Decreto No. 64/020.- Reglaméntanse los arts. 37 a 40 de la Ley 19.670 de 15 de octubre de 2018, relativos a la protección de datos personales.

PODER EJECUTIVO CONSEJO DE MINISTROS

Decreto 64/020

Reglaméntanse los arts. 37 a 40 de la Ley 19.670 de 15 de octubre de 2018, relativos a la protección de datos personales.

(671 R)

MINISTERIO DEL INTERIOR

MINISTERIO DE RELACIONES EXTERIORES

MINISTERIO DE ECONOMÍA Y FINANZAS

MINISTERIO DE DEFENSA NACIONAL

MINISTERIO DE EDUCACIÓN Y CULTURA

MINISTERIO DE TRANSPORTE Y OBRAS PÚBLICAS

MINISTERIO DE INDUSTRIA, ENERGÍA Y MINERÍA

MINISTERIO DE TRABAJO Y SEGURIDAD SOCIAL

MINISTERIO DE SALUD PÚBLICA

MINISTERIO DE GANADERÍA, AGRICULTURA Y PESCA

MINISTERIO DE TURISMO

MINISTERIO DE VIVIENDA, ORDENAMIENTO TERRITORIAL Y MEDIO AMBIENTE

MINISTERIO DE DESARROLLO SOCIAL

Montevideo, 17 Febrero de 2020

VISTO: los artículos 37 a 40 de la Ley Nº 19.670 de 15 de octubre de 2018;

RESULTANDO: que contienen nuevas disposiciones en materia de protección de datos personales que impactan en el sistema nacional y procuran brindar a las personas un nivel de protección acorde a los nuevos desarrollos tecnológicos y a la evolución en las formas de tratamiento de los datos personales;

CONSIDERANDO: I) que el derecho a la protección de datos personales es un derecho inherente a la persona humana comprendido en el artículo 72 de la Constitución de la República, como lo reconoce el artículo 1º de la Ley Nº 18.331 de 11 de agosto de 2008;

II) que a efectos del dictado de esta reglamentación se han tenido en cuenta las disposiciones y doctrinas más recientes, tales como el Reglamento Europeo Nº 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, los Estándares en Protección de Datos Personales para los Estados Iberoamericanos emitidos por la Red Iberoamericana de Protección de Datos en junio de 2017, el Convenio Nº 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, su Protocolo Adicional de 8 de noviembre de 2001 -ambos aprobados por Ley Nº 19.030 de 27 de diciembre de 2012-, y el Protocolo de Modernización del citado Convenio aprobado por el Comité de Ministros del Consejo de Europa el 18 de mayo de 2018, suscrito por la República Oriental del Uruguay el 10 de octubre de 2018;

III) que la ubicuidad de las personas en el mundo digital y la protección de sus derechos requiere atender debidamente el alcance de la protección de su información personal, lo que corresponde complementar con los mecanismos de control de cumplimiento en el ámbito internacional y las necesarias obligaciones de responsables y encargados, que no obstante situarse en el exterior del país, realizan tratamientos de datos de personas que se ubican en éste;

IV) que por otra parte, por la trascendencia y el volumen de la información tratada por múltiples organizaciones respecto de las personas y las eventuales vulneraciones de seguridad, resulta imprescindible establecer un régimen claro en lo que atañe al procedimiento que se debe realizar en esas situaciones;

V) que el estado actual de la protección de datos personales ha llevado a fortalecer el principio de responsabilidad, en su evolución hacia un principio de responsabilidad demostrada, que impone al responsable y encargado en su caso, la obligación de demostrar que las actividades de tratamiento cumplen con la legislación aplicable. En ese sentido se ha incorporado un mínimo de medidas entre las que se encuentran la protección de datos desde el diseño y por defecto y las evaluaciones de impacto previas-, máxime en los casos en que existe un mayor riesgo para las personas;

VI) que, asimismo, la Ley que se reglamenta ha incorporado la figura del delegado de protección de datos, el que debe contar con las competencias necesarias e independencia técnica para cumplir sus funciones en forma apropiada. Su designación resulta pertinente en los casos de entidades públicas, entidades que traten datos sensibles o que realicen tratamiento de grandes volúmenes de datos personales;

VII) que acorde con lo previsto en el artículo 32 de la Ley Nº 18.331 de 11 de agosto de 2008, se consultó al Consejo Consultivo de la Unidad Reguladora y de Control de Datos Personales y se contemplaron, en lo pertinente, sus planteos, elevándose proyecto de reglamentación por parte del Consejo Ejecutivo de dicha Unidad.

ATENTO: a lo expuesto y a lo previsto por el artículo 168 ordinal 4º de la Constitución de la República;

EL PRESIDENTE DE LA REPÚBLICA - actuando en Consejo de Ministros -

DECRETA:

Capítulo I Ámbito territorial Artículos 1 y 2

Artículo 1º Ámbito territorial

A los efectos de lo dispuesto por el artículo 37 de la Ley Nº 19.670 de 15 de octubre de 2018, se entenderá que el responsable o encargado de tratamiento se encuentra establecido en territorio uruguayo cuando realice en éste una actividad estable, sin importar la forma jurídica adoptada para ello.

En caso que el responsable o encargado no se encuentre establecido en territorio uruguayo, la Ley N-18.331 de 11 de agosto de 2008 y esta reglamentación igualmente regirán si:

1. Las actividades de tratamiento de datos están relacionadas con la oferta de bienes o servicios dirigidos a habitantes de la República lo cual se apreciará a través de elementos tales como el uso del idioma, la referencia al pago en moneda nacional o la provisión de servicios conexos no necesariamente prestados por el responsable o encargado en territorio uruguayo.

2. Las actividades de tratamiento de datos están relacionadas con el análisis del comportamiento de los habitantes de la República, incluyendo las destinadas a la elaboración de perfiles, siendo aplicable al efecto en especial lo dispuesto en el artículo 16 de la ley Nº 18 331 de 11 de agosto de 2008.

3. Lo disponen normas de derecho internacional público o un contrato. En ningún caso los contratantes podrán excluir la aplicación de...