§ Normativa · Actualizado 20/10/2026
Protección de datos en Uruguay: Ley 18.331 y Decreto 64/020.
La Ley 18.331 protege los datos personales en el sector público y privado. Con la Ley 19.670 y el Decreto 64/020 se sumaron obligaciones clave: notificar vulneraciones en 72 horas, designar un delegado de protección de datos y evaluar el impacto de ciertos tratamientos.
En 30 segundos
- Norma principal
- Ley 18.331 (2008)
- Cambios clave
- Ley 19.670, arts. 37 a 40 (2018)
- Reglamentación
- Decreto 64/020 (2020)
- Notificar vulneraciones
- 72 horas a la URCDP
- Autoridad
- URCDP (Unidad Reguladora y de Control de Datos Personales)
A quién aplica
A los datos personales registrados en cualquier soporte, tanto en el sector público como en el privado (Ley 18.331, art. 3). Desde la Ley 19.670 también alcanza a responsables sin establecimiento en Uruguay cuando ofrecen bienes o servicios a sus habitantes o analizan su comportamiento (art. 37).
Las bases de datos privadas deben inscribirse en el registro de la URCDP (art. 28).
Qué exige
- Respetar los principios de legalidad, veracidad, finalidad, consentimiento informado, seguridad, reserva y responsabilidad (art. 5).
- Ante una vulneración de seguridad, iniciar medidas para minimizar el impacto dentro de las 24 horas de constatada (Decreto 64/020, art. 3).
- Notificar la vulneración a la URCDP en un plazo máximo de 72 horas desde que se conoce, e informar a los titulares en lenguaje claro cuando afecte significativamente sus derechos (art. 4).
- Designar un delegado de protección de datos si sos entidad pública, privada con participación estatal, tratás datos sensibles como negocio principal o grandes volúmenes (más de 35.000 personas) y comunicarlo a la URCDP dentro de los 90 días (Ley 19.670, art. 40; Decreto 64/020, arts. 10 y 14).
- Hacer una evaluación de impacto antes de tratar datos sensibles como negocio principal, elaborar perfiles o tratar grandes volúmenes de datos, entre otros casos (arts. 6 y 7).
- Aplicar privacidad desde el diseño y por defecto (arts. 8 y 9).
Sanciones
La URCDP puede aplicar observación, apercibimiento, multa de hasta 500.000 unidades indexadas, suspensión de la base de datos por 5 días o pedir judicialmente su clausura, según la gravedad y la reincidencia (Ley 18.331, art. 35).
Si además sos entidad crítica
Los plazos se suman: un incidente que afecte datos personales en una entidad alcanzada por el Decreto 66/025 se reporta al CERTuy en 24 horas y a la URCDP en 72 horas. Son dos obligaciones independientes.
Uruguay cuenta con una decisión de adecuación de la Unión Europea (Decisión 2012/484/UE), ratificada en la revisión de la Comisión Europea de enero de 2024.
⏱ Plazos y frecuencias
| Plazo | Qué | Norma |
|---|---|---|
| 24 horas | Iniciar medidas para minimizar el impacto de una vulneración | Decreto 64/020, art. 3 |
| 72 horas | Notificar la vulneración a la URCDP | Decreto 64/020, art. 4 |
| 90 días | Comunicar la designación del delegado de protección de datos | Decreto 64/020, art. 14 |
→ Cómo te ayudo
- Diagnóstico de cumplimiento: bases, finalidades, consentimientos y medidas de seguridad.
- Procedimiento de gestión y notificación de vulneraciones dentro de las 72 horas.
- Evaluaciones de impacto y privacidad desde el diseño en sistemas nuevos, incluidos los de IA.
- Apoyo al delegado de protección de datos en la parte técnica y de seguridad.
? Preguntas frecuentes
¿En cuánto tiempo hay que notificar una vulneración de datos personales?
A la URCDP en un plazo máximo de 72 horas desde que se conoce (Decreto 64/020, art. 4). Las medidas para minimizar el impacto deben iniciarse dentro de las 24 horas.
¿Mi empresa necesita un delegado de protección de datos?
Sí, si es una entidad pública o privada con participación estatal, si trata datos sensibles como negocio principal o si trata datos de más de 35.000 personas.
¿La ley aplica a empresas extranjeras?
Sí, si ofrecen bienes o servicios a habitantes de Uruguay o analizan su comportamiento, aunque no tengan establecimiento en el país (Ley 19.670, art. 37).
Fuentes oficiales
- Ley 18.331 (IMPO) ↗
- Ley 19.670, arts. 37 a 40 (IMPO) ↗
- Decreto 64/020 (IMPO) ↗
- URCDP: normativa ↗
- Decisión de adecuación de la UE 2012/484/UE ↗
Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso.