Diario Oficial de la República del Uruguay del 15 de septiembre de 2009 (contenido completo)
IM.P.O.
IM.P.O.
661-A
Nº 27.815 - Septiembre 15 de 2009
CARILLA Nº 5
CONSEJO DE MINISTROS
1
Decreto 414/009
Reglaméntase la Ley 18.331 relativa a Protección de Datos
Personales y Acción de "Habeas Data" y derógase el literal d)
del art. 5º y el art. 6º del Decreto 664/008.
(2.121*R)
MINISTERIO DEL INTERIOR
MINISTERIO DE RELACIONES EXTERIORES
MINISTERIO DE ECONOMIA Y FINANZAS
MINISTERIO DE DEFENSA NACIONAL
MINISTERIO DE EDUCACION Y CULTURA
MINISTERIO DE TRANSPORTE Y OBRAS PUBLICAS
MINISTERIO DE INDUSTRIA, ENERGIA Y MINERIA
MINISTERIO DE TRABAJO Y SEGURIDAD SOCIAL
MINISTERIO DE SALUD PUBLICA
MINISTERIO DE GANADERIA, AGRICULTURA Y PESCA
MINISTERIO DE TURISMO Y DEPORTE
MINISTERIO DE VIVIENDA, ORDENAMIENTO
TERRITORIAL Y MEDIO AMBIENTE
MINISTERIO DE DESARROLLO SOCIAL
Montevideo, 31 de Agosto de 2009
VISTO: que con fecha 11 de agosto de 2008 se promulgó la Ley Nº
18.331 de Protección de Datos Personales y Acción de "Habeas Data".
RESULTANDO: I) que razones de juridicidad y conveniencia
imponen estatuir aquellos aspectos básicos y primarios de la
reglamentación, que ordenen y favorezcan su puesta en práctica de acuerdo
con el postulado constitucional de que el derecho a la protección de datos
personales es inherente a la personalidad humana y por lo tanto está
comprendido en el art. 72 de la Constitución (art. 1 de la Ley).
II) que las facultades legales del Organo de Control creado por los
artículos 31 y siguientes de la Ley, incluyen la potestad regulatoria cuyo
ejercicio permitirá continuar ordenando y favoreciendo la puesta en práctica
de las actividades correspondientes;
CONSIDERANDO: I) que la consagración del nuevo régimen legal
para la protección de datos personales y acción de "habeas data", articula
un conjunto de derechos y obligaciones vinculados a la recolección y
tratamiento, automatizados o manuales, de los datos de las personas físicas
y jurídicas;
II) que es conveniente la adecuación del ordenamiento jurídico nacional
en la materia al régimen de derecho comparado de mayor recibo,
fundamentalmente el consagrado por los países europeos a través de la
Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre
de 1995, relativa a la protección de las personas físicas en lo que respecta
al tratamiento de datos personales y a la libre circulación de éstos.
III) que asimismo corresponde reglamentar el funcionamiento de la Unidad
Reguladora y de Control de Datos Personales creada por la preindicada Ley,
la que tendrá a su cargo los cometidos que por ella se le asignan.
ATENTO: a lo precedentemente expuesto y a lo preceptuado en las
EL PRESIDENTE DE LA REPUBLICA
Actuando en Consejo de Ministros
DECRETA:
TITULO I. DISPOSICIONES GENERALES
Capítulo I. Ambito de Aplicación
1
Artículo 1º.- Ambito subjetivo. El derecho a la protección de los
datos personales se aplica a las personas físicas, directa o indirectamente,
a través de cualquier información numérica, alfabética, gráfica, fotográfica,
acústica o de cualquier otro tipo que refiera a ellas.
Por extensión se aplica a las personas jurídicas, las que gozarán del
régimen tuitivo en cuanto corresponda.
2
Art. 2º.- Ambito objetivo. El régimen jurídico de la protección de
datos personales se aplica a su recolección, registro y todo tipo de
tratamiento, automatizado o no, bajo cualquier soporte y modalidad de
uso, tanto sea en el ámbito público como privado.
Este régimen no será aplicable a las siguientes bases de datos:
A) Las mantenidas por personas físicas en el ejercicio de actividades
exclusivamente personales o domésticas, entendiéndose por éstas las que
se desarrollan en un ámbito estrictamente privado, entre otros, los archivos
de correspondencia y agendas personales.
B) Las que tengan por objeto la seguridad pública, la defensa, la
seguridad del Estado y sus actividades en materia penal, investigación y
represión del delito.
