Por Resolución N° 63/2023 emitida por el Consejo Ejecutivo de la Unidad Reguladora y de Control de Datos Personales de Uruguay ("URCDP”), se introduce un cambio significativo en cuanto a la regulación de las transferencias internacionales de datos personales.

Esta actualización sigue a nuestro informe anterior “Exclusión de “Privacy Shield”. Modificación al régimen de transferencia internacional de datos a Estados Unidos de América”, donde informamos que Uruguay había excluido a Estados Unidos (“EE. UU.”) de la lista de jurisdicciones adecuadas para transferencias de datos, en respuesta a la invalidación del "Privacy Shield" por parte de la Unión Europea ("UE”).

Hoy, con la nueva Resolución N° 63/2023, Uruguay reconsidera a ciertas entidades ubicadas en EE.UU. como “adecuadas”, alineándose con el reciente acuerdo para transferencias internacionales de datos celebrado entre EE.UU. y la UE.

 

Contexto y desarrollo normativo internacional

Cambios en EE. UU. y nuevo marco de privacidad de datos UE-EE.UU

Tras la invalidación del "Privacy Shield" por el Tribunal de Justicia de la UE, EE.UU. implementó cambios significativos para abordar las deficiencias identificadas. El Presidente Biden firmó una orden ejecutiva en 2022, introduciendo mejores garantías para las actividades de inteligencia y creando un tribunal independiente para revisar las quejas relacionadas con la recopilación y uso de datos por parte de las agencias de inteligencia de EE.UU.

Nuevo marco de privacidad de datos UE-EE.UU

Estos cambios formaron parte de un nuevo acuerdo transatlántico, que culminó en la adopción del Marco de Privacidad de Datos (“Data Privacy Framework”) UE-EE.UU. por la Comisión Europea. Este marco incorpora estrictas salvaguardias y mecanismos de recurso para individuos de la UE, mejorando significativamente la protección de datos transferidos a EE. UU.

 

Implicaciones de la Resolución Nº 63/2023

Ampliación de jurisdicciones adecuadas

De forma tal de alinearse respecto a lo acordado por la UE, la URCDP, a través de la Resolución Nº 63/2023 expande la lista de jurisdicciones consideradas "adecuadas" en materia de protección de datos personales y en el contexto de la transferencia internacional de datos personales, incluyendo ahora a (I) entidades sujetas a la Ley de Protección de la Información Personal de la República de Corea y a (II) organizaciones incluidas en el “Listado del Marco de Privacidad de Datos” publicado por el Departamento de Comercio de EE. UU.

Este cambio refleja una adaptación a los estándares internacionales y facilita operaciones comerciales con EE.UU. y Corea.

Importancia práctica de la "adecuación"

La designación de una jurisdicción como "adecuada" implica que las transferencias de datos a estas regiones no requieren, en la mayoría de los casos, el consentimiento expreso e informado del titular de los datos. Esto facilita significativamente las operaciones comerciales, especialmente para aquellos clientes que utilizan servicios en la nube o proveedores digitales con servidores ubicados en EE. UU.

 

Recomendaciones prácticas y pasos a seguir

Revisión de procesos de transferencia de datos

Recomendamos revisar y, si es necesario, actualizar sus procesos de transferencia de datos para alinearse con estas nuevas disposiciones, aprovechando las ventajas que ofrecen las jurisdicciones recién incluidas. La expansión de las jurisdicciones adecuadas ofrece una mayor flexibilidad y reduce la carga regulatoria, particularmente en el uso de servicios en la nube y proveedores digitales.

-

Continuamos a su disposición para brindarles asesoramiento y apoyo en la adaptación a estos cambios, asegurando que sus operaciones de transferencia de datos se realicen en cumplimiento de la normativa vigente.

Agradecemos su atención y quedamos a su disposición para cualquier consulta o aclaración adicional.