Datos sensibles: qué son según la Ley 18.331 y ejemplos

Un certificado médico que llega por correo a recursos humanos. La planilla de una mutualista con los socios que pidieron una consulta de salud mental. El recibo de sueldo con el descuento de la cuota sindical. Ninguno de estos papeles parece especial cuando pasa por la oficina, y los tres tienen algo en común: llevan datos sensibles.

La Ley 18.331 trata estos datos con reglas más estrictas que las del resto, y el error más común no es tratarlos, sino no darse cuenta de que se los está tratando. Esta guía explica qué son los datos sensibles según la ley uruguaya, cuáles llegan de verdad a una oficina, qué cuidados exigen y qué conviene hacer antes de pegarlos en un chat de inteligencia artificial.

¿Qué son los datos sensibles?

Son datos personales que, por lo que revelan de una persona, pueden usarse para discriminarla o causarle un daño serio si salen de su lugar. La ley no los prohíbe: los rodea de más requisitos. Para tratarlos hace falta una justificación más fuerte y más cuidado en cada paso.

La diferencia práctica es grande. Para la mayoría de los datos personales, la ley admite varias bases que no requieren consentimiento, como una relación contractual. Para los datos sensibles, la regla general es otra: consentimiento expreso y escrito, o una ley que lo autorice.

Datos sensibles según la Ley 18.331

El artículo 4, literal E, de la Ley 18.331 define como datos sensibles los datos personales que revelen:

• origen racial y étnico;
• preferencias políticas;
• convicciones religiosas o morales;
• afiliación sindical;
• informaciones referentes a la salud;
• informaciones referentes a la vida sexual.

La lista es cerrada y corta, y tiene un detalle importante en el verbo: son los datos que revelan esas cosas. No hace falta que el documento diga «afiliado al sindicato»; alcanza con que lo deje ver. Un descuento de cuota sindical, una constancia de licencia por actividad gremial o una lista de asistentes a una asamblea revelan la afiliación sindical aunque nadie la haya escrito con esas palabras.

El Decreto 64/020 repite la misma definición cuando regula al delegado de protección de datos (artículo 10), lo que confirma que es la que se usa en todo el régimen.

Datos sensibles Ley 18331: las reglas del artículo 18

El artículo 18 de la Ley 18.331 fija cuatro reglas que conviene leer juntas:

Nadie puede ser obligado a darlos. Ninguna persona puede ser obligada a proporcionar datos sensibles. Un formulario que los pide como requisito, sin una ley detrás, está mal planteado.

Consentimiento expreso y escrito. Sólo pueden tratarse con el consentimiento expreso y escrito del titular. No alcanza con un consentimiento implícito ni con una casilla perdida en las condiciones generales.

Interés general o mandato legal. También pueden recolectarse y tratarse cuando hay razones de interés general autorizadas por ley, o cuando el organismo que los pide tiene mandato legal. Y pueden usarse con fines estadísticos o científicos cuando ya no se pueden vincular a sus titulares.

No se arman bases que los revelen. Queda prohibida la formación de bases de datos que almacenen información que directa o indirectamente revele datos sensibles. La excepción son los partidos políticos, sindicatos, iglesias, confesiones religiosas, asociaciones, fundaciones y otras entidades sin fines de lucro con esa finalidad, respecto de sus propios asociados o miembros, y aun así para comunicar esos datos necesitan el consentimiento previo del titular.

El mismo artículo cierra con una regla aparte: los datos sobre la comisión de infracciones penales, civiles o administrativas sólo pueden tratarlos las autoridades públicas competentes.

