Andersen Tax

MODIFICACIONES A LA LEY DE PROTECCIÓN DE DATOS PERSONALES

El 3 de noviembre del 2022 se publicó la Ley No. 20.075: “Aprobación de Rendición de Cuentas y Balance de Ejecución Presupuestal. Ejercicio 2021” (en adelante, “Ley de Rendición de Cuentas”), que dispuso modificaciones en los artículos 13 y 34 de la Ley No. 18.331 “Ley de Protección de Datos Personales” (en adelante, “LPDP”) efectiva desde el 1° de enero 2023.

A continuación, haremos un breve resumen de las nuevas disposiciones.
Previo a la vigencia de la Ley de Rendición de Cuentas, el artículo 13 de la LPDP, denominado “derecho de información frente a la recolección de datos”, preveía que los titulares de datos sean informados en forma clara, precisa, inequívoca y anticipada a su recolección lo siguiente:

1. la finalidad para la que serán tratados y quiénes pueden ser sus destinatarios o clase de destinatarios;
2. la existencia de la base de datos, electrónico o de cualquier otro tipo, de que se trate y la identidad y domicilio de su responsable;
3. el carácter obligatorio o facultativo de las respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles;
4. las consecuencias de proporcionar los datos y de la negativa a hacerlo o su inexactitud;
5. la posibilidad del titular de ejercer los derechos de acceso, rectificación y supresión de los datos.

El artículo 62 de la Ley de Rendición de Cuentas amplía el alcance del artículo 13 de la LPDP. En consecuencia, los responsables y encargados de tratamiento ahora deberán, también, cumplir con lo siguiente:

• Literal e): Informar a los titulares de los datos sobre sus “derechos previstos en los artículos 14 a 16” de la LPDP. De esta forma se amplía la obligación de informar, agregando: i) la posibilidad de ejercer el derecho de actualización de sus datos establecido en el artículo 15 y; ii) el derecho a la impugnación de valoraciones personales, establecido en el artículo 16.
• Literal f): Informar la existencia o no de transferencias internacionales de datos, de este modo, el titular podrá optar al momento de aportar sus datos si desea que esto suceda o no ya que se le debe informar obligatoriamente
• Literal g): Informar previamente sobre los criterios de evaluación, los procedimientos aplicados y las soluciones o procedimientos técnicos utilizados cuando este tratamiento automatizado pueda dar lugar a la toma de decisiones con efectos jurídicos que le puedan afectar de manera “significativa”.

Hasta el 31 de diciembre del 2022, exclusivamente se disponía la obligación del encargado de tratamiento de datos de informar sobre la posibilidad de una valoración individual basada en el tratamiento automatizado de sus datos personales y al titular de los datos solamente le era posible acceder a esta información una vez impugnada una decisión automatizada que le afectará.

Ahora, esta información debe proporcionarse antes del procesamiento para que los titulares puedan decidir previamente.

Las obligaciones dispuestas en el artículo 13 de la LPDP aplican también cuando los datos no hayan sido recolectados directamente de su titular, es decir por interpuesta persona. En este caso, se deberá requerir el consentimiento al titular en un plazo de 5 (cinco) días hábiles desde la recepción de la solicitud por parte del responsable.

El artículo 63 de la Ley de Rendición de Cuentas incorpora una nueva redacción al artículo 34 de la LPDP, otorgando a la Unidad Reguladora de Control de Datos Personales la facultad de “establecer los criterios y procedimientos que deban observar los responsables y encargados en el tratamiento automatizado de datos personales”

Por último y a modo de conclusión debemos decir que, con la introducción de estas nuevas disposiciones, Uruguay continúa posicionándose como uno de los países de la región con mayor regulación en materia de protección de datos personales. Cabe recordar que Uruguay fue de los primeros países del mundo no europeos en adherirse al Convenio 108 y al Protocolo de Enmienda del Convenio para la Protección de las Personas con Respecto al Tratamiento de Datos de Carácter Personal cuyo objetivo es hacer frente a los desafíos que atañen la utilización de nuevas tecnologías en el tratamiento de datos personales. Entendemos sumamente positivo que se continúe en esta línea que ya en el pasado nos sirvió para ser considerados con el estatus de país adecuado en los términos de la Comisión Europea, facilitando de esta forma la transferencia internacional de datos personales.