica, deberá ser suministrada en formato abierto.\n\n\n\n Esta obligación se extiende también a todos los funcionarios de la Administración Pública que, en\nrazón de sus funciones, tengan a su cargo registros administrativos que sean necesarios para la\nelaboración de las estadísticas oficiales.\n\n\n\n Asimismo, las instituciones públicas estarán obligadas a compartir con el INEC la información\ngeográfica y cartográfica que posean y que sea necesaria para la producción y divulgación de\nestadísticas oficiales.\n\n\n\n Las instituciones del SEN advertirán sobre el deber de entregarla en el plazo requerido, los fines\nque se persiguen con la recolección de estos datos, la confidencialidad y los mecanismos de\nprotección de la información, y las sanciones en que puede incurrirse de no entregarla a tiempo o de\nbrindar datos falsos, inexactos o extemporáneos.\n\n\n\n El incumplimiento de lo dispuesto por el presente artículo se sancionará conforme a las\ndisposiciones contenidas en el capítulo IV, sección II de esta ley.\n\n\n\n\n\nLas instituciones del SEN, al momento de recolectar datos personales, deberán informar, a la persona\nque los suministra, que estos podrán ser transferidos y los mecanismos de protección de la\nconfidencialidad de esta información.”\n\n\n\n “ARTÍCULO 68- La persona física o jurídica que se niegue a responder las solicitudes al SEN o al\nINEC, relativas a la obtención de información estadística, quedará sujeta a la sanción establecida\nen el artículo 65 de esta ley. El pago de la multa indicada no exime de la entrega de la\ninformación.\n\n\n\n La falta de entrega de la información solicitada configurará el delito de desobediencia a la\nautoridad, tipificado en el Código Penal.”\n\n\n\n\n \n\n\n\n             Como se desprende de dicho articulado, la ley vigente, a diferencia de la legislación\nanterior, establece una obligación de todas las personas e instituciones, de brindar la información\n-de interés estadístico- requerida por las instituciones del Sistema Nacional de Estadística y, en\ncaso contrario, establece un régimen sancionatorio que debe aplicarse. Esto era precisamente uno de\nlos objetivos principales buscados por el legislador, con la idea de fortalecer el sistema de\nestadística nacional y los alcances de la competencia del INEC y demás instituciones del sistema.\n\n\n\n             En la corriente legislativa se expuso que la mayoría de países de América Latina y\nEuropa, tienen regulado en su legislación la obligatoriedad de la entrega de los datos debido al\ninterés público que tiene la estadística (folio 886 del expediente legislativo), tesis que\nprevaleció finalmente al aprobarse la Ley 9694.\n\n\n\n             Asimismo, durante el trámite de dicha ley, esta Procuraduría fue consultada sobre el\nentonces proyecto de ley y mediante la opinión jurídica OJ-087-2018 del 17 de setiembre de 2018, se\nseñalaron algunos temas de constitucionalidad que debían ser contemplados:\n\n\n\n   “Ahora bien, cabe señalar que si bien es legítimo que la administración pueda requerir, para\nfines estadísticos,  información a las personas físicas, es claro que toda coerción para que las\npersonas suministren datos de referencia personal requiere, para que sea legítima y proporcional en\nrelación con el derecho autodeterminación informativa,  que el Legislador determine, previamente, \nno solo el fin genérico por el cual se deban pedir los datos, sino que debe establecer algo más\ncertero, sea la finalidad específica y concreta a cuya realización se destinarán los datos\npersonales exigidos. El respeto debido al derecho de autodeterminación informativa, demanda,\nentonces,  que el Legislador, en caso de que establezca una obligación de suministrar información\npersonal a la administración, prescriba con toda precisión la utilización que se le dará a dicha\ninformación, el ámbito de la información que se requerirá y que constituya garantías legales de que \nlos datos requeridos sean adecuados y necesarios para esa finalidad.\n\n\n\n  En este orden de ideas, cabe resaltar, sin embargo,  que  en el caso de encuestas u otros procesos\ncon fines estadísticos no es dable, en principio,  pensar que pueda establecer  una vinculación\nteleológica estrecha y concreta de los datos. Ya se ha explicado en esta Opinión Jurídica, que es un\nrasgo esencial de la estadística el que los datos recolectados, una vez preparados estadísticamente,\nhayan de utilizarse para las funciones más variadas e imposibles de determinar de antemano.  Además,\nla naturaleza de la función pública estadística requiere la necesidad de almacenar el acervo de\ndatos recolectado. Dicho de otro modo, el imperativo de una descripción concreta del objetivo y la\nprohibición rigurosa de la recolección de datos de referencia personal en grandes cantidades pueden\nvaler únicamente para las encuestas o procesos de recolección de información con finalidad no\nestadística, pero no en aquellas encuestas o censos estadísticos cuya información sería utilizada,\nposteriormente para ulteriores investigaciones estadísticas, así como para el proceso de\nplanificación mediante una determinación fiable del número y de la estructura social de la\npoblación. Los procesos de recolección de información para fines estadísticos, tales como el censo o\nla encuesta poblacional, tienen forzosamente, entonces, que ser una encuesta de finalidad y\nelaboración múltiple y por consiguiente una recolección y almacenamiento de datos en gran escala.\n\n\n\n   Consecuencia de lo anterior, es notorio que, en principio, no existe una relación de\nproporcionalidad entre la necesidad de la administración de recolectar información personal de la\npoblación con fines estadísticos, y el establecimiento de disposiciones que establezcan la\nobligación de las personas de suministrar dicha información personal, so pena de ser sancionados sea\nadministrativa o penalmente. Es decir que las disposiciones previstas en los artículos 16, 65 y 68\ndel proyecto de Ley y que obligarían a las personas a suministrar datos personales con fines\nestadísticos, so pena de sanción, podrían ser inconstitucionales por ser desproporcionales y\neventualmente violatorios del derecho a la autodeterminación informativa. \n\n\n\n   Un razonamiento análogo debe aplicarse en relación con la posibilidad de imponer una obligación a\nlas personas jurídicas privadas, de entregar información al Sistema de Estadística Nacional.  En\neste sentido, baste acotar que, en principio, imponer a las personas jurídicas privadas a la\nobligación de entregar su información con una finalidad meramente estadística, y sin que, por tanto,\nse establezca una finalidad específica para dicha información, podría ser desproporcional.”\n\n\n\n Las dudas de constitucionalidad apuntadas por este órgano asesor durante el trámite legislativo, no\nimpactaron la norma finalmente aprobada, pues la obligación de suministrar la información con fines\nestadísticos para las personas físicas y jurídicas, así como el régimen sancionatorio se mantuvieron\nen la ley ahora vigente.\n\n\n\n Ahora bien, a pesar de lo indicado en el precedente de cita debemos reconocer que el numeral 24 de\nla Constitución establece la inviolabilidad de los documentos privados como un derecho fundamental,\nel cual, como cualquier otro derecho, no es irrestricto y está sujeto al principio de reserva de ley\nen orden a sus excepciones. Señala este numeral:\n\n\n\n\n \n\n\n\n “ARTÍCULO 24.- Se garantiza el derecho a la intimidad, a la libertad y al secreto de las\ncomunicaciones.