Publicada D.O. 1º oct/004 - Nº
26599
Ley Nº 17.838
PROTECCIÓN DE DATOS PERSONALES PARA
SER UTILIZADOS EN
INFORMES COMERCIALES Y ACCIÓN DE HABEAS DATA
El Senado y la Cámara de
Representantes de la República Oriental del Uruguay, reunidos en
Asamblea General,
DECRETAN:
TÍTULO I
CAPÍTULO I
PROTECCIÓN DE DATOS PERSONALES DE
INFORMES COMERCIALES
Artículo 1º.- El presente
Título tiene por objeto regular el registro, almacenamiento,
distribución, transmisión, modificación, eliminación, duración, y
en general, el tratamiento de datos personales asentados en
archivos, registros, bases de datos, u otros medios similares
autorizados, sean éstos públicos o privados, destinados a brindar
informes objetivos de carácter comercial.
Se entenderá que el tratamiento regulado involucra toda forma de
registro, almacenamiento, distribución, transmisión, modificación,
eliminación, duración y toda otra forma del mismo o similar
alcance.
También se aplicarán sus disposiciones, en cuanto resulten
pertinentes, a los datos sobre personas jurídicas.
Artículo 2º.- Se exceptúan
de esta ley, el tratamiento de datos que no sean de carácter
comercial como por ejemplo: a) datos de carácter personal que se
originen en el ejercicio de las libertades de emitir opinión y de
informar, así como los relativos a encuestas, estudios de mercado o
semejantes, los que se regularán por las leyes especiales que les
conciernan y que al efecto se dicten; y b) datos sensibles sobre la
privacidad de las personas, entendiéndose por éstos, aquellos datos
referentes al origen racial y étnico de las personas, así como sus
preferencias políticas, convicciones religiosas, filosóficas o
morales, afiliación sindical o información referente a su salud
física o a su sexualidad y toda otra zona reservada a la libertad
individual.
Para la obtención y tratamiento de datos que no sean de carácter
comercial se requerirá expresa y previa conformidad de los
titulares, luego de informados del fin y alcance del registro en
cuestión.
CAPÍTULO II
PRINCIPIOS GENERALES
Artículo 3º.- La obtención y
el tratamiento de datos personales por parte de personas físicas o
jurídicas con el alcance previsto en esta ley, será lícita siempre
que se haga conforme a la misma y al ordenamiento jurídico. En todo
caso se deberá respetar el pleno ejercicio de los derechos
fundamentales de los titulares de los datos y de las facultades que
esta ley reconoce.
Artículo 4º.- No requiere
previo consentimiento el registro y posterior tratamiento de datos
personales cuando:
A)
Los datos
provengan de fuentes públicas de información, tales como registros,
archivos o publicaciones en medios masivos de comunicació
B)
Sean
recabados para el ejercicio de funciones o cometidos constitucional
y legalmente regulados propios de las instituciones del Estado o en
virtud de una obligación específica legal
C)
Se trate
de listados cuyos datos se limiten a nombres y apellidos, documento
de identidad o registro único de contribuyente, nacionalidad,
estado civil, nombre del cónyuge, régimen patrimonial del
matrimonio, fecha de nacimiento, domicilio y teléfono, ocupación o
profesión y domicilio
D)
Deriven de
una relación contractual del titular de los datos y sean necesarios
para su desarrollo y cumplimiento; y
E)
Se realice
por personas físicas o jurídicas, privadas o públicas, para su uso
exclusivo o el de sus asociados o usuarios.
Artículo 5º.- Los datos
recogidos a los efectos de su tratamiento deben ser veraces,
adecuados, ecuánimes y no excesivos en relación con la finalidad
para la cual se hubieren obtenido.
El titular del registro es responsable de la violación de esta
disposición, así como de la obtención legítima de sus datos.
Se prohíbe la recolección de los mismos por medios desleales,
fraudulentos, abusivos, extorsivos o en forma contraria a esta ley,
aun cuando ello no implique violación de la ley penal.
Los datos que sean total o parcialmente inexactos o incompletos
deben ser, en su caso, suprimidos, sustituidos o completados por
datos veraces y actualizados por el responsable de su tratamiento,
en cuanto conociere dicha circunstancia. Asimismo, deberán ser
eliminados aquellos datos que hayan caducado conforme lo previsto
en el artículo 9º.
Artículo 6º.- Aquellas
personas físicas o jurídicas que obtengan legítimamente información
proveniente de una base de datos que brinde tratamiento a los
mismos, están obligadas a utilizarla en forma reservada y
exclusivamente para las operaciones habituales de su giro o
actividad, estando prohibida toda difusión de la misma a
terceros.
