Guía informativa 2026
Ley 25.326 de Protección de Datos Personales: Qué Debe Tener en Cuenta una Empresa
Esta guía explica, en lenguaje simple, qué pide la Ley 25.326 de protección de los datos personales a una empresa que guarda datos de clientes, y qué significa en la práctica desde el lado técnico. Está basada en el texto oficial de la ley y en lo que publica la Agencia de Acceso a la Información Pública (AAIP), con la fuente y la fecha de cada dato al final.
- Respuesta
- 24 h
- Cobertura
- Toda Argentina
- Trayectoria
- 19+ años
Empresas que ya trabajan con nosotros
Respuesta corta
La Ley 25.326 protege los datos personales en Argentina. Si tu empresa guarda datos de clientes, debe recabarlos con información clara y consentimiento, protegerlos con medidas técnicas y organizativas, atender los derechos de acceso, rectificación y supresión, y revisar si su base debe inscribirse ante la AAIP. Esta guía no es asesoramiento legal.
Actualizado:
Una advertencia importante: es información general y técnica, no es asesoramiento legal y no reemplaza la consulta con un abogado. Las normas cambian y cada caso tiene particularidades. Nuestro aporte es la parte técnica: ayudarte a ver qué datos tienes, dónde están y cómo se protegen.
¿Qué es la Ley 25.326 y a quién alcanza?
La Ley 25.326 es la ley nacional de protección de los datos personales. Fue sancionada el 4 de octubre de 2000, promulgada parcialmente el 30 de octubre de 2000 y publicada en el Boletín Oficial el 2 de noviembre de 2000. Su objetivo es la protección integral de los datos personales, para garantizar el derecho al honor y a la intimidad de las personas, y el acceso a la información que se registre sobre ellas.
La ley define como datos personales la información de cualquier tipo referida a personas físicas o de existencia ideal determinadas o determinables, y aclara que también se aplica, en cuanto resulte pertinente, a los datos de personas jurídicas. Los datos sensibles son los que revelan, entre otras cosas, origen racial y étnico, opiniones políticas, convicciones religiosas, afiliación sindical e información sobre la salud o la vida sexual. Una base de datos es un conjunto organizado de datos personales que se trata o procesa, sea en papel o en formato electrónico.
El texto de la ley habla de bases públicas y de bases privadas "destinadas a dar informes". El decreto reglamentario 1558/2001 (art. 1) precisa que, entre las privadas, quedan comprendidas las que exceden el uso exclusivamente personal y las que tienen como finalidad ceder o transferir datos personales. Por eso conviene asumir que la ley alcanza a la base de clientes de una empresa, sea grande o pyme, de Córdoba o de cualquier lugar del país; si tu caso entra en alguna excepción, es una consulta para un abogado. Quien decide sobre la base es el responsable; la persona a quien se refieren los datos es el titular.
Qué datos manejas sin darte cuenta
Muchas empresas creen que no tienen una base de datos personales, y casi todas la tienen:
- La lista de clientes, en una planilla, en un sistema de gestión o en un CRM.
- Los datos de quienes se contactan por el formulario del sitio, por correo o por WhatsApp.
- Los pedidos y las cuentas de una tienda online.
- Los legajos del personal y los datos de postulantes.
- Los datos de huéspedes, pacientes, alumnos o inquilinos, y los de herramientas conectadas como analítica, correo masivo o asistentes de IA.
El primer paso para cumplir es un inventario: qué datos hay, dónde están, para qué se usan, quién accede y con qué proveedores se comparten.
Antes de seguir
¿Hablamos de tu proyecto?
Cuéntanos qué necesitas y te respondemos con un presupuesto concreto en menos de 24 horas.
Las obligaciones principales, en la práctica
Esta tabla resume los artículos que más suelen importar a una empresa y qué significan en términos prácticos. Es un resumen y no cubre todos los casos ni las excepciones.
