Anteproyecto de la Ley de Protección de Datos Personales de 2017.
El Senado y Cámara de Diputados de la Nación Argentina reunidos en Congreso, …
Sancionan con fuerza de Ley
LEY DE PROTECCIÓN DE LOS DATOS PERSONALES
Capítulo 1. Disposiciones generales
ARTÍCULO 1°
Objeto. La presente ley tiene por objeto la protección integral de los datos personales a fin de garantizar el ejercicio pleno de los derechos de sus titulares, de conformidad a lo establecido en el artículo 43, párrafo tercero, de la CONSTITUCIÓN NACIONAL y los tratados de derechos humanos en los que la REPÚBLICA ARGENTINA sea parte.
ARTÍCULO 2°
Definiciones. A los fines de la presente ley se entiende por:
– Autoridad de control: órgano que debe velar por el cumplimiento de los principios y procedimientos de la presente ley de acuerdo a lo establecido en el Capítulo 7.
– Base de datos: conjunto organizado de datos personales que sean objeto de tratamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso. Indistintamente se la puede denominar también archivo, registro, fichero o banco de datos.
– Datos personales: información de cualquier tipo referida a personas humanas determinadas o determinables, inclusive los datos biométricos. Se entenderá por determinable la persona que pueda ser identificada mediante algún identificador o por uno o varios elementos característicos de la identidad física, fisiológica, genética (datos genéticos), psíquica, económica, cultural o social de dicha persona. No será considerada persona determinable cuando, para lograr su identificación, se requiera la aplicación de medidas o plazos desproporcionados o inviables. Se entenderá por datos biométricos aquellos datos obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona humana, que permitan o confirmen su identificación única. Se entenderá por datos genéticos los relativos a las características genéticas heredadas o adquiridas de una persona humana que proporcionen una información sobre su fisiología o salud, obtenidos en particular del análisis de una muestra biológica.
– Datos sensibles: datos personales que afectan la esfera íntima de su titular con potencialidad de originar una discriminación ilícita o arbitraria, en particular, los que revelan origen racial o étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, participación o afiliación en una organización sindical o política, información referente a la salud, preferencia o vida sexual.
– Disociación de datos: el procedimiento que se aplica sobre los datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable. No será considerada persona determinable cuando el procedimiento que deba aplicarse para lograr su identificación requiera la aplicación de medidas o plazos desproporcionados o inviables.
– Encargado del tratamiento: persona humana o jurídica, pública o privada, que trate datos personales por cuenta del responsable del tratamiento.
– Fuente de acceso público irrestricto: la que contiene información destinada a ser difundida al público, de libre acceso e intercambio por razones de interés general, accesible ya sea en forma gratuita o mediante una contraprestación.
– Fuente de acceso público restricto: la que contiene información que no está sujeta a confidencialidad ni tampoco está destinada a ser difundida irrestrictamente al público y cuyo acceso a terceros resulta generalmente condicionado al cumplimiento de ciertos requisitos.
– Grupo económico: sociedades controlantes, controladas y aquellas vinculadas en las cuales se tenga influencia significativa en las decisiones, denominación, domicilio, actividad principal, participación patrimonial, porcentaje de votos y, para las controlantes, principales accionistas.
– Incidente de seguridad de datos personales: hecho ocurrido en cualquier fase del tratamiento que implique la pérdida o destrucción no autorizado, el robo, extravío o copia no autorizada, el uso, acceso o tratamiento de datos no autorizado, o el daño, alteración o modificación no autorizada.
– Responsable del tratamiento: persona humana o jurídica, pública o privada, titular de la base de datos, que decide sobre el tratamiento de datos, sus finalidades y medios.
– Tercero: la persona humana o jurídica, pública o privada, distinta del titular de los datos, del responsable del tratamiento, del encargado del tratamiento o de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado.
– Titular de los datos: la persona humana cuyos datos sean objeto del tratamiento al que se refiere la presente ley.
– Transferencia internacional: la transmisión de datos personales fuera del territorio nacional.
– Tratamiento de datos: cualquier operación o procedimiento organizado, electrónico o no, que permita la recolección, conservación, ordenación, almacenamiento, modificación, relacionamiento, evaluación, bloqueo o destrucción y, en general, el procesamiento de datos personales, así como también su cesión a través de comunicaciones, consultas, interconexiones o transferencias.
ARTÍCULO 3°
Excepciones a la aplicación de la ley. Queda exceptuado de los alcances de la presente ley el tratamiento de datos que efectúe una persona humana para su uso exclusivamente privado o de su grupo familiar.
La aplicación de la presente ley en ningún caso podrá afectar el secreto de las fuentes de información periodísticas. Tampoco podrá afectar al tratamiento de datos que realicen los medios de comunicación en el ejercicio de la libertad de expresión.
ARTÍCULO 4°
Ámbito de aplicación. Las normas de la presente ley serán de aplicación cuando:
a) el responsable del tratamiento se encuentre establecido en el territorio nacional, aun cuando el tratamiento de datos tenga lugar fuera de dicho territorio;
b) el responsable del tratamiento no se encuentre establecido en el territorio nacional, sino en un lugar en que se aplica la legislación nacional en virtud del derecho internacional;
c) el tratamiento de datos de titulares que residan en la REPÚBLICA ARGENTINA sea realizado por un responsable del tratamiento que no se encuentre establecido en el territorio nacional y las actividades de dicho tratamiento se encuentren relacionadas con la oferta de bienes o servicios a dichos titulares de los datos en la REPÚBLICA ARGENTINA, o con el seguimiento de sus actos, comportamientos o intereses.
Capítulo 2. Principios relativos al tratamiento de datos
ARTÍCULO 5º
Principio de licitud, lealtad y transparencia. Los datos personales deben ser tratados de manera lícita, leal y transparente. El tratamiento se considera leal cuando el responsable se abstenga de tratar los datos personales a través de medios engañosos o fraudulentos.
ARTÍCULO 6º
Principio de finalidad. Los datos personales deben ser recogidos con fines determinados, explícitos y legítimos, y no deben ser tratados de manera incompatible con dichos fines.
No se considerarán incompatibles con los fines iniciales tanto el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos, como tampoco el tratamiento de datos con fines que pudieron ser, de acuerdo al contexto, razonablemente presumidos por el titular de los datos.
ARTÍCULO 7º
Principio de minimización de datos. Los datos personales deben ser tratados de manera que sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que fueron recolectados.
ARTÍCULO 8º
Principio de exactitud. Los datos personales deben ser tratados de modo que sean exactos y completos. Si fuera necesario adecuarlos, se adoptarán todas las medidas razonables para que se supriman o rectifiquen.
ARTÍCULO 9º
Limitación del plazo de conservación. Los datos personales no deben ser mantenidos más allá del tiempo estrictamente necesario para el cumplimiento de la finalidad del tratamiento. Los datos personales pueden conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone la presente ley a fin de proteger los derechos del titular de los datos.
ARTÍCULO 10.- Principio de responsabilidad proactiva. El responsable o encargado del tratamiento debe adoptar las medidas técnicas y organizativas apropiadas a fin de garantizar un tratamiento adecuado de los datos personales y el cumplimiento de las obligaciones dispuestas por la presente ley, y que le permitan demostrar a la autoridad de control su efectiva implementación.
ARTÍCULO 11.- Licitud del tratamiento de datos. El tratamiento de datos es lícito sólo si se cumple al menos UNA (1) de las siguientes condiciones:
a) el titular de los datos dio su consentimiento para el tratamiento de sus datos para uno o varios fines específicos conforme lo dispuesto en los artículos 12, 13 y 14;
b) el tratamiento de datos se realice sobre datos que figuren en fuentes de acceso público irrestricto;
c) el tratamiento de datos se realice en ejercicio de funciones propias de los poderes del Estado y sean necesarios para el cumplimiento estricto de sus competencias;
d) el tratamiento de datos sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
e) el tratamiento de datos derive de una relación jurídica entre el titular de los datos y
el responsable del tratamiento, y resulte necesario para su desarrollo o cumplimiento;
f) el tratamiento de datos resulte necesario para salvaguardar el interés vital del titular de los datos o de terceros, y el titular de los datos esté física o jurídicamente incapacitado para dar su consentimiento;
g) el tratamiento de datos sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos del titular de los datos, en particular cuando el titular sea un niño, niña o adolescente.
Lo dispuesto en el inciso g) no será de aplicación al tratamiento de datos realizado por las autoridades públicas en el ejercicio de sus funciones.
ARTÍCULO 12
Consentimiento. El tratamiento de datos, en cualquiera de sus formas, requiere del consentimiento libre e informado de su titular para una o varias finalidades específicas.
El consentimiento puede ser obtenido de forma expresa o tácita.
La forma del consentimiento depende de las circunstancias, el tipo de dato personal y las expectativas razonables del titular de los datos.
El consentimiento expreso, de acuerdo a las circunstancias particulares del tratamiento de datos del que se trate, puede ser obtenido por escrito, verbalmente, por medios electrónicos, así como por cualquier forma similar que la tecnología permita brindar. Para el tratamiento de datos sensibles se requiere el consentimiento expreso, salvo las excepciones establecidas por ley.
El consentimiento tácito es admitido cuando surja de manera manifiesta del contexto
del tratamiento de datos y la conducta del titular de los datos sea suficiente para demostrar la existencia de su autorización. Es admisible únicamente cuando los datos requeridos sean necesarios para la finalidad que motiva la recolección y se haya puesto a disposición del titular de los datos la información prevista en el artículo 15, sin que éste manifieste su oposición. El tratamiento de datos ulterior debe ser compatible con las finalidades manifiestas que surgen del contexto que originó la recolección. En ningún caso procede para el tratamiento de datos sensibles.
En todos los casos, el responsable del tratamiento tiene la carga de demostrar que el titular de los datos consintió el uso de sus datos personales.
ARTÍCULO 13
Revocación del consentimiento. El consentimiento puede ser revocado en cualquier momento. Dicha revocación no tiene efectos retroactivos. El responsable del tratamiento está obligado a facilitar la revocación mediante mecanismos sencillos, gratuitos y, al menos, de la misma forma por la que obtuvo el consentimiento.
ARTÍCULO 14
Excepciones al consentimiento previo. No es necesario el consentimiento para el tratamiento de datos cuando se trate de listados cuyos datos se limiten a nombre, documento nacional de identidad, identificación tributaria o previsional, ocupación, fecha de nacimiento, domicilio y correo electrónico.
El titular de los datos podrá oponerse a dicho tratamiento conforme el artículo 30 de la presente ley.
