Ley 18.331 de protección de datos personales: resumen

Si alguna vez te llamó una empresa con la que nunca firmaste nada, o te llegó una promoción a un correo que sólo le habías dado a tu mutualista, ya sabés para qué sirve la Ley 18.331. Es la norma uruguaya que dice quién puede usar tus datos personales, para qué, y qué podés exigir cuando los usan mal.

Del otro lado del escritorio, la misma ley se convierte en obligaciones. Si tenés un estudio jurídico, un estudio contable, una inmobiliaria, una policlínica o una corredora de seguros, guardás datos de clientes, pacientes y trabajadores, y la Ley 18.331 te dice cómo cuidarlos, qué inscribir y qué contestar cuando alguien pregunta por los suyos.

Esta guía es un resumen de la Ley 18.331 con sus dos decretos reglamentarios, el 414/009 y el 64/020: definiciones, principios, derechos y plazos, habeas data, inscripción de bases, delegado, vulneraciones y sanciones. Al final vemos qué pasa cuando esos datos terminan en un chat de inteligencia artificial, que es hoy por donde más se escapan sin que nadie lo note.

Ley 18.331: qué es y a quién se aplica

La Ley 18.331, de Protección de Datos Personales, se promulgó el 11 de agosto de 2008 y se publicó en el Diario Oficial el 18 de agosto de ese año. Empieza con una declaración fuerte: el derecho a la protección de datos personales es inherente a la persona humana y está comprendido en el artículo 72 de la Constitución (artículo 1). No es un trámite administrativo; es un derecho humano.

La ley se aplica a los datos personales registrados en cualquier soporte que permita tratarlos, y a todo uso posterior, en el ámbito público y en el privado (artículo 3). También se extiende a las personas jurídicas, en cuanto corresponda (artículo 2). Es decir, protege tanto a la persona como, en lo que tenga sentido, a la empresa.

Quedan fuera tres tipos de bases (artículo 3): las que una persona física mantiene para actividades exclusivamente personales o domésticas, como la agenda del celular con los números de tu familia; las que tienen por objeto la seguridad pública, la defensa y la represión del delito; y las creadas y reguladas por leyes especiales.

En la práctica, entra casi cualquiera que guarde información de personas de forma organizada: la planilla de clientes de una pyme, la historia clínica de un consultorio, los legajos de los trabajadores. Y el Decreto 414/009 aclara que la excepción doméstica no corre para las personas jurídicas (artículo 15).

Ámbito territorial: también alcanza a empresas del exterior

La ley se aplica a quien trata datos estando establecido en Uruguay. Pero desde la Ley 19.670 (artículo 37) también alcanza a responsables y encargados que están fuera del país cuando ofrecen bienes o servicios dirigidos a habitantes de la República, cuando analizan su comportamiento, cuando lo dispone un tratado o un contrato, o cuando usan medios situados en el país.

El Decreto 64/020 lo baja a tierra (artículo 1): la oferta dirigida a habitantes de Uruguay se aprecia por el idioma, la referencia al pago en moneda nacional o los servicios conexos en el territorio, y en un contrato las partes no pueden excluir la ley uruguaya cuando corresponde. Importa porque casi todos los servicios de correo, nube e IA que usa una oficina de Montevideo son extranjeros.

Ley 18331 resumen: las definiciones que importan

Casi todas las dudas se resuelven con el artículo 4, que define los conceptos. Estos son los que más se usan en una oficina:

