La Ley 8968 en pratique : ce que votre entreprise doit faire

Le Costa Rica dispose d’une loi sur la protection des données depuis 2011, et beaucoup d’entreprises du pays vivent avec elle sans trop savoir ce qu’elle exige d’elles. Quand le sujet surgit — en général parce que quelqu’un s’apprête à acheter un nouveau système —, la conversation se remplit de demi-vérités répétées, et celle qui revient le plus souvent est aussi la moins exacte.

Ce qu’est la Ley 8968

La Ley N.º 8968, Ley de Protección de la Persona frente al tratamiento de sus datos personales — la loi costaricienne de protection des données personnelles —, adoptée le 7 juillet 2011 et publiée dans La Gaceta le 5 septembre de la même année, régit ce qu’une organisation peut faire de l’information concernant des personnes identifiables. Elle a été précisée par le décret exécutif 37554-JP et elle est supervisée par la PRODHAB, l’agence nationale de protection des données.

Sa prémisse est que la donnée appartient à la personne, non à celui qui la recueille. Celui qui la recueille l’administre sous conditions, et ces conditions ne s’épuisent pas au moment de la demander.

Les quatre obligations qui touchent presque toute entreprise

1 · Consentement informé et exprès

Avant de recueillir une donnée personnelle, il faut dire à la personne qui la recueille, dans quel but, ce que l’on va en faire, si elle sera transmise à quelqu’un et quels sont ses droits. Et il faut obtenir son autorisation.

Ce qui est le plus souvent enfreint, ce n’est pas de demander la permission : c’est de respecter la finalité. Le numéro qu’un client a donné pour organiser une livraison a été donné pour organiser une livraison. L’utiliser ensuite pour une campagne de promotion est un traitement différent, et il lui faut sa propre base.

2 · Les droits de la personne

Toute personne peut vous demander de lui dire quelles données la concernant vous détenez, de les corriger si elles sont fausses, de les supprimer lorsqu’elles ne sont plus nécessaires ou ont été recueillies indûment, et de s’opposer à certains usages.

L’implication pratique est sous-estimée : vous devez être capable de retrouver toutes les données d’une personne lorsqu’elle vous les demande. Si les données d’un client sont réparties entre un système, trois feuilles de calcul et les WhatsApp de deux employés, ce droit ne peut pas être satisfait, quelle que soit la bonne volonté.

3 · Mesures de sécurité

La loi exige des mesures techniques et organisationnelles proportionnées à la nature de la donnée et au risque, afin de la protéger des accès non autorisés, de la perte, de la destruction ou de l’altération.

« Proportionnées » signifie qu’on ne demande pas à une petite entreprise ce qu’on demande à une banque, mais qu’on lui demande quelque chose : contrôler qui accède à quoi, des mots de passe qui ne se partagent pas, des sauvegardes qui ont été testées, et pas de bases de données complètes sur des appareils personnels.

4 · Attention aux transferts

Transmettre des données à un tiers est un traitement qui a besoin de sa propre base. Un éditeur de logiciel, une plateforme d’automatisation ou un outil d’IA sont des tiers, même si on les vit comme « un simple outil ». Le critère opérationnel pour le cas de l’IA se trouve dans quelles données ne devraient pas entrer dans un modèle.

Le point que l’on raconte presque toujours de travers

La phrase qui circule est : « il faut inscrire la base de données auprès de la PRODHAB ». Dite ainsi, elle est fausse.

L’article 21 de la loi dit, littéralement, que « toute base de données, publique ou privée, administrée à des fins de distribution, diffusion ou commercialisation, doit être inscrite au registre que la Prodhab habilite à cet effet ». Une base qu’une entreprise conserve pour sa propre exploitation, et qu’elle ne vend ni ne cède ni ne diffuse, ne relève pas de ce cas de figure du seul fait d’exister.

Avec trois nuances qui comptent, et pour lesquelles il vaut mieux ne pas s’en tenir à la version courte de cet article :

• Le règlement a défini ce qu’il faut entendre par commercialiser, distribuer, diffuser et transférer, et ces définitions sont plus larges que ne le suggère l’intuition : elles couvrent le partage ou la cession de données, à titre gratuit comme à titre onéreux. Bien des pratiques quotidiennes y entrent sans que personne ne les vive comme « vendre des données ».
• L’inscription s’accompagne d’une redevance annuelle de deux cents dollars américains. L’agence ne la fixe pas à sa discrétion : le montant figure dans le texte de la loi, en dollars des États-Unis. Il convient tout de même de confirmer auprès de la PRODHAB le montant et la procédure en vigueur avant de le budgéter.
• Ne pas s’inscrire lorsqu’on le doit est une infraction sanctionnable, pas un oubli administratif. Le doute sur l’obligation de s’inscrire n’est pas un doute anodin, et c’est exactement le genre de question qui justifie une courte consultation juridique.