ARTÍCULO 15
Información al titular de los datos. El responsable del tratamiento debe brindar al titular de los datos, antes de la recolección, al menos, la siguiente información:
a) las finalidades del tratamiento de datos a las que se destinarán los datos personales recolectados;
b) la identidad y los datos de contacto del responsable del tratamiento;
c) los medios para ejercer los derechos previstos en esta ley;
d) en su caso, las cesiones o transferencias internacionales de datos que se efectúen o se prevea efectuar;
e) el carácter obligatorio o facultativo de proporcionar los datos personales y las consecuencias de proporcionarlos, o de la negativa a hacerlo, o de hacerlo en forma incompleta o defectuosa;
f) el derecho del titular de los datos a revocar el consentimiento;
g) el derecho a presentar una denuncia, a iniciar el trámite de protección de datos personales ante la autoridad de control, o a ejercer la acción de habeas data en caso de que el responsable o el encargado del tratamiento incumpla con la presente ley.
ARTÍCULO 16
Tratamiento de datos sensibles. Se prohíbe el tratamiento de datos sensibles, excepto cuando:
a) el titular de los datos haya dado su consentimiento expreso a dicho tratamiento, salvo en los casos en que por ley no sea requerido el otorgamiento de dicha autorización;
b) sea necesario para salvaguardar el interés vital del titular de los datos y éste se encuentre física o legalmente incapacitado para prestar el consentimiento y sus representantes legales no lo puedan realizar en tiempo oportuno;
c) sea efectuado por establecimientos sanitarios públicos o privados o por profesionales vinculados a la ciencia de la salud en el marco de un tratamiento médico específico de acuerdo a lo establecido por la Ley de Derechos del Paciente en su Relación con los Profesionales e Instituciones de la Salud nº 26.529;
d) se realice en el marco de las actividades legítimas que realice una fundación, asociación o cualquier otro organismo sin fines de lucro, cuyo objeto principal sea una actividad política, filosófica, religiosa o sindical, siempre que se refieran exclusivamente a sus miembros o beneficiarios o a las personas que mantengan un contacto regular por razón de su objeto principal;
e) se refiera a datos que sean necesarios para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
f) tenga una finalidad histórica, estadística o científica. En estos dos últimos casos, debe adoptarse un procedimiento de disociación de datos;
g) se refiera a datos personales que el interesado haya hecho manifiestamente públicos;
h) sea necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular de los datos en el ámbito del Derecho laboral y de la seguridad y protección social;
i) sea necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios;
j) se realice en el marco de asistencia humanitaria en casos de desastres naturales.
ARTÍCULO 17
Tratamiento de antecedentes penales y contravencionales. El tratamiento de datos relativos a antecedentes penales o contravencionales con el objeto de brindar informes a terceros sólo puede ser realizado por parte de las autoridades públicas competentes o bajo su supervisión.
El empleador que conserve un certificado, documento o información de antecedentes penales o contravencionales de sus empleados no puede cederlo a terceros, salvo con el consentimiento expreso del titular de los datos.
ARTÍCULO 18
Tratamiento de datos de niños, niñas y adolescentes. En el tratamiento de datos personales de un niño, niña o adolescente, se debe privilegiar la protección del interés superior de éstos, conforme a la CONVENCIÓN SOBRE LOS DERECHOS DEL NIÑO y demás instrumentos internacionales que busquen su bienestar y protección integral.
Es válido el consentimiento de un niño, niña o adolescente cuando se aplique al tratamiento de datos vinculados a la utilización de servicios de la sociedad de la información específicamente diseñados o aptos para ellos. En estos casos, el consentimiento es lícito si el niño, niña o adolescente tiene como mínimo TRECE (13) años. Si el niño es menor de TRECE (13) años, tal tratamiento únicamente se considera lícito si el consentimiento fue otorgado por el titular de la responsabilidad parental o tutela sobre el niño, y sólo en la medida en que se dio o autorizó.
El responsable del tratamiento debe realizar esfuerzos razonables para verificar, en tales casos, que el consentimiento haya sido otorgado por el titular de la responsabilidad parental o tutela sobre el niño, niña o adolescente, teniendo en cuenta sus posibilidades para hacerlo.
ARTÍCULO 19
Principio de seguridad de los datos personales. El responsable del tratamiento y, en su caso, el encargado, deben adoptar las medidas técnicas y organizativas que resulten necesarias para garantizar la seguridad y confidencialidad de los datos personales, de modo de evitar su adulteración, pérdida, consulta o tratamiento no autorizado, y que permitan detectar desviaciones, intencionales o no, de información, ya sea que los riesgos provengan de la acción humana o del medio técnico utilizado.
El responsable del tratamiento debe adoptar las medidas de seguridad aplicables a los datos personales que trate, considerando, al menos, los siguientes factores:
a) el riesgo inherente por el tipo de dato personal;
b) el carácter sensible de los datos personales tratados;
c) el desarrollo tecnológico;
d) las posibles consecuencias de un incidente de seguridad para los titulares de los datos;
e) los incidentes de seguridad previos ocurridos en los sistemas de tratamiento.
ARTÍCULO 20
Notificación de incidentes de seguridad. En caso de que ocurra un incidente de seguridad de datos personales, el responsable del tratamiento debe notificarlo a la autoridad de control sin dilación indebida y, de ser posible, a más tardar SETENTA Y DOS (72) horas después de que haya tenido constancia del incidente, a menos que sea improbable que dicho incidente de seguridad constituya un riesgo para los derechos de los titulares de los datos. Si la notificación a la autoridad de control no tiene lugar en el plazo de SETENTA Y DOS (72) horas, deberá ir acompañada de indicación de los motivos de la dilación.
De igual manera, el responsable del tratamiento también debe informar al titular de los datos sobre el incidente de seguridad ocurrido, en un lenguaje claro y sencillo,
cuando sea probable que entrañe altos riesgos a sus derechos.
La notificación debe contener, al menos, la siguiente información:
a) la naturaleza del incidente;
b) los datos personales que pueden estimarse comprometidos;
c) las acciones correctivas realizadas de forma inmediata;
d) las recomendaciones al titular de los datos acerca de las medidas que éste pueda adoptar para proteger sus intereses;
e) los medios a disposición del titular de los datos para obtener mayor información al respecto.
El responsable del tratamiento debe documentar todo incidente de seguridad que ponga en alto riesgo los derechos de los titulares de los datos personales ocurrido en cualquier fase del tratamiento de datos e identificar, de manera enunciativa pero no limitativa, la fecha en que ocurrió, el motivo del incidente, los hechos relacionados con éste y sus efectos y las medidas correctivas implementadas de forma inmediata y definitiva.
ARTÍCULO 21
Deber de confidencialidad. El responsable del tratamiento, el encargado y las demás personas que intervengan en cualquier fase del tratamiento de datos están obligados a la confidencialidad respecto de los datos personales. Tal obligación subsiste aun después de finalizada su relación con el titular de los datos, el responsable o el encargado del tratamiento, según corresponda.
El obligado puede ser relevado del deber de confidencialidad por resolución judicial.
ARTÍCULO 22
Cesión. Cuando el tratamiento de datos consiste en una cesión, el responsable del tratamiento a quien se ceden los datos personales queda sujeto a las mismas obligaciones legales y reglamentarias que el responsable cedente. Ambos responden por la observancia de aquéllas ante la autoridad de control y el titular de los datos de que se trate. En cualquier caso, podrán ser eximidos total o parcialmente de responsabilidad si demuestran que no se les puede imputar el hecho que ha producido el daño.
ARTÍCULO 23
Transferencia internacional. Toda transferencia internacional de datos personales es lícita si se cumple al menos UNA (1) de las siguientes condiciones:
a) cuente con el consentimiento expreso del titular de los datos;
b) el país u organismo internacional o supranacional receptor proporcione un nivel de protección adecuado;
c) se encuentre prevista en una ley o tratado en los que la REPÚBLICA ARGENTINA sea parte;
d) sea necesaria para la prevención o el diagnóstico médico, la prestación de asistencia sanitaria, tratamiento médico o la gestión de servicios sanitarios;
e) sea efectuada a cualquier sociedad del mismo grupo económico del responsable del tratamiento, en tanto los datos personales sean utilizados para finalidades que no sean incompatibles con las que originaron su recolección;
f) sea necesaria en virtud de un contrato celebrado o por celebrar en interés inequívoco del titular de los datos, por el responsable del tratamiento y un tercero;
g) sea necesaria o legalmente exigida para la salvaguarda de un interés público, o para la procuración o administración de justicia;
h) sea necesaria para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial;
i) sea necesaria para el mantenimiento o cumplimiento de una relación jurídica entre el responsable del tratamiento y el titular de los datos;
j) sea efectuada en los casos de colaboración judicial internacional;
k) sea requerida para concretar transferencias bancarias o bursátiles, en lo relativo a las transacciones respectivas y conforme la legislación que les resulte aplicable;
l) tenga por objeto la cooperación internacional entre organismos de inteligencia para la lucha contra el crimen organizado, el terrorismo, el lavado de activos, los delitos informáticos y el narcotráfico;
m) el responsable del tratamiento transferente y el destinatario adopten mecanismos de autorregulación vinculante, siempre y cuando éstos sean acorde a las disposiciones previstas en esta ley;
n) se realice en el marco de cláusulas contractuales que contengan mecanismos de protección de los datos personales acordes con las disposiciones previstas en la presente ley.
El receptor de los datos personales asume las mismas obligaciones que corresponden al responsable del tratamiento que transfirió los datos personales.
ARTÍCULO 24
Carácter adecuado del país u organismo receptor. Se entiende que un país u organismo internacional o supranacional proporciona un nivel adecuado de protección cuando dicha tutela se deriva directamente del ordenamiento jurídico vigente.
El nivel de protección proporcionado por un país u organismo internacional o supranacional será evaluado por la autoridad de control, a pedido de parte interesada o de oficio y atendiendo a todas las circunstancias que concurran en una transferencia internacional; en particular, las normas de derecho, generales o especiales, vigentes en el país u organismo internacional o supranacional de que se trate, así como las normas profesionales, códigos de conducta y las medidas de seguridad que resulten aplicables.
ARTÍCULO 25
Prueba del cumplimiento de las obligaciones en materia de transferencias internacionales. A efectos de demostrar que la transferencia internacional se ha realizado conforme a lo que establece la presente ley, la carga de la prueba recae, en todos los casos, en el responsable del tratamiento que transfiere.