Datos sensibles y datos personales: la diferencia

Todo dato sensible es un dato personal, pero no al revés. El nombre, el correo, el celular, la dirección o el número de cédula de un cliente son datos personales: identifican a la persona y se protegen con los principios de la ley. Un diagnóstico, una afiliación sindical o una creencia religiosa son, además, sensibles.

	dato personal	dato sensible
Qué es	Información referida a una persona determinada o determinable	La que revela origen racial o étnico, ideas políticas, religión o moral, afiliación sindical, salud o vida sexual
Ejemplos	Nombre, cédula, RUT, correo, celular, dirección, foto	Diagnóstico, historia clínica, cuota sindical, creencias
¿Hace falta consentimiento?	Sí, salvo excepciones del artículo 9 (contrato, fuentes públicas, listados básicos)	Expreso y escrito, salvo ley o mandato legal
¿Se puede obligar a darlo?	Según el caso	Nunca (artículo 18)
Obligaciones extra	Las generales	Evaluación de impacto y delegado si es el negocio principal (Decreto 64/020)

La combinación es lo que más riesgo tiene. Un diagnóstico solo, sin nombre ni nada que permita saber de quién es, dice poco. El mismo diagnóstico al lado del nombre y la cédula de una persona es exactamente lo que la ley quiere proteger.

Datos sensibles: ejemplos que llegan a una oficina

Estos son documentos que pasan cada semana por oficinas uruguayas y que llevan datos sensibles, a veces sin que nadie lo note:

• Certificados médicos que justifican una ausencia, con diagnóstico o con la especialidad del médico, que ya dice bastante.
• Historias clínicas, resúmenes de alta, órdenes de estudios y resultados de laboratorio que circulan entre una policlínica, el paciente y su mutualista.
• Recibos de sueldo con descuento de cuota sindical, o con días de licencia por enfermedad.
• Planillas de recursos humanos con columnas de «observaciones» donde alguien anotó un embarazo, un tratamiento o una discapacidad.
• Formularios de seguros de vida o de salud con la declaración de enfermedades previas.
• Expedientes judiciales de familia, laborales o penales, con información de salud o de vida sexual de las partes.
• Listas de asistentes a una actividad religiosa, política o gremial.
• Carné de salud y certificados de aptitud que la empresa pide al contratar.

En casi todos los casos el dato sensible no es lo que se quiere compartir. Se quiere pedir un reemplazo, liquidar una licencia, contestar un reclamo. El dato sensible viaja de arrastre.

¿La cédula es un dato sensible?

El número de cédula de identidad no está en la lista del artículo 4. Es un dato personal, y uno de los más útiles para identificar a alguien, así que se cuida con la reserva y la seguridad que pide la ley. Lo que podés hacer con un número de cédula ajeno, y lo que pueden hacer con el tuyo, lo contamos en qué pueden hacer con mi número de cédula.

La copia de la cédula es otra cosa. Muestra la fotografía, y si esa imagen se procesa con una técnica específica para identificar a la persona, pasa a ser un dato biométrico. La Ley 19.924 agregó esa definición al artículo 4 (literal Ñ): datos obtenidos por un tratamiento técnico de las características físicas, fisiológicas o conductuales que permiten o confirman la identificación única, como las huellas o el reconocimiento de imagen o de voz. Y agregó el artículo 18-BIS: los biométricos se tratan dentro de las reglas del artículo 9 y previa evaluación de impacto.

Por eso una foto de la cédula de un cliente merece más cuidado que el número escrito en un correo: no sólo identifica, sino que entrega elementos que sirven para suplantar a la persona. Lo vemos en qué pueden hacer con una foto de mi cédula.

Datos de salud: la categoría que más circula

De todos los datos sensibles, los de salud son los que más pasan por una oficina, y no sólo por una policlínica.

El Decreto 414/009 define el dato personal relacionado con la salud (artículo 4, literal D) como las informaciones sobre la salud pasada, presente y futura, física o mental, de una persona, e incluye expresamente el porcentaje de discapacidad y la información genética. Es una definición amplia: un turno con el psiquiatra, una receta o un certificado de reposo entran. Hasta las anotaciones del examen médico que puede traer la libreta de conducir, como el uso de anteojos, dicen algo de la salud.

