Dictamen N° 6/019 .
CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Montevideo, 7 de mayo de 2019
VISTO: La consulta presentada por el BANCO DE PREVISIÓN SOCIAL respecto a la firma de un acuerdo de Programa con la organización con sede en los Estados Unidos denominada SMILE TRAIN.
RESULTANDO:
I. Que la consultante solicita a esta Unidad se pronuncie sobre la adecuación a la normativa en materia de protección de datos de las cláusulas del acuerdo que adjunta con SMILE TRAIN -organización sin fines de lucro dedicada a la provisión de fondos, herramientas y educación en materia de labio/paladar hendido-.
II. Que surge de la documentación presentada que el objetivo del acuerdo es concretar esfuerzos de cooperación, permitiendo al BANCO DE PREVISIÓN SOCIAL ofrecer cirugías reconstructivas gratis, entre otros servicios. III.- Que SMILE TRAIN se encuentra ubicada en Nueva York, Estados Unidos de América, y no cuenta con certificación de Privacy Shield.
CONSIDERANDO:
I.- Que el presente caso se trata de la aplicación de normativa en materia de transferencias internacionales de datos de salud y de menores de edad a territorio no adecuado, por lo que resulta aplicable la Ley N° 18.331, de 11 de agosto de 2008, en particular sus artículos 17, 18 y 23. Además corresponde la aplicación de los artículos 8° a 12°, este último en la redacción dada por el artículo 39 de la Ley N° 19.670, de 15 de octubre de 2018.
II. Que el BANCO DE PREVISIÓN SOCIAL tiene cometidos específicos vinculados al tratamiento de las patologías objeto del acuerdo presentado, conforme lo establecido por el Decreto-Ley N° 15.084, de 28 de noviembre de 1980, el decreto N° 227/981, de 27 de mayo de 1981 y demás normas reglamentarias.
III. Que en tanto los padres brinden el consentimiento para la comunicación de la información a SMILE TRAIN, se cumple con lo establecido en el artículo 23 literal A de la Ley N° 18.331, que prevé la transferencia de información con el consentimiento del interesado –en este caso de su representante-. No obstante, deberá revisarse la redacción del modelo de consentimiento –o complementarse en debida forma-, en lo que respecta a la posibilidad de establecerse finalidades adicionales, e informarse que aún en caso de negativa a proporcionar dicho consentimiento, el menor tendrá la posibilidad de obtener la asistencia debida.
IV. Que en lo que respecta a la comunicación de información a SMILE TRAIN, deberá limitarse a la estrictamente necesaria para el cumplimiento de las obligaciones asumidas, y asegurarse la supresión de ésta a requerimiento del interesado por una vía sencilla y gratuita. El BANCO DE PREVISIÓN SOCIAL deberá asumir la obligación de recabar esas manifestaciones de voluntad, y que cumpla con lo solicitado por los titulares de los datos o sus representantes.
V. Que en lo que respecta a las restantes obligaciones en el marco del artículo 12° de la Ley N° 18.331, en la redacción dada por el artículo 39 de la Ley N° 19.670, corresponde la realización de una Evaluación de Impacto en la Protección de Datos y el registro de la base de datos de los menores que formen parte del programa.
VI. Que atento a lo dispuesto por el artículo 37 literal A de la Ley N° 19.670, SMILE TRAIN se encontrará alcanzada por las disposiciones de la Ley N° 18.331.
ATENTO: A lo expuesto e informado, y a lo previsto en las normas aplicables,
El Consejo Ejecutivo de la Unidad Reguladora y de Control de Datos Personales
DICTAMINA:
1°.El acuerdo presentado por el BANCO DE PREVISIÓN SOCIAL cumple con las disposiciones en materia de protección de datos para las transferencias internacionales previstas, por encontrarse abarcado en lo dispuesto en el artículo 23 literal A de la Ley N° 18.331, debiendo previamente adaptarse el modelo de consentimiento en la forma indicada en los Considerandos, dando cuenta a esta Unidad.
2°. El BANCO DE PREVISIÓN SOCIAL deberá dar cumplimiento a lo dispuesto en el artículo 12° de la Ley N° 18.331, en la redacción dada por el artículo 39 de la Ley N° 19.670, incluyendo las recomendaciones que surgen de los Considerandos del presente Dictamen y lo informado en obrados, dando cuenta a esta Unidad.
3°. Notifíquese, publíquese y oportunamente archívese.
FIRMADO POR: DR. FELIPE ROTONDO
CONSEJO EJECUTIVO
UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Expediente N° 2019-2-10-0000079