ARTÍCULO 26
Servicio de tratamiento de datos personales por medios tecnológicos tercerizados. El servicio de tratamiento de datos personales por medios tecnológicos tercerizados está permitido cuando se garantice el cumplimiento de los principios y obligaciones establecidos en la presente ley.
El responsable del tratamiento debe realizar esfuerzos razonables para elegir un proveedor de servicios que garantice el cumplimiento de la presente ley. El responsable del tratamiento responderá ante el titular de los datos y ante la autoridad de control por incumplimientos del proveedor.
En especial, el responsable del tratamiento debe realizar esfuerzos razonables para controlar que el proveedor del servicio de tratamiento de datos personales por medios tecnológicos tercerizados:
a) cuente con una política de protección de datos personales o condiciones de
servicio que no sean incompatibles con las disposiciones previstas en la presente ley, y que su aplicación sea efectiva, y además verificar que se prevean mecanismos para notificar los cambios que se produzcan sobre la política de protección de datos personales o condiciones de servicio;
b) informe los tipos de subcontrataciones que involucren los datos personales objeto del tratamiento sobre el que se presta el servicio, notificando al responsable del tratamiento de cualquier cambio que se produzca;
c) no incluya condiciones en la prestación del servicio que lo autoricen o permitan asumir la titularidad sobre las bases de datos tratados bajo esta modalidad.
Capítulo 3. Derechos de los titulares de los datos
ARTÍCULO 27
Derecho de acceso. El titular de los datos, previa acreditación de su identidad, tiene el derecho de solicitar y obtener el acceso a sus datos personales que sean objeto del tratamiento.
ARTÍCULO 28
Contenido de la información. La información debe ser suministrada en forma clara, exenta de codificaciones y, en su caso, acompañada de una explicación de los términos que se utilicen, en lenguaje accesible al conocimiento medio de la población, y debe versar sobre:
a) las finalidades del tratamiento de datos;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se cedieron o se prevean ceder los datos personales, en particular cuando se trate de una transferencia internacional;
d) el plazo previsto de conservación de los datos personales o, de no ser ello posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable del tratamiento la rectificación, supresión de datos personales o a oponerse a dicho tratamiento;
f) el derecho a iniciar un trámite de protección de datos personales ante la autoridad de control;
g) cuando los datos personales no se hayan obtenido del titular de los datos, cualquier información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles a que se refiere el artículo 32 y, al menos en tales casos, información significativa sobre la lógica aplicada, sin que ello afecte derechos intelectuales del responsable del tratamiento.
En ningún caso el informe puede revelar datos pertenecientes a terceros, aun cuando se vinculen con el titular de los datos.
La información, a opción del titular de los datos, puede suministrarse por escrito, por medios electrónicos, telefónicos, de imagen, u otro idóneo a tal fin.
ARTÍCULO 29
Derecho de rectificación. El titular de los datos tiene el derecho a obtener del responsable del tratamiento la rectificación de sus datos personales, cuando éstos resulten ser inexactos, incompletos o no se encuentren actualizados.
En el supuesto de cesión o transferencia internacional de datos erróneos o desactualizados, el responsable del tratamiento debe notificar la rectificación al cesionario dentro del quinto día hábil de haber tomado conocimiento efectivo del error o la desactualización.
Durante el proceso de verificación y rectificación del error o falsedad de la información que se trate, el responsable del tratamiento debe bloquear el dato, o bien consignar, al proveer información relativa a éste, la circunstancia de que se encuentra sometido a revisión.
ARTÍCULO 30
Derecho de oposición. El titular de los datos puede oponerse al tratamiento de sus datos, o de una finalidad específica de éste, cuando no haya prestado consentimiento. El responsable del tratamiento debe dejar de tratar los datos personales objeto de oposición, salvo que existan motivos legítimos para el tratamiento que prevalezcan sobre los derechos del titular de los datos.
ARTÍCULO 31
Derecho de supresión. El titular de los datos tiene derecho a solicitar la supresión de sus datos personales de las bases de datos del responsable del tratamiento cuando el tratamiento no tenga un fin público, a fin de que los datos ya no estén en su posesión y dejen de ser tratados por este último.
La supresión procede cuando:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recolectados;
b) el titular de los datos revoque el consentimiento en que se basa el tratamiento de datos y éste no se ampare en otro fundamento jurídico;
c) el titular de los datos haya ejercido su derecho de oposición conforme al artículo 30, y no prevalezcan otros motivos legítimos para el tratamiento de sus datos;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal.
La supresión no procederá cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, prevalezcan razones de interés público para el tratamiento de datos cuestionado, o los datos personales deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las contractuales entre el responsable o encargado del tratamiento y el titular de los datos.
La supresión tampoco procede cuando el tratamiento de datos sea necesario para ejercer el derecho a la libertad de expresión e información.
ARTÍCULO 32
Valoraciones personales automatizadas. El titular de los datos tiene derecho a oponerse a ser objeto de una decisión basada únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que le produzca efectos jurídicos perniciosos o lo afecte significativamente de forma negativa.
El titular de los datos no podrá ejercer este derecho si la decisión:
a) es necesaria para la celebración o la ejecución de un contrato entre el titular de los datos y el responsable del tratamiento;
b) está autorizada por ley;
c) se basa en su consentimiento expreso.
En los casos a que se refieren los incisos a) y c), el responsable del tratamiento debe adoptar las medidas adecuadas para salvaguardar los derechos del titular de los datos; como mínimo, el derecho a obtener intervención humana por parte del responsable del tratamiento, a expresar su punto de vista y a impugnar la decisión.
ARTÍCULO 33
Derecho a la portabilidad de datos personales. Si se brindan servicios en forma electrónica que incluyan el tratamiento de datos personales, el titular de los datos tiene derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento en un formato estructurado y comúnmente utilizado que le permita su ulterior utilización. El titular de los datos puede solicitar que sus datos personales se transfieran directamente de responsable a responsable cuando sea técnicamente posible.
Este derecho no procederá cuando:
a) su ejercicio imponga una carga financiera o técnica excesiva o irrazonable sobre el responsable o encargado del tratamiento;
b) vulnere la privacidad de otro titular de los datos;
c) vulnere las obligaciones legales del responsable o encargado del tratamiento;
d) impida que el responsable del tratamiento proteja sus derechos, su seguridad o sus bienes, o los derechos, seguridad y bienes del encargado del tratamiento, o del titular de los datos o de un tercero.
ARTÍCULO 34
Ejercicio de los derechos. El ejercicio de cualquiera de los derechos del titular de los datos no es requisito previo, ni impide el ejercicio de otro.
El responsable del tratamiento debe responder y, en su caso, satisfacer los derechos del titular de los datos dentro de los DIEZ (10) días hábiles de haber sido intimado fehacientemente.
Vencido el plazo sin que se satisfaga el pedido, o si a juicio del titular de los datos, la respuesta se estimara insuficiente, quedará expedito el trámite de protección de los datos personales ante la autoridad de control en los términos del artículo 72 o, a elección del titular de los datos, podrá interponer la acción de habeas data prevista en el artículo 78 de la presente ley. En caso de optar por la acción de habeas data, o de haberla iniciado con anterioridad, no podrá iniciar el trámite de protección ante la autoridad de control.
El ejercicio de los derechos previstos en los artículos 27, 29, 30, 31, 32 y 33 en el caso de titulares de los datos de personas fallecidas les corresponde a sus sucesores universales.
El responsable del tratamiento debe establecer medios y procedimientos sencillos, expeditos, accesibles y gratuitos que permitan al titular de los datos ejercer los derechos previstos en esta ley.
El derecho de acceso a que se refiere el artículo 27 sólo puede ser ejercido en forma gratuita a intervalos no inferiores a SEIS (6) meses, salvo que se acredite la existencia de nuevas razones que justifiquen el pedido antes del vencimiento del plazo.
ARTÍCULO 35
Abuso de derecho. El ejercicio abusivo de los derechos enumerados en este capítulo no se encuentra amparado. Se considera tal el que contraría los fines de la presente ley, el que excede los límites impuestos por la buena fe o el que imponga sobre el obligado una carga técnica o financiera irrazonable.
ARTÍCULO 36
Excepciones al ejercicio de los derechos. Los responsables del tratamiento de bases de datos públicas pueden, mediante decisión fundada, denegar los derechos enumerados en los artículos 27, 29, 30, 31, 32 y 33 en función de la protección de la defensa de la Nación, del orden y la seguridad públicos, o de la protección de los derechos e intereses de terceros.
La información sobre datos personales también puede ser denegada por los responsables del tratamiento de bases de datos públicas, cuando de tal modo se pudieran obstaculizar actuaciones judiciales o administrativas en curso vinculadas a la investigación sobre el cumplimiento de obligaciones tributarias o previsionales, el desarrollo de funciones de control de la salud y del medio ambiente, la investigación de delitos penales y la verificación de infracciones administrativas. La resolución que así lo disponga debe ser fundada y notificada al titular de los datos.
En cualquier caso, el responsable del tratamiento debe brindar acceso a los datos en cuestión en la oportunidad en que el titular de los datos demuestre que son necesarios para ejercer su derecho de defensa.
Capítulo 4. Obligaciones de los responsables y encargados del tratamiento
ARTÍCULO 37
Medidas para el cumplimiento de la responsabilidad proactiva. Las medidas adoptadas para el cumplimiento de las disposiciones de la presente ley deben ser proporcionales a las modalidades y finalidades del tratamiento de datos, su contexto, el tipo y categoría de datos tratados, y el riesgo que el referido tratamiento pueda acarrear sobre los derechos de su titular.
Deben contemplar, como mínimo:
a) la adopción de procesos internos para llevar adelante de manera efectiva las medidas de responsabilidad;
b) la implementación de procedimientos para atender el ejercicio de los derechos por parte de los titulares de los datos;
c) la realización de supervisiones o auditorías, internas o externas, para controlar el cumplimiento de las medidas adoptadas.
Las medidas deben ser aplicadas de modo que permitan su demostración ante el requerimiento de la autoridad de control.
Se debe adoptar una política de privacidad o adherirse a mecanismos de autorregulación vinculantes, que serán valorados por la autoridad de control para verificar el cumplimiento de las obligaciones por parte del responsable del tratamiento.
ARTÍCULO 38
Protección de datos desde el diseño y por defecto. El responsable del tratamiento debe aplicar medidas tecnológicas y organizativas apropiadas tanto con anterioridad como durante el tratamiento de datos a fin de cumplir los principios y los derechos de los titulares de los datos establecidos en la presente ley. Las medidas deben ser adoptadas teniendo en cuenta el estado de la tecnología, los costos de la implementación y la naturaleza, ámbito, contexto y fines del tratamiento de datos, así como los riesgos que entraña el tratamiento para el derecho a la protección de los datos de sus titulares.
