Resolución N° 30/020 .
CONSEJO EJECUTIVO DE LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
Montevideo, 12 de mayo de 2020.
VISTO y CONSIDERANDO:
I. Que en Dictamen N° 13/009, de 25 de setiembre de 2009, este Consejo expresó que los datos biométricos son datos personales “que obedecen a ‘propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics, que son, al mismo tiempo, atribuibles a una sola persona y mensurables, incluso si los modelos utilizados en la práctica para medirlos técnicamente implican cierto grado de probabilidad’ (Dictamen 4/2007 sobre el concepto de datos personales, de 20 de junio de 2007, Grupo de Trabajo del Art. 29, 01248/07/ES WP 136). Se incluyen en los datos biométricos las imágenes faciales y los datos dactiloscópicos.
II. Que la aplicación de tecnologías que utilizan información biométrica con el fin de identificar o autenticar a las personas se ha extendido a nivel nacional e internacional, con múltiples aplicaciones en varias ramas de la actividad pública y privada. En ese sentido, resulta necesario que el tratamiento de estos datos se sustente en especiales resguardos a efectos de minimizar los riesgos que entrañan para los derechos fundamentales, entre ellos el derecho a la protección de datos personales.
III. Que la reformulación del principio de responsabilidad (artículo 12 de la Ley N° 18.331, de 11 de agosto de 2008 en texto dado por el artículo 39 de la Ley N° 19.670, de 17 de octubre de 2018) incluye la obligación de responsables y encargados de adoptar medidas técnicas y organizativas apropiadas para garantizar un tratamiento adecuado de los datos personales y demostrar su efectiva implementación.
IV. Que el artículo 5° del Decreto N° 64/020, de 20 de febrero de 2020 prevé las condiciones para la adopción de las referidas medidas, de acuerdo con la naturaleza de los datos y los tratamientos que se efectúen y los riegos que impliquen, y otros aspectos relativos al principio.
V. Que, por su parte, el artículo 6° del citado Decreto determina los tratamientos que, por su especial naturaleza, requieren una previa evaluación de impacto en la protección de datos personales y su literal “g” incluye “Otros que determine la Control de Datos Personales”.
ATENTO: a lo expuesto,
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
RESUELVE:
1°. Establecer que todo responsable, y encargado en su caso, que realice tratamiento de datos biométricos, deberá efectuar una evaluación de impacto a la protección de datos personales, en las condiciones y plazos previstos en el artículo 7° del Decreto N° 64/020, de 20 de febrero de 2020. Ello sin perjuicio de las medidas que corresponda adoptar de conformidad con lo establecido en el artículo 5° del mencionado decreto.
2°. Indicar que la definición de dato biométrico a considerar para la adopción de las medidas referidas, es la mencionada en parte expositiva de la presente resolución.
3°. Publíquese.
Fdo. Mag. FEDERICO MONTEVERDE
CONSEJO EJECUTIVO
UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES