Diario Oficial de la República del Uruguay del 27 de abril de 2021 (contenido completo)
3
Documen tos
Nº 30.669 - abril 27 de 2021
DiarioOficial |
Los documentos publicados en esta edición, fueron recibidos los días 22 y 23 de abril y publicados tal como fueron redactados por el órgano emisor.
PODER EJECUTIVO
CONSEJO DE MINISTROS
1
Ley 19.948
Apruébase el Protocolo de enmienda del Convenio para la Protección de
las Personas con respecto al Tratamiento de Datos Personales, suscrito
en Estrasburgo, el 10 de octubre de 2018.
(1.482*R)
PODER LEGISLATIVO
El Senado y la Cámara de Representantes de la República Oriental
del Uruguay, reunidos en Asamblea General,
DECRETAN
1
Artículo único.- Apruébase el Protocolo de enmienda del Convenio
para la Protección de las Personas con respecto al Tratamiento de Datos
Personales, suscrito en Estrasburgo, el 10 de octubre de 2018.
Sala de Sesiones de la Cámara de Representantes, en Montevideo,
a 7 de abril de 2021.
FERNANDO RIPOLL FALCONE, Secretario; ELSA CAPILLERA,
1era. Vicepresidenta.
TRADUCCIÓN Nº. 025/2019. Convenio para la Protección de las
Personas con respecto al Tratamiento de Datos Personales
/Documento extendido en 18 fojas, redactado en idiomas inglés y
francés. En el margen inferior, las páginas se encuentran numeradas
y obra la leyenda “Convenio 108+”. A solicitud de parte interesada,
se traduce únicamente el texto en idioma inglés. A continuación, se
traducen las primeras 8 fojas./
/A fojas 1:/
/Obra imagen con personas y números./
Convenio 108+
Convenio para la protección de las personas con respecto al
tratamiento de datos personales
www.coe.int/dataprotection
/Obra bandera del Consejo de Europa./
Consejo de Europa
/Al dorso de fojas 1:/
Convenio 108+
Convenio para la protección de las personas con respecto al
tratamiento de datos personales
Consejo de Europa
/A fojas 2:/
Edición en francés:
Convention 108+
Convention pour la protection des personnes à l’égard du traitement des
données à caraetère personnel
Todas las solicitudes relacionadas con la reproducción o traducción,
parcial o total, del presente documento deben dirigirse a la Dirección
de Comunicación (F-67075 Estrasburgo Cedex o publishing@ceo.int).
Cualquier otra correspondencia relacionada con el presente
documento debe dirigirse a la Dirección General de Derechos
Humanos y el Estado de Derecho (DataProtection@coe.int)
Foto: Shuerstock
Diseño gráco de la portada: Departamento de Producción de
Documentos y Publicaciones (SPDP, por sus siglas en inglés), Consejo
de Europa
©Consejo de Europa, Junio de 2018
Impreso en el Consejo de Europa
/Al dorso de fojas 2:/
Contenido
DECISIÓN DEL COMITÉ DE MINISTROS: 5
CONVENIO PARA LA PROTECCIÓN DE LAS PERSONAS
CON RESPECTO AL TRATAMIENTO DE DATOS PERSONALES
ACTUALIZADO: 7
INFORME EXPLICATIVO: 15
/A fojas 3. Página en blanco/
/Al dorso de fojas 3:/
Decisión del Comité de Ministros
Sesión Nº 128 del Comité de Ministros, Elsinor, 18 de mayo de 2018
Decisiones
El Comité de Ministros
1. tomó nota de la Opinión nº 296 (2017) de la Asamblea
Parlamentaria con respecto al borrador del Protocolo modicando
el Convenio para la Protección de las Personas con respecto al
Tratamiento Automatizado de Datos Personales (ETS nº 108);
2. adoptó el Protocolo modicando el Convenio para la Protección
de las Personas con respecto al Tratamiento Automatizado de Datos
Personales (ETS nº 108), tal como aparece en el documento CM(2018)2-
nal, y, como instrumento relacionado con el Protocolo, aprobó el Informe
Explicativo, tal como aparece en el documento CM(2018)2-addnal;
3. recalcó la importancia de una rápida adhesión del máximo de
los Estados Partes del Convenio Nº 108 al Protocolo, a los efectos de
facilitar la formación de un régimen legal general sobre la protección
de datos de acuerdo con el Convenio actualizado, así como asegurar
la mayor representación posible de los Estados en el Comité del
Convenio;
4. decidió abrir el Protocolo a suscripción el 25 de junio de 2018*
durante la tercera parte de la sesión de la Asamblea Parlamentaria,
en Estrasburgo;
/nota al pie de página*:/ El Comité de Ministros decidió posponer
la apertura a suscripción hasta el 10 de octubre de 2018).