Artículo 7º.- Las personas
que por su situación laboral u otra forma de relación con el
responsable de un archivo, registro o base de datos o similares
tuvieren acceso o intervengan en cualquier fase del tratamiento de
datos personales, están obligadas a guardar estricto secreto
profesional sobre los mismos (artículo 302 del Código Penal), cuando
hayan sido recogidos de fuentes no accesibles al público. Lo
previsto no será de aplicación en los casos de orden de la Justicia
competente, de acuerdo con las normas vigentes en esta materia o si
mediare consentimiento del titular.
Esta obligación subsistirá aun después de finalizada la relación
con el titular del archivo, registro, base de datos o
similares.
CAPÍTULO III
DEL TRATAMIENTO DE DATOS PERSONALES
RELATIVOS
A OBLIGACIONES DE CARÁCTER COMERCIAL
Artículo 8º.- Queda
expresamente autorizado el tratamiento de datos personales
relativos al cumplimiento o incumplimiento de obligaciones de
carácter comercial o crediticia que permitan evaluar la
concertación de negocios en general, la conducta comercial o la
capacidad de pago del titular de los datos, en aquellos casos en
que los mismos sean obtenidos de fuentes de acceso público o
procedentes de informaciones facilitadas por el acreedor o en las
circunstancias del artículo 4º.
Artículo 9º.- Los datos
personales relativos a obligaciones de carácter comercial sólo
podrán estar registrados por un plazo de cinco años contados desde
su incorporación. En caso que al vencimiento de dicho plazo la
obligación permanezca incumplida, el acreedor podrá solicitar al
titular de la base de datos, por única vez, su nuevo registro por
otros cinco años.
Este nuevo registro deberá ser solicitado en el plazo de treinta
días anteriores al vencimiento original.
Las obligaciones canceladas o extinguidas por cualquier medio,
permanecerán registradas, con expresa mención de este hecho, por un
plazo máximo de cinco años, no renovable, a contar de la fecha de
la cancelación o extinción.
Artículo 10.- Los
responsables de la base de datos se limitarán a realizar el
tratamiento objetivo de la información registrada tal cual ésta le
fuera suministrada, debiendo abstenerse de efectuar valoraciones
subjetivas sobre la misma.
Artículo 11.- Cuando se
haga efectiva la cancelación de cualquier obligación incumplida
registrada en una base de datos, el acreedor deberá en un plazo
máximo de diez días hábiles de acontecido el hecho, comunicarlo al
responsable de la base de datos correspondiente.
Una vez recibida la comunicación por el responsable, éste
dispondrá de un plazo máximo de tres días hábiles para proceder a
la actualización del dato, asentando su nueva situación.
TÍTULO II
HABEAS DATA Y ÓRGANO DE CONTROL
CAPÍTULO I
HABEAS DATA
Artículo 12.- Toda persona
tendrá derecho a entablar una acción efectiva para tomar
conocimiento de los datos referidos a su persona y de su finalidad
y uso, que consten en registros o bancos de datos públicos o
privados y, en caso de error, falsedad o discriminación, a exigir
su rectificación, supresión o lo que entienda corresponder.
Cuando se trate de datos personales cuyo registro esté amparado
por una norma legal que consagre el secreto a su respecto, el Juez
apreciará el levantamiento del mismo en atención a las
circunstancias del caso.
Artículo 13.- Cualquier
persona podrá requerir al organismo de control (artículo 20), información relativa a la
existencia y domicilio de archivos, registros o bases de datos
personales, sus finalidades y la identificación de sus
responsables.
A tales efectos habrá un registro actualizado de consulta
pública y gratuita.
Artículo 14.- Todo titular
de datos personales que previamente acredite su identificación con
el documento de identidad respectivo, tendrá derecho a obtener toda
la información que sobre sí mismo se halle en bases de datos
públicas o privadas. Este derecho de acceso sólo podrá ser ejercido
en forma gratuita a intervalos no inferiores a seis meses, salvo
que se hubiere suscitado nuevamente un interés legítimo de acuerdo
con el ordenamiento jurídico.
Cuando se trate de datos de personas fallecidas, el ejercicio
del derecho al cual refiere este artículo, corresponderá a
cualesquiera de sus sucesores universales, cuyo carácter se
acreditará por la sentencia de declaratoria de herederos.
La información debe ser proporcionada dentro de los veinte días
hábiles de haber sido solicitada. Vencido el plazo sin que el
pedido sea satisfecho o si fuera denegado por razones no
justificadas de acuerdo con esta ley, quedará habilitada la acción
de habeas data prevista en el Capítulo II del Título II de esta ley.
Artículo 15.- Toda persona
física o jurídica tendrá derecho, en caso de corresponder, por
haberse constatado error o falsedad en la información de la que es
titular, a solicitar la rectificación, actualización y la
eliminación o supresión de los datos personales que le corresponda
que estén incluidos en una base de datos o similares.
