Unidad Reguladora y de Control de Datos Personales

VISTO: La denuncia presentada contra IOV Labs sobre ejercicio de derecho de supresión de datos personales.

RESULTANDO:

I. Que se presenta ante esta Unidad el denunciante e indica que la empresa Taringa! (Taringa.net) refiere en su política de privacidad que aplica la normativa uruguaya. Expresa que ha solicitado la supresión de sus datos personales, de determinadas cuentas, desde hace meses y la empresa no ha accedido a su pedido y no le explicado los motivos.

II. Que se dio vista a IOV LABS (Taringa), la que fue evacuada. Manifiesta la denunciada que es una reconocida compañía multinacional dedicada al desarrollo de plataformas de bajo costo y alta calidad, fáciles de utilizar contando con un público a nivel mundial. Expresa que, desde el año 2019, Taringa! forma parte del grupo IOV, y que el denunciante es dueño de dos cuentas abiertas en los años 2011 y 2012 utilizadas por última vez en los años 2014 y 2015. Adjuntan capturas de pantallas de que los usuarios del denunciante y su información asociada, fueron eliminados de la base de datos. En virtud de ello, solicitan que se tenga por evacuada y contestada la vista y, si se entienden suficientes las aclaraciones presentadas, se proceda al archivo de las actuaciones.

III. Que con fecha 28 de setiembre de 2021, se presenta la Superintendencia de Industria y Comercio de Colombia a solicitar colaboración con referencia al mismo caso adjuntando copia de sus actuaciones (fs. 47 a 65). Con fecha 18 de noviembre de 2011, de mandato verbal del Consejo, se solicita dar vista de todas las actuaciones al denunciante.

IV. Que, al evacuar la vista, el denunciante indica que la empresa ignoró sus solicitudes de habeas data por al menos 9 meses. Entiende que la empresa fue contra los principios de libertad y finalidad y que la empresa ha reactivado su usuario con posterioridad. Agrega que la empresa denunciada no tiene actualizada su política de privacidad y no cumple con las pautas europeas de información y utilización de cookies e indica que no ha encontrado bases de datos registradas.

V. Que a los efectos de ampliar algunos extremos se dio nueva vista a la denunciado, la que realiza una cronología de los hechos, adjunta capturas donde se observa que no existe más el usuario, indican que en la política de privacidad refieren al correo electrónico de contacto para el ejercicio de los derechos, expresan que no tienen bases de datos registrados porque no exigen datos personales para el registro de cuenta solo un nombre de usuario y correo electrónico y eventualmente algunos datos básicos. Agrega que no corresponde la designación de delegado ni la evaluación de impacto por no encuadrar dentro de ninguna de las hipótesis previstas por la normativa y adjuntan copia de la política de privacidad  vigente.

CONSIDERANDO:

I. Que el presente caso versa se realiza una denuncia sobre ejercicio de derecho de supresión de datos personales ante IOV Labs (Taringa) por parte de una persona de ciudadanía colombiana que se presenta ante esta Unidad en virtud de que la empresa indica que se rige por la ley y la jurisdicción uruguaya.

II. Que, en este sentido, efectivamente surge de la política de privacidad de la denunciada que se rige por la normativa uruguaya, por lo que esta Unidad es competente para evaluar la presente denuncia.

III. Que, en este marco, el derecho de supresión está regulado en el artículo 15 de la Ley 18.331, de 11 de agosto de 2008, por el que el responsable cuenta con un plazo de 5 días hábiles para proceder a eliminar la información. En este caso, en tanto se trata de una plataforma donde se ingresa voluntariamente y no existe obligación legal de mantenerse en ella, se podría solicitar la baja por el titular del dato en cualquier momento.

IV. Que la denunciada reconoce una demora en la respuesta al denunciante, aunque alegan que se procedió a eliminar los usuarios, adjuntando capturas de pantallas. De la constatación notarial realizada por esta Unidad surge que en la actualidad no existe información relacionada con el denunciante por lo que la solicitud original de supresión del denunciante fue satisfecha. Ello, sin perjuicio, de que la denunciada debe ajustar sus procedimientos.

V. Que, además, de la lectura de la política de privacidad surgen inconsistencias con el marco nacional, por lo que si se pretende aplicar la ley y la jurisdicción nacional se deberá adaptar este documento a las previsiones nacionales.

VI. Que la denunciada no ha procedido al registro de sus bases de datos, situación que debe ser reexaminada atento a que cuenta con datos personales, sin perjuicio de la evaluación que le corresponde realizar a efectos de determinar si corresponde la designación de un delegado de protección de datos de conformidad con el artículo 40 de la Ley N° 19.670, de 15 de octubre de 2018.

VII. Que, finalmente, de las actuaciones realizadas surge que no se preservó la confidencialidad de la información, lo que contraviene el principio de seguridad de los datos regulado en el art. 10 de la Ley N° 18.331

ATENTO: a lo expuesto e informado,

El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales

RESUELVE:

1. Observar a IOV Labs por incumplir lo dispuesto en los artículos 10, 12 y 15 de la Ley N° 18.331, de 11 de agosto de 2008.
2. Indicar a IOV Labs que deberá revisar el contenido de su política de privacidad, determinar las bases de datos cuyo registro corresponde se realice ante esta Unidad, y eventualmente la designación de un delegado de protección de datos, dando cuenta a esta Unidad en un plazo de 30 días hábiles.
3. Comunicar a la Superintendencia de Industria y de Comercio de Colombia el resultado de las presentes actuaciones.
4. NOTIFÍQUESE Y PUBLÍQUESE.

Firmado por: Dr. Felipe Rotondo

Consejo Ejecutivo

URCDP