Uruguay recientemente ha aprobado el “Protocolo de Enmienda del Convenio para la Protección de las Personas con respecto al Tratamiento de Datos Personales” (en adelante, el “Protocolo” o “Convenio 108+”), mediante la sanción de la Ley N° 19.948.

La aprobación del Protocolo no hace más que profundizar los fuertes lazos entre la normativa local y la europea en materia de protección de datos personales que hace ya largos años es sumamente estrecha. Tan es así, que Uruguay fue el primer país no europeo en aprobar el Convenio 108 - primer instrumento internacional jurídicamente vinculante adoptado en el ámbito de la protección de datos ahora enmendado por medio del Protocolo-, con la Ley N° 19.030 de 07 de enero de 2013. Ahora, una vez más, Uruguay es el primer país no europeo en adherir al Convenio 108+.

Ahora bien, ¿qué dispone el Convenio 108 y qué cambios trae consigo el Protocolo?

El principal objetivo del Convenio 108, en su nacimiento, fue el de lograr unidad entre las legislaciones de los países adheridos y extender la garantía de la protección de la privacidad de los individuos, con el fin de facilitar el intercambio de datos entre las partes firmantes del Convenio al promover mecanismos y plataformas de cooperación entre autoridades independientes, promoviendo la implementación de un adecuado nivel de protección de datos. El Convenio 108 estaba basado en los principios de protección de datos, de legalidad, consentimiento informado, proporcionalidad, confidencialidad de los datos sensibles, equidad en el recabado y el tratamiento automatizado de los datos, y a los derechos a la información, acceso y rectificación que los titulares de los datos han de tener. Todos estos principios se encuentran recogidos en la Ley N° 18.331 de Protección de Datos Personales y Habeas Data, vigente en Uruguay desde el año 2008. Y es justamente por ello que Uruguay obtuvo el estatus de país adecuado en los términos de la Comisión Europea, por Decisión Nº 2012/484/EU, de fecha 21 de agosto de 2012, habilitándose de esa forma los flujos transfronterizos de datos entre la Unión Europea y Uruguay sin restricciones adicionales.

Sumado a ello, el Convenio 108 también prevé la libre circulación de datos personales entre los Estados Parte en el Convenio 108. Esta libertad de circulación no puede restringirse por razones de protección de datos personales, a menos que las Partes establezcan excepciones a esta disposición, lo que pueden hacer en dos casos específicos: si la protección de datos personales en la otra Parte no es equivalente o si la transferencia tiene lugar a un tercer Estado que no sea parte en el Convenio 108. En cuanto a este punto, destacamos que la normativa interna uruguaya prevé este tipo de situaciones, habilitando sin necesidad de autorización previa las transferencias internacionales de datos a países que garanticen niveles adecuados de protección, o bien, aún cuando no sea un país que no ofrezca garantías adecuadas, la Unidad Reguladora y de Control de Datos Personales podrá autorizar la transferencia cuando el responsable del tratamiento ofrezca garantías suficientes respecto a la protección de la vida privada, de los derechos y libertades fundamentales de las personas y el ejercicio de las mismas.

Sin perjuicio de la plena aplicabilidad de los principios consagrados en el Convenio 108, su regulación necesitaba una modernización que lo adaptase a las realidades de esta nueva era digital, en consonancia también con el Reglamento General de Protección de Datos Personales (“RGPD”).

Fue así que la nueva versión del Convenio 108, el Convenio 108+, se abrió a la firma en octubre de 2018, con gran acogida en los países miembro de la Unión Europea. En línea con el RGPD, los elementos clave que este Protocolo recoge son los principios de transparencia y proporcionalidad en el tratamiento de datos, incrementando las garantías que han de adoptarse junto a adecuadas medidas de seguridad de los datos.

Las inclusiones más salientes, son las siguientes:

• Se clarifican las bases legales sobre las cuales se pueden tratar los datos personales (artículo 5).
• Se amplía el catálogo de datos considerados como sensibles, incluyendo información genética, datos biométricos, datos personales relacionados con delitos, procesos penales y sentencias penales de condena, y medidas de seguridad relacionadas -esto último siendo una novedad en nuestro medio-. entre otros (artículo 6).
• Se obliga a notificar, al menos a las autoridades de control y supervisión, las vulneraciones o brechas de seguridad que afecten a los datos de los individuos que sean objeto de tratamiento (artículo 7).
• Se garantizan y se amplían los derechos de acceso y supresión. En especial, se garantiza el derecho a obtener en forma inteligible sus datos personales tratados, toda la información disponible sobre su origen, el período de conservación así como cualquier otra información que el responsable del tratamiento deba proporcionar con el fin de asegurar la transparencia del tratamiento, obtener conocimiento del razonamiento subyacente al tratamiento; oponerse en cualquier momento, por fundamentos relacionados con su situación, al tratamiento de datos personales que lo involucren, salvo si el responsable del tratamiento demostrara fundamentos legítimos para el tratamiento superiores a sus intereses o derechos o libertades fundamentales y a solicitar la supresión siempre que el tratamiento de los datos no se realice conforme los lineamientos que le fueron explicados (artículo 9).
• Los responsables y encargados de tratamiento han de tomar todas las medidas necesarias para asegurar el cumplimiento con la normativa de protección de datos y se instaura el principio de responsabilidad proactiva (artículo 10).
• Se facilitan las transferencias de datos, ya sea entre miembros o terceros Estados, siempre que se reúnan mínimas garantías establecidas en el Protocolo. En especial, y siguiendo con lo establecido en el Convenio 108, se establece que un Estado Parte no podrá, con el solo propósito de proteger los datos personales, prohibir o someter a autorización especial la transferencia datos personales a un destinatario que se encuentra en otro Estado Parte, salvo que exista un riesgo real y grave de que la transferencia pudiera llevar a incumplir las disposiciones del Convenio. Por su parte, cuando el destinatario se encuentre sujeto a la jurisdicción de un Estado u organización internacional que no sea Parte del Convenio, la transferencia de datos personales solo podrá llevarse a cabo cuando se asegure un nivel de protección apropiado (respetando los principios, condiciones y obligaciones establecidos en el Convenio) (artículo 14).
• Se destaca la importancia de que las autoridades de supervisión, además de constituirse como instrumentos sancionadores, inviertan en formación y concienciación en este sector (artículo 16).

La mayoría de las referidas inclusiones o bien ya se encontraban vigentes en nuestro medio con la Ley 18.331 y su Decreto Reglamentario, o bien han sido incluidas a nuestra normativa local por medio de los artículos 37 a 40 de la Ley N° 19.670 y su Decreto Reglamentario N° 64/020, como por ejemplo, la consagración del principio de responsabilidad proactiva, las exigencias en cuanto a las notificaciones de vulneraciones de seguridad, entre otras.

Con la adhesión al Convenio 108+, Uruguay una vez más se encuentra a la vanguardia en Latinoamérica, instalándose como un país con fuerte reconocimiento de derechos y obligaciones en materia de salvaguarda y protección de datos personales.

A través del siguiente link,podrá acceder al texto del Convenio 108+.