Datos de menores de edad, multas y leyes mal planteadas
La norma establece una pena de 10 a 60 días multa a quien difunda, divulgue o utilice la voz o los datos personales de una persona menor de edad
Edición impresa
¡Manténgase al día!
Reciba las últimas novedades e información directamente en su correo.
Con el elocuente nombre “Ley de Protección de la Imagen, la voz y los datos personales de las personas menores de edad”, el 3 de agosto se publicó en La Gaceta la Ley No. 10.238, que adiciona un inciso al artículo 389 del Código Penal. ¿Quién no podría estar a favor de tan loables fines? ¡Hasta el PANI apoyó la iniciativa! Sin embargo, la nueva legislación genera muchas dudas sobre su conveniencia.
La norma establece una pena de 10 a 60 días multa a quien difunda, divulgue o utilice la voz o los datos personales de una persona menor de edad, de cualquier modo, que permita su identificación, sin el consentimiento expreso de las “personas responsables legales”. El importe económico del día multa se fija caso por caso, y puede llegar a ser hasta el 50% del ingreso diario del sentenciado.
Las “personas responsables legales” a las que refiere la norma serán, en la mayoría de los casos, los padres del menor de edad, y siendo que la patria potestad es ejercida por ambos padres, salvo fallecimiento o revocación judicial, esto implica que el consentimiento para ese tratamiento de datos personales debe ser otorgado por ambos progenitores. Entonces, si una madre sube una fotografía con su hijo a Facebook, pero el padre no está de acuerdo, entonces puede denunciar a la madre ante un juez contravencional para que le imponga la multa que prevé la norma, alegando que el consentimiento conjunto no existe.
Menor de edad es el menor de 18 años. Pero no es la misma capacidad de decisión la de un bebé de 1 año, un niño de 8 o un adolescente de 16. Una persona menor de 18 pero mayor de 15 años, puede válidamente trabajar sin autorización de sus padres, así lo faculta el Código de Trabajo. Pero gracias a esta reforma, esa persona adolescente no puede consentir por sí misma que su patrono trate sus datos personales, sin lo cual, en la práctica no podría trabajar, porque su patrono no puede usar su nombre, su número de cuenta bancaria, su dirección, su teléfono, o tomarle una fotografía para un carnet, ni tomar sus huellas dactilares para que utilice un dispositivo de apertura de la puerta del centro de trabajo, ni captar su imagen en cámaras de seguridad, etc., salvo que el menor traiga el consentimiento de sus padres, como si del niño de 8 años se tratara. La opinión del menor de edad es absolutamente obviada en esta norma, en algo tan personal como el tratamiento de sus datos.
Además de no poder trabajar sin el consentimiento de sus padres, pese a que el Código de Trabajo se los faculta, los adolescentes tampoco pueden usar redes sociales sin el consentimiento expreso de ambos padres. Las redes sociales más comunes permiten en sus términos y condiciones que sus usuarios comiencen a usarlas a partir de los 13 años, que es el mínimo que se ha fijado en varias regiones del mundo, como por ejemplo en la Unión Europea, en su Reglamento General de Protección de Datos, norma jurídica más avanzada del planeta en la materia. Entonces, gracias a esta reforma, técnicamente las redes sociales están incurriendo en una contravención masiva a la legislación costarricense desde que se publicó la norma, al estar utilizando los datos de personas menores de edad sin el consentimiento expreso de ambos padres.
El consentimiento expreso requiere una acción afirmativa, generalmente firmar un documento, decir sí, o marcar una casilla. Es decir, ambos padres del menor deben realizar alguna acción afirmativa para autorizar lícitamente el tratamiento de los datos del menor de edad a su cargo, no es válido el consentimiento tácito. Quien use los datos del menor debe procurarse ese consentimiento para no incurrir en la contravención. Entonces, si una madre lleva a su hijo de 15 años al dentista y es necesario abrirle un expediente clínico, para que el médico no incurra en la contravención y no sea potencialmente sancionado con una multa, no va a poder atender al adolescente si no existe el consentimiento expreso de ambos padres. Lo mismo pasará en un colegio en donde se vaya a publicar un anuario con la foto del menor. Piense en los casos en donde los menores de edad, por cualquier motivo, no tienen una relación funcional con alguno de sus padres, y se les exige tener que conseguir su consentimiento para determinar cómo pueden usar o no sus datos.
Y es que la norma no diferencia datos personales de datos personales sensibles, y al no hacerlo, entonces el nombre, el correo electrónico, la dirección de la vivienda, el número de cédula, de la tarjeta de identidad de menores o el reporte de notas, entre otros ejemplos, se entienden cobijados por la norma, por ser todos estos datos personales. Uno encontraría algún sentido a otorgar un grado de protección especial en el Código Penal a los datos sensibles, definidos estos en la Ley 8968 de Protección de Datos Personales como aquellos datos relativos al fuero íntimo de la persona, como sería la preferencia sexual, datos relativos a la salud, religión, origen étnico, etc. Sin embargo, esta diferenciación no se hace en esta ley, y un principio básico del derecho es no distinguir donde la ley no lo hace.
Esta nueva norma entroniza el mito del consentimiento como única base de legitimación para el tratamiento de los datos personales, cuando normativas más avanzadas reconocen otras bases legales para que se pueda realizar el tratamiento de estos datos lícitamente y sin consentimiento expreso, por ejemplo, el cumplimiento de una obligación legal (atender a un niño en un EBAIS), el cumplimiento de una obligación contractual (brindar servicios educativos en un colegio), o incluso satisfacer un interés vital (hacer una prueba de sangre a un niño en emergencias).
Pero, además, los legisladores parecen haber olvidado que la Ley de Protección de Datos, que existe hace 11 años, ya establece sanciones por el tratamiento ilegal de datos personales, y aún más, que ya existe un delito que sanciona con penas de prisión de hasta 4 años la violación de datos personales, en el artículo 196 bis del Código Penal. Es decir, es una norma que, además de torpe, es superabundante.
En conclusión: salvo que la intención del legislador haya sido pagar a corto plazo la deuda interna a punta de las multas generadas con esta reforma, esta ocurrencia debería ser derogada.
