CCSS justifica entrega de datos privados de asegurados y patronos al Banco Central

Asimismo, la Caja justificó que no es necesario contar con el permiso de los contribuyentes al Seguro de Salud (SEM) y al régimen de Invalidez, Vejez y Muerte (IVM) para remitir los archivos requeridos por el BCCR con detalles de más de 1,7 millones de trabajadores y 77.034 patronos.

Así se desprende de varios documentos entregados a la Junta Directiva de la institución autónoma, de los cuales La Nación tiene copia, por parte de la Gerencia Financiera, el Sistema Centralizado de Recaudación (Sicere) y la Auditoría Interna de la Caja Costarricense de Seguro Social (CCSS).

En el oficio GF-3526-2023, del 21 de septiembre del año pasado, se indica que la institución tiene habilitación legal para suministrar los datos al BCCR, pues existe la excepción de consentimiento informado del asegurado y los patronos establecida en la Ley Orgánica del Banco Central, según se detalla en el informe firmado por Gabriela Artavia, quien era entonces gerente Financiera y ahora es la gerente Administrativa.

LEA MÁS: CCSS entregó al Banco Central datos de salarios e identidad de 1,7 millones de cotizantes sin anonimizar

Y argumenta que el Convenio de cooperación entre la Caja Costarricense de Seguro Social y el Banco Central de Costa Rica, de 2018, y la ley del ente emisor establecen las bases para el deber de confidencialidad de la información remitida.

“Ante la habilitación legal para que el Banco Central requiera los datos de asegurados y patronos y, el deber de la Institución para suministrarlos, el tratamiento de la información se lleva a cabo en pleno respeto de los derechos a la intimidad y autodeterminación informativa”, recalcó Artavia en su informe.

Los argumentos expuestos por la jerarca fueron los mismos que Luis Rivera Cordero, director del Sicere, expuso en el documento GF-DSCR-0710-2023, del 5 de septiembre del año pasado. El Sicere es el departamento que resguarda los datos privados de trabajadores y patronos, y el que se encarga de remitir los archivos al BCCR.

Rivera confirma que los datos se entregan con la identificación de personas y empresas de manera individualizada. “La CCSS le suministra al Banco Central información de asegurados y patronos (...) el Banco Central tiene la potestad para acceder a la información privada que custodian los entes y órganos públicos y, por mandato legal, el Banco Central está impedido de divulgarla”, destaca el funcionario.

La Junta Directiva dio por recibido el oficio de la Gerencia Financiera en la sesión 9.367 realizada el 22 de setiembre del 2023.

Desde el 2022, el Banco Central inició un proceso en el cual exigió datos a entidades públicas y privadas. A mediados de dicho año, a Tributación le requirió el acceso mensual de los comprobantes electrónicos de los contribuyentes, información que se entrega desde entonces.

En noviembre del año pasado, a Rocío Aguilar Montoya, jerarca de la Superintendencia General de Entidades Financieras (Sugef), se le pidió el detalle pormenorizado de deudores del sistema financiero.

Pero debido a la negativa de la funcionaria, requirió los datos de operaciones crediticias al BAC Credomatic, Banco de Costa Rica, Banco Nacional y Banco Popular. Solo el Nacional no la brindó, el resto la dio de manera íntegra.

La superintendenta y Bernardo Alfaro Araya, entonces gerente general del Banco Nacional, fueron denunciados penalmente por el BCCR por no dar la información de clientes bancarios.

Esperar fallo de Sala IV

La Auditoría Interna de la CCSS recomendó a la Junta Directiva, el pasado 14 de febrero, esperar el fallo de la Sala Constitucional sobre la petición del Banco Central de información sin anonimizar. Esto permitiría que la Caja determine el curso a seguir respecto a la entrega de información de personas y empresas.

El auditor Olger Sánchez expuso en el oficio AS-AOPER-0015-2024 que, del estudio realizado, surgen dudas sobre si los datos proporcionados por la Caja, bancos y Tributación son información sensible. Esta situación se aclarará cuando la Sala IV resuelva la acción de inconstitucionalidad presentada por la Asociación Bancaria Costarricense (ABC).

“Se informa a esa administración activa que (...) se realicen los análisis jurídicos que correspondan para garantizar que la información que se maneja en Sicere y en otras bases de datos de la institución, que contengan información privada y sensible de patronos, usuarios y pacientes, se les brinde el tratamiento adecuado de acuerdo con el marco de legalidad”, expuso el auditor en su oficio.

La Auditoría informó a la Junta Directiva que, según el marco legal actual, la entidad puede continuar brindando la información solicitada por el Banco Central. Además, recordó que la Dirección Jurídica de la Caja precisó esto en julio de 2016, incluso cuando se trata de datos sensibles que no se procesarán de forma individual sino de manera global por parte del BCCR.

¿Qué se entrega?

En el informe de Auditoría Interna se detalla la información que Sicere envía mensualmente al Banco Central para la generación de estadísticas globales.

Se envían 16 datos o tipos de información sobre los asegurados, como el número y tipo de identificación, monto del salario o pensión, estado civil, sexo, empresa donde laboran, fecha de nacimiento y nacionalidad.

Para cada uno de los 77.000 patronos inscritos se envían 21 distintos tipos de datos entre los que destacan tipo de patrono y actividad; número de trabajadores y lugar donde realiza la operación. También se debe incluir el aporte obrero y patronal hecho al IVM, Seguro de Salud, Régimen Complementario de Pensiones (ROP), el Fondo de Capitalización Laboral (FCL) y el Banco Popular.

En el oficio del Sicere, del cual este diario tiene copia, se explica que la información se transfiere mediante un Secure File Transfer Protocol (protocolo de transferencia de archivos seguro, en español) el cual cumple con las recomendaciones del Área de Seguridad informática de la institución.

Según el documento, el suministro de datos se realiza en plena sujeción a las disposiciones legales y cumpliendo con las medidas de ciberseguridad y seguridad de la información determinadas por la Caja.