Ley 17.838 de Protección de Datos Personales
TÍTULO I.
CAPÍTULO I. PROTECCIÓN DE DATOS PERSONALES DE INFORMES COMERCIALES
Artículo 1°.- El presente Título tiene por objeto regular el
registro, almacenamiento, distribución, transmisión, modificación,
eliminación, duración, y en general, el tratamiento de datos personales
asentados en archivos, registros, bases de datos, u otros medios
similares autorizados, sean éstos públicos o privados, destinados a
brindar informes objetivos de carácter comercial.
Se entenderá que
el tratamiento regulado involucra toda forma de registro,
almacenamiento, distribución, transmisión, modificación, eliminación,
duración y toda otra forma del mismo o similar alcance.
También se
aplicarán sus disposiciones, en cuanto resulten pertinentes, a los datos
sobre personas jurídicas.
Artículo 2°.- Se exceptúan
de esta ley, el tratamiento de datos que no sean de carácter comercial
como por ejemplo: a) datos de carácter personal que se originen en el
ejercicio de las libertades de emitir opinión y de informar, así como
los relativos a encuestas, estudios de mercado o semejantes, los que se
regularán por las leyes especiales que les conciernan y que al efecto se
dicten; y b) datos sensibles sobre la privacidad de las personas,
entendiéndose por éstos, aquellos datos referentes al origen racial y
étnico de las personas, así como sus preferencias políticas,
convicciones religiosas, filosóficas o morales, afiliación sindical o
información referente a su salud física o a su sexualidad y toda otra
zona reservada a la libertad individual.
Para la obtención y tratamiento de datos que no sean de carácter
comercial se requerirá expresa y previa conformidad de los titulares,
luego de informados del fin y alcance del registro en cuestión.
CAPÍTULO II. PRINCIPIOS GENERALES
Artículo 3°.- La
obtención y el tratamiento de datos personales por parte de personas
físicas o jurídicas con el alcance previsto en esta ley, será lícita
siempre que se haga conforme a la misma y al ordenamiento jurídico. En
todo caso se deberá respetar el pleno ejercicio de los derechos
fundamentales de los titulares de los datos y de las facultades que esta
ley reconoce.
Artículo 4°.- No requiere previo
consentimiento el registro y posterior tratamiento de datos personales
cuando:
A) Los datos provengan de fuentes públicas de información,
tales como registros, archivos o publicaciones en medios masivos de
comunicación;
B) Sean recabados para el ejercicio de funciones o
cometidos constitucional y legalmente regulados propios de las
instituciones del Estado o en virtud de una obligación específica legal;
C) Se trate de listados cuyos datos se limiten a nombres y apellidos,
documento de identidad o registro único de contribuyente, nacionalidad,
estado civil, nombre del cónyuge, régimen patrimonial del matrimonio,
fecha de nacimiento, domicilio y teléfono, ,ocupación o profesión y
domicilio;
D) Deriven de una relación contractual del titular de los
datos y sean necesarios para su desarrollo y cumplimiento; y
E) Se
realice por personas físicas o jurídicas, privadas o públicas, para su
uso exclusivo o el de sus asociados o usuarios.
Artículo
5°.- Los datos recogidos a los efectos de su tratamiento deben ser
veraces, adecuados, ecuánimes y no excesivos en relación con la
finalidad para la cual se hubieren obtenido.
El titular del registro
es responsable de la violación de esta disposición, así como de la
obtención legítima de sus datos.
Se prohíbe la recolección de los
mismos por medios desleales, fraudulentos, abusivos, extorsivos o en
forma contraria a esta ley, aun cuando ello no implique violación de la
ley penal.
Los datos que sean total o parcialmente inexactos o incompletos deben
ser, en su caso, suprimidos, sustituidos o completados por datos veraces
y actualizados por el responsable de su tratamiento, en cuanto conociere
dicha circunstancia. Asimismo, deberán ser eliminados aquellos datos que
hayan caducado conforme lo previsto en el artículo 9°.
Artículo 6°.- Aquellas personas físicas o jurídicas que obtengan
legítimamente información proveniente de una base de datos que brinde
tratamiento a los mismos, están obligadas a utilizarla en forma
reservada y exclusivamente para las operaciones habituales de su giro o
actividad, estando prohibida toda difusión de la misma a terceros.
