Informe Nº 184/019, de 27 de junio de 2019
Se informa una consulta realizada por el Instituto de Regulación de Cannabis (IRCCA) sobre el tratamiento correcto a conferir a los datos históricos, teniendo en cuenta que la justicia penal podría solicitar datos sobre personas así como la pertinencia de solicitar autorización para la conservación de datos con fines históricos, estadísticos o científicos.
Montevideo, 27 de junio de 2019
Exp. 2019- 240
Consulta IRCCA sobre Ley de protección de datos personales
Informe N° 184
I.- La consulta
Se presenta ante esta Unidad una consulta por parte del Instituto de Regulación y Control de Cannabis (en adelante IRCCA).
Esta Entidad Pública indica que es responsable de una base de datos, la que se encuentra registrada ante la URCDP. Expresan que los datos concretos que se asientan en dicha base de datos respecto de los adquirientes de cannabis, como adquiriente en los locales de expendio, cultivadores domésticos y miembros de los Clubes Cannábicos de Membresía, son considerados datos sensibles de acuerdo con lo dispuesto en el artículo 3° del Decreto Ley N° 14.294, en la redacción dada por el artículo 5° de la Ley N° 19.172, de 20 de diciembre de 2013.
Expresan que en relación con el tratamiento de datos personales, requieren la opinión de la Unidad respecto a dos temas puntuales:
- Se indique cuál es el tratamiento correcto para conferirle a los datos históricos. Teniendo presente que la Justicia Penal puede llegar a solicitar datos sobre personas, cuyos registros no se encuentran vigentes.
- Si debe el IRCCA, a tales efectos, solicitar de acuerdo con lo dispuesto en el artículo 37 del Decreto N° 414/009, autorización de conservación de datos para fines históricos, estadísticos o científicos.
II – Análisis
- Cuestiones preliminares
Conforme con la Ley N° 19.172, de 20 de diciembre de 2013, se pretende promover y mejorar la salud pública de la población mediante una política orientada a minimizar los riesgos y a reducir los daños del uso del cannabis.
En este marco, la citada norma establece que el Estados asumirá el control y la regulación de las actividades de importación, exportación, plantación, cultivo, cosecha, producción, adquisición a cualquier título, almacenamiento, comercialización y distribución del cannabis y sus derivados.
A esos efectos se crea el Instituto de Regulación y Control del Cannabis (IRCCA) como persona pública no estatal encargado de llevar todos los temas vinculados al uso de cannabis.
Conforme con el artículo 8 de la citada norma se crea el registro: “…llevará sendos registros para las excepciones previstas en los literales A), B), C), D), E), F) y G) del artículo 3° del Decreto-Ley N° 14.294, de 31 de octubre de 1974, en la redacción dada por el artículo 5° de la presente ley.
Las características de dichos registros serán objeto de reglamentación por parte del Poder Ejecutivo.
La información relativa a la identidad de los titulares de los actos de registro tendrá carácter de dato sensible para lo establecido en los literales E) y F) del artículo 5° de la presente ley, de conformidad con lo dispuesto por el artículo 18 de la Ley N° 18.331, de 11 de agosto de 2008.
El registro del cultivo, según la legislación vigente, será requisito indispensable para poder ampararse en las disposiciones de la presente ley. Cumplidos ciento ochenta días desde la puesta en funcionamiento del referido registro, el que no tendrá costo para los usuarios y se hará para asegurar la trazabilidad y control de los cultivos, solo se admitirán registros de plantíos a efectuarse”.Esta norma fue posteriormente reglamentada por cuatro decretos, a saber:
- Decreto Nº 128/016 de 02 de mayo de 2016,
- Decreto Nº 46/015 de 04 de febrero de 2015,
- Decreto Nº 372/014 de 16 de diciembre de 2014,
- Decreto Nº 120/014 de 06 de mayo de 2014.
Es de destacar que el decreto N° 120/014, regula con carácter general los artículos de la Ley N° 19.172, entre sus artículos 52 a 77 regula el “Registro del Cannabis”.
- Sobre la primera consulta
El IRCA consulta sobre el tratamiento que se le debe conferir a los datos históricos, o sea, sobre aquellos datos que recaen un vencimiento de los plazos de registro, una baja voluntaria o una sanción.
Cabe comenzar por indicar que resulta de plena aplicación las disposiciones de la Ley N° 18.331, de 11 de agosto de 2008, ya que se trata de la posibilidad de conservar datos personales (de conformidad con lo dispuesto en su artículo 4°, literal d que brinda la definición de dato personal). Asimismo, se debe indicar que algunos de los datos personales son declarados sensibles de acuerdo con el artículo 8° de la citada Ley N° 19.172.
Que respecto al tiempo de conservación de los datos personales, se debe considerar el artículo 8° de la mencionada Ley N° 18.331 que establece con carácter general que “Los datos deberán ser eliminados cuando hayan dejado de ser necesarios o pertinentes a los fines para los cuales hubieren sido recolectados.
La reglamentación determinará los casos y procedimientos en los que, por excepción, y atendidos a los valores históricos, estadísticos y científicos, y de acuerdo con la legislación específica, se conserven datos personales aun cuando haya perimido tal necesidad o pertinencia” (subrayado de la informante).
Esta informante entiende que respecto al tiempo de conservación hay que actuar de acuerdo con este criterio general ya que las normas que regulan todo lo que tiene que ver con el cannabis, no establecen en ningún lugar un plazo específico de conservación de los datos, transcurrida la finalidad para la cual fueron recabados.
