CONSEJO DE MINISTROS
Se dictan normas para la protección
de datos personales a ser utilizados en informes comerciales, y se regula
la acción de "habeas data"
El Senado y la Cámara de Representantes
de la República Oriental del Uruguay, reunidos en Asamblea General;
DECRETAN:
TÍTULO I
CAPÍTULO I
PROTECCIÓN DE DATOS PERSONALES DE
INFORMES COMERCIALES
Artículo 1°.- El presente Título
tiene por objeto regular el registro, almacenamiento, distribución, transmisión,
modificación, eliminación, duración, y en general, el tratamiento de datos
personales asentados en archivos, registros, bases de datos, u otros medios
similares autorizados, sean éstos públicos o privados, destinados a brindar
informes objetivos de carácter comercial.
Se entenderá que el tratamiento regulado
involucra toda forma de registro, almacenamiento, distribución, transmisión,
modificación, eliminación, duración y toda otra forma del mismo o similar
alcance.
También se aplicarán sus disposiciones,
en cuanto resulten pertinentes, a los datos sobre personas jurídicas.
Artículo 2°.- Se exceptúan de esta ley, el tratamiento de datos que no sean de carácter comercial como por ejemplo:
a) datos de carácter personal que se originen en el ejercicio de las libertades de emitir opinión y de informar, así como los relativos a encuestas, estudios de mercado o semejantes, los que se regularán por las leyes especiales que les conciernan y que al efecto se dicten; y
b) datos sensibles sobre la privacidad
de las personas, entendiéndose por éstos, aquellos datos referentes al origen
racial y étnico de las personas, así como sus preferencias políticas, convicciones
religiosas, filosóficas o morales, afiliación sindical o información referente
a su salud física o a su sexualidad y toda otra zona reservada a la libertad
individual.
Para la obtención y tratamiento de
datos que no sean de carácter comercial se requerirá expresa y previa conformidad
de los titulares, luego de informados del fin y alcance del registro en cuestión.
PRINCIPIOS GENERALES
Artículo 3°.- La obtención y el tratamiento
de datos personales por parte de personas físicas o jurídicas con el alcance
previsto en esta ley, será lícita siempre que se haga conforme a la misma
y al ordenamiento jurídico. En todo caso se deberá respetar el pleno ejercicio
de los derechos fundamentales de los titulares de los datos y de las facultades
que esta ley reconoce.
Artículo 4°.- No requiere previo
consentimiento el registro y posterior tratamiento de datos personales cuando:
A) Los datos provengan de fuentes
públicas de información, tales como registros, archivos o publicaciones en
medios masivos de comunicación;
B) Sean recabados para el ejercicio
de funciones o cometidos constitucional y legalmente regulados propios de
las instituciones del Estado o en virtud de una obligación específica legal;
C) Se trate de listados cuyos datos
se limiten a nombres y apellidos, documento de identidad o registro único
de contribuyente, nacionalidad, estado civil, nombre del cónyuge, régimen
patrimonial del matrimonio, fecha de nacimiento, domicilio y teléfono, ocupación
o profesión y domicilio;
D) Deriven de una relación contractual
del titular de los datos y sean necesarios para su desarrollo y cumplimiento;
y
E) Se realice por personas físicas
o jurídicas, privadas o públicas, para su uso exclusivo o el de sus asociados
o usuarios.
Artículo 5°.- Los datos recogidos
a los efectos de su tratamiento deben ser veraces, adecuados, ecuánimes y
no excesivos en relación con la finalidad para la cual se hubieren obtenido.
El titular del registro es responsable
de la violación de esta disposición, así como de la obtención legítima de
sus datos.
Se prohíbe la recolección de los
mismos por medios desleales, fraudulentos, abusivos, extorsivos o en forma
contraria a esta ley, aun cuando ello no implique violación de la ley penal.
Los datos que sean total o parcialmente
inexactos o incompletos deben ser, en su caso, suprimidos, sustituidos o completados
por datos veraces y actualizados por el responsable de su tratamiento, en
cuanto conociere dicha circunstancia. Asimismo, deberán ser eliminados aquellos
datos que hayan caducado conforme lo previsto en el Artículo 9°.
Artículo 6°.- Aquellas personas físicas
o jurídicas que obtengan legítimamente información proveniente de una base
de datos que brinde tratamiento a los mismos, están obligadas a utilizarla
en forma reservada y exclusivamente para las operaciones habituales de su
giro o actividad, estando prohibida toda difusión de la misma a terceros.
