Fecha de Publicación: 01/10/2004
Página: 4-A
Carilla: 6

CONSEJO DE MINISTROS

Ley 17.838

Díctanse normas tendientes a la protección de datos personales de 
informes comerciales.
(1.878*R)

                            PODER LEGISLATIVO                             
                                                                          
El Senado y la Cámara de Representantes de la República Oriental del 
Uruguay, reunidos en Asamblea General,

                                 DECRETAN                                 
                                                                          
                                 TITULO I                                 
                                                                          
                                CAPITULO I                                
                                                                          
          PROTECCION DE DATOS PERSONALES DE INFORMES COMERCIALES          

Artículo 1

 El presente Título tiene por objeto regular el registro, almacenamiento, 
distribución, transmisión, modificación, eliminación, duración, y en 
general, el tratamiento de datos personales asentados en archivos, 
registros, bases de datos, u otros medios similares autorizados, sean 
éstos públicos o privados, destinados a brindar informes objetivos de 
carácter comercial.

Se entenderá que el tratamiento regulado involucra toda forma de 
registro, almacenamiento, distribución, transmisión, modificación, 
eliminación, duración y toda otra forma del mismo o similar alcance.

También se aplicarán sus disposiciones, en cuanto resulten pertinentes, a 
los datos sobre personas jurídicas.

Artículo 2

 Se exceptúan de esta ley, el tratamiento de datos que no sean de 
carácter comercial como por ejemplo: a) datos de carácter personal que se 
originen en el ejercicio de las libertades de emitir opinión y de 
informar, así como los relativos a encuestas, estudios de mercado o 
semejantes, los que se regularán por las leyes especiales que les 
conciernan y que al efecto se dicten; y b) datos sensibles sobre la 
privacidad de las personas, entendiéndose por éstos, aquellos datos 
referentes al origen racial y étnico de las personas, así como sus 
preferencias políticas, convicciones religiosas, filosóficas o morales, 
afiliación sindical o información referente a su salud física o a su 
sexualidad y toda otra zona reservada a la libertad individual.

Para la obtención y tratamiento de datos que no sean de carácter 
comercial se requerirá expresa y previa conformidad de los titulares, 
luego de informados del fin y alcance del registro en cuestión.

                               CAPITULO II                                
                                                                          
                           PRINCIPIOS GENERALES                           

Artículo 3

 La obtención y el tratamiento de datos personales por parte de personas 
físicas o jurídicas con el alcance previsto en esta ley, será lícita 
siempre que se haga conforme a la misma y al ordenamiento jurídico. En 
todo caso se deberá respetar el pleno ejercicio de los derechos 
fundamentales de los titulares de los datos y de las facultades que esta 
ley reconoce.

Artículo 4

 No requiere previo consentimiento el registro y posterior tratamiento de 
datos personales cuando:

A)  Los datos provengan de fuentes públicas de información, tales como 
    registros, archivos o publicaciones en medios masivos de comunicación;

B)  Sean recabados para el ejercicio de funciones o cometidos 
    constitucional y legalmente regulados propios de las instituciones del
    Estado o en virtud de una obligación específica legal;

C)  Se trate de listados cuyos datos se limiten a nombres y apellidos, 
    documento de identidad o registro único de contribuyente,
    nacionalidad, estado civil, nombre del cónyuge, régimen patrimonial
    del matrimonio, fecha de nacimiento, domicilio y teléfono, ocupación o
    profesión y domicilio;

D)  Deriven de una relación contractual del titular de los datos y 
    sean necesarios para su desarrollo y cumplimiento; y

E)  Se realice por personas físicas o jurídicas, privadas o públicas, 
    para su uso exclusivo o el de sus asociados o usuarios.

Artículo 5

 Los datos recogidos a los efectos de su tratamiento deben ser veraces, 
adecuados, ecuánimes y no excesivos en relación con la finalidad para la 
cual se hubieren obtenido.