El responsable del tratamiento debe aplicar las medidas tecnológicas y organizativas apropiadas con miras a garantizar que, por defecto, sólo sean objeto de tratamiento de datos aquellos datos personales que sean necesarios para cada uno de los fines del tratamiento. Esta obligación se aplica a la cantidad y calidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas deben garantizar en particular que, por defecto, los datos personales no sean accesibles, sin la intervención del titular de los datos, a un número indeterminado de personas humanas.
ARTÍCULO 39
Tratamiento de datos por cuenta de terceros. La prestación de servicios de tratamiento de datos por cuenta de terceros entre un responsable y un encargado del tratamiento debe quedar formalizada mediante un contrato y no requiere del consentimiento del titular de los datos. El encargado del tratamiento se encuentra limitado a llevar a cabo sólo aquellos tratamientos de datos encomendados por el responsable del tratamiento. Los datos personales objeto de tratamiento no pueden aplicarse o utilizarse con un fin distinto al que figure en el contrato ni ser cedidos a otras personas, ni aun para su conservación, salvo autorización expresa del responsable del tratamiento.
Una vez cumplida la prestación contractual, los datos personales tratados deben ser destruidos, salvo que medie autorización expresa del responsable del tratamiento cuando razonablemente se pueda presumir la posibilidad de ulteriores encargos, en cuyo caso sólo podrán conservarse por un máximo de DOS (2) años.
El encargado puede suscribir un contrato para subcontratar servicios que impliquen el tratamiento de datos solamente cuando exista una autorización expresa del responsable del tratamiento. En estos casos el subcontratado asume el carácter de encargado en los términos y condiciones previstos en esta ley. Para el supuesto en que el subcontratado incumpla sus obligaciones y responsabilidades respecto al tratamiento de datos que lleve a cabo conforme a lo estipulado en el contrato, asumirá la calidad de responsable del tratamiento en los términos y condiciones previstos en la presente ley.
Los contratos previstos en este artículo deben estipular el objeto, alcance, contenido, duración, naturaleza y finalidad del tratamiento de datos, el tipo de datos personales, las categorías de titulares de los datos y las obligaciones y responsabilidades del responsable y encargado del tratamiento.
ARTÍCULO 40
Evaluación de impacto relativa a la protección de datos personales. Cuando el responsable del tratamiento prevea realizar algún tipo de tratamiento de datos que por su naturaleza, alcance, contexto o finalidades, sea probable que entrañe un alto riesgo de afectación a los derechos de los titulares de los datos amparados en la presente ley, deberá realizar, de manera previa a la implementación del tratamiento, una evaluación del impacto relativa a la protección de los datos personales.
La evaluación de impacto relativa a la protección de los datos es obligatoria en los siguientes casos, sin perjuicio de otros que establezca la autoridad de control:
a) evaluación sistemática y exhaustiva de aspectos personales de personas humanas que se base en un tratamiento de datos automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas humanas o que les afecten significativamente de modo similar;
b) tratamiento de datos sensibles a gran escala, o de datos relativos a antecedentes penales o contravencionales.
ARTÍCULO 41
Contenido de la evaluación de impacto. La evaluación debe incluir, como mínimo:
a) una descripción sistemática de las operaciones de tratamiento de datos previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento de datos con respecto a su finalidad;
c) una evaluación de los riesgos para la protección de los datos personales de los titulares de los datos a que se refiere el inciso a);
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de los datos personales, y para demostrar la conformidad con la presente ley, teniendo en cuenta los derechos e intereses legítimos de los titulares de los datos y de otras personas que pudieran verse potencialmente afectadas.
ARTÍCULO 42
Informe previo. El responsable del tratamiento debe informar a la autoridad de control antes de proceder al tratamiento de datos cuando una evaluación de impacto relativa a la protección de los datos muestre que el tratamiento de datos entrañaría un alto riesgo.
El informe a la autoridad de control debe incluir, como mínimo, la siguiente información:
a) las responsabilidades respectivas del responsable del tratamiento y los encargados del tratamiento, en particular en caso de tratamiento de datos dentro de un mismo grupo económico;
b) los fines y medios del tratamiento previsto;
c) las medidas y garantías establecidas para proteger los datos personales de sus titulares de conformidad con la presente ley;
d) en su caso, los datos de contacto del delegado de protección de datos;
e) la evaluación de impacto relativa a la protección de datos.
Cuando la autoridad de control considere que el tratamiento de datos previsto pueda infringir la presente ley, iniciará el procedimiento de verificación de oficio establecido en el artículo 73.
ARTÍCULO 43
Delegado de protección de datos. Los responsables y encargados del tratamiento deben designar un delegado de protección de datos en cualquiera de los siguientes supuestos:
a) cuando revistan el carácter de autoridades u organismos públicos;
b) se realice tratamiento de datos sensibles como parte de la actividad principal del responsable o encargado del tratamiento;
c) se realice tratamiento de datos a gran escala.
Cuando los responsables y encargados del tratamiento no se encuentren obligados a la designación de un delegado de protección de datos de acuerdo a lo previsto en este artículo, pero decidan designarlo de manera voluntaria o por orden expresa de la autoridad de control, el delegado de protección de datos designado tendrá las funciones previstas en el artículo 44.
Cuando se trate de una autoridad u organismo público con dependencias subordinadas, se puede designar un único delegado de protección de datos, teniendo en consideración su tamaño y estructura organizativa.
Un grupo económico puede nombrar un único delegado de protección de datos siempre que esté en contacto permanente con cada establecimiento.
La designación del delegado de protección de datos debe recaer en una persona que reúna los requisitos de idoneidad, capacidad y conocimientos específicos para el ejercicio de sus funciones.
Las funciones del delegado de protección de datos pueden ser desempeñadas por un empleado del responsable o encargado del tratamiento o en el marco de un contrato de locación de servicios. El delegado de protección de datos puede ejercer otras funciones siempre que no den lugar a conflictos de intereses.
En cualquier caso, el delegado debe ejercer sus funciones sin recibir instrucciones y sólo responde ante el más alto nivel jerárquico de la organización.
ARTÍCULO 44
Funciones del delegado de protección de datos. El delegado de protección de datos tiene las siguientes funciones, sin perjuicio de otras que se le asignen especialmente:
a) informar y asesorar a los responsables y encargados del tratamiento, así como a sus empleados, de las obligaciones que tienen, derivadas de la normativa de protección de datos;
b) promover y participar en el diseño y aplicación de una política de protección de datos que contemple los tratamientos de datos que realice el responsable o encargado del tratamiento;
c) supervisar el cumplimiento de la presente ley y de la política de protección de datos de un organismo público, empresa o entidad privada;
d) asignar responsabilidades, concientizar y formar al personal, y realizar las auditorías correspondientes;
e) ofrecer el asesoramiento que se le solicite para hacer una evaluación de impacto relativa a la protección de datos, cuando entrañe un alto riesgo de afectación para los derechos de los titulares de los datos, y supervisar luego su aplicación;
f) cooperar y actuar como referente ante la autoridad de control para cualquier consulta sobre el tratamiento de datos efectuado por el responsable o encargado del tratamiento.
ARTÍCULO 45
Mecanismos de autorregulación vinculantes. La autoridad de control alentará la elaboración de mecanismos de autorregulación vinculantes que tengan por objeto contribuir a la correcta aplicación de la presente ley, teniendo en cuenta las características específicas del tratamiento de datos que se realice, así como el efectivo ejercicio y respeto de los derechos del titular de los datos.
Los mecanismos de autorregulación vinculantes se pueden traducir en códigos de conducta, de buenas prácticas, normas corporativas vinculantes, sellos de confianza, certificaciones u otros mecanismos que coadyuven a contribuir los objetivos señalados.
Los responsables o encargados del tratamiento pueden adherirse, de manera voluntaria, a mecanismos de autorregulación vinculantes.
Las asociaciones u otras entidades representativas de categorías de responsables o encargados del tratamiento podrán adoptar mecanismos de autorregulación vinculantes que resulten obligatorios para todos sus miembros.
Los mecanismos de autorregulación vinculantes serán presentados a la homologación de la autoridad de control, la cual dictaminará si los mecanismos se adecuan a las disposiciones de la presente ley y, en su caso, los aprobará o indicará las correcciones que estime necesarias para su aprobación.
Los mecanismos de autorregulación vinculantes que resulten aprobados serán registrados y dados a publicidad por la autoridad de control.
Capítulo 5. Registro Nacional “No Llame”
ARTÍCULO 46
Registro Nacional “No Llame”. Créase, en el ámbito de la autoridad de control de la presente ley, el Registro Nacional “No Llame”.
ARTÍCULO 47
Objeto y principio rector. El objeto del registro establecido por el artículo 46 es proteger los datos personales de los titulares o usuarios autorizados de los servicios de telefonía, en cualquiera de sus modalidades, del contacto, publicidad, oferta, venta y regalo de bienes o servicios no solicitados.
Las situaciones contempladas y reguladas en el presente capítulo se deben interpretar en todos los casos teniendo en cuenta el requerimiento del titular o usuario.
ARTÍCULO 48
Servicios de telefonía. A los efectos del presente capítulo, se entenderá por “servicios de telefonía” los servicios de telefonía básica, telefonía móvil, servicios de radiocomunicaciones móvil celular, de comunicaciones móviles y de voz IP, así como cualquier otro tipo de servicio similar que la tecnología permita brindar en el futuro.
ARTÍCULO 49
Inscripción. Puede inscribirse en el Registro Nacional “No Llame” toda persona humana titular o usuaria autorizada del servicio de telefonía en cualquiera de sus modalidades que manifieste su voluntad de no ser contactada por quien publicite, oferte, venda o regale bienes o servicios, sin perjuicio de lo dispuesto en el artículo 61 de la presente ley.
ARTÍCULO 50
Gratuidad y simplicidad. La inscripción y baja en el Registro Nacional “No Llame” es gratuita y debe ser implementada por medios eficaces y sencillos. Los trámites de inscripción y baja sólo pueden ser realizados por el titular o usuario de la línea telefónica.
La baja puede ser solicitada en cualquier momento y debe tener efectos inmediatos.
ARTÍCULO 51
Sujetos obligados e inscripción. Quienes publiciten, oferten, vendan o regalen bienes o servicios mediante recursos propios o a través de empresas tercerizadas o subcontratadas, utilizando como medio de contacto los servicios de telefonía en cualquiera de sus modalidades, son considerados responsables del tratamiento de datos y sujetos obligados al cumplimiento de lo previsto en el presente capítulo.
