El presidente Carlos Alvarado y otros funcionarios del Poder Ejecutivo han insistido en que la ahora desaparecida Unidad Presidencial de Análisis de Datos (UPAD) se creó porque era necesario contar con datos para hacer una mejor política pública, pero el abogado Mauricio París Cruz, advirtió que para este trabajo no se requería tener acceso a datos personales de los costarricenses.
En comparecencia ante la comisión legislativa que investiga el caso, París afirmó que que con el decreto que creó la Upad, el Poder Ejecutivo limitó el derecho a la privacidad, el cual es un derecho fundamental, sin que existiera una justificación. Criticó que el funcionamiento de la UPAD pasó cuatro meses – o más – sin ser público ni transparente; y que es la Presidencia de la República la responsable del uso que se le dio a esos datos.
El abogado expuso su valoración jurídica respecto al manejo de datos personales de los costarricenses en relación con el caso UPAD el jueves en la Asamblea Legislativa. Dijo que considera que se cometieron una serie de errores en cuanto al dictado del decreto numero 41.996, que creó la unidad y en cuanto al tratamiento de datos personales, incluyendo datos sensibles de los costarricenses, que realizó el grupo de personas de Casa Presidencial.
“Me parece que no se podía limitar un derecho fundamental de los costarricenses por medio de un decreto ejecutivo, sobretodo cuando esa limitación no respondía a una regla de ponderación que permitiera justificar por qué sacrificar un derecho fundamental de todos los costarricenses frente a un objetivo como realizar mejor política pública, pero que no tiene asidero constitucional ni es un derecho fundamental”, apuntó.
París enfatizó que cuando chocan dos derechos fundamentales se tiene que valorar cuál de ellos está por encima del otro; pero que en este caso “se intentó sacrificar un derecho fundamental, el derecho a la privacidad, sin que al frente tuviéramos una justificación de otro derecho fundamental”.
“¿Cuál es la justificación? El hecho de que el señor Presidente de la República requiriera datos para hacer política pública; eso no es un derecho fundamental”, recalcó.
La justificación de datos para políticas públicas
El Ministerio Público investiga el caso de la Upad porque maneja la hipótesis inicial de que el presidente Carlos Alvarado, el ministro de la Presidencia, Víctor Morales, y el viceministro de Planificación, Luis Daniel Soto, son sospechosos de prevaricato (dictar resoluciones contrarias a la ley) por firmar el decreto que creó la UPAD, disuelta después de conocerse su existencia mediante el diario oficial La Gaceta y publicaciones en medios.
Según la exposición de hechos que se hace en el documento de la Fiscalía, entre mayo de 2018 y octubre de 2019, los investigados Alejandro Madrigal, Andrés Villalobos y Diego Fernández Montero, desempeñándose como asesores de datos del despacho de la presidencia, “conformaron una unidad gubernamental para la compilación y análisis de datos personales de las y los costarricenses, con miras a la supuesta ejecución de políticas públicas; lo anterior sin ningún respaldo legal”.
En su comparecencia, París hizo un recuento de las explicaciones que el Presidente Carlos Alvarado ha dado de para qué se quería la UPAD. “De que se pueda contar con datos para hacer una mejor política pública y lo que explicaban de utilizar datos para saber dónde hay más presas, para poder hacer obra pública y priorizar la obra pública ahí. Me parece que todo eso está muy bien y que debería de darse. Pero el problema es haber traspasado la barrera del dato personal. Para la mayoría de los ejemplos que utilizó el señor Presidente de la República, no se necesitan datos personales”, dijo.
El problema, puntualizó, es cuando se traspasa la barrera del dato personal y usar datos de los costarricenses, ya que eso se tiene que hacer por medio de una ley y por medio del respeto a la publicidad y a la transparencia.
En este sentido, indicó que si existe un tratamiento de datos personales por parte del Estado, ese tratamiento debe ser público y transparente. El decreto que creó la Upad tiene fecha de emisión del 14 de octubre de 2019; pero fue publicado hasta el 17 de febrero de 2020. Según París, no ha podido encontrar otro decreto en tiempos recientes, que tomara cuatro meses en ser publicado. “Durante cuatro meses la UPAD estuvo actuando y realizando tratamiento de datos personales, e incluso muchísimo antes, según ha trascendido en la prensa, sin que ese tratamiento fuera público y transparente”.
En cuanto a las personas responsables por el funcionamiento de la Upad, París señaló que el artículo 3 del decreto que la creó señala que la Unidad será una unidad “de nivel político estratégico” que asesora directamente al Presidente de la República y dependerá de la Presidencia de la República y que el artícul 8 del decreto dice que el responsable de la Upad responde al Presidente.
“Me parece que es claro que el responsable del tratamiento de los datos personales que se haya realizado por parte de este grupo de personas es la Presidencia de la República. El responsable es quien decide con respecto a la base de datos, el uso que se les da y el que decide para qué se van a emplear o no. La institución que hace este tratamiento es la Presidencia”, subrayó.
Mal manejo de la Ley de Protección de Datos Personales
París explicó que el artículo 14 del reglamento de la Ley de Protección de Datos Personales (8968) prevé que los derechos asociados a la autodeterminacion informativa se pueden limitar, exclusivamente en caso de que exista una ley y una resolución fundamentada motivada; que la Constitución Política consagra un derecho fundamental a la privacidad y la ley de Administración Pública dice que los derechos fundamentales solo se pueden limitar por otra ley. Pero que el decreto ejecutivo de la Upad intentó aplicar una limitación a un derecho funamental solo con base en un decreto; no en una ley. “Eso implica un mal manejo de la materia”, dijo.
Otro señalamiento que hizo fue que el artículo 8 de la Ley de Protección de Datos Personales, no solo fue “bastante mal planteado, sino mal aplicado”.
Se ha dicho que ese artículo permitía al Estado limitar los derechos de la Ley de Protección de Datos Personales. Pero París aclaró que el artículo empieza refiriéndose a los principios, los derechos y las garantías aquí establecidos. Y la misma norma responde en el título que se refiere a las excepciones a la autodeterminación informativa del ciudadano y remite al capítulo 2 de la Ley.
“Lo único que se puede limitar aplicando el artículo 8 de la Ley de Protección de Datos Personales sería lo que está incluido en el capítulo 2 de la misma ley. No se puede limitar la aplicación de otros elementos que contiene la ley y esto es muy importante. Otras obligaciones, tales como las reglas asociadas a la transferencia de datos personales, las reglas asociadas a la seguridad en el tratamiento de los datos personales o incluso las reglas de cuáles son las bases de datos que se tendrían que registrar ante la Agencia de Protección de Datos de los Habitantes (Prodhab), no pueden ser sujeto de limitación aplicando el artículo 8”, detalló.
París es profesor en el posgrado en la Facultad de Derecho de la Universidad de Costa Rica (UCR), tiene una maestría de la Universidad Carlos III de Madrid, España, es especialista en protección de datos personales, representante en Centroamérica de la Asociación Latinoamericana de Privacidad y gerente para América Latina de la firma española ECIJA, de asesoramiento en tecnología, medios y telecomunicaciones.
Asimismo, el año pasado fue contratado por la Prodhab para que desarrollara una estrategia nacional de privacidad, como parte de una cooperación con el Gobierno del Reino Unido. París dice que entregó la estrategia desde marzo de este año a la Agencia.
