Dictamen N° 15/019 .
CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Montevideo, 5 de noviembre de 2019
VISTO: La consulta realizada por el Consejo de Educación Técnico Profesional.
RESULTANDO:
I. Que la Unidad de Prosecretaría del Consejo de Educación Técnico Profesional consulta sobre la posibilidad de contar con una base de datos visible en el sitio web de la institución que contenga identificación de la persona con nombre completo, cédula de identidad, título obtenido, nivel que se obtiene el mismo, plan en que cursó y centro educativo. Asimismo, el trámite del título con la repartición en que se encuentra y fecha.
II. Que además agrega que sería un apartado en el sitio web al que se accedería ingresando el nombre de la persona o su cédula de identidad, y se desplegaría una ventana con los datos antes referidos. En ese marco, solicita conocer si para instrumentar una base de datos de este tenor, se requiere el previo consentimiento a efectos de proceder a publicar esos datos personales.
CONSIDERANDO:
I. Que el presente caso refiere a la legalidad de realizar una comunicación de datos, definida en el artículo 4° literal b) de la Ley N° 18.331, de 11 de agosto de 2008.
II. Que para realizar dicha comunicación el artículo 17 de la misma norma indica que los datos personales objeto de tratamiento sólo podrán ser comunicados para el cumplimiento de los fines directamente relacionados con interés legítimo del emisor y del destinatario y con el previo consentimiento del titular de los datos, salvo excepciones que en este caso no resultan aplicables.
III. Que otro aspecto de análisis es el impacto de la publicación en Internet de este tipo de datos. Que se debe tener en cuenta el principio de veracidad (artículo 7° de la Ley N° 18.331), indicando que los datos personales que se recogieren a los efectos de su tratamiento deberán ser veraces, adecuados, ecuánimes y no excesivos en relación con la finalidad para la que se obtuvieron. Que, desde esta perspectiva, al no ser aplicable ninguna de las excepciones establecidas, ni normas que mandaten su publicación, no corresponde la publicación sin el consentimiento de los titulares.
IV. Que conforme con las modificaciones introducidas por la Ley N° 19.670, específicamente el nuevo artículo 39, los responsables y encargados de bases de datos deben adoptar las medidas técnicas y organizativas que correspondan para asegurar su protección (privacidad desde el diseño, privacidad por defecto, evaluación de impacto a la protección de datos, etc.).
ATENTO: a lo expuesto y establecido por el artículo 72 de la Constitución de la República, artículos 28, 29 y 31 de la Ley N° 18.331.
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
DICTAMINA:
1°. Que a los efectos de la publicación de la información referida en estos procedimientos en Internet, es necesario recabar el previo consentimiento informado de los titulares de los datos por no resultar aplicable ninguna de las excepciones previstas en la Ley N° 18.331, de 11 de agosto de 2008.
2°. Que el tratamiento de los datos deberá ajustarse a los principios de la normativa de protección de datos personales en la forma indicada en el presente Dictamen.
3°. Notifíquese y publíquese.
FIRMADO POR: MAG. FEDERICO MONTEVERDE
CONSEJO EJECUTIVO
UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Expediente N° 2019-2-10-0000340