Durante años, la seguridad informática se vivió como un asunto exclusivamente técnico: algo de lo que se ocupaba "la persona de sistemas". Esa época terminó. Hoy, en Uruguay, proteger la información y los datos personales es una obligación legal que alcanza tanto a grandes empresas como a comercios, estudios profesionales, academias y emprendimientos que manejan datos de clientes. Si tu negocio guarda nombres, correos, teléfonos, cédulas, datos de tarjetas o cualquier información de personas, esta nota es para vos.
Te explicamos, en lenguaje claro, cómo es el marco normativo uruguayo, qué papel central cumple la Ley 18.331 de Protección de Datos Personales y qué consecuencias reales trae el incumplimiento.
Uruguay: uno de los marcos más avanzados de la región
Puede sorprender, pero Uruguay tiene uno de los marcos regulatorios más desarrollados de América Latina en materia de datos y ciberseguridad. Es, de hecho, uno de los pocos países fuera de Europa reconocidos por la Unión Europea como territorio con un nivel "adecuado" de protección de datos.
En los últimos años, la tendencia normativa dio un giro importante: pasó de un enfoque puramente tecnológico a uno de gobernanza y responsabilidad institucional. En otras palabras, la seguridad de la información dejó de ser solo una cuestión de firewalls y antivirus para convertirse en una responsabilidad de gestión que involucra a la dirección de cada organización.
El marco uruguayo se apoya en varias piezas que conviene conocer:
- La Constitución de la República, que reconoce el derecho a la intimidad y la protección de la información personal como un derecho humano (a través de su artículo 72).
- La Ley 18.331, norma central del sistema, sobre la que volveremos en detalle.
- La Ley 20.212 y el Decreto 66/025, que fortalecen las exigencias de ciberseguridad para el Estado y para las empresas privadas vinculadas a sectores críticos.
- El Marco de Ciberseguridad de AGESIC, un estándar de buenas prácticas construido sobre referencias internacionales.
A esto se suman los organismos que controlan y fiscalizan: la URCDP (Unidad Reguladora y de Control de Datos Personales), que vela por el cumplimiento en materia de datos; AGESIC, autoridad rectora en gobierno digital y ciberseguridad; y el CERTuy, encargado de coordinar la respuesta nacional ante incidentes.
La Ley 18.331, en el centro de todo
La Ley 18.331 - Protección de Datos Personales y Acción de Habeas Data es la columna vertebral del sistema. Se aplica a prácticamente cualquier organización, pública o privada, que trate datos personales en territorio uruguayo. Y "tratar datos" abarca casi todo: recolectarlos, almacenarlos, usarlos, compartirlos o eliminarlos. Un dato que muchas PyMEs desconocen: una simple lista de suscriptores a un newsletter ya constituye una base de datos personales y, como tal, está sujeta a la ley.
¿Qué obligaciones impone? En términos sencillos, la ley exige:
- Licitud y finalidad: los datos solo pueden recolectarse con un propósito legítimo y claramente informado.
- Consentimiento: en la mayoría de los casos, la persona debe autorizar el uso de sus datos.
- Deber de información: hay que decirle a la persona qué datos se recogen, para qué y cómo puede ejercer sus derechos.
- Seguridad y confidencialidad: se deben adoptar medidas adecuadas para prevenir la pérdida, alteración, acceso no autorizado o divulgación indebida de la información.
- Registro de bases de datos ante la URCDP.
- Respeto de los derechos ARCO: Acceso, Rectificación, Cancelación y Oposición, es decir, el derecho de cada persona a saber qué datos suyos tenés, corregirlos, pedir que los elimines u oponerse a ciertos usos.
Una reforma posterior (la Ley 19.670) sumó exigencias alineadas con los estándares europeos, como la obligación de notificar las vulneraciones de seguridad (las famosas "brechas" o filtraciones de datos) y la figura del Delegado de Protección de Datos para determinadas organizaciones.
Qué pasa si no se cumple: el régimen sancionatorio
Acá está el punto que más preocupa -y con razón- a quienes dirigen una organización. El incumplimiento de la Ley 18.331 puede derivar en sanciones concretas. Su artículo 35 establece una escala de medidas que la URCDP puede aplicar según la gravedad y la reiteración de la falta:
| Sanción | Alcance |
|---|---|
| Observación | Falta leve |
| Apercibimiento | Falta leve o media |
| Multa | Hasta 500.000 UI |
| Suspensión | Hasta 5 días (de la base de datos) |
| Clausura | De la base de datos (con control judicial previo) |
Para dimensionar la multa máxima: 500.000 Unidades Indexadas (varios millones de pesos uruguayos, según la cotización vigente de la UI al momento de la sanción). No es una cifra menor para ninguna empresa, y muchísimo menos para una PyME.
La URCDP no aplica sanciones de forma automática ni arbitraria: existe un procedimiento con vista al responsable, donde este puede presentar sus descargos antes de que se resuelva. La gravedad de la sanción se gradúa según el caso.
Pero las multas no son el único riesgo
Un aspecto que suele pasarse por alto es que un mismo incidente de seguridad puede desencadenar varios tipos de responsabilidad al mismo tiempo:
- Responsabilidad administrativa: las sanciones de la URCDP que ya vimos.
- Responsabilidad civil: si la filtración o el mal manejo de datos causa un daño patrimonial o moral a las personas afectadas, estas pueden reclamar una indemnización.
- Responsabilidad contractual: incumplir cláusulas de confidencialidad o de seguridad pactadas con clientes o proveedores.
- Responsabilidad penal: en ciertos casos -acceso ilícito, fraude informático, revelación indebida de secretos- pueden configurarse delitos.
A todo esto se suma algo que ninguna tabla refleja: el daño reputacional. La pérdida de confianza de clientes y socios tras una filtración suele ser más costosa, y más difícil de reparar, que cualquier multa.
No es solo la Ley 18.331: el Decreto 66/025 subió la vara
Si bien esta nota se centra en la protección de datos, vale conocer el contexto más amplio. En febrero de 2025 entró en vigor el Decreto 66/025, que marcó un antes y un después en la ciberseguridad uruguaya.
Este decreto vuelve obligatoria la adopción del Marco de Ciberseguridad de AGESIC para todos los organismos públicos y para las empresas privadas vinculadas a sectores críticos: financiero, energía, telecomunicaciones, agua, salud, agroindustria y defensa, entre otros. También alcanza a los proveedores que prestan servicios críticos al Estado.
Entre las nuevas exigencias figuran adoptar el Marco de Ciberseguridad y alcanzar un nivel mínimo de madurez, designar un responsable de seguridad, realizar auditorías periódicas y reportar los incidentes al CERTuy dentro de las 24 horas de conocidos. El Marco de AGESIC, en su versión 5.0, organiza 72 requisitos en torno a seis grandes funciones fáciles de recordar: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Es una hoja de ruta útil incluso para las organizaciones que no están legalmente obligadas, porque ordena la gestión de la seguridad de punta a punta.
¿Y los directores y responsables? También quedan expuestos
Hoy, la falta de ciberseguridad ya no se interpreta como una simple falla técnica, sino como una deficiencia de gobernanza: un incumplimiento del deber de diligencia y una omisión en la gestión de riesgos. Esto significa que directores, administradores y responsables pueden quedar personalmente expuestos si no pueden demostrar que la organización tomó medidas razonables.
En la práctica, se espera poder acreditar cosas como evaluaciones periódicas de riesgo, políticas aprobadas formalmente, programas de cumplimiento, gestión de proveedores, planes de continuidad, gestión de incidentes y capacitación del personal.
Qué puede hacer tu organización hoy
La buena noticia es que cumplir no requiere convertirse de un día para el otro en una gran corporación. Se trata de dar pasos ordenados. Un punto de partida razonable para cualquier PyME incluye:
- Hacer un inventario de qué datos personales manejás, con qué finalidad y dónde los guardás.
- Registrar tus bases de datos ante la URCDP.
- Redactar y publicar políticas de privacidad y términos de uso claros, con consentimiento explícito.
- Adoptar medidas de seguridad proporcionales al riesgo (controles de acceso, respaldos, cifrado cuando corresponda).
- Capacitar a tu equipo: la mayoría de los incidentes empiezan por un error humano evitable.
- Contar con un plan para responder si algo sale mal, incluyendo la notificación en tiempo y forma.
Implementar un programa de cumplimiento en ciberseguridad y protección de datos no es solo la mejor forma de evitar sanciones: es, sobre todo, una manera de generar confianza. Cada vez más clientes valoran saber que sus datos están en buenas manos, y las organizaciones que lo comunican con transparencia se posicionan mejor en el mercado.
Cómo Conexus Hub puede ayudarte
En Conexus Hub Technologies Solutions ayudamos a empresas y organizaciones uruguayas a entender y cumplir el marco normativo de ciberseguridad y protección de datos, sin tecnicismos innecesarios y con soluciones a la medida de cada realidad.
Nuestra propuesta combina asesoría en cumplimiento (Ley 18.331, Decreto 66/025 y Marco de AGESIC), diagnósticos de madurez y gestión de riesgos, y programas de capacitación para que tu equipo se convierta en la primera línea de defensa -no en el eslabón más débil.
¿Querés saber en qué situación está tu organización frente a la normativa? Escribinos y coordinemos un primer diagnóstico. Dar el primer paso hoy es mucho más económico que enfrentar una sanción mañana.