La formulation honnête est donc : toute base ne s’inscrit pas, mais la frontière est tracée par l’usage, non par la taille. Si votre entreprise partage habituellement des données de clients avec des tiers, cette consultation doit être faite par un avocat ayant sous les yeux le détail de votre activité.

Ce qui se passe en cas de manquement

La PRODHAB peut agir sur plainte ou de sa propre initiative, demander des documents, inspecter des bases de données, ordonner la suspension d’un traitement et la suppression de données recueillies indûment.

Les manquements sont gradués en légers, graves et très graves, et les amendes sont fixées en salaires de base — l’unité de référence qu’utilise l’ordre juridique costaricien — : jusqu’à cinq salaires de base pour les manquements légers, de cinq à vingt pour les graves et de quinze à trente pour les très graves. Leur équivalent en colones change chaque année, parce que le salaire de base est réévalué ; c’est pourquoi cet article donne la fourchette dans l’unité de la loi et non un chiffre qui vieillirait mal.

La sanction qui fait le plus mal n’est pourtant pas l’amende. Pour les manquements très graves, la loi prévoit en outre la suspension du fonctionnement du fichier pendant un à six mois. Traduit en exploitation : six mois sans pouvoir utiliser la base de données avec laquelle l’entreprise travaille.

Que faire cette semaine, sans avocat pour l’instant

Quatre tâches qui ne coûtent rien et qui mettent de l’ordre dans la conversation qui suivra :

1. Faites l’inventaire. Quelles données personnelles vous détenez, où elles vivent, qui peut les voir et depuis quand. Deux ou trois endroits dont personne ne se souvenait apparaissent presque toujours.
2. Écrivez la finalité de chacune. Pourquoi vous les avez demandées. Si vous ne pouvez pas l’écrire, c’est le premier problème.
3. Regardez à qui vous les transmettez. Systèmes, plateformes, agences, comptables. Chacun est un transfert.
4. Décidez qui en répond. Une personne nommée, en charge du sujet. Sans propriétaire il n’y a pas de conformité, il y a de bonnes intentions.

Ces quatre choses faites, la consultation juridique coûte moins et sert davantage. La façon dont nous appliquons ces mêmes règles aux données que ce site recueille est écrite dans la politique de confidentialité.

Questions fréquentes

À quoi la Ley 8968 oblige-t-elle une entreprise au Costa Rica ?

À quatre choses principales : obtenir un consentement informé et exprès avant de recueillir des données personnelles, et respecter la finalité pour laquelle elles ont été demandées ; pouvoir satisfaire les droits de la personne à accéder, rectifier, supprimer et s’opposer ; appliquer des mesures de sécurité proportionnées au risque ; et disposer d’une base propre pour transférer des données à des tiers, éditeurs de logiciels compris.

Faut-il inscrire toute base de données auprès de la PRODHAB ?

Non. L’article 21 de la Ley 8968 exige l’inscription des bases de données, publiques ou privées, administrées à des fins de distribution, diffusion ou commercialisation. Une base qu’une entreprise conserve uniquement pour sa propre exploitation, sans la vendre, la céder ni la diffuser, ne relève pas de ce cas du seul fait d’exister. La nuance importante est que le règlement définit ces termes de façon large et couvre aussi le partage à titre gratuit ; la frontière est donc tracée par l’usage concret et mérite d’être examinée avec un avocat. L’inscription s’accompagne d’une redevance annuelle de deux cents dollars américains.

Quelles amendes la loi costaricienne sur les données prévoit-elle ?

Les manquements sont gradués en légers, graves et très graves. Les amendes s’expriment en salaires de base : jusqu’à cinq pour les légers, de cinq à vingt pour les graves et de quinze à trente pour les très graves. L’équivalent en colones varie chaque année parce que le salaire de base est réévalué. Pour les manquements très graves, la loi prévoit en outre la suspension du fonctionnement du fichier pendant un à six mois, qui en pratique pèse souvent plus lourd que l’amende. La PRODHAB peut également ordonner la suspension d’un traitement et la suppression de données recueillies indûment.

Utiliser un outil étranger d’IA ou d’automatisation enfreint-il la loi ?

Pas en soi. Ce que la norme exige, c’est qu’il existe une base pour ce transfert et que la personne ait été informée que ses données peuvent être traitées ainsi. Le problème apparaît quand des données personnelles sont transmises à un tiers dans une finalité différente de celle pour laquelle elles ont été recueillies, ce qui arrive presque toujours sans que personne ne s’en aperçoive.

La loi costaricienne sur les données va-t-elle changer ?

Un projet de loi est en cours d’examen. Le projet 23.097, « Ley de Protección de Datos Personales », a été déposé le 9 mai 2022 et propose un cadre plus proche du modèle européen. Il n’a été ni adopté ni classé ; la norme en vigueur reste donc la Ley 8968 et son règlement. Il vaut mieux vérifier l’état du projet avant de prendre une décision qui en dépend.