ÚLTIMAS DISPOSICIONES EMITIDAS POR LA DIRECCIÓN NACIONAL DE PROTECCIÓN DE DATOS PERSONALES
1.- Cambios en el Procedimiento de Inspección
Por Disposición 55 - E/2016 de fecha 25 de octubre de 2016, se aprueba el "Procedimiento de Inspección y control de la Dirección Nacional de Protección de Datos Personales", derogando aquel aprobado por Disposición DNPDP N° 3/12.
El texto del Procedimiento prevé los objetivos que tendrán las inspecciones y en este sentido indica: a) Fiscalizar y controlar las actividades del responsable del tratamiento de datos, los datos personales que
administra, y los medios y la forma en que lo hace; b) Evaluar el grado de cumplimiento conforme lo dispuesto por la normativa aplicable en el marco de la competencia de la Dirección Nacional de Protección de Datos Personales (DNPDP), con el objeto de: I) detectar incumplimientos a la normativa vigente; y II) realizar los requerimientos necesarios para adecuar el tratamiento de datos a la normativa vigente.
Este procedimiento se establece en base a la competencia que posee la DNPDP, la que incluye: dictar las normas y reglamentaciones que se deben observar en el desarrollo de sus actividades; solicitar la información pertinente a las entidades públicas y privadas, en orden a proporcionar los antecedentes, documentos, programas u otros elementos relativos al tratamiento de los datos que se le requieran; y controlar la observancia de las normas sobre integridad y seguridad de datos por parte de los archivos, registros o bancos de datos.
El alcance de la inspección comprende, al menos, aspectos involucrados directamente con los principios y derechos contemplados en la normativa: a) Licitud de las bases de datos, b) Calidad de los datos tratados, c) Consentimiento del titular del dato e información, d) Cumpliento de los principios de categrías de datos, seguridad y confidencialidad, e) Requisitos de la cesión de datos y transferencia internacional de datos, f) Ejercicio de los derechos de los titulares del dato, g) Prestación de servicios de información crediticia y, h) Tratamiento de datos con fines de publicidad.
Entre los tipos de inspección, se prevé la inspección de oficio, iniciada por la DNPDP en ejercicio de sus facultades de fiscalización, las que pueden ser planificadas o espontáneas; o por denuncia, aquellas que se inician en el marco de una investigación que se sustancia a raíz de una denuncia interpuesta ante la DNPDP. La inspección en este caso tiene el carácter de medida probatoria del sumario administrativo.
En cuanto al procedimiento de inspección, se notificará la apertura del procedimiento y se requerirá completar y remitir en un plazo de QUINCE (15) días hábiles administrativos el formulario de inspección, debiendo el inspeccionado adjuntar la documentación respaldatoria de sus respuestas. En los casos en los que se considere que la notificación previa pueda afectar el resultado de la inspección, aquella podrá omitirse mediante acto fundado. En estos casos se procederá directamente a llevar a cabo la visita presencial de los inspectores.
Respecto a la visita presencial, la fecha, hora y lugar de tal visita se notificará con una antelación no menor a diez (10) días hábiles administrativos. En la notificación podrán incluirse los requerimientos que a criterio del inspector resulten necesarios, y que podrán cumplirse por el inspeccionado hasta la fecha de la visita presencial.
2.- Modificaciones a los formularios de inscripción ante el Registro Nacional de Bases de Datos
Mediante el Decreto N° 561 del 6 de abril de 2016, se aprobó la implementación del sistema de Gestión Documental Electrónica -GDE- como sistema integrado de caratulación, numeración, seguimiento y registración de movimientos de todas las actuaciones y expedientes del Sector Público Nacional, por lo que la DNPDP consideró necesario reemplazar el sistema informático del Registro Nacional de Bases de Datos (RNBD) por uno que se incorpore al sistema GDE.
