Protección de datos personales en Argentina: informe completo

leyes de privacidad y protección de datos, herramientas para el ciudadano

Ultima actualización Ago 4, 2026

Hubo varias filtraciones de datos personales que van publicando noticias periodísticas. Esto no debería pasar. La ley argentina es de avanzada en la materia, pero cuánta atención le damos?

1.- Ley 25.326 de Protección de Datos Personales (2000) y Decreto 1558/2001

La ley madre. Un cuarto de siglo sin reforma integral. Conceptos centrales:

Dato personal: información de cualquier tipo referida a personas físicas o de existencia ideal, determinadas o determinables.
Datos sensibles: origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, salud y vida sexual. Nadie puede ser obligado a proporcionarlos; en principio está prohibido formar bases que los revelen.
Consentimiento: el tratamiento es ilícito sin consentimiento libre, expreso e informado (art. 5), con excepciones tasadas (fuentes de acceso público irrestricto, funciones estatales, datos básicos limitados a nombre/DNI/ocupación/domicilio, relación contractual, entidades financieras conforme secreto bancario).
Principios: calidad del dato (ciertos, adecuados, pertinentes y no excesivos respecto de la finalidad), finalidad, seguridad (art. 9), confidencialidad (art. 10).
Cesión (art. 11): requiere consentimiento e interés legítimo, con el cedente y cesionario respondiendo solidariamente. La cláusula “y a terceros” en letra chica es impugnable.
Derechos ARCO: acceso, rectificación, actualización, supresión (arts. 14 a 16).
Art. 26: informes crediticios y derecho al olvido financiero (5 años / 2 años).
Art. 27: publicidad — derecho de retiro o bloqueo de cualquier base con fines publicitarios.

Autoridad de aplicación: la AAIP

Desde 2017, la Agencia de Acceso a la Información Pública absorbió la vieja Dirección Nacional de Protección de Datos Personales. Recibe denuncias, dicta criterios, sanciona. Problema estructural: el régimen de multas quedó pulverizado por la inflación — sancionar con montos simbólicos a empresas que facturan con tus datos es un incentivo, no un castigo. ⚠️ Verificar valores sancionatorios vigentes y resoluciones recientes.

Resoluciones útiles: 47/2018 (medidas de seguridad recomendadas) y 4/2019 (criterios orientadores: datos biométricos como sensibles cuando revelan información adicional, disociación, consentimiento, menores).

Estándar internacional y la ficha en juego

Argentina aprobó el Convenio 108 del Consejo de Europa (Ley 27.483, 2018) y el Protocolo de Enmienda “108+” (Ley 27.699, 2022), siendo pionera regional en ratificarlo. Y desde 2003 es “país adecuado” para la Unión Europea: los datos de europeos pueden fluir hacia acá sin garantías adicionales. En enero de 2024 la Comisión Europea renovó esa adecuación. Traducción económica: sin adecuación, la industria del software, los call centers y los servicios basados en conocimiento pierden competitividad exportadora. La protección de datos no es solo un derecho: es una ventaja comercial que se puede perder si la ley no se actualiza.

Leyes satélite (el ecosistema completo)

Ley 26.951 (Registro No Llame, 2014): derecho a no ser molestado por telemarketing.
Ley 26.529 (Derechos del Paciente): la historia clínica es tuya; tenés derecho a copia dentro de las 48 horas de pedirla (art. 14). Una de las herramientas más ignoradas del sistema.
Ley 11.723, art. 31 + CCyC arts. 53 y 55: derecho a la imagen — publicar tu retrato exige tu consentimiento, con excepciones (interés público, hechos públicos).
CCyC arts. 52, 1770: protección de la vida privada y reparación de la intromisión arbitraria (heredero del viejo art. 1071 bis).
LCT arts. 70 a 72: los controles personales del empleador deben salvaguardar la dignidad del trabajador, ser generales, automáticos y conocidos. Base del debate sobre monitoreo laboral.
Ley 26.388 y 27.411: delitos informáticos y Convenio de Budapest (acceso ilegítimo, violación de comunicaciones electrónicas).
Ley 27.736 (Ley Olimpia, 2023): violencia digital contra las mujeres; difusión no consentida de material íntimo.
Ley 27.706 (2023): programa federal de historia clínica electrónica única. ⚠️ verificar implementación.
Decreto 1766/2011 (SIBIOS): el sistema federal de identificación biométrica — huellas y rostros de toda la población a disposición de las fuerzas de seguridad. Casi nadie sabe que existe: nota en sí misma.
CABA: Ley 1845 (datos en bases públicas locales); regímenes provinciales propios.

