La Agencia de Protección de Datos de los Habitantes de Costa Rica (PRODHAB) publicó la directriz PRODHAB-DIR-DN-001-2026, que regula el tratamiento de datos personales en gestiones de cobro y comunicaciones con terceros. Se publicó en La Gaceta N.º 137 del jueves 23 de julio de 2026 y, según su numeral IX, rige desde el día siguiente: el 24 de julio de 2026. No tiene régimen transitorio, ni plazo de adecuación, ni período de gracia. Para un grupo funerario costarricense con cartera de planes prepagados, eso significa que la norma ya lleva semanas siendo exigible mientras la operación de cobranza probablemente sigue funcionando igual que en junio.
Los análisis que circulan en Costa Rica sobre esta directriz vienen de firmas legales y hablan del sector financiero: bancos, cooperativas, agencias de cobro. Ninguno la ha leído desde la operación funeraria, que es donde muerde más fuerte por una razón muy concreta: el negocio de la previsión exequial se sostiene sobre cobro recurrente de cuotas pequeñas, y la práctica de toda la vida ha sido llamar al familiar cuando el titular no contesta. Ese reflejo, que en el sector se considera servicio al cliente, es exactamente lo que la directriz prohíbe. Este artículo recorre los nueve numerales del texto publicado y traduce cada uno a la decisión que tiene que tomar la dirección financiera y comercial de una funeraria o un parque cementerio en Costa Rica.
Qué es exactamente la directriz y a quién obliga en Costa Rica
El título completo no deja dudas sobre el alcance: «Directriz general para la garantía de la autodeterminación informativa en el tratamiento de datos personales en gestiones de cobro y comunicaciones con terceros». La firma David Rodríguez Suárez, Director Nacional de PRODHAB, el 17 de julio de 2026 en San José.
El destinatario aparece en mayúsculas en el propio texto de La Gaceta, y es la primera cosa que conviene leer despacio:
DIRIGIDA A: ENTIDADES PRIVADAS Y PÚBLICAS QUE REALICEN O CONTRATEN GESTIONES DE COBRO DE DEUDAS— Directriz PRODHAB-DIR-DN-001-2026, encabezado
Esas dos palabras —«o contraten»— son las que cambian el mapa de responsabilidad de una funeraria costarricense. Muchos grupos del sector en Costa Rica entregan la cartera vencida a una agencia de cobro externa a partir de cierto tramo de mora, con la idea implícita de que a partir de ahí el problema es del proveedor. La directriz cierra esa puerta: quien contrata la gestión de cobro queda igualmente obligado. Y el párrafo de fundamento la abre todavía más, al dirigirse a «los responsables de bases de datos, así como de todo aquel que realice tratamiento de datos personales».
El sustento normativo tampoco es menor. PRODHAB invoca los artículos 3, 4, 5, 6, 7, 9, 10, 11 y 12 de la Ley N.º 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, y ejerce las competencias del artículo 16 de esa misma ley y de su reglamento, el Decreto Ejecutivo N.º 37554-JP. Es decir: no está creando obligaciones nuevas de la nada, está declarando cómo se aplican a la cobranza obligaciones que en Costa Rica existen desde 2011 y que buena parte del sector nunca tradujo a su operación.
Por qué esto golpea justo en el centro de una funeraria costarricense
Hay sectores donde esta directriz obliga a ajustar un guion. En el funerario obliga a revisar el contrato, el formulario de afiliación, la base de datos histórica y la política de cobranza completa. La razón está en cómo se vende y cómo se cobra un plan de previsión exequial en Costa Rica.
Un plan prepagado es, por diseño, una relación de cobro recurrente de cuotas de monto bajo y horizonte largo: el titular paga durante años un servicio que se prestará en una fecha desconocida. En ese modelo, la mora no es un evento excepcional sino una condición permanente de una fracción de la cartera, y el costo unitario de gestionarla es alto respecto del monto adeudado. Por eso el sector desarrolló, en toda la región, un atajo: si el titular no contesta, se llama a quien sí contesta. Normalmente un hijo, un cónyuge, un hermano.