C) Las creadas y reguladas por leyes especiales.
3
Art. 3º.- Ambito territorial. Los tratamientos de datos personales
están sometidos a la Ley que se reglamenta cuando:
A) Sean efectuados por un responsable de base de datos o tratamiento
establecido en territorio uruguayo, siendo éste el lugar donde
ejerza su actividad, cualquiera sea su forma jurídica.
B) El responsable de la base de datos o tratamiento no esté establecido
en territorio uruguayo pero utilice en el tratamiento de datos medios
situados en el país.
Exceptúanse de la regla precedente, los casos en que los citados medios
se utilicen exclusivamente con fines de tránsito, siempre que el responsable
de la base de datos o tratamiento designe un representante, con domicilio
y residencia permanente en territorio nacional, ante el Organo de Control,
a los efectos de cumplir con las obligaciones previstas por la Ley que se
reglamenta y en esta reglamentación. Tal designación no impedirá las
acciones legales que puedan ser promovidas contra el responsable de la
base de datos o tratamiento, ni disminuirá su responsabilidad en cuanto al
cumplimiento de las obligaciones impuestas legal o reglamentariamente.
Capítulo II. Definiciones
4
Artículo 4º.- Definiciones. A los efectos del presente reglamento, y
sin perjuicio de las definiciones contenidas en la Ley que se reglamenta,
se entiende por:
A) Bloqueo de datos: procedimiento mediante el cual se reservan
datos con el fin de impedir su tratamiento, excepto para ser puestos a
disposición de los Poderes del Estado, o instituciones que estén legalmente
habilitadas, a los efectos de atender las posibles responsabilidades surgidas
del tratamiento.
B) Cancelación o Supresión de datos: procedimiento mediante el cual
el responsable cesa en el uso de los datos. La supresión o cancelación
implicará el bloqueo de dichos datos durante el plazo establecido en la
normativa vigente; vencido éste se deberá proceder a su eliminación
definitiva.
C) Cesión de datos: comunicación de acuerdo con lo establecido en el
artículo 4º literal B) de la Ley que se reglamenta.
D) Dato personal relacionado con la salud: las informaciones
IM.P.O.
IM.P.O.
662-A Nº 27.815 - Septiembre 15 de 2009
CARILLA Nº 6
concernientes a la salud pasada, presente y futura, física o mental, de una
persona. Entre otros, se consideran datos relacionados con la salud de las
personas los referidos a su porcentaje de discapacidad o a su información
genética.
E) Exportador de datos personales: la persona física o jurídica, pública
o privada, situada en territorio uruguayo que realice, conforme a lo
dispuesto en el presente reglamento, una transferencia de datos de carácter
personal a otro país.
F) Importador de datos personales: persona física o jurídica, pública
o privada, receptora de los datos de otro país, en caso de transferencia
internacional de éstos, ya sea responsable del tratamiento, encargada del
tratamiento o tercero.
G) Interesado: titular del dato de acuerdo con lo establecido en el
artículo 4º literal L) de la Ley que se reglamenta.
H) Transferencia internacional de datos: tratamiento de datos que
supone una transmisión de éstos fuera del territorio nacional, constituyendo
una cesión o comunicación, y teniendo por objeto la realización de un
tratamiento por cuenta del responsable de la base de datos o tratamiento
establecido en territorio uruguayo.
Capítulo III. Consentimiento
5
Artículo 5º.- Consentimiento informado para recolección y
tratamiento de datos. Cuando se solicite el consentimiento del titular
para la recolección y tratamiento de sus datos, éste deberá ser informado
de forma que conozca inequívocamente la finalidad a la que se destinarán
los datos, y el tipo de actividad desarrollada por el responsable de la base
de datos o tratamiento. En caso contrario, el consentimiento será nulo.
6
Art. 6º.- Formas de recabar el consentimiento. Deberá facilitarse
al titular un medio sencillo, claro y gratuito para que manifieste su
consentimiento o su negativa al tratamiento de sus datos.
Se entenderá cumplido tal deber cuando se permita al titular la elección
entre dos opciones claramente identificadas, que no se encuentren
premarcadas a favor o en contra.
Corresponderá al responsable de la base de datos o el tratamiento
recabar y guardar la prueba de la existencia del consentimiento o de la
negativa a darlo, por parte del titular, a través de cualquier medio conforme
a derecho.