\n\n\n\n     Son inviolables los documentos privados y las comunicaciones escritas, orales o de cualquier\notro tipo de los habitantes de la República. Sin embargo, la ley, cuya aprobación y reforma\nrequerirá los votos de dos tercios de los Diputados de la Asamblea Legislativa, fijará en qué casos\npodrán los Tribunales de Justicia ordenar el secuestro, registro o examen de los documentos\nprivados, cuando sea absolutamente indispensable para esclarecer asuntos sometidos a su\nconocimiento.\n\n\n\n     Igualmente, la ley determinará en cuáles casos podrán los Tribunales de Justicia ordenar que se\nintervenga cualquier tipo de comunicación e indicará los delitos en cuya investigación podrá\nautorizarse el uso de esta potestad excepcional y durante cuánto tiempo. Asimismo, señalará las\nresponsabilidades y sanciones en que incurrirán los funcionarios que apliquen ilegalmente esta\nexcepción. Las resoluciones judiciales amparadas a esta norma deberán ser razonadas y podrán\nejecutarse de inmediato. Su aplicación y control serán responsabilidad indelegable de la autoridad\njudicial.\n\n\n\n     La ley fijará los casos en que los funcionarios competentes del Ministerio de Hacienda y de la\nContraloría General de la República podrán revisar los libros de contabilidad y sus anexos para\nfines tributarios y para fiscalizar la correcta utilización de los fondos públicos.\n\n\n\n     Una ley especial, aprobada por dos tercios del total de los Diputados, determinará cuáles otros\nórganos de la Administración Pública podrán revisar los documentos que esa ley señale en relación\ncon el cumplimiento de sus competencias de regulación y vigilancia para conseguir fines públicos.\nAsimismo, indicará en qué casos procede esa revisión.\n\n\n\n     No producirán efectos legales, la correspondencia que fuere sustraída ni la información\nobtenida como resultado de la intervención ilegal de cualquier comunicación.” (El destacado no\npertenece al original)\n\n\n\n\n \n\n\n\n Como se observa, una “ley especial” puede definir cuáles órganos de la Administración Pública\npodrán revisar los documentos privados en el ejercicio de su competencia para conseguir fines\npúblicos.\n\n\n\n En consecuencia, el derecho a la intimidad, a la libertad y al secreto de las comunicaciones\nconsagrado en el artículo 24 de la Constitución Política contiene una excepción: cuando prive un\nmotivo de interés público que amerite que, un órgano de la Administración Pública pueda revisar los\ndocumentos e información privados.\n\n\n\n En este caso, el Constituyente determinó que sería a través de una “ley especial”, aprobada por\nmayoría calificada, donde se determine el motivo de interés público que justifique la excepción al\nartículo 24 constitucional. Precisamente, la Ley 9694 fue aprobada por mayoría calificada según se\ndesprende del expediente legislativo, por lo que cumple el requisito formal establecido.\n\n\n\n Adicional a lo anterior, debe considerarse que la Ley de Protección de la Persona frente al\ntratamiento de sus datos personales, N° 8968   del 7 de julio de 2011, faculta el acceso a los datos\npersonales para fines estadísticos (artículo 6).\n\n\n\n\n \n\n\n\n Esta libertad de acceso autorizada por ley especial, sin embargo, no desmerita el carácter\nconfidencial de la información de carácter privado y, por tanto, el deber de sigilo que dichas\ninstituciones y sus funcionarios deben garantizar con su manejo.  Precisamente uno de los principios\nfundamentales sobre los cuales se erige la Ley, es el de confidencialidad (artículos 10 y 22),\ngarantizando el secreto estadístico al cual hemos hecho referencia en anteriores dictámenes (ver\nC-340-2004 de 18 de noviembre de 2004 y C-076-2005 del 21 de febrero de 2005).\n\n\n\n\n \n\n\n\n Es por lo anterior que la vigencia de las Leyes 9694 y 8968 obligan al operador jurídico a aplicar\nsus disposiciones en cuanto al acceso a los datos personales con fines estadísticos, salvo que la\nSala Constitucional como intérprete supremo de la Constitución declare su inconstitucionalidad, cosa\nque a la fecha no ha sucedido.\n\n\n\n La eventual discusión de constitucionalidad, por el fondo, debe eventualmente centrarse en la\nrazonabilidad de las disposiciones citadas, específicamente en lo que respecta a la ponderación\nentre el derecho a la autodeterminación informativa y el interés público existente en el acceso a\nlos datos personales con fines estadísticos, discusión que no corresponde dilucidar a esta\nProcuraduría por tratarse, como indicamos, de una competencia de la Sala Constitucional.\n\n\n\n Debe valorarse, además, que la Ley finalmente aprobada corresponde a la aspiración de entonces del\nEstado de pertenecer a la Organización para la Cooperación y Desarrollo Económico (OCDE) y, por\ntanto, ajustar su normativa interna a las buenas prácticas recomendadas por dicha organización. Por\ntanto, la Sala Constitucional eventualmente debe valorar el valor jurídico constitucional de dichas\nrecomendaciones a la luz de lo dispuesto en el numeral 7 constitucional.\n\n\n\n Asimismo y de importancia para la presente consulta, debe considerarse que la Ley finalmente\naprobada dejó a salvo en el artículo 18 el acceso a los datos de naturaleza sensible, al señalar:\n\n\n\n “ARTÍCULO 18- En todo caso, serán de aportación estrictamente voluntaria y, en consecuencia, solo\npodrán recogerse previo consentimiento expreso de los interesados los datos susceptibles de revelar\nel origen étnico, las opiniones políticas, las convicciones religiosas, espirituales o filosóficas,\nla orientación sexual y, en general, cuantas circunstancias puedan afectar la intimidad personal o\nfamiliar.\n\n\n\n Consecuentemente, no cabe duda que la Ley vigente N° 9694 autoriza al INEC y a las instituciones\ndel Sistema de Estadística Nacional, a tener libre acceso a información de carácter privado y\npúblico para fines estrictamente estadísticos, salvo los datos de naturaleza sensible que son de\nentrega voluntaria pues así lo dispuso el legislador.\n\n\n\n\n           \n\n\n\n\nII.           SOBRE LA NATURALEZA DE LOS DATOS CREDITICIOS Y LO CONSULTADO\n\n\n\n\n \n\n\n\n Ya adelantamos en el apartado anterior que los datos sensibles son de entrega voluntaria bajo el\nmarco normativo dispuesto en la Ley de Estadística Nacional, lo cual hace necesario determinar cuál\nes la naturaleza de los datos crediticios sobre los que se consulta, para poder determinar si existe\nuna obligación o no de la SUGEF de facilitar su acceso a las autoridades del Sistema Nacional de\nEstadística y, específicamente, al Banco Central de Costa Rica.\n\n\n\n Sobre el particular, debe tenerse en consideración que como ya lo hemos indicado, la SUGEF mantiene\nen sus registros y bases de datos dos grandes grupos de información de particulares: en primer\nlugar, la información relacionada con las operaciones de las entidades supervisadas y, en segundo\nlugar, la información privada de los deudores que han concretado operaciones de diversa índole con\ndichas entidades financieras supervisadas. Es preciso tener claro que el tratamiento de ambos grupos\nde información no es idéntico, pese a tratarse igualmente de información privada y confidencial.\n\n\n\n\n \n\n\n\n El artículo 132 de la Ley Orgánica del Banco Central establece una prohibición de divulgación\nrespecto de la información que mantiene la Superintendencia de las entidades supervisadas y\nestablece una serie de excepciones a la misma. Señala dicha norma en lo que interesa:\n\n\n\n “Artículo 132.- Prohibición. Queda prohibido al Superintendente, al Intendente, a los miembros del\nConsejo Directivo, a los empleados, asesores y a cualquier otra persona, física o jurídica, que\npreste servicios a la Superintendencia en la regularización o fiscalización de las entidades\nfinancieras, dar a conocer información relacionada con los documentos, informes u operaciones de las\nentidades fiscalizadas. La violación de esta prohibición será sancionada según lo dispuesto en el\nartículo 203 del Código Penal. Tratándose de funcionarios de la Superintendencia constituirá,\nademás, falta grave para efectos laborales.