Ese atajo se apoya en un dato que la propia funeraria pidió al momento de la venta. Revisa cualquier formulario de afiliación a un plan exequial y vas a encontrar, con una u otra etiqueta, campos como «referencias personales», «familiar responsable», «contacto de emergencia» o «persona autorizada para reclamar el servicio». Se piden con una justificación razonable —hay que saber a quién avisar y quién puede activar el servicio cuando llegue el momento— y después se usan para otra cosa completamente distinta: cobrar.
Ahí está el problema de fondo, y no es de guion telefónico: es de finalidad. En Costa Rica, un dato recogido para avisar de un fallecimiento no se puede reutilizar para gestionar una cuota atrasada sin el consentimiento de esa persona. La directriz lo dice en el numeral I y lo remacha en el II. Y el sector funerario tiene un agravante propio: el tercero al que se llama suele ser precisamente el doliente, o quien lo será. Una llamada de cobranza a esa persona no es solo una infracción; es un daño reputacional que ningún descuento comercial repara.
Los nueve numerales, traducidos a la operación funeraria
Esta es la tabla que conviene llevar al comité de dirección. La columna del centro cita el texto publicado; la de la derecha traduce el numeral a lo que hay que cambiar en una funeraria o un parque cementerio en Costa Rica.
| Numeral | Lo que dice la directriz | Qué hay que cambiar en la operación |
|---|---|---|
| I — Minimización | «únicamente podrá requerir los datos del titular de la operación»; para incluir terceros hace falta «el consentimiento informado expreso de estas terceras personas», con proporcionalidad y razonabilidad | Rediseñar el formulario de afiliación al plan exequial. Los campos de referencias y familiar responsable dejan de ser de llenado libre por el contratante. |
| II — Prohibición de cobrar a terceros | «Se prohíbe el uso y tratamiento indebido […] de enviar comunicaciones de cobro a personas que no mantienen relación directa con la deuda y que no han otorgado su consentimiento» | Depurar listas de discado, plantillas de SMS y difusiones de WhatsApp. Ningún tercero entra a una campaña de cobro sin consentimiento propio documentado. |
| III — Contacto laboral | «Los datos de contacto laboral no podrán ser utilizados para gestiones de cobro, salvo cuando exista una orden judicial firme» | Sacar del CRM el teléfono de la oficina y el correo corporativo como canales de cobro. Es la prohibición más categórica del texto. |
| IV — Identificación | «En toda comunicación de cobro debe ser fácilmente identificable el responsable de la base de datos» | Reescribir la apertura del guion telefónico y el pie de cartas, correos y mensajes. Aplica también a lo que envía la agencia externa en nombre del grupo. |
| V — Derechos del titular | «mecanismos eficaces y oportunos que permitan a los titulares ejercer los derechos que les reconoce la Ley N° 8968» | Habilitar y publicar un canal real de acceso, rectificación y supresión, con responsable asignado y trazabilidad de la respuesta. |
| VI — Actuación de oficio | PRODHAB «podrá iniciar de oficio Procedimientos de Protección de Derechos cuando existan indicios de incumplimiento» | No hace falta que un cliente denuncie: basta un indicio. Cambia el cálculo de riesgo de toda la política de cobranza. |
| VII — Reincidencia | «La reincidencia en prácticas declaradas indebidas en resoluciones firmes constituirá agravante» y escala a Procedimientos Ordinarios Sancionatorios (arts. 27 y 28 de la Ley 8968) | Documentar la remediación después del primer caso deja de ser opcional: es lo que evita el agravante en el segundo. |
| VIII — Excepciones | Órdenes judiciales o administrativas firmes; obligaciones legales específicas de reporte o verificación «debidamente fundamentadas y proporcionales»; y el consentimiento informado válido | Son tres puertas estrechas. No existe excepción por «interés legítimo» ni por una cláusula genérica del contrato de afiliación. |
| IX — Vigencia | «Esta Directriz entrará en vigor al día siguiente de su publicación en el Diario Oficial La Gaceta» | Exigible desde el 24 de julio de 2026. No hay plazo de adecuación que invocar. |
Numeral I: el formulario de afiliación es el primer problema, no el guion
La reacción instintiva ante una norma como esta es capacitar al equipo de cobranza. Es la reacción equivocada, o al menos la incompleta, porque el incumplimiento no empieza en la llamada: empieza años antes, en el momento de la venta, cuando se captura un dato que no se debía capturar así.