También son sujetos obligados aquellos que por cuenta de terceros realicen el contacto telefónico, sin perjuicio de la responsabilidad de quien resulte el contratante de la campaña o beneficiario directo de ésta, resultando aplicables, en el caso de corresponder, las previsiones del artículo 22.
Los sujetos obligados que contraten campañas en el exterior con efectos en el país deben adoptar las medidas apropiadas para que quien lleve a cabo la campaña publicitaria desde el extranjero dé cumplimiento a las disposiciones de la presente. Cualquier incumplimiento será atribuido al contratante o beneficiario directo de la campaña.
Es responsable solidario el titular de la línea telefónica de la que provenga el contacto de publicidad, oferta, venta y regalo de bienes o servicios no solicitados si se tratara de persona distinta a las indicadas en los párrafos precedentes. El titular de la línea telefónica podrá ser eximido total o parcialmente de responsabilidad si demuestra que no se le puede imputar el hecho que ha producido el daño.
Los sujetos obligados no pueden dirigirse a ninguno de los inscriptos en el Registro Nacional “No Llame”.
Quienes realicen efectivamente el contacto telefónico deben:
a) consultar las inscripciones vigentes que figuren en el Registro Nacional “No Llame” con una periodicidad de no más de TREINTA (30) días, en la forma que disponga la autoridad de control;
b) estar inscriptos en un registro habilitado por la autoridad de control para la consulta en el Registro Nacional “No Llame” prevista en el inciso a); la autoridad de control establecerá el procedimiento para esa inscripción.
En caso de duda, debe interpretarse que no corresponde el contacto telefónico con quien se hubiera inscripto en el Registro Nacional “No Llame”.
ARTÍCULO 52
Excepciones. Quedan exceptuadas de las disposiciones del presente capítulo:
a) las llamadas de quienes tienen una relación contractual vigente, siempre que se refieran al bien o servicio específico objeto del vínculo contractual;
b) las llamadas de quienes hayan sido expresamente permitidos por el titular o usuario autorizado de los servicios de telefonía en cualquiera de sus modalidades, inscripto en el Registro Nacional “No Llame”.
ARTÍCULO 53
Condiciones de contacto. Los contactos telefónicos de publicidad, oferta, venta y regalo de bienes o servicios no solicitados deben realizarse desde un número visible por el identificador de llamadas u otra tecnología que posea el titular o usuario de la línea telefónica.
En todos los casos, los contactos telefónicos, incluso a personas no inscriptas en el Registro Nacional “No Llame” o bajo el amparo de alguna de las excepciones previstas en el artículo 52, deben ser realizadas en forma y horario razonables y de acuerdo a la reglamentación.
ARTÍCULO 54
Denuncias. El titular o usuario autorizado del servicio de telefonía en cualquiera de sus modalidades puede realizar la denuncia por incumplimiento del presente capítulo ante la autoridad de control dentro del plazo de UN (1) mes contado desde el momento del contacto.
ARTÍCULO 55
Incumplimientos. La autoridad de control iniciará actuaciones administrativas en caso de presuntas infracciones a las disposiciones del presente capítulo, aplicando el procedimiento previsto en el artículo 72, párrafos tercero y cuarto. Verificada la existencia de la infracción, quienes la hayan cometido serán pasibles de las sanciones previstas en el artículo 76.
ARTÍCULO 56
Recepción de prueba. La autoridad de control, a los fines probatorios, tendrá en cuenta los elementos de hecho e indicios de carácter objetivos aportados por el denunciante que sustenten la situación fáctica debatida, quedando a cargo del denunciado acreditar que ha dado cumplimiento con las obligaciones establecidas en el presente capítulo.
A requerimiento de la autoridad de control, los sujetos obligados deberán brindar el registro de sus llamadas salientes provisto por la empresa prestadora del servicio de telecomunicaciones de la que fueran usuarios, quien lo debe proveer en un plazo máximo de DIEZ (10) días y en las condiciones que la autoridad de control disponga.
En el marco de un sumario administrativo por incumplimientos al presente capítulo, la autoridad de control podrá requerir en un plazo razonable informes a las empresas prestadoras del servicio de telecomunicaciones sobre:
a) la existencia del contacto telefónico cuestionado;
b) la información de la titularidad de una línea telefónica.
El incumplimiento de la requisitoria a que se refieren los párrafos segundo y tercero hará pasibles a las empresas prestadoras del servicio de telecomunicaciones de las sanciones previstas en el artículo 76, inciso b).
ARTÍCULO 57
Resolución. La autoridad de control dictará la resolución que corresponda dentro de los TREINTA (30) días de recibida la prueba y producidos los alegatos si corresponden. La autoridad de control podrá prorrogar este plazo cuando la complejidad del tema a resolver sea fundamento suficiente para esa prórroga.
La resolución de la autoridad de control podrá:
a) archivar la denuncia;
b) imponer una sanción en caso de que se hubiera verificado un incumplimiento al presente capítulo.
La resolución de la autoridad de control mencionada en el inciso b) agotará la vía administrativa a los efectos de lo previsto en la Ley Nacional de Procedimientos Administrativos nº 19.549. No procederá el recurso de alzada. Agotada la vía administrativa, la resolución será recurrible por ante la CÁMARA NACIONAL DE APELACIONES EN LO CONTENCIOSO ADMINISTRATIVO FEDERAL de la CAPITAL FEDERAL.
Capítulo 6. Supuestos especiales
ARTÍCULO 58
Bases de datos públicas. La creación, modificación o supresión de bases de datos pertenecientes a autoridades u organismos públicos debe hacerse por medio de norma de alcance general, publicada en el Boletín Oficial o diario oficial.
Las normas respectivas, deben indicar:
a) órganos responsables de la base de datos, precisando dependencia jerárquica en su caso;
b) características y finalidad de los tratamientos de datos que se efectúen;
c) personas respecto de las cuales se pretenda obtener datos y el carácter facultativo u obligatorio de su suministro por parte de aquéllas;
d) procedimiento de obtención y actualización de los datos;
e) estructura básica de la base y la descripción de la naturaleza de los datos personales que contendrán;
f) las cesiones, transferencias o interconexiones previstas;
g) las oficinas ante las que se pudiesen efectuar el ejercicio de los derechos previstos en la presente ley.
En las normas que se dicten para la supresión de las bases de datos se debe establecer el destino de éstas o las medidas que se adopten para su destrucción.
ARTÍCULO 59
Tratamiento de datos por organismos de seguridad e inteligencia. Las bases de datos de las fuerzas armadas, fuerzas de seguridad, organismos policiales o de inteligencia quedan sujetos a las disposiciones de la presente ley. Las Comisiones Bicamerales de FISCALIZACIÓN DE ORGANISMOS Y ACTIVIDADES DE INTELIGENCIA y de FISCALIZACIÓN DE ÓRGANOS Y ACTIVIDADES DE SEGURIDAD INTERIOR del CONGRESO DE LA NACIÓN y la COMISIÓN DE DEFENSA NACIONAL de la CÁMARA DE SENADORES DE LA NACIÓN, o las que las sustituyan, tienen acceso a las bases de datos mencionadas por razones fundadas y en aquellos aspectos que constituyan materia de competencia de tales comisiones.
El tratamiento de datos personales con fines de defensa nacional o seguridad pública por parte de las fuerzas armadas, fuerzas de seguridad, organismos policiales o de inteligencia, cuando sea necesario realizar sin el consentimiento del titular, queda limitado a aquellos supuestos y categorías de datos que resulten necesarios para el estricto cumplimiento de las misiones legalmente asignadas a aquéllos para la defensa nacional, la seguridad pública o para la represión de los delitos.
Se deben suprimir, aun si no medie solicitud del titular, los datos personales de las bases de datos mencionadas en el primer párrafo cuando no sean necesarios para los fines que motivaron su recolección.
ARTÍCULO 60
Prestación de servicios de información crediticia.
1. En la prestación de servicios de información crediticia sólo pueden tratarse datos personales de carácter patrimonial relativos a la solvencia económica y al crédito, obtenidos de fuentes de acceso público irrestricto o restricto, o procedentes de informaciones facilitadas por el titular de los datos o con su consentimiento.
2. Pueden tratarse igualmente datos personales relativos al cumplimiento o incumplimiento de obligaciones de contenido patrimonial, facilitados por el acreedor o por quien actúe por su cuenta o interés.
3. A solicitud del titular de los datos, el responsable o encargado del tratamiento debe comunicar a aquél en forma gratuita las informaciones, evaluaciones y apreciaciones que sobre él hayan sido comunicadas durante los últimos DOCE (12) meses y la fuente de la información, incluyendo nombre y domicilio, en caso de corresponder.
4. Sólo se pueden archivar, registrar o ceder los datos personales que sean significativos para evaluar la solvencia económico-financiera de los afectados durante los últimos CINCO (5) años a contar desde la última información significativa. El plazo se reduce a UN (1) año cuando el deudor cancele o extinga la obligación, y a CUATRO (4) meses cuando la deuda sea igual o menor a UN (1) Salario Mínimo Vital y Móvil, a contar en ambos casos a partir de la fecha precisa en que se extingue la deuda.
5. Se considera información significativa:
a) el momento en que se produce la mora del deudor;
b) las distintas calificaciones que le otorgan al deudor las entidades financieras según normativa del BANCO CENTRAL DE LA REPÚBLICA ARGENTINA;
c) el inicio de la acción judicial de cobro;
d) la sentencia judicial que dispone el pago de la deuda;
e) la fecha de la apertura del concurso de acreedores o de la declaración de quiebra, en caso de deudas verificadas o en trámite de verificación en los procesos de concursos preventivos y quiebras respectivamente;
f) aquella otra información que defina el órgano de control.
6. No se considera última información significativa la asentada en una base de datos por el sólo hecho de ser la constancia final de una serie o sucesión de datos si se trata de una mera repetición de la misma información que, sin novedad o aditamento alguno, ha sido archivada durante los meses anteriores.
7. La prestación de servicios de información crediticia no requiere el previo consentimiento del titular de los datos a los efectos de su cesión, ni la ulterior comunicación de ésta, o de su transferencia internacional, cuando estén relacionados con el giro de las actividades comerciales o crediticias de los cesionarios.
