Protección de Datos Personales en Uruguay: Ley 18331 y URCDP
Uruguay fue el primer país de América Latina en ser reconocido por la Unión Europea como país con nivel adecuado de protección de datos personales. La Ley 18331 de 2008 y el Decreto 414/009 regulan el tratamiento de datos personales y crean la URCDP como autoridad de control.
Principios de la Ley 18331
La Ley 18331 establece principios fundamentales para el tratamiento de datos personales en Uruguay: el principio de licitud (los datos solo pueden recopilarse y tratarse con consentimiento del titular o base legal habilitante), el principio de finalidad (los datos se recolectan para fines específicos y no pueden usarse para propósitos incompatibles), el principio de proporcionalidad (solo se deben recopilar los datos necesarios para la finalidad declarada), el principio de veracidad (los datos deben ser exactos y actualizados), el principio de seguridad (se deben implementar medidas técnicas y organizativas para proteger los datos), y el principio de reserva (los encargados del tratamiento deben mantener confidencialidad).
Derechos del titular de datos
La Ley 18331 otorga a los titulares de datos personales los derechos de: acceso (saber qué datos tiene la empresa sobre ellos y para qué los usa), rectificación (corregir datos incorrectos o desactualizados), cancelación (solicitar la eliminación de datos cuando ya no sean necesarios o cuando se retire el consentimiento), oposición (rechazar el tratamiento para fines específicos como el marketing directo), y portabilidad (recibir sus datos en formato electrónico). Estos derechos se ejercen directamente ante el responsable del tratamiento; si este no responde en el plazo legal, el titular puede reclamar ante la URCDP o ejercer el habeas data ante la justicia.
Obligaciones de las empresas y registro en URCDP
Las empresas y personas que traten datos personales en Uruguay deben: informar al titular sobre el tratamiento en el momento de la recolección (finalidad, responsable, derechos), obtener consentimiento cuando sea requerido, registrar las bases de datos en la URCDP (Unidad Reguladora y de Control de Datos Personales) si el tratamiento supera el uso personal o doméstico, implementar medidas de seguridad adecuadas al tipo de datos y riesgo, nombrar un oficial de protección de datos para ciertos tipos de tratamientos de alto riesgo, y notificar a la URCDP y a los afectados en caso de brecha de seguridad que comprometa datos personales.
Transferencia internacional y sanciones
Uruguay tiene reconocimiento de adecuación de la Unión Europea, lo que facilita las transferencias de datos entre Uruguay y la UE sin requerir salvaguardas adicionales. Para transferencias a países sin nivel adecuado de protección, la empresa debe implementar garantías como cláusulas contractuales tipo aprobadas por la URCDP. Las sanciones por incumplimiento de la Ley 18331 van desde apercibimientos hasta multas de hasta 350.000 UI (Unidades Indexadas), según la gravedad de la infracción. La URCDP también puede ordenar el bloqueo o cancelación de bases de datos ilegales y la cesación de tratamientos ilegítimos.
Cómo te ayuda OficioIA
OficioIA te orienta sobre cómo cumplir con la Ley 18331 en Uruguay: qué bases de datos debes registrar en la URCDP, cómo redactar una política de privacidad adecuada, cómo responder a las solicitudes de derechos de titulares y qué medidas de seguridad implementar.
Consultar datos personales Uruguay con IAPreguntas frecuentes
¿Todas las empresas en Uruguay deben registrar sus bases de datos en la URCDP?
No todas. El registro en la URCDP aplica cuando la base de datos excede el uso personal o doméstico, es decir, cuando se tratan datos de terceros con fines comerciales, laborales, asociativos u otros. Una empresa que tiene una base de clientes, empleados o proveedores debe registrarla en la URCDP. El registro se realiza en línea en el portal de la URCDP y es gratuito. Una empresa pequeña que solo tiene la agenda de contactos personales en su teléfono no necesita registro, pero cualquier base de datos estructurada con fines comerciales sí.
¿Las cookies de mi sitio web generan obligaciones bajo la Ley 18331?
Sí. Si el sitio web uruguayo utiliza cookies que identifican o permiten identificar a los usuarios (cookies de seguimiento, analítica, publicidad), estas constituyen tratamiento de datos personales sujeto a la Ley 18331. Debe informarse al usuario sobre el uso de cookies en el momento de la visita (banner de consentimiento), obtener su consentimiento para cookies no esenciales, y ofrecer la opción de rechazarlas. Uruguay sigue en este punto principios similares al GDPR europeo, dado su reconocimiento de adecuación por la UE.
¿Qué es el habeas data y cuándo se puede ejercer en Uruguay?
El habeas data es una acción judicial constitucional en Uruguay que permite a cualquier persona acceder a la información que sobre ella existe en bases de datos públicas o privadas, y exigir su rectificación, actualización o supresión cuando corresponda. Se ejerce ante los Juzgados Letrados de Primera Instancia en lo Civil mediante un proceso ágil y expeditivo. Procede cuando el responsable de la base de datos no responde o rechaza injustificadamente una solicitud de acceso, rectificación o cancelación en el plazo de 5 días hábiles previsto en la Ley 18331.
Agente Legal y Contractual
¿Necesitás aplicar esto en tu trabajo?
El Agente Legal y Contractual de OficioIA te guía paso a paso con normativa actualizada de tu país, documentos a medida y respuestas en segundos.
Consultar datos personales Uruguay con IA →14 días gratis · Sin tarjeta de crédito