Toda entidad que solicite datos personales para el desarrollo de actividades económicas, financieras, de gestión de cobro o de protección crediticia, únicamente podrá requerir los datos del titular de la operación.— Directriz PRODHAB-DIR-DN-001-2026, numeral I
El numeral no prohíbe tener datos de terceros. Prohíbe tenerlos sin el consentimiento informado expreso de esos terceros y sin que la inclusión resista los principios de proporcionalidad y razonabilidad. Y aquí aparece la distinción que casi ningún formulario del sector respeta hoy en Costa Rica: el consentimiento tiene que darlo la persona cuyos datos se van a tratar, no quien los escribe en el formulario. Que el contratante anote el celular de su hija no significa que su hija haya consentido nada.
Para una operación funeraria costarricense eso obliga a separar dos cosas que hoy viven en el mismo campo de la base de datos:
- El contacto para la prestación del servicio. A quién se avisa y quién puede activar el plan cuando ocurra el fallecimiento. Tiene una finalidad legítima, propia del contrato, y es defendible pedirlo — pero sigue siendo un dato de un tercero y necesita su consentimiento para ser tratado.
- El contacto para gestión de cobro. Es una finalidad distinta, y la directriz la somete a su propio consentimiento expreso. Un consentimiento para lo primero no habilita lo segundo.
- El cotitular o codeudor. Si una segunda persona firma el contrato y asume la obligación de pago, no es un tercero: es titular de la operación. Esta es la vía limpia y contractual para tener a más de una persona legítimamente dentro del circuito de cobro, y conviene usarla de forma explícita en los planes familiares.
Numeral II: la llamada al hijo se acabó
Si el numeral I regula la captura, el II regula el uso, y lo hace sin matices:
Se prohíbe el uso y tratamiento indebido por parte de una entidad responsable de enviar comunicaciones de cobro a personas que no mantienen relación directa con la deuda y que no han otorgado su consentimiento para ser contactadas para este fin.— Directriz PRODHAB-DIR-DN-001-2026, numeral II
Conviene leer con cuidado la conjunción: la prohibición cae sobre quien no mantiene relación directa con la deuda y no ha consentido. Las dos condiciones. Un cotitular mantiene relación directa con la deuda, así que sigue siendo contactable. Un tercero que consintió expresamente ser contactado para ese fin, también. El resto, no.
En la práctica, en Costa Rica esto elimina tres rutinas muy instaladas en la cobranza funeraria: llamar al familiar «para que le avise al titular», dejar el mensaje de la cuota atrasada con quien conteste el teléfono de la casa, y usar el contacto del formulario de afiliación como segunda línea de discado cuando el número principal falla. Las tres eran, hasta julio, práctica estándar del sector. Las tres son hoy, en Costa Rica, exactamente lo que el numeral II describe.
Y hay un matiz que suele confundirse: la prohibición es sobre las comunicaciones de cobro, no sobre toda comunicación. Avisar a un familiar registrado de que el plan está vigente, o gestionar con él la prestación del servicio cuando ocurre el fallecimiento, es otra finalidad. Lo que no se puede es disfrazar de aviso lo que en realidad es una gestión de cobro. Si el mensaje termina pidiendo que alguien pague, es cobro.