5. insistió a los Estados miembros y a otras Partes del Convenio a
tomar sin demora las medidas necesarias para permitir que el Protocolo
entre en vigencia en un plazo de tres años a partir de su apertura a
suscripción y a iniciar de forma inmediata, pero en cualquier caso en un
plazo no mayor a un año a partir de la fecha en la cual el Protocolo fue
abierto a suscripción, el proceso de adecuación de las leyes nacionales
para raticar, aprobar o aceptar dicho Protocolo;
6. destacó que, luego de la entrada en vigencia del Convenio
modicado de acuerdo con las disposiciones del Artículo 37(2) del
Protocolo, solo aquellos Estados que hayan raticado, aprobado o
aceptado el Protocolo se verán obligados por las obligaciones que
surjan del Convenio modicado;
7. indicó a sus Ministros Adjuntos que revisen semestralmente,
comenzando por primera vez al cumplirse un año de la apertura del
Protocolo a suscripción, el progreso general de raticación, en base a
la información a ser brindada al Secretario General por cada Estado
miembro y otras Partes del Convenio por lo menos un mes antes de
dicha revisión.
/A fojas 4. Página en blanco/
/Del dorso de fojas 4 a fojas 8:/
Convenio para la Protección de las Personas con respecto al
Tratamiento de Datos Personales Actualizado* /nota al pie de
página*:/
Protocolo de enmienda del Convenio para la Protección de las
Personas con respecto al Tratamiento de Datos Personales, adoptado
por el Comité de Ministros en su sesión Nº 128 en Elsinor el 18 de
mayo de 2018.
Preámbulo
Los Estados Miembros del Consejo de Europa, y los demás
signatarios del presente,
4Documentos Nº 30.669 - abril 27 de 2021 | DiarioOficial
Considerando que el objetivo del Consejo de Europa es lograr una
mayor unión entre sus miembros, basándose particularmente en el
respeto de la ley, los derechos humanos y las libertades fundamentales;
Considerando que es necesario asegurar la dignidad humana
y la protección de los derechos humanos, así como las libertades
fundamentales de cada individuo y considerando la diversicación,
intensicación y globalización del tratamiento de datos y el ujo de
datos personales, la autonomía personal teniendo en cuenta el derecho
de los individuos a controlar sus datos personales y el tratamiento de
dichos datos;
Recordando que el derecho a la protección de datos personales debe
ser considerado con referencia a su rol en la sociedad y que debe ser
conciliado con otros derechos humanos y libertades fundamentales,
incluyendo la libertad de expresión;
Considerando que el presente Convenio permite tomar en cuenta,
en la implementación de las normas establecidas en el mismo, el
principio de derecho al acceso a documentos públicos;
Reconociendo que es necesario promover a nivel mundial los
valores fundamentales de respeto de la privacidad y de la protección
de datos personales, y así contribuir al libre ujo de información entre
las personas;
Reconociendo el interés de rearmar la cooperación internacional
entre las Partes del Convenio,
Acuerdan lo siguiente:
Capítulo I- Disposiciones Generales
Artículo 1 - Objeto
El objeto del presente Convenio es proteger a todos los individuos,
sin importar su nacionalidad o residencia, con respecto al tratamiento
de sus datos personales, de manera de contribuir al respeto de sus
derechos humanos y libertades fundamentales y, en particular, al
derecho a la privacidad.
