Toda empresa que trate datos de clientes, empleados o proveedores en Argentina está obligada a inscribir sus bases de datos ante la Agencia de Acceso a la Información Pública. La mayoría no lo hace, y opera sin saber que la inscripción es una condición de licitud, no un trámite opcional. La Ley 25.326 lo exige desde el año 2000, y sigue plenamente vigente mientras se discute su reforma en el Congreso.
Argentina fue pionera en la región: su ley de datos personales es una de las más antiguas de Latinoamérica y le valió al país la declaración de nivel adecuado de protección por parte de la Unión Europea. Esa antigüedad tiene un costo. La norma tiene 25 años y no contempla la escala actual de la nube, la inteligencia artificial ni el perfilamiento masivo. La reforma que se debate busca cerrar esa brecha.
Qué es la Ley 25.326 y a quién obliga
La Ley 25.326 de Protección de los Datos Personales, sancionada en 2000 y conocida también como Ley de Hábeas Data, reglamenta el derecho constitucional del artículo 43 de la Constitución Nacional. Regula cómo las organizaciones públicas y privadas pueden recolectar, tratar, ceder y conservar datos de personas.
La obligación alcanza a toda persona humana o jurídica que trate datos personales con fines distintos al uso personal o doméstico. Si tu empresa tiene una base de clientes, un registro de empleados o una lista de proveedores, la ley te alcanza. Su reglamentación, el Decreto 1558/2001, y las resoluciones de la AAIP completan el marco operativo.
La ley da protección reforzada a los datos sensibles, que define como los que revelan origen racial o étnico, opiniones políticas, convicciones religiosas o morales, afiliación sindical, e información referente a la salud o a la vida sexual. Tratar datos sensibles exige condiciones más estrictas de consentimiento y seguridad.
La autoridad es la AAIP
La Agencia de Acceso a la Información Pública es el organismo de control de la Ley 25.326. Administra el Registro Nacional de Bases de Datos Personales, fiscaliza el cumplimiento, atiende denuncias de los titulares y aplica sanciones. La AAIP concentra dos competencias: la protección de datos personales bajo la Ley 25.326 y el acceso a la información pública bajo la Ley 27.275.
Dentro de la AAIP funciona la Dirección Nacional de Protección de Datos Personales, que orienta, fiscaliza e inicia los procedimientos sancionadores. Es el equivalente argentino de la ANPD peruana o la SIC colombiana.
Los principios que rigen el tratamiento
La Ley 25.326 fija principios que toda organización debe respetar al tratar datos personales.
- El tratamiento requiere el consentimiento libre, expreso e informado del titular, salvo las excepciones que la ley contempla, como el cumplimiento de una obligación legal.
- Los datos se recogen para fines determinados y no pueden usarse de forma incompatible con esos fines.
- Calidad de los datos. Deben ser ciertos, adecuados, pertinentes y no excesivos respecto de la finalidad.
- Información al titular. El artículo 6 obliga a informar de forma expresa y clara la existencia de la base, su finalidad, el responsable, y los derechos de acceso, rectificación y supresión.
- Seguridad y confidencialidad. El responsable debe adoptar las medidas técnicas y organizativas que garanticen la seguridad de los datos y eviten su adulteración, pérdida o acceso no autorizado.
El principio de seguridad es el que se traduce en controles verificables, y el que más pesa cuando la AAIP evalúa un incidente.
La inscripción obligatoria ante la AAIP
El artículo 21 de la Ley 25.326 obliga a inscribir las bases de datos públicas y privadas destinadas a dar informes en el Registro Nacional de Bases de Datos Personales. Es la obligación formal central de la ley, y la que más empresas incumplen sin saberlo.
El trámite se gestiona a través de la plataforma Trámites a Distancia de la AAIP. La empresa se inscribe primero como responsable del tratamiento y luego declara cada una de sus bases, con su finalidad y las medidas de seguridad aplicadas. Quedan exceptuados solo los archivos de uso exclusivamente personal o doméstico, como la agenda de contactos de una persona.
Una base de clientes, un registro de empleados, una base de usuarios de una aplicación: todas quedan alcanzadas. Incluso una empresa sin sede en Argentina que recolecta datos de residentes argentinos a través de una web o una app debería registrar su base local para demostrar cumplimiento.
Cómo inscribir tus bases en el Registro Nacional ante la AAIP [/ar/registro-nacional-bases-de-datos-argentina/]
Cuánto cuesta incumplir
El régimen sancionatorio se actualizó con las Resoluciones AAIP 240/2022 y 244/2022. La primera clasificó las infracciones en leves, graves y muy graves. La segunda fijó los topes de multa cuando un acto sancionatorio acumula varias sanciones por la misma conducta: hasta 3 millones de pesos para las leves, 10 millones para las graves y 15 millones para las muy graves.