\n\n\n\n\n    Se exceptúan de la prohibición anterior:\n\n\n\n\n(…)\n\n\n\n c) La información solicitada por la Junta Directiva del Banco Central, por acuerdo de por lo menos\ncinco de sus miembros, en virtud de ser necesaria para el ejercicio de las funciones legales propias\nde ese órgano. En estos casos, los miembros de la Junta Directiva y demás funcionarios del Banco\nCentral estarán sujetos a la prohibición indicada en el párrafo primero de este artículo.\n\n\n\n\n               (…)”\n\n\n\n     Como se observa, salvo los casos expresamente autorizados, como lo es el requerimiento que\nrealiza la Junta Directiva del Banco Central, ningún funcionario de la Superintendencia o miembro\ndel Consejo Directivo podrá hacer pública la información relacionada con las entidades fiscalizadas.\n\n\n\n Esta norma prohibitiva, sin embargo, no versa ni aplica respecto de la información que no es de las\nentidades sino más bien de los deudores o clientes de ellas, la cual, está sujeta igualmente a un\nrégimen especial de protección y tutela derivado del artículo 24 de la Constitución Política y que\nha sido desarrollado por la jurisprudencia constitucional y por la ley ordinaria, específicamente la\nLey de Protección de la persona frente al tratamiento de sus datos personales, Ley N.° 8968 del 7 de\njulio de 2011.\n\n\n\n\n \n\n\n\n             Al respecto, debe recordarse que los datos personales se clasifican a partir de\ndiversos criterios. Al respecto, la Ley 8968 establece:\n\n\n\n\n \n\n\n\n\n \n\n\n\n\n“ARTÍCULO 9.- Categorías particulares de los datos\n\n\n\n Además de las reglas generales establecidas en esta ley, para el tratamiento de los datos\npersonales, las categorías particulares de los datos que se mencionarán, se regirán por las\nsiguientes disposiciones:\n\n\n\n\n1.-        Datos sensibles\n\n\n\n Ninguna persona estará obligada a suministrar datos sensibles. Se prohíbe el tratamiento de datos\nde carácter personal que revelen el origen racial o étnico, opiniones políticas, convicciones\nreligiosas, espirituales o filosóficas, así como los relativos a la salud, la vida y la orientación\nsexual, entre otros.\n\n\n\n\nEsta prohibición no se aplicará cuando:\n\n\n\n a) El tratamiento de los datos sea necesario para salvaguardar el interés vital del interesado o de\notra persona, en el supuesto de que la persona interesada esté física o jurídicamente incapacitada\npara dar su consentimiento.\n\n\n\n b) El tratamiento de los datos sea efectuado en el curso de sus actividades legítimas y con las\ndebidas garantías por una fundación, una asociación o cualquier otro organismo, cuya finalidad sea\npolítica, filosófica, religiosa o sindical, siempre que se refiera exclusivamente a sus miembros o a\nlas personas que mantengan contactos regulares con la fundación, la asociación o el organismo, por\nrazón de su finalidad y con tal de que los datos no se comuniquen a terceros sin el consentimiento\nde las personas interesadas.\n\n\n\n c) El tratamiento se refiera a datos que la persona interesada haya hecho públicos voluntariamente\no sean necesarios para el reconocimiento, el ejercicio o la defensa de un derecho en un\nprocedimiento judicial.\n\n\n\n d) El tratamiento de los datos resulte necesario para la prevención o para el diagnóstico médico,\nla prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios,\nsiempre que dicho tratamiento de datos sea realizado por un funcionario o funcionaria del área de la\nsalud, sujeto al secreto profesional o propio de su función, o por otra persona sujeta, asimismo, a\nuna obligación equivalente de secreto.\n\n\n\n\n2.- Datos personales de acceso restringido\n\n\n\n Datos personales de acceso restringido son los que, aun formando parte de registros de acceso al\npúblico, no son de acceso irrestricto por ser de interés solo para su titular o para la\nAdministración Pública. Su tratamiento será permitido únicamente para fines públicos o si se cuenta\ncon el consentimiento expreso del titular.\n\n\n\n\n3.- Datos personales de acceso irrestricto\n\n\n\n Datos personales de acceso irrestricto son los contenidos en bases de datos públicas de acceso\ngeneral, según lo dispongan las leyes especiales y de conformidad con la finalidad para la cual\nestos datos fueron recabados.\n\n\n\n No se considerarán contemplados en esta categoría: la dirección exacta de la residencia, excepto si\nsu uso es producto de un mandato, citación o notificación administrativa o judicial, o bien, de una\noperación bancaria o financiera, la fotografía, los números de teléfono privados y otros de igual\nnaturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular.\n\n\n\n\n4.- Datos referentes al comportamiento crediticio\n\n\n\n Los datos referentes al comportamiento crediticio se regirán por las normas que regulan el Sistema\nFinanciero Nacional, de modo que permitan garantizar un grado de riesgo aceptable por parte de las\nentidades financieras, sin impedir el pleno ejercicio del derecho a la autodeterminación informativa\nni exceder los límites de esta ley.”\n\n\n\n\n \n\n\n\n Como se observa, la ley regula una categoría propia para los datos referentes al comportamiento\ncrediticio, separándolos de los llamados datos sensibles que tiene una protección especial, pues\nentre ellos se considera la raza, salud, afiliación política, preferencia sexual, creencias\npolíticas o religiosas, y pueden generar la estigmatización del titular y discriminaciones. Por\nello, ninguna persona se encuentra obligada a suministrarlos, salvo excepciones muy calificadas\ndispuestas en la misma ley.\n\n\n\n\n \n\n\n\n En términos generales y como regla, no podemos equiparar los datos crediticios a los datos\nsensibles, pues ambos tienen una categoría de manejo separada en la ley. Adicionalmente, debemos\nseñalar que la Sala Constitucional se ha referido a la naturaleza jurídica de los datos relativos al\ncomportamiento crediticio, indicando que, a pesar de tratarse de datos personales, tienen un marcado\ninterés público. Al respecto, en la resolución N.° 754- 2002 de las 13:00 del 25 de enero de 2002,\nreiterada entre otras en la N.° 10268-2008 de 19 de junio de 2008, la Sala indicó:\n\n\n\n\n\n“…Finalmente, se encuentran los datos que, aun siendo personales, revisten un marcado interés\npúblico, tales como los que se refieren al comportamiento crediticio de las personas; no son de\ndominio público los montos y fuentes del endeudamiento de cada individuo, pero sí lo son sus\nacciones como deudor, la probidad con que haya honrado sus obligaciones y la existencia de\nantecedentes de incumplimiento crediticio, datos de gran relevancia para asegurar la normalidad del\nmercado de capitales y evitar el aumento desmedido en los intereses por riesgo. Con respecto a estos\ndatos, también caben las mismas reglas de recolección, almacenamiento y empleo referidos a los\nanteriores, es decir, la veracidad, integridad, exactitud y uso conforme. El respeto de las\nanteriores reglas limita, pero no impide a las agencias –públicas y privadas- de recolección y\nalmacenamiento de datos, cumplir con sus funciones, pero sí asegura que el individuo, sujeto más\nvulnerable del proceso informático, no sea desprotegido ante el poder inmenso que la media adquiere\ndía con día….”.