Artículo 7°.- Las personas que por
su situación laboral u otra forma de relación con el responsable de un archivo,
registro o base de datos o similares tuvieren acceso o intervengan en cualquier
fase del tratamiento de datos personales, están obligadas a guardar estricto
secreto profesional sobre los mismos (Artículo 302 del Código Penal), cuando
hayan sido recogidos de fuentes no accesibles al público. Lo previsto no será
de aplicación en los casos de orden de la Justicia competente, de acuerdo
con las normas vigentes en esta materia o si mediare consentimiento del titular.
Esta obligación subsistirá aun después
de finalizada la relación con el titular del archivo, registro, base de datos
o similares.
DEL TRATAMIENTO DE DATOS PERSONALES
RELATIVOS A OBLIGACIONES DE CARÁCTER COMERCIAL
Artículo 8°.- Queda expresamente
autorizado el tratamiento de datos personales relativos al cumplimiento o
incumplimiento de obligaciones de carácter comercial o crediticia que permitan
evaluar la concertación de negocios en general, la conducta comercial o la
capacidad de pago del titular de los datos, en aquellos casos en que los mismos
sean obtenidos de fuentes de acceso público o procedentes de informaciones
facilitadas por el acreedor o en las circunstancias del Artículo 4°.
Artículo 9°.- Los datos personales
relativos a obligaciones de carácter comercial sólo podrán estar registrados
por un plazo de cinco años contados desde su incorporación. En caso que al
vencimiento de dicho plazo la obligación permanezca incumplida, el acreedor
podrá solicitar al titular de la base de datos, por única vez, su nuevo registro
por otros cinco años.
Este nuevo registro deberá ser solicitado
en el plazo de treinta días anteriores al vencimiento original.
Las obligaciones canceladas o extinguidas
por cualquier medio, permanecerán registradas, con expresa mención de este
hecho, por un plazo máximo de cinco años, no renovable, a contar de la fecha
de la cancelación o extinción.
Artículo 10.- Los responsables de
la base de datos se limitarán a realizar el tratamiento objetivo de la información
registrada tal cual ésta le fuera suministrada, debiendo abstenerse de efectuar
valoraciones subjetivas sobre la misma.
Artículo 11.- Cuando se haga efectiva
la cancelación de cualquier obligación incumplida registrada en una base de
datos, el acreedor deberá en un plazo máximo de diez días hábiles de acontecido
el hecho, comunicarlo al responsable de la base de datos correspondiente.
Una vez recibida la comunicación
por el responsable, éste dispondrá de un plazo máximo de tres días hábiles
para proceder a la actualización del dato, asentando su nueva situación.
TÍTULO II
HABEAS DATA Y ÓRGANO DE CONTROL
CAPÍTULO I
HABEAS DATA
Artículo 12.- Toda persona tendrá
derecho a entablar una acción efectiva para tomar conocimiento de los datos
referidos a su persona y de su finalidad y uso, que consten en registros o
bancos de datos públicos o privados y, en caso de error, falsedad o discriminación,
a exigir su rectificación, supresión o lo que entienda corresponder.
Cuando se trate de datos personales
cuyo registro esté amparado por una norma legal que consagre el secreto a
su respecto, el Juez apreciará el levantamiento del mismo en atención a las
circunstancias del caso.
Artículo 13.- Cualquier persona podrá
requerir al organismo, de control (Artículo 20), información relativa a la
existencia y domicilio de archivos, registros o bases de datos personales,
sus finalidades y la identificación de sus responsables.
A tales efectos habrá un registro
actualizado de consulta pública y gratuita.
Artículo 14.- Todo titular de datos
personales que previamente acredite su identificación con el documento de
identidad respectivo, tendrá derecho a obtener toda la información que sobre
sí mismo se halle en bases de datos públicas o privadas. Este derecho de acceso
sólo podrá ser ejercido en forma gratuita a intervalos no inferiores a seis
meses, salvo que se hubiere suscitado nuevamente un interés legítimo de acuerdo
con el ordenamiento jurídico.
Cuando se trate de datos de personas
fallecidas, el ejercicio del derecho al cual refiere este artículo, corresponderá
a cualesquiera de sus sucesores universales, cuyo carácter se acreditará por
la sentencia de declaratoria de herederos.
