Informe S/N, de 9 de setiembre de 2019
Se resuelve analizar un oficio respecto al tratamiento de los datos personales en dos organismos del Estado.
Expediente 2019-2-10-0000180
Montevideo, 9 de setiembre de 2019
Informe N° S/N
-ANTECEDENTES-
Vienen los presentes atento a las actuaciones llevadas delante de oficio, y a denuncia de parte, respecto a la conformación de una base de datos en la que se incluyen todas las cédulas de identidad de uruguayos, obtenidas conforme se indica en la página web que surge de obrados, de distintas fuentes disponibles en internet.
Se señala en la citada página que esta Unidad se ha pronunciado en forma favorable a esta base, lo que de plano se descarta, lo que además se fundamenta en lo que se dirá a continuación.
-EL ANÁLISIS DEL CASO CONCRETO-
La situación puntualmente refiere a la publicación en forma libre, y por parte de un particular, de una lista completa de cédulas de identidad asociadas a nombres y apellidos.
Tratándose de una base de datos, y de información que contiene datos personales de los involucrados, corresponde determinar si es posible su comunicación en la forma planteada, debiendo tener presente dos cuestiones: en primer lugar, si la información contenida en la base de datos es pública en los términos de la Ley N° 18.331, y en segundo lugar, aun tratándose de información pública, si corresponde su entrega en la forma peticionada.
El artículo 17 de la Ley N° 18.331, de 11 de agosto de 2008 edicta que: “Los datos personales objeto de tratamiento sólo podrán ser comunicados para el cumplimiento de los fines directamente relacionados con el interés legítimo del emisor y del destinatario y con el previo consentimiento del titular de los datos, al que se le debe informar sobre la finalidad de la comunicación e identificar al destinatario o los elementos que permitan hacerlo.
El previo consentimiento para la comunicación es revocable.
El previo consentimiento no será necesario cuando:
A) así lo disponga una ley de interés general.
B) en los supuestos del artículo 9° de la presente ley.
C) se trate de datos personales relativos a la salud y sea necesaria su comunicación por razones sanitarias, de emergencia o para la realización de estudios epidemiológicos, preservando la identidad de los titulares de los datos mediante mecanismos de disociación adecuados cuando ello sea pertinente.
D) se hubiera aplicado un procedimiento de disociación de la información, de modo que los titulares de los datos no sean identificables.
El destinatario quedará sujeto a las mismas obligaciones legales y reglamentarias del emisor y éste responderá solidaria y conjuntamente por la observancia de las mismas ante el organismo de control y el titular de los datos de que se trate”.
Por su parte el artículo 9° establece que “El tratamiento de datos personales es lícito cuando el titular hubiere prestado su consentimiento libre, previo, expreso e informado, el que deberá documentarse.
El referido consentimiento prestado con otras declaraciones, deberá figurar en forma expresa y destacada, previa notificación al requerido de datos, de la información descrita en el artículo 13 de la presente ley.
No será necesario el previo consentimiento cuando:
A) Los datos provengan de fuentes públicas de información, tales como registros o publicaciones en medios masivos de comunicación.
B) Se recaben para el ejercicio de funciones propias de los poderes del Estado o en virtud de una obligación legal.
C) Se trate de listados cuyos datos se limiten en el caso de personas físicas a nombres y apellidos, documento de identidad, nacionalidad, domicilio y fecha de nacimiento. En el caso de personas jurídicas, razón social, nombre de fantasía, registro único de contribuyentes, domicilio, teléfono e identidad de las personas a cargo de la misma.
D) Deriven de una relación contractual, científica o profesional del titular de los datos, y sean necesarios para su desarrollo o cumplimiento.
E) Se realice por personas físicas para su uso exclusivo personal, individual o doméstico.”
En lo que refiere a las fuentes públicas de información, el artículo 9° bis de la citada Ley indica que son públicas o accesibles al público: “A) El Diario Oficial y las publicaciones oficiales, cualquiera sea su soporte de registro o canal de comunicación.