Artículo 7°.- Las personas que por su situación laboral u otra forma
de relación con el responsable de un archivo, registro o base de datos o
similares tuvieren acceso o intervengan en cualquier fase del
tratamiento de datos personales, están obligadas a guardar estricto
secreto profesional sobre los mismos (artículo 302 del Código Penal),
cuando hayan sido recogidos de fuentes no accesibles al público. Lo
previsto no será de aplicación en los casos de orden de la Justicia
competente, de acuerdo con las normas vigentes en esta materia o si
mediare consentimiento del titular.
Esta obligación subsistirá aun
después de finalizada la relación con el titular del archivo, registro,
base de datos o similares.
CAPÍTULO III. DEL TRATAMIENTO
DE DATOS PERSONALES RELATIVOS A OBLIGACIONES DE CARÁCTER COMERCIAL
Artículo 8°.- Queda expresamente autorizado el tratamiento de
datos personales relativos al cumplimiento o incumplimiento de
obligaciones de carácter comercial o crediticia que permitan evaluar la
concertación de negocios en general, la conducta comercial o la
capacidad de pago del titular de los datos, en aquellos casos en que los
mismos sean obtenidos de fuentes de acceso público o procedentes de
informaciones facilitadas por el acreedor o en las circunstancias del
artículo 4°.
Artículo 9°.- Los datos personales
relativos a obligaciones de carácter comercial sólo podrán estar
registrados por un plazo de cinco años contados desde su incorporación.
En caso que al vencimiento de dicho plazo la obligación permanezca
incumplida, el acreedor podrá solicitar al titular de la base de datos,
por única vez, su nuevo registro por otros cinco años.
Este nuevo
registro deberá ser solicitado en el plazo de treinta días anteriores al
vencimiento original.
Las obligaciones canceladas o extinguidas por
cualquier medio, permanecerán registradas, con expresa mención de este
hecho, por un plazo máximo de cinco años, no renovable, a contar de la
fecha de la cancelación o extinción.
Artículo 10°.- Los responsables de la base de datos se limitarán a
realizar el tratamiento objetivo de la información registrada tal cual
ésta le fuera suministrada, debiendo abstenerse de efectuar valoraciones
subjetivas sobre la misma.
Artículo 11°.- Cuando se
haga efectiva la cancelación de cualquier obligación incumplida
registrada en una base de datos, el acreedor deberá en un plazo máximo
de diez días hábiles de acontecido el hecho, comunicarlo al responsable
de la base de datos correspondiente.
Una vez recibida la
comunicación por el responsable, éste dispondrá de un plazo máximo de
tres días hábiles para proceder a la actualización del dato, asentando
su nueva situación.
TÍTULO II . HABEAS DATA Y ÓRGANO DE
CONTROL
CAPÍTULO I . HABEAS DATA
Artículo 12°.- Toda persona tendrá derecho a entablar una
acción efectiva para tomar conocimiento de los datos referidos a su
persona y de su finalidad y uso, que consten en registros o bancos de
datos públicos o privados y, en caso de error, falsedad o
discriminación, a exigir su rectificación, supresión o lo que entienda
corresponder.
Cuando se trate de datos personales cuyo registro esté amparado por una
norma legal que consagre el secreto a su respecto, el Juez apreciará el
levantamiento del mismo en atención a las circunstancias del caso.
Artículo 13°.- Cualquier persona podrá requerir al organismo, de
control (artículo 20), información relativa a la existencia y domicilio
de archivos, registros o bases de datos personales, sus finalidades y la
identificación de sus responsables.
A tales efectos habrá un
registro actualizado de consulta pública y gratuita.
Artículo 14°.- Todo titular de datos personales que previamente
acredite su identificación con el documento de identidad respectivo,
tendrá derecho a obtener toda la información que sobre sí mismo se halle
en bases de datos públicas o privadas. Este derecho de acceso sólo podrá
ser ejercido en forma gratuita a intervalos no inferiores a seis meses,
salvo que se hubiere suscitado nuevamente un interés legítimo de acuerdo
con el ordenamiento jurídico.
Cuando se trate de datos de personas
fallecidas, el ejercicio del derecho al cual refiere este artículo,
corresponderá a cualesquiera de sus sucesores universales, cuyo carácter
se acreditará por la sentencia de declaratoria de herederos.
