# Ley N° 19.670, artículos 37 a 40 (modificaciones al régimen de datos personales)

- **Citación canónica:** Ley N° 19.670, de 15 de octubre de 2018 (Rendición de Cuentas),
  artículos 37 a 40.
- **Emisor:** Poder Legislativo.
- **Texto oficial (IMPO):** https://www.impo.com.uy/bases/leyes/19670-2018
- **Texto oficial (Parlamento):** https://parlamento.gub.uy/documentosyleyes/leyes/ley/19670
- **Fecha de consulta:** 2026-06-23.
- **Texto íntegro local:** colocar `ley-19670.oficial.pdf` (al menos arts. 37-40).

## Índice de artículos relevantes (paráfrasis)

| Art. | Tema | Síntesis (parafraseada) | Confianza |
|---|---|---|---|
| 37 | Ámbito territorial / extraterritorialidad | La normativa aplica también a responsables/encargados del exterior cuando ofrecen bienes o servicios a habitantes del país, analizan su comportamiento, o cuando lo disponen normas internacionales o un contrato. | Alta |
| 38 | Vulneraciones de seguridad | Obligación de notificar las vulneraciones de seguridad que incidan en datos personales a la autoridad de control y, en su caso, a los titulares afectados. | Alta |
| 39 | Nueva redacción del art. 12 de la Ley 18.331 | Da nueva redacción al deber de **seguridad** y consagra la **responsabilidad proactiva** (accountability), privacidad desde el diseño y por defecto. | Alta |
| 40 | Delegado de Protección de Datos | Obliga a designar un Delegado de Protección de Datos (DPO) a determinadas entidades. | Alta |

## Quiénes deben designar Delegado de Protección de Datos (art. 40)

- Entidades públicas, estatales o no estatales, y privadas total o parcialmente de propiedad estatal.
- Entidades privadas que traten **datos sensibles como negocio principal**.
- Entidades privadas que realicen **tratamiento de grandes volúmenes** de datos personales.

> El umbral de "grandes volúmenes" suele referirse a más de 35.000 titulares según
> interpretación difundida; confirmar el criterio vigente de la URCDP.
> `[verificar contra fuente oficial]`