Numeral III: el contacto laboral, la prohibición más dura del texto
Los datos de contacto laboral no podrán ser utilizados para gestiones de cobro, salvo cuando exista una orden judicial firme que autorice su utilización para una finalidad específica y debidamente delimitada.— Directriz PRODHAB-DIR-DN-001-2026, numeral III
Este numeral es el único de la directriz que no admite consentimiento como vía de salida. Los numerales I y II se pueden cumplir recabando consentimiento; el III, no: la única excepción que contempla es una orden judicial firme, y además acotada a una finalidad específica y delimitada. En términos operativos: por más que el titular haya autorizado que lo llamen a la oficina, la directriz no habilita ese canal para cobro.
Esto tiene un efecto concreto y medible en el modelo de datos del ERP. En la mayoría de los sistemas del sector, el teléfono del trabajo del afiliado vive en el mismo bloque de contactos que el celular personal, sin ninguna marca que lo distinga, y el marcador del call center los trata igual. Cumplir el numeral III exige tipificar el contacto por naturaleza —personal, laboral, de tercero— y hacer que esa tipificación gobierne qué canales puede usar una campaña de cobro. Es un cambio de configuración del sistema, no una instrucción al equipo.
Numerales IV y V: identificarse y dejar salir
El numeral IV exige que «en toda comunicación de cobro […] sea fácilmente identificable el responsable de la base de datos». La directriz no detalla qué datos concretos satisfacen ese deber —no menciona razón social, cédula jurídica ni un formato—, así que el criterio prudente es que el destinatario pueda saber, sin esfuerzo y sin preguntar, qué entidad tiene sus datos y lo está contactando. En un grupo funerario costarricense que opera con varias razones sociales y marcas comerciales distintas, esto no es trivial: si la sociedad que factura el plan no es la que aparece en el mensaje, el numeral IV está en riesgo. Es un problema clásico de la operación multiempresa, y aquí tiene consecuencia regulatoria directa.
El numeral V, por su parte, obliga a disponer de «mecanismos eficaces y oportunos» para que los titulares ejerzan los derechos de la Ley 8968. Las dos palabras que importan son eficaces y oportunos: un formulario de contacto que nadie atiende no es un mecanismo, y una respuesta que llega en tres meses no es oportuna. Para la dirección, esto se traduce en algo muy concreto: alguien tiene que ser dueño de ese canal, con un plazo de respuesta definido y un registro de lo que se pidió y lo que se hizo. Sin trazabilidad no hay forma de demostrar cumplimiento ante un procedimiento de oficio.
Numerales VI y VII: el riesgo cambió de naturaleza
Hasta ahora, el riesgo regulatorio de una mala práctica de cobranza en Costa Rica dependía de que alguien se quejara. El numeral VI lo cambia: PRODHAB «podrá iniciar de oficio Procedimientos de Protección de Derechos cuando existan indicios de incumplimiento de la presente Directriz o de la normativa aplicable». No hace falta denuncia y no hace falta prueba: basta un indicio.
El numeral VII agrega la escalada: la reincidencia en prácticas ya declaradas indebidas en resoluciones firmes «constituirá agravante y dará lugar a Procedimientos Ordinarios Sancionatorios conforme a los artículos 27 y 28 de la Ley N.º 8968». La lectura para la dirección es que el primer caso define el costo del segundo. Una funeraria costarricense que reciba una resolución y no documente el cambio de proceso está construyendo, sin saberlo, el agravante de su próxima infracción.
