Costa Rica acaba de aprobar su primera ley de gobernanza digital. La Ley N.° 10946, Ley de Gobernanza de los Servicios Digitales y el Comercio Electrónico, fue publicada en el Alcance N.° 80 a La Gaceta N.° 116 del 24 de junio de 2026 y entrará en vigencia doce meses después. Durante ese plazo, el Poder Ejecutivo deberá emitir el reglamento correspondiente, según dispone su transitorio único.

Leída por encima, parece una norma más sobre comercio electrónico. Leída con detenimiento, su artículo 1 revela un alcance mayor. El objeto de la ley no se limita a regular transacciones electrónicas, sino que comprende los servicios de la sociedad de la información, las obligaciones y responsabilidades de sus distintos actores - especialmente de los prestadores de servicios de intermediación en línea - y las actividades preparatorias del comercio electrónico, como la publicidad y la información que se brinda al consumidor sobre características, descripción y precio de los bienes y servicios.

Los fines que la propia ley declara ayudan a comprender su lógica. Busca proteger efectivamente a los consumidores, garantizar sus derechos fundamentales e incrementar sus posibilidades de decisión y autonomía en el entorno digital, con el propósito de establecer un marco de transparencia para las plataformas en línea. Esa combinación de autonomía, transparencia y gobernanza permite interpretar el sentido de muchas de las obligaciones que desarrolla posteriormente.

El ámbito subjetivo de aplicación también merece atención. La ley alcanza a cualquier persona física o jurídica, pública o privada, que preste servicios de la sociedad de la información —concepto que la propia ley define en su artículo 4— o realice actividades comprendidas dentro de su objeto, lo que, según la actividad desarrollada y las definiciones del mismo artículo, puede incluir comerciantes, plataformas en línea, prestadores de servicios de intermediación, motores de búsqueda, servicios de alojamiento de datos y proveedores de servicios digitales transfronterizos, definidos en el artículo 4 como aquellos prestados por proveedores no domiciliados en Costa Rica pero consumidos desde el país.

Ahora bien, no todas las obligaciones recaen con la misma intensidad sobre todos los sujetos alcanzados por la ley. El artículo 42 excluye a las micro, pequeñas y medianas empresas registradas ante el Ministerio de Economía, Industria y Comercio (MEIC) de las obligaciones previstas en el Capítulo V sobre diligencia debida, mientras mantengan esa condición.

Que una organización no esté directamente alcanzada por todas las obligaciones no significa que pueda ignorar la norma. Muchas de sus disposiciones reflejan buenas prácticas de transparencia, información al consumidor y diseño responsable que pueden servir como referencia para cualquier organización que ofrezca servicios digitales o mantenga una relación electrónica con clientes, incluso cuando no esté sujeta a todas sus exigencias específicas. Vista desde esa perspectiva, la ley también constituye un referente útil de buenas prácticas de gobernanza digital.

La ley incorpora reglas dirigidas a combatir los llamados patrones oscuros comerciales o dark patterns , definidos expresamente en el artículo 4 como prácticas digitales que alteran la toma de decisiones de los consumidores mediante la forma en que se les presentan las opciones. El artículo 17 prohíbe seleccionar previamente prestaciones que el consumidor no haya elegido o utilizar mecanismos automáticos que induzcan a error para obtener su consentimiento. El artículo 39 desarrolla ese enfoque y prohíbe diseñar interfaces que distorsionen la capacidad del usuario para tomar decisiones libres e informadas, incluyendo otorgar mayor protagonismo visual a una opción de consentimiento sobre otra, o hacer significativamente más difícil cancelar un servicio que contratarlo. Lo que durante años fue principalmente un debate sobre ética del diseño digital y experiencia de usuario pasa a tener, con esta ley, consecuencias regulatorias concretas.

Otro bloque de obligaciones recae sobre los sistemas automatizados. El artículo 48 exige que las plataformas que utilizan sistemas de recomendación expliquen de manera clara los principales parámetros utilizados, la importancia relativa de cada uno y los objetivos para los cuales fueron optimizados. El artículo 43 dispone que las decisiones sobre reclamaciones no se adopten exclusivamente mediante procesos automatizados y que exista intervención humana significativa cuando el contexto lo requiera. El artículo 47 incorpora obligaciones de transparencia en publicidad digital y prohíbe utilizar datos personales de menores de trece años para publicidad personalizada basada en el comportamiento. El artículo 33, por su parte, protege el cifrado de extremo a extremo y prohíbe que cualquier autoridad imponga obligaciones generales de conservación indiscriminada de datos personales, salvo orden judicial específica y motivada.