El titular del registro es responsable de la violación de esta 
disposición, así como de la obtención legítima de sus datos.

Se prohíbe la recolección de los mismos por medios desleales, 
fraudulentos, abusivos, extorsivos o en forma contraria a esta ley, aun 
cuando ello no implique violación de la ley penal.

Los datos que sean total o parcialmente inexactos o incompletos deben 
ser, en su caso, suprimidos, sustituidos o completados por datos veraces 
y actualizados por el responsable de su tratamiento, en cuanto conociere 
dicha circunstancia. Asimismo, deberán ser eliminados aquellos datos que 
hayan caducado conforme lo previsto en el artículo 9°.

Artículo 6

 Aquellas personas físicas o jurídicas que obtengan legítimamente 
información proveniente de una base de datos que brinde tratamiento a los 
mismos, están obligadas a utilizarla en forma reservada y exclusivamente 
para las operaciones habituales de su giro o actividad, estando prohibida 
toda difusión de la misma a terceros.

Artículo 7

 Las personas que por su situación laboral u otra forma de relación con 
el responsable de un archivo, registro o base de datos o similares 
tuvieren acceso o intervengan en cualquier fase del tratamiento de datos 
personales, están obligadas a guardar estricto secreto profesional sobre 
los mismos (artículo 302 del Código Penal), cuando hayan sido recogidos 
de fuentes no accesibles al público. Lo previsto no será de aplicación en 
los casos de orden de la Justicia competente, de acuerdo con las normas 
vigentes en esta materia o si mediare consentimiento del titular.

Esta obligación subsistirá aun después de finalizada la relación con el 
titular del archivo, registro, base de datos o similares.

                               CAPITULO III                               
                                                                          
DEL TRATAMIENTO DE DATOS PERSONALES RELATIVOS A OBLIGACIONES DE CARACTER  
                                COMERCIAL                                 

Artículo 8

 Queda expresamente autorizado el tratamiento de datos personales 
relativos al cumplimiento o incumplimiento de obligaciones de carácter 
comercial o crediticia que permitan evaluar la concertación de negocios 
en general, la conducta comercial o la capacidad de pago del titular de 
los datos, en aquellos casos en que los mismos sean obtenidos de fuentes 
de acceso público o procedentes de informaciones facilitadas por el 
acreedor o en las circunstancias del artículo 4°.

Artículo 9

 Los datos personales relativos a obligaciones de carácter comercial sólo 
podrán estar registrados por un plazo de cinco años contados desde su 
incorporación. En caso que al vencimiento de dicho plazo la obligación 
permanezca incumplida, el acreedor podrá solicitar al titular de la base 
de datos, por única vez, su nuevo registro por otros cinco años.

Este nuevo registro deberá ser solicitado en el plazo de treinta días 
anteriores al vencimiento original.

Las obligaciones canceladas o extinguidas por cualquier medio, 
permanecerán registradas, con expresa mención de este hecho, por un plazo 
máximo de cinco años, no renovable, a contar de la fecha de la 
cancelación o extinción.

Artículo 10

 Los responsables de la base de datos se limitarán a realizar el 
tratamiento objetivo de la información registrada tal cual ésta le fuera 
suministrada, debiendo abstenerse de efectuar valoraciones subjetivas 
sobre la misma.

Artículo 11

 Cuando se haga efectiva la cancelación de cualquier obligación 
incumplida registrada en una base de datos, el acreedor deberá en un 
plazo máximo de diez días hábiles de acontecido el hecho, comunicarlo al 
responsable de la base de datos correspondiente.

Una vez recibida la comunicación por el responsable, éste dispondrá de un 
plazo máximo de tres días hábiles para proceder a la actualización del 
dato, asentando su nueva situación.

                                TITULO II                                 
                                                                          
                     HABEAS DATA Y ORGANO DE CONTROL                      
                                                                          
                                CAPITULO I                                
                                                                          
                               HABEAS DATA                                

Artículo 12

 Toda persona tendrá derecho a entablar una acción efectiva para tomar 
conocimiento de los datos referidos a su persona y de su finalidad y uso, 
que consten en registros o bancos de datos públicos o privados y, en caso 
de error, falsedad o discriminación, a exigir su rectificación, supresión 
o lo que entienda corresponder.