Artículo 2 - Deniciones
A los efectos del presente Convenio:
a. “datos personales” signica cualquier información con respecto
a un individuo identicado o identicable (“titular de datos”);
b. “tratamiento de datos” signica cualquier operación o conjunto
de operaciones llevadas a cabo sobre los datos personales, tales como su
recopilación, almacenamiento, preservación, alteración, recuperación,
divulgación, suministro, eliminación o destrucción, o llevar a cabo
operaciones lógicas y/o aritméticas sobre dichos datos;
c. cuando no se utiliza tratamiento automatizado, “tratamiento de
datos” signica una operación o conjunto de operaciones llevadas a
cabo sobre los datos personales dentro de un conjunto estructurado
de dichos datos, que son accesibles o recuperables de acuerdo con
criterios especícos;
d. “responsable del tratamiento” significa la persona física
o jurídica, autoridad pública, servicio, agencia o cualquier otro
organismo que, individual o conjuntamente con otros, tiene poder de
decisión respecto al tratamiento de datos;
e. “destinatario” signica una persona física o jurídica, autoridad
pública, servicio, agencia o cualquier otro organismo a la cual se le
revelan o suministran datos;
f. “encargado del tratamiento” signica una persona física o jurídica,
autoridad pública, servicio, agencia o cualquier otro organismo que
trate los datos personales en nombre del responsable del tratamiento.
Artículo 3 - Alcance
1. Cada Parte asume la obligación de aplicar este Convenio al
tratamiento de datos dentro de su jurisdicción en los sectores público
y privado, garantizando de este modo el derecho a la protección de
los datos personales de cada individuo.
2. El presente Convenio no se aplicará al tratamiento de
datos llevado a cabo por un individuo en el curso de actividades
exclusivamente personales o domésticas.
Capítulo II - Principios básicos para la protección de datos
personales
Artículo 4 - Obligaciones de las partes
1. Cada Parte deberá tomar las medidas necesarias conforme a sus
leyes para poder efectivizar las disposiciones del presente Convenio
y asegurar su aplicación efectiva.
2. Cada Parte deberá tomar dichas medidas, las que deberán
haber entrado en vigencia al momento de la raticación o adhesión
al presente Convenio.
3. Cada Parte asume la obligación de:
a. permitir al Comité del Convenio previsto por el Capítulo VI la
evaluación de la efectividad de las medidas tomadas conforme a sus
leyes para efectivizar las disposiciones del presente Convenio; y
b. contribuir activamente con este proceso de evaluación.
Artículo 5 - Legitimidad del tratamiento de datos y calidad de
los datos
1. El tratamiento de datos deberá ser proporcional al n legítimo
perseguido y reejará en todas las etapas de tratamiento un equilibrio
justo entre todos los intereses involucrados, ya sean públicos o
privados, así como los derechos y las libertades en juego.
2. Cada parte deberá prever que el tratamiento de datos se llevará
a cabo en base al consentimiento libre, específico, informado e
inequívoco del titular de datos o sobre otro fundamento legal legítimo.
3. El tratamiento de datos personales deberá realizarse conforme
a la ley.
4. Durante su tratamiento, los datos personales deberán:
a. tratarse de forma justa y transparente;
b. recopilarse con propósitos explícitos, especícos y legítimos y no
tratarse de forma incompatible con dichos propósitos; el tratamiento
adicional con el propósito de archivo en interés público, investigaciones
cientícas o históricas o propósitos estadísticos si se encontrara sujeto
a las garantías apropiadas, será compatible con dichos propósitos;
c. ser adecuados, relevantes y no excesivos en relación con el
propósito en función del cual están siendo tratados;
d. ser precisos y, cuando fuere necesario, mantenerse actualizados;
e. preservarse de forma tal que permitan identicar a los titulares
de datos, por no más tiempo que el necesario para los propósitos en
función de los cuales se tratan dichos datos.