• Dato personal (literal D): información de cualquier tipo referida a personas físicas o jurídicas determinadas o determinables. El Decreto 414/009 lo detalla: información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo (artículo 1). La URCDP da ejemplos concretos en su sitio: el nombre, la dirección, el teléfono, la cédula de identidad, el RUT, la huella digital, el número de socio, una fotografía.
• Dato sensible (literal E): los que revelan origen racial y étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical e informaciones referentes a la salud o a la vida sexual. Lo desarrollamos en datos sensibles.
• Datos biométricos (literal Ñ, agregado por la Ley 19.924): los obtenidos por un tratamiento técnico de las características físicas, fisiológicas o conductuales que permiten identificar a una persona, como las huellas, el reconocimiento de imagen o de voz.
• Base de datos (literal A): el conjunto organizado de datos personales, electrónico o no, incluso en papel.
• Responsable de la base de datos o del tratamiento (literal K): quien es dueño de la base o decide sobre la finalidad, el contenido y el uso. Si tenés una empresa, sos vos.
• Encargado del tratamiento (literal H): quien trata datos por cuenta del responsable, como tu proveedor de software contable o de nube.
• Comunicación de datos (literal B): toda revelación de datos a una persona distinta del titular. Mandar a un tercero el correo de un cliente ya es comunicar.
• Tratamiento de datos (literal M): las operaciones, automatizadas o no, que permiten procesar datos, incluida su cesión a terceros por comunicaciones, consultas o transferencias.
• Titular de los datos (literal L): la persona a la que se refieren. Tus clientes son titulares de los datos que guardás de ellos.

Los principios de la ley

El artículo 5 enumera siete principios que además sirven para interpretar cualquier duda: legalidad, veracidad, finalidad, previo consentimiento informado, seguridad de los datos, reserva y responsabilidad. En una revisión, estos son los que más pesan:

Legalidad (artículo 6). La formación de una base de datos es lícita cuando está debidamente inscripta. En Uruguay la inscripción no es un detalle: es parte de la legalidad misma.

Veracidad (artículo 7). Los datos tienen que ser veraces, adecuados, ecuánimes y no excesivos en relación con la finalidad. Es el principio que más se olvida: pedir lo que no hace falta, o mandar a otro más de lo necesario, ya es un problema.

Finalidad (artículo 8). Los datos no pueden usarse para fines distintos o incompatibles con los que motivaron su obtención, y se eliminan cuando dejan de ser necesarios.

Seguridad (artículo 10). El responsable tiene que adoptar las medidas necesarias para garantizar la seguridad y confidencialidad, y evitar la adulteración, pérdida, consulta o tratamiento no autorizado, ya sea por acción humana o del medio técnico.

Reserva (artículo 11). Quien obtiene datos de una base los usa en forma reservada, sólo para su giro, y no los difunde a terceros. Y quienes trabajan con esos datos, cuando no vienen de fuentes accesibles al público, están obligados a guardar estricto secreto profesional, con remisión expresa al artículo 302 del Código Penal, incluso después de terminada la relación laboral.

Responsabilidad (artículo 12, con la redacción de la Ley 19.670). El responsable y el encargado responden por la violación de la ley y, en ejercicio de una responsabilidad proactiva, tienen que adoptar medidas técnicas y organizativas, como privacidad desde el diseño, privacidad por defecto y evaluación de impacto, y poder demostrar que las aplican.

El consentimiento y sus excepciones

El tratamiento es lícito cuando el titular dio su consentimiento libre, previo, expreso e informado, y ese consentimiento tiene que documentarse (artículo 9). Si se pide junto con otras declaraciones, debe figurar en forma expresa y destacada.

El Decreto 414/009 agrega reglas prácticas (artículos 5 y 6): el consentimiento es nulo si el titular no conoce inequívocamente la finalidad; hay que darle un medio sencillo, claro y gratuito para aceptar o negarse, con dos opciones que no vengan premarcadas; la prueba del consentimiento la guarda el responsable; y si pasan diez días hábiles sin respuesta, el silencio equivale a una negativa.

No hace falta consentimiento previo, según el artículo 9, cuando:

• los datos provienen de fuentes públicas de información, como registros o publicaciones en medios masivos;
• se recaban para funciones propias de los poderes del Estado o por una obligación legal;
• se trata de listados que, para personas físicas, se limitan a nombres y apellidos, documento de identidad, nacionalidad, domicilio y fecha de nacimiento;
• derivan de una relación contractual, científica o profesional del titular y son necesarios para su desarrollo o cumplimiento;
• los trata una persona física para su uso exclusivamente personal o doméstico.