8. Las entidades financieras que obligatoriamente cedan información relativa al cumplimiento de obligaciones de contenido patrimonial al BANCO CENTRAL DE LA REPÚBLICA ARGENTINA, deben comunicar al titular de los datos la información a ceder al último domicilio por él denunciado o por un canal de comunicación habitual entre las partes que permita acreditar la recepción y su fecha. A tales fines, dicha comunicación puede remitirse por medio postal o electrónico y junto con otras comunicaciones, como ser la de sus consumos, movimientos de cuenta, recibos o facturas. En cualquier caso, el cedente tiene la carga de acreditar el cumplimiento de la comunicación aquí dispuesta. Esta comunicación se debe efectuar cuando las obligaciones pasen de cumplimiento normal a incumplimiento, sin que se deba comunicar al deudor la continuidad de tal incumplimiento y/o el agravamiento de la calificación, y dentro de los DIEZ (10) días hábiles de producida la nueva calificación.
9. Esta obligación no afectará el cumplimiento del régimen informativo del BANCO CENTRAL DE LA REPÚBLICA ARGENTINA, en su carácter de autoridad de aplicación de la Ley de Entidades Financieras nº 21.526.
10. En caso de disconformidad con el contenido de la información comunicada conforme al párrafo precedente, el titular de los datos puede ejercer cualquiera de los derechos que le otorga esta ley. Si el titular de los datos cumple con su obligación dentro de los DIEZ (10) días hábiles de notificado, las entidades financieras no podrán ceder la información del titular al BANCO CENTRAL DE LA REPÚBLICA ARGENTINA, quien no podrá difundirla al público.
11. Previo a ceder datos personales relativos al incumplimiento de obligaciones patrimoniales a responsables o encargados del tratamiento que prestan servicios de información crediticia, los cedentes deben comunicar al titular de los datos la información a ceder y sus cesionarios al último domicilio por él denunciado o por un canal de comunicación habitual entre las partes que permita acreditar la recepción y su fecha. A tales fines, dicha comunicación puede remitirse por medio postal o electrónico y junto con otras comunicaciones, como ser la de sus consumos, movimientos de cuenta, recibos o facturas. En cualquier caso, el cedente tiene la carga de acreditar el cumplimiento de la comunicación aquí dispuesta. Los tratamientos de datos efectuados por el Estado quedan exceptuados de la notificación dispuesta en el presente apartado.
12. En caso de disconformidad con el contenido de la información a ceder conforme al apartado precedente, el titular de los datos puede ejercer cualquiera de los derechos que le otorga esta ley. Una vez cursada dicha comunicación al titular de los datos, no se requiere una nueva para realizar otras cesiones referidas a la misma obligación. La información puede ser difundida por las empresas que prestan servicios de informes crediticios luego de transcurridos DIEZ (10) días hábiles de recibida la comunicación. Si el titular de los datos cumple con su obligación dentro de dicho plazo, no podrán cederse tales datos a las empresas que prestan servicios de información crediticia.
13. Las entidades financieras no están alcanzadas por la obligación dispuesta en los dos apartados precedentes en la medida en que hayan cumplido con lo previsto en los apartados 8 y 9 del presente artículo.
Cuando se deniegue al titular de los datos la celebración de un contrato, solicitud de trabajo, servicio, crédito comercial o financiero, sustentado en un informe crediticio, deberá informársele tal circunstancia, así como la empresa que proveyó dicho informe y hacerle entrega de una copia de éste.
14. Se debe suprimir la información relativa a los fiadores o avalistas cuando se haya cancelado o extinguido la obligación, previo pedido por parte del deudor, fiador o avalista ante la empresa de información crediticia, en la modalidad y plazos dispuestos por el artículo 34 de la presente ley.
ARTÍCULO 61
Bases destinadas a la publicidad. Pueden tratarse sin consentimiento de su titular datos personales con fines de publicidad, venta directa y otras actividades análogas, cuando estén destinados a la formación de perfiles determinados o que permitan establecer hábitos de consumo que categoricen preferencias y comportamientos similares de las personas, siempre que los titulares de los datos sólo se identifiquen por su pertenencia a tales grupos genéricos, con más los datos individuales estrictamente necesarios para formular la oferta a los destinatarios.
En toda comunicación con fines de publicidad que se realice por correo, teléfono, correo electrónico, Internet u otro medio que permita la tecnología en el futuro, el responsable o encargado del tratamiento debe implementar medidas razonables que informen al titular de los datos la posibilidad de ejercer los derechos previstos en la presente ley.
Los datos referentes a la salud sólo pueden ser tratados, a fin de realizar ofertas de bienes y servicios, cuando hubieran sido obtenidos de acuerdo con la presente ley y siempre que no causen discriminación, en el contexto de una relación entre el consumidor o usuario y los proveedores de servicios o tratamientos médicos y entidades sin fines de lucro. Estos datos no pueden cederse a terceros sin el consentimiento previo, expreso e informado del titular de los datos. A dicho fin, este último debe recibir una noticia clara del carácter sensible de los datos que proporciona y de que no está obligado a suministrarlos, junto con la información de los artículos 15 y la mención de su derecho a oponerse al tratamiento de sus datos.
En los supuestos contemplados en el presente artículo, el titular de los datos puede ejercer el derecho de acceso sin cargo ni limitación temporal alguna. La información a suministrársele debe incluir la fuente de la que se obtuvieron sus datos, indicando, en su caso, el nombre del responsable o encargado del tratamiento que proveyó la información.
Capítulo 7. Autoridad de control
ARTÍCULO 62
Autoridad de control. Créase la AGENCIA NACIONAL DE PROTECCIÓN DE DATOS PERSONALES (ANPDP) como órgano de control que debe velar por el cumplimiento de los principios y procedimientos establecidos en la presente ley.
La ANPDP será un ente descentralizado en el ámbito del MINISTERIO DE JUSTICIA Y DERECHOS HUMANOS DE LA NACIÓN, con autarquía económica financiera, personería jurídica propia y capacidad de actuación en el ámbito del derecho público y privado.
La ANPDP será dirigida, administrada y representada por un Director Ejecutivo designado por el término de CUATRO (4) años, por el PODER EJECUTIVO NACIONAL con posibilidad de ser reelegido por una única vez. El Director Ejecutivo a cargo de la ANPDP tendrá rango y jerarquía de secretario de Estado. El Director Ejecutivo tendrá dedicación exclusiva en su función, encontrándose alcanzado por las incompatibilidades fijadas por ley para los funcionarios públicos.
ARTÍCULO 63
Selección del Director Ejecutivo. El procedimiento de selección del Director Ejecutivo de la ANPDP se llevará a cabo de conformidad con lo dispuesto a continuación:
a) el PODER EJECUTIVO NACIONAL propondrá UNA (1) persona y publicará el nombre, apellido y sus antecedentes curriculares en el Boletín Oficial y en DOS (2) diarios de circulación nacional, durante TRES (3) días;
b) el candidato deberá presentar una declaración jurada, conforme la normativa prevista en la Ley de Ética en el Ejercicio de la Función Pública nº 25.188, y su reglamentación;
c) se requerirá a la ADMINISTRACIÓN FEDERAL DE INGRESOS PÚBLICOS (AFIP) un informe relativo al cumplimiento de las obligaciones impositivas del candidato;
d) los ciudadanos, las organizaciones no gubernamentales, los colegios, las asociaciones profesionales y las entidades académicas podrán, en el plazo de QUINCE (15) días contados desde la última publicación en el Boletín Oficial prevista en el inciso a) del presente artículo, presentar al organismo a cargo de la organización de la audiencia pública observaciones respecto del candidato, por escrito y de modo fundado y documentado.. Sin perjuicio de las presentaciones que se realicen, en el mismo plazo podrá requerirse opinión a organizaciones de relevancia en el ámbito profesional, judicial y académico a los fines de su valoración;
e) dentro de los QUINCE (15) días, contados desde el vencimiento del plazo establecido en el inciso d) del presente artículo, se deberá celebrar una audiencia pública para la evaluación de las observaciones presentadas. Con posterioridad y en un plazo de SIETE (7) días de celebrada la audiencia, el PODER EJECUTIVO NACIONAL tomará la decisión de confirmar o retirar la candidatura de la persona propuesta, debiendo en este último caso proponer a un nuevo candidato y reiniciar el procedimiento de selección.
ARTÍCULO 64
Cese de pleno derecho del Director Ejecutivo. El Director Ejecutivo cesará de pleno derecho en sus funciones de mediar alguna de las siguientes circunstancias:
a) aceptación de la renuncia;
b) expiración del plazo de designación;
c) fallecimiento.
ARTÍCULO 65
Remoción del Director Ejecutivo. El Director Ejecutivo podrá ser removido por estar comprendido en alguna situación que le genere incompatibilidad o inhabilidad, mal desempeño, por delito en el ejercicio de sus funciones o por crímenes comunes. El PODER EJECUTIVO NACIONAL llevará adelante el procedimiento de remoción del Director Ejecutivo de la ANPDP, dándole intervención a una comisión bicameral del HONORABLE CONGRESO DE LA NACIÓN, que será presidida por el presidente del SENADO y estará integrada por los presidentes de las Comisiones de ASUNTOS CONSTITUCIONALES y de DERECHOS Y GARANTÍAS de la HONORABLE CÁMARA DE SENADORES DE LA NACIÓN y las de ASUNTOS CONSTITUCIONALES y de DERECHOS HUMANOS Y GARANTÍAS de la HONORABLE CÁMARA DE DIPUTADOS DE LA NACIÓN, la cual emitirá un dictamen vinculante.
Producida la vacante, deberá seguirse el procedimiento de selección establecido en el artículo 63 para elegir a un nuevo Director en un plazo no mayor a TREINTA (30) días.
ARTÍCULO 66
Deberes y funciones del Director Ejecutivo. El Director Ejecutivo tendrá los siguientes deberes y funciones:
a) ejercer la representación, dirección y administración general de la ANPDP, suscribiendo a tal fin los actos administrativos pertinentes;
b) representar al Estado nacional o designar personal idóneo para su representación, en todos aquellos procesos que se desarrollen ante tribunales judiciales o arbitrales, o ante organismos con facultades jurisdiccionales en los que se debatan asuntos de competencia de la ANPDP;
c) dictar las normas reglamentarias necesarias para el funcionamiento operativo del organismo;
d) toda otra atribución necesaria para el cumplimiento de las funciones del organismo.
ARTÍCULO 67
Personal de la autoridad de control. La ANPDP deberá contar con el personal técnico y administrativo que establezca la Ley de Presupuesto General de la Administración Nacional. El personal estará obligado a guardar secreto respecto de los datos de carácter personal de los que tome conocimiento en el desarrollo de sus funciones.