\n\n\n\n\n \n\n\n\n De lo anterior se extrae que la Sala Constitucional ha calificado los datos crediticios como datos\npersonales de interés público. Interesa recalcar que ese interés público se hace recaer no en el\nmonto o fuente del endeudamiento, sino en el comportamiento como deudor, en especial la forma como\nla persona honra sus obligaciones. Datos que, de acuerdo con reiterada jurisprudencia\nconstitucional, pueden ser recopilados, tratados, almacenados y divulgados por terceros a manera de\ncontribuir con la protección del crédito y la estabilidad del sistema financiero y ello a través\nde  la determinación de la solvencia, económica y financiera del deudor (Sala Constitucional,\nsentencia N.° 10114-2008 de 19:18 horas de 17 de junio de 2008).  \n\n\n\n\n \n\n\n\n Es por lo anterior que la protección de estos datos estaría radicada no en una prohibición o\nlimitación de su almacenamiento, que está permitido por la Sala, sino en el cumplimiento de los\nprincipios que rigen el derecho de autodeterminación informativa; en particular, los de veracidad,\nintegridad, exactitud, uso conforme, así como el derecho al olvido. (sentencia N.° 6793-2007 de\n11:24 hrs. de 18 de mayo de 2007).\n\n\n\n\n \n\n\n\n Ahora bien, aun cuando los datos relativos al comportamiento crediticio revisten un evidente\ninterés público, no significa que en la formalización de un crédito toda la información aportada por\nel deudor revista de ese interés público. Podrían aportarse al proceso de formalización información\nde carácter sensible, que lógicamente quedaría protegida por la especial naturaleza de esos datos.\nAl respecto, la Sala Constitucional se ha referido a cuáles datos pueden ser considerados sensibles,\nindicando:\n\n\n\n\n \n\n\n\n\n \n\n\n\n “(…) En primer término, es necesario hacer referencia a la Ley número 8968 de Protección de la\nPersona frente al tratamiento de sus datos personales. Dicha norma estipula tres tipos o categorías\nde datos personales. Primeramente, se define la información de carácter sensible, relativa al fuero\níntimo de la persona, como por ejemplo la condición socioeconómica, el origen étnico, las\nconvicciones espirituales o religiosas, los datos referentes a la salud, la vida y la orientación\nsexual. Como segundo tipo, existe la información de acceso restringido, que únicamente es de interés\npara el titular o para la Administración Pública, de manera que su tratamiento será permitido\núnicamente para fines públicos o si se cuenta con el consentimiento expreso del titular. Por último,\nse halla la información de carácter irrestricto, que es de acceso general y está almacenada en bases\npúblicas, por lo que puede ser accedida por cualquier sujeto, según la finalidad que llevó a su\nrecopilación. (…)”. (Resolución 6357-2013 del 10 de mayo del 2013) (La negrita no es del original)\n\n\n\n\n \n\n\n\n Por todo lo anterior, debemos decir, a manera de principio, que los datos crediticios no quedan\nprotegidos en la excepción contenida en el numeral 18 de la Ley del Sistema de Estadística Nacional,\npor no poder ser catalogados como datos sensibles. Esto sin perjuicio de la información específica\nque deba ser protegida bajo esa categoría como lo sería por ejemplo la condición socioeconómica de\nuna persona en particular, preferencias sexuales, origen étnico, convicciones espirituales o\nreligiosas, entre otras.\n\n\n\n\n \n\n\n\n             Así las cosas, como regla general, la SUGEF debe entregar a las instituciones que\nforman parte del Sistema de Estadística Nacional, toda la información relacionada con operaciones\ncrediticias, pero en la medida que tengan un fin estrictamente estadístico y que no se trate de\ninformación sensible, lo cual debe ser justificado tanto en la solicitud de las autoridades del\nSistema Nacional de Estadística, como en un eventual rechazo de información específica que pueda\nrealizar SUGEF. \n\n\n\n\n \n\n\n\n             Debe recordarse que la Ley del Sistema de Estadística Nacional busca un fin público\nsuperior que facilita el acceso a la información pública y privada para fines estadísticos, sin\ndesmeritar el carácter confidencial de la información. Así las cosas, el hecho de que se facilite el\nacceso a la información crediticia no violenta el secreto bancario, ni el derecho a la\nautodeterminación informativa, pues la ley aprobada por mayoría calificada, previó una serie de\ngarantías para mantener la confidencialidad de esa información y su utilización en fines\nestrictamente estadísticos. \n\n\n\n\n \n\n\n\n             Así las cosas, el requerimiento de la información por parte de las instituciones del\nSistema Nacional de Estadística, deberá justificarse en ese interés estrictamente estadístico y bajo\ncriterios de necesidad, sin perjuicio de que posteriormente esa información sea segregada o\nanonimizada para fines estadísticos, guardando los recaudos en cuanto a confidencialidad, calidad y\nseguridad de la información.\n\n\n\n\n \n\n\n\n\nIII.        CONCLUSIÓN\n\n\n\n\n \n\n\n\n\nDe lo expuesto debemos concluir lo siguiente:\n\n\n\n a)    A partir de lo dispuesto en la Ley del Sistema de Estadística Nacional, N.° 9694 del 4 de\njunio de 2019, existe una obligación de todas las personas e instituciones, de brindar la\ninformación -de interés estadístico- requerida por las instituciones del Sistema Nacional de\nEstadística y, en caso contrario, se establece un régimen sancionatorio que debe aplicarse. Esta ley\nexcepciona únicamente los datos sensibles, que son de entrega voluntaria;\n\n\n\n\n \n\n\n\n b)   La Ley de Protección de la persona frente al tratamiento de sus datos personales regula una\ncategoría propia para los datos referentes al comportamiento crediticio, separándolos de los\nllamados datos sensibles que tienen una protección especial. Asimismo, la Sala Constitucional ha\ncalificado los datos crediticios como datos personales de interés público;\n\n\n\n\n \n\n\n\n c)      En virtud de lo anterior, los datos crediticios no quedan protegidos en la excepción\ncontenida en el numeral 18 de la Ley del Sistema de Estadística Nacional, por no poder ser\ncatalogados como datos sensibles;\n\n\n\n\n \n\n\n\n d)      Consecuentemente, como regla general, la SUGEF debe entregar a las instituciones que forman\nparte del Sistema de Estadística Nacional, toda la información relacionada con operaciones\ncrediticias, en la medida que tengan un fin estrictamente estadístico y que no se trate de\ninformación sensible, lo cual debe ser justificado tanto en la solicitud de las autoridades del\nSistema Nacional de Estadística, como en el eventual rechazo de la información específica que pueda\nrealizar SUGEF;\n\n\n\n\n \n\n\n\n e)      El acceso a la información crediticia por parte de las autoridades del Sistema de\nEstadística Nacional, no menoscaba la confidencialidad de esa información, ni la obligación de\nsegregarla o anonimizar para fines estadísticos, guardando los recaudos en cuanto a\nconfidencialidad, calidad y seguridad de la información.\n\n\n\n\n \n\n\n\n\n \n\n\n\n\nAtentamente,\n\n\n\n\n \n\n\n\n\n \n\n\n\n\n \n\n\n\n\nSilvia Patiño Cruz\n\n\n\n\nProcuradora\n\n\n\n\n \n\n\n\n\nSPC/cpb\n\n\n\n\nC. Instituto Nacional de Estadística y Censo\n\n\n\n\nBanco Central de Costa Rica.", "body_en_text": "Opinion: 125 of 03/07/2023\n\nJuly 3, 2023\nPGR-C-125-2023\n\nMs. Rocío Aguilar Montoya\nGeneral Superintendent\nGeneral Superintendency of Financial Entities (SUGEF)\n\nDear Ms. Aguilar:\n\nWith the approval of the Attorney General of the Republic, Mr. Iván Vincenti Rojas, I refer to your official communication SGF-2669-2022 of December 23, 2022, through which you request that we address the following questions:\n\n\"1. Is this Superintendency obligated to provide to INEC, the Central Bank of Costa Rica, or any other entity that is part of the National Statistics System, information or access to comprehensive information on all credit operations that supervised financial entities remit to it, including information that allows for their identification, such as, for example, identity card number, legal entity identification number, etc., taking into consideration that this involves sensitive personal data protected by Article 24 of the Political Constitution (right to privacy, right to informational self-determination, inviolability of private documents), and by the Law on the Protection of Individuals Regarding the Processing of Their Personal Data?