La excepción contractual es la que más usa una empresa: para facturarle a un cliente no hace falta pedirle permiso aparte. Pero la finalidad y la reserva siguen aplicando, y comunicar esos datos a un tercero tiene sus propias reglas.

Derechos del titular: lo que podés pedir

El Capítulo III de la ley reconoce estos derechos a la persona cuyos datos se tratan:

1. Información (artículo 13, con la redacción de la Ley 20.075): antes de recoger los datos, hay que informar para qué se tratarán y quiénes pueden recibirlos, la existencia de la base y la identidad y domicilio del responsable, si las respuestas son obligatorias o no, las consecuencias de dar o negar los datos, cómo ejercer los derechos y si hay transferencias internacionales. Si los datos no se recogieron del propio titular, esa información se le da dentro de los cinco días hábiles de pedida.
2. Acceso (artículo 14): obtener toda la información que sobre vos haya en bases públicas o privadas, acreditando tu identidad. Es gratuito cada seis meses, se da en forma clara, sin códigos, y abarca la totalidad del registro aunque preguntes por una parte.
3. Rectificación, actualización, inclusión o supresión (artículo 15): cuando hay error, falsedad o exclusión. Mientras se revisa, si un tercero pide informes, el responsable tiene que dejar constancia de que el dato está en revisión. Y si los datos se habían comunicado a otro, hay que avisarle la corrección dentro del quinto día hábil.
4. Impugnación de valoraciones personales (artículo 16): no quedar sometido a una decisión con efectos jurídicos significativos basada en un tratamiento automatizado que evalúe tu rendimiento laboral, crédito, fiabilidad o conducta, y saber qué criterios y qué programa se usaron.
5. Derechos sobre la comunicación de datos (artículo 17): tus datos sólo se comunican a otro para fines relacionados con el interés legítimo de ambos y con tu consentimiento previo, que podés revocar.

La URCDP agrega en su sitio dos más: no recibir publicidad no deseada (el artículo 21 permite pedir en cualquier momento el retiro o bloqueo de tus datos de las bases de publicidad) y denunciar ante la Unidad la violación de cualquiera de ellos.

Plazos para responder: cinco días hábiles

La regla uruguaya es corta y pareja: cinco días hábiles.

pedido	plazo	norma
Acceso a tus datos	5 días hábiles desde la solicitud	Ley, art. 14
Rectificación, actualización, inclusión o supresión	5 días hábiles desde la solicitud	Ley, art. 15
Información, si los datos no se recogieron del titular	5 días hábiles desde la solicitud	Ley, art. 13
Contestar cualquier solicitud del titular	5 días hábiles desde la presentación	Decreto 414/009, art. 9
Avisar la corrección a quien recibió los datos	Dentro del 5.º día hábil	Ley, art. 15

Si el plazo vence sin respuesta, o la negativa no tiene razones justificadas, queda habilitada la acción de habeas data (artículos 14 y 15).

Cinco días hábiles se van en una semana. Conviene tener un canal único para estos pedidos y una persona responsable.

Cómo ejercer tus derechos, paso a paso

Si querés saber qué datos tuyos tiene una empresa, o que los corrija o los borre, el camino es este:

1. Identificá al responsable de la base. Es la empresa u organismo que guarda tus datos. Su política de privacidad debería decir cómo atiende los pedidos.
2. Mandá la solicitud y guardá constancia. El Decreto 414/009 (artículo 9) dice que el ejercicio de los derechos es gratuito y exento de formalidades, y que la comunicación contiene tu identificación, el motivo, tu domicilio, fecha y firma, y los documentos que acrediten el pedido. La URCDP publica formularios para el derecho de acceso y para la rectificación, actualización, inclusión o supresión, que se completan y se presentan ante la empresa.
3. Esperá los cinco días hábiles.
4. Si no te contestan o te lo niegan, tenés dos caminos. Podés hacer una denuncia ante la URCDP, que la tramita en línea o en forma presencial, o promover la acción de habeas data ante la Justicia.

