Díctanse normas sobre protección de datos personales y derógase la Ley 17.838

IM.P.O.

IM.P.O.

Nº 27.549 - Agosto 18 de 2008 437-A

CARILLA Nº 5

CONSEJO DE MINISTROS

1

Ley 18.331

Díctanse normas sobre protección de datos personales y

derógase la Ley 17.838.

(1.635*R)

PODER LEGISLATIVO

El Senado y la Cámara de Representantes de la República Oriental del

Uruguay, reunidos en Asamblea General,

DECRETAN

CAPITULO I - DISPOSICIONES GENERALES

1

ARTICULO 1º.- Derecho Humano.- El derecho a la protección de

datos personales es inherente a la persona humana, por lo que está

comprendido en el artículo 72 de la Constitución de la República.

2

ARTICULO 2º.- Ambito subjetivo.- El derecho a la protección de

los datos personales se aplicará por extensión a las personas jurídicas, en

cuanto corresponda.

3

ARTICULO 3º.- Ambito objetivo.- El régimen de la presente ley

será de aplicación a los datos personales registrados en cualquier soporte

que los haga susceptibles de tratamiento, y a toda modalidad de uso

posterior de estos datos por los ámbitos público o privado.

No será de aplicación a las siguientes bases de datos:

A) A las mantenidas por personas físicas en el ejercicio de actividades

exclusivamente personales o domésticas.

B) Las que tengan por objeto la seguridad pública, la defensa, la

seguridad del Estado y sus actividades en materia penal,

investigación y represión del delito.

C) A las bases de datos creadas y reguladas por leyes especiales.

4

ARTICULO 4º.- Definiciones.- A los efectos de la presente ley se

entiende por:

A) Base de datos: indistintamente, designan al conjunto organizado

de datos personales que sean objeto de tratamiento o

procesamiento, electrónico o no, cualquiera que fuere la modalidad

de su formación, almacenamiento, organización o acceso.

B) Comunicación de datos: toda revelación de datos realizada a una

persona distinta del titular de los datos.

C) Consentimiento del titular: toda manifestación de voluntad, libre,

inequívoca, específica e informada, mediante la cual el titular

consienta el tratamiento de datos personales que le concierne.

D) Dato personal: información de cualquier tipo referida a personas

físicas o jurídicas determinadas o determinables.

E) Dato sensible: datos personales que revelen origen racial y étnico,

preferencias políticas, convicciones religiosas o morales,

afiliación sindical e informaciones referentes a la salud o a la vida

sexual.

F) Destinatario: persona física o jurídica, pública o privada, que

recibiere comunicación de datos, se trate o no de un tercero.

G) Disociación de datos: todo tratamiento de datos personales de

manera que la información obtenida no pueda vincularse a persona

determinada o determinable.

H) Encargado del tratamiento: persona física o jurídica, pública o

privada, que sola o en conjunto con otros trate datos personales

por cuenta del responsable de la base de datos o del tratamiento.

I) Fuentes accesibles al público: aquellas bases de datos cuya consulta

puede ser realizada por cualquier persona, no impedida por una

norma limitativa o sin más exigencia que, en su caso, el abono de

una contraprestación.

J) Tercero: la persona física o jurídica, pública o privada, distinta del

titular del dato, del responsable de la base de datos o tratamiento,

del encargado y de las personas autorizadas para tratar los datos

bajo la autoridad directa del responsable o del encargado del

tratamiento.

K) Responsable de la base de datos o del tratamiento: persona física

o jurídica, pública o privada, propietaria de la base de datos o que

decida sobre la finalidad, contenido y uso del tratamiento.

L) Titular de los datos: persona cuyos datos sean objeto de un

tratamiento incluido dentro del ámbito de acción de la presente

ley.

M)Tratamiento de datos: operaciones y procedimientos

sistemáticos, de carácter automatizado o no, que permitan el

procesamiento de datos personales, así como también su cesión

a terceros a través de comunicaciones, consultas,

interconexiones o transferencias.

N) Usuario de datos: toda persona, pública o privada, que realice a

su arbitrio el tratamiento de datos, ya sea en una base de datos

propia o a través de conexión con los mismos.

CAPITULO II - PRINCIPIOS GENERALES

5

ARTICULO 5º.- Valor y fuerza.- La actuación de los responsables

de las bases de datos, tanto públicos como privados, y, en general, de

todos quienes actúen en relación a datos personales de terceros, deberá

ajustarse a los siguientes principios generales:

A) Legalidad.

B) Veracidad.

C) Finalidad.

D) Previo consentimiento informado.

E) Seguridad de los datos.

F) Reserva.

G) Responsabilidad.

Dichos principios generales servirán también de criterio interpretativo

para resolver las cuestiones que puedan suscitarse en la aplicación de las

disposiciones pertinentes.

6

ARTICULO 6º.- Principio de legalidad.- La formación de bases

de datos será lícita cuando se encuentren debidamente inscriptas,

observando en su operación los principios que establecen la presente ley

y las reglamentaciones que se dicten en consecuencia.

Las bases de datos no pueden tener finalidades violatorias de derechos

humanos o contrarias a las leyes o a la moral pública.

7

ARTICULO 7º.- Principio de veracidad.- Los datos personales

que se recogieren a los efectos de su tratamiento deberán ser veraces,

adecuados, ecuánimes y no excesivos en relación con la finalidad para la

cual se hubieren obtenido. La recolección de datos no podrá hacerse por

medios desleales, fraudulentos, abusivos, extorsivos o en forma contraria

a las disposiciones a la presente ley.

Los datos deberán ser exactos y actualizarse en el caso en que ello

fuere necesario.

Cuando se constate la inexactitud o falsedad de los datos, el

responsable del tratamiento, en cuanto tenga conocimiento de dichas

circunstancias, deberá suprimirlos, sustituirlos o completarlos por datos

exactos, veraces y actualizados. Asimismo, deberán ser eliminados

aquellos datos que hayan caducado de acuerdo a lo previsto en la presente

ley.8