El responsable de la base de datos deberá proceder a realizar la
rectificación, actualización, eliminación o supresión, mediante las
operaciones necesarias a tal fin en un plazo máximo de veinte días
hábiles de recibida la solicitud por el titular del dato o, en su
caso, informar de las razones por las que estime no
corresponde.
El incumplimiento de esta obligación por parte del responsable
de la base de datos o el vencimiento del plazo, habilitará al
interesado a promover la acción de habeas data prevista en esta
ley.
No procede la eliminación o supresión de datos personales salvo
en aquellos casos de notorio error o falsedad, en aquellos casos en
que se pueda causar perjuicio a los derechos o intereses legítimos
de terceros o cuando contravenga lo establecido por una obligación
legal.
Durante el proceso de verificación o rectificación de datos
personales, el responsable de la base de datos ante el
requerimiento de terceros por acceder a informes sobre los mismos,
deberá dejar constancia que dicha información se encuentra sometida
a revisión.
Artículo 16.- La
rectificación, actualización, eliminación o supresión de datos
personales cuando corresponda, se efectuará sin cargo alguno para
el interesado.
CAPÍTULO II
ACCIÓN DE PROTECCIÓN DE LOS DATOS
PERSONALES
Artículo 17.- El titular
de datos personales podrá entablar la acción de protección de datos
personales o habeas data, contra todo responsable de una base de
datos pública o privada, en los siguientes supuestos:
1º)
cuando
quiera conocer sus datos personales que se encuentran registrados
en una base de datos o similar y dicha información no le hubiese
sido proporcionada por el responsable de la base de datos conforme
se prevé en el artículo 9º;
o
2º)
cuando
haya solicitado al responsable de la base de datos su
rectificación, actualización, eliminación o supresión y éste no
hubiese procedido a ello o dado razones suficientes por las que no
corresponde lo solicitado, en el plazo previsto al efecto en la
ley.
Artículo 18.- La acción de
habeas data podrá ser ejercida por el propio afectado titular de
los datos o sus representantes, ya sean tutores o curadores y, en
caso de personas fallecidas, por sus sucesores universales, en
línea directa o colateral hasta el segundo grado, por sí o por
medio de apoderado.
En el caso de personas jurídicas, la acción deberá ser
interpuesta por sus representantes legales o los apoderados
designados a tales efectos.
Artículo 19.- Las acciones
que se promuevan por violación a los derechos contemplados en la
presente ley se regirán en lo general por las normas del Código
General del Proceso y en lo particular por los artículos 6º,
7º, 10, 12 y 13 y en lo aplicable por los demás artículos de la
Ley
Nº 16.011, de 19 de diciembre de 1988.
CAPÍTULO III
ÓRGANO DE CONTROL
Artículo 20.- El
Ministerio de Economía y Finanzas actuará como órgano de control en
el tratamiento de datos personales comprendidos en esta ley y
tendrá como cometido implementar, vigilar y asesorar en todas las
acciones necesarias para el cumplimiento de los objetivos y demás
disposiciones de la presente ley.
Dicha función de control será ejercida por el Ministerio de
Economía y Finanzas asistido de una Comisión Consultiva integrada
por siete miembros, tres de los cuales serán representantes de
dicho Ministerio, uno de los cuales la presidirá; dos
representantes del Ministerio de Educación y Cultura, un
representante de la Cámara Nacional de Comercio y de Servicios y un
representante de la Liga de Defensa Comercial.
La Comisión Consultiva tendrá los siguientes cometidos:
1º)
Asistir y
asesorar a las personas que lo requieran acerca de los alcances de
la presente ley, así como de los medios legales de los que disponen
para la defensa de los derechos que ésta garantiza
2º)
Asistir y
asesorar preceptivamente al Ministerio de Economía y Finanzas en el
dictado de reglamentos y resoluciones, referentes a las actividades
comprendidas en esta ley
3º)
Llevar un
registro permanente y actualizado de los archivos, registros, bases
de datos o similares alcanzados por esta ley
4º)
Controlar
la observancia de las normas sobre la integridad, veracidad y
seguridad de los datos personales comprendidos en esta ley por
parte de los responsables de las bases de dato
5º)
Emitir
opinión toda vez que le sea requerida por las autoridades
competentes, incluyendo solicitudes relacionadas con el dictado de
sanciones administrativas que correspondan por la violación a las
disposiciones de esta ley, de los reglamentos o de las resoluciones
que regulan el tratamiento de datos personales comprendidos en esta
ley; y
6º)
Tener
presente, en lo que fuere pertinente, las resultancias de las
acciones de habeas data.