La reforma pendiente

El Ejecutivo envió al Congreso en 2023 un proyecto de nueva ley estilo RGPD: multas en salarios mínimos, datos biométricos y genéticos expresamente sensibles, delegado de protección de datos, deber de notificar incidentes de seguridad (hoy una empresa hackeada no está obligada a avisarte), base de “interés legítimo”.

2. Jurisprudencia: los fallos que construyeron el derecho

3.1. El olvido financiero: “Martínez, Matilde c/ Organización Veraz” (CSJN, 2005)

El leading case del art. 26 inc. 4: los datos de morosidad solo pueden informarse por 5 años, y el plazo baja a 2 si la deuda se canceló. La discusión fue desde cuándo se cuenta el plazo; la Corte fijó pauta protectoria del deudor.

Alrededor de Martínez creció un bosque de fallos de las cámaras civiles y comerciales condenando a burós y bancos a pagar daño moral por informar deudas falsas o vencidas — la vía indemnizatoria que complementa el habeas data.

3.2. La privacidad de las comunicaciones: “Halabi” (CSJN, 2009)

Un abogado contra la “ley espía” (25.873), que obligaba a las telefónicas a guardar los datos de tráfico de todas las comunicaciones por 10 años a disposición del Estado. La Corte la declaró inconstitucional — vigilancia masiva e indiscriminada viola la intimidad — y de paso creó las acciones colectivas en el derecho argentino. Doble relevancia: privacidad + la puerta procesal para demandas colectivas por datos.

3.3. La saga de los buscadores (2010–2022)

“Rodríguez, María Belén c/ Google” (CSJN, 2014): la Corte ordena el ecosistema — responsabilidad subjetiva: el buscador responde recién desde el conocimiento efectivo del contenido ilícito, no por indexar.
“Gimbutas c/ Google” (CSJN, 2017): los thumbnails no requieren consentimiento del retratado; el buscador no “usa” la imagen, la referencia.
“Denegri c/ Google” (CSJN, 2022): el gran fallo del “derecho al olvido”. Natalia Denegri pidió desindexar videos escandalosos de los 90 (caso Cóppola). La Corte rechazó: información verdadera y de interés público no se borra por el paso del tiempo; la libertad de expresión y el valor histórico prevalecen.

La distinción que casi nadie explica bien : en Argentina no existe un derecho al olvido a la europea para hechos verdaderos y públicos (Denegri), pero sí existe el olvido financiero (Martínez). Podés borrar tu deuda vieja del Veraz; no podés borrar tu pasado mediático de Google.

3.4. Privacidad vs. prensa, ida y vuelta: “Fontevecchia y D’Amico vs. Argentina” (Corte IDH, 2011)

La otra cara de Ponzetti de Balbín. Noticias había publicado sobre el hijo no reconocido de Menem; la CSJN había condenado a la editorial por violar la intimidad presidencial. La Corte Interamericana dijo que esa condena violó la libertad de expresión: la vida privada de un presidente cede ante el interés público. Útil para mostrar que la privacidad no es un cheque en blanco — y que la tensión con la prensa se resuelve distinto según quién sea el protagonista. (Bonus jurídico: el caso derivó en 2017 en el famoso conflicto CSJN vs. Corte IDH sobre revocar sentencias.)

