VISTO: los artículos 37 a 40 de la Ley N° 19.670 de 15 de octubre de 2018;
RESULTANDO: que contienen nuevas disposiciones en materia de protección de datos personales que impactan en el sistema nacional y procuran brindar a las personas un nivel de protección acorde a los nuevos desarrollos tecnológicos y a la evolución en las formas de tratamiento de los datos personales;
CONSIDERANDO: I) que el derecho a la protección de datos personales es un derecho inherente a la persona humana comprendido en el artículo 72 de la Constitución de la República, como lo reconoce el artículo 1° de la Ley N° 18.331 de 11 de agosto de 2008;
II) que a efectos del dictado de esta reglamentación se han tenido en cuenta las disposiciones y doctrinas más recientes, tales como el Reglamento Europeo N° 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, los Estándares en Protección de Datos Personales para los Estados Iberoamericanos emitidos por la Red Iberoamericana de Protección de Datos en junio de 2017, el Convenio N° 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, su Protocolo Adicional de 8 de noviembre de 2001 -ambos aprobados por Ley N° 19.030 de 27 de diciembre de 2012-, y el Protocolo de Modernización del citado Convenio aprobado por el Comité de Ministros del Consejo de Europa el 18 de mayo de 2018, suscrito por la República Oriental del Uruguay el 10 de octubre de 2018;
III) que la ubicuidad de las personas en el mundo digital y la protección de sus derechos requiere atender debidamente el alcance de la protección de su información personal, lo que corresponde complementar con los mecanismos de control de cumplimiento en el ámbito internacional y las necesarias obligaciones de responsables y encargados, que no obstante situarse en el exterior del país, realizan tratamientos de datos de personas que se ubican en éste;
IV) que por otra parte, por la trascendencia y el volumen de la información tratada por múltiples organizaciones respecto de las personas y las eventuales vulneraciones de seguridad, resulta imprescindible establecer un régimen claro en lo que atañe al procedimiento que se debe realizar en esas situaciones;
V) que el estado actual de la protección de datos personales ha llevado a fortalecer el principio de responsabilidad, en su evolución hacia un principio de responsabilidad demostrada, que impone al responsable y encargado en su caso, la obligación de demostrar que las actividades de tratamiento cumplen con la legislación aplicable. En ese sentido se ha incorporado un mínimo de medidas -entre las que se encuentran la protección de datos desde el diseño y por defecto y las evaluaciones de impacto previas-, máxime en los casos en que existe un mayor riesgo para las personas;
VI) que, asimismo, la Ley que se reglamenta ha incorporado la figura del delegado de protección de datos, el que debe contar con las competencias necesarias e independencia técnica para cumplir sus funciones en forma apropiada. Su designación resulta pertinente en los casos de entidades públicas, entidades que traten datos sensibles o que realicen tratamiento de grandes volúmenes de datos personales;
VII) que acorde con lo previsto en el artículo 32 de la Ley N° 18.331 de 11 de agosto de 2008, se consultó al Consejo Consultivo de la Unidad Reguladora y de Control de Datos Personales y se contemplaron, en lo pertinente, sus planteos, elevándose proyecto de reglamentación por parte del Consejo Ejecutivo de dicha Unidad.
ATENTO: a lo expuesto y a lo previsto por el artículo 168 ordinal 4° de la Constitución de la República;
EL PRESIDENTE DE LA REPÚBLICA
- actuando en Consejo de Ministros -
DECRETA:
CAPÍTULO I - ÁMBITO TERRITORIAL
Artículo 1
Ámbito territorial. A los efectos de lo dispuesto por el artículo 37 de la Ley N° 19.670 de 15 de octubre de 2018, se entenderá que el responsable o encargado de tratamiento se encuentra establecido en territorio uruguayo cuando realice en éste una actividad estable, sin importar la forma jurídica adoptada para ello.
En caso que el responsable o encargado no se encuentre establecido en territorio uruguayo, la Ley Nª 18.331 de 11 de agosto de 2008 y esta reglamentación igualmente regirán si:
a) Las actividades de tratamiento de datos están relacionadas con la oferta de bienes o servicios dirigidos a habitantes de la República lo cual se apreciará a través de elementos tales como el uso del idioma, la referencia al pago en moneda nacional o la provisión de servicios conexos -no necesariamente prestados por el responsable o encargado- en territorio uruguayo.
b) Las actividades de tratamiento de datos están relacionadas con el análisis del comportamiento de los habitantes de la República, incluyendo las destinadas a la elaboración de perfiles, siendo aplicable al efecto en especial lo dispuesto en el artículo 16 de la ley N° 18 331 de 11 de agosto de 2008.
c) Lo disponen normas de derecho internacional público o un contrato. En ningún caso los contratantes podrán excluir la aplicación de la ley nacional, cuando ésta corresponda.
d) En el tratamiento se utilizan medios situados en el país, tales como redes de información y de comunicación, centros de datos e infraestructura informática en general.