Dictamen N° 18/020 .
CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Montevideo, 8 de diciembre de 2020
VISTO: La consulta presentada por la Unidad de Análisis e Intervención de la Dirección de Derechos Humanos de la Administración Nacional de Educación Pública (ANEP).
RESULTANDO: I. Que la citada Entidad solicita asesoramiento en relación con la última etapa del intercambio intersectorial Educación – Salud/Salud Educación establecida en la Hoja de Ruta del proyecto INDI (“Inventario de Desarrollo Infantil”).
II. Que la etapa inicial fue elaborada considerando las recomendaciones oportunamente emitidas por esta Unidad, solicitando en este caso específicamente asesoramiento sobre “la forma más pertinente en que la información completada en las planillas del sector salud (inicialmente enviadas a la UNAI) llegue a los docentes de los niños/as involucrados”
III. Que la consulta plantea posibles caminos para complementar la Hoja de Ruta a los efectos de que la información remitida por el MINISTERIO DE SALUD PÚBLICA, le llegue en tiempo y forma a los maestros, de modo que éstos tomen en consideración dicha información de los alumnos.
CONSIDERANDO: I. Que respecto a las primeras etapas de implementación del presente proyecto, desde la perspectiva de protección de datos, se emitió el Informe N° 321, de 30 de setiembre de 2019, del que se dio vista oportunamente.
II. Que para esta etapa son también aplicables los principios de la protección de datos, considerando que se está ante la existencia de una comunicación de datos en el sentido del artículo 4 literal b) de la Ley N° 18.331, de 11 de agosto de 2008, que cuenta además con la característica particular que se trata de la comunicación de datos sensibles (datos de salud).
III. Que la comunicación de datos ya se analizó y se concluyó que se encuentra debidamente habilitada por la existencia de interés legítimo del emisor y del destinatario, y que en cuanto al consentimiento se encuentra habilitada por el literal b) del artículo 17 de la citada norma (funciones propias de los organismos).
IV. Que en cuanto a los medios para el envío de esa información a maestros y directores, cabe indicar que la información puede ser remitida a los directores de escuela por medio de la plataforma Gurí, por ser la forma más segura en virtud de que se trata de un software de uso institucional que cuenta con suficientes medidas de seguridad. Si ello no fuera posible, ANEP deberá identificar un medio alternativo que ofrezca similares garantías de seguridad de la información, máxime teniendo presente que se está ante datos de salud de menores de edad. En ese sentido, la utilización de pendrives no es una medida adecuada para comunicar la información.
V. Que en cuanto a los requisitos para la comunicación, solamente se deben comunicar los datos estrictamente necesarios, y contar con roles debidamente identificados y limitados a aquellos que deban acceder para el cumplimiento de sus cometidos, así como informar en forma debida a los representantes legales de los menores de edad. La planilla remitida y el contenido establecido, considerando los objetivos del proyecto, se considera correcta.
VI. Que conforme con el art. 12 de la Ley N° 18.331, en la redacción dada por el art. 39 de la Ley N° 19.670, y los artículos 6 y 7 del Decreto 64/020, cuando el tratamiento de datos tenga como objeto el tratamiento de datos de poblaciones de especial vulnerabilidad, como ser menores de edad, corresponde la realización de una evaluación de impacto en la protección de datos, para lo que se cuenta con un plazo de un año a partir de la publicación del citado decreto en el Diario Oficial.
VII. Que a ello se debe agregar que tratándose de Entidades Públicas, también corresponde la designación de delegado de protección de datos personales (art. 40 de la Ley N° 19.670).
ATENTO: a lo expuesto e informado,
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
DICTAMINA:
1° La comunicación de datos a la ADMINISTRACIÓN NACIONAL DE EDUCACIÓN PÚBLICA a los fines de completar la hoja de ruta indicada, por parte del MINISTERIO DE SALUD PÚBLICA, y de la primera hacia los directores y maestros, podrá realizarse en tanto se de cumplimiento a las condiciones detalladas en el presente.
2° En virtud del tratamiento y tipos de datos involucrados, deberá realizarse una evaluación de impacto en la protección de datos, en las condiciones y plazos indicados por el Decreto N° 64/020.
3° Las entidades públicas involucradas en la comunicación de datos deberán designar los correspondientes delegados de protección de datos personales, conforme el art. 40 de la Ley N° 19.670.
4° NOTIFÍQUESE Y PUBLÍQUESE
Fdo: Dr. Felipe Rotondo
Consejo Ejecutivo
Unidad Reguladora y de Control de Datos Personales
Expediente: 2020-2-10-0000400