\n\n2. Does Article 18 of the Law of the National Statistics System establish an exception to the obligation to provide information for statistical purposes with respect to personal data that are confidential and sensitive, such as, for example, personal data derived from credit operations established between supervised entities and their clients, as such information has been classified by the Constitutional Chamber of the Supreme Court of Justice?\"\n\nIn compliance with the provisions of Article 4 of the Organic Law of the Attorney General's Office of the Republic, the opinion issued by the Legal Advisory Division of SUGEF is attached to the consultation.\n\nI. THE OBLIGATIONS DERIVING FROM THE LAW OF THE NATIONAL STATISTICS SYSTEM\n\nThe Law of the National Statistics System, No. 9694 of June 4, 2019, originated as an initiative of the Executive Branch and was processed in the Legislative Assembly by the Special Commission responsible for reviewing and issuing opinions on the bills required for Costa Rica's accession to the Organisation for Economic Co-operation and Development (OECD).\n\nThe intention of said initiative was to adjust our domestic regulations to the recommendations of the OECD Governance Committee and, specifically, to those contained in the Report on Good Statistical Practice. Based on this, the need was detected to repeal the Law of the National Statistics System of November 4, 1998, and in its place, legislation was proposed that would establish the obligations and responsibilities of all persons and institutions responsible for producing statistics that make up the National Statistics System (SEN), the governing authority on statistical matters held by INEC was reinforced, and the financing of said institution for the exercise of its functions was strengthened, among other aspects.\n\nAmong the provisions of said Law that generated discussion during the legislative process are Articles 16 and 68 – finally approved – which, due to their importance for this consultation, we proceed to cite:\n\n\"ARTICLE 16- All natural or legal persons, whether residing in the country or not, are obligated to supply, orally, in writing, or by any means, free of charge and within the established timeframe, the data, information of a statistical nature, and administrative records that the public institutions of the SEN request from them, through their officials, delegates, or commissioned agents, concerning facts that, by their nature and purpose, are necessary for the production of the official statistics for which they are responsible, as established in the PEN. In the event that the request is required in electronic form, it must be provided in an open format.\n\nThis obligation also extends to all officials of the Public Administration who, by reason of their duties, are in charge of administrative records that are necessary for the production of official statistics.\n\nLikewise, public institutions shall be obligated to share with INEC the geographic and cartographic information they possess that is necessary for the production and dissemination of official statistics.\n\nThe institutions of the SEN shall provide notice of the duty to deliver it within the required timeframe, the purposes pursued with the collection of these data, the confidentiality and mechanisms for protecting the information, and the sanctions that may be incurred for failing to deliver it on time or for providing false, inaccurate, or untimely data.\n\nFailure to comply with the provisions of this article shall be sanctioned in accordance with the provisions contained in Chapter IV, Section II of this law.\n\nThe institutions of the SEN, at the time of collecting personal data, must inform the person providing them that these data may be transferred and of the mechanisms for protecting the confidentiality of this information.\"\n\n\"ARTICLE 68- The natural or legal person who refuses to respond to requests from the SEN or INEC concerning the obtaining of statistical information shall be subject to the sanction established in Article 65 of this law. Payment of the indicated fine does not exempt from the delivery of the information.\n\nThe failure to deliver the requested information shall constitute the crime of disobedience to authority, as defined in the Penal Code.\"\n\nAs is evident from said articles, the current law, unlike the previous legislation, establishes an obligation for all persons and institutions to provide the information – of statistical interest – requested by the institutions of the National Statistics System and, otherwise, establishes a sanctioning regime that must be applied. This was precisely one of the main objectives sought by the legislator, with the idea of strengthening the national statistics system and the scope of the competence of INEC and other institutions of the system.\n\nIn the legislative proceedings, it was stated that the majority of countries in Latin America and Europe have regulated in their legislation the mandatory nature of data delivery due to the public interest that statistics hold (folio 886 of the legislative file), a thesis that ultimately prevailed upon the approval of Law 9694.\n\nLikewise, during the processing of said law, this Attorney General's Office was consulted on the then bill and, through legal opinion OJ-087-2018 of September 17, 2018, certain constitutionality issues that needed to be considered were noted:\n\n\"Now, it is worth noting that while it is legitimate for the administration to require, for statistical purposes, information from natural persons, it is clear that any coercion for persons to provide data of a personal reference requires, in order to be legitimate and proportional in relation to the right to informational self-determination, that the Legislator determine, beforehand, not only the generic purpose for which the data must be requested, but must establish something more precise, that is, the specific and concrete purpose for whose realization the required personal data will be used. The respect owed to the right to informational self-determination demands, then, that the Legislator, in the event of establishing an obligation to provide personal information to the administration, prescribe with complete precision the use that will be given to said information, the scope of the information that will be required, and establish legal guarantees that the data required are adequate and necessary for that purpose.\n\nIn this vein, it is worth highlighting, however, that in the case of surveys or other processes for statistical purposes, it is not possible, in principle, to think that a close and concrete teleological link for the data can be established. It has already been explained in this Legal Opinion that an essential feature of statistics is that the data collected, once statistically prepared, are to be used for the most varied functions, impossible to determine in advance. Furthermore, the nature of the public statistical function requires the need to store the collected data set. In other words, the imperative of a concrete description of the objective and the rigorous prohibition of the collection of personal reference data in large quantities can only apply to surveys or information collection processes for non-statistical purposes, but not to those statistical surveys or censuses whose information would be used later for subsequent statistical research, as well as for the planning process through a reliable determination of the number and social structure of the population. Information collection processes for statistical purposes, such as the census or the population survey, must necessarily, then, be a survey of multiple purpose and elaboration and therefore a large-scale collection and storage of data.