Dictamen N° 23/023 .
VISTO: La consulta presentada por el Ministerio de Relaciones Exteriores (MRREE).
RESULTANDO: I. Que se presenta ante esta Unidad el MRREE a los efectos de consultar sobre distintos aspectos del Registro Único de Uruguayos en el Exterior (RUUE), el que consiste según lo indicado en una plataforma web, con el propósito de centralizar la información relativa a los connacionales en el exterior.
II. Que dentro de los datos personales que se recabarían en el RUUE se encuentran nombres y apellidos, lugar de nacimiento, fecha de nacimiento, sexo, número de cédula de identidad, número de pasaporte, tipo de ciudadano, otra nacionalidad, ciudad y país de residencia, dirección, correo electrónico, teléfonos de contacto, tiempo de estadía en el exterior, educación, ocupación, nombre de los padres, si tiene hijos, consulado, entre otros. La inscripción se podrá hacer por medio de usuario y contraseña, o personalmente ante un Consulado.
III. Que la Dirección General para Asuntos Consulares y Vinculación expresa que se “desea garantizar la protección absoluta de la información que provea el compatriota a dicha aplicación así como su integridad y confidencialidad, en armonía a lo establecido en la Ley N° 18331 sobre Protección de Datos Personales”.
CONSIDERANDO: I. Que en el presente caso se consulta si existe transferencia internacional de datos cuando se transmite información desde el país hacia las embajadas y consulados. A estos efectos, se debe considerar la definición establecida en el articulo 4 literal h) del Decreto N° 414/009, de 31 de agosto de 2009.
II. Que en el presente caso se presume que la información se encuentra alojada en el país y que se transfiere a las embajadas y consulados que también forman parte del MRREE por lo que no existiría una cesión o comunicación de datos en el sentido establecido en el art. 4 literal c) de la Ley N° 18.331, en tanto se trata del mismo responsable.
III. Que, sin perjuicio de ello, al transferirse la información a embajadas y consulados, la información mínimamente es accedida, alojada o respaldada en terceros países por lo que no en todos los casos se puede garantizar el nivel de protección de datos personales adecuado. En ese sentido, el Dictamen N° 8/014 de este Consejo Ejecutivo, considera sobre el alojamiento en el exterior que “en virtud de la legislación citada en el numeral anterior, tanto el servicio como los respaldos, deberán ubicarse en países adecuados en materia de protección de datos personales”
IV. Que, en función de lo indicado en el apartado anterior, resulta pertinente que se establezca un código de conducta o similar para el tratamiento de la información personal por parte de todos los actores (ministerios, embajadas, consulados) que incluya las condiciones del uso de dicha información.
V. Que, además, de las actuaciones recibidas por esta Unidad surge probado que el Ministerio cuenta con delegado de protección de datos, pero no surge comunicado a esta Unidad, y en tanto la base de datos puede supera la cantidad de 35.000 personas, deberá realizarse por el MRREE una evaluación de impacto (artículo 6° del Decreto N° 64/020, de 17 de febrero de 2020).
ATENTO: a lo expuesto e informado,
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
DICTAMINA:
- Informar al Ministerio de Relaciones Exteriores que resulta conveniente la formalización de un código de conducta o instrumento similar a los efectos de instrumentar el Registro previsto, considerando el alojamiento y tratamiento de información personal en el exterior, aun cuando ello sea realizado por distintas unidades del mismo responsable.
- Exhortar al Ministerio de Relaciones Exteriores a comunicar a la brevedad la designación de su delegado de protección de datos, y a efectuar la evaluación de impacto en la protección de datos en forma previa a la puesta en producción del Registro indicado.
- NOTIFÍQUESE Y PUBLÍQUESE
Firmado por: Mag. Federico Monteverde
Consejo Ejecutivo
URCDP