# Mapa de artículos — Protección de datos (VERIFICADO contra el texto oficial)

> Verificado el **2026-06-23** contra `sources/ley-18331.txt` y `sources/decreto-64-020.txt` (extraídos del
> texto consolidado de IMPO). Las referencias `L###` son la línea en ese `.txt`. El régimen es
> **Ley 18.331 (2008) + Decreto 414/009 + Ley 19.670 arts. 37–40 (2018) + Decreto 64/020 (2020)**.

## Ley N° 18.331 (`sources/ley-18331.txt`)

| Tema | Artículo (verificado) | Qué dice (resumen) | Línea |
|---|---|---|---|
| Derecho humano | **Art. 1** | la protección de datos es inherente a la persona (art. 72 Constitución) | L~40 |
| Ámbito subjetivo | Art. 2 | se extiende a personas jurídicas en lo que corresponda | L~48 |
| Ámbito objetivo + exclusiones | Art. 3 | aplica a datos en cualquier soporte; excluye uso doméstico, seguridad del Estado, etc. | L~50 |
| **Definiciones** | **Art. 4** | dato personal, **dato sensible (lit. E)**, base de datos, responsable, encargado, titular, tratamiento | **L54** |
| Principios (enumeración) | Art. 5 | legalidad, veracidad, finalidad, previo consentimiento informado, seguridad, reserva, responsabilidad | — |
| **Previo consentimiento informado** | **Art. 9** | consentimiento **"libre, previo, expreso e informado", que deberá documentarse**; excepciones tasadas | **L165, L167** |
| Seguridad de los datos | **Art. 10** | medidas técnicas/organizativas; evitar adulteración, pérdida, acceso no autorizado | L216 |
| Reserva (secreto) | Art. 11 | obligación de secreto profesional; subsiste tras finalizar la relación | L230 |
| Responsabilidad | Art. 12 | **nueva redacción dada por art. 39 de la Ley 19.670** (responsabilidad proactiva) | — |
| **Deber de información (al recabar)** | **Art. 13** | finalidad y destinatarios, existencia/identidad y domicilio del responsable, carácter obligatorio/facultativo, consecuencias, derechos (arts. 14-16), **transferencias internacionales**, criterios de decisiones automatizadas | **L267** |
| **Derecho de acceso** | **Art. 14** | gratuito a intervalos de **seis meses** (salvo nuevo interés legítimo) | **L307** |
| **Rectificación, actualización, inclusión o supresión** | **Art. 15** | el responsable debe resolver en **cinco días hábiles** o explicar; notificar a destinatarios | **L333** |
| Valoraciones / decisiones automatizadas | Art. 16 | derecho a impugnar valoraciones basadas solo en tratamiento automatizado | L~360 |
| **Datos sensibles** | **Art. 18** | nadie obligado a darlos; recolección **prohibida salvo consentimiento expreso y escrito** o interés general autorizado | **L415** |
| **Transferencia internacional** | **Art. 23** | **prohibida** hacia países/organismos **sin nivel adecuado de protección**; excepciones tasadas | **L513** |
| **Inscripción registral** | **Art. 29** | **toda base de datos pública o privada debe inscribirse** en el Registro de la URCDP | **L619** |
| Órgano de control (URCDP) | Art. 31 | crea la URCDP como **órgano desconcentrado de AGESIC**, autonomía técnica | L662 |
| Cometidos de la URCDP | Art. 34 | dictar normas, llevar el registro, controlar, requerir info, expedirse sobre sanciones | L706 |
| **Sanciones** | **Art. 35** | (1) observación · (2) apercibimiento · (3) **multa de hasta 500.000 UI** · (4) suspensión de la base **5 días** · (5) **clausura** | **L781–L793** |
| Acción de Habeas Data | Arts. 37–45 | acción judicial para acceso/rectificación/supresión | L~830+ |

