Resolución N° 70/023 .
VISTO: La pertinencia de complementar lo establecido por las Resoluciones N° 23/021, de 8 de junio de 2021 y N° 63/023, de 22 de noviembre de 2023.
RESULTANDO: I. Que las resoluciones indicadas establecieron el listado de países y organizaciones adecuados para la realización de transferencias internacionales de conformidad con lo establecido en el artículo 23 de la Ley N° 18.331, de 11 de agosto de 2008.
II. Que atento a lo establecido en el artículo 6° de la Ley N° 18.331 la formación de bases de datos será lícita cuando se encuentren debidamente inscriptas, lo que deberá realizarse en el Registro de Bases de Datos creado por el artículo 1° del decreto N° 664/008, de 22 de diciembre de 2008, en la forma establecida en éste y por el artículo 16 del decreto N° 414/009, de 31 de agosto de 2009, en la redacción dada por el artículo 1° del decreto N° 308/014, de 22 de octubre de 2014.
III. Que, de conformidad con lo establecido en el artículo 4° del decreto N° 664/008 la Unidad Reguladora y de Control de Datos Personales se encuentra facultada para agregar los elementos que considere necesarios en el marco del Registro de Base de Datos, exigiéndose actualmente la indicación del destino de la transferencia internacional, sin importar la base de legitimación para dicha transferencia.
IV. Que, el artículo 13 de la Ley N° 18.331, en la redacción dada por el artículo 62 de la Ley N° 20.075, de 20 de octubre de 2022, establece la información que debe proveerse a los titulares en forma previa a la recolección de sus datos o a solicitud de éstos, dentro de los que se incluye la existencia o no de transferencias internacionales (literal F). Dicho artículo habilita además a esta Unidad a establecer condiciones específicas para la publicidad permanente de la información indicada.
Considerando: I. Que, de las normas citadas resulta que previo a la realización de transferencias internacionales de datos, tanto a países u organizaciones adecuadas como no adecuadas, se requiere la inscripción previa de la base de datos correspondiente en el Registro de Bases de Datos Personales que lleva adelante esta Unidad. En el caso de las transferencias a países o territorios no adecuados, se requerirá además la comprobación de alguna de las hipótesis previstas en el artículo 23 de la Ley N° 18.331, o una autorización previa por parte del Consejo Ejecutivo de la Unidad.
II. Que, las decisiones de adecuación consideradas en las Resoluciones indicadas en el Visto establecen excepciones o aspectos especiales que deben contemplarse al momento de valorar la realización de una transferencia internacional, lo que es responsabilidad de los responsables de tratamiento de conformidad con lo previsto en el artículo 12 de la Ley N° 18.331, en la redacción dada por el artículo 39 de la Ley N° 19.670, de 15 de octubre de 2018.
III. Que, en lo que respecta a las transferencias a las organizaciones referidas en la Resolución N° 63/023, la especificidad del régimen del Marco de Privacidad de UE-EEUU determinan la necesidad de adoptar salvaguardas adicionales a los efectos de su aplicación a las transferencias realizadas desde Uruguay.
IV. Que, la nueva redacción del artículo 13 de la Ley N° 18.331, exige una mayor transparencia en la provisión de información a los titulares de los datos, mencionando especialmente la transferencia internacional de datos.
ATENTO: A lo expuesto,
LA UNIDAD REGULADORA Y DE CONTROL DE DATOS PERSONALES
RESUELVE:
1°.- Los responsables y encargados de tratamiento que realicen transferencias internacionales deberán comunicar a los titulares de los datos, en las circunstancias previstas en el artículo 13 de la Ley N° 18.331, de 11 de agosto de 2008 (en la redacción dada por el artículo 62 de la Ley N° 20.075, de 20 de octubre de 2022), el destino de sus datos, el rol del importador, el plazo de la transferencia, la base de legitimación, y las operaciones de tratamiento realizadas por el importador.
2º.- Los responsables y encargados contarán con un plazo de 6 (seis) meses para adaptar sus políticas de privacidad a lo indicado en el resuelve anterior.
3º.- Reafirmar que la inscripción de la base de datos correspondiente en el Registro de Bases de Datos Personales que lleva adelante esta Unidad es un requisito previo a toda operación de tratamiento, incluyendo la realización y eventual autorización de transferencias internacionales.
4°.- Los responsables y encargados que procuren realizar transferencias internacionales a organizaciones incluidas en el Marco de Privacidad de UE-EEUU deberán presentar ante esta Unidad, en la oportunidad de la inscripción de la Base de Datos o en forma previa a la transferencia, una declaración expresa en la que la respectiva organización importadora declare haber extendido la aplicación de las salvaguardas de dicho marco a los datos transferidos desde Uruguay. En caso de que no se formule dicha declaración, la transferencia a las citadas organizaciones podrá realizarse en virtud de cláusulas contractuales presentadas por los responsables o encargados, que sean autorizadas previamente por esta Unidad, u otros fundamentos previstos legalmente.
5°- Publíquese y oportunamente archívese.
Firmado por: Felipe Rotondo
Consejo Ejecutivo
URCDP