Un matiz relevante para las empresas: tratar datos sin estar inscrito, o no inscribir una base, quedó clasificado como infracción leve bajo el nuevo régimen. Esto no significa que la inscripción sea menor. Significa que el riesgo real no está tanto en la multa administrativa, que es acotada, como en dos consecuencias más serias que se detallan abajo.
La primera es la responsabilidad penal. La segunda es que la falta de inscripción funciona como agravante en una inspección o en un juicio, y bloquea la participación en licitaciones y contrataciones donde se exige acreditar cumplimiento.
Para dimensionar la actividad del organismo: según el último informe anual publicado por la AAIP, correspondiente a 2022, la Agencia dictó 52 resoluciones sancionatorias por infracciones a la ley, con multas que totalizaron cerca de 7,4 millones de pesos, y se inscribieron 1.349 responsables y 2.035 bases de datos. La fiscalización argentina es más pausada que la de otros países de la región, pero la obligación es exigible y el escenario cambia con la reforma.
Cuando el incumplimiento cruza a lo penal
La Ley 26.388 de 2008 incorporó al Código Penal los delitos informáticos. Dos artículos conectan directamente con la protección de datos. El artículo 157 bis castiga con prisión a quien accede a sabiendas e ilegítimamente a un banco de datos personales, o revela información registrada que estaba obligado a preservar. El artículo 153 bis penaliza el acceso ilegítimo a un sistema o dato informático de acceso restringido, con pena agravada cuando la víctima es un organismo público o un proveedor de servicios financieros.
Esto cambia el cálculo de riesgo. Una brecha de datos causada por un acceso indebido deja de ser solo un problema administrativo ante la AAIP y puede escalar a una causa penal contra las personas involucradas.
Qué tipifica la Ley 26.388 de delitos informáticos [/ar/ley-26388-delitos-informaticos/]
La reforma que se discute
La Ley 25.326 cumplió 25 años y hay varios proyectos de reforma en el Congreso. Buscan alinear la norma con estándares internacionales e incorporar responsabilidad proactiva, privacidad por diseño y por defecto, notificación de brechas, portabilidad de datos y reglas sobre decisiones automatizadas e inteligencia artificial. Ninguno se ha aprobado al cierre de esta guía.
Para una empresa, la lectura es directa: las obligaciones que hoy son exigibles seguirán vigentes, y la reforma agregará otras nuevas. Adecuarse ahora a la ley actual es también preparar el terreno para lo que viene.
Qué parte del cumplimiento se resuelve con tecnología
La Ley 25.326 combina obligaciones legales con obligaciones técnicas que solo se sostienen con controles reales.
- Saber qué datos personales tienes y dónde están. Condición para inscribir las bases con exactitud y para responder una solicitud de un titular.
- Controlar quién accede a ellos. Privilegio mínimo y autenticación fuerte, en particular sobre datos sensibles.
- Poder demostrar las medidas de seguridad. La ley exige seguridad y confidencialidad, y ante un incidente la colaboración y las medidas correctivas demostrables operan como atenuante.
Las organizaciones sobre plataforma Microsoft tienen buena parte de estos controles disponibles en licencias que ya pagan. Purview clasifica y protege los datos personales, Entra ID gobierna el acceso, Defender y Sentinel dejan la traza que sustenta una defensa ante la AAIP.
Por dónde empezar
Si tu empresa no está inscrita ante la AAIP, ese es el primer movimiento, porque es la condición de licitud de todo el tratamiento. Si ya lo está, el paso siguiente es verificar que las bases declaradas coincidan con las que operas en la práctica, y que las medidas de seguridad que informaste existan de verdad. Esa coincidencia es lo que sostiene una defensa si la Agencia fiscaliza. Conversemos en una reunión de 30 minutos.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Quieres un diagnóstico de cumplimiento para tu empresa?
En XMS hacemos una sesión inicial sin costo: revisamos tu entorno Microsoft, identificamos las brechas frente a la Ley 25.326 y te entregamos una hoja de ruta priorizada.
Preguntas frecuentes
Es la Ley de Protección de los Datos Personales de Argentina, sancionada en 2000, conocida también como Ley de Hábeas Data. Regula cómo las organizaciones tratan datos personales y la aplica la Agencia de Acceso a la Información Pública.
Sí, si tratas datos con fines distintos al uso personal o doméstico. El artículo 21 obliga a inscribir las bases en el Registro Nacional de Bases de Datos Personales que administra la AAIP, a través de la plataforma Trámites a Distancia.
Según las Resoluciones 240/2022 y 244/2022, los topes son de hasta 3 millones de pesos para infracciones leves, 10 millones para graves y 15 millones para muy graves. Además de la multa, un incumplimiento puede derivar en responsabilidad penal bajo la Ley 26.388.
Hay proyectos de reforma en el Congreso que buscan modernizar la norma con responsabilidad proactiva, notificación de brechas y reglas de inteligencia artificial. Al cierre de esta guía ninguno se ha aprobado, y la ley vigente sigue siendo la 25.326.
