Argentina avanza hacia la entrada en vigencia de su nueva Ley de Datos Personales, que reemplazará a la Ley 25.326 vigente desde el año 2000. Las empresas que operan en el país tienen una ventana definida para adaptar sus procesos: quienes lleguen tarde al cumplimiento no solo enfrentarán sanciones de la Agencia de Acceso a la Información Pública (AAIP), sino que quedarán expuestos ante consumidores y socios comerciales cada vez más exigentes en materia de privacidad.
La reforma era inevitable. La Ley 25.326 fue sancionada antes de que existieran las redes sociales, el procesamiento masivo de datos en la nube o los modelos de negocio basados en la monetización de información personal. La nueva normativa, cuyo texto fue debatido durante años en el Congreso, actualiza los estándares argentinos acercándolos al Reglamento General de Protección de Datos (RGPD) de la Unión Europea y a la Lei Geral de Proteção de Dados (LGPD) de Brasil, que lleva operativa desde 2020 con multas ya aplicadas por la Autoridade Nacional de Proteção de Dados (ANPD). El diagnóstico regional es claro: los marcos normativos de primera generación ya no alcanzan.
Cinco obligaciones que las empresas argentinas no pueden postergar
El camino hacia el cumplimiento no es lineal, pero hay un conjunto de pasos que concentran la mayor parte del riesgo de incumplimiento. Basándonos en el análisis del marco legal y la experiencia comparada con Brasil y México —donde la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) lleva más de una década vigente—, estas son las áreas críticas que toda organización debe resolver antes de la entrada en vigor:
- Mapeo y registro de tratamientos: inventariar qué datos personales se recolectan, con qué base legal, por cuánto tiempo se conservan y quién tiene acceso. Sin este registro, el resto del cumplimiento es imposible de auditar.
- Revisión de bases de legitimación: el consentimiento deja de ser la única ni la principal base legal. Las empresas deben identificar cuándo aplica interés legítimo, ejecución contractual u obligación legal, y documentarlo correctamente.
- Actualización de avisos de privacidad y políticas internas: los textos vigentes en la mayoría de las organizaciones fueron redactados bajo la lógica de la Ley 25.326 y no contemplan nuevos derechos como la portabilidad o la limitación del tratamiento.
- Designación del responsable de protección de datos: la nueva ley incorpora la figura equivalente al Data Protection Officer (DPO). Definir si corresponde designarlo, con qué perfil y con qué nivel de independencia es una decisión que requiere análisis jurídico y organizacional.
- Protocolo de respuesta a brechas de seguridad: la notificación obligatoria a la autoridad de control y, en ciertos casos, a los titulares afectados, exige un procedimiento interno previamente documentado. Improvisar ante un incidente tiene un costo legal y reputacional alto.
La experiencia brasileña bajo la LGPD: lecciones para Argentina
Brasil es el espejo más útil para Argentina en este proceso. La LGPD entró en vigor en septiembre de 2020 y las primeras sanciones de la ANPD llegaron en 2023, con un período de gracia que muchas empresas interpretaron como inactividad regulatoria. El resultado: cuando las multas comenzaron, un porcentaje significativo de organizaciones medianas no tenía ni siquiera el mapeo de tratamientos completado, según reportes de consultoras especializadas en compliance de datos en Brasil. Argentina podría replicar ese patrón si las empresas subestiman el tiempo que toma implementar cambios estructurales.
México ofrece otro ángulo. La LFPDPPP —vigente desde 2010 y complementada por lineamientos del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI)— demostró que el aviso de privacidad, cuando se trata como un trámite formal en lugar de una herramienta de transparencia real, pierde toda eficacia. Las empresas argentinas tienen la oportunidad de no repetir ese error y diseñar avisos genuinamente informativos desde el inicio.
La AAIP como autoridad de control: capacidad sancionatoria reforzada
La nueva ley fortalece las atribuciones de la AAIP para investigar, requerir información y aplicar sanciones. Esto no es un detalle menor: bajo la Ley 25.326, la capacidad sancionatoria de la autoridad de control era limitada y las multas raramente representaban un desincentivo real para las grandes organizaciones. La reforma busca cambiar esa ecuación. Las empresas multinacionales que ya operan bajo RGPD o LGPD reconocerán el esquema; las de capital local, en cambio, necesitarán construir desde cero una cultura de accountability interno.
Un punto que suele pasarse por alto: la nueva normativa también alcanza a los encargados del tratamiento —proveedores tecnológicos, agencias de marketing, empresas de contact center— que procesan datos por cuenta de terceros. Revisar los contratos con proveedores y exigir garantías de cumplimiento es parte del trabajo de adecuación, no un paso opcional.
Qué monitorear en los próximos meses: reglamentación y guías de la AAIP
La ley, una vez promulgada, no opera en el vacío: necesita reglamentación que defina plazos de notificación de brechas, umbrales para la designación obligatoria del DPO y criterios de evaluación del impacto relativo al tratamiento de datos (equivalente al DPIA del RGPD). Las organizaciones deben monitorear activamente las publicaciones de la AAIP en el Boletín Oficial y participar en los espacios de consulta pública que la autoridad suele habilitar antes de emitir guías interpretativas. La experiencia de la ANPD brasileña —que publicó resoluciones clave sobre agentes de tratamiento de pequeño porte y sobre comunicación de incidentes— muestra que esos instrumentos secundarios son tan importantes como el texto de la ley.
Nuestro análisis
La actualización de la normativa argentina es positiva y necesaria, pero el riesgo real no está en el texto de la ley sino en el tiempo de implementación. Las organizaciones que esperan a que la AAIP publique la reglamentación completa para recién comenzar su diagnóstico interno llegarán tarde. Los cinco pasos identificados —mapeo, bases legales, avisos, DPO y protocolo de brechas— son independientes de los detalles reglamentarios pendientes y pueden iniciarse ahora. En la región, tanto Brasil como México mostraron que el período de gracia no es un regalo, sino una trampa para quienes lo confunden con inacción del regulador. Argentina tiene la ventaja de poder aprender de esos ciclos. La pregunta es si las empresas locales están dispuestas a usarla.
El cumplimiento temprano no es ventaja competitiva en abstracto: es el único escenario en el que una organización controla el ritmo de su adecuación en lugar de reaccionar ante una inspección.
