Seguridad y notificación de vulneraciones en Uruguay: qué exige el Decreto 64/020 al hosting
Información vigente al 30.09.2026. Guía informativa, no asesoría legal.
Qué dicen los artículos 3 y 4 del Decreto 64/020 sobre incidentes de seguridad, plazos de 24 y 72 horas, y qué papel juega tu proveedor de hosting.
Respuesta corta
- 1El Decreto 64/020 fue promulgado el 17 de febrero de 2020 y publicado el 21 de febrero de 2020; regula las medidas de seguridad y la comunicación de vulneraciones en el tratamiento de datos personales.
- 2Según su artículo 3, al constatarse un incidente de seguridad, los responsables y encargados deben iniciar los procedimientos para minimizar su impacto dentro de las primeras 24 horas.
- 3Según su artículo 4, el responsable debe comunicar la vulneración a la Unidad Reguladora y de Control de Datos Personales dentro de las 72 horas de conocida; si la conoce el encargado, debe informarla de inmediato al responsable.
- 4Un proveedor de hosting suele actuar como encargado: tú sigues siendo el responsable. 4hosting tiene servidores en Fráncfort, no en Uruguay, y no certifica ni firma el cumplimiento legal de tu empresa.
Qué establece el Decreto 64/020
El Decreto 64/020 reglamenta normas de la Ley N.º 18.331 de protección de datos personales sobre seguridad de la información. Su texto puede consultarse en IMPO (impo.com.uy). Aquí resumimos solo los dos artículos que más afectan a quien contrata un hosting.
No afirmamos una fecha de entrada en vigencia distinta de la publicación: el texto consultado no la indica por separado. Confírmala en el decreto completo o con tu asesor legal.
Primeras 24 horas: minimizar el impacto
El artículo 3 dice que, una vez constatado un incidente de seguridad, los responsables y encargados del tratamiento deben iniciar los procedimientos necesarios para minimizar su impacto dentro de las primeras 24 horas. Para un sitio alojado en un servidor de terceros, esto exige saber de antemano quién puede aislar el sistema, restaurar copias y cambiar credenciales.
72 horas: comunicar a la Unidad Reguladora y a los afectados
El artículo 4 establece que el responsable comunica la vulneración a la Unidad Reguladora y de Control de Datos Personales dentro de las 72 horas de conocida, informa a las personas afectadas en lenguaje claro y presenta un informe detallado una vez resuelta. Si la vulneración fue conocida por el encargado, este la comunica de inmediato al responsable.
En la práctica, el plazo de 72 horas de tu empresa depende de que el hosting te avise sin demora. Conviene fijar por escrito en el contrato el canal, el contacto y el contenido mínimo de ese aviso.
Tres ejemplos
Tienda en línea en Montevideo
Guarda datos de compradores. Si el servidor sufre una intrusión, la tienda debe iniciar la contención dentro de las 24 horas y, siendo la responsable, valorar la comunicación a la Unidad Reguladora dentro de las 72 horas.
Consultorio profesional en Punta del Este
Maneja datos de pacientes. Necesita un acuerdo con el proveedor sobre a quién avisa este, cómo y con qué información, y un procedimiento probado de restauración de copias de seguridad.
Agencia digital con sitios de clientes
Aloja sitios de terceros y suele ser encargada frente a ellos: debe avisar de inmediato a cada cliente responsable si conoce una vulneración, y exigir lo mismo a su propio proveedor.
Errores frecuentes
- Creer que contratar un hosting traslada al proveedor la responsabilidad legal: el responsable sigue siendo tu empresa.
- No dejar por escrito quién avisa a quién, por qué medio y con qué información si hay una vulneración.
- No tener un procedimiento de contención que pueda arrancar dentro de las primeras 24 horas.
- Guardar copias de seguridad sin haber probado que se pueden restaurar.
- Esperar a tener el informe completo antes de avisar, cuando el aviso al responsable debe ser inmediato.
Cómo te ayuda 4hosting
Alojamos tu sitio en la Unión Europea (Fráncfort, no en Uruguay), con protección DDoS incluida, contrato de encargo de tratamiento (DPA, art. 28 RGPD), cláusulas contractuales tipo para transferencias y migración gratuita. Trabajamos con alineación a ISO 27001; no tenemos certificaciones de cumplimiento ni firmamos el cumplimiento legal por ti. Si necesitas ayuda con endurecimiento de servidores, WAF o planes de respuesta a incidentes, los servicios de DevOps y ciberseguridad se prestan por horas incluidas en los planes que las contemplan.
Preguntas frecuentes
¿Los servidores de 4hosting están en Uruguay?
No. El centro de datos de 4hosting está en la Unión Europea, en Fráncfort.
¿4hosting ofrece un contrato de encargo de tratamiento?
Sí, ofrece un contrato de encargo (DPA) conforme al artículo 28 del RGPD y cláusulas contractuales tipo para transferencias. No sustituye el análisis legal de tu empresa.
¿4hosting garantiza que cumplo el Decreto 64/020?
No. 4hosting no es un certificador ni firma el cumplimiento legal del cliente, y no tiene certificaciones de cumplimiento; trabaja con alineación a ISO 27001. La responsabilidad sigue siendo tuya. Este texto es informativo y no es asesoría legal.