ARTÍCULO 68
Financiación. LA ANPDP se financiará a través de:
a) lo que recaude en concepto de tasas que se fijen por ley por los servicios que preste;
b) el producido de las multas referidas en esta ley;
c) las asignaciones presupuestarias que se incluyan en la Ley de Presupuesto General de la Administración Nacional.
ARTÍCULO 69
Patrimonio. La ANPDP tendrá un patrimonio integrado con los siguientes bienes:
a) los adquiridos hasta la fecha de la sanción de la presente ley, que se encuentran incorporados al Estado nacional con afectación a la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES;
b) los que adquiera la ANPDP posteriormente conforme a las disposiciones y leyes que le fueran aplicables.
ARTÍCULO 70
Facultades de la autoridad de control. La ANPDP deberá realizar todas las acciones necesarias para el cumplimiento de los objetivos y demás disposiciones de la presente ley. A tales efectos tendrá las siguientes funciones y atribuciones:
a) asistir y asesorar a las personas que lo requieran acerca de los alcances de la presente ley y de los medios legales de que disponen para la defensa de sus derechos;
b) dictar las normas y reglamentaciones que se deben observar en el desarrollo de las actividades comprendidas por esta ley; específicamente, dictar normas administrativas y de procedimiento relativas a las funciones a su cargo, y las normas y procedimientos técnicos relativos al tratamiento de datos y condiciones de seguridad de las bases de datos;
c) atender los requerimientos y denuncias interpuestos en relación al tratamiento de datos en los términos de la presente ley;
d) controlar el cumplimiento de los requisitos y garantías que deben reunir los tratamientos de datos de conformidad con la presente ley y las reglamentaciones que dicte la autoridad de control; a tal efecto, podrá solicitar autorización judicial para acceder a locales, equipos, o programas de tratamiento de datos a fin de verificar infracciones al cumplimiento de esta ley;
e) solicitar información a las entidades públicas y privadas, las que deberán proporcionar los antecedentes, documentos, programas u otros elementos relativos al tratamiento de datos que se le requieran; en estos casos, la autoridad deberá garantizar la seguridad y confidencialidad de la información y elementos suministrados;
f) imponer las sanciones administrativas que, en su caso, correspondan por violación a las normas de la presente ley y de las reglamentaciones que se dicten en su consecuencia;
g) percibir las tasas que se fijen por ley por los servicios de inscripción y otros que preste;
h) constituirse en querellante en las acciones penales que se promovieran por violaciones a la presente ley;
i) homologar los mecanismos de autorregulación vinculantes y supervisar su cumplimiento;
j) diseñar su estructura orgánica de funcionamiento y designar a su planta de agentes;
k) elaborar su presupuesto anual;
l) solicitar información a los delegados de protección de datos, en los términos de lo previsto en la presente ley;
m) publicar un informe anual de rendición de cuentas de gestión;
n) elaborar y presentar ante el HONORABLE CONGRESO DE LA NACIÓN propuestas de reforma legislativa respecto de su área de competencia;
ñ) celebrar convenios de cooperación y contratos con organizaciones públicas o privadas, nacionales o extranjeras, en el ámbito de su competencia, para el cumplimiento de sus funciones.
Capítulo 8. Procedimientos y sanciones
ARTÍCULO 71
Procedimiento. A los efectos de constatar el cumplimiento de las disposiciones de la presente ley, la autoridad de control podrá iniciar procedimientos:
a) a instancias del titular de los datos o de su representante legal;
b) de verificación de oficio;
c) de verificación por denuncia de un tercero.
La autoridad de control podrá en cualquier momento del procedimiento buscar una conciliación entre el titular de los datos y el responsable del tratamiento.
De llegarse a un acuerdo de conciliación entre ambos, esté se hará constar por escrito y tendrá efectos vinculantes.
La autoridad de control determinará el procedimiento que se aplicará a la conciliación.
ARTÍCULO 72
Trámite de protección de los datos personales. El titular de los datos o su representante legal puede iniciar un trámite de protección de los datos personales presentando ante la autoridad de control una solicitud, de manera escrita y por cualquier medio habilitado por la autoridad de control, expresando con claridad el contenido de su requerimiento y de los preceptos de esta ley que se consideran vulnerados. La presentación debe realizarse ante la autoridad de control dentro de los TREINTA (30) días siguientes a la fecha en que se comunique la respuesta al titular de los datos por parte del responsable del tratamiento, de acuerdo a lo previsto en el artículo 34, párrafos segundo y tercero, de la presente ley.
En el caso de que el titular de los datos no reciba respuesta por parte del responsable del tratamiento dentro de los DIEZ (10) días hábiles de haberlo intimado fehacientemente, basta que el titular de los datos acredite la fecha en que presentó la solicitud ante el responsable del tratamiento.
Iniciado el trámite de protección de los datos personales previsto en este artículo ante la autoridad de control, se dará traslado de aquél al responsable del tratamiento, para que en el plazo de DIEZ (10) días hábiles, emita respuesta, ofrezca las pruebas que estime pertinentes y manifieste por escrito lo que a su derecho convenga.
La autoridad de control admitirá las pruebas que estime pertinentes. Asimismo, podrá solicitar del responsable del tratamiento las demás pruebas que considere necesarias. Concluida la recepción de pruebas, la autoridad de control notificará al responsable del tratamiento el derecho que le asiste para que, de considerarlo necesario, presente sus alegatos dentro de los CINCO (5) días hábiles siguientes a su notificación.
ARTÍCULO 73
Trámite de verificación de oficio o por denuncia de un tercero. La autoridad de control verificará el cumplimiento de la presente ley y de la normativa que de ésta derive. La verificación podrá iniciarse de oficio o por denuncia de un tercero.
A efectos de practicar la verificación, la autoridad de control tendrá acceso a la información y documentación que considere necesarias, de acuerdo a lo previsto en la presente ley y a la reglamentación correspondiente.
En caso de que corresponda, se aplicará al trámite lo previsto en el artículo 72, párrafos tercero y cuarto, de la presente ley.
ARTÍCULO 74
Resolución. La resolución de la autoridad de control podrá:
a) archivar los trámites mencionados en los artículos 72 y 73 de la presente ley;
b) en caso de considerar que asiste derecho al titular de los datos, requerirle al responsable del tratamiento que haga efectivo el ejercicio de los derechos objeto de protección, debiendo dar cuenta por escrito de dicho cumplimiento a la autoridad de control dentro de los QUINCE (15) días hábiles de efectuado;
c) de verificarse incumplimientos a la presente ley, imponer una sanción de las previstas en el artículo 76.
d) La autoridad de control dictará la resolución que corresponda dentro de un plazo razonable, atendiendo a la complejidad del tema a resolver.
ARTÍCULO 75
Recursos. Las resoluciones de la autoridad de control agotarán la vía administrativa a los efectos de lo previsto en la Ley Nacional de Procedimientos Administrativos nº 19.549. No procederá el recurso de alzada. Agotada la vía administrativa, las resoluciones previstas en el artículo 76 serán recurribles por ante la CÁMARA NACIONAL DE APELACIONES EN LO CONTENCIOSO ADMINISTRATIVO FEDERAL de la CAPITAL FEDERAL.
ARTÍCULO 76
Sanciones. Una vez establecido el incumplimiento de las disposiciones de la presente ley por parte del responsable del tratamiento o del encargado del tratamiento, la autoridad de control impondrá las medidas o las sanciones correspondientes.
La autoridad de control podrá imponer a los responsables y encargados del tratamiento las siguientes sanciones:
a) apercibimiento;
b) multa que podrá alcanzar el equivalente a QUINIENTOS (500) Salarios Mínimo Vital y Móvil vigentes al momento de la imposición de la sanción;
c) suspensión de las actividades relacionadas con el tratamiento de datos hasta por un término de SEIS (6) meses; en el acto de suspensión se indicarán los correctivos que se deberán adoptar;
d) cierre temporal de las operaciones relacionadas con el tratamiento de datos una vez transcurrido el término de suspensión sin que se hubieren adoptado los correctivos ordenados por la autoridad de control;
e) cierre inmediato y definitivo de la operación que involucre el tratamiento de datos sensibles.
Al ordenar la suspensión o cierres previstos en los incisos c), d) y e) la autoridad de control podrá ordenar que, de manera temporal o definitiva, se retire, bloquee, suspenda y/o inhabilite el acceso a los datos personales a los que los responsables del tratamiento den acceso, interconecten, transmitan o direccionen, almacenen, alojen, intermedien, enlacen o busquen, que lesionen derechos legalmente reconocidos. A tal efecto, la autoridad de control deberá precisar, de acuerdo a lo informado por el titular de los datos, el enlace en el que se encuentren alojados los datos personales o los procedimientos para acceder a aquél. En ningún caso, estas medidas podrán afectar el derecho a la libertad de expresión e información.
Las sanciones indicadas en el presente artículo sólo se aplican para las personas de naturaleza privada. En el caso en el cual la autoridad de control advierta un presunto incumplimiento de una autoridad pública a las disposiciones de la presente ley, remitirá la actuación a la autoridad que corresponda para que inicie la investigación respectiva.
En todos los casos, la autoridad de control podrá disponer, a costa del responsable, la publicación de la resolución en el diario de mayor circulación de la jurisdicción donde se encuentre establecido el responsable.
ARTÍCULO 77
Gradación. Las sanciones por infracciones a las que se refiere el artículo 76 se graduarán atendiendo los siguientes criterios, en cuanto resulten aplicables:
a) la dimensión del daño o peligro a los intereses jurídicos tutelados por la presente ley;
b) el beneficio económico obtenido por el infractor o terceros, en virtud de la comisión de la infracción;
c) la reincidencia en la comisión de la infracción;
d) la resistencia, negativa u obstrucción a la acción investigadora o de vigilancia de la autoridad de control;
e) el incumplimiento de los requerimientos u órdenes impartidas por la autoridad de control;
f) el reconocimiento o aceptación expreso que haga el investigado sobre la comisión de la infracción antes de la imposición de la sanción a que hubiere lugar.
La designación voluntaria de un delegado de protección de datos, la adopción de mecanismos de autorregulación vinculantes, la realización de una evaluación de impacto en los términos del artículo 40 y la notificación oportuna de incidentes de seguridad, serán merituados como atenuantes de la sanción que corresponda, sin perjuicio de otros que pueda considerar la autoridad de control.
