Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
Regulamentações › Resto do mundo › Uruguai
LPDP
Lei 18,331 de Proteção de Dados Pessoais e Ação de Habeas Data
QuandoEm vigor desde 18 de agosto de 2008
Quem fiscalizaUnidade Reguladora e de Controle de Dados Pessoais (URCDP)
A quem se aplicaTratamento público e privado de dados pessoais no Uruguai, e controladores estrangeiros que direcionam atividades a pessoas no país ou as monitoram.
Avisar o reguladorNotificar a URCDP em até 72 horas após tomar conhecimento de uma violação e, em seguida, apresentar um relatório detalhado so…
DPO obrigatórioDPO obrigatório para órgãos públicos, entidades de controle majoritariamente estatal, entidades privadas cuja atividade princ…
RegistroTodos os bancos de dados públicos e privados, exceto os puramente pessoais, devem ser registrados na…
Transferências para o exteriorTransferências proibidas para países sem proteção adequada, exceto em casos listados (consentimento expl…
Prazo para solicitaçõesSolicitações de acesso e de retificação ou supressão em até 5 dias úteis
Multa máximaAté 500,000 unidades indexadas (UI) (aproximadamente USD 80,000), além de advertência ou suspensão do banco de da…
Every requirement we score, with the rule in plain words and the section it comes from. Darker means more demanding. See every law side by side →
Alcance e base legal
Alcance extraterritorial
2
Applies to non-established controllers offering goods or services to, or analyzing behavior of, people in Uruguay, or using means located there.Decree 64/020 art. 1 (Law 19,670 art. 37) · source ↗
Base legal
3
Consent is the default basis, with exceptions for public sources, state functions, limited listings, contracts and domestic use. No legitimate interests.Art. 9 · secondary source · source ↗
Law text read from a utility-hosted copy of the official law.
Consentimento
3
Consent must be free, prior, express and informed, and must be documented.Arts. 4(C), 9 · secondary source · source ↗
Dados sensíveis
2
No one may be compelled to provide sensitive data; processing needs express written consent or legal authorization for general interest.Art. 18 · secondary source · source ↗
Crianças
0
No child-specific rule or age threshold in the Law; minors' data listed among vulnerable groups triggering a DPIA.Not addressed; Decree 64/020 art. 6 · source ↗
Direitos das pessoas
Direitos
2
Access, rectification, updating, inclusion, suppression; challenge automated decisions; removal or blocking of marketing data.Arts. 14-16, 21 · secondary source · source ↗
Prazo para solicitações
3
Access and rectification or suppression requests within 5 business days.Arts. 14, 15 · secondary source · source ↗
Marketing
1
Marketing profiles only from public sources, data provided by the holder or with consent; holder may request removal or blocking at any time.Art. 21 · secondary source · source ↗
Governança
DPO obrigatório
1
DPO required for public bodies, majority state-owned entities, private entities whose core business is sensitive data, and those processing data of over 35,000 people.Decree 64/020 art. 10 (Law 19,670 art. 40) · source ↗
Qualificações do DPO
2
DPO must prove specialized legal knowledge in data protection; designation must be communicated to the URCDP within 90 days.Decree 64/020 arts. 12, 14 · source ↗
Registro
2
All public and private databases, other than purely personal ones, must be registered with the URCDP, including foreign controllers in scope.Arts. 28-29; Decree 64/020 art. 2 · secondary source · source ↗
DPIA
2
DPIA required before processing core sensitive data, profiling, vulnerable groups, large volumes, or transfers to non-adequate countries.Decree 64/020 arts. 6-7 · source ↗
Registros
1
Accountability measures must be documented and available to the URCDP; database registration describes processing.Decree 64/020 art. 5 · source ↗
Retenção
2
Delete data once no longer necessary; negative credit records limited to 5 years, renewable once.Arts. 8, 22 · secondary source · source ↗
Violações
Avisar o regulador
2
Notify the URCDP within 72 hours of becoming aware of a breach, then file a detailed report once resolved.Decree 64/020 art. 4 · source ↗
Informar as pessoas
2
Notify affected individuals of significant breaches in clear, simple language.Decree 64/020 art. 4 · source ↗
Transferências
Transferências para o exterior
2
Transfers prohibited to countries without adequate protection, except listed cases (explicit consent, contract, vital interest); URCDP may authorize transfers with safeguards.Art. 23 · secondary source · source ↗
Fiscalização
Multa máxima
1
Up to 500,000 indexed units (UI) (roughly USD 80,000), plus warning or suspension of the database.Art. 35 · secondary source · source ↗
Responsabilidade criminal
0
No criminal offenses in the data protection law.Not addressed · secondary source · source ↗
Ação privada
2
Habeas data court action with summary procedure to access, rectify, include or delete data.Arts. 37-45 · secondary source · source ↗
Scores are our reading on the published rubric, checked 18 October 2026. Not legal advice.
Biblioteca de regulamentações
Todas as leis estaduais de privacidade dos EUA em um só mapa
24 estados têm uma lei abrangente de privacidade na biblioteca, ao lado das leis da UE, do Reino Unido, federais dos EUA e globais: 102 no total, cada uma explicada em linguagem simples com suas fontes. Selecione um estado para ver o que se aplica lá.
- Em vigor
- Entrando em vigor
- Leis setoriais