Ámbito de aplicación de la normativa de protección de datos, con especial énfasis en los casos de excepción
Regla general
El ámbito de aplicación territorial en protección de datos personales se encuentra hoy regulado en el artículo 37 de la Ley N° 19.670, de 15 de octubre de 2018. Esta norma indica con carácter general que el tratamiento de datos personales se encuentra sometido a la Ley N° 18.331, modificativas y concordantes, cuando se efectúe por un responsable o encargado de tratamiento establecido en territorio uruguayo, lugar donde ejerce su actividad.
Por su parte, el Decreto N° 64/020, de 17 de febrero de 2020, establece que se entiende que el responsable o el encargado se encuentran en territorio nacional cuando realice una actividad estable en nuestro país sin importar la forma jurídica adoptada para ello.
Casos donde procede la aplicación de la normativa nacional en forma excepcional
El artículo 37 de la Ley 19.670, regula tres supuestos donde también la normativa uruguaya se aplica, a saber:
- Cuando las actividades del tratamiento están relacionadas con la oferta de bienes y servicios dirigidos a habitantes de la República o con el análisis de su comportamiento. En este sentido, se debe agregar que:
El decreto N° 64/020 indica que este aspecto se apreciará a través de elementos tales como el uso del idioma, la referencia al pago en moneda nacional o la provisión de servicios conexos – prestados eventualmente por terceros – en territorio uruguayo.
El citado decreto añade que también se aplica cuando las actividades de tratamiento de datos están relacionadas con el análisis del comportamiento de los habitantes de la República, incluyendo las destinadas a la elaboración de perfiles, siendo aplicable al efecto, en especial, lo dispuesto en el artículo 16 de la ley N° 18.331, de 11 de agosto de 2008.
- Cuando así lo disponen normas de derecho internacional público o un contrato. A ello se debe agregar que el decreto N° 64/020 explicita que en ningún caso los contratantes podrán excluir la aplicación de la ley nacional cuando esta corresponda.
- Cuando en el tratamiento se utilizan medios situados en el país[1]. Se debe indicar que:
A los efectos de interpretar que se entiende por “medios” el decreto N° 64/020 regula que ingresan dentro de este concepto la utilización de redes de información y de comunicación, de centros de datos e infraestructura informática en general[2].
Además, la norma exceptúa el caso en que los medios se utilicen exclusivamente con fines de tránsito. Esta situación está prevista porque, aunque los datos se encuentren en tránsito, eventualmente pueden existir circunstancias en que se genere algún inconveniente con el tratamiento en el territorio nacional. En ese caso, la ley impone la designación de un representante ante la Unidad.
[1] Esta hipótesis no es novedosa, y ya se encontraba prevista en el artículo 3° del decreto N° 414/009, de 31 de agosto de 2008.
[2] Sobre el concepto “medios” la Unidad ha emitido el Dictamen N° 26/013, por el cual ha indicado que “las palabras “listados” y “medios”, no han sido definidas expresamente por el legislador en materia de protección de datos personales, por lo que deben ser entendidas en sus sentidos naturales y obvios, según el uso general”. En el informe jurídico que se realizó en forma previa respecto a los medios se indicó que “medio es la “cosa que puede servir para un determinado fin” o “diligencia o acción conveniente para conseguir algo”. Esta definición debe ser entendida en sentido amplio, continente de todos los medios existentes al momento de realizarse la interpretación, sean éstos técnicos, humanos, físicos, lógicos, u otros, siempre que permitan establecer un punto de conexión con el territorio nacional y consiguiente aplicación de la ley uruguaya”.