La información debe ser proporcionada
dentro de los veinte días hábiles de haber sido solicitada. Vencido el plazo
sin que el pedido sea satisfecho o si fuera denegado por razones no justificadas
de acuerdo con esta ley, quedará habilitada la acción de habeas data prevista
en el Capítulo II del Título II de esta ley.
Artículo 15.- Toda persona física
o jurídica tendrá derecho, en caso de corresponder, por haberse constatado
error o falsedad en la información de la que es titular, a solicitar la rectificación,
actualización y la eliminación o supresión de los datos personales que le
corresponda que estén incluidos en una base de datos o similares.
El responsable de la base de datos
deberá proceder a realizar la rectificación, actualización, eliminación o
supresión, mediante las operaciones necesarias a tal fin en un plazo máximo
de veinte días hábiles de recibida la solicitud por el titular del dato o,
en su taso, informar de las razones por las que estime no corresponde.
El incumplimiento de esta obligación
por parte del responsable de la base de datos o el vencimiento del plazo,
habilitará al interesado a promover la acción de habeas data prevista en esta
ley.
No procede la eliminación o supresión
de datos personales salvo en aquellos casos de notorio error o falsedad, en
aquellos casos en que se pueda causar perjuicio a los derechos o intereses
legítimos de terceros o cuando contravenga lo establecido por una obligación
legal.
Durante el proceso de verificación
o rectificación de datos personales, el responsable de la base de datos ante
el requerimiento de terceros por acceder a informes sobre los mismos, deberá
dejar constancia que dicha información se encuentra sometida a revisión.
Artículo 16.- La rectificación, actualización,
eliminación o supresión de datos personales cuando corresponda, se efectuará
sin cargo alguno para el interesado.
ACCIÓN DE PROTECCIÓN DE LOS DATOS
PERSONALES
Artículo 17.- El titular de datos
personales podrá entablar la acción de protección de datos personales o habeas
data, contra todo responsable de una base de datos pública o privada, en los
siguientes supuestos:
1°) cuando quiera conocer sus datos
personales que se encuentran registrados en una base de datos o similar y
dicha información no le hubiese sido proporcionada por el responsable de la
base de datos conforme se prevé en el Artículo 9°; o
2°) cuando haya solicitado al responsable
de la base de datos su rectificación, actualización, eliminación o supresión
y éste no hubiese procedido a ello o dado razones suficientes por las que
no corresponde lo solicitado, en el plazo previsto al efecto en la ley.
Artículo 18.- La acción de habeas
data podrá ser ejercida por el propio afectado titular de los datos o sus
representantes, ya sean tutores o curadores y, en caso: de personas fallecidas,
por sus sucesores universales, en línea directa o colateral hasta el segundo
grado, por sí o por medio de apoderado.
En el caso de personas jurídicas,
la acción deberá ser interpuesta por sus representantes legales o los apoderados
designados a tales efectos.
Artículo 19.- Las acciones que se
promuevan por violación a los derechos contemplados en la presente ley se
regirán en lo general por las normas del Código General del Proceso y en lo
particular por los Artículos 6°, 7°, 10, 12 y 13 y en lo aplicable por los
demás artículos de la Ley Nº 16.011, de 19 de diciembre de 1988.
ÓRGANO DE CONTROL
Artículo 20.- El Ministerio de Economía
y Finanzas actuará como órgano de control en el tratamiento de datos personales
comprendidos en esta ley y tendrá como cometido implementar, vigilar y asesorar
en todas las acciones necesarias para el cumplimiento de los objetivos y demás
disposiciones de la presente ley.
Dicha función de control será ejercida
por el Ministerio de Economía y Finanzas asistido de una Comisión Consultiva
integrada por siete miembros, tres de los cuales serán representantes de dicho
Ministerio, uno de los cuales la presidirá; dos representantes del Ministerio
de Educación y Cultura, un representante de la Cámara Nacional de Comercio
y de Servicios y un representante de la Liga de Defensa Comercial.
