La regulación de protección de datos de Costa Rica, establecida principalmente mediante la Ley N° 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales,reconoce una serie de derechos relacionados con el acceso, la corrección y la actualización de la información contenida en bases de datos. Si bien estos derechos están concebidos fundamentalmente para proteger a las personas físicas y su información personal, surge una interesante cuestión práctica respecto de si una persona jurídica también puede solicitar el acceso, la corrección o la actualización de información relativa a la propia compañía, que se encuentre almacenada en una base de datos de un tercero.
El marco normativo define, en términos generales, los datos personales en función de información relativa a una persona física identificada o identificable. En consecuencia, la información que se refiera exclusivamente a una compañía u otra persona jurídica no constituiría, estrictamente hablando,personal data“datos personales” en el sentido convencional contemplado por la legislación. No obstante, existen circunstancias en las que información relativa a una persona jurídica es recopilada, almacenada, procesada y/o divulgada o comercializada por bases de datos privadas, y posteriormente utilizada por terceros para tomar decisiones que pueden tener consecuencias significativas para la compañía, sus empleados o bien para sus relaciones comerciales.
Un caso reciente ilustra esta situación. Una empresa descubrió que las solicitudes de crédito de sus empleados estaban siendo rechazadas debido a que una base de datos consultada por instituciones financieras indicaba incorrectamente que la compañía para la cual trabajaban no se encontraba inscrita en la Sección Mercantil del Registro Nacional de Costa Rica. Una revisión de los registros y asientos registrales correspondientes confirmó que la sociedad sí se encontraba debidamente inscrita.
Con base en una certificación emitida por el Registro Mercantil, la compañía contactó al operador responsable de la base de datos, y solicitó la corrección de la información incorrecta. El operador de la base de datos aceptó la solicitud formal con fundamento en la documentación de respaldo ofrecida, y procedió a rectificar la información de la compañía. Adicionalmente, con fundamento en el derecho de acceso a la información, se solicitó una copia completa de la información relativa a la empresa que se encontraba almacenada en la base de datos. El operador de la base de datos también proporcionó dicha información, a pesar de que la compañía era una persona jurídica y no una persona física.
Este caso resulta particularmente relevante porque ilustra una aplicación práctica que podría extenderse más allá de la definición estricta de datos personales. Si bien la Ley N° 8968 y su reglamento se ocupan principalmente de información relativa a personas físicas, este caso demuestra que las sociedades pueden, al menos bajo determinadas circunstancias, beneficiarse en la práctica de derechos tradicionalmente asociados con la protección de datos personales.
Desde una perspectiva de cumplimiento y gestión de riesgos, esto también pone de manifiesto la importancia de que las compañías supervisen las bases de datos de terceros que recopilan o divulgan información corporativa. La información incorrecta relativa a la existencia jurídica de una sociedad, su estado registral, titularidad, cédula jurídica, domicilio u otros datos corporativos, podría afectar a sus empleados, clientes, proveedores, oportunidades de financiamiento y relaciones comerciales.
En consecuencia, aun cuando la calificación jurídica de la información corporativa comopersonal data“datos personales” pueda estar sujeta a discusión, una compañía cuya información sea mantenida o procesada de manera inexacta o incorrecta por una base de datos de un tercero, podría tener fundamentos razonables para solicitar acceso a dicha información y procurar su corrección o actualización, particularmente cuando el operador de la base de datos destina dicha información para fines que puedan afectar a la empresa o a terceros. El caso reciente descrito anteriormente constituye un ejemplo práctico de cómo estos principios y derechos pueden operar en Costa Rica.