Artículo 6 - Categorías especiales de datos
1. El tratamiento de: datos genéticos; datos personales relacionados
con delitos, procesos penales y sentencias penales de condena, y
medidas de seguridad relacionadas; datos biométricos que identican
únicamente a una persona; datos personales por la información que
revelan en relación con los orígenes raciales o étnicos, opiniones
políticas, aliaciones sindicales, creencias religiosas u otras, salud
o vida sexual, estará permitido únicamente cuando se consagren
garantías apropiadas conforme a la ley, complementando aquellas
del presente Convenio.
2. Dichas garantías deberán proteger de los riesgos que
el tratamiento de datos sensibles podría presentar para los
intereses, derechos y libertades fundamentales del titular de datos,
particularmente el riesgo de discriminación.
Articulo 7 - Seguridad de los datos
1. Cada Parte deberá prever que el responsable del tratamiento y,
si correspondiere, el encargado del tratamiento, deberá tomar medidas
de seguridad apropiadas contra riesgos como acceso accidental o no
autorizado, destrucción, pérdida, uso, modicación o divulgación de
datos personales.
2. Cada Parte deberá prever que el responsable del tratamiento
deberá noticar, sin demora, al menos a la autoridad de control
competente según lo dispuesto por el Artículo 15 del presente
Convenio, aquellas violaciones a los datos que puedan interferir
gravemente con los derechos y las libertades fundamentales de los
titulares de datos.
Artículo 8 - Transparencia del tratamiento
1. Cada parte deberá prever que el responsable del tratamiento
deberá informar a los titulares de datos:
a. su identidad y residencia habitual o establecimiento;
b. los fundamentos legales y los propósitos del tratamiento a
realizarse;
c. las categorías de los datos personales tratados;
d. los destinatarios o las categorías de destinatarios de los datos
personales, si los hubiere; y
e. las formas de ejercer los derechos establecidos en el Artículo 9,
así como cualquier otra información adicional necesaria con el n de
asegurar el tratamiento justo y transparente de los datos personales.
2. El párrafo 1 no será aplicable cuando el titular de datos ya posea
la información correspondiente.
3. Si los datos personales no fueren recopilados del titular de
datos y el tratamiento estuviere establecido especialmente por la ley o
proporcionar dicha información fuere imposible o implicare esfuerzos
desmedidos, el responsable del tratamiento no estará obligado a
proporcionar dicha información.
Artículo 9 - Derechos del titular de datos
1. Cada individuo tendrá derecho a:
5
Documen tos
Nº 30.669 - abril 27 de 2021
DiarioOficial |
a. no estar sujeto a una decisión que lo afecte signicativamente,
basándose únicamente en un tratamiento automatizado de datos sin
considerar sus opiniones;
b. obtener, cuando así lo solicitare, en intervalos razonables y
sin demora o gastos excesivos, conrmación del tratamiento de los
datos personales relacionados con su persona, la comunicación en
forma inteligible de los datos tratados, toda la información disponible
sobre su origen, el período de conservación así como cualquier otra
información que el responsable del tratamiento deba proporcionar
con el n de asegurar la transparencia del tratamiento conforme al
Artículo 8, párrafo 1;
c. obtener, cuando así lo solicitare, conocimiento del razonamiento
subyacente al tratamiento de datos cuando los resultados de dicho
tratamiento se le aplicaren;
d. oponerse en cualquier momento, por fundamentos relacionados
con su situación, al tratamiento de datos personales que lo involucren,
salvo si el responsable del tratamiento demostrara fundamentos
legítimos para el tratamiento superiores a sus intereses o derechos o
libertades fundamentales;
e. obtener, cuando así lo solicitare, exento de costos y sin demoras
excesivas, la recticación o eliminación, según sea el caso, de dichos
datos si estos estuvieron siendo o hubieren sido tratados en forma
contraria a las disposiciones del presente Convenio;
f. obtener una solución jurídica según el Artículo 12 cuando sus
derechos de conformidad con el presente Convenio hubieren sido
violados;
g. beneciarse, cualquiera sea su nacionalidad o residencia, de
la asistencia de una autoridad de control según lo dispuesto en el
Artículo 15, para ejercer sus derechos de conformidad con el presente
Convenio.
