Una legislación que necesita actualizarse

La protección de datos personales en Argentina está regulada principalmente por la Ley 25.326, sancionada en el año 2000. Desde entonces, la forma en que las empresas recopilan, almacenan y utilizan información cambió profundamente.

Hoy, una organización puede gestionar datos a través de formularios web, plataformas de comercio electrónico, sistemas de gestión de clientes, herramientas publicitarias, servicios en la nube e inteligencia artificial. Estas tecnologías permiten procesar grandes volúmenes de información, pero también plantean nuevos desafíos en materia de privacidad y seguridad.

En este contexto, el 16 de julio de 2026 ingresó a la Cámara de Diputados el proyecto de ley 3397-D-2026, que propone crear un nuevo régimen integral de protección de datos personales y derogar la Ley 25.326 y su modificatoria.

La iniciativa retoma, en gran medida, el proyecto elaborado por la Agencia de Acceso a la Información Pública en 2023 y busca adaptar la normativa argentina a los estándares internacionales actuales.

Qué cambiaría con el nuevo proyecto

Uno de los cambios centrales es que el consentimiento dejaría de ser la única referencia para determinar si una organización puede tratar datos personales. La propuesta contempla distintas bases jurídicas para justificar ese tratamiento, como el cumplimiento de obligaciones contractuales o legales, el interés legítimo y la protección de intereses vitales.

También incorpora el principio de responsabilidad proactiva y demostrada. Esto supone que las organizaciones no deberían limitarse a contar con documentos formales, sino que tendrían que poder acreditar que adoptaron medidas adecuadas para proteger la información y gestionar los riesgos asociados a su utilización.

Otro aspecto relevante es la incorporación de un enfoque basado en el riesgo. Las obligaciones podrían variar según el tipo de información tratada, la finalidad del procesamiento y el impacto que las actividades puedan generar sobre las personas.

El proyecto también contempla disposiciones específicas sobre datos biométricos y genéticos, elaboración de perfiles, anonimización, seudonimización y tratamiento de información mediante inteligencia artificial.

El impacto en las empresas digitales

La protección de datos no se limita a tener una política de privacidad publicada en un sitio web. Comprende todas las operaciones mediante las cuales una organización recopila, utiliza, almacena, comparte o elimina información personal.

Un formulario de contacto, una base de clientes, una campaña de correo electrónico o una plataforma de seguimiento de usuarios pueden involucrar tratamientos de datos personales que deben responder a una finalidad legítima y contar con condiciones adecuadas de seguridad.

Por ejemplo, una empresa puede solicitar información que no necesita para prestar su servicio, conservar datos durante más tiempo del necesario o compartir una base de contactos con terceros sin haber revisado previamente las condiciones de ese intercambio.

La propuesta busca que las organizaciones adopten una gestión más integral, con procedimientos que permitan identificar qué información utilizan, por qué la necesitan y cómo deben protegerla.

Proveedores y transferencias internacionales

El uso de herramientas digitales también plantea desafíos cuando la información se almacena o procesa fuera de Argentina.

Muchas empresas utilizan plataformas extranjeras para administrar clientes, alojar archivos, automatizar comunicaciones, medir resultados comerciales o procesar pagos. En estos casos, es importante conocer qué datos se comparten, quiénes pueden acceder a ellos y bajo qué condiciones se realiza el tratamiento.

El proyecto amplía los criterios de aplicación territorial para contemplar determinados tratamientos realizados por organizaciones sin establecimiento en Argentina, cuando ofrecen bienes o servicios a personas que se encuentran en el país o monitorean su comportamiento.

Además, desarrolla reglas específicas para las transferencias internacionales de datos personales. Este punto resulta especialmente relevante para empresas digitales, emprendimientos tecnológicos y organizaciones que trabajan con proveedores ubicados en otros países.

Qué deberían revisar las empresas

Aunque el proyecto todavía no está vigente, la legislación actual ya establece obligaciones sobre la recopilación, utilización, conservación y seguridad de los datos personales. Por eso, revisar las prácticas internas no es una cuestión que deba postergarse hasta que exista una nueva ley.

Una primera instancia consiste en identificar qué información recopila la organización, de quiénes la obtiene, con qué finalidad la utiliza, dónde la almacena y qué terceros intervienen en su tratamiento.

También conviene revisar los formularios de contacto y registro, las políticas de privacidad, los avisos informativos y los contratos con proveedores. En particular, es importante verificar que la información solicitada sea adecuada a la finalidad del servicio y que existan criterios claros para su conservación y eliminación.

Cuando se utilizan herramientas de automatización o inteligencia artificial, además, resulta necesario analizar qué información se incorpora a esos sistemas y cuáles son las condiciones bajo las que se procesa.

Estas medidas permiten mejorar el cumplimiento de las obligaciones actuales y preparar a la organización para los cambios que eventualmente pueda introducir una nueva regulación.

La protección de datos como parte del negocio

La información personal es un recurso valioso para desarrollar relaciones comerciales, mejorar servicios y comprender las necesidades de los clientes. Sin embargo, su utilización también implica responsabilidades que deben integrarse a la organización cotidiana de cualquier negocio.

Una gestión inadecuada puede generar conflictos con usuarios, exposición de información y dificultades para responder ante incidentes o solicitudes de los titulares de los datos. Por el contrario, establecer criterios claros desde el inicio permite trabajar con mayor previsibilidad y confianza.