Alguien ha dicho que los datos personales son el petróleo del siglo XXI. Hoy en día vivimos en un mundo cada vez más globalizado, donde el flujo de datos personales se ha convertido en algo recurrente en nuestra vida cotidiana. Ya sea por razones vinculadas a nuestro negocio o actividad comercial, ya sea por razones de cooperación entre empresas y/o distintas organizaciones, ya sea por razones de seguridad, o cualquier otra razón, frecuentemente nos encontramos ante la necesidad de transferir datos personales a otros países.

El artículo 23 de la Ley Nº 18.331 de 11 de agosto de 2008 (“Ley de Protección de Datos Personales”) prohíbe las transferencias internacionales de datos con países u organismos internacionales que no proporcionen niveles de protección adecuados, de acuerdo con los estándares del derecho internacional o regional en la materia, salvo excepciones. Los países que Uruguay considera adecuados son determinados por la Unidad Reguladora y de Control de Datos Personales (“URCDP”) mediante resoluciones administrativas.

El Decreto Nº 414/009, de 31 de agosto de 2009, establece que la transferencia internacional de datos supone su transmisión fuera del territorio nacional y constituye una cesión o comunicación que tiene por objeto la realización de un tratamiento por cuenta del responsable de la base de datos o responsable de tratamiento de datos establecido en territorio uruguayo.

La Resolución de la URCDP N° 63/023, de 22 de noviembre de 2023, actualizó el listado de jurisdicciones consideradas con un nivel adecuado de protección de datos, incluyendo a las entidades sujetas a la Ley de Protección de la Información Personal de la República de Corea, y a las transferencias a organizaciones incluidas en el “Listado del Marco de Privacidad de Datos” publicado por el Departamento de Comercio de los Estados Unidos de América.

De esta manera, la lista actualizada de jurisdicciones quedó conformada de la siguiente manera: miembros de la Unión Europea y el Espacio Económico Europeo, Principado de Andorra, República Argentina, el sector privado de Canadá, Guernsey, Isla de Man, Islas Feroe, Estado de Israel, Japón, Jersey, Nueva Zelanda, Reino Unido de Gran Bretaña e Irlanda del Norte, Confederación Suiza (Resolución Nº 23/021 de 8 de junio de 2021), entidades sujetas a la Ley de Protección de la Información Personal de la República de Corea, y las organizaciones incluidas en el “Listado del Marco de Privacidad de Datos” publicado por el Departamento de Comercio de los Estados Unidos de América (marco de privacidad EU-EEUU) (Resolución Nº 63/023 de 21 de noviembre de 2023).

Asimismo, la Resolución de la URCDP Nº 70/023, de 5 de julio de 2023, estableció que los responsables y encargados de tratamiento que realicen transferencias internacionales deberán comunicar a los titulares de los datos, el destino de sus datos, el rol del importador, el plazo de la transferencia, la base de legitimación, y las operaciones de tratamiento realizadas por el importador. Para ello, tanto responsables como encargados contarán con un plazo de 6 (seis) meses para adaptar sus políticas de privacidad.

La URCDP reafirmó que la inscripción de las bases de datos es un requisito previo a toda operación de tratamiento, incluyendo la realización y eventual autorización de transferencias internacionales y por último señaló que los responsables y encargados que procuren realizar transferencias internacionales a organizaciones incluidas en el Marco de Privacidad de UE-EEUU deberán presentar, en la oportunidad de la inscripción de la Base de Datos o en forma previa a la transferencia, una declaración expresa en la que la respectiva organización importadora declare haber extendido la aplicación de las salvaguardas de dicho marco a los datos transferidos desde Uruguay. En caso de que no se formule dicha declaración, la transferencia a las citadas organizaciones podrá realizarse en virtud de cláusulas contractuales presentadas por los responsables o encargados, que sean autorizadas previamente por la URCDP u otras de las excepciones previstas legalmente.