Unidad Reguladora y de Control de Datos Personales

VISTO: La solicitud de transferencia internacional presentada por la Administración Nacional de Combustibles, Alcohol y Portland (ANCAP).

RESULTANDO: I. Que se presenta ante esta Unidad ANCAP a los efectos de solicitar autorización de transferencia internacional de datos personales para que pueda estar operativo el servicio de correo en la nube “Exchange online”.

II. Que la base de datos fue registrada bajo la denominación “Casillas de correo” y se estaría alojando en la zona “Geografía global 3: América” que incluye Brasil, Chile y Estados Unidos.

III. Que en el contrato marco de negocios y servicios de Microsoft se regulan los “Derechos de uso”. En lo que refiere a las cláusulas contractuales que aseguren la protección de datos, se indica que en el Anexo 1 “Addendum de Protección de Datos de los Productos y Servicios de Microsoft” se expresa en la cláusula 9, sobre legislación aplicable, que las cláusulas se regirán por la legislación del Estado miembro de establecimiento del exportador de datos. 

IV. Que expresan que, en los términos y condiciones de servicios de Microsoft, se establece que éste cumplirá con todas las leyes que le resulten aplicable en su condición de prestador de servicios de nube. En base a ello, entienden que sus servicios quedan regidos por las obligaciones que la Ley establece para los encargados de tratamiento. Adicionan que los servicios de Microsoft se encuentran certificados bajo el estándar ISO 27018 de protección de datos personales en la nube.

V. Que, además, adjuntan el “Addendum de Protección de Datos de los Productos y Servicios de Micrsoft”, con la referencia a última fecha de actualización 15 de setiembre de 2021, y sus anexos así como el Contrato Marco de Negocio y Servicios. 

CONSIDERANDO:  I. Que en cuanto al régimen de las transferencias internacionales, el art. 23 de la Ley N° 18.331, de 11 de agosto de 2008, prohíbe la transferencia de datos personales de cualquier tipo con países y organismos internacionales que no proporcionen niveles de protección adecuados de acuerdo con los estándares de Derecho Internacional o regional en la materia. La misma indica que la Unidad podrá autorizar una transferencia o una serie de transferencias de datos personales a un tercer país que no garantice un nivel adecuado de protección, cuando el responsable de tratamiento ofrezca garantías suficientes respecto a la protección de la vida privada, de los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los respectivos derechos.

II. Que en tanto la transferencia internacional de datos se funda en los servicios de nube de Microsoft, corresponde señalar que la Unidad emitió el Dictamen N° 9/023, que indica que las cláusulas contractuales presentadas por Microsoft Corporation, de fecha 1 de enero de 2023, se ajustan a la legislación nacional sobre protección de datos personales.

III. Que de toda la documentación presentada, surge que se suscribieron los términos de las cláusulas contractuales referidas en el considerando anterior, con algunas adecuaciones realizadas con posterioridad.

IV. Que, en forma complementaria, se informa que la base de datos “Casillas de correo” de ANCAP se encuentra registrada mediante la Resolución N° 79/022, base que deberá actualizarse para incluir la transferencia indicada.

ATENTO: a lo expuesto e informado,

El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales

RESUELVE:

1. Autorizar la solicitud de transferencia internacional de datos personales presentada por ANCAP.
2. Indicar a ANCAP que deberá actualizar el registro de base de datos correspondiente.
3. NOTIFÍQUESE Y PUBLÍQUESE.

Firmado por: Federico Monteverde

Consejo Ejecutivo

URCDP