Datos en el trabajo (línea CNAT)

Correo electrónico corporativo: el empleador puede fijar reglas de uso, pero el monitoreo debe ser conocido de antemano (política notificada); la revisión oculta del mail del empleado como base de un despido fue descalificada en múltiples precedentes.
Cámaras en el lugar de trabajo: válidas para seguridad, con conocimiento del personal y sin apuntar a espacios de intimidad (vestuarios, baños); la cámara oculta como método de vigilancia general choca con los arts. 70-72 LCT.
Datos del postulante: exámenes y cuestionarios preocupacionales no pueden indagar datos sensibles (embarazo, salud no vinculada al puesto, religión, política). Conexión directa con tu contenido histórico de discriminación laboral.

Cámaras entre vecinos

Línea civil creciente: la cámara del vecino que enfoca tu patio, tu ventana o tu puerta es intromisión arbitraria en la vida privada (CCyC art. 1770) y los jueces ordenan reorientarla o retirarla.

4. Casos y escándalos 5.1. Worldcoin: tu iris por unos pesos (2024)

La empresa cofundada por Sam Altman escaneó iris de miles de argentinos a cambio de criptomonedas, con filas en estaciones del conurbano. La Provincia de Buenos Aires la multó por cláusulas abusivas en los términos y condiciones y la AAIP investigó el tratamiento del dato biométrico.

WhatsApp 2021: la letra chica que el Estado frenó

Cuando WhatsApp impuso sus nuevas condiciones de privacidad (compartir datos con Meta), el Estado argentino intervino — hubo medida ordenando suspender la aplicación de los nuevos términos y actuación de la AAIP. Verificar qué organismo dictó qué (hubo intervención por defensa de la competencia/consumidor además de datos). Ejemplo raro de reacción estatal preventiva.

ANSES y el uso político de las bases (2016)

El convenio entre ANSES y el área de comunicación del Gobierno para usar datos de jubilados y beneficiarios en comunicación oficial terminó judicializado. Verificar carátula y resultado. El principio en juego es la finalidad: los datos que diste para cobrar tu jubilación no pueden reciclarse para mandarte propaganda.

5- Permisos: el consentimiento de todos los días

El capítulo que conecta la ley con el teléfono que el oyente tiene en la mano.

3.1. Permisos de apps

Cada permiso (cámara, micrófono, ubicación, contactos, archivos) es jurídicamente una autorización de tratamiento de datos, y le aplican los principios de la 25.326: finalidad y proporcionalidad. Una app de linterna que pide tus contactos viola el principio del dato “no excesivo”. Consejos operativos para el cierre de servicio:

Auditar permisos: Ajustes → Privacidad (iOS) / Ajustes → Apps → Permisos (Android). Revocar lo que no tenga relación con la función.
Preferir “permitir solo mientras se usa la app” para ubicación y micrófono.
Desconfiar de apps que condicionan todo su funcionamiento a permisos innecesarios: ese “consentimiento o nada” es exactamente lo que la reforma pendiente quiere prohibir.
Revisar los permisos otorgados con cuenta de Google/Facebook a apps de terceros y dar de baja las que no uses.

3.2. Cookies y rastreadores

Argentina no tiene “ley de cookies” específica: rige el consentimiento general de la 25.326. En la práctica, el rastreo publicitario opera en un gris que la reforma pendiente vendría a ordenar. Dato contraintuitivo para la nota: el banner de cookies que ves en sitios argentinos suele estar ahí por el RGPD europeo, no por ley argentina.

3.3. Biometría cotidiana

El banco que te pide la huella, la app que te valida con la cara contra RENAPER, el edificio que reemplaza la llave por el dedo. Regla práctica: la biometría es una contraseña que no podés cambiar; exigí alternativas cuando el dato sea desproporcionado para la finalidad (criterio AAIP, Resolución 4/2019).

3.4. Menores y sharenting

Los datos de los chicos merecen tutela reforzada (interés superior del niño + criterios AAIP sobre consentimiento de menores). El ángulo incómodo y potente: el principal publicador de datos de menores no es una corporación, son los padres. Colegios que suben fotos sin autorización, grupos de WhatsApp escolares, la huella digital que un chico hereda sin haberla elegido.

