Unidad Reguladora y de Control de Datos Personales

Resolución Nº 11/019, de 2 de abril de 2019

Se resuelve una denuncia sobre el presunto incumplimiento de los plazos para habilitar el ejercicio de los derechos consagrados en la Ley N° 18.331.

CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES

Montevideo, 2 de abril de 2019

VISTO: La denuncia presentada por el señor AA contra la empresa OVATSOL S.A.

RESULTANDO:

1. Que el denunciante indica que la denunciada expuso datos personales  de sus clientes, específicamente nombres, teléfonos, correos electrónicos, cédulas de identidad, direcciones y firmas, todo a través de su sitio web. Manifiesta además que se puede acceder a información personal a través de una dirección que no controla si el usuario está logueado en la página, y que si se cambia el parámetro, se accede a información de cada uno de sus clientes. Expresa que informó oportunamente a la empresa.
2. Que el 10 de agosto de 2018 se realizó comprobación del sitio web de la denunciada, sin que se hubieran podido confirmar los dichos del denunciante.
3. Que con fecha 5 de setiembre de 2018 se dio vista a la denunciada y en su evacuación de vista expresa que recibió el aviso del denunciante y en ese marco le solicitaron más información, sin perjuicio de lo cual al día siguiente resolvieron la situación y lo informaron el denunciante.

CONSIDERANDO:

1. Que el presente caso refiere a una vulneración de seguridad por la que se posibilitó en forma involuntaria el acceso a datos personales tales como nombres, teléfonos, correos electrónicos, cédulas de identidad, direcciones y firmas, siendo de aplicación lo dispuesto en la Ley N° 18.331, de 11 de agosto de 2008.
2. Que lo sucedido se enmarca en una vulneración del principio de seguridad regulado en el artículo 10 de la citada norma, reglamentado por los artículos 7 y 8 del Decreto 414/009, de 31 de agosto de 2009.
3. Que se debe tener presente que advertida de la situación, la empresa adoptó las medidas necesarias para resolverla, y recaudos para evitar futuras vulneraciones a la base de datos. No se ha constatado por otra parte, la existencia de perjuicios a terceros.
4. Que a la fecha no surgen bases de datos inscriptas a nombre de la denunciada.

ATENTO: a lo expuesto,

El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales

RESUELVE:

1. Apercibir a OVATSOL S.A. por vulnerar el principio de seguridad consagrado en el artículo 10 de la Ley N° 18.331, de 11 de agosto de 2008.
2. Intimar a OVATSOL S.A. la inscripción de todas sus bases de datos en un plazo de 30 días corridos, bajo apercibimiento.
3. Notifíquese, publíquese y oportunamente archívese.

DR. FELIPE ROTONDO

URCDP