# Protección de datos en Uruguay: Ley 18.331 y Decreto 64/020.

> Versión en texto para lectura automática (LLMs). Página original: https://damian.dearce.com.uy/es/normativa/proteccion-de-datos-ley-18331/

La Ley 18.331 protege los datos personales en el sector público y privado. Con la Ley 19.670 y el Decreto 64/020 se sumaron obligaciones clave: notificar vulneraciones en 72 horas, designar un delegado de protección de datos y evaluar el impacto de ciertos tratamientos.

_Actualizado: 2026-10-20_

## En 30 segundos

- **Norma principal:** Ley 18.331 (2008)
- **Cambios clave:** Ley 19.670, arts. 37 a 40 (2018)
- **Reglamentación:** Decreto 64/020 (2020)
- **Notificar vulneraciones:** 72 horas a la URCDP
- **Autoridad:** URCDP (Unidad Reguladora y de Control de Datos Personales)

## A quién aplica

A los datos personales registrados en cualquier soporte, tanto en el sector público como en el privado (Ley 18.331, art. 3). Desde la Ley 19.670 también alcanza a responsables sin establecimiento en Uruguay cuando ofrecen bienes o servicios a sus habitantes o analizan su comportamiento (art. 37).

Las bases de datos privadas deben inscribirse en el registro de la URCDP (art. 28).


## Qué exige

- Respetar los principios de legalidad, veracidad, finalidad, consentimiento informado, seguridad, reserva y responsabilidad (art. 5).
- Ante una vulneración de seguridad, iniciar medidas para minimizar el impacto dentro de las 24 horas de constatada (Decreto 64/020, art. 3).
- Notificar la vulneración a la URCDP en un plazo máximo de 72 horas desde que se conoce, e informar a los titulares en lenguaje claro cuando afecte significativamente sus derechos (art. 4).
- Designar un delegado de protección de datos si sos entidad pública, privada con participación estatal, tratás datos sensibles como negocio principal o grandes volúmenes (más de 35.000 personas) y comunicarlo a la URCDP dentro de los 90 días (Ley 19.670, art. 40; Decreto 64/020, arts. 10 y 14).
- Hacer una evaluación de impacto antes de tratar datos sensibles como negocio principal, elaborar perfiles o tratar grandes volúmenes de datos, entre otros casos (arts. 6 y 7).
- Aplicar privacidad desde el diseño y por defecto (arts. 8 y 9).


## Sanciones

La URCDP puede aplicar observación, apercibimiento, multa de hasta 500.000 unidades indexadas, suspensión de la base de datos por 5 días o pedir judicialmente su clausura, según la gravedad y la reincidencia (Ley 18.331, art. 35).


## Si además sos entidad crítica

Los plazos se suman: un incidente que afecte datos personales en una entidad alcanzada por el Decreto 66/025 se reporta al CERTuy en 24 horas y a la URCDP en 72 horas. Son dos obligaciones independientes.

Uruguay cuenta con una decisión de adecuación de la Unión Europea (Decisión 2012/484/UE), ratificada en la revisión de la Comisión Europea de enero de 2024.

## Plazos y frecuencias

| Plazo | Qué | Norma |
|---|---|---|
| 24 horas | Iniciar medidas para minimizar el impacto de una vulneración | Decreto 64/020, art. 3 |
| 72 horas | Notificar la vulneración a la URCDP | Decreto 64/020, art. 4 |
| 90 días | Comunicar la designación del delegado de protección de datos | Decreto 64/020, art. 14 |

## Cómo te ayudo

- Diagnóstico de cumplimiento: bases, finalidades, consentimientos y medidas de seguridad.
- Procedimiento de gestión y notificación de vulneraciones dentro de las 72 horas.
- Evaluaciones de impacto y privacidad desde el diseño en sistemas nuevos, incluidos los de IA.
- Apoyo al delegado de protección de datos en la parte técnica y de seguridad.

## Preguntas frecuentes

### ¿En cuánto tiempo hay que notificar una vulneración de datos personales?

A la URCDP en un plazo máximo de 72 horas desde que se conoce (Decreto 64/020, art. 4). Las medidas para minimizar el impacto deben iniciarse dentro de las 24 horas.

### ¿Mi empresa necesita un delegado de protección de datos?

Sí, si es una entidad pública o privada con participación estatal, si trata datos sensibles como negocio principal o si trata datos de más de 35.000 personas.

### ¿La ley aplica a empresas extranjeras?

Sí, si ofrecen bienes o servicios a habitantes de Uruguay o analizan su comportamiento, aunque no tengan establecimiento en el país (Ley 19.670, art. 37).

## Fuentes oficiales

- [Ley 18.331 (IMPO)](https://www.impo.com.uy/bases/leyes/18331-2008)
- [Ley 19.670, arts. 37 a 40 (IMPO)](https://www.impo.com.uy/bases/leyes/19670-2018)
- [Decreto 64/020 (IMPO)](https://www.impo.com.uy/bases/decretos/64-2020)
- [URCDP: normativa](https://www.gub.uy/unidad-reguladora-control-datos-personales/institucional/normativa)
- [Decisión de adecuación de la UE 2012/484/UE](https://eur-lex.europa.eu/eli/dec_impl/2012/484)

_Información general, verificada en las fuentes oficiales a la fecha indicada. No reemplaza el asesoramiento legal para tu caso._

## Contacto

- WhatsApp: +598 99 231 327 (https://wa.me/59899231327)
- Email: damian.de.arce@gmail.com
- LinkedIn: https://www.linkedin.com/in/damiandearce/