Novedades en transferencias internacionales de datos.
Uruguay establece pautas y limitaciones específicas en relación con las transferencias internacionales de datos, que suponen un flujo de datos personales desde el territorio uruguayo (en este caso) a destinatarios establecidos en países extranjeros.
El artículo 23 de la Ley No. 18.331 – “Ley de Protección de Datos Personales” prevé que, a menos que se configure una excepción, estará prohibida la transferencia de datos a países u organismos que no garanticen niveles adecuados de protección de datos. Todo ello de conformidad con los estándares legales nacionales e internacionales vigentes.
A tales efectos, la resolución No. 23/2021 estableció las jurisdicciones adecuadas para la transferencia internacional de datos (los miembros de la Unión Europea y el Espacio Económico Europeo, Andorra, Argentina, el sector privado de Canadá, Guernsey, Isla de Man, Islas Feroe, Israel, Japón, Jersey, Nueva Zelanda, Reino Unido, y Suiza).
De esta manera, en la mayoría de los casos, no será necesario obtener el consentimiento expreso e informado del titular de los datos para transferir información. Ello simplifica sustancialmente las operaciones comerciales, mayormente para aquellos clientes que emplean servicios en la nube, o proveedores digitales cuyos servidores están situados en los Estados Unidos.
Posteriormente, la resolución No. 63/2023 amplió el listado anterior e incluyó como entidades u organizaciones adecuadas a:
- Las entidades sujetas a la ley de protección de la Información Personal de la República de Corea.
- Las organizaciones incluidas en el listado del Marco de Privacidad de datos publicado por el Departamento de Comercio de los Estados Unidos de América.
En este contexto, y con la finalidad de complementar las resoluciones antedichas, la Resolución de la URCDP introdujo nuevas obligaciones respecto de las transferencias internacionales de datos:
(i) Los sujetos obligados deberán comunicar a los titulares de los datos: el destino, el rol del importador de datos, el plazo de la transferencia, la base de legitimación, y las operaciones de tratamiento a efectuarse.
(ii) Los responsables y encargados tendrán un plazo de 6 meses para ajustar sus políticas de privacidad según lo establecido anteriormente.
(iii) La inscripción de la base de datos en el Registro de Bases de Datos Personales será un requisito previo para cualquier proceso de tratamiento, incluyendo las transferencias internacionales de datos.
(iv) Los responsables y encargados que vayan a realizar transferencias internacionales a organizaciones bajo el Marco de Privacidad de la Unión Europea – Estados Unidos, deberán presentar una declaración expresa de la organización importadora sobre la implementación de medidas de protección a los datos transferidos desde Uruguay.
Dicha declaración:
a. podrá presentarse al momento de registrar la base de datos o en forma previa a la transferencia, pero
b. no será necesaria si existen disposiciones contractuales vigentes (entre la organización y el importador) que ofrezcan garantías adecuadas, con la conformidad de la URCDP.
Consideraciones finales
Una vez más, Uruguay demuestra estar a la vanguardia de las tendencias internacionales en protección de datos, adoptando medidas adecuadas para asegurar la salvaguarda de la información.
En este contexto, es recomendable revisar (y ajustar) las políticas internas de transferencia de datos para adecuarse a las nuevas obligaciones, pero también aprovechando las ventajas y flexibilidad que brindan las jurisdicciones recién incorporadas.
Montevideo, 18 de diciembre de 2023.
