El uso creciente de Sistemas de identificación biométrico en Costa Rica avanza en un terreno jurídico aún difuso, ya que si bien no se define en la Ley N.° 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, vigente desde 2011, existen pronunciamientos de la Sala Constitucional y especialmente resoluciones de la Agencia de Protección de Datos (PRODHAB) que define los datos biométricos como un dato personal sensible y por ende su tratamiento debe cumplir con un análisis de riesgo, evaluaciones de impacto, entre otras pedidas aplicables a este sistema. Especialistas advierten que la normativa no regula expresamente los riesgos asociados a la inteligencia artificial (IA) ni a las decisiones automatizadas basadas en biometría.

Alejandra Peña Quesada, docente de Derecho de la Universidad Fidélitas, señaló que los datos biométricos, como rostro, huellas dactilares y voz, deben considerarse datos sensibles por su capacidad de identificar de forma inequívoca a una persona. “La ley establece principios generales de consentimiento expreso, finalidad y seguridad en el tratamiento de datos, pero no desarrolla estándares técnicos ni obligaciones específicas cuando estos datos se procesan mediante sistemas de IA”, explicó.

En los últimos años, el reconocimiento facial ha sido utilizado en áreas de videovigilancia y seguridad. Estos sistemas capturan y comparan patrones faciales en tiempo real con bases de datos existentes, lo que abre interrogantes sobre proporcionalidad, consentimiento y supervisión. Según Peña, “cuando se emplea reconocimiento facial sin lineamientos claros sobre base de licitud, almacenamiento, seguridad, acceso y auditoría, se genera una zona gris que puede afectar derechos fundamentales como la autodeterminación informativa y el debido proceso”.

A diferencia de Costa Rica, Europa adoptó el Reglamento de Inteligencia Artificial de la Unión Europea, que clasifica los sistemas de IA por niveles de riesgo y restringe de forma estricta ciertos usos de identificación biométrica en tiempo real en espacios públicos. Además, el Reglamento General de Protección de Datos impone obligaciones reforzadas para el tratamiento de datos biométricos y prevé sanciones que pueden alcanzar hasta el 4% del volumen de negocios global anual de una empresa en casos graves.

En Costa Rica, la autoridad encargada de velar por el cumplimiento de la Ley 8968 es la Agencia de Protección de Datos de los Habitantes (Prodhab). No obstante, la experta advierte que el marco sancionatorio actual fue concebido para un contexto tecnológico distinto. “Hoy enfrentamos escenarios donde un algoritmo puede perfilar, clasificar o excluir personas de servicios financieros, laborales o de acceso a espacios, sin que exista un derecho explícito a impugnar decisiones automatizadas ni una obligación legal clara de explicabilidad algorítmica”, indicó.

Impacto empresarial y riesgos jurídicos

Para el sector productivo, la incertidumbre normativa representa un desafío estratégico. Empresas de seguridad, entidades financieras, comercios y desarrolladores tecnológicos que implementen reconocimiento facial sin el consentimiento expreso de los titulares de los datos o protocolos de debida diligencia podrían exponerse a responsabilidad civil, sanciones administrativas e incluso cuestionamientos constitucionales si se determina afectación de derechos fundamentales.

La experta en Derecho Informático subrayó que la debida diligencia en estos casos debe incluir evaluaciones de impacto en protección de datos, análisis de proporcionalidad y necesidad, cláusulas contractuales claras con proveedores tecnológicos y políticas internas que definan usos permitidos, medidas de cumplimiento del principio de transparencia y explicabilidad, así como mecanismos de supervisión humana. “No se trata de frenar la innovación, sino de gestionarla con gobernanza y transparencia”, afirmó.

El país cuenta con la Estrategia Nacional de Inteligencia Artificial 2024–2027, impulsada por el Ministerio de Ciencia, Innovación, Tecnología y Telecomunicaciones (Micitt), que promueve principios éticos y de derechos humanos en la adopción de IA. Sin embargo, la estrategia no sustituye una reforma legal específica que aborde el tratamiento de datos biométricos y los sistemas automatizados de decisión.

Un debate pendiente

El reconocimiento facial y otras tecnologías biométricas plantean preguntas de fondo sobre privacidad, competitividad e innovación. Para el sector empresarial, la claridad regulatoria es clave no solo para evitar contingencias legales, sino también para generar confianza en consumidores e inversionistas.

“Costa Rica tiene la oportunidad de anticiparse y establecer reglas claras que equilibren desarrollo tecnológico y protección de derechos. Si no se actúa, la zona gris puede convertirse en un foco de litigios y de inseguridad jurídica”, concluyó la académica.