La directriz no reproduce las sanciones: remite a los artículos 27 y 28 de la Ley 8968. Conviene precisar qué dice cada uno, porque circula mal. El artículo 27 es el procedimiento sancionatorio —remite al procedimiento ordinario de la Ley General de la Administración Pública, con recurso de reconsideración dentro del tercer día—, y el artículo 28 es el de las sanciones. La clasificación de las conductas no está en ninguno de los dos: está en los artículos 29, 30 y 31.
| Tipo de falta | Multa (art. 28) | Equivalente aproximado en 2026 |
|---|---|---|
| Leve (art. 29) | Hasta 5 salarios base del cargo de auxiliar judicial I | Hasta ¢2.311.000 |
| Grave (art. 30) | De 5 a 20 salarios base | ¢2.311.000 a ¢9.244.000 |
| Gravísima (art. 31) | De 15 a 30 salarios base, más suspensión del funcionamiento del fichero de uno a seis meses | ¢6.933.000 a ¢13.866.000, más la suspensión |
El artículo 28 mide las multas en salarios base del cargo de auxiliar judicial I, según la Ley de Presupuesto de la República. Ese valor está congelado desde 2023 en ¢462.200 para 2026, según la circular de la Secretaría General de la Corte publicada en el Boletín Judicial de diciembre de 2025. Las tres sanciones se imponen «sin perjuicio de las sanciones penales correspondientes».
Numeral VIII: las tres excepciones, y las que la gente cree que existen
La directriz exceptúa las comunicaciones realizadas en cumplimiento de: «a) Órdenes judiciales o administrativas firmes. b) Obligaciones legales específicas de reporte o verificación (debidamente fundamentadas y proporcionales). c) Cuando medie un consentimiento informado otorgado con lo señalado en esta Directriz» —así, literal, en La Gaceta—.
Vale la pena decir con la misma claridad qué no está en esa lista, porque son justamente las defensas que un equipo comercial va a proponer en la primera reunión:
- No existe una excepción por «interés legítimo» del acreedor. La sola existencia de una deuda no habilita a contactar a terceros.
- No sirve una cláusula genérica del contrato de afiliación firmada por el titular. El consentimiento que exige la directriz es de la tercera persona, y sobre la finalidad concreta de cobro.
- No hay excepción por tercerización. El encabezado alcanza a quien contrata la gestión de cobro, así que el contrato con la agencia no es un escudo: es un riesgo adicional que hay que gobernar.
- No hay excepción por monto ni por antigüedad de la mora. La directriz no distingue entre una cuota de previsión de pocos miles de colones y una deuda mayor.
Lo que hay que cambiar en el sistema, no en el discurso
Una política escrita no protege a nadie si el sistema sigue permitiendo lo que la política prohíbe. Esta es la parte que suele quedar fuera de los análisis legales y que, en la práctica, decide si el grupo cumple o no. En una operación funeraria costarricense a escala, cumplir la directriz exige cinco capacidades en el ERP:
- El consentimiento como dato, no como casilla. Hay que poder responder, por cada contacto de la base, quién consintió, para qué finalidad, en qué fecha y con qué evidencia. Un checkbox sin fecha ni respaldo no demuestra nada en un procedimiento de oficio.
- Tipificación del contacto por naturaleza y por rol. Personal, laboral o de tercero; titular, cotitular, contacto de servicio o referencia. El numeral III es incumplible mientras el teléfono de la oficina y el celular personal sean el mismo tipo de dato.
- Contactabilidad gobernada por finalidad. Que sea el sistema —y no el criterio del gestor— el que determine qué números entran a una campaña de cobro. Si un contacto no tiene consentimiento para cobro, no debería ser marcable desde la consola de cartera.
- Trazabilidad de la comunicación. Registro de a quién se contactó, por qué canal, en qué fecha, con qué guion y bajo qué base de legitimación. Sin ese rastro no hay defensa posible frente a un indicio.
- Gobierno del tercerizado. Si la cartera vencida sale hacia una agencia externa, hay que poder acreditar qué datos se entregaron, con qué restricciones de uso y qué hizo la agencia con ellos. Entregar un archivo plano con todos los contactos del expediente es, después del 24 de julio, un riesgo difícil de justificar en Costa Rica.