2. El párrafo 1.a, no será aplicable si la decisión ha sido autorizada
por una ley a la cual el responsable del tratamiento está sujeto y que
también establece medidas apropiadas para garantizar los derechos,
las libertades e intereses legítimos del titular de datos.
Artículo 10 - Obligaciones adicionales
1. Cada Parte deberá prever que los responsables del tratamiento
y, si correspondiere, los encargados del tratamiento, tomen todas las
medidas necesarias para cumplir con las obligaciones del presente
Convenio y sean capaces de demostrar, sujetos a las leyes locales
adoptadas de acuerdo con el Artículo 11, párrafo 3, en particular a la
autoridad de control competente según lo establecido en el Artículo 15,
que el tratamiento de datos bajo su control cumple con las disposiciones
del presente Convenio.
2. Cada Parte deberá prever que los responsables del tratamiento
y, si correspondiere, los encargados del tratamiento, examinen el
probable impacto del tratamiento de datos sobre los derechos y las
libertades fundamentales de los titulares de datos, previo al comienzo
de dicho tratamiento, y deberán diseñar el tratamiento de datos de
manera tal que se prevenga o minimice el riesgo de interferencia con
dichos derechos o libertades fundamentales.
3. Cada Parte deberá prever que los responsables del tratamiento
y, si correspondiere, los encargados del tratamiento, implementen
medidas técnicas y organizacionales que tomen en cuenta las
implicancias del derecho a la protección de datos personales en todas
las etapas del tratamiento de datos.
4. Cada Parte podrá, teniendo en consideración los riesgos en
relación con los intereses, derechos y libertades fundamentales de
los titulares de datos, adaptar la aplicación de las disposiciones de
los párrafos 1, 2 y 3 en la ley que dote de ecacia a las disposiciones
del presente Convenio, según la naturaleza y el volumen de los
datos, la naturaleza, el alcance y el propósito del tratamiento y, si
correspondiere, el tamaño del responsable del tratamiento o encargado
del tratamiento.
Artículo 11 - Excepciones y restricciones
1. No se permitirá excepción alguna a las disposiciones establecidas
en este Capítulo, salvo a las disposiciones del Artículo 5, párrafo
4, Artículo 7, párrafo 2, Artículo 8, párrafo 1, y Artículo 9, si dicha
excepción se encuentra prevista por la ley, respeta la esencia de los
derechos y las libertades fundamentales y constituye una medida
necesaria y proporcionada en una sociedad democrática para:
a. proteger la seguridad nacional, la defensa, la seguridad pública,
los intereses económicos y nancieros importantes del Estado, la
imparcialidad e independencia del poder judicial o la prevención,
investigación y procesamiento de delitos, así como la aplicación de
sanciones penales, y otros objetivos esenciales de interés público
general;
b. proteger al titular de datos o los derechos y las libertades
fundamentales de otros, en particular, la libertad de expresión.
2. Las restricciones para ejercer las disposiciones especicadas
en los Artículos 8 y 9 pueden ser previstas por la ley, con respecto al
tratamiento de datos con el propósito de archivo en interés público,
investigaciones científicas o históricas o propósitos estadísticos
cuando no exista riesgo identicable de violación de los derechos y
las libertades fundamentales de los titulares de datos.