6. Caja de herramientas del ciudadano (el corazón práctico)

Derecho de acceso: pedir todo lo que tienen sobre vos

A cualquier banco, app, buró o organismo: qué datos tenés, de dónde salieron, para qué y a quién se los cediste. Plazo: 10 días corridos. Gratuito al menos cada 6 meses (art. 19). Silencio o respuesta insuficiente dejan expedito el habeas data. Formato: nota simple, carta documento o canal de contacto del responsable, invocando arts. 14 y 15 de la Ley 25.326. (Puedo dejarte modelos de nota listos para descargar en la web: acceso, supresión, retiro publicitario.)

Rectificación, actualización y supresión

Dato falso, viejo o tratado sin base legal: 5 días hábiles para corregir o borrar (art. 16). La supresión no procede si perjudica a terceros o hay obligación legal de conservación.

Habeas data judicial

Acción rápida, sin vía previa obligatoria, ante el juez del domicilio del actor o del demandado a elección. Para acceder, corregir, actualizar, suprimir o pedir confidencialidad. Es el paso siguiente cuando te ignoran.

Denuncia ante la AAIP

Por TAD, gratuita, sin abogado. Genera antecedente sancionatorio; la reparación económica va por vía judicial (daños por tratamiento indebido, CCyC).

Veraz, BCRA y el olvido financiero

Informe crediticio gratuito cada 6 meses ante cada buró (Veraz, Nosis, etc.).
Central de Deudores del BCRA: consulta online gratuita con CUIT/CUIL de tu situación 1 a 5 en todo el sistema.
Deuda con más de 5 años desde la exigibilidad: no puede informarse más. Cancelada: máximo 2 años. Nota al buró y, si no, habeas data con “Martínez c/ Veraz” bajo el brazo.
El detalle que nadie cuenta: el buró informa lo que le reporta el banco; a veces hay que atacar la fuente, no el espejo. Y si el dato falso te costó un crédito o una vergüenza, hay daño moral indemnizable.

Registro No Llame

Inscripción gratuita online, permanente hasta la baja. Pasados 30 días, cada llamada de telemarketing es denunciable ante la AAIP. Excepciones: bien público y empresas con relación contractual vigente — pero a esas les podés exigir la baja por el art. 27 (derecho de retiro de bases publicitarias), que aplica también a mails y mensajes.

Historia clínica en 48 horas

Ley 26.529, art. 14: la historia clínica te pertenece y el establecimiento debe darte copia dentro de las 48 horas de pedirla. Sirve para cambiar de médico, para juicios de mala praxis, para trámites de discapacidad. Herramienta enormemente subutilizada.

. Tu imagen

Publicaron tu foto sin permiso (comercio, cuenta de terceros, medios sin interés público): Ley 11.723 art. 31 + CCyC 53. Intimación, baja y eventual indemnización. Distinción clave para no vender humo: si hay interés público o fue en un hecho público, cede (Denegri, Fontevecchia).

Ante una filtración o robo de identidad

Denuncia penal (UFECI a nivel federal; fiscalías especializadas locales).
Aviso inmediato al banco y a los burós pidiendo constancia de la denuncia de suplantación.
Carta documento a la entidad que otorgó un crédito a tu nombre negando la firma y exigiendo la baja del reporte de deuda.
Cambio de claves, segundo factor, cierre de sesiones abiertas.
Guardar todo: capturas, números de reclamo, fechas. La prueba temprana define el juicio posterior.

Higiene digital preventiva (cierre “qué significa esto para vos”)

No entregar el DNI ni su foto salvo obligación legal: el principio es que el dato sea no excesivo para la finalidad. Al club de barrio no le hace falta tu documento escaneado.
Nadie puede obligarte a declarar datos sensibles: un formulario que exige religión, salud u opinión política sin justificación viola la ley.
Leer a quién “cedés”: la cesión requiere consentimiento y finalidad informada.
Auditar permisos del teléfono una vez por mes (ver punto 6.1).
Tratar la biometría como lo que es: una contraseña imposible de cambiar.