La Comisión Consultiva tendrá los
siguientes cometidos:
1°) Asistir y asesorar a las personas
que lo requieran acerca de los alcances de la presente ley, así como de los
medios legales de los que disponen para la defensa de los derechos que ésta
garantiza;
2°) Asistir y asesorar preceptivamente
al Ministerio de Economía y Finanzas en el dictado de reglamentos y resoluciones,
referentes a las actividades comprendidas en esta ley;
3°) Llevar un registro permanente
y actualizado de los archivos, registros, bases de datos o similares alcanzados
por esta ley;
4°) Controlar la observancia de las
normas sobre la integridad, veracidad y seguridad de los datos personales
comprendidos en esta ley por parte de los responsables de las bases de datos;
5°) Emitir opinión toda vez que le
sea requerida por las autoridades competentes, incluyendo solicitudes relacionadas
con el dictado de sanciones administrativas que correspondan por la violación
a las disposiciones de esta ley, de los reglamentos o de las resoluciones
que regulan el tratamiento de datos personales comprendidos en esta ley; y
6°) Tener presente, en lo que fuere
pertinente, las resultancias de las acciones de habeas data.
Artículo 21.- El Ministerio de Economía
y Finanzas podrá, en su función de órgano de control, aplicar las siguientes
medidas sancionatorias a las firmas de tratamiento de datos en caso que se
violen las normas de la presente ley:
1°) Apercibimiento;
2°) Multa de hasta doscientas unidades
reajustables;
3°) Clausura del archivo, registro
o base de datos respectivo. A tal efecto se faculta al Ministerio de Economía
y Finanzas a promover ante los órganos jurisdiccionales competentes, la clausura,
hasta por un lapso de seis días hábiles, de las personas o empresas que dispongan
de archivos, registros o bases de datos respecto de los cuales se comprobare
que infringen o transgreden la presente ley.
Los hechos constitutivos de la infracción
serán documentados de acuerdo a las formalidades legales y la clausura deberá
decretarse dentro de los tres días siguientes a aquél en que la hubiere solicitado
el
En este último caso, si el Juez denegare
posteriormente la clausura, ésta deberá levantarse de inmediato por el Ministerio
de Economía y Finanzas.
Los recursos que se interpongan contra
la resolución judicial que hiciere lugar a la clausura, no tendrán efecto
suspensivo.
Para hacer cumplir dicha resolución,
el Ministerio de Economía y Finanzas podrá requerir el auxilio de la fuerza
pública.
La competencia de los Jueces actuantes
se determinará por las normas de la Ley Orgánica de la Judicatura Nº 15.750,
de 24 de junio de 1985.
TÍTULO III
DISPOSICIONES FINALES Y TRANSITORIAS
Artículo 22.- Las normas de la presente
ley no son aplicables a los registros públicos y similares que han sido creados
y regulados por normas legales, a los cuales remitirán los interesados.
Artículo 23.- Los responsables de
los registros, archivos, bases de datos o similares existentes, contarán con
un plazo de noventa días a partir de la promulgación de esta ley para cumplir
con la normativa de la misma e inscribirse en el registro respectivo.
Artículo 24.- Los responsables de
una base de datos o similar, dispondrán de un plazo de noventa días a partir
de la entrada en vigencia de esta ley para actualizar sus registros de acuerdo
con lo dispuesto en la misma. Deberán además, implementar un mecanismo informático
mediante el cual, una vez transcurridos los plazos precedentemente señalados,
los datos caducos sean eliminados.
En el mismo plazo, los acreedores
por obligaciones que fueron registradas por impagas incorporadas al registro,
archivo o base de datos desde hace más de cinco años, podrán solicitar su
actualización.
Artículo 25.- Los acreedores por
obligaciones incumplidas, que a la fecha de entrada en vigencia de esta ley
se encuentren canceladas y no lo hayan comunicado al responsable de la base
de datos, contarán con un plazo de diez días hábiles para hacerlo y éste de
tres días para hacerlo efectivo.
Artículo 26.- El Poder Ejecutivo
deberá reglamentar la presente ley dentro de los ciento ochenta días de su
promulgación.
JOSÉ AMORIN BATLLE, Presidente
Montevideo, 24 de setiembre de 2004
Cúmplase, acúsese recibo, comuníquese,
publíquese e insértese en el Registro Nacional de Leyes y Decretos
BATLLE; ALEJO FERNÁNDEZ; WILLIAM
EHLERS; ISAAC ALFIE; YAMANDÚ FAU; LEONARDO GUZMAN; GABRIEL GURMENDEZ; ALEJANDRO
FALCO; SANTIAGO PEREZ DEL CASTILLO; MILTON PESCE; EDGARDO CARDOZO; JUAN BORDABERRY;
SAUL IRURETA