La
información debe ser proporcionada dentro de los veinte días hábiles de
haber sido solicitada. Vencido el plazo sin que el pedido sea satisfecho
o si fuera denegado por razones no justificadas de acuerdo con esta ley,
quedará habilitada la acción de habeas data prevista en el Capítulo II
del Título II de esta ley.
Artículo 15°.- Toda persona
física o jurídica tendrá derecho, en caso de corresponder, por haberse
constatado error o falsedad en la información de la que es titular, a
solicitar la rectificación, actualización y la eliminación o supresión
de los datos personales que le corresponda que estén incluidos en una
base de datos o similares.
El responsable de la base de datos deberá
proceder a realizar la rectificación, actualización, eliminación o
supresión, mediante las operaciones necesarias a tal fin en un plazo
máximo de veinte días hábiles de recibida la solicitud por el titular
del dato o, en su caso, informar de las razones por las que estime no
corresponde.
El incumplimiento de esta obligación por parte del responsable de la
base de datos o el vencimiento del plazo, habilitará al interesado a
promover la acción de habeas data prevista en esta ley.
No procede
la eliminación o supresión de datos personales salvo en aquellos casos
de notorio error o falsedad, en aquellos casos en que se pueda causar
perjuicio a los derechos o intereses legítimos de terceros o cuando
contravenga lo establecido por una obligación legal.
Durante el
proceso de verificación o rectificación de datos personales, el
responsable de la base de datos ante el requerimiento de terceros por
acceder a informes sobre los mismos, deberá dejar constancia que dicha
información se encuentra sometida a revisión.
Artículo 16°.-
La rectificación, actualización, eliminación o supresión de datos
personales cuando corresponda, se efectuará sin cargo alguno para el
interesado.
CAPÍTULO II. ACCIÓN DE PROTECCIÓN DE LOS DATOS
PERSONALES
Artículo 17°.- El titular de datos
personales podrá entablar la acción de protección de datos personales o
habeas data, contra todo responsable de una base de datos pública o
privada, en los siguientes supuestos:
1°) cuando quiera conocer sus datos personales que se encuentran
registrados en una base de datos o similar y dicha información no le
hubiese sido
proporcionada por el responsable de la base de datos conforme se prevé
en el artículo 9°; o
2°) cuando haya solicitado al responsable de la
base de datos su rectificación, actualización, eliminación o supresión y
éste no hubiese procedido a ello o dado razones suficientes por las que
no corresponde lo solicitado, en el plazo previsto al efecto en la ley.
Artículo 18°.- La acción de habeas data podrá ser ejercida por el
propio afectado titular de los datos o sus representantes, ya sean
tutores o curadores y, en caso de personas fallecidas, por sus sucesores
universales, en línea directa o colateral hasta el segundo grado, por sí
o por medio de apoderado.
En el caso de personas jurídicas, la
acción deberá ser interpuesta por sus representantes legales o los
apoderados designados a tales efectos.
Artículo 19°.-
Las acciones que se promuevan por violación a los derechos contemplados
en la presente ley se regirán en lo general por las normas del Código
General del Proceso y en lo particular por los artículos 6°, 7°, 10, 12
y 13 y en lo aplicable por los demás artículos de la Ley N° 16.011, de
19 de diciembre de 1988.
CAPÍTULO III. ÓRGANO DE CONTROL
Artículo 20°.- El Ministerio de Economía y Finanzas actuará como
órgano de control en el tratamiento de datos personales comprendidos en
esta ley y tendrá como cometido implementar, vigilar y asesorar en todas
las acciones necesarias para el cumplimiento de los objetivos y demás
disposiciones de la presente ley.
Dicha función de control será
ejercida por el Ministerio de Economía y Finanzas asistido de una
Comisión Consultiva integrada por siete miembros, tres de los cuales
serán representantes de dicho Ministerio, uno de los cuales la
presidirá; dos representantes del Ministerio de Educación y Cultura, un
representante de la Cámara Nacional de Comercio y de Servicios y un
representante de la Liga de Defensa Comercial.