Cuando se trate de datos personales cuyo registro esté amparado por una 
norma legal que consagre el secreto a su respecto, el Juez apreciará el 
levantamiento del mismo en atención a las circunstancias del caso.

Artículo 13

 Cualquier persona podrá requerir al organismo de control (artículo 20), 
información relativa a la existencia y domicilio de archivos, registros o 
bases de datos personales, sus finalidades y la identificación de sus 
responsables.

A tales efectos habrá un registro actualizado de consulta pública y 
gratuita.

Artículo 14

 Todo titular de datos personales que previamente acredite su 
identificación con el documento de identidad respectivo, tendrá derecho a 
obtener toda la información que sobre sí mismo se halle en bases de datos 
públicas o privadas. Este derecho de acceso sólo podrá ser ejercido en 
forma gratuita a intervalos no inferiores a seis meses, salvo que se 
hubiere suscitado nuevamente un interés legítimo de acuerdo con el 
ordenamiento jurídico.

Cuando se trate de datos de personas fallecidas, el ejercicio del derecho 
al cual refiere este artículo, corresponderá a cualesquiera de sus 
sucesores universales, cuyo carácter se acreditará por la sentencia de 
declaratoria de herederos.

La información debe ser proporcionada dentro de los veinte días hábiles 
de haber sido solicitada. Vencido el plazo sin que el pedido sea 
satisfecho o si fuera denegado por razones no justificadas de acuerdo con 
esta ley, quedará habilitada la acción de habeas data prevista en el 
Capítulo II del Título II de esta ley.

Artículo 15

 Toda persona física o jurídica tendrá derecho, en caso de corresponder, 
por haberse constatado error o falsedad en la información de la que es 
titular, a solicitar la rectificación, actualización y la eliminación o 
supresión de los datos personales que le corresponda que estén incluidos 
en una base de datos o similares.

El responsable de la base de datos deberá proceder a realizar la 
rectificación, actualización, eliminación o supresión, mediante las 
operaciones necesarias a tal fin en un plazo máximo de veinte días 
hábiles de recibida la solicitud por el titular del dato o, en su caso, 
informar de las razones por las que estime no corresponde.

El incumplimiento de esta obligación por parte del responsable de la base 
de datos o el vencimiento del plazo, habilitará al interesado a promover 
la acción de habeas data prevista en esta ley.

No procede la eliminación o supresión de datos personales salvo en 
aquellos casos de notorio error o falsedad, en aquellos casos en que se 
pueda causar perjuicio a los derechos o intereses legítimos de terceros o 
cuando contravenga lo establecido por una obligación legal.

Durante el proceso de verificación o rectificación de datos personales, 
el responsable de la base de datos ante el requerimiento de terceros por 
acceder a informes sobre los mismos, deberá dejar constancia que dicha 
información se encuentra sometida a revisión.

Artículo 16

 La rectificación, actualización, eliminación o supresión de datos 
personales cuando corresponda, se efectuará sin cargo alguno para el 
interesado.

                               CAPITULO II                                
                                                                          
               ACCION DE PROTECCION DE LOS DATOS PERSONALES               

Artículo 17

 El titular de datos personales podrá entablar la acción de protección de 
datos personales o habeas data, contra todo responsable de una base de 
datos pública o privada, en los siguientes supuestos:

1°)  cuando quiera conocer sus datos personales que se encuentran 
     registrados en una base de datos o similar y dicha información no le 
     hubiese sido proporcionada por el responsable de la base de datos 
     conforme se prevé en el artículo 9°; o

2°)  cuando haya solicitado al responsable de la base de datos su 
     rectificación, actualización, eliminación o supresión y éste no
     hubiese procedido a ello o dado razones suficientes por las que no
     corresponde lo solicitado, en el plazo previsto al efecto en la ley.