El artículo 19 de la Ley 18.331 permite a los establecimientos sanitarios públicos o privados y a los profesionales de la salud recolectar y tratar los datos de salud de sus pacientes, respetando el secreto profesional, la normativa específica y la propia ley. Esa normativa específica es, sobre todo, la Ley 18.335 de derechos de pacientes y usuarios de los servicios de salud, que en su artículo 18, literal D, dice que la historia clínica es de propiedad del paciente, será reservada y sólo pueden acceder a ella los responsables de la atención y el personal administrativo vinculado con ellos, el paciente o su familia, y en ciertos casos el Ministerio Público y el Ministerio de Salud Pública. Los artículos 19 y 20 de esa ley regulan la historia clínica electrónica y ponen en los servicios de salud la responsabilidad de su seguridad.

Y por encima de todo está el artículo 302 del Código Penal, que castiga a quien, sin justa causa, revela secretos que conoció por su profesión, empleo o comisión, cuando el hecho causa perjuicio. La Ley 18.331 remite a ese artículo para todos los que trabajan con datos de una base (artículo 11), no sólo para los médicos. Lo desarrollamos en IA en la salud e historia clínica.

El sueldo: lo que la ley uruguaya no incluye

Hay leyes de otros países que consideran sensibles los ingresos. La uruguaya no: la lista del artículo 4 no los menciona. El sueldo, el saldo de una cuenta o una deuda son datos personales, y los comerciales y crediticios tienen reglas propias en el artículo 22, con plazos de cinco años para que una deuda figure registrada.

Eso no quiere decir que un recibo de sueldo sea inofensivo. Dos cosas lo complican:

• El descuento de cuota sindical revela la afiliación sindical, que sí es dato sensible.
• Las licencias por enfermedad, por maternidad o por tratamiento revelan información de salud.

Por eso, antes de mandar un recibo de sueldo a un tercero, o de pegarlo en un chat para que te explique un descuento del BPS, conviene mirarlo con ojos de dato sensible. Lo vemos con más detalle en IA para recursos humanos.

Datos sensibles donde nadie los espera

No sólo las policlínicas y recursos humanos los tocan. Tres oficios que muchas veces no se dan cuenta:

Estudios jurídicos. Un expediente de familia, un juicio laboral por accidente o una denuncia penal suelen traer información de salud o de vida sexual de las partes. Y viene mezclada con todo lo demás, en el mismo escrito.

Corredores de seguros. La declaración de salud de un seguro de vida es, entera, información de salud. Lo mismo la denuncia de un siniestro con lesiones.

Inmobiliarias. Un inquilino que pide adaptar el apartamento por una discapacidad, o que explica un atraso en el alquiler por una internación, deja un dato de salud en un correo que después circula entre el propietario, el garante y la administración.

En los tres casos, la regla práctica es la misma: el dato sensible se queda donde llegó y el resto del trabajo se hace sin él.

Cómo tratar datos sensibles: consentimiento y seguridad

Si tu empresa necesita tratar datos sensibles, estas son las reglas que se suman a las generales:

1. Base legal clara. Consentimiento expreso y escrito del titular, o una ley que autorice el tratamiento, o mandato legal (artículo 18). Si es salud y sos prestador, el artículo 19.
2. Información previa. Al recoger los datos hay que informar el carácter obligatorio o facultativo de las respuestas, «en especial en cuanto a los datos sensibles» (artículo 13, literal C).
3. Prueba del consentimiento. La guarda el responsable (Decreto 414/009, artículo 6).
4. Evaluación de impacto, antes de empezar, si el tratamiento usa datos sensibles como negocio principal o si se proyecta un tratamiento permanente de datos especialmente protegidos (Decreto 64/020, artículo 6).
5. Delegado de protección de datos, si la empresa trata datos sensibles como negocio principal (Decreto 64/020, artículo 10). Una policlínica, un laboratorio o una emergencia móvil entran fácilmente.
6. Seguridad y reserva reforzadas: accesos sólo para quien los necesita, nada de copias sueltas por correo, confidencialidad por escrito para el personal (artículos 10 y 11).
7. Minimización. Por defecto, sólo los datos necesarios para cada fin (Decreto 64/020, artículo 9). Si para liquidar una licencia alcanza con las fechas, el diagnóstico sobra.