Artículo 21.- El
Ministerio de Economía y Finanzas podrá, en su función de órgano de
control, aplicar las siguientes medidas sancionatorias a las firmas
de tratamiento de datos en caso que se violen las normas de la
presente ley:
1º)
Apercibimiento
2º)
Multa de
hasta doscientas unidades reajustable
3º)
Clausura
del archivo, registro o base de datos respectivo. A tal efecto se
faculta al Ministerio de Economía y Finanzas a promover ante los
órganos jurisdiccionales competentes, la clausura, hasta por un
lapso de seis días hábiles, de las personas o empresas que
dispongan de archivos, registros o bases de datos respecto de los
cuales se comprobare que infringen o transgreden la presente
ley.
Los hechos constitutivos de la infracción serán documentados de
acuerdo a las formalidades legales y la clausura deberá decretarse
dentro de los tres días siguientes a aquél en que la hubiere
solicitado el Ministerio de Economía y Finanzas, el cual quedará
habilitado a disponer por sí la clausura si el Juez no se
pronunciare dentro de dicho término.
En este último caso, si el Juez denegare posteriormente la
clausura, ésta deberá levantarse de inmediato por el Ministerio de
Economía y Finanzas.
Los recursos que se interpongan contra la resolución judicial
que hiciere lugar a la clausura, no tendrán efecto suspensivo.
Para hacer cumplir dicha resolución, el Ministerio de Economía y
Finanzas podrá requerir el auxilio de la fuerza pública.
La competencia de los Jueces actuantes se determinará por las
normas de la Ley Orgánica de la Judicatura, Nº 15.750, de 24 de junio
de 1985.
TÍTULO III
DISPOSICIONES FINALES Y
TRANSITORIAS
Artículo 22.- Las normas
de la presente ley no son aplicables a los registros públicos y
similares que han sido creados y regulados por normas legales, a
los cuales remitirán los interesados.
Artículo 23.- Los
responsables de los registros, archivos, bases de datos o similares
existentes, contarán con un plazo de noventa días a partir de la
promulgación de esta ley para cumplir con la normativa de la misma
e inscribirse en el registro respectivo.
Artículo 24.- Los
responsables de una base de datos o similar, dispondrán de un plazo
de noventa días a partir de la entrada en vigencia de esta ley para
actualizar sus registros de acuerdo con lo dispuesto en la misma.
Deberán además, implementar un mecanismo informático mediante el
cual, una vez transcurridos los plazos precedentemente señalados,
los datos caducos sean eliminados.
En el mismo plazo, los acreedores por obligaciones que fueron
registradas por impagas incorporadas al registro, archivo o base de
datos desde hace más de cinco años, podrán solicitar su
actualización.
Artículo 25.- Los
acreedores por obligaciones incumplidas, que a la fecha de entrada
en vigencia de esta ley se encuentren canceladas y no lo hayan
comunicado al responsable de la base de datos, contarán con un
plazo de diez días hábiles para hacerlo y éste de tres días para
hacerlo efectivo.
Artículo 26.- El Poder
Ejecutivo deberá reglamentar la presente ley dentro de los ciento
ochenta días de su promulgación.
Sala de Sesiones de la Cámara de Representantes, en
Montevideo, a 8 de setiembre de 2004.
JOSÉ AMORÍN BATLLE,
Presidente.
Horacio D. Catalurda,
Secretario.
MINISTERIO DEL INTERIOR
MINISTERIO DE RELACIONES EXTERIORES
MINISTERIO DE ECONOMÍA Y FINANZAS
MINISTERIO DE DEFENSA NACIONAL
MINISTERIO DE EDUCACIÓN Y CULTURA
MINISTERIO DE TRANSPORTE Y OBRAS PÚBLICAS
MINISTERIO DE INDUSTRIA, ENERGÍA Y MINERÍA
MINISTERIO DE TRABAJO Y SEGURIDAD SOCIAL
MINISTERIO DE SALUD PÚBLICA
MINISTERIO DE GANADERÍA, AGRICULTURA Y PESCA
MINISTERIO DE TURISMO
MINISTERIO DE VIVIENDA, ORDENAMIENTO TERRITORIAL Y MEDIO
AMBIENTE
MINISTERIO DE DEPORTE Y JUVENTUD
Montevideo, 24 de setiembre de
2004.
Cúmplase, acúsese recibo, comuníquese, publíquese e insértese en
el Registro Nacional de Leyes y Decretos.
BATLLE.
ALEJO FERNÁNDEZ.
WILLIAM EHLERS.
ISAAC ALFIE.
YAMANDÚ FAU.
LEONARDO GUZMÁN.
GABRIEL GURMÉNDEZ.
ALEJANDRO FALCO.
SANTIAGO PÉREZ DEL CASTILLO.
MILTON PESCE.
EDGARDO CARDOZO.
JUAN BORDABERRY.
SAÚL IRURETA.
Montevideo, Uruguay. Poder Legislativo.
© 2025 Justia
