Ley 8968: qué debe cumplir tu sitio web en Costa Rica
Si tu negocio tiene un sitio web con formularios de contacto, boletín por correo, tienda en línea o un simple «suscríbete aquí «, probablemente ya estás recolectando datos personales. Y eso significa que la Ley 8968 te aplica, aunque nunca la hayas leído.
Esta guía resume, en lenguaje sencillo, qué exige la ley, cómo afecta a tu sitio web y qué pasos concretos puedes tomar para cumplir sin volverte abogado en el intento.
¿Qué es la Ley 8968?
La Ley 8968, llamada oficialmente Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, fue publicada en La Gaceta el 5 de setiembre de 2011.[1] Su objetivo es proteger el derecho de toda persona a la autodeterminación informativa: saber qué datos suyos tiene una empresa, para qué los usa y poder corregirlos u oponerse a su tratamiento.[2]
En otras palabras: la ley no prohíbe recolectar datos, pero exige que lo hagas con permiso, transparencia y cuidado.
La entidad encargada de vigilar su cumplimiento es la PRODHAB (Agencia de Protección de Datos de los Habitantes), adscrita al Ministerio de Justicia y Paz.[3] La ley cuenta además con un reglamento de aplicación (Decreto Ejecutivo N.° 37554-JP) que detalla varios de estos requisitos.[4]
¿A quién aplica?
La ley aplica a cualquier base de datos, pública o privada, automatizada o manual, que contenga datos personales. Quedan exentas las bases de datos de uso interno, personal o doméstico, siempre que no se vendan ni se compartan con fines de distribución o comercialización.[5]
En la práctica, esto significa que si tu sitio web recolecta datos de clientes o visitantes —nombre, correo, teléfono— para dar seguimiento comercial, enviar boletines o nutrir una base de leads, ya estás dentro del alcance de la ley.
Lo que debe cumplir tu sitio web
1. Consentimiento informado en cada formulario
Todo formulario de contacto, suscripción o registro debe obtener el consentimiento expreso de la persona antes de recolectar sus datos. El consentimiento debe ser libre, específico e informado, y puede darse por escrito o de forma electrónica (por ejemplo, un checkbox que la persona debe marcar activamente).[6]
Evita las casillas premarcadas o el consentimiento «implícito» por el simple hecho de enviar el formulario. Debe quedar claro qué se recolecta y para qué se usará.
2. Política de privacidad visible y clara
Tu sitio debe informar, en un lenguaje accesible, qué datos recolecta, con qué finalidad, quién los tratará y cómo la persona puede ejercer sus derechos. Esta política debe estar visible y accesible desde cualquier página, no escondida en un enlace perdido en el footer.
3. Registro ante PRODHAB (cuando corresponde)
El artículo 21 de la ley obliga a inscribir ante PRODHAB las bases de datos administradas con fines de distribución, difusión o comercialización.[7] Si tu empresa vende, comparte o comercializa la información de contacto que recolecta (por ejemplo, la comparte con socios comerciales o la usa para campañas de terceros), esa base de datos probablemente debe registrarse. Operar una base de datos no inscrita, cuando la ley lo exige, se considera una falta gravísima.[8]
Si el uso es exclusivamente interno para atender a tus propios clientes, generalmente no se requiere este registro, pero conviene revisar cada caso.
4. Derechos de la persona titular de los datos
La ley reconoce a cada persona el derecho a conocer, rectificar, actualizar o solicitar la eliminación de sus datos cuando estos sean incorrectos o se usen para un fin distinto al autorizado.[9] Tu sitio debe ofrecer un canal claro (un correo o formulario) para que alguien pueda ejercer estos derechos sin fricción.
5. Seguridad y confidencialidad de la información
Quien recolecta datos personales está obligado a resguardarlos con medidas de seguridad razonables y a no usarlos para fines distintos a los que motivaron el consentimiento original.[10] Esto aplica tanto a la base de datos de tu CRM como a integraciones con terceros (email marketing, CRM, automatizaciones).
6. Atención especial a menores de edad
Si tu sitio recolecta datos de personas menores de edad, el consentimiento debe contar con la autorización de madre, padre o representante legal.
7. Cookies, GA4 y GTM: la zona gris que conviene cuidar
La Ley 8968 no menciona «cookies» de forma explícita como sí lo hace el RGPD europeo, pero el principio de fondo aplica igual: si tu sitio usa Google Analytics 4, Google Tag Manager o píxeles de terceros que identifican o pueden asociarse a una persona, esa recolección también cae bajo el paraguas de consentimiento informado. Un banner de cookies claro, con opción real de rechazar el rastreo no esencial, es hoy una buena práctica y un respaldo adicional frente a cualquier reclamo.
¿Qué pasa si no cumples?
La ley clasifica las infracciones en tres niveles de gravedad, con sanciones administrativas que pueden llegar hasta 30 salarios base, además de la posible suspensión de la base de datos entre 1 y 6 meses.[11] Cualquier persona con interés legítimo puede denunciar ante PRODHAB, y el procedimiento está diseñado para resolverse con rapidez.
Checklist rápido para tu sitio web
- Cada formulario tiene una casilla de consentimiento explícita (no premarcada).
- Existe una política de privacidad visible, escrita en lenguaje claro.
- Se identificó si la base de datos requiere inscripción ante PRODHAB.
- Hay un canal definido para atender solicitudes de acceso, corrección o eliminación de datos.
- Las integraciones (CRM, email marketing, GA4/GTM) se revisaron bajo el mismo criterio de consentimiento.
- El sitio cuenta con medidas de seguridad razonables (SSL, backups, control de accesos).
En resumen
La Ley 8968 no busca complicarte la vida: busca que la relación entre tu empresa y tus visitantes sea transparente. Un sitio bien configurado —con formularios claros, política de privacidad visible y buen manejo de las herramientas de analítica— no solo cumple la ley, también genera más confianza y, en la práctica, mejores tasas de conversión.
Notas y referencias
- Asamblea Legislativa de la República de Costa Rica. Ley N.° 8968, Protección de la Persona frente al Tratamiento de sus Datos Personales, publicada en La Gaceta N.° 170 del 5 de setiembre de 2011. ↩
- Ley N.° 8968, artículo 4 (Autodeterminación informativa). ↩
- Ley N.° 8968, artículo 16 y siguientes (creación y funciones de la PRODHAB). ↩
- Decreto Ejecutivo N.° 37554-JP del 30 de octubre de 2012, Reglamento a la Ley N.° 8968. ↩
- Ley N.° 8968, artículo 2 (ámbito de aplicación y exclusiones). ↩
- Reglamento a la Ley N.° 8968 (Decreto N.° 37554-JP), disposiciones sobre consentimiento informado. ↩
- Ley N.° 8968, artículo 21 (inscripción de bases de datos). ↩
- Ley N.° 8968, artículos 29 y siguientes (régimen sancionatorio). ↩
- Ley N.° 8968, artículo 6 y siguientes (derechos de la persona titular). ↩
- Ley N.° 8968, disposiciones sobre confidencialidad y seguridad de la información. ↩
- Ley N.° 8968, artículos 29-31 (clasificación de infracciones y sanciones). ↩
Texto oficial completo de la Ley N.° 8968:
Sistema Costarricense de Información Jurídica (SINALEVI), Procuraduría General de la República: consultar texto completo
Este artículo tiene fines informativos y no constituye asesoría legal. Para casos específicos de cumplimiento normativo, se recomienda consultar con un profesional en derecho.
¿Quieres que revisemos tu GA4?
Auditoría de analítica, en menos de 24 horas.