Ninguna de estas cinco cosas es exótica: son propiedades de un modelo de datos bien construido. Lo que hace la directriz es convertirlas, en Costa Rica, de buena práctica en requisito. Y conviene notar que casi todas viven en la frontera entre el proceso de cartera y cobranza y el modelo de datos del contrato — no en el área legal, que es donde la mayoría de los grupos va a dejar el tema.
Cobranza con IA y agentes: qué queda dentro y qué queda fuera
La directriz llega en el mismo momento en que buena parte del sector está incorporando agentes de IA a la gestión de cartera, así que vale la pena separar lo que sigue siendo perfectamente viable de lo que no.
Sigue siendo viable todo lo que ocurre del lado del análisis: priorizar qué cuentas gestionar primero, estimar la probabilidad de recuperación, elegir el momento del contacto, proponer el guion adecuado al perfil o resumir el histórico de la cuenta para el gestor. Nada de eso implica contactar a un tercero. Es el enfoque que describimos en priorizar la cobranza por valor esperado, y la directriz no lo toca.
Queda fuera, en cambio, cualquier automatización que decida por sí sola a quién contactar tomando los números disponibles en el expediente. Un agente que, ante un titular que no responde, escala automáticamente al siguiente contacto de la ficha está reproduciendo a escala industrial exactamente la conducta que prohíbe el numeral II — y con un rastro digital perfecto para acreditarlo. La regla de diseño es simple: el consentimiento y la tipificación del contacto tienen que ser una restricción del sistema, no una instrucción en el prompt. Un modelo puede ignorar una instrucción; un filtro en la consulta de datos, no.
Esto es un caso de manual de por qué el gobierno de los agentes no es un tema teórico: la lista de lo que nunca se automatiza tiene que estar escrita antes de conectar el agente a la cartera, y tiene que ser verificable en el sistema. Lo desarrollamos en gobierno de agentes de IA en el ERP funerario.
Plan de adecuación para lo que queda de 2026
Como la directriz rige desde el 24 de julio sin período de transición, no hay un cronograma oficial al que acogerse. Lo que sigue es una secuencia razonable para una funeraria o un parque cementerio costarricense que quiera cerrar la exposición más grave primero y demostrar diligencia si aparece un procedimiento de oficio.
| Horizonte | Qué hacer | Por qué en ese orden |
|---|---|---|
| Primeros 15 días | Suspender el uso de contactos laborales y de terceros en toda campaña de cobro activa, incluida la de la agencia externa. Comunicarlo por escrito al proveedor de cobranza. | Es la exposición que se está materializando todos los días. Detener la sangría precede a cualquier rediseño. |
| Primeros 30 días | Inventariar la base: cuántos contactos hay por tipo, cuáles tienen consentimiento acreditable y cuáles no. Reescribir guiones y plantillas para cumplir el numeral IV. | Sin el inventario no se puede dimensionar el problema ni priorizar la remediación por segmento. |
| 60 días | Rediseñar el formulario de afiliación separando finalidad de servicio, finalidad de cobro y figura de cotitular. Habilitar el canal de derechos del numeral V con responsable y plazo. | Detiene la generación de pasivo nuevo. Cada contrato firmado con el formulario viejo agranda el problema. |
| 90 días | Ejecutar la remediación del histórico por segmento: recabar consentimiento, migrar a cotitular por adenda o bloquear el contacto para cobro. Configurar las restricciones en el ERP. | Es el trabajo más pesado y el que necesita que las tres etapas anteriores estén resueltas. |
| Continuo | Auditar muestras de comunicaciones propias y del tercerizado contra la base de legitimación registrada. | El numeral VI premia a quien puede demostrar control, no a quien afirma tenerlo. |
Cinco errores que va a cometer el sector en Costa Rica
- Tratarlo como un tema de capacitación. Se capacita al equipo de cobranza, se firma un acta y la base de datos sigue exactamente igual. El primer gestor con presión de meta vuelve a marcar el número del hijo.
