Ley de Protección de Datos Personales ¿En qué está?

GABRIEL KOHN

Ferrere Abogados

La Ley de Protección de Datos Personales se aprobó para proteger la información de los particulares y empresas. Con esta norma Uruguay buscó alinear su régimen al modelo europeo de tratamiento de datos personales.

A fines de agosto, vence el plazo que la Ley dio a los empresarios para que adecuen al nuevo régimen las bases de datos anteriores a la Ley. Por otra parte, el régimen ya está vigente para las bases creadas a partir de agosto de 2008. Sin embargo, la reglamentación de la Ley, que debía aprobarse en febrero, aún no se dictó.

Mientras tanto, el órgano de control del nuevo régimen -la Unidad Reguladora y de Control de Datos Personales- ya comenzó a funcionar. Algunos de sus criterios interpretativos parecen rígidos y apartados de la Ley. Ello genera en quienes intentan cumplir con la Ley, más preguntas que respuestas.

En este contexto, es urgente el dictado de la reglamentación que –sin desproteger el derecho de intimidad de la persona- concrete criterios prácticos y razonables.

No debo registrar…

La Ley establece que no deben registrarse las bases de datos de personas físicas o jurídicas utilizadas "para un uso exclusivamente individual o doméstico". En el caso de las empresas, una interpretación razonable sería que el listado de clientes o de proveedores que maneja para la propia operativa, o la agenda de contactos de un profesional independiente, no deban registrarse. El criterio contrario llevaría a una ola de inscripciones masivas e innecesarias para el propósito de la Ley. Sin embargo, la Unidad Reguladora y de Control de Datos Personales maneja una posición rígida y sostiene que estas bases de datos deben registrarse.

Entre otros argumentos, la Unidad Reguladora señala que sólo las personas físicas pueden tener un uso "individual o doméstico" de una base de datos. Esto determina la necesidad de una pronta y razonable reglamentación.

Decisiones "automatizadas"

El legislador buscó establecer un mecanismo para evitar que se tomen decisiones "automatizadas" respecto a una persona, basadas en una evaluación abstracta o "fría" de sus datos personales.

La Ley otorga el derecho a impugnar las decisiones, públicas o privadas, que se adopten en base a este procedimiento y que provoquen a una persona efectos jurídicos negativos. Hoy, una persona puede impugnar una decisión "automatizada" sobre su despido, ascenso, acceso a un crédito, etc.

La redacción final de la Ley, sin embargo, terminó haciendo referencia a "decisiones automatizadas o no", abriendo un "agujero negro" por el cual podrían colarse impugnaciones de cualquier tipo. Sería oportuno que la reglamentación trate este aspecto y lo alinee con la finalidad original del legislador.

¿Y las garantías?

Hoy la Unidad Reguladora y de Control de Datos Personales puede solicitar a un Juez la suspensión de una base de datos, hasta por 6 días hábiles, si no cumple con los requisitos legales (por ejemplo, respetar la regla del consentimiento previo, el registro de la base, etc.).

No obstante, si el Juez no resuelve dentro de los tres días de presentada la solicitud, la Ley habilita a la Unidad Reguladora a suspender la base hasta que el Juez se pronuncie. Considerando los plazos judiciales en nuestro país, en tres días el Juez puede no llegar a adoptar una decisión. A fin de asegurar la libertad y garantías de los particulares, la Unidad Reguladora debería aguardar, en todo caso, a que un Juez decida.

¿Qué permite la Ley de Datos Personales? ¿Qué no?

Puede enviarse publicidad a un individuo o empresa cuando sus datos figuren en documentos accesibles al público, por ejemplo, la última guía telefónica o Internet. También se puede enviar publicidad cuando el titular facilitó sus datos o dio su consentimiento expreso.

Los datos que se recaben para un determinado fin, por ejemplo para llevar a cabo un determinado negocio, no pueden ser utilizados para otro fin distinto, como por ejemplo hacer publicidad.

A solicitud del titular de los datos, las empresas deben borrar de sus bases los datos no legítimos o enmendar los datos incorrectos.