Source: https://www.impo.com.uy/bases/decretos/64-2020
Timestamp: 2020-08-13 11:05:06+00:00

Document:
Alcance de las obligaciones. En las situaciones previstas en el inciso segundo del artículo anterior, los responsables y encargados de tratamiento, en su caso, deberán dar cumplimiento a las obligaciones previstas en la Ley N° 18.331 de 11 de agosto de 2008, y modificativas, incluyendo el registro de sus bases de datos y brindar la información de contacto correspondiente ante la Unidad Reguladora y de Control de Datos Personales.
Se exceptúa de la obligación de registro de las bases de datos, las situaciones referidas en el literal d) del inciso segundo del artículo 1° siempre que los medios se utilicen exclusivamente con fines de tránsito y el responsable del tratamiento designe un representante domiciliado en territorio nacional ante la Unidad Reguladora y de Control de Datos Personales.
Medidas de Seguridad. El responsable y el encargado de tratamiento, en su caso deberán adoptar las medidas técnicas y organizativas necesarias para conservar la integridad, confidencialidad y disponibilidad de la información, de forma de garantizar la seguridad de los datos personales. A estos efectos valorarán la adopción de estándares nacionales e internacionales en materia de seguridad de la información, tales como el Marco de Ciberseguridad elaborado por la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento.
Constatada la existencia de incidentes de seguridad que ocasionen, entre otras, la divulgación, destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos, los responsables y encargados de tratamiento deberán iniciar los procedimientos previstos necesarios para minimizar el impacto de dichos incidentes dentro de las primeras 24 horas de constatados.
Privacidad por diseño. El responsable y el encargado de tratamiento, en su caso, deberán incorporar en el diseño de las bases de datos, las operaciones de tratamiento, las aplicaciones y los sistemas informáticos, medidas dirigidas a dar cumplimiento a la normativa de protección de datos personales. A esos efectos, previo al tratamiento y durante todo su desarrollo, aplicarán medidas técnicas y organizativas apropiadas, tales como:
a) Técnicas de disociación, seudonimización y minimización de datos.
b) Mecanismos para asegurar el ejercicio de los derechos de los titulares de los datos personales.
c) Documentación de los consentimientos o de otros fundamentos que legitimen el tratamiento.
d) Tiempo de conservación de los datos, considerando sus tipos y su tratamiento.
e) Adopción de planes de contingencia que incluyan medidas de seguridad de la información.
f) Análisis funcionales y modelos de arquitectura de los datos.
g) Otras medidas establecidas por la Unidad Reguladora y de Control de Datos Personales.
Privacidad por defecto. El responsable y el encargado del tratamiento, en su caso, aplicarán las medidas técnicas y organizativas apropiadas a los efectos de garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento.
Esta obligación refiere a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su comunicación.
Alcance. De acuerdo con lo dispuesto en el artículo 40 de la Ley N° 19670 de 15 de octubre de 2018, deberán designar un delegado de protección de datos personales:
a) Entidades públicas, estatales o no estatales y las privadas total o parcialmente de propiedad estatal.
b) Entidades privadas que traten datos sensibles como negocio principal. De conformidad con lo establecido por el artículo 4° literal E) de la Ley N° 18.331 de 11 de agosto de 2008, son datos sensibles aquellos que revelen origen racial y étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical e información referente a la salud o a la vida sexual.
c) Entidades privadas que realicen tratamiento de grandes volúmenes de datos.
Se considera tratamiento de grandes volúmenes de datos cualquier actividad en la que se realice un tratamiento de datos personales de más de 35.000 personas.
La Unidad Reguladora y de Control de Datos Personales, de oficio o ante gestión realizada ante la misma, podrá expedirse sobre la pertinencia de que una entidad privada cuente con un delegado de protección de datos.
Funciones de los delegados de protección de datos. Las funciones principales de los delegados de protección de datos serán:
b) Supervisar el cumplimiento de la normativa sobre dicha protección en la entidad o entidades para las que preste servicios.
c) Proponer todas las medidas que entienda pertinentes para adecuarse a la normativa y a los estándares internacionales en materia de protección de datos personales y verificar su realización.
Calidad y condiciones del delegado. El delegado de protección de datos podrá desempeñar sus funciones a través de cualquier modalidad contractual, sea que implique dependencia o no. Deberá contar con conocimientos en Derecho, especializados en materia de protección de datos personales, los que deberán acreditarse.
En el caso de que el delegado sea persona jurídica, deberá comunicarse a la Unidad Reguladora y de Control de Datos Personales cómo está integrado su órgano de administración, así como los datos de sus integrantes y de la persona o personas físicas que se designen para realizar la tarea.
Posición del delegado de protección de datos. El delegado de protección de datos deberá participar de forma adecuada en todas las cuestiones relativas a la protección de datos personales.
Para desarrollar sus tareas en el desempeño de sus funciones, se le brindará pleno acceso a las bases de datos personales y a las operaciones de tratamiento. Actuará con autonomía técnica y no recibirá instrucciones en el desempeño de sus funciones específicas como delegado de protección de datos.
El delegado de protección de datos deberá guardar absoluta confidencialidad de las informaciones a las que tenga acceso por su calidad, siendo de aplicación lo establecido en el artículo 11 de la Ley N° 18.331 de 11 de agosto de 2008.
Este delegado podrá desempeñar otras funciones en cuanto no generen conflicto de intereses.
CAPÍTULO V - NORMAS FINALES
Criterios y sanciones. La Unidad Reguladora y de Control de Datos Personales fijará criterios para el cumplimiento, auditoría y evaluación de las medidas establecidas en la Ley N° 18.331 de 11 de agosto de 2008 y en el presente decreto. El Consejo Ejecutivo de esa Unidad impondrá las sanciones correspondientes a los incumplimientos a las disposiciones del presente decreto de conformidad con lo dispuesto por el artículo 35 de la Ley N° 18.331 de 11 de agosto de 2008, en la redacción dada por el artículo 152 de la Ley N° 18.719 de 27 de diciembre de 2010 y el artículo 83 de la Ley N° 19.355 de 19 de diciembre de 2015.
Deróganse los artículos 7° y 8° del Decreto N° 414/009 de 31 de agosto de 2009.

References: artículo 1
 artículo 40
 artículo 4
 artículo 11
 artículo 35
 artículo 152
 artículo 83