El responsable de la base de datos o el tratamiento podrá solicitar el
consentimiento del titular a través del procedimiento establecido en este
artículo, sin perjuicio de otras formas o modalidades que le ofrezcan
similares o superiores garantías.
Vencido el plazo de diez días hábiles desde que el titular de los datos
reciba la solicitud de consentimiento sin que se manifieste, su silencio
equivaldrá a una negativa.
Capítulo IV. Seguridad
7
Artículo 7º.- Medidas de seguridad. Tanto el responsable como el
encargado de la base de datos o tratamiento deberán proteger los datos
personales que sometan a tratamiento, mediante aquellas medidas técnicas
y organizativas que resulten idóneas para garantizar su integridad,
confidencialidad y disponibilidad.
8
Artículo 8º.- Vulneración de seguridad. Cuando el responsable o
encargado de la base de datos o tratamiento conozca de la ocurrencia de
vulneraciones de seguridad en cualquier fase del tratamiento que realice,
que sean susceptibles de afectar de forma significativa los derechos de
los interesados, deberán informarles de este extremo.
TITULO II. Derechos de los Titulares de Datos
Capítulo I. Derecho de acceso
9
Artículo 9º.- Derechos de los titulares de los datos. Los derechos
de los titulares de los datos previstos en la Ley que se reglamenta se
ejercitarán:
A) Por el titular o su representante, acreditando la identidad de ambos
en su caso; se aplicará por extensión a las personas jurídicas en cuanto
corresponda.
B) En forma conjunta o independiente.
C) Exento de formalidades y en forma gratuita.
D) Mediante comunicación dirigida al responsable de la base de datos
o tratamiento, que contendrá:
a. Identificación del titular.
b. Motivo de la solicitud.
c. Domicilio real y domicilio constituido a efecto de las
notificaciones.
d. Fecha y firma del solicitante.
e. Documentos acreditantes de la solicitud.
El responsable deberá contestar la solicitud en el plazo de cinco días
hábiles desde su presentación.
La información que se proporcione, cualquiera sea el soporte en que
fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o
códigos.
10
Art. 10º.- Derecho de rectificación. El derecho de rectificación es el
que tiene el titular a que se modifiquen los datos que resulten ser inexactos
o incompletos.
11
Art. 11º.- Derecho de actualización. El derecho de actualización es
el que tiene el titular a que se modifiquen los datos que resulten inexactos
a la fecha de ejercicio del derecho.
12
Art. 12.- Derecho de inclusión. El derecho de inclusión es el que
tiene el titular a ser incorporado con la información correspondiente en
una base de datos cuando acredite un interés fundado.
13
Art. 13.- Derecho de supresión. El derecho de supresión es el que
tiene el titular a que se eliminen los datos cuya utilización por terceros
resulte ilegítima, o que resulten ser inadecuados o excesivos.
La supresión no procederá cuando los datos personales deban ser
conservados en virtud de razones históricas, estadísticas o científicas y
de acuerdo con la legislación aplicable o, en su caso, en las relaciones
contractuales entre el responsable y el titular, que justificaren el tratamiento
de los datos.
El responsable deberá documentar ante el titular haber cumplido con
lo solicitado indicando las cesiones o transferencias de los datos
suprimidos e identificando al cesionario.
14
Art. 14.- Derechos referentes a la comunicación o la cesión de
datos. La comunicación o la cesión de datos a terceros, solamente procede
para el cumplimiento de los fines directamente relacionados con el interés
legítimo del emisor y destinatario de ésta, previo consentimiento del titular
de los datos a quien se le debe informar inequívocamente la finalidad de
dicha comunicación, identificando al destinatario y el tipo de actividad
que desarrolla.
No se considera comunicación o cesión de datos el acceso por parte
de un encargado de tratamiento, que resulte necesario para la prestación
de un servicio al responsable, salvo que este acceso implique la existencia
de un nuevo vínculo entre el encargado del tratamiento y el titular.
TITULO III. REGIMEN REGISTRAL
Capítulo I. Inscripción en el Registro de Bases de Datos
Personales
15
Artículo 15.- Actos y documentos inscribibles. En el Registro
de Bases de Datos Personales de la URCDP, creado por el artículo 1º
del Decreto Nº 664/008, de 22 de diciembre de 2008, deberán
inscribirse:
A) Las personas físicas que creen, modifiquen o supriman bases de
Para continuar leyendo
Solicita tu prueba