## Decreto N° 64/020 (`sources/decreto-64-020.txt`) — el "régimen moderno"

| Tema | Artículo (verificado) | Qué dice (resumen) | Línea |
|---|---|---|---|
| Ámbito territorial | Art. 1 | establecido en Uruguay = actividad estable, cualquiera sea su forma jurídica | L45 |
| Medidas de seguridad | Art. 3 | técnicas/organizativas; referencia al **Marco de Ciberseguridad de AGESIC** | L57 |
| **Comunicación de vulneraciones (brechas)** | **Art. 4** | comunicar a la **URCDP en un plazo máximo de 72 horas** de conocida la vulneración; a los titulares si hay afectación significativa, en lenguaje claro | **L62** |
| **Responsabilidad proactiva (accountability)** | **Art. 5** | medidas documentadas, revisadas y a disposición de la URCDP, según naturaleza/riesgo | **L69** |
| **Evaluación de impacto (DPIA)** | **Art. 6** | **previa al tratamiento**, obligatoria si: datos sensibles como negocio principal, datos especialmente protegidos, **perfiles**, **grupos vulnerables (menores)**, **grandes volúmenes**, transferencia a país sin protección adecuada, u otros que fije la URCDP | **L74** |
| Contenido de la DPIA | Art. 7 | descripción, necesidad/proporcionalidad, riesgos, medidas | L83 |
| **Privacidad por diseño** | **Art. 8** | disociación/seudonimización/minimización, mecanismos para ejercer derechos, desde el diseño | **L91** |
| **Privacidad por defecto** | **Art. 9** | por defecto, solo los datos necesarios para cada fin | **L99** |
| **Delegado de Protección de Datos (DPO)** | **Art. 10** | obligatorio para: a) entidades públicas; b) privadas que tratan **datos sensibles como negocio principal**; c) privadas con **grandes volúmenes = +35.000 personas** | **L101–L105** |
| Funciones del DPO | Art. 11 | asesorar, supervisar cumplimiento, nexo con la URCDP | L107 |
| **Plazo de designación del DPO** | **Art. 14** | comunicar la designación a la URCDP en un plazo de **90 días** desde el inicio del tratamiento | **L118** |

## Ley N° 19.670 (`sources/ley-19670.txt`) — arts. 37–40
| Art. | Materia |
|---|---|
| **37** | Ámbito territorial de aplicación (establecido en territorio uruguayo donde ejerce su actividad) |
| **38** | Comunicación de vulneraciones: informar **inmediata y pormenorizadamente** a titulares y URCDP; la URCDP coordina el curso de acción con el **CERTuy** |
| **39** | **Da nueva redacción al art. 12 de la Ley 18.331** (responsabilidad proactiva) — confirmado en nota oficial de IMPO |
| **40** | Delegado de Protección de Datos: categorías obligadas + funciones (asesorar, supervisar, proponer medidas, nexo con la URCDP; autonomía técnica) |

## Notas / correcciones frente a errores frecuentes
- **Las multas son en UI (Unidades Indexadas), hasta 500.000 UI** — NO en UR ni en UTM. (Art. 35, verificado.)
- Hay **5 sanciones**: observación, apercibimiento, multa, **suspensión 5 días** y **clausura**.
- **Los derechos del titular en Uruguay son acceso (Art. 14) y rectificación/actualización/inclusión/supresión
  (Art. 15)** — la ley **no** consagra "portabilidad", "oposición" ni "bloqueo" al estilo RGPD. No inventarlos.
- **El plazo de brecha (72 h) sí está fijado** (Decreto 64/020 art. 4), a diferencia de otros países.
- **La DPIA está en el Decreto 64/020 (art. 6)**, no en la Ley 19.670.
- **Obligación uruguaya específica: inscribir las bases de datos en la URCDP** (Art. 29) — no existe en Chile.

> **Resuelto (2026-06-23):** el plazo de **90 días** para comunicar la designación del DPO está en el
> **Decreto 64/020 art. 14** (confirmado). El art. 39 de la Ley 19.670 da nueva redacción al art. 12 de la
> 18.331 (confirmado por nota oficial de IMPO; el texto vigente del art. 12 se lee en `sources/ley-18331.txt`).
> Pendiente menor: plazo de adecuación del art. 7 del Decreto 64/020 para tratamientos preexistentes.