La acción de habeas data

El habeas data es la herramienta judicial de la ley (artículos 37 a 45). Toda persona tiene derecho a una acción efectiva para conocer los datos referidos a ella que consten en bases públicas o privadas, su finalidad y uso, y, en caso de error, falsedad, prohibición de tratamiento, discriminación o desactualización, exigir su rectificación, inclusión o supresión (artículo 37).

Procede en dos supuestos (artículo 38): cuando pediste conocer tus datos y no te los dieron en plazo, y cuando pediste corregirlos o suprimirlos y el responsable no lo hizo ni dio razones suficientes. Por eso los cinco días hábiles importan tanto: su vencimiento es la puerta del juicio.

Lo que distingue al habeas data es la velocidad:

• En Montevideo es competente el Juzgado Letrado de Primera Instancia en lo Contencioso Administrativo si la acción va contra una persona pública estatal, y el de lo Civil en los demás casos; en el Interior, los juzgados letrados con esa competencia (artículo 38).
• Salvo que sea manifiestamente improcedente, el juez convoca a una audiencia pública dentro de los tres días de presentada la demanda, y la sentencia se dicta en la audiencia o, a más tardar, dentro de las veinticuatro horas (artículo 41).
• La sentencia fija un plazo de cumplimiento que no puede pasar de quince días corridos desde la notificación (artículo 43).
• La apelación se presenta dentro de tres días y el tribunal de alzada resuelve dentro de los cuatro siguientes (artículo 44).

Por eso conviene contestar siempre dentro del plazo, aunque sea para pedir un dato que falta.

Datos especialmente protegidos

El Capítulo IV de la ley agrupa los datos con reglas reforzadas:

• Datos sensibles (artículo 18): nadie puede ser obligado a darlos, y sólo se tratan con consentimiento expreso y escrito del titular, o cuando lo autoriza una ley por razones de interés general.
• Datos biométricos (artículo 18-BIS, agregado por la Ley 19.924): se tratan dentro de las reglas del artículo 9 y previa evaluación de impacto.
• Datos de salud (artículo 19): los establecimientos y profesionales de la salud pueden tratarlos respetando el secreto profesional y la normativa específica.
• Datos comerciales y crediticios (artículo 22): se pueden tratar para informar sobre solvencia, pero las obligaciones de personas físicas sólo quedan registradas cinco años, renovables una vez si siguen impagas.
• Datos sobre infracciones penales, civiles o administrativas (artículo 18): sólo los tratan las autoridades públicas competentes.

Comunicación de datos y proveedores

Comunicar datos a otro necesita, por regla general, el consentimiento previo del titular, informándole la finalidad y quién los recibe (artículo 17). No hace falta cuando lo dispone una ley de interés general, en los casos del artículo 9, en ciertos casos de salud, o cuando se aplicó un procedimiento que impide identificar a los titulares. Y el que recibe los datos queda sujeto a las mismas obligaciones que el que los mandó, que responde en forma solidaria.

Con los proveedores la regla es otra. El Decreto 414/009 aclara que no es comunicación el acceso de un encargado de tratamiento que sea necesario para prestar un servicio al responsable (artículo 14). Y la ley pone límites al encargado (artículo 30): no puede usar los datos para un fin distinto del contrato, ni cederlos, ni siquiera para conservarlos, y al terminar los destruye, salvo autorización expresa para guardarlos hasta dos años si se esperan nuevos encargos.

Transferencias internacionales

El artículo 23 prohíbe transferir datos personales a países u organismos internacionales que no tengan un nivel de protección adecuado según los estándares del derecho internacional o regional. Hay excepciones de interés público (cooperación judicial, datos médicos por razones de salud, transferencias bancarias, tratados), y la transferencia también es posible cuando:

• el titular dio su consentimiento inequívoco;
• es necesaria para ejecutar un contrato entre el titular y el responsable, o medidas precontractuales que él pidió;
• es necesaria para un interés público importante o para defender un derecho en juicio;
• es necesaria para el interés vital del titular.

Fuera de esos casos, la URCDP puede autorizar una transferencia a un país sin nivel adecuado cuando el responsable ofrece garantías suficientes, que pueden salir de cláusulas contractuales. El trámite se inicia a pedido del exportador (Decreto 414/009, artículos 34 y 35) y figura entre los trámites en línea de la Unidad.

Inscripción de bases de datos

En Uruguay, inscribir la base es una obligación central, y no sólo de las grandes. Toda persona física o jurídica privada que cree, modifique o suprima bases de datos personales tiene que registrarse (artículo 28), y toda base pública o privada se inscribe en el registro de la URCDP (artículo 29).

Lo práctico:

• La inscripción incluye, entre otros puntos, la identificación de la base y su responsable, cómo se obtienen y tratan los datos, las medidas de seguridad, a quién se pueden transmitir, cuánto tiempo se conservan y cómo se ejercen los derechos (Decreto 414/009, artículo 16).
• Una base nueva se inscribe dentro de los 90 días desde el inicio de la actividad (Decreto 414/009, artículo 17).
• La fecha de inscripción es la de la resolución de la URCDP, y el número y la fecha de esa resolución se exhiben en un lugar visible (artículo 19).
• La inscripción se mantiene al día, comunicando las actualizaciones cada tres meses (artículo 20).
• Nadie puede tener datos de naturaleza distinta a los declarados en el registro (Ley, artículo 29).

En una oficina típica hay varias bases: clientes, trabajadores, proveedores, postulantes, videovigilancia. Y la URCDP recuerda que quien tiene cámaras pone en lugar visible los carteles aprobados por la Unidad.

Responsabilidad proactiva, evaluación de impacto y delegado

La Ley 19.670 cambió el artículo 12 y el Decreto 64/020 lo reglamentó. Es la parte más moderna del régimen uruguayo.

Documentar las medidas. Las medidas de responsabilidad proactiva se documentan, se revisan periódicamente y se evalúan; la documentación incluye, como mínimo, la forma, los medios y la finalidad del tratamiento, los procedimientos para cumplir, la planificación para responder a vulneraciones y el rol del delegado, y tiene que estar disponible si la URCDP la pide (artículo 5 del decreto).

Privacidad por diseño y por defecto. Desde el diseño de las bases y los sistemas se aplican medidas como técnicas de seudonimización y minimización de datos, documentación de los consentimientos y tiempos de conservación (artículo 8). Y por defecto sólo se tratan los datos necesarios para cada fin, lo que alcanza a la cantidad recogida, la extensión del tratamiento, el plazo de conservación y su comunicación (artículo 9).

Evaluación de impacto. Es obligatoria antes de empezar cuando el tratamiento puede usar datos sensibles como negocio principal, tratar en forma permanente datos especialmente protegidos, perfilar personas, tratar datos de menores o de grupos vulnerables, manejar grandes volúmenes de datos o transferirlos a países sin nivel adecuado (artículo 6). Su contenido mínimo está en el artículo 7.

Delegado de protección de datos. Lo designan las entidades públicas, las privadas que tratan datos sensibles como negocio principal y las que tratan grandes volúmenes, que el decreto define como datos de más de 35.000 personas (artículo 10). Es el nexo con la URCDP (artículo 11), acredita conocimientos en Derecho especializados en la materia (artículo 12) y su designación se comunica a la URCDP dentro de los 90 días del inicio del tratamiento (artículo 14).

Vulneraciones de seguridad: 72 horas

Desde el Decreto 64/020, una filtración tiene reloj. Constatado un incidente que ocasione la divulgación, destrucción, pérdida o alteración de datos, o su comunicación o acceso no autorizados, hay que iniciar los procedimientos para minimizar el impacto dentro de las primeras 24 horas (artículo 3). Y el responsable comunica la vulneración a la URCDP en un plazo máximo de 72 horas de conocida (artículo 4), con la fecha, la naturaleza, los datos afectados y los posibles impactos.