| Tema | Qué dice la ley | En la práctica |
|---|---|---|
| Calidad de los datos (art. 4) | Deben ser ciertos, adecuados, pertinentes y no excesivos para su finalidad, y destruirse cuando dejan de ser necesarios | Pide solo lo que necesitas, mantenlo actualizado y define cuánto tiempo lo guardas |
| Consentimiento (art. 5) | El tratamiento requiere consentimiento libre, expreso e informado, por escrito o por un medio equivalente. No se exige, entre otros casos, cuando los datos derivan de una relación contractual o profesional y son necesarios para cumplirla | Formularios con aviso claro y una confirmación que puedas demostrar; si una excepción te aplica, lo define un abogado |
| Información al titular (art. 6) | Antes de recabar datos hay que informar la finalidad, los destinatarios, quién es el responsable, si las respuestas son obligatorias y los derechos de la persona | Un aviso de privacidad visible en el sitio y en cada formulario |
| Datos sensibles (art. 7) | Nadie puede ser obligado a dar datos sensibles, y su tratamiento tiene límites estrictos | Si trabajas con datos de salud u otros sensibles, aplica más controles y consulta a un abogado |
| Seguridad (art. 9) | El responsable debe adoptar medidas técnicas y organizativas para garantizar la seguridad y la confidencialidad, y evitar la pérdida o el acceso no autorizado | Permisos mínimos, claves y doble verificación, copias de seguridad, actualizaciones y registro de incidentes |
| Confidencialidad (art. 10) | Quien trata los datos está obligado al secreto profesional, incluso después de terminada la relación | Acuerdos de confidencialidad con el personal y los proveedores |
| Cesión a terceros (art. 11) | Los datos solo pueden cederse para fines relacionados con el interés legítimo de las partes y con el consentimiento previo del titular, salvo excepciones | Revisa qué proveedores reciben datos (hosting, nube, correo masivo, herramientas de IA) y bajo qué condiciones; si los datos salen del país, consulta a un abogado por las reglas de transferencia internacional |
| Acceso, rectificación y supresión (arts. 14 y 16) | La persona puede pedir ver sus datos y pedir que se rectifiquen, actualicen o supriman | Un canal y un responsable para recibir esos pedidos y responder a tiempo |
| Registro (art. 21) | Los archivos o bases públicos, y los privados destinados a dar informes, deben inscribirse en el registro del organismo de control | Verifica en el sitio de la AAIP si tu base debe inscribirse |
Seguridad de los datos: qué recomienda la AAIP
El artículo 9 pide medidas "técnicas y organizativas" pero no dice cuáles. La AAIP publicó la Resolución 47/2018 (23 de julio de 2018, publicada el 25 de julio de 2018) con medidas de seguridad recomendadas para el tratamiento y la conservación de datos personales en medios informatizados. El anexo las presenta "de modo referencial", para facilitar el cumplimiento de la ley, y las agrupa en ocho áreas:
- Recolección de datos.
- Control de acceso.
- Control de cambios.
- Respaldo y recuperación.
- Gestión de vulnerabilidades.
- Destrucción de la información.
- Incidentes de seguridad.
- Entornos de desarrollo.
Casi todas son trabajo técnico que se puede ordenar: quién accede a qué, si hay copias que se pueden restaurar, si el sistema está actualizado y qué se hace si hay un incidente. Si desarrollas o encargas software, importa el área de entornos de desarrollo: conviene cuidar qué datos reales se usan para probar.
Inscripción de bases de datos ante la AAIP
La AAIP indica en su sitio que los archivos y bases de datos que permiten obtener información sobre las personas deben estar inscriptos en el Registro Nacional de Bases de Datos Personales, y que incumplir esa obligación puede acarrear sanciones. Están exceptuados los archivos de uso exclusivo personal, como la agenda de contactos de una computadora personal. El trámite se hace por la plataforma de Trámites a Distancia (TAD), y la inscripción del responsable es requisito previo para registrar una base. Si el responsable es una persona jurídica, se hace con la clave fiscal o apoderando a una persona física.
Si tu empresa debe inscribir sus bases lo define un abogado. La AAIP ofrece en su sitio una sección para consultar si tienes que registrar tus bases, y un módulo de protección de datos personales dentro del RITE, una plataforma voluntaria y gratuita pensada, entre otros, para pymes, con normativa, glosario, evaluación del riesgo y plan de protección de datos.
Derechos de las personas y plazos para responder
Los titulares de los datos tienen derechos que la empresa debe poder atender:
- Acceso (art. 14): la persona puede pedir la información que tienes sobre ella. La ley fija diez días corridos para responder desde que se intima de forma fehaciente. El acceso es gratuito a intervalos no inferiores a seis meses, salvo que se acredite un interés legítimo.
- Rectificación, actualización o supresión (art. 16): el responsable debe actuar dentro de los cinco días hábiles de recibido el reclamo. Mientras se verifica, los datos se bloquean o se marcan como en revisión. La supresión puede negarse si perjudica derechos de terceros o si hay una obligación legal de conservarlos.