- Confiar en una cláusula de consentimiento en el contrato del titular. Es el error más caro porque da sensación de cumplimiento. El consentimiento que falta es el del tercero, y el titular no puede otorgarlo por él.
- Creer que la agencia externa absorbe el riesgo. El encabezado de la directriz dice «realicen o contraten». Sin cláusulas de tratamiento, restricciones de uso y auditoría, tercerizar es exportar la conducta y conservar la responsabilidad.
- Borrar los datos de terceros en pánico. Sobrerreacción con costo operativo real: se pierde el contacto que permite prestar el servicio cuando ocurre el fallecimiento, que es una finalidad legítima y distinta. Lo que hay que hacer es separar finalidades, no vaciar la base.
- Dejarlo en manos del área legal. El cumplimiento se juega en el modelo de datos, en la configuración del marcador y en el diseño del formulario. Un criterio jurídico sin cambio de sistema no cambia lo que hace la operación mañana.
Cómo se sostiene esto en la plataforma
El requisito de fondo que impone la directriz en Costa Rica es que la cartera, el contrato y el contacto vivan en el mismo sistema, con el consentimiento tratado como un dato con fecha y evidencia. Cuando la gestión de cobro ocurre sobre el mismo modelo donde está el contrato de previsión —y no en una hoja de cálculo exportada hacia un marcador—, es posible que la restricción se aplique en el punto donde se decide a quién se contacta.
En SFUN, ese circuito es el que conecta el módulo de previsión exequial con la consola de cartera, el recaudo móvil para la gestión en campo y los medios de pago que permiten que el titular resuelva sin intermediación de nadie más. Ese último punto no es menor: buena parte de la presión que llevaba a llamar al familiar desaparece cuando el titular tiene un canal de pago propio, inmediato y sin fricción. La mejor forma de cumplir el numeral II no es prohibir la llamada, es no necesitarla.
Sobre la comunicación con el cliente, el mismo criterio aplica a los canales conversacionales: una integración de WhatsApp Business o un agente de Contacto AI hereda las mismas obligaciones que una llamada. Quien recibe el mensaje tiene que poder identificar al responsable de la base de datos, y el número al que se escribe tiene que tener una base de legitimación para recibir cobro. Es el mismo control, aplicado a un canal distinto.
Preguntas frecuentes
¿Desde cuándo rige la directriz PRODHAB-DIR-DN-001-2026 en Costa Rica?
Desde el 24 de julio de 2026. El numeral IX establece que entra en vigor «al día siguiente de su publicación en el Diario Oficial La Gaceta», y la publicación ocurrió en La Gaceta N.º 137 del jueves 23 de julio de 2026. La directriz no contempla período de adecuación ni régimen transitorio: es exigible desde esa fecha.
¿Una funeraria en Costa Rica puede seguir pidiendo referencias familiares al vender un plan exequial?
Puede tratar datos de terceros, pero con el consentimiento informado expreso de esas terceras personas y ajustándose a proporcionalidad y razonabilidad, según el numeral I. La firma del titular en el formulario no sustituye ese consentimiento. Y hay que distinguir la finalidad: un contacto autorizado para avisar del fallecimiento y activar el servicio no queda por eso habilitado para recibir gestiones de cobro, que es una finalidad distinta con su propio consentimiento.
¿Se puede llamar al trabajo del titular si él mismo dio ese número?
No para gestiones de cobro. El numeral III es la disposición más categórica de la directriz: los datos de contacto laboral no pueden usarse para cobrar, «salvo cuando exista una orden judicial firme que autorice su utilización para una finalidad específica y debidamente delimitada». A diferencia de los numerales I y II, aquí el consentimiento del titular no abre una vía alternativa.
Si la cobranza está tercerizada en una agencia, ¿la funeraria queda cubierta?