Artículo 18

 La acción de habeas data podrá ser ejercida por el propio afectado 
titular de los datos o sus representantes, ya sean tutores o curadores y, 
en caso de personas fallecidas, por sus sucesores universales, en línea 
directa o colateral hasta el segundo grado, por sí o por medio de 
apoderado.

En el caso de personas jurídicas, la acción deberá ser interpuesta por 
sus representantes legales o los apoderados designados a tales efectos.

Artículo 19

 Las acciones que se promuevan por violación a los derechos contemplados 
en la presente ley se regirán en lo general por las normas del Código 
General del Proceso y en lo particular por los artículos 6°, 7°, 10, 12 y 
13 y en lo aplicable por los demás artículos de la Ley N° 16.011, de 19 
de diciembre de 1988.

                               CAPITULO III                               
                                                                          
                            ORGANO DE CONTROL                             

Artículo 20

 El Ministerio de Economía y Finanzas actuará como órgano de control en 
el tratamiento de datos personales comprendidos en esta ley y tendrá como 
cometido implementar, vigilar y asesorar en todas las acciones necesarias 
para el cumplimiento de los objetivos y demás disposiciones de la 
presente ley.

Dicha función de control será ejercida por el Ministerio de Economía y 
Finanzas asistido de una Comisión Consultiva integrada por siete 
miembros, tres de los cuales serán representantes de dicho Ministerio, 
uno de los cuales la presidirá; dos representantes del Ministerio de 
Educación y Cultura, un representante de la Cámara Nacional de Comercio y 
de Servicios y un representante de la Liga de Defensa Comercial.

La Comisión Consultiva tendrá los siguientes cometidos:

1°)  Asistir y asesorar a las personas que lo requieran acerca de los 
     alcances de la presente ley, así como de los medios legales de los
     que disponen para la defensa de los derechos que ésta garantiza;

2°)  Asistir y asesorar preceptivamente al Ministerio de Economía y 
     Finanzas en el dictado de reglamentos y resoluciones, referentes a
     las actividades comprendidas en esta ley;

3°)  Llevar un registro permanente y actualizado de los archivos, 
     registros, bases de datos o similares alcanzados por esta ley;

4°)  Controlar la observancia de las normas sobre la integridad, 
     veracidad y seguridad de los datos personales comprendidos en esta
     ley por parte de los responsables de las bases de datos;

5°)  Emitir opinión toda vez que le sea requerida por las autoridades 
     competentes, incluyendo solicitudes relacionadas con el dictado de 
     sanciones administrativas que correspondan por la violación a las 
     disposiciones de esta ley, de los reglamentos o de las resoluciones
     que regulan el tratamiento de datos personales comprendidos en esta
     ley; y

6°)  Tener presente, en lo que fuere pertinente, las resultancias de 
     las acciones de habeas data.

Artículo 21

 El Ministerio de Economía y Finanzas podrá, en su función de órgano de 
control, aplicar las siguientes medidas sancionatorias a las firmas de 
tratamiento de datos en caso que se violen las normas de la presente 
ley:

1°)  Apercibimiento;

2°)  Multa de hasta doscientas unidades reajustables;

3°)  Clausura del archivo, registro o base de datos respectivo. A tal 
     efecto se faculta al Ministerio de Economía y Finanzas a promover
     ante los órganos jurisdiccionales competentes, la clausura, hasta por
     un lapso de seis días hábiles, de las personas o empresas que
     dispongan de archivos, registros o bases de datos respecto de los
     cuales se comprobare que infringen o transgreden la presente ley.

Los hechos constitutivos de la infracción serán documentados de acuerdo a 
las formalidades legales y la clausura deberá decretarse dentro de los 
tres días siguientes a aquél en que la hubiere solicitado el Ministerio 
de Economía y Finanzas, el cual quedará habilitado a disponer por sí la 
clausura si el Juez no se pronunciare dentro de dicho término.

