Dictamen N° 7/021 .
CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Montevideo, 20 de abril de 2021.
VISTO: La consulta presentada por el Instituto de Regulación y Control de Cannabis (IRCCA).
RESULTANDO: I. Que el IRCCA indica que es responsable de una base de datos que se encuentra debidamente inscrita ante la URCDP en la cual se asientan los datos referentes a adquirientes de cannabis en locales de expendio, cultivadores domésticos y clubes cannábicos de membresía, así como la integración de sus miembros, los cuales son datos sensibles según la definición brindada por los literales D) y E) del artículo 4° de la Ley N° 18.331.
II. Que se expresa que si así le es requerido, el IRCCA informa si una persona se encuentra registrada en alguna de las categorías mencionadas. En ese caso debe existir una solicitud expresa de relevamiento del secreto por parte de un Juzgado mediante la emisión del oficio correspondiente, en virtud de lo recomendado por el Dictamen N° 16/018, de 11 de setiembre de 2018, de esta Unidad.
III. Que la consulta concreta es si debe proceder a entregar la información que solicita el Ministerio de Interior sobre el domicilio de los cultivadores domésticos y de los clubes con sus respectivos datos identificatorios, entre otros.
IV. Que se ha dado vista en reiteradas oportunidades al IRCCA y al Ministerio del Interior, quienes expresaron sus argumentos en las distintas evacuaciones de vista.
CONSIDERANDO: I. Que el IRCCA tiene como finalidad, entre otras, promover y proponer acciones tendientes a reducir los riesgos y los daños asociados al uso problemático de cannabis, de acuerdo con las políticas definidas por la Junta Nacional de Drogas y en coordinación con las autoridades nacionales y departamentales, y fiscalizar el cumplimiento de las disposiciones de la ley (literales B y C del artículo 18 de la Ley N° 19.172 de 20 de diciembre de 2013). El artículo 28 de la misma ley prevé dentro de sus atribuciones la creación de un registro de usuarios, manteniendo el anonimato y privacidad conforme a las disposiciones legales vigente y a la reglamentación respectiva, confirmando el carácter de dato sensible de la identidad de los titulares de los actos de registro, de conformidad con el artículo 18 de la Ley N° 18.331.
II. Que la base de datos denominada “IRCCA” del IRCCA se encuentra inscripta ante esta Unidad por Resolución N° 18/017, de 15 de febrero de 2017.
III. Que el artículo 4° literal “A” de la Ley N° 19.315, de 24 de febrero de 2015, indica como cometidos de la Policía Nacional como Policía Administrativa, el velar por el cumplimiento de las leyes y disposiciones generales ejecutando las órdenes que le hayan sido encomendadas en el ámbito de sus respectivas competencias.
IV. Que la Ley N° 19.696, de 29 de octubre de 2018, que crea el Sistema Nacional de Inteligencia del Estado, establece que la recolección y tratamiento de la información de los órganos que integran el Sistema Nacional de Inteligencia, entre ellos los del Ministerio del Interior, se deberá ajustar a determinados principios como el de juridicidad, por el que se debe actuar en estricta observancia de la Constitución, los tratados internacionales, las leyes y demás fuentes del ordenamiento jurídico, evitando en todo caso las actividades invasivas de la privacidad de las personas (artículos 5° literal “D” y 9° literal “B”).
V. Que en el caso de la presente consulta se está ante la presencia de una pretendida comunicación de datos personales, entendida ésta como toda revelación de datos realizada a una persona distinta del titular del dato (art. 4° literal b) de la Ley N° 18.331, de 11 de agosto de 2008). La calidad de sensible del dato no inhibe su comunicación en tanto se cumplan con todos los requisitos previstos por la Ley y adoptando las medidas necesarias en el ejercicio de una responsabilidad proactiva.
VI. Que el artículo 17 de la Ley N° 18.331 indica que para realizar la comunicación de datos personales es necesaria la existencia de interés legítimo del emisor y del destinatario así como el consentimiento de los titulares o la posibilidad de aplicar alguna de las excepciones allí dispuestas o de las contenidas en el art. 9° de la Ley N° 18.331. Es el responsable de la base (en los términos del artículo 4° literal K de la ley citada) y emisor de la información, quien es competente para evaluar y decidir las condiciones de la comunicación teniendo presente la responsabilidad solidaria entre emisor y destinatario por la observancia de las obligaciones legales y reglamentarias ante el organismo de control y el titular de los datos de que se trate.
VII. Que en ese sentido, por el dictamen N° 16/018 ya citado, se indicó que atento a que la información establecida como sensible por parte de la Ley es sólo la referida a “identidad” de los titulares, la información de la existencia o no de un club cannábico o de un autocultivo en determinado domicilio puede otorgarse, siempre que se brinde debidamente anonimizada, de conformidad con lo establecido en el artículo 17 literal D de la Ley N° 18.331. Ello sin perjuicio de la entrega que se realice a requerimiento de la justicia penal.
VIII. Que más allá del interés legítimo fundado en las distintas competencias de las entidades públicas involucradas, en tanto la anonimización es un presupuesto para la comunicación y posterior tratamiento del dato, ambas deberán velar porque dicha anonimización se encuentre efectivamente asegurada.
ATENTO: a lo expuesto
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
DICTAMINA:
1° Que la comunicación de la información indicada en la consulta formulada y que refiere la parte expositiva del presente, podrá efectuarse con el previo consentimiento del titular del dato o si se asegura su debida anonimización y, en todos los casos, acreditarse que se realiza para el cumplimiento de los fines directamente relacionados con el interés legítimo del emisor y del destinatario.
2° Asimismo, corresponde que el tratamiento posterior de la información recolectada se realice por el destinatario en forma anonimizada -en lo pertinente-, a cuyos efectos cabe tener el presente la Guía Criterios de Disociación de Datos Personales aprobada por Resolución de este Consejo N° 68/2017, de 26 de abril de 2017.
3° Que el cumplimiento de los requisitos para la efectiva comunicación corresponde en el caso concreto a los eventuales emisor (IRCCA) y destinatario (Ministerio del Interior), quienes deberán arbitrar los mecanismos de seguridad y responsabilidad proactiva que permitan ese cumplimiento, considerando además la responsabilidad solidaria y conjunta indicada en el artículo 17 de la Ley N° 18.331.
4° NOTIFÍQUESE Y PUBLÍQUESE
Fdo: Dr. Felipe Rotondo Tornaría
Consejo Ejecutivo
URCDP
Expediente N° 2020-2-10-0000263