No. La directriz está dirigida a las entidades «que realicen o contraten gestiones de cobro de deudas», y el párrafo de fundamento alcanza a los responsables de bases de datos «así como de todo aquel que realice tratamiento de datos personales». Contratar la gestión no traslada la responsabilidad: obliga a gobernar qué datos se entregan al proveedor, con qué restricciones de uso y con qué mecanismo de auditoría.
¿Hace falta que un cliente denuncie para que PRODHAB actúe?
No. El numeral VI faculta a PRODHAB a iniciar de oficio Procedimientos de Protección de Derechos «cuando existan indicios de incumplimiento de la presente Directriz o de la normativa aplicable». Y el numeral VII agrega que la reincidencia en prácticas declaradas indebidas en resoluciones firmes constituye agravante y escala a Procedimientos Ordinarios Sancionatorios conforme a los artículos 27 y 28 de la Ley N.º 8968.
¿Cuánto puede costar una infracción en Costa Rica?
El artículo 28 de la Ley 8968 fija multas de hasta 5 salarios base para faltas leves, de 5 a 20 para las graves y de 15 a 30 para las gravísimas, más la suspensión del funcionamiento del fichero de uno a seis meses en este último caso, y todo «sin perjuicio de las sanciones penales correspondientes». Con el salario base de ¢462.200 vigente en 2026, una falta grave se mueve entre ¢2,3 y ¢9,2 millones. Emplear datos para una finalidad distinta de la autorizada por el titular está tipificado como falta grave en el artículo 30, letra c).
¿Esta directriz aplica solo a entidades financieras?
No. Su encabezado la dirige a «entidades privadas y públicas» que realicen o contraten gestiones de cobro de deudas, sin acotarla a un sector. El numeral I menciona expresamente actividades «económicas, financieras, de gestión de cobro o de protección crediticia». Una funeraria o un parque cementerio costarricense que cobre cuotas de un plan de previsión exequial está plenamente dentro del ámbito.
¿Un agente de IA puede gestionar la cobranza en Costa Rica bajo esta directriz?
Sí para analizar y priorizar; no para decidir por su cuenta a quién contactar. La directriz no regula la tecnología sino la conducta, así que una automatización que escale al siguiente contacto del expediente cuando el titular no responde incurre en lo que prohíbe el numeral II, con el agravante de dejar un rastro digital que lo prueba. El control tiene que estar en el modelo de datos —consentimiento y tipo de contacto como restricción de la consulta—, no en las instrucciones dadas al agente.
Fuentes
- Directriz N.° PRODHAB-DIR-DN-001-2026, «Directriz general para la garantía de la autodeterminación informativa en el tratamiento de datos personales en gestiones de cobro y comunicaciones con terceros», Agencia de Protección de Datos de los Habitantes. Firmada el 17 de julio de 2026 por David Rodríguez Suárez, Director Nacional. Publicada en La Gaceta N.º 137 del jueves 23 de julio de 2026, págs. 21-22 (texto completo, numerales I a IX).
- Ley N.º 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, publicada en La Gaceta N.º 170 del 5 de setiembre de 2011, págs. 5-8. El párrafo de fundamento de la directriz remite a sus artículos 3, 4, 5, 6, 7, 9, 10, 11, 12 y 16; el numeral VII, a los artículos 27 (procedimiento sancionatorio) y 28 (sanciones). La tipificación de faltas leves, graves y gravísimas está en los artículos 29, 30 y 31.
- Decreto Ejecutivo N.º 37554-JP, Reglamento a la Ley N.º 8968, citado por la directriz como parte de su fundamento competencial.
- Valor del salario base para 2026 (¢462.200): circular de la Secretaría General de la Corte Suprema de Justicia publicada en el Boletín Judicial de diciembre de 2025, con base en la relación de puestos del Poder Judicial de la Ley N.º 10.836 de Presupuesto de la República.
