Ley 8968: ¿qué exige la protección de datos si alojas tu web en la UE?

Respuesta corta

La Ley 8968 (2011) es la ley general de protección de datos personales de Costa Rica y la aplica la PRODHAB, la Agencia de Protección de Datos de los Habitantes.
La ley no prohíbe alojar tu web fuera del país; exige que tengas consentimiento informado (art. 5), que protejas los datos con medidas técnicas y de organización (art. 10) y que, si transfieres datos, el titular lo haya autorizado expresa y válidamente (art. 14).
Alojar en la UE no te exime de esas obligaciones: la responsabilidad legal sigue siendo tuya como responsable de la base de datos.
4hosting ofrece infraestructura en Frankfurt y un contrato de tratamiento de datos (DPA, art. 28 GDPR); no certifica que tu negocio cumpla la ley costarricense.

Qué dice la Ley 8968

La Ley 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, se publicó en 2011 y crea la PRODHAB, adscrita al Ministerio de Justicia y Paz. Protege la autodeterminación informativa (art. 1) y se aplica a datos personales en bases de datos automatizadas o manuales, públicas o privadas (art. 2).

Tres artículos importan al elegir hosting. El artículo 5 exige informar al titular, entre otros puntos, de la finalidad, los destinatarios y la identidad del responsable, y obtener su consentimiento. El artículo 10 obliga al responsable a adoptar medidas técnicas y de organización para evitar acceso no autorizado, pérdida o destrucción. El artículo 14 dispone que los datos solo pueden transferirse cuando el titular lo haya autorizado expresa y válidamente, sin violar los principios y derechos de la ley.

La ley reconoce además los derechos de acceso, rectificación, cancelación y oposición. Consulta el texto oficial en el Sistema Costarricense de Información Jurídica (SCIJ) y la normativa publicada por la PRODHAB.

Alojar en la UE: dónde están los servidores

Los centros de datos de 4hosting están en la Unión Europea, en Frankfurt; no hay servidores en Costa Rica. Para el visitante costarricense la latencia es mayor que con un servidor local, y no publicamos cifras porque no las hemos medido.

Si tus datos personales viajan a un servidor en la UE, revisa con tu asesor legal si en tu caso eso es una transferencia (art. 14) o un encargo de tratamiento a un proveedor, y deja documentado el consentimiento y el contrato. La UE ofrece un marco de protección de datos propio (GDPR), pero eso no sustituye tus obligaciones ante la PRODHAB.

Sobre reformas: existe un proyecto de ley (expediente 23097) que propone sustituir la Ley 8968. No pudimos confirmar su aprobación a la fecha de esta guía; verifica el estado vigente antes de tomar decisiones.

Ejemplos concretos

Tienda en línea con clientes en Costa Rica

Recoges nombre, correo y dirección de entrega. Tu aviso de privacidad debe decir para qué usas esos datos y con quién los compartes (por ejemplo, el proveedor de hosting y el operador de pagos), y el consentimiento debe quedar registrado.

Startup de software con base de usuarios

Tus usuarios suben datos a tu aplicación alojada en un VPS. Las medidas de seguridad (acceso con llave, firewall, copias de seguridad cifradas, registro de accesos) son parte de lo que la ley te pide demostrar.

Clínica o consultorio con formulario de citas

Los datos de salud son datos sensibles según el art. 3 de la ley. Requieren especial cuidado; consulta con tu asesor legal antes de decidir dónde y cómo los almacenas.

Errores frecuentes

Pensar que el proveedor de hosting "cumple la ley por ti". El cumplimiento es del responsable de la base de datos, no del proveedor.
Publicar formularios de contacto o registro sin informar la finalidad, los destinatarios y la identidad del responsable (art. 5).
No revisar si el flujo de datos hacia un servidor o proveedor en otro país cuenta como transferencia en tu caso, y no tener la autorización del titular cuando corresponde (art. 14).
Dejar accesos, copias de seguridad o paneles sin controles mínimos de seguridad (art. 10).

Cómo te ayuda 4hosting

Ponemos la infraestructura: VPS y servidores en centros de datos de la UE, protección DDoS, migración gratuita y un contrato de tratamiento de datos (DPA, art. 28 GDPR). Cada plan incluye horas mensuales de DevOps y ciberseguridad, que puedes usar para el endurecimiento de servidores y las copias de seguridad, en línea con las medidas de seguridad del artículo 10. Trabajamos con una alineación a ISO 27001, no con una certificación. No certificamos cumplimiento legal: eso sigue siendo responsabilidad de tu empresa.

Preguntas frecuentes

¿Puedo alojar mi web de Costa Rica en un servidor de la UE?

La Ley 8968 no impone que el servidor esté en Costa Rica. Lo que exige es consentimiento informado, seguridad y, cuando hay transferencia de datos, autorización expresa y válida del titular. Confirma con tu asesor legal cómo aplica a tu caso.

¿4hosting certifica el cumplimiento de la Ley 8968?

No. 4hosting aporta infraestructura en la UE, protección DDoS y un contrato de tratamiento de datos (DPA, art. 28 GDPR). El cumplimiento legal de tu negocio sigue siendo tu responsabilidad.

¿Hay una ley nueva que reemplace a la Ley 8968?

Existe un proyecto de ley (expediente 23097) que propone sustituirla. Al 30 de septiembre de 2026 no pudimos confirmar que haya sido aprobado, así que esta guía se basa en la Ley 8968; revisa el estado en la Asamblea Legislativa o con la PRODHAB.

Ver también

Esta guía es informativa y no constituye asesoría legal.