Capítulo 9. Acción de habeas data
ARTÍCULO 78
Procedencia. La acción de habeas data procede para tutelar los derechos que resulten restringidos, alterados, lesionados o amenazados por un tratamiento de datos personales contrario a la presente ley por parte de las autoridades públicas o por particulares. Esta acción procederá especialmente para ejercer los derechos de acceso, rectificación, oposición, cancelación y portabilidad de los datos previstos en la presente ley.
En los casos en que se presuma o se hubiera verificado la falsedad, inexactitud, desactualización de la información de que se trata, o se hubiera realizado un tratamiento de datos ilícito o prohibido, la acción de habeas data procederá para ejercer los derechos de rectificación, de oposición, o de supresión previstos en los artículos 29, 30 y 31; el derecho de oposición también podrá ser ejercido en los supuestos del artículo 32 de la presente ley.
ARTÍCULO 79
Legitimación activa y pasiva. La acción de habeas data podrá ser ejercida por el titular de los datos afectado, sus tutores, curadores o por el titular de la responsabilidad parental o tutela en caso de niños, niñas o adolescentes. En el caso de las personas humanas fallecidas, la acción podrá ser ejercida por sus sucesores universales.
La acción podrá ser también intentada en representación plural, sectorial o colectiva, siempre que su objeto se limite a la impugnación de tratamientos que conlleven violaciones generalizadas, pero en tal caso los promotores de tales acciones no podrán tener acceso a los datos de las demás personas que integran el colectivo por ellas representados, sino sólo a los datos propios. Tendrán legitimación para interponer esta acción el titular de los datos, el Defensor del Pueblo, las asociaciones sectoriales, la autoridad de control y el Ministerio Público.
En el proceso podrá intervenir, en forma coadyuvante y cuando corresponda, la autoridad de control, quien será notificada del inicio de la acción de habeas data.
La acción procede respecto de los responsables del tratamiento. Excepcionalmente los responsables del tratamiento podrán interponer la acción contra otros responsables o encargados del tratamiento cuando éstos últimos incumplan con sus obligaciones legales o convencionales y esto pueda acarrearles perjuicio.
ARTÍCULO 80
Competencia. Será competente para entender en esta acción el juez del domicilio del actor o del demandado, a elección del actor.
Procederá la competencia federal cuando la acción:
a) se interponga en contra de los responsables del tratamiento que sean parte de la Administración Pública Nacional;
b) se interponga en contra del responsable del tratamiento de datos accesibles en redes interjurisdiccionales, nacionales o internacionales.
ARTÍCULO 81
Procedimiento aplicable. La acción de habeas data tramitará según las disposiciones de la presente ley y, supletoriamente, según el procedimiento que corresponde a la acción de amparo común y según las normas del CÓDIGO PROCESAL CIVIL Y COMERCIAL DE LA NACIÓN, en lo atinente al juicio sumarísimo.
El juez dispondrá de amplias facultades para adaptar los procedimientos de acuerdo a las circunstancias particulares del caso y a fin de dar mayor eficacia tuitiva al proceso.
ARTÍCULO 82
Requisitos de la demanda. La demanda deberá interponerse por escrito, individualizando con la mayor precisión posible el nombre y domicilio del responsable del tratamiento y, en su caso, el nombre de la base de datos o cualquier otra información que pudiera ser útil a efectos de identificarla. En el caso de bases de datos públicas, se procurará establecer autoridad u organismo público del cual dependan el responsable o el encargado del tratamiento.
El accionante deberá alegar las razones por las cuales entienda que se esté
efectuando tratamiento de datos referido a su persona y los motivos por los cuales considere que procede el ejercicio de los derechos que le reconoce la presente ley. Deberá asimismo justificar el cumplimiento de los recaudos que hacen al ejercicio de tales derechos.
El accionante podrá solicitar al Juez que, mientras dure el procedimiento, el responsable o el encargado del tratamiento informe que la información cuestionada está sometida a un proceso judicial.
El juez podrá disponer el bloqueo provisional del acceso a la base de datos en lo referente a los datos personales motivo del juicio cuando sea manifiesto el carácter ilícito del tratamiento de esos datos o ellos sean inequívocamente falsos o inexactos.
ARTÍCULO 83
Trámite. Admitida la acción, el juez requerirá al responsable del tratamiento la remisión de la información concerniente al accionante y el ofrecimiento de la prueba pertinente. Podrá asimismo solicitar, en caso que corresponda, esa información al encargado del tratamiento o al delegado de protección de datos. También podrá requerir informes sobre el soporte técnico de datos, documentación de base relativa a la recolección y cualquier otro aspecto que resulte conducente a la resolución de la causa que estime procedente.
El plazo para contestar el informe no podrá ser mayor de CINCO (5) días hábiles, el que podrá ser ampliado prudencialmente por el juez.
Los responsables o encargados del tratamiento o delegados de protección de datos no podrán alegar la confidencialidad de la información que se les requiere, salvo el caso en que se afecten las fuentes de información periodística.
Cuando un responsable o encargado del tratamiento o delegado de protección de datos se oponga a la remisión del informe solicitado, con invocación de las excepciones autorizadas por la presente ley o por una ley específica, deberá acreditar los extremos que hacen aplicable la excepción legal. En tales casos, el juez podrá tomar conocimiento personal y directo de la información requerida manteniendo su confidencialidad.
ARTÍCULO 84
Contestación del informe. Al contestar el informe, el responsable o encargado del tratamiento o el delegado de protección de datos deberá expresar las razones por las cuales efectuó el tratamiento cuestionado y, en su caso, aquellas razones por las que no evacuó el pedido efectuado por el accionante.
ARTÍCULO 85
Ampliación de la demanda. Contestado el informe, el actor podrá, en el término de TRES (3) días, ampliar el objeto de la demanda, ofreciendo en el mismo acto la prueba pertinente. De esta presentación se dará traslado al demandado por igual término para que conteste y ofrezca prueba.
ARTÍCULO 86
Sentencia. Vencido el plazo para la contestación del informe o contestado éste, y en el supuesto del artículo 85, luego de contestada la ampliación y en su caso, habiendo sido producida la prueba, el juez dictará sentencia.
En el caso de estimarse procedente la acción, se especificará si la información debe ser bloqueada, suprimida, rectificada, o actualizada, estableciendo un plazo para su cumplimiento. En ningún caso, la sentencia podrá afectar el derecho a la libertad de expresión e información.
El rechazo de la acción no constituye presunción respecto de la responsabilidad en que hubiera podido incurrir el demandado.
En cualquier caso, la sentencia deberá ser comunicada a la autoridad de control.
Contra la sentencia procede el recurso de apelación.
Capítulo 10. Disposiciones transitorias
ARTÍCULO 87
Estructura organizativa. En el plazo de CIENTO OCHENTA (180) días hábiles posteriores a la asunción de su cargo, el Director Ejecutivo de la ANPDP presentará un proyecto de estructura organizativa y reglamentación interna, para su aprobación por el PODER EJECUTIVO NACIONAL y publicación en el Boletín Oficial.
Incorpórese a la planta de personal de la ANPDP a quienes, a la fecha de entrada en vigencia de la presente ley, cumplan funciones en la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES y hayan sido contratados en el marco de las Leyes nros. 23.283 y 25.164. A dicho personal se le respetarán los beneficios y condiciones laborales actuales. El personal contratado en el marco de la Ley nº 23.283, que a la fecha de entrada en vigencia de la presente ley, se encuentre cumpliendo funciones en la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES y no acepte ser incorporado a la planta de la ANPDP, tendrá derecho a percibir la indemnización correspondiente por cese laboral en los términos de lo previsto por la Ley nº 20.744, la que será solventada por el Fondo de Cooperación Técnica y Financiera previsto en el artículo 8° de la Ley nº 23.283.
ARTÍCULO 88
Presupuesto. Instrúyase al Jefe de Gabinete de Ministros para que, en uso de sus facultades, efectúe las reestructuraciones presupuestarias que fueren necesarias a los efectos de asignar los créditos, cargos y cualquier otra adecuación necesaria para el financiamiento de la ANPDP.
Deberá preverse en el presupuesto correspondiente la incorporación de los recursos necesarios para el correcto cumplimiento de las funciones de la ANPDP.
Transfiérase la totalidad de los bienes, presupuesto vigente, activos, patrimonio y personal de la actual DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES.
Una vez canceladas las deudas que en la actualidad mantenga el ente cooperador que hubieran sido autorizadas conforme la normativa vigente, los saldos resultantes del fondo de cooperación técnica y financiera serán ingresados a la cuenta de Rentas Generales del Tesoro de la Nación, la cual generará las correspondientes partidas presupuestarias con afectación específica a la ANPDP.
ARTÍCULO 89
Reglamentación. El PODER EJECUTIVO NACIONAL reglamentará la presente ley dentro de los CIENTO OCHENTA (180) días desde su promulgación.
ARTÍCULO 90
Vigencia. Las disposiciones de la presente ley entrarán en vigencia a los DOS (2) años de su publicación en el Boletín Oficial.
Los responsables y encargados del tratamiento contarán con el plazo máximo de DOS (2) años desde la publicación de la presente ley en el Boletín Oficial, para adaptarse a las obligaciones contenidas en ella. En dicho plazo, conservarán plena vigencia las Leyes nros. 25.326, 26.343 y 26.951, sus normas reglamentarias y las demás disposiciones de la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES.
El Registro Nacional “No Llame”, creado por la Ley nº 26.951, será transferido al nuevo registro creado por el artículo 46 de la presente ley de acuerdo a lo que prevea su reglamentación.
Capítulo 11. Disposiciones finales
ARTÍCULO 91
Orden público y jurisdicción federal. Las normas de la presente ley contenidas en los Capítulos 1, 2, 3, 4, y 6 son de orden público y de aplicación en lo pertinente en todo el territorio nacional.
Se invita a las provincias a adherir a las normas de esta ley que fueren de aplicación exclusiva en jurisdicción nacional.
La competencia federal regirá respecto de:
a) los tratamientos de datos efectuados por las autoridades u organismos públicos pertenecientes a la Administración Pública Nacional;
b) los tratamientos de datos efectuados por el sector privado, cuando los datos se encuentren accesibles en redes interjurisdiccionales, nacionales o internacionales.
ARTÍCULO 92
Referencias. Las referencias de aquellas normas que hagan mención a la DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES, su competencia o sus autoridades, se considerarán hechas a la ANPDP, su competencia o sus autoridades, respectivamente.
ARTÍCULO 93
Derogación. Deróganse las Leyes nros 25.326, 26.343 y 26.951.
ARTÍCULO 94
Comuníquese al PODER EJECUTIVO NACIONAL.
