Introducción

El pasado 20 de octubre el Poder Ejecutivo promulgó la Ley No. 20.075, mediante la cual se aprueba la Rendición de Cuentas y Balance de Ejecución Presupuestal para el Ejercicio 2021 (“Ley de Rendición de Cuentas”).

Dentro de las disposiciones previstas en la referida ley, se incluyeron modificaciones a la normativa vigente en materia de protección de datos personales, en especial en lo que hace al tratamiento automatizado de datos y a la recolección indirecta de datos personales.

Modificaciones a la Ley No. 18.331

La Ley de Rendición de Cuentas incluye dos artículos (artículos 62 y 63), modificativos de los artículos 13 y 34 de la Ley No. 18.331 de Protección de Datos Personales y Habeas Data (“Ley de Protección de Datos Personales”), respectivamente.

En ambos casos, las modificaciones suponen la inclusión de nuevos numerales para establecer lineamientos adicionales en lo que refiere al tratamiento automatizado de datos y la recolección indirecta de datos.

a) Modificaciones al artículo 13:

El artículo 13 de la Ley de Protección de Datos Personales establece el alcance del derecho de información que tiene todo titular de datos personales, frente al tratamiento y la recolección de sus datos. Es decir, establece la información que los responsables de bases de datos deberán brindar a los titulares al momento de recolectar sus datos.

Son tres los requerimientos de información que se adicionan en esta modificación del artículo 13 de la Ley de Protección Datos Personales:

• Información sobre si realizará o no transferencia internacional de datos;
• En el caso de tratamiento automatizado de datos (conforme definición realizada por el artículo 16¹ de la Ley de Protección de Datos Personales), deberán informarse, los criterios de valoración, los procesos aplicados y la solución tecnológica o el programa utilizado;
• En caso de recolección indirecta de datos personales, la obligación del titular de la base de datos (que no obtiene directamente del titular los datos) de brindar la información detallada en el artículo 13 de la citada norma, en un plazo de 5 días hábiles a contar desde que es notificado. Se destaca al respecto, que la nueva redacción no establece una definición respecto de lo que se entenderá por “recolección indirecta” de los datos, pero se entiende que se trata de casos en donde el titular de una base de datos se encuentra habilitado a informar los datos a un tercero, dentro del marco legal vigente.

Adicionalmente, se consagra la potestad de la Unidad Reguladora y de Control de Protección de Datos Personales (“URCDP”) para establecer condiciones específicas para la publicidad permanente de la información indicada en el artículo 13.

b) Modificaciones al artículo 34

Mediante la Ley de Rendición de Cuentas, se incluye dentro del elenco de las atribuciones y funciones de la URCDP establecidas en el artículo 34, la potestad de establecer los criterios y procedimientos que deban observar los responsables de las bases de datos y los encargados de tratamiento, para el tratamiento automatizado de datos personales.

Disposición que enfatiza la preocupación de la URCDP en que los criterios utilizados para el tratamiento automatizado de datos – no solo deban informarse al titular del dato – sino que no queden a exclusivo criterio del responsable de la base o encargado de tratamiento.

Para mayor información, podrá acceder al texto de la Ley No. 20.075 haciendo click aquí.

1. Artículo 16 (Derecho a la impugnación de valoraciones personales).- “Las personas tienen derecho a no verse sometidas a una decisión con efectos jurídicos que les afecte de manera significativa, que se base en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, como su rendimiento laboral, crédito, fiabilidad, conducta, entre otros. El afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento, cuyo único fundamento sea un tratamiento de datos personales que ofrezca una definición de sus características o personalidad. En este caso, el afectado tendrá derecho a obtener información del responsable de la base de datos tanto sobre los criterios de valoración como sobre el programa utilizado en el tratamiento que sirvió para adoptar la decisión manifestada en el acto.”