# Ley N° 18.331 — Protección de Datos Personales y Acción de "Habeas Data"

- **Citación canónica:** Ley N° 18.331, de 11 de agosto de 2008 (publicada D.O. 18/08/2008, N° 27.549).
- **Emisor:** Poder Legislativo de la República Oriental del Uruguay.
- **Texto oficial (IMPO):** https://www.impo.com.uy/bases/leyes/18331-2008
- **Texto oficial (Parlamento):** https://parlamento.gub.uy/documentosyleyes/leyes/ley/18331
- **Fecha de consulta de esta referencia:** 2026-06-23.
- **Texto íntegro local:** colocar aquí `ley-18331.oficial.pdf` o `.html` descargado del enlace IMPO.

> El texto íntegro NO se transcribe en este archivo (ver `sources/README.md`). Lo que sigue
> es un **índice parafraseado** de los artículos que utiliza la skill, para localizar cada
> cita. Verificar siempre contra el texto oficial descargado.

## Índice de artículos relevantes (paráfrasis, no transcripción)

| Art. | Tema | Síntesis (parafraseada) | Confianza numeración |
|---|---|---|---|
| 1 | Naturaleza del derecho | Reconoce la protección de datos como derecho inherente a la persona (art. 72 Constitución). | Alta |
| 4 | Definiciones | Define *dato personal*, *dato sensible*, *consentimiento*, *responsable*, *encargado del tratamiento*, *destinatario*, *disociación*, *titular*. | Alta |
| 5 | Principios generales | Enumera principios: legalidad, veracidad, finalidad, previo consentimiento informado, seguridad, reserva, responsabilidad. | Alta |
| 6 | Principio de legalidad | Las bases de datos son lícitas si están inscriptas y respetan los principios y reglamentación. | Alta |
| 7 | Principio de veracidad | Datos veraces, adecuados, ecuánimes y **no excesivos** respecto del fin (base de minimización/proporcionalidad). | Alta |
| 8 | Principio de finalidad | Los datos se usan solo para el fin para el que se recolectaron. | Media — `[verificar numeración exacta contra fuente oficial]` |
| 9 | Previo consentimiento informado | El tratamiento es lícito con consentimiento libre, previo, expreso e informado, documentado; enumera excepciones (fuentes públicas, funciones del Estado u obligación legal, listados acotados, relación contractual/profesional/científica). | Alta |
| 13 | Deber de información al recabar | Al recabar datos debe informarse: finalidad y destinatarios, existencia y responsable de la base, carácter obligatorio/facultativo, consecuencias, derechos del titular y existencia de transferencias internacionales. | Media — algunas ediciones lo numeran como art. 12. `[verificar numeración exacta contra fuente oficial]` |
| 14 | Derecho de acceso | El titular puede obtener la información que sobre sí mismo exista; gratuito cada 6 meses; respuesta en 5 días hábiles. | Media — algunas ediciones art. 13. `[verificar numeración exacta]` |
| 15 | Rectificación, actualización, inclusión, supresión | El titular puede pedir corregir/actualizar/suprimir datos; plazo 5 días hábiles. | Media — algunas ediciones art. 14. `[verificar numeración exacta]` |
| 16 | Comunicación / cesión de datos | Solo para fines del interés legítimo de emisor y destinatario y con previo consentimiento (revocable), salvo excepciones. | Media — `[verificar numeración exacta]` |
| 18 | Datos sensibles | Nadie puede ser obligado a darlos; solo se tratan con consentimiento **expreso y escrito**, con excepciones legales. | Alta |
| 19 | Datos relativos a la salud | Establecimientos y profesionales de la salud pueden tratar datos de salud de sus pacientes, bajo secreto profesional. | Alta |
| 23 | Transferencias internacionales | Se **prohíbe** transferir datos a países/organismos sin nivel de protección adecuado, salvo excepciones tasadas (consentimiento inequívoco, ejecución de contrato, cooperación judicial, datos médicos, transferencias bancarias/bursátiles, tratados, etc.) o autorización de la URCDP. | Alta |
| 29 | Servicios de tratamiento por cuenta de terceros | El prestador no puede usar los datos para fin distinto al del contrato, ni cederlos; debe destruirlos al terminar (con excepción acotada de conservación). | Media — algunas ediciones art. 30. `[verificar numeración exacta]` |
| 35 | Potestades sancionatorias | La autoridad de control puede aplicar: apercibimiento/observación, multa, suspensión y clausura de la base de datos. | Alta |

> Nota: la **autoridad de control** es la Unidad Reguladora y de Control de Datos Personales
> (**URCDP**), órgano desconcentrado de AGESIC.