Reforma a Ley de Datos Personales propone cifrado obligatorio y notificación de brechas en 72 horas
Reforma a Ley de Datos Personales propone cifrado obligatorio y notificación de brechas en 72 horas
Nota escrita por Gabriela Miranda - Socia, y Ramón Jiménez - Asistente Legal.
El pasado 16 de octubre de 2026 se publicó el Proyecto de Ley N° 25.826, denominado “Reforma a los artículos 10, 28, 30 y 31, y adición de los artículos 10 bis y 10 ter a la Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, Ley N° 8968”.
La iniciativa busca fortalecer el marco normativo costarricense en materia de protección de datos personales, mediante la incorporación de nuevas obligaciones de seguridad de la información, mecanismos de notificación de incidentes y un régimen sancionatorio más estricto.
Entre los principales cambios propuestos destacan:
1. Cifrado obligatorio (art. 10 reformado)
Las entidades públicas y privadas deberán cifrar los datos personales sensibles, de acceso restringido, de acceso irrestricto y los referentes al comportamiento crediticio. La obligación aplica tanto a los datos en reposo (servidores, nube, respaldos, dispositivos) como en tránsito (redes internas y externas). El MICITT emitirá y actualizará cada año el catálogo de estándares criptográficos y las reglas de gestión de llaves.2. Prohibición de almacenar datos sensibles sin cifrar (art. 10 bis)
Se prohíbe mantener repositorios de datos sensibles en formatos no cifrados o con algoritmos obsoletos o vulnerables.3. Notificación de brechas (art. 10 ter)
| Quién | A quién notifica | Plazo máximo |
|---|---|---|
| Responsable de la base de datos | PRODHAB | 72 horas naturales desde que conoce el incidente |
| Encargado del tratamiento (tercero) | Responsable de la base | 24 horas desde la detección |
| Responsable, si hay alto riesgo | Personas afectadas | De forma expedita y directa |
La notificación a PRODHAB debe incluir la naturaleza del incidente, el número aproximado de titulares afectados, las consecuencias posibles, el estado de cifrado de los datos y las medidas de contención. Si no se tiene toda la información a tiempo, se permite una comunicación preliminar que se completa por fases, con justificación técnica.
4. Sanciones más fuertes (arts. 28, 30 y 31)
- Faltas leves: multa de hasta 20 salarios base.
- Faltas graves: de 20 a 50 salarios base.
- Faltas gravísimas: de 50 a 80 salarios base, más la suspensión de la base de datos de 1 a 6 meses.
- Omitir la adopción de las medidas técnicas u operativas mínimas de seguridad previstas en este ley y su reglamento, en las bases de datos que almacenen datos personales que gocen de la categoría de sensibles o datos referentes al comportamiento crediticio.
- Retardar injustificadamente la comunicación formal y obligatoria a la Prodhab y a los titulares afectados de un incidente de seguridad, según las reglas del artículo 10 bis de esta ley, en aquellos supuestos en los que la afectación amenace de forma inminente volúmenes masivos de datos la población o datos de naturaleza biométrica o crediticia.
- Administrar, almacenar o compartir llaves criptográficas asignadas a la protección de bases de datos en contradicción con los lineamientos técnicos fijados por el MICITT, siempre que de dicha conducta no se haya desprendido una vulneración efectiva de la confidencialidad de la información.
- Almacenar, procesar o custodiar datos personales sensibles o de acceso restringido omitiendo la aplicación de los estándares de cifrado.
- Provocar, facilitar, permitir o encubrir, por dolo o negligencia inexcusable en el mantenimiento y vigilancia de los sistemas informáticos, la sustracción, filtración, exfiltración, fuga, robo, comercialización ilícita o vulneración de cualquier tipo de datos personales resguardados en bases de datos públicas o privadas.
- Ocultar, dilatar deliberadamente o consignar información falsa o inexacta respecto de una brecha de seguridad que comprometa la confidencialidad de datos sensibles o datos referentes al comportamiento crediticio.
Si bien el Proyecto de Ley N.º 25.826 aún debe completar su trámite legislativo, las reformas propuestas reflejan una tendencia hacia un régimen de protección de datos personales más estricto, en el que las medidas de seguridad dejarían de ser únicamente buenas prácticas para convertirse en obligaciones técnicas sujetas a fiscalización y sanciones. Por ello, esperar a la eventual aprobación de la reforma para iniciar los procesos de adecuación podría representar un riesgo para las empresas, considerando que la implementación de sistemas de cifrado, mecanismos de documentación y protocolos de respuesta ante incidentes requiere planificación y recursos.
De aprobarse el texto en los términos propuestos, el almacenamiento de datos sensibles sin los estándares de cifrado correspondientes podría constituir una falta gravísima, sancionable con multas de hasta 80 salarios base y la suspensión de la base de datos por un período de hasta seis meses. Asimismo, los plazos previstos para la notificación de incidentes (72 horas para informar a la PRODHAB y 24 horas para que los encargados del tratamiento comuniquen el incidente al responsable) exigirían que las empresas cuenten con mecanismos de respuesta previamente establecidos. A estas consecuencias se suman los posibles daños reputacionales y la pérdida de confianza de clientes y socios comerciales, que pueden comprometer la continuidad de las operaciones.
Nuestro equipo ofrece asesoría especializada en protección de datos personales, incluyendo diagnósticos de cumplimiento, auditorías, elaboración y actualización de políticas y protocolos, así como acompañamiento en la implementación de medidas legales, técnicas y organizativas. Le ayudamos a identificar riesgos, cerrar brechas de cumplimiento y preparar a su empresa para las nuevas exigencias regulatorias.