Preguntas
¿Se afecta el derecho a la protección de datos de carácter personal, previsto en el artículo 66, numeral 19 de la Constitución de la República, por la disposición reglamentaria del uso del código dactilar junto al número de cédula de ciudadanía para la emisión de nombramientos de representantes legales de las sociedades controladas por la Superintendencia de Compañías, Valores y Seguros?
Análisis
Con base en lo previamente señalado, el derecho de protección de datos personales se encuentra reconocido en la Constitución, la cual menciona que se podrán realizar tratamientos a los datos personales de los titulares solo con la autorización de estos, ya sea con el consentimiento, o por mandato legal. En este sentido la protección de la información de los titulares de datos y la garantía del derecho se ha tutelado por la LOPDP, la cual regula el mandato establecido en la norma constitucional. Es así, que la CRE delimita a que solo normas con rango de ley pueden ordenar el tratamiento de datos personales, siempre y cuando dicho tratamiento cumpla con los principios que establece la LOPDP, para que así se garantice en todo momento el derecho a la protección de datos personales de sus titulares. La normativa hace una distinción de categorías de datos personales debido a que no todo dato de una persona natural tiene la misma carga de información identificable. Por ende, los datos que se consideren especiales tienen una mayor carga de información de un titular y pertenecen a la esfera más íntima de la persona, por lo que merecen y se les debe otorgar un mayor nivel de protección y seguridad. En este sentido, la huella dactilar se considera un dato biométrico, por ende, debe tener un mayor nivel de protección y seguridad. Ahora bien, el código dactilar es la codificación de la epidermis del dedo de una persona natural la cual es única e irrepetible, por lo que el código siempre va a ser diferente para cada huella dactilar, en consecuencia, identifica directamente a un titular de datos personales por lo que el código dactilar se considera un dato biométrico. Como se ha mencionado, para poder realizar un tratamiento de datos personales se debe contar con una base legitimadora de tratamiento y, en caso de ser un tratamiento de datos sensibles, se debe contar con bases legitimadoras adicionales previstas en el artículo 26 de la LOPDP. Un tratamiento que contenga la huella dactilar, al ser un dato especial sensible, debe contar con legitimación y, adicionalmente, cumplir con los principios que establece la normativa en protección de datos personales. Es así como se debe realizar un análisis de riesgo respecto al tratamiento con la finalidad de poder identificar los riesgos a los que puede estar sometido el mismo, medidas de mitigación y, si efectivamente es viable llevarlo a cabo. En este sentido, cuando se haya identificado que el tratamiento de datos personales conlleva un alto riesgo para los derechos y libertades del titular o cumple con uno de los supuestos obligatorios mencionados en la LOPDP, se debe realizar una evaluación de impacto de tratamiento, con la finalidad de evaluar el impacto potencial del tratamiento de datos personales sobre la privacidad y los derechos de los individuos. Cabe mencionar que la normativa establece como obligatorio la evaluación de impacto cuando sea un tratamiento a gran escala de categorías especiales de datos y, el RLOPDP dispone que, entre lo que se considera gran escala, se encuentran los tratamientos que afecten a una gran cantidad de datos de varios titulares en proporción de la población correspondiente. Es necesario realizar el análisis de riesgo y la evaluación de impacto, en los casos que corresponda, debido a que se puede identificqr la proporcionalidad del tratamiento y el impacto que el mismo puede tener sobre los derechos del titular de datos. De acuerdo con la normativa antes señaladas, todas las sociedades tienen la obligación de designar un administrador que tenga la representación legal de cada sociedad y, se deberá inscribir su nombramiento con la razón de aceptación. Cabe recalcar que la aceptación que da el representante legal es sobre el cargo, y ésta no versa sobre un tratamiento de datos específico debido a que no cumple con los requisitos normativos para ser considerado como un consentimiento válido y, en el caso específico, la base legitimadora no sería el consentimiento. Adicionalmente, cabe mencionar que a los datos personales de representantes legales no les aplica la LOPDP, siempre y cuando se trate de información identificativa, de contacto o referente al giro de negocio, competencias, facultades, atribuciones o cargo; sin perjuicio de que los datos de los representantes legales que se publiquen estén sometidos a una evaluación de proporcionalidad y efectivamente sean los mínimos necesarios para cumplir con las obligaciones del negocio. Es menester mencionar que los nombramientos tienen “vocación” de publicidad por lo que se incorporan en registros públicos con la finalidad de que la sociedad pueda tener acceso a la información y así protegerse de posibles confusiones o engaños que se puedan realizar en actividades de comercio. En este sentido, la publicidad es uno de los pilares básicos de las actividades de comercio ya que la esencia de esta es que se pueda identificar a la persona del comercio correspondiente con información razonable y relevante para las actividades mercantiles. De acuerdo con lo previamente mencionado se considera una base legitimadora al mandato legal contenido en normativa que tenga el nivel jerárquico de ley el cual ordene un determinado tratamiento de datos personales. Esto, sin perjuicio que la ley que ordene el tratamiento esté de acuerdo con los principios constitucionales y los contemplados en la LOPDP, especialmente el de finalidad, pertinencia y minimización y el de proporcionalidad. La solicitud e inclusión del código dactilar en los nombramientos de representantes legales de las distintas sociedades, de acuerdo con la normativa y los criterios jurídicos presentados, tiene como finalidad la identificación inequívoca de los representantes legales para actividades de comercio. Sin embargo, al ya incluirse el número de identificación se logra cumplir con la misma finalidad, por lo que la solicitud de un dato biométrico se considera que no cumple con los principios de proporcionalidad y necesidad respecto a la finalidad determinada.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio N° SCVS-INC-DNCDN-2024-00125858-O del 7 de noviembre de 2024 y al análisis realizado, se concluye que la Resolución N° SCVS-INC-DNCDN-2022-0008 del 21 de junio de 2022 que solicita el código dactilar de los representantes legales de las sociedades junto con el número de cédula de identidad en los nombramiento de estos, es desproporcionado con relación a su finalidad, toda vez que se puede identificar de manera inequívoca a una persona a través del número de cédula de identidad; más aún que los nombramientos se inscriben ante la autoridad competente para que en esencia se cumpla con el principio de publicidad de la Ley de Compañía y el Código de Comercio, lo cual genera un mayor riesgo de vulneración a los derechos de los titulares de datos personales; motivos por los cuales la resolución mencionada vulnera los principios de finalidad, pertinencia y minimización de datos personales, y de proporcionalidad contemplados en los literales d., e. y f. del artículo 10 LOPDP. En respuesta a la interrogante planteada por el consultante de que si: ¿Se afecta el derecho a la protección de datos de carácter personal, previsto en el artículo 66, numeral 19 de la Constitución de la República, por la disposición reglamentaria del uso del código dactilar junto al número de cédula de ciudadanía para la emisión de nombramientos de representantes legales de las sociedades controladas por la Superintendencia de Compañías, Valores y Seguros? Determinamos que la Constitución reconoce y protege el derecho a la protección de datos personales, el cual se garantiza con los principios desarrollados en la LOPDP. Es así que, como se menciona en el párrafo anterior, al vulnerarse los principios que garantizan la protección de datos personales, este derecho se ve afectado en forma directa. El presente pronunciamiento deberá ser entendido en su integridad y se limita a la consulta específica presentada por la SCVS, siendo de exclusiva responsabilidad de la entidad consultante su aplicación.