Recientemente la Unidad Reguladora y de Control de Datos Personales emitió la Resolución Nº 8/026, que introduce novedades en materia de transferencias internacionales de datos personales. Para conocer sus detalles, pero también recordar aspectos claves de la regulación vigente en la materia, recibimos a la Dra. Valentina Viola del integrante del Departamento Contencioso y Consultoría Legal del Estudio Posadas.

En este marco, les adelantamos, además, que el Estudio Posadas realizará el próximo 28 de julio un webinar en el que abordarán las principales obligaciones en el tratamiento de datos personales y consecuencias de su incumplimiento, por lo que quienes quieran profundizar en estos aspectos podrán participar de esa instancia, inscribiéndose aquí:

Empecemos por lo básico ¿En qué consiste la transferencia internacional de datos personales?

La transferencia internacional de datos está definida en el Decreto 414/009, reglamentario de la Ley de protección de datos personales.

Allí se la define como un tipo de tratamiento de datos personales que implica la transmisión de estos fuera del territorio nacional, constituyendo una cesión o comunicación, a efectos de que se realice un tratamiento por cuenta del responsable de la base de datos o del tratamiento establecido en territorio uruguayo.

Esta es una situación muy habitual hoy en día debido a la globalización de la información, pero principalmente debido a que es cada vez más común que las empresas u organizaciones contraten proveedores tecnológicos que procesan datos fuera del país, por ej. la contratación de servicios en la nube para el almacenamiento de datos. Los servidores en los que se encuentran esas nubes, en general, se ubican en Estados Unidos u otros países fuera de Uruguay. Así, la utilización de estos servicios para el alojamiento de datos implica una transferencia internacional de estos datos.

¿Cómo se encuentra regulada la transferencia internacional de datos en Uruguay?

Al tratarse de un tipo de tratamiento de datos personales, las transferencias están sujetas a las obligaciones que la ley establece en general. Así, las bases deberán encontrarse debidamente inscriptas y su gestión debe cumplir con los principios legales que ya hemos mencionado en otras oportunidades aquí.

Adicionalmente, dado que se trata de un tratamiento especial, la norma establece una regulación específica que impone ciertas limitaciones y obligaciones.

En este sentido, la ley parte de la prohibición de transferir datos personales de cualquier tipo a países u organismos internacionales que no proporcionen niveles adecuados de protección de acuerdo con los criterios adoptados por la URCDP -basados en estándares del Derecho Internacional o Regional en la materia-, sin perjuicio de que luego establece algunas excepciones a esta regla.

Entonces, ante la posibilidad de una transferencia internacional de datos, lo primero que debemos determinar es si la misma se realizará a un país u organismo con niveles adecuados de protección o no, según la Resolución N° 23/021 -con la modificación introducida por la Resolución N° 63/023- que establece cuáles son los países u organizaciones considerados con niveles adecuados de protección.    

Como mencionamos, las transferencias internacionales hacia un país que no tenga un nivel adecuado de protección según el criterio de la autoridad están, en principio, prohibidas. 

Sin embargo, la Ley establece en su artículo 23 determinados casos en los que se permite la realización de estas transferencias internacionales, por ejemplo, cuando se cuenta con el consentimiento explícito del titular de los datos, quien debe ser informado –en los términos exigidos por la normativa- sobre el destino y los propósitos de la transferencia, o con autorización de la URCDP cuando el responsable del tratamiento ofrezca garantías suficientes respecto a la protección de la vida privada, de los derechos y libertades fundamentales de las personas, así como respecto al ejercicio de los respectivos derechos. Dichas garantías podrán derivarse de cláusulas contractuales apropiadas.

Precisamente, en la determinación de estas garantías a las que se refiere el artículo 23 se enmarca el dictado de la Resolución N° 08/026 recientemente aprobada.

Bien, ingresemos entonces en el contenido de la Resolución N° 08/026 que nos convoca.

Como ya mencioné, la Resolución se inserta en la determinación de cláusulas contractuales apropiadas que permiten ofrecer garantías suficientes respecto de la protección de datos personales para la transferencia de datos a países que no cuentan con niveles adecuados de protección.

En este sentido, la URCDP ya había fijado ciertos lineamientos y contenidos mínimos para la estipulación de cláusulas contractuales que permitieran brindar estas garantías

Siguiendo esta línea, la reciente Resolución N° 08/026 indica a responsables y encargados de tratamiento, que pretendan realizar transferencias internacionales de datos al amparo de lo dispuesto en el artículo 23 de la Ley, que se podrán emplear los módulos de las “Cláusulas Contractuales Tipo para la Transferencia de Datos Personales” publicados por el Comité Consultivo para la Protección de las Personas con Respecto al Tratamiento Automatizado de Datos de Carácter Personal (Convenio 108) del Consejo de Europa.

Estas son cláusulas tipo que, incorporadas a los contratos celebrados en el marco de transferencias internacionales de datos aseguran el cumplimiento de ciertas garantías para los titulares de dichos datos.

En resumen, las cláusulas establecen obligaciones para las partes involucradas en la transferencia, reglas sobre el tratamiento y la seguridad de los datos personales, disposiciones sobre el acceso por parte de las autoridades, sobre las notificaciones en caso de incidentes de seguridad, criterios para la conservación y eliminación de la información y mecanismos para abordar incumplimientos o dar por terminado el contrato cuando corresponda.

¿Y cuáles son las implicancias en el regimen vigente en Uruguay?

A través de la Resolución N° 08/026 la URCDP brinda herramientas a los responsables y encargados de datos personales establecidos en Uruguay para realizar transferencias internacionales de datos que aseguren niveles adecuados de protección en el marco de lo dispuesto por el artículo 23 de la Ley de protección de datos personales.

Es importante destacar que, tal como lo prevé la propia Resolución, la adopción de estas cláusulas no excluye la valoración y autorización previa de la URCDP a los efectos de la realización de las transferencias internacionales al amparo de lo dispuesto en el ya mencionado artículo 23.

En definitiva, a través de esta Resolución se refuerzan los lineamientos que habían sido brindados anteriormente por la URCDP para el cumplimiento de la normativa vigente en materia de transferencias internacionales de datos y se alinea aún más esta regulación uruguaya con los estándares internacionales en la materia.

Finalmente, me gustaría invitarlos a todos quienes estén interesados en este tema a que participen del Webinar que realizaremos el próximo 28 de julio, en el que abordaremos los principales aspectos de la regulación del tratamiento de datos personales que, actualmente, es un tema que nos convoca a todos. Pueden inscribirse a través de las nuestras redes sociales o nuestra web.