También hay que avisar en lenguaje claro a los titulares con afectación significativa y, una vez solucionado, mandar a la URCDP un informe pormenorizado. Lo explicamos paso a paso en filtración de datos personales: qué hacer.

La URCDP y las sanciones

La Unidad Reguladora y de Control de Datos Personales es el órgano de control. El artículo 31 la crea como órgano desconcentrado de AGESIC, con la más amplia autonomía técnica, dirigida por un Consejo de tres miembros. Entre sus cometidos (artículo 34): asesorar a quien lo pida, dictar normas, llevar el registro de bases, fiscalizar con potestades de inspección y requerimiento de documentos, e informar gratis a cualquier persona qué bases existen y quién es su responsable.

En su sitio en gub.uy ofrece cuatro trámites en línea: consultas, denuncias, inscripción de bases de datos personales y solicitud de transferencias internacionales.

Las sanciones están en el artículo 35 y se gradúan por la gravedad, la reiteración o la reincidencia:

1. Observación.
2. Apercibimiento.
3. Multa de hasta 500.000 unidades indexadas.
4. Suspensión de la base de datos por cinco días.
5. Clausura de la base, que se promueve ante la Justicia.

Más útil que memorizar la escala es notar el patrón: la mayoría de los problemas son de orden (inscribir, informar, contestar en plazo), y se evitan con una lista de tareas.

Qué ordenar en tu empresa: una lista para empezar

Para una oficina de cinco a veinte personas, esta es la lista que usaríamos:

tarea	qué hacer	norma
1. Inventario	Anotar qué datos guardás, de quién, dónde y para qué	Decreto 64/020, art. 5
2. Inscripción	Inscribir cada base en la URCDP y actualizarla	Ley, arts. 28 y 29; Decreto 414/009, arts. 15 a 20
3. Información	Publicar una política de privacidad clara	Ley, art. 13
4. Consentimiento	Saber en qué se basa cada uso y guardar la prueba	Ley, art. 9; Decreto 414/009, arts. 5 y 6
5. Canal de derechos	Un correo o formulario que alguien revisa, con plazo de cinco días hábiles	Ley, arts. 14 y 15
6. Pedir sólo lo necesario	Revisar formularios y borrar lo que ya no sirve	Ley, arts. 7 y 8; Decreto 64/020, art. 9
7. Seguridad y reserva	Accesos por persona, respaldos y confidencialidad por escrito	Ley, arts. 10 y 11
8. Proveedores	Contrato escrito con quien trata datos por tu cuenta	Ley, art. 30
9. Envíos al exterior	Identificar qué servicios procesan datos fuera del país	Ley, art. 23
10. Vulneraciones	Saber a quién avisar y en qué plazo	Decreto 64/020, arts. 3 y 4

El punto 7 incluye hoy una pregunta que hace cinco años nadie se hacía: qué datos se pueden pegar en un chat de inteligencia artificial.

La Ley 18.331 y la inteligencia artificial

Ni la Ley 18.331 ni sus decretos mencionan la inteligencia artificial generativa, y no les hace falta. Pegar el expediente de un cliente en ChatGPT, Claude, Copilot o Gemini es comunicar sus datos a una empresa que los procesa y, muchas veces, los conserva en servidores fuera del Uruguay.

Ese gesto toca varios artículos a la vez. La finalidad (artículo 8): el cliente no te dio sus datos para que terminaran en un chat. La veracidad, que exige datos no excesivos (artículo 7): para redactar una carta, la IA no necesita su nombre ni su correo. La reserva y el secreto profesional (artículo 11). La comunicación de datos (artículo 17). Las transferencias internacionales (artículo 23). Y si sos abogado o escribano, el secreto profesional de tu oficio, que vemos en estudios jurídicos.