\n\nAs a consequence of the foregoing, it is notable that, in principle, there is no proportionality between the administration's need to collect personal information from the population for statistical purposes and the establishment of provisions that establish the obligation of persons to provide said personal information, under penalty of being sanctioned either administratively or criminally. That is to say, the provisions set forth in Articles 16, 65, and 68 of the bill and that would obligate persons to provide personal data for statistical purposes, under penalty of sanction, could be unconstitutional for being disproportionate and potentially violating the right to informational self-determination.\n\nAn analogous reasoning must be applied in relation to the possibility of imposing an obligation on private legal persons to deliver information to the National Statistics System. In this regard, it suffices to note that, in principle, imposing on private legal persons the obligation to deliver their information for a merely statistical purpose, without, therefore, establishing a specific purpose for said information, could be disproportionate.\"\n\nThe doubts of constitutionality pointed out by this advisory body during the legislative process did not impact the norm finally approved, as the obligation to provide information for statistical purposes for natural and legal persons, as well as the sanctioning regime, were maintained in the now-current law.\n\nThat said, despite what was indicated in the cited precedent, we must recognize that Article 24 of the Constitution establishes the inviolability of private documents as a fundamental right, which, like any other right, is not unrestricted and is subject to the principle of legal reservation regarding its exceptions. This article states:\n\n\"ARTICLE 24.- The right to privacy, freedom, and secrecy of communications is guaranteed.\n\nPrivate documents and written, oral, or any other type of communications of the inhabitants of the Republic are inviolable. However, the law, whose approval and amendment shall require the votes of two-thirds of the Deputies of the Legislative Assembly, shall determine in which cases the Courts of Justice may order the seizure, search, or examination of private documents, when it is absolutely indispensable to clarify matters submitted to its cognizance.\n\nLikewise, the law shall determine in which cases the Courts of Justice may order the intervention of any type of communication and shall indicate the crimes in whose investigation the use of this exceptional power may be authorized and for how long. It shall also specify the responsibilities and sanctions incurred by officials who illegally apply this exception. Judicial resolutions protected under this norm must be reasoned and may be executed immediately. Their application and control shall be the non-delegable responsibility of the judicial authority.\n\nThe law shall establish the cases in which competent officials of the Ministry of Finance and the Comptroller General of the Republic may examine accounting books and their annexes for tax purposes and to oversee the correct use of public funds.\n\nA special law, approved by two-thirds of the total number of Deputies, shall determine which other bodies of the Public Administration may examine the documents that said law specifies, in relation to the fulfillment of their regulatory and supervisory competencies to achieve public purposes. Likewise, it shall indicate in which cases such examination is appropriate.\n\nCorrespondence that is stolen and information obtained as a result of the illegal intervention of any communication shall produce no legal effects.\" (Emphasis not in the original)\n\nAs can be seen, a \"special law\" can define which bodies of the Public Administration may examine private documents in the exercise of their competence to achieve public purposes.\n\nConsequently, the right to privacy, freedom, and secrecy of communications enshrined in Article 24 of the Political Constitution contains an exception: when a reason of public interest prevails that warrants that a body of the Public Administration may examine private documents and information.\n\nIn this case, the Constituent Power determined that it would be through a \"special law,\" approved by a qualified majority, where the reason of public interest justifying the exception to Article 24 of the Constitution is determined. Precisely, Law 9694 was approved by a qualified majority as is evident from the legislative file, thus fulfilling the established formal requirement.\n\nIn addition to the above, it must be considered that the Law on the Protection of Individuals Regarding the Processing of Their Personal Data, No. 8968 of July 7, 2011, authorizes access to personal data for statistical purposes (Article 6).\n\nThis freedom of access authorized by special law, however, does not diminish the confidential nature of information of a private nature and, therefore, the duty of secrecy that said institutions and their officials must guarantee in its handling. Precisely one of the fundamental principles upon which the Law is built is that of confidentiality (Articles 10 and 22), guaranteeing the statistical secrecy to which we have referred in previous opinions (see C-340-2004 of November 18, 2004, and C-076-2005 of February 21, 2005).\n\nIt is for the foregoing that the validity of Laws 9694 and 8968 oblige the legal operator to apply their provisions regarding access to personal data for statistical purposes, unless the Constitutional Chamber, as the supreme interpreter of the Constitution, declares their unconstitutionality, which to date has not happened.\n\nThe eventual discussion of constitutionality, on the merits, must eventually focus on the reasonableness of the cited provisions, specifically regarding the balancing between the right to informational self-determination and the public interest existing in accessing personal data for statistical purposes, a discussion that this Attorney General's Office is not competent to resolve, as it is, as we indicated, a competence of the Constitutional Chamber.\n\nIt must also be considered that the Law finally approved corresponds to the State's aspiration at that time to belong to the Organisation for Economic Co-operation and Development (OECD) and, therefore, to adjust its domestic regulations to the good practices recommended by said organization. Therefore, the Constitutional Chamber must eventually assess the constitutional legal value of said recommendations in light of the provisions of constitutional article 7.\n\nAlso, and of importance for this consultation, it must be considered that the Law finally approved safeguarded, in Article 18, access to data of a sensitive nature, stating:\n\n\"ARTICLE 18- In any case, data susceptible of revealing ethnic origin, political opinions, religious, spiritual, or philosophical convictions, sexual orientation, and, in general, any circumstances that may affect personal or family privacy shall be provided on a strictly voluntary basis and, consequently, may only be collected with the prior express consent of the interested parties.