En este último caso, si el Juez denegare posteriormente la clausura, ésta 
deberá levantarse de inmediato por el Ministerio de Economía y Finanzas.

Los recursos que se interpongan contra la resolución judicial que hiciere 
lugar a la clausura, no tendrán efecto suspensivo.

Para hacer cumplir dicha resolución, el Ministerio de Economía y Finanzas 
podrá requerir el auxilio de la fuerza pública.

La competencia de los Jueces actuantes se determinará por las normas de 
la Ley Orgánica de la Judicatura, N° 15.750, de 24 de junio de 1985.

                                TITULO III                                
                                                                          
                   DISPOSICIONES FINALES Y TRANSITORIAS                   

Artículo 22

 Las normas de la presente ley no son aplicables a los registros públicos 
y similares que han sido creados y regulados por normas legales, a los 
cuales remitirán los interesados.

Artículo 23

 Los responsables de los registros, archivos, bases de datos o similares 
existentes, contarán con un plazo de noventa días a partir de la 
promulgación de esta ley para cumplir con la normativa de la misma e 
inscribirse en el registro respectivo.

Artículo 24

 Los responsables de una base de datos o similar, dispondrán de un plazo 
de noventa días a partir de la entrada en vigencia de esta ley para 
actualizar sus registros de acuerdo con lo dispuesto en la misma. Deberán 
además, implementar un mecanismo informático mediante el cual, una vez 
transcurridos los plazos precedentemente señalados, los datos caducos 
sean eliminados.

En el mismo plazo, los acreedores por obligaciones que fueron registradas 
por impagas incorporadas al registro, archivo o base de datos desde hace 
más de cinco años, podrán solicitar su actualización.

Artículo 25

 Los acreedores por obligaciones incumplidas, que a la fecha de entrada 
en vigencia de esta ley se encuentren canceladas y no lo hayan comunicado 
al responsable de la base de datos, contarán con un plazo de diez días 
hábiles para hacerlo y éste de tres días para hacerlo efectivo.

Artículo 26

 El Poder Ejecutivo deberá reglamentar la presente ley dentro de los 
ciento ochenta días de su promulgación.

Sala de Sesiones de la Cámara de Representantes, en Montevideo, a 8 de 
setiembre de 2004. JOSE AMORIN BATLLE, Presidente; HORACIO D. CATALURDA, 
Secretario.

MINISTERIO DEL INTERIOR
 MINISTERIO DE RELACIONES EXTERIORES
  MINISTERIO DE ECONOMIA Y FINANZAS
   MINISTERIO DE DEFENSA NACIONAL
    MINISTERIO DE EDUCACION Y CULTURA
     MINISTERIO DE TRANSPORTE Y OBRAS PUBLICAS
      MINISTERIO DE INDUSTRIA, ENERGIA Y MINERIA
       MINISTERIO DE TRABAJO Y SEGURIDAD SOCIAL
        MINISTERIO DE SALUD PUBLICA
         MINISTERIO DE GANADERIA, AGRICULTURA Y PESCA
          MINISTERIO DE TURISMO
           MINISTERIO DE VIVIENDA, ORDENAMIENTO
            TERRITORIAL Y MEDIO AMBIENTE
             MINISTERIO DE DEPORTE Y JUVENTUD

                                       Montevideo, 24 de setiembre de 2004
                                                                          
Cúmplase, acúsese recibo, comuníquese, publíquese e insértese en el 
Registro Nacional de Leyes y Decretos.

BATLLE, ALEJO FERNANDEZ, WILLIAM EHLERS, ISAAC ALFIE, YAMANDU FAU, 
LEONARDO GUZMAN, GABRIEL GURMENDEZ, ALEJANDRO FALCO, SANTIAGO PEREZ DEL 
CASTILLO, MILTON PESCE, EDGARDO CARDOZO, JUAN BORDABERRY, SAUL IRURETA.
Ayuda