Unidad Reguladora y de Control de Datos Personales

VISTO: La consulta presentada por María Saraza respecto a la responsabilidad de la figura del delegado de protección de datos personales prevista en la Ley N° 19.670, de 15 de octubre de 2018.

RESULTANDO: I. Que el artículo 40 de la Ley N° 19670 dispone que las entidades públicas y privadas deben designar un delegado de protección de datos personales, y que dentro de sus funciones se contempla el supervisar el cumplimiento de la normativa sobre dicha protección en la entidad o entidades para las que preste servicios

II. Que se consulta en concreto si podría entenderse que las responsabilidades previstas para el responsable del tratamiento de los datos personales se extienden al delegado. Es decir, si se contempla en la legislación un régimen de responsabilidad personal que concierna al delegado de protección de datos personales.

CONSIDERANDO: I. Que el artículo 40 de la Ley N° 19.670 expresa que “Las entidades públicas, estatales o no estatales, las privadas total o parcialmente de propiedad estatal, así como las entidades privadas que traten datos sensibles como negocio principal y las que realicen el tratamiento de grandes volúmenes de datos deberán designar un delegado de protección de datos (…)”. 

            II. Que esta misma norma establece sus funciones que consisten en asesorar en la formulación, diseño y aplicación de políticas de protección de datos, supervisar el cumplimiento de la normativa en la entidad, proponer todas las medidas que entienda pertinentes para adecuarse a la normativa y a los estándares internacionales en materia de protección de datos personales y actuar como nexo entre la entidad y la Unidad. Además, se establece que debe tener determinadas condiciones necesarias para el correcto desempeño de sus funciones y debe actuar con autonomía técnica.

            III. Que los artículos 10° y siguientes del Decreto N° 64/020, de 17 de febrero de 2020, reglamentan la actividad del delegado de protección de datos. 

            IV. Que, por su parte, esta Unidad ha emitido dos resoluciones sobre los delegados: la Resolución N° 32/020 de 19 de mayo de 2020, sobre las condiciones que deben tener los delegados y los requisitos para su comunicación y la Resolución N° 44/020, de 21 de julio de 2020, que adiciona algunas aclaraciones adicionales respecto a las condiciones de los delegados.

            V. Que, de acuerdo con el marco normativo citado, no se hace referencia en forma expresa sobre la responsabilidad de los delegados. Por tanto, se considera que los delegados no son personalmente responsables en caso de incumplimiento de la normativa de protección de datos personales. La Ley N° 18.331 indica que el responsable es el responsable por las infracciones de la norma y que debe tener una actividad proactiva. 

El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales

DICTAMINA:

1. Informar a la consultante que los delegados no son personalmente responsables en caso de incumplimiento de la normativa de protección de datos personales, con excepción eventualmente de lo dispuesto en el artículo 11 de la Ley N° 18.331, en caso de corresponder.
2. NOTIFÍQUESE Y PUBLÍQUESE.

Firmado por: Federico Monteverde

Consejo Ejecutivo