# Decreto N° 64/020 — Reglamenta los arts. 37 a 40 de la Ley N° 19.670

- **Citación canónica:** Decreto N° 64/020, de 17 de febrero de 2020 (publicado D.O. 21/02/2020).
- **Emisor:** Poder Ejecutivo.
- **Texto oficial (IMPO):** https://www.impo.com.uy/bases/decretos/64-2020
- **Nota URCDP (gub.uy):** https://www.gub.uy/unidad-reguladora-control-datos-personales/comunicacion/noticias/se-promulgo-decreto-64020-reglamentario-nuevas-disposiciones-sobre
- **Fecha de consulta:** 2026-06-23.
- **Texto íntegro local:** colocar `decreto-64-020.oficial.pdf`.

## Índice de artículos relevantes (paráfrasis)

| Art. | Tema | Síntesis (parafraseada) | Confianza |
|---|---|---|---|
| 1-2 | Ámbito territorial | Precisan el alcance del art. 37 de la Ley 19.670 y las obligaciones de responsables/encargados radicados en el exterior (incluido registro de bases y contacto ante la URCDP). | Alta |
| 3 | Concepto de vulneración / incidente | Define el incidente/vulneración de seguridad que incide en datos personales. | Alta |
| 4 | Comunicación de vulneraciones | Iniciar la minimización del impacto dentro de las **24 horas**; comunicar a la URCDP en un plazo máximo de **72 horas** de conocida; comunicar a los titulares con afectación significativa en lenguaje claro; informe pormenorizado final a la URCDP una vez solucionada. | Alta |
| 5 | Responsabilidad proactiva | Adoptar y **documentar** medidas técnicas y organizativas, revisarlas periódicamente y evaluar su efectividad (responsabilidad demostrada). La documentación debe estar disponible para la URCDP. | Alta |
| 6 | Evaluación de impacto (EIPD) | Realizar una evaluación de impacto **previa** al tratamiento cuando: a) se usen datos sensibles como negocio principal; b) tratamiento permanente/estable de datos especialmente protegidos o de infracciones; c) evaluación de aspectos personales para perfiles (rendimiento laboral, situación económica, salud, intereses, comportamiento, solvencia, localización); etc. Si surge riesgo potencial y significativo, comunicarlo a la URCDP. | Alta |
| 7-9 | Seguridad / privacidad por diseño y por defecto | Medidas para integridad, confidencialidad y disponibilidad; valoración de estándares (p. ej. Marco de Ciberseguridad de AGESIC); por defecto solo se tratan los datos necesarios para cada fin. | Alta |
| 10-15 | Delegado de Protección de Datos | Quiénes deben designarlo (art. 40 Ley 19.670), su posición con autonomía técnica, y comunicación a la URCDP de la designación/cese en un plazo de **90 días**. | Alta |

## Datos clave para la skill

- **Plazo de minimización del incidente:** 24 horas. (art. 4 — sources/decreto-64-020.md)
- **Plazo de notificación a la URCDP:** 72 horas. (art. 4 — sources/decreto-64-020.md)
- **Plazo de comunicación de designación del DPO:** 90 días. (art. ~13 — sources/decreto-64-020.md)
- **Estándar de seguridad de referencia:** Marco de Ciberseguridad de AGESIC. (art. 7 — sources/decreto-64-020.md)