En base a las circunstancias descritas, la DNPDP estimó oportuno adecuar los formularios de inscripción del citado RNBD, unificando los mismos a fin de facilitar los trámites a los responsables de tratamientos de datos personales obligados. Los formularios de inscripción utilizados hasta la fecha resultaron aprobados en el año 2005.
Por los motivos expresados, por Disposición 56 - E/2016 del 25 de octubre de 2016, la DNPDP aprueba los nuevos formularios de inscripción, estableciendo que la implementación de tales formularios será dispuesta al momento de implementar el sistema GDE, mientras tanto seguirán vigentes los formularios, instructivos y procedimientos aprobados en 2005.
Para concluir, se recuerda que la importancia de la inscripción deriva de lo previsto en la Ley de Protección de Datos Personales, la que establece una obligación de registrar por parte del responsable de la base de datos, lo que implica que aquellos archivos que no se encuentren registrados ante el RNBD sean considerados ilícitos.
3.- Transferencia Internacional de datos personales
De acuerdo con el artículo 12 del Anexo I al Decreto N° 1558/01, la DNPDP está facultada para "evaluar, de oficio o a pedido de parte interesada, el nivel de protección proporcionado por las normas de un Estado u organismo internacional".
La Ley de Protección de Datos Personales (LPS - Ley 25.326) sostiene "que un Estado u organismo internacional proporciona un nivel adecuado de protección cuando dicha tutela se deriva directamente del ordenamiento jurídico vigente, o de sistemas de autorregulación, o del amparo que establezcan las cláusulas contractuales que prevean la protección de datos personales". En efecto, nuestra legislación admite como garantías adecuadas a los fines de la transferencia internacional de datos personales la existencia de autorregulación o cláusulas contractuales que brinden una protección similar a la de nuestra normativa.
Hasta la fecha, se han estado llevando a cabo transferencias con otros países, quienes al no contar con una legislación similar a la contemplada a nivel nacional, no estarían en condiciones de ser receptores de bases de datos creadas a nivel local, lo que llevaría a estar infringiendo la ley en el artículo objeto de análisis. A ello, se suma el establecimiento de nuevos modelos tecnológicos basados en la nube "Cloud Computing" en los que los datos se guardan en servidores que en ciertas ocasiones resultan de difícil localización.
Por los motivos expuestos en los párrafos previos, la DNPDP emite la Disposición 60 - E/2016 de fecha 16 de noviembre de 2016 por medio de la que se aprueba un modelo de contrato de transferencia internacional, tanto para los casos de cesión como para los de prestación de servicios, el que deberá ser adoptado por quienes deban realizar transferencias internacionales de datos. Ello, a efectos de garantizar los derechos del titular del dato.
A su vez, en la Disposición citada se prevé que los casos en que el responsable del tratamiento decida apartarse del modelo que se propone, se exige la presentación del contrato de transferencia internacional ante la DNPDP para su aprobación. En este último caso, se deberá solicitar la aprobación por medio de la presentación ante la DNPDP, a más tardar, dentro de los TREINTA (30) días corridos de su firma.
A los efectos de la confección de un modelo de contrato, la DNPDP recogió la experiencia internacional, en particular documentos emitidos por entidades de la Unión Europea. En términos generales, el texto del contrato prevé el cumplimiento con los principios, derechos y obligaciones previstos en la LPS y normas complementarias.
Por su parte, la Disposición determina aquellos países que a criterio de la DNPDP poseen legislación adecuada. Dichos países son: Estados miembros de la Unión Europea y miembros del espacio económico europeo (EEE), Confederación Suiza, Guernsey, Jersey, Isla de Man, Islas Feroe, Canadá sólo respecto de su sector privado, Principado de Andorra, Nueva Zelanda, República Oriental del Uruguay y Estado de Israel sólo respecto de los datos que reciban un tratamiento automatizado. En cuanto a la enumeración, se establece que la misma será revisada periódicamente por la DNPDP, publicando la nómina y sus actualizaciones en su sitio oficial en Internet.