Las organizaciones que cuentan con programas de Compliance maduros ya vienen incorporando obligaciones que trascienden la prevención de la corrupción o el fraude. La protección de datos personales, la libre competencia, la protección del consumidor, los canales de denuncia, la contratación pública o, más recientemente, la gobernanza de la inteligencia artificial son algunos ejemplos. La Ley N.° 10946 se inserta en esa evolución y plantea nuevos desafíos vinculados con la gobernanza digital. Ahora también será necesario analizar si la información que recibe el consumidor es suficientemente clara, si cancelar una suscripción resulta tan sencillo como contratarla, si la organización puede explicar el funcionamiento de sus sistemas de recomendación o si determinadas decisiones de diseño pueden afectar la autonomía de los usuarios.

Abordar esas preguntas difícilmente puede hacerse desde una sola disciplina. La propia ley, al disponer que sus normas se entienden sin perjuicio de otros regímenes jurídicos —protección al consumidor, defensa de la competencia, protección de datos personales, telecomunicaciones, propiedad intelectual y firma digital—, confirma que la gobernanza digital exige un enfoque transversal en el que Compliance, tecnología, mercadeo y experiencia de usuario trabajen con un objetivo común.

El período previo a la entrada en vigor no debería leerse como un espacio para postergar la preparación. El reglamento pendiente de emisión aportará criterios técnicos sobre la forma en que la Administración espera que estas obligaciones sean implementadas y fiscalizadas, lo que refuerza la conveniencia de anticiparse. Las organizaciones que utilicen ese tiempo para hacer un diagnóstico de aplicabilidad, identificar brechas y ajustar plataformas, términos y condiciones y procesos internos llegarán al 2027 en una posición distinta a las que esperen.

En cualquier caso, la preparación tampoco debería responder únicamente a una lógica preventiva o de buenas prácticas. La propia ley incorpora un régimen sancionatorio y atribuye a la Comisión Nacional del Consumidor la competencia para conocer y sancionar las infracciones previstas en ella. Dependiendo de la obligación incumplida, la ley distingue entre infracciones leves y graves y prevé multas, apercibimientos y otras medidas correctivas, lo que confirma que muchas de estas exigencias tendrán consecuencias jurídicas concretas una vez entre en vigor.

Si algo ha demostrado la evolución del Compliance es que sus fronteras no permanecen estáticas. La Ley N.° 10946 representa un paso más en esa evolución. En adelante, también será necesario evaluar cuestiones como el diseño de las interfaces, los mecanismos para obtener el consentimiento de los usuarios y la transparencia de los sistemas de recomendación.

1- El término dark patterns fue acuñado el 28 de julio de 2010 por Harry Brignull, especialista en experiencia de usuario, con el registro del sitio darkpatterns.org, hoy disponible como deceptive.design. Brignull consolidó el marco conceptual en su libro de referencia sobre el tema: Brignull, H. (2023). Deceptive patterns: Exposing the tricks tech companies use to control you. Testimonium Ltd. ISBN 978-1-7394544-0-1. El concepto fue posteriormente incorporado en instrumentos regulatorios internacionales, entre ellos el Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado único de servicios digitales (Reglamento de Servicios Digitales o Digital Services Act). La Ley N.° 10946 adopta la expresión patrones oscuros comerciales y la define expresamente en su artículo 4.

2- El término experiencia de usuario (user experience, UX) fue acuñado en 1993 por Don Norman para identificar a su equipo de trabajo en Apple Computer. Nielsen Norman Group, la firma de investigación en usabilidad fundada por Norman y Jakob Nielsen, lo define como todo lo que abarca la interacción del usuario final con una empresa, sus servicios y sus productos. Nielsen Norman Group. (s.f.). What is user experience (and what is it not?). Recuperado de https://www.nngroup.com/articles/what-is-user-experience/