Cómo pedir datos sensibles en un formulario

Un formulario de alta, de contratación o de reclamo es el lugar donde más datos sensibles se piden sin necesidad. Antes de publicarlo:

• Preguntate si cada campo hace falta. Si no podés explicar para qué sirve, sacalo.
• Marcá qué es obligatorio y qué no. La ley lo exige en especial para los datos sensibles (artículo 13).
• Pedí el consentimiento por separado, con una opción clara para aceptar o negarse, sin casillas premarcadas (Decreto 414/009, artículo 6).
• Explicá para qué. Una línea alcanza: «Usamos este dato sólo para coordinar tu licencia».
• No condiciones el servicio a que la persona dé un dato sensible que no hace falta: nadie puede ser obligado a darlos.

Datos sensibles en el trabajo

Recursos humanos es, después de la salud, el área que más datos sensibles toca. Certificados médicos, licencias, afiliación sindical, a veces creencias religiosas por un pedido de día libre. Tres ideas para ordenar:

El certificado médico no necesita circular. La persona que liquida sueldos necesita saber que hay una licencia y por cuántos días, no el diagnóstico. Si el certificado lo trae, conviene que quede donde llegó y que el resto del equipo trabaje con las fechas.

La afiliación sindical no se anota de más. Si hay que descontar la cuota, el dato existe; lo que sobra es usarlo para cualquier otra cosa o tenerlo en una planilla que ve todo el mundo.

Las «observaciones» son un riesgo. Las columnas libres de una planilla son donde aparecen embarazos, tratamientos y diagnósticos que nadie pidió. Revisarlas cada tanto es una de las tareas más útiles que podés hacer.

Datos sobre infracciones y antecedentes

El último inciso del artículo 18 pone en un régimen aparte los datos personales sobre la comisión de infracciones penales, civiles o administrativas: sólo pueden tratarlos las autoridades públicas competentes, en el marco de sus leyes. No es una lista de datos sensibles, sino una restricción de quién puede tratarlos.

En la práctica, si una empresa pide a un postulante un certificado de antecedentes, lo recibe porque el propio titular lo entrega, y conviene usarlo sólo para lo que se pidió y no guardarlo más de lo necesario. Lo que no debería hacer es armar su propia base de antecedentes.

Qué pasa si se exponen datos sensibles

Si un certificado médico llega a quien no debía, o una planilla con diagnósticos queda expuesta, hay una vulneración de seguridad. El Decreto 64/020 pide iniciar los procedimientos para minimizar el impacto dentro de las 24 horas de constatado el incidente (artículo 3), comunicarlo a la URCDP en un máximo de 72 horas y avisar en lenguaje claro a los titulares que sufrieron una afectación significativa (artículo 4). Con datos sensibles, la afectación significativa es mucho más probable.

Además, la URCDP puede sancionar según la gravedad (artículo 35 de la ley), y quien revela un secreto conocido por su profesión o empleo puede caer en el artículo 302 del Código Penal. El paso a paso está en filtración de datos personales: qué hacer.

Qué pasa si alguien pega un certificado médico en ChatGPT

Es el caso más común y el menos visible. Alguien de recursos humanos recibe un certificado, quiere contestarle al trabajador con cuidado y pega el texto entero en ChatGPT para que lo ayude a redactar. En ese gesto:

• un dato de salud, sensible, sale de la empresa hacia un tercero;
• ese tercero es una empresa que procesa los datos fuera del Uruguay, lo que activa las reglas de transferencias internacionales (artículo 23);
• el trabajador no dio consentimiento expreso y escrito para eso (artículo 18);
• y para redactar la respuesta, el diagnóstico no hacía falta.