Conviene tener definido quién recibe estos pedidos y dónde están los datos. Es tan técnico como legal: si los datos están repartidos en cinco planillas y tres sistemas, responder en cinco días es difícil.
Qué pasa si no se cumple
La ley prevé sanciones administrativas que aplica la AAIP: apercibimiento, suspensión, multa y clausura o cancelación del archivo (art. 31), sin perjuicio de la responsabilidad civil que corresponda. Los montos y la graduación los fija la autoridad, y cambian, por lo que no los reproducimos aquí: consúltalos en la fuente oficial o con un abogado.
La ley también incorporó al Código Penal delitos como insertar datos falsos en un archivo de datos personales y acceder de forma ilegítima a un banco de datos o violar su seguridad (arts. 117 bis y 157 bis).
El proyecto de reforma: qué se sabe y qué no
Hay un proyecto para reemplazar la ley. Según el estudio jurídico Marval O’Farrell Mairal (27 de agosto de 2026), el diputado Agustín Rossi volvió a presentarlo el 16 de julio de 2026, a partir del proyecto que el Poder Ejecutivo envió al Congreso en 2023. Entre otras cosas, propone un régimen que obligaría a avisar los incidentes de seguridad a la autoridad dentro de las 72 horas.
Todavía no es ley y puede cambiar, así que la norma vigente al 24 de octubre de 2026 sigue siendo la 25.326. Prepararte desde ahora (inventario de datos, accesos ordenados, copias que se restauran) sirve en cualquier escenario.
Cómo ayudamos nosotros y cuándo necesitas un abogado
Hacemos la parte técnica: ayudamos a inventariar qué datos hay y dónde están, revisamos accesos, copias, actualizaciones, formularios y proveedores, y proponemos medidas de seguridad alineadas con lo que recomienda la AAIP, en sitios web, tiendas online, sistemas a medida y apps. Es orientación técnica y no es asesoramiento legal.
Necesitas un abogado para todo lo jurídico: redactar la política de privacidad y los consentimientos, decidir si tus bases deben inscribirse, evaluar las excepciones al consentimiento, resolver qué avisar tras un incidente y responder a un reclamo. Atendemos a distancia en Córdoba capital, Villa Carlos Paz, Alta Gracia, Río Cuarto, Villa María y toda Argentina, y en persona en el valle de Calamuchita.
Cuéntanos qué datos manejas y te respondemos con una estimación de horas. Escríbenos por WhatsApp o revisa los planes por horas. El presupuesto no tiene costo.
Cuándo no somos la mejor opción
No somos la mejor opción si lo que necesitas es asesoramiento legal, una política de privacidad redactada, la presentación ante la AAIP o la defensa ante un reclamo: eso corresponde a un abogado. Tampoco si buscas una certificación, un monitoreo permanente o una prueba de intrusión formal. Y si tu presupuesto es menor que nuestro plan más chico (20 horas al mes), conviene empezar con el inventario de datos y las herramientas gratuitas de la AAIP. Para comparar proveedores lee cómo elegir una empresa de seguridad informática en Argentina.
Seguir leyendo según tu caso
- La página del servicio completo: seguridad informática.
- Para ordenar tus prioridades, ciberseguridad para pymes en Argentina.
- Si ya pasó algo, mi página web fue hackeada: qué hacer y cómo proteger tu empresa del ransomware.
- Para tu zona, seguridad informática en Córdoba o en Calamuchita, y el resto de las localidades.
- Para capacitar al equipo, capacitación en IA para empresas. Más guías en el blog.
Fuentes y fecha de verificación
Datos consultados el 24 de octubre de 2026. Las normas, las guías y las cifras de terceros cambian: confírmalas en la fuente antes de decidir.
- Ley 25.326 de Protección de los Datos Personales, texto oficial en argentina.gob.ar (consultado el 24 de octubre de 2026)
- AAIP: obligaciones de los responsables de bases de datos personales (consultada el 24 de octubre de 2026)
- AAIP: trámites del Registro Nacional de Bases de Datos Personales (consultada el 24 de octubre de 2026)
- AAIP: Resolución 47/2018, medidas de seguridad recomendadas en medios informatizados (23 de julio de 2018)
- AAIP y Oficina Anticorrupción: módulo de protección de datos personales del RITE (consultado el 24 de octubre de 2026)
- Marval O’Farrell Mairal: nuevo proyecto de ley de protección de datos (27 de agosto de 2026)
