Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales

Artículo 31. Prestación de servicios o tratamiento por encargo

31.1 El encargado del tratamiento de datos personales se encuentra prohibido de transferir a terceros los datos personales objeto de la prestación de servicios de tratamiento, a menos que el titular del banco de datos personales o responsable del tratamiento que le encargó el tratamiento lo haya autorizado y el titular del dato personal haya brindado su consentimiento, en los supuestos que dicho consentimiento sea requerido conforme a Ley.

31.2 El plazo para la conservación de datos personales al que hace referencia el artículo 30 de la Ley es como máximo de dos (2) años contados desde la finalización del último encargo realizado. La conservación de datos personales en un plazo mayor al establecido sólo puede realizarse en el supuesto previsto en el segundo párrafo del artículo 30 de la Ley o porque así lo dispone expresamente una disposición normativa vigente, para tal caso los datos deben ser devueltos al responsable de tratamiento para su conservación mientras la obligación legal persista. La conservación indeterminada de los datos personales, por regla general, está prohibida.

31.3 Lo dispuesto en el presente artículo es aplicable, en lo que corresponda, a la subcontratación de la prestación de servicios de tratamiento de datos personales.

Comentario

El artículo regula el régimen de responsabilidad y límites del encargado del tratamiento de datos personales cuando actúa por cuenta ajena. Prohíbe transferencias de datos a terceros sin autorización del responsable y consentimiento del titular cuando corresponda, establece plazo máximo de conservación de dos años tras la finalización del encargo, y extiende estas reglas a la subcontratación.

Temas: encargado del tratamiento, transferencia de datos personales, plazo de conservación, consentimiento del titular, responsabilidades en cadena, subcontratación de datos