El pasado 1 de enero de 2023, entraron en vigencia las modificaciones a los artículos 13 y 34 de la Ley 18.331 de Protección de Datos Personales (“LPDP”), introducidas por los artículos 62 y 63 de la Ley de “Aprobación de Rendición de Cuentas y Balance de Ejecución Presupuestal. Balance 2021” Nº 20.075 (“Ley de Rendición de Cuentas”).
Los cambios introducidos son sustanciales, en tanto:
- Amplían el alcance del derecho de información de los titulares de datos personales, recogido en el artículo 13 de la LPDP, y, por ende, extienden las obligaciones del responsable de tratamiento en cuanto al contenido del consentimiento informado,
- Incorporan previsiones específicas en cuanto a la regulación de las decisiones basadas en el tratamiento automatizado de datos.
Sobre el derecho de información de los Titulares de Datos
- Ampliación del listado de información obligatoria
Previo a la Ley de Rendición de Cuentas, el artículo 13 de la LPDP establecía como contenido mínimo y obligatorio, que se informe al titular de datos, en forma previa, expresa, precisa e inequívoca:
“A) La finalidad para la que serán tratados y quiénes pueden ser sus destinatarios o clase de destinatarios.
- B) La existencia de la base de datos, electrónico o de cualquier otro tipo, de que se trate y la identidad y domicilio de su responsable.
- C) El carácter obligatorio o facultativo de las respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles.
- D) Las consecuencias de proporcionar los datos y de la negativa a hacerlo o su inexactitud.
- E) La posibilidad del titular de ejercer los derechos de acceso, rectificación y supresión de los datos.”
A través de la Ley de Rendición de Cuentas, en primer lugar, se modificó el literal E, que ahora remite a “los derechos previstos en los artículos 14 a 16” de la LPDP, por lo que se extiende expresamente la obligación de informar sobre la posibilidad de ejercer el derecho de actualización (no mencionado en la redacción anterior, pero incluido en el artículo 15), y el derecho a la impugnación de valoraciones personales, previsto en el artículo 16 de la norma.
Adicionalmente, se incorpora la obligación de informar:
“F) La existencia o no de transferencias internacionales de datos.
- G) En el caso de tratamientos automatizados de datos regulados por el artículo 16 de la presente ley, los criterios de valoración, los procesos aplicados y la solución tecnológica o el programa utilizado.”
Es decir, el responsable deberá informar si se realizarán o no, en el tratamiento de los datos, transferencias internacionales de los datos recolectados.
Además, en el caso que se tomen decisiones con efectos jurídicos, en base a un tratamiento automatizado de datos destinado a la valoración del comportamiento en determinados aspectos, el responsable deberá informar, en forma previa, expresa, precisa e inequívoca, cuáles son los criterios de valoración, los procesos aplicados a dicho tratamiento automatizado, y cuál es la solución tecnológica o el programa utilizado.
- Herramienta de acceso a la información en caso de datos no recolectados directamente del titular
Las modificaciones introducen además una herramienta específica de acceso a la información para el caso en que los datos no sean recolectados directamente de sus titulares. En dicha hipótesis, estos podrán solicitar la información contenida en el artículo 13 al responsable, quien deberá proporcionarla en un plazo de 5 días hábiles desde recibida la solicitud.
- Publicidad permanente de la información
El inciso final del artículo habilita a que la Unidad Reguladora y de Control de Datos Personales reglamente la ley estableciendo condiciones específicas para la publicidad permanente de la información exigida por el artículo 13, en los casos en que las condiciones técnicas y el tipo de tratamiento lo permitan (elemento que entendemos también será determinado por una futura reglamentación).
Sobre las decisiones basadas en el tratamiento automatizado de datos
Además de incorporar la obligación de informar en forma previa, tal como se explicó líneas arriba, que se tomarán decisiones basadas en el tratamiento automatizado de datos, el artículo 63 de la Ley de Rendición de Cuentas, agrega a los cometidos de la URCDP del artículo 34 de la LPDP, el cometido de “establecer los criterios y procedimientos que deban observar los responsables y encargados, en el tratamiento automatizado de datos personales indicados en el artículo 16 de la presente ley.”
De esta forma, se demuestra la intención de avanzar en la regulación de las decisiones basadas en el tratamiento automatizado de datos, a los efectos de garantizar la protección de los derechos de los titulares de datos personales.
Por cualquier duda, no dude en contactarnos.