3. Además de las excepciones permitidas en el párrafo 1 del
presente artículo, con referencia a actividades de tratamiento con
propósitos de seguridad nacional y defensa, cada Parte podrá prever,
por la ley y solo en la medida en que constituya una medida necesaria
y proporcionada en una sociedad democrática para cumplir con dicho
objetivo, excepciones al Artículo 4, párrafo 3, Artículo 14, párrafos 5 y
6 y Artículo 15, párrafo 2, literales a, b, c y d.
Lo anterior es sin perjuicio de que las actividades de tratamiento
con propósitos de seguridad nacional y defensa estén sujetas a revisión
y supervisión independiente y efectiva, según las leyes locales de la
Parte pertinente.
Artículo 12 - Sanciones y soluciones jurídicas
Cada parte asume la obligación de establecer sanciones y soluciones
jurídicas apropiadas, judiciales y extrajudiciales, para el caso de
violaciones a las disposiciones del presente Convenio.
Artículo 13 - Protección extendida
Ninguna de las disposiciones del presente capítulo será
interpretada como limitando o afectando la posibilidad de que una
Parte brinde a los titulares de datos medidas de protección más amplias
que aquellas estipuladas en el presente Convenio.
Capítulo III - Flujos transfronterizos de datos personales
Artículo 14 - Flujos transfronterizos de datos personales
1. Una Parte no podrá, con el solo propósito de proteger los datos
personales, prohibir o someter a autorización especial la transferencia
de dichos datos a un destinatario que se encuentra sujeto a la jurisdicción
de otra Parte del Convenio. No obstante, dicha Parte podrá hacerlo si
existe un riesgo real y grave de que la transferencia a otra Parte, o de
esa otra Parte a un tercero, pudiera llevar a incumplir las disposiciones
del presente Convenio. Una Parte también podrá hacerlo en caso de
estar obligada por normas de protección armonizadas, compartidas
por Estados pertenecientes a una organización internacional regional.
2. Cuando el destinatario se encuentre sujeto a la jurisdicción de
un Estado u organización internacional que no sea Parte del presente
Convenio, la transferencia de datos personales solo podrá llevarse a
cabo cuando se asegure un nivel de protección apropiado, basándose
en las disposiciones del presente Convenio.
3. Un nivel de protección apropiado puede garantizarse mediante:
a. las leyes de ese Estado u organización internacional, incluyendo
los tratados o acuerdos internacionales aplicables; o
b. garantías ad hoc o garantías estandarizadas aprobadas
establecidas en instrumentos legalmente vinculantes y ejecutables
adoptados e implementados por las personas involucradas en la
transferencia y el tratamiento posterior.
4. Sin perjuicio de las disposiciones de los párrafos anteriores, cada
Parte podrá prever que la transferencia de datos personales podrá
llevarse a cabo en caso de que:
a. el titular de datos hubiere prestado su consentimiento explícito,
especíco y libre, luego de haber sido informado de los riesgos en caso
de ausencia de garantías apropiadas; o
b. los intereses especícos del titular de datos lo requirieren en su
caso particular; o
c. la ley estableciere los intereses legítimos predominantes, en
particular intereses públicos importantes, y dicha transferencia
constituyere una medida necesaria y proporcionada en una sociedad
democrática; o
d. constituyere una medida necesaria y proporcionada en una
sociedad democrática para la libertad de expresión.
5. Cada Parte deberá prever que la autoridad de control competente
según lo dispuesto en el Artículo 15 del presente Convenio deberá
contar con toda la información relevante relacionada con las
transferencias de datos mencionadas en el párrafo 3.b y, cuando se
solicitare, párrafos 4.b y 4.c.
6. Cada Parte también deberá prever que la autoridad de control
tendrá derecho a solicitar que la persona que transere datos demuestre
Para continuar leyendo
Solicita tu prueba