Ponemos en su conocimiento que el Consejo Ejecutivo de la Unidad Reguladora y de Control de Datos Personales emitió con fecha 8 de junio de 2021 una nueva Resolución que modifica el régimen de transferencia internacional de datos previsto en la Resolución 4/2019, excluyendo de la declaración de adecuación a las transferencias a Estados Unidos en el marco de “Privacy Shield”. La Resolución fue publicada el día jueves 16 en el Diario Oficial por lo cual se encuentra vigente.

La Resolución sustituye completamente a la Resolución Nº 4/2019 que consideraba a las organizaciones incluidas en el marco de “Privacy Shield” de Estados Unidos de América (“EEUU”) como adecuadas para las transferencias internacionales de datos, de conformidad con lo establecido por el art. 23 de la Ley 18.331.

Como ha sido de público conocimiento, el 16 de julio del 2020 el Tribunal de Justicia de la Unión Europea dictó una sentencia donde se excluyó a las organizaciones incluidas en el marco del "Privacy Shield" de Estados Unidos como países considerados como adecuados para realizar transferencia internacional de datos personales.

En busca de adecuarse a los Estándares en Protección de Datos Personales para los Estados Iberoamericanos emitidos por la Red Iberoamericana de Protección de Datos y el Reglamento General Europeo de Protección de Datos N° 2016/679 del Parlamento Europeo, la URCDP emite la Resolución.

La Resolución considera adecuados, y en consecuencia apropiados, para las transferencias internacionales de datos, a todos los países que a juicio de la URCDP, cuenten con normas de protección adecuadas y medios para asegurar su aplicación eficaz.

En particular, se consideran adecuados a los miembros de la Unión Europea y el Espacio Económico Europeo, Principado de Andorra, República Argentina, el sector privado de Canadá, Guernsey, Isla de Man, Islas Feroe, Estado de Israel, Japón, Jersey, Nueva Zelanda, Reino Unido de Gran Bretaña e Irlanda del Norte, y Confederación Suiza. Se elimina la referencia a las organizaciones que se encuentran incluidas en el marco de “Privacy Shield”.

En virtud de tal eliminación, en el caso de los responsables y encargados de bases de datos o tratamiento que se encuentren realizando transferencias internacionales de datos a organizaciones que se encuentren incluidas en el marco del “Privacy Shield”, la Resolución establece un plazo de seis (6) meses para que puedan ajustarse a la normativa de datos personales de Uruguay.

Por lo tanto, las transferencias internacionales realizadas a los EEUU deberán justificarse a través del consentimiento de los interesados o de alguna de las excepciones previstas en el artículo 23 de la Ley N° 18.331, y en su caso, contar con la autorización expresa URCDP.

La URCDP valorará especialmente la adopción de cláusulas contractuales apropiadas que cumplan con el contenido mínimo previsto en la Resolución 41/2021, la ubicación de los encargados de tratamiento en Estados que hayan adoptado normas tuitivas de la protección de datos y la adopción del esquema de auto-certificación puesto a disposición por la Federal Trade Commission, entre otros elementos.

El plazo para adecuarse al art. 23 de la Ley 18.331 vence el 16 de marzo del 2022.

Para acceder a la Resolución haga click aquí.