No es necesariamente una vulneración que haya que comunicar a la URCDP, pero sí es una comunicación de datos que la empresa no tenía por qué hacer. Lo sensato es documentarlo y evitar que se repita.

Un ejemplo: lo que Nonimo tapa y lo que no

Así es un texto que alguien de una oficina pegaría tal cual en un chat:

Paciente: Walter Pintos Silveira
Historia clínica N° 000123
Celular: +598 99 000 000
Certificado médico: reposo de 15 días por una lumbalgia. Pide que la empresa no comente el motivo con el resto del equipo.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Paciente: [PERSONA_1]
Historia clínica N° [HISTORIA_CLINICA_1]
Celular: [TELEFONO_1]
Certificado médico: reposo de 15 días por una lumbalgia. Pide que la empresa no comente el motivo con el resto del equipo.

El nombre, el número de historia clínica y el celular se tapan. El diagnóstico no. Nonimo tapa los datos que identifican a una persona, no la información de salud que el texto cuenta. Con el nombre y los números tapados, el chat recibe una lumbalgia que ya no puede atribuir a nadie; aun así, si el diagnóstico no hace falta para la tarea, lo correcto es borrarlo antes de pegar. Para este caso, de hecho, no hace falta: el trabajador pide justamente que no se comente.

Antes de compartir un documento con datos sensibles

Una lista corta para pegar al lado de la pantalla:

1. ¿Hay salud, afiliación sindical, religión, ideas políticas, origen étnico o vida sexual en el documento, aunque sea de costado?
2. ¿La persona que lo recibe necesita ese dato para lo que tiene que hacer?
3. Si no lo necesita, ¿lo saqué?
4. ¿Taché o tapé el nombre, la cédula, el correo y el celular?
5. ¿El archivo tiene metadatos, comentarios o control de cambios con datos de más?
6. ¿Va a un servicio fuera del Uruguay?

Si alguna respuesta te hace dudar, pará antes de mandar. Y si el documento es un PDF o un Word, las herramientas web tapan los datos personales del archivo y te lo devuelven listo.

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que cambia por etiquetas los datos que identifican a una persona antes de que el texto llegue a ChatGPT, Claude, Copilot o Gemini, y los devuelve a su lugar cuando copiás la respuesta. Tapa nombres, correos, celulares y teléfonos con el +598, direcciones, el pasaporte y el número de historia clínica. Lo ves todo: cada dato tapado se marca en pantalla y se deshace con un clic. Si un dato queda a la vista (por ejemplo, la cédula o el RUT), seleccionalo y hacé clic en Tapar. Tu texto se tapa en tu computadora; a Nonimo no le llega.

Con los datos sensibles, Nonimo cumple una función concreta: separa la información delicada de la persona a la que se refiere. Un diagnóstico sin nombre, sin número de historia clínica y sin celular dice mucho menos. Lo que Nonimo no hace es decidir por vos si el dato sensible tiene que salir: eso lo resolvés antes de pegar. Los planes están en precios.

Fuentes

Consultadas el 24 de octubre de 2026 en IMPO.

• Ley 18.331, de Protección de Datos Personales, Documento Actualizado. Texto en IMPO. Artículos 4 (literales E y Ñ), 9, 10, 11, 13, 18, 18-BIS, 19, 22, 23 y 35.
• Decreto 414/009. Texto en IMPO. Artículos 4 (literal D) y 6.
• Decreto 64/020. Texto en IMPO. Artículos 3, 4, 6, 9 y 10.
• Ley 18.335, de derechos de pacientes y usuarios de los servicios de salud. Texto en IMPO. Artículos 18 (literal D), 19 y 20.
• Código Penal, artículo 302. Texto en IMPO.

Esta guía resume la ley y no reemplaza la asesoría de un abogado.