\"\n\nConsequently, there is no doubt that the current Law No. 9694 authorizes INEC and the institutions of the National Statistics System to have free access to information of a private and public nature for strictly statistical purposes, except for data of a sensitive nature, which are of voluntary delivery, as the legislator so provided.\n\nII. ON THE NATURE OF CREDIT DATA AND THE MATTER CONSULTED\n\nWe already pointed out in the previous section that sensitive data are of voluntary delivery under the regulatory framework provided in the Law of the National Statistics System, which makes it necessary to determine the nature of the credit data about which the consultation is made, in order to determine whether or not there is an obligation for SUGEF to facilitate access to the authorities of the National Statistics System and, specifically, to the Central Bank of Costa Rica.\n\nOn this point, it must be taken into consideration that, as we have already indicated, SUGEF maintains in its records and databases two large groups of information on individuals: first, information related to the operations of supervised entities, and second, the private information of debtors who have concluded operations of various types with said supervised financial entities. It is necessary to be clear that the treatment of both groups of information is not identical, despite both being private and confidential information.\n\nArticle 132 of the Organic Law of the Central Bank establishes a prohibition against disclosure regarding the information that the Superintendency maintains on supervised entities and establishes a series of exceptions to it. Said norm states, in what is relevant:\n\n\"Article 132.- Prohibition. The Superintendent, the Intendant, the members of the Board of Directors, employees, advisors, and any other person, natural or legal, who provides services to the Superintendency in the regulation or supervision of financial entities, are prohibited from disclosing information related to the documents, reports, or operations of the supervised entities. Violation of this prohibition shall be sanctioned in accordance with the provisions of Article 203 of the Penal Code. In the case of officials of the Superintendency, it shall also constitute serious misconduct for labor purposes.\n\nThe following are excepted from the foregoing prohibition:\n\n(…)\n\nc) Information requested by the Board of Directors of the Central Bank, by agreement of at least five of its members, by virtue of being necessary for the exercise of the legal functions proper to that body. In these cases, the members of the Board of Directors and other officials of the Central Bank shall be subject to the prohibition indicated in the first paragraph of this article.\n\n(…)\"\n\nAs can be seen, except in cases expressly authorized, such as the request made by the Board of Directors of the Central Bank, no official of the Superintendency or member of the Board of Directors may make public information related to the supervised entities.\n\nThis prohibitive norm, however, does not deal with or apply to information that is not of the entities but rather of the debtors or clients thereof, which is equally subject to a special regime of protection and guardianship derived from Article 24 of the Political Constitution and which has been developed by constitutional jurisprudence and by ordinary law, specifically the Law on the Protection of Individuals Regarding the Processing of Their Personal Data, Law No. 8968 of July 7, 2011.\n\nIn this regard, it must be remembered that personal data are classified based on various criteria. In this respect, Law 8968 establishes:\n\n\"ARTICLE 9.- Particular categories of data\n\nIn addition to the general rules established in this law, for the processing of personal data, the particular categories of data that will be mentioned shall be governed by the following provisions:\n\n1.- Sensitive data\n\nNo person shall be obligated to provide sensitive data. The processing of personal data revealing racial or ethnic origin, political opinions, religious, spiritual, or philosophical convictions, as well as those related to health, life, and sexual orientation, among others, is prohibited.\n\nThis prohibition shall not apply when:\n\na) The processing of the data is necessary to safeguard the vital interest of the interested party or of another person, in the event that the interested party is physically or legally incapacitated to give their consent.\n\nb) The processing of the data is carried out in the course of its legitimate activities and with due guarantees by a foundation, an association, or any other body whose purpose is political, philosophical, religious, or trade union, provided that it refers exclusively to its members or to persons who maintain regular contacts with the foundation, association, or body by reason of its purpose, and provided that the data are not communicated to third parties without the consent of the interested persons.\n\nc) The processing refers to data that the interested person has voluntarily made public or that are necessary for the recognition, exercise, or defense of a right in a judicial proceeding.\n\nd) The processing of the data is necessary for prevention, medical diagnosis, the provision of healthcare or medical treatments, or the management of health services, provided that said data processing is carried out by a health professional subject to professional secrecy or by another person likewise subject to an equivalent obligation of secrecy.\n\n2.- Personal data of restricted access\n\nPersonal data of restricted access are those that, even though forming part of publicly accessible records, are not of unrestricted access because they are of interest only to their owner or to the Public Administration. Their processing shall be permitted only for public purposes or with the express consent of the owner.\n\n3.- Personal data of unrestricted access\n\nPersonal data of unrestricted access are those contained in public databases of general access, as provided by special laws and in accordance with the purpose for which these data were collected.\n\nThe following shall not be considered included in this category: the exact residential address, except if its use is the result of a mandate, administrative or judicial summons or notification, or of a banking or financial operation; the photograph; private telephone numbers and others of a similar nature whose processing may affect the rights and interests of the data owner.\n\n4.- Data referring to credit behavior\n\nData referring to credit behavior shall be governed by the rules that regulate the National Financial System, in such a way as to guarantee an acceptable degree of risk on the part of financial entities, without impeding the full exercise of the right to informational self-determination or exceeding the limits of this law.\"\n\nAs can be seen, the law regulates a distinct category for data referring to credit behavior, separating them from the so-called sensitive data, which have special protection, as they include race, health, political affiliation, sexual preference, political or religious beliefs, and can lead to the stigmatization of the owner and discrimination. Therefore, no person is obligated to provide them, except for very qualified exceptions provided in the law itself.