La Comisión
Consultiva tendrá los siguientes cometidos:
1°) Asistir y asesorar a
las personas que lo requieran acerca de los alcances de la presente ley,
así como de los medios legales de los que disponen para la defensa de
los derechos que ésta garantiza;
2°) Asistir y asesorar
preceptivamente al Ministerio de Economía y Finanzas en el dictado de
reglamentos y resoluciones, referentes a las actividades comprendidas en
esta ley;
3°) Llevar un registro permanente y actualizado de los
archivos, registros, bases de datos o similares alcanzados por esta ley;
4°) Controlar la observancia de las normas sobre la integridad,
veracidad y seguridad de los datos personales comprendidos en esta ley
por parte de los responsables de las bases de datos;
5°) Emitir
opinión toda vez que le sea requerida por las autoridades competentes,
incluyendo solicitudes relacionadas con el dictado de sanciones
administrativas que correspondan por la violación a las disposiciones de
esta ley, de los reglamentos o de las resoluciones que regulan el
tratamiento de datos personales comprendidos en esta ley; y
6°)
Tener presente, en lo que fuere pertinente, las resultancias de las
acciones de habeas data.
Artículo 21°.- El Ministerio
de Economía y Finanzas podrá, en su función de órgano de control,
aplicar las siguientes medidas sancionatorias a las firmas de
tratamiento de datos en caso que se violen las normas de la presente
ley:
1°) Apercibimiento;
2°) Multa de hasta doscientas unidades reajustables;
3°) Clausura
del archivo, registro o base de datos respectivo. A tal efecto se
faculta al Ministerio de Economía y Finanzas a promover ante los órganos
jurisdiccionales competentes, la clausura, hasta por un lapso de seis
días hábiles, de las personas o empresas que dispongan de archivos,
registros o bases de datos respecto de los cuales se comprobare que
infringen o transgreden la presente ley.
Los hechos constitutivos de la infracción serán documentados de acuerdo
a las formalidades legales y la clausura deberá decretarse dentro de los
tres días siguientes a aquél en que la hubiere solicitado el Ministerio
de Economía y Finanzas, el cual quedará habilitado a disponer por sí la
clausura si el Juez no se pronunciare dentro de dicho término.
En
este último caso, si el Juez denegare posteriormente la clausura, ésta
deberá levantarse de inmediato por el Ministerio de Economía y Finanzas.
Los recursos que se interpongan contra la resolución judicial que
hiciere lugar a la clausura, no tendrán efecto suspensivo.
Para hacer cumplir dicha resolución, el Ministerio de Economía y
Finanzas podrá requerir el auxilio de la fuerza pública.
La
competencia de los Jueces actuantes se determinará por las normas de la
Ley Orgánica de la Judicatura, N° 15.750, de 24 de junio de 1985.
TÍTULO III. DISPOSICIONES FINALES Y TRANSITORIAS
Artículo 22°.- Las normas de la presente ley no son aplicables a los
registros públicos y similares que han sido creados y regulados por
normas legales, a los cuales remitirán los interesados.
Artículo 23°.-
Los responsables de los registros, archivos, bases de datos o similares
existentes, contarán con un plazo de noventa días a partir de la
promulgación de esta ley para cumplir con la normativa de la misma e
inscribirse en el registro respectivo.
Artículo 24.-
Los responsables de una base de datos o similar, dispondrán de un plazo
de noventa días a partir de la entrada en vigencia de esta ley para
actualizar sus registros de acuerdo con lo dispuesto en la misma.
Deberán además, implementar un mecanismo informático mediante el cual,
una vez transcurridos los plazos precedentemente señalados, los datos
caducos sean eliminados.
En el mismo plazo, los acreedores por
obligaciones que fueron registradas por impagas incorporadas al
registro, archivo o base de datos desde hace más de cinco años, podrán
solicitar su actualización.
Artículo 25°.- Los
acreedores por obligaciones incumplidas, que a la fecha de entrada en
vigencia de esta ley se encuentren canceladas y no lo hayan comunicado
al responsable de la base de datos, contarán con un plazo de diez días
hábiles para hacerlo y éste de tres días para hacerlo efectivo.
Artículo 26°.- El Poder Ejecutivo deberá reglamentar la presente ley dentro de los ciento ochenta días de su promulgación.
ENVIADO
POR
PROF. DR. RUBEN FLORES DAPKEVICIUS
rflores@montevideo.com.uy
Montevideo. noviembre 2004-11-24