Excerpt/bajada: Tus datos ya se filtraron al menos una vez: la pregunta es qué podés hacer ahora. Qué dice la ley, qué resolvió la Corte de Balbín a Denegri, y las herramientas gratuitas —con plazos de días, no de años— para acceder, corregir y borrar lo que Estados y empresas saben de vos.

Historias

“Pagaste por borrar y no borraron” (Ashley Madison, 2015)

La mejor historia jamás contada sobre el derecho de supresión. Universal, humana, incómoda.

Los hechos, en orden

Ashley Madison era un sitio de citas con un eslogan que era una declaración de principios: “La vida es corta. Tené una aventura”. Un negocio construido sobre una sola promesa: la discreción.
Entre sus servicios había uno llamado “Full Delete”: por 19 dólares, la empresa prometía borrar tu perfil para siempre. Cobraban por el olvido. El olvido era un producto premium.
En julio de 2015, un grupo autodenominado “The Impact Team” hackeó la empresa y puso una condición: cierren el sitio o publicamos todo. Entre sus motivos declarados, uno quirúrgico: el Full Delete era mentira — la empresa cobraba por borrar y conservaba los datos igual.
La empresa no cerró. En agosto, los hackers publicaron la base completa: más de 30 millones de cuentas. Nombres, mails, direcciones, preferencias, registros de pago. Incluidos los de gente que había pagado por desaparecer.
Lo que siguió fue una ola mundial de extorsiones — mails que decían “sé lo que hiciste, pagá o le cuento a tu familia” — divorcios, despidos, y desenlaces trágicos reportados en la prensa internacional.
El final corporativo: el CEO renunció, la empresa pagó sanciones y acuerdos millonarios con reguladores y usuarios en Estados Unidos

El detalle para plantar

Cuando los periodistas analizaron la base filtrada, descubrieron que una parte enorme de los perfiles femeninos eran bots: programas que escribían mensajes seductores. Miles de hombres no solo fueron expuestos — fueron expuestos por engañar a su pareja con un software.

“El préstamo que nunca pediste” (Argentina, 2020–hoy)

2020, pandemia: el sistema financiero se vuelca al otorgamiento a distancia. Créditos que antes exigían ir a una sucursal con el DNI ahora se aprueban con una selfie y unos datos.
En paralelo, los datos de los argentinos ya están en la calle: filtraciones previas, y en 2021 la base del RENAPER — nombre, DNI, foto — a la venta en foros y después goteando por bots de Telegram.
La ecuación del estafador es simple: identidad ajena completa + onboarding digital flojo = préstamo aprobado en minutos a nombre de otro.
La víctima típica no se entera por una alerta. Se entera por el síntoma: un descuento inexplicable en el recibo de la jubilación, un rechazo de tarjeta, o el Veraz que le rebota una operación por una deuda que no conoce.
Empieza el peregrinaje: el banco o la fintech le dice “usted lo sacó, acá está su selfie”; el buró le dice “nosotros informamos lo que nos reportan”. La víctima queda pagando —o figurando como morosa— por un delito del que fue el botín, no el autor.
El giro: la justicia viene consolidando una línea protectoria. El otorgante que aprobó un crédito sin verificación seria carga con el riesgo del fraude — deber de seguridad de la Ley 24.240 mediante — y el consumidor no debe pagar lo que no pidió; hay condenas con daño moral y hasta punitivo.
Resolución práctica (la parte que tu oyente anota): denuncia penal ya (UFECI o fiscalía especializada); carta documento a la entidad desconociendo la operación y exigiendo la baja del reporte; habeas data al buró si la deuda falsa sigue informada; denuncia en AAIP y Defensa del Consumidor. Y guardar todo desde el minuto uno.

El estafador no necesitó hackear nada el día del crédito. Todo lo que usó —el DNI, la foto, los datos— ya estaba filtrado desde hacía años, esperando. Las filtraciones son como los testamentos de Borges: se escriben mucho antes de surtir efecto. El dato robado en 2021 recién te embarga en 2026.