B) Las publicaciones en medios masivos de comunicación, entendiendo por tales los provenientes de la prensa, cualquiera sea el soporte en el que figuren o el canal a través del cual se practique la comunicación.
C) Las guías, anuarios, directorios y similares en los que figuren nombres y domicilios, u otros datos personales que hayan sido incluidos con el consentimiento del titular.
D) Todo otro registro o publicación en el que prevalezca el interés general en cuanto a que los datos personales en ellos contenidos puedan ser consultados, difundidos o utilizados por parte de terceros. En caso contrario, se podrá hacer uso del registro o publicación mediante técnicas de disociación u ocultamiento de los datos personales”.
En este sentido, debe tenerse en cuenta que toda comunicación de datos personales debe hacerse considerando el interés legítimo del emisor y del destinatario de los datos. Esta previsión, incluida en el artículo 17, es adicional al consentimiento o de sus excepciones, y se constituye en un requisito indispensable para habilitar toda comunicación de datos.
Por ende, el hecho de que el artículo 9° de la ley en su literal C habilite el tratamiento de datos, en el caso no existe un interés legítimo comprobable del destinatario que habilite dicha comunicación.
Pero además, el tratamiento de datos personales requiere el cumplimiento de los otros principios explicitados en la Ley. En particular el principio de finalidad (Artículo 8°) indica que: “Los datos objeto de tratamiento no podrán ser utilizados para finalidades distintas o incompatibles con aquellas que motivaron su obtención.
Los datos deberán ser eliminados cuando hayan dejado de ser necesarios o pertinentes a los fines para los cuales hubieren sido recolectados.
La reglamentación determinará los casos y procedimientos en los que, por excepción, y atendidos los valores históricos, estadísticos o científicos, y de acuerdo con la legislación específica, se conserven datos personales aún cuando haya perimido tal necesidad o pertinencia.
Tampoco podrán comunicarse datos entre bases de datos, sin que medie ley o previo consentimiento informado del titular”.
La finalidad de los datos personales contenidos en las bases de datos de la DNIC se encuentra reglada por varias normas entre las que se encuentra el artículo 21 del decreto-Ley N° 14.762 de 13 de febrero de 1979, y su tratamiento autorizado en especial por el artículo 151 de la Ley N° 16.736, de 5 de enero de 1996, y 81 de la Ley N° 16.462, de 11 de enero de 1994, además de las reglamentaciones pertinentes. En este caso puntual, no se observa una finalidad compatible o similar a la indicada para los datos contenidos en las bases de DNIC.
Además, el tratamiento en general de esta nueva base generada se encuentra permeado de una notoria ilicitud, al no encontrarse la misma inscripta, vulnerando en definitiva el artículo 6 de la Ley N° 18.331.
Y ello sin perjuicio de la ilicitud derivada de la inexistencia de mecanismos que habiliten el cumplimiento de los derechos por parte de los titulares de los datos personales, de conformidad con lo establecido en los artículos 14 y siguientes de la Ley N° 18.331, y la inexistencia de una autorización particular o de una acreditación fehaciente de la ubicación precisa del servidor donde se encuentran alojados los datos, a efectos de comprobar el cumplimiento o no de lo indicado en el artículo 23 de la Ley mencionada.
Con respecto a los listados de credenciales cívicas, son aplicables in totum las consideraciones arriba vertidas, debiendo considerar al respecto además la Ley N° 7.812 de 16 de enero de 1925, en la redacción dada por las Leyes N° 17.113, de 9 de junio de 1999 y 17.239, de 2 de mayo de 2000.
Por lo antedicho, se sugiere intimar a que en forma inmediata se den de baja los archivos referidos en la página denunciada y se de vista de estas actuaciones y de lo informado al Señor AA en AAA@AAA.com a efectos de que se pronuncie con respecto a lo indicado en este informe.
Es cuanto tengo para informar.
Dr. Gonzalo Sosa