\n\nIn general terms and as a rule, we cannot equate credit data with sensitive data, as both have a separate handling category in the law. Additionally, we must note that the Constitutional Chamber has referred to the legal nature of data relating to credit behavior, indicating that, despite being personal data, they have a marked public interest. In this regard, in Resolution No. 754-2002 of 1:00 p.m. on January 25, 2002, reiterated among others in No. 10268-2008 of June 19, 2008, the Chamber indicated:\n\n\"…Finally, there are data that, although personal, are of marked public interest, such as those referring to the credit behavior of persons; the amounts and sources of each individual's indebtedness are not of public domain, but their actions as a debtor are, the probity with which they have honored their obligations and the existence of a record of credit default, data of great relevance to ensure the normal functioning of the capital market and prevent a disproportionate increase in risk interest rates. Regarding these data, the same rules of collection, storage, and use referred to for the previous ones also apply, that is, truthfulness, integrity, accuracy, and proper use. Respect for the foregoing rules limits, but does not prevent, the agencies – public and private – of data collection and storage from fulfilling their functions, but it does ensure that the individual, the most vulnerable subject of the computerized process, is not left unprotected against the immense power that the medium acquires day by day….\"\n\nFrom the foregoing, it is clear that the Constitutional Chamber has classified credit data as personal data of public interest. It is important to emphasize that this public interest pertains not to the amount or source of the indebtedness, but to the behavior as a debtor, especially the manner in which the person honors their obligations. Data which, in accordance with reiterated constitutional jurisprudence, can be collected, processed, stored, and disclosed by third parties in order to contribute to the protection of credit and the stability of the financial system, and this through the determination of the debtor's economic and financial solvency (Constitutional Chamber, judgment No. 10114-2008 of 7:18 p.m. on June 17, 2008).\n\nIt is for this reason that the protection of these data would lie not in a prohibition or limitation of their storage, which is permitted by the Chamber, but in compliance with the principles that govern the right to informational self-determination; in particular, truthfulness, integrity, accuracy, proper use, as well as the right to be forgotten (judgment No. 6793-2007 of 11:24 a.m. on May 18, 2007).\n\nThat said, even though data relating to credit behavior are of evident public interest, it does not mean that in the formalization of a loan, all information provided by the debtor holds that public interest. Information of a sensitive nature could be contributed to the formalization process, which would logically be protected by the special nature of those data. In this regard, the Constitutional Chamber has referred to which data can be considered sensitive, indicating:\n\n\"(…) First, it is necessary to refer to Law No. 8968 on the Protection of Individuals Regarding the Processing of Their Personal Data. Said norm stipulates three types or categories of personal data. First, information of a sensitive nature is defined, relating to the innermost personal sphere, such as socioeconomic status, ethnic origin, spiritual or religious convictions, data referring to health, life, and sexual orientation. As a second type, there is information of restricted access, which is only of interest to the owner or to the Public Administration, so that its processing shall be permitted only for public purposes or with the express consent of the owner. Finally, there is information of an unrestricted nature, which is of general access and is stored in public databases, so that it can be accessed by any subject, according to the purpose that led to its collection. (…)\". (Resolution 6357-2013 of May 10, 2013) (Bolding is not in the original)\n\nFor all of the foregoing, we must state, as a principle, that credit data are not protected under the exception contained in Article 18 of the Law of the National Statistics System, as they cannot be classified as sensitive data. This is without prejudice to specific information that must be protected under that category, such as, for example, the socioeconomic status of a particular person, sexual preferences, ethnic origin, spiritual or religious convictions, among others.\n\nThus, as a general rule, SUGEF must provide the institutions that form part of the National Statistics System with all information related to credit operations, but only to the extent that it has a strictly statistical purpose and that it is not sensitive information, which must be justified both in the request by the authorities of the National Statistics System and in any potential rejection of specific information that SUGEF may make.\n\nIt should be remembered that the Law of the National Statistics System pursues a higher public purpose that facilitates access to public and private information for statistical purposes, without diminishing the confidential nature of the information. Thus, the fact that access to credit information is facilitated does not violate bank secrecy, nor the right to informational self-determination, since the law, approved by a qualified majority, provided a series of guarantees to maintain the confidentiality of that information and its use for strictly statistical purposes.\n\nThus, the request for information by the institutions of the National Statistics System must be justified on that strictly statistical interest and under criteria of necessity, without prejudice to that information subsequently being segregated or anonymized for statistical purposes, observing the precautions regarding confidentiality, quality, and security of the information.\n\nIII. CONCLUSION\n\nFrom the foregoing, we must conclude the following:\n\na) Based on the provisions of the Law of the National Statistics System, No. 9694 of June 4, 2019, there is an obligation for all persons and institutions to provide the information—of statistical interest—required by the institutions of the National Statistics System, and, otherwise, a sanctioning regime is established that must be applied. This law excepts only sensitive data, which is provided voluntarily;\n\nb) The Law for the Protection of the Person against the Processing of their Personal Data regulates a separate category for data referring to credit behavior, separating them from so-called sensitive data that have special protection. Likewise, the Constitutional Chamber has classified credit data as personal data of public interest;\n\nc) By virtue of the foregoing, credit data are not protected under the exception contained in numeral 18 of the Law of the National Statistics System, as they cannot be classified as sensitive data;\n\nd) Consequently, as a general rule, SUGEF must provide the institutions that form part of the National Statistics System with all information related to credit operations, to the extent that it has a strictly statistical purpose and that it is not sensitive information, which must be justified both in the request by the authorities of the National Statistics System and in the potential rejection of specific information that SUGEF may make;\n\ne) Access to credit information by the authorities of the National Statistics System does not undermine the confidentiality of that information, nor the obligation to segregate or anonymize it for statistical purposes, observing the precautions regarding confidentiality, quality, and security of the information.\n\nSincerely,\n\nSilvia Patiño Cruz\nProcuradora\n\nSPC/cpb\nCc. National Institute of Statistics and Census\nCentral Bank of Costa Rica." }