Sin perjuicio de ello, si debe tenerse en cuenta que el Decreto N° 120/014, cuando regula el “Registro de Cannabis” establece en las distintas secciones del Registro criterios para la conservación de los datos personales.
Es así que según el artículo 52 de este Decreto quienes desarrollen algunas de estas actividades deberán inscribirse en la sección correspondiente del Registro.
Conforme con el artículo 53 de esta norma, el IRCCA es el organismo encargado del Registro de Cannabis. Específicamente, y a vía de ejemplo, según el artículo 57 las licencias para la plantación, producción y distribución de Cannabis psicoactivo para dispensación en farmacias, mantendrán su vigencia por el período y en las condiciones que se establezca al otorgarse la misma. Por su parte, las licencias para el cultivo doméstico de Cannabis psicoactivo, para clubes de Membresía y sus miembros, tendrán una vigencia de tres años, pudiendo reinscribirse a su vencimiento.
Por otro lado, el artículo 58, indica que la licencia a Farmacias para la dispensación de Cannabis psicoactivo tendrá vigencia por el mismo período establecido por el Certificado de habilitación expedido por el Ministerio de Salud Pública.
Es importante remarcar que según el artículo 59, las personas registradas en las Secciones de Cultivo Doméstico, Clubes de Membresía o Adquirentes de Cannabis, podrán solicitar ser dados de baja de la sección registral respectiva, en cualquier momento.
Y así, en adelante, hay plazos de conservación de los datos establecidos hasta el artículo 77 de dicha norma.
Cabe indicar asimismo, que ha sido criterio de esta Unidad, indicar que cuando existan razones legales suficiente, como por ejemplo acciones civiles o penales, se podrán conservar los datos pero en forma bloqueada. Esto es, no permitiendo su tratamiento de datos. Cabe indicar que según el Decreto N° 414/009, el bloqueo de datos es un “procedimiento mediante el cual se reservan datos con el fin de impedir su tratamiento, excepto para ser puestos a disposición de los Poderes del Estado, o instituciones que estén legalmente habilitadas, a los efectos de atender las posibles responsabilidades surgidas del tratamiento” (artículo 4° literal a).
Ahora bien, extinguida la finalidad original por la cual se conservan los datos personales, y transcurrido el plazo de posibles acciones legales civiles o penales, corresponde la eliminación de toda la información por principio general, salvo que se acrediten razones históricas, estadísticas o científicas basadas en la legislación específica que permitan su conservación.
Por último, cabe indicar que sobre la consulta realizada sobre la entrega de información solicitada por la Justicia Penal, es de plena aplicación el Dictamen N° 16/2018, de 11 de setiembre de 2018, de esta Unidad. Es necesario solamente indicar que se deberá proceder a la entrega de la información cuando ésta efectivamente exista, indicándose en caso contrario que no existe la información solicitada por la causal que corresponda al caso concreto (vencimiento del plazo, sanción, etc.). - Sobre la segunda consulta.
Específicamente, el IRCCA consulta si se debe solicitar autorización para conservar los datos personales por razones históricas, científicas o estadísticas.
En este sentido, se indica que el artículo 8° de la Ley N° 18.331, de 11 de agosto de 2008 permite este procedimiento. Además, se debe considerar que el artículo 37 del Decreto N° 414/009, de 31 de agosto de 2009, regula el procedimiento de conservación para fines históricos, estadísticos o científicos.
Esta última norma establece que el procedimiento para la autorización de conservación de datos personales con estos fines se iniciará siempre a petición del responsable que pretenda obtener la declaración.
Además, indica que en el escrito de solicitud, el responsable deberá identificar el tratamiento de datos al que pretende aplicarse la excepción, establecer las causas que justificarían la declaración, presentar las medidas que el responsable de la base de datos se propone implantar para garantizar el derecho de los ciudadanos, y acompañar los documentos necesarios para justificar su solicitud. También la norma indica que previo a adoptar resolución, la URCDP puede solicitar la opinión de instituciones, organismos, públicos o privados, que tengan competencia o mérito para ser consultados en relación al caso.
Por tanto, si la institución quiere conservar datos personales en este marco, deberá proceder de acuerdo con el procedimiento que a esos efectos describe el artículo 37 del citado Decreto 414/009.
III.- Conclusiones
En relación con la primer consulta realizada por el IRCCA, vinculada con el tiempo de conservación de los datos personales, se debe aplicar el artículo 8° de la Ley N° 18.331, de 11 de agosto de 2008, el cual indica que se pueden conservar en tanto exista las razones por las cuales se recolectaron. A ese respecto, la normativa específica del sector prevé plazos especiales para la conservación de los datos personales en los distintos sectores que conforman el Registro de Cannabis
Asimismo, se pueden conservar los datos aun cuando se venzan los plazos establecidos si existe un fundamento legal para su conservación (por ejemplo acciones civiles o penales) pero siempre bloqueados, no pudiendo mantenerse más allá de ese plazo.
Vencidos todos los plazos descritos ut supra, se debe proceder a la eliminación de los datos pudiendo conservarlos solamente por razones históricas, científicas o estadísticas, siguiendo el procedimiento que el Decreto N° 414/009, establece a esos efectos.
Es todo cuanto tengo que informar.
Dra. Flavia Baladán