Uruguay tiene además una norma propia sobre IA: la Ley 20.212 (artículo 74) encargó a AGESIC una estrategia nacional de datos e inteligencia artificial, con actuación conjunta preceptiva de la URCDP en todo lo que tenga que ver con datos personales, y dice que los principios de la Ley 18.331 forman parte de esa estrategia. Lo explicamos en inteligencia artificial y protección de datos.

Un ejemplo de lo que llega al chat

Así es un pedido típico que alguien de una empresa pegaría tal cual en un chat para que lo ayude a contestar:

Cliente: Graciela Olivera Cardozo
Correo: cliente@example.com
Celular: +598 99 000 000
Nos pide copia de todos los datos que tenemos de ella y que dejemos de mandarle promociones.

Y esto es lo que llega al chat después de pasarlo por Nonimo, tal cual:

Cliente: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Nos pide copia de todos los datos que tenemos de ella y que dejemos de mandarle promociones.

Para redactar la respuesta, la IA no necesita saber quién es la clienta ni su correo o su celular. Es lo que pide la ley cuando exige datos no excesivos: el dato que no hace falta para la pregunta no tiene por qué salir de la oficina.

Lo que hace Nonimo

Nonimo es una app para Windows y Mac que trabaja antes de que el texto llegue al chat. Seleccionás el fragmento, presionás la tecla que elegiste y los datos personales se cambian por etiquetas como [PERSONA_1]. Cuando copiás la respuesta y presionás la misma tecla, cada etiqueta vuelve a su valor en tu pantalla. Tu texto se tapa en tu computadora; a Nonimo no le llega.

En textos uruguayos tapa nombres, correos, celulares y teléfonos con el +598, direcciones, el pasaporte y el número de historia clínica. Lo ves todo: cada dato tapado se marca en pantalla y se deshace con un clic. Si un dato queda a la vista (por ejemplo, la cédula o el RUT), seleccionalo y hacé clic en Tapar. Más en la página de seguridad.

Si lo que tenés que compartir es un archivo, las herramientas web tapan los datos personales de un PDF, un Word, un Excel, un PowerPoint o un CSV, y te lo devuelven listo.

Nonimo no reemplaza tu política de privacidad ni la inscripción de tus bases. Resuelve el paso que más fácil se olvida: que un dato que nadie necesitaba termine en un servidor que no conocés.

La Ley 18.331 según tu actividad

• Estudios contables. Recibos de sueldo, planillas del BPS y declaraciones ante la DGI. Lo vemos en estudios contables.
• Médicos y consultorios. La historia clínica es dato sensible y la Ley 18.335 la declara reservada. Lo contamos en médicos y consultorios.
• Inmobiliarias. Contratos de alquiler, garantías y copias de la cédula de los inquilinos.

Y si en tu empresa todavía no hay reglas escritas sobre qué se pega en un chat, el modelo de política de uso de IA en empresas es un buen primer paso.

Fuentes

Consultadas el 24 de octubre de 2026 en IMPO y gub.uy.

• Ley 18.331, de Protección de Datos Personales, Documento Actualizado. Texto en IMPO. Artículos 1 a 19, 21 a 23, 28 a 31, 34, 35 y 37 a 45.
• Decreto 414/009, reglamento de la Ley 18.331, Documento Actualizado. Texto en IMPO. Artículos 1 a 6, 9, 14 a 17, 19, 20, 34 y 35.
• Decreto 64/020, reglamento de los artículos 37 a 40 de la Ley 19.670 y del artículo 12 de la Ley 18.331. Texto en IMPO. Artículos 1 a 14.
• Ley 19.670, artículos 37, 38 y 40. Texto en IMPO.
• Ley 20.212, artículo 74. Texto en IMPO.
• Unidad Reguladora y de Control de Datos Personales: sitio oficial, con «Conocé tus derechos», «Obligaciones», trámites y formularios.

Esta guía resume la ley y no reemplaza la asesoría de un abogado.