Normativas / Ley 25.326
Ley 25.326 Argentina: qué exige a tu infraestructura
La Ley 25.326 de Protección de los Datos Personales, vigente desde 2000, impone deberes de seguridad, registro y confidencialidad a toda empresa que trate datos de personas en Argentina. Las entidades financieras y los Proveedores de Servicios de Pago suman los requisitos técnicos del Banco Central establecidos en las Comunicaciones A 7724 y A 8398.
La Ley 25.326 en Argentina: estado actual y autoridad de control
Sancionada en 2000 y reglamentada por el Decreto 1558/2001, la Ley 25.326 es el marco vigente para el tratamiento de datos personales por parte de empresas privadas en Argentina.
La autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP). Dentro de ella funciona la Dirección Nacional de Protección de Datos Personales, que fiscaliza el cumplimiento, administra el Registro Nacional de Bases de Datos, atiende denuncias y aplica sanciones administrativas. Argentina mantiene el estatus de adecuación ante la Unión Europea desde 2003, confirmado por la Comisión Europea en enero de 2024. En abril de 2023, Argentina depositó el instrumento de ratificación del Convenio 108+ del Consejo de Europa, siendo el tercer Estado no miembro de ese organismo en ratificarlo.
En julio de 2026 se presentó en la Cámara de Diputados el expediente 3397-D-2026, que propone derogar la Ley 25.326 y crear un régimen nuevo alineado con el GDPR europeo y el Convenio 108+. Al 9 de noviembre de 2026, ese proyecto no había sido aprobado. Las obligaciones del marco vigente aplican en su totalidad.
Sereno no es un estudio jurídico: trabajamos junto a tu asesor legal y nos encargamos de la implementación técnica de cada obligación.
Obligaciones técnicas de la ley
La Ley 25.326 impone deberes concretos que inciden directamente en la forma en que tu equipo configura sistemas, controla accesos y gestiona datos.
Deber de seguridad (Art. 9)
El responsable debe adoptar medidas técnicas y organizativas para garantizar la seguridad y confidencialidad de los datos, evitar su adulteración, pérdida, consulta o tratamiento no autorizado, y detectar desviaciones. La ley prohíbe expresamente registrar datos en sistemas que no reúnan condiciones de integridad y seguridad.
Deber de confidencialidad (Art. 10)
Toda persona que intervenga en cualquier fase del tratamiento está obligada al secreto profesional. Esta obligación persiste después de terminada la relación con el titular del archivo, e incluye a empleados, contratistas y proveedores.
Registro de bases de datos (Art. 21)
Las bases de datos públicas y las privadas destinadas a dar informes deben inscribirse en el Registro Nacional de Bases de Datos ante la AAIP. La inscripción tiene validez anual y se tramita por la plataforma Trámites a Distancia (TAD). La omisión puede derivar en sanciones.
Transferencias internacionales (Art. 12)
Las transferencias de datos a países sin nivel adecuado de protección reconocido están prohibidas, salvo las excepciones previstas en la ley y el Decreto 1558/2001. Si alojas datos personales en regiones cloud fuera de Argentina, confirma con tu asesor legal la base legal de ese flujo.
Plazos de atención a titulares (Arts. 14 y 16)
El titular puede solicitar acceso a sus datos: el responsable tiene diez días corridos para responder (Art. 14). Ante una solicitud de rectificación, actualización o supresión, el responsable tiene cinco días hábiles desde la recepción del reclamo para ejecutarla (Art. 16). Atender estos plazos requiere saber en qué sistemas viven los datos.
Obligaciones del encargado (Decreto 1558/2001, Art. 25)
El Decreto 1558/2001 extiende las obligaciones del Art. 9 al encargado del tratamiento. Los contratos con proveedores cloud, SaaS y terceros que procesen datos por instrucción del responsable deben reflejar estas obligaciones de seguridad.
De la obligación al control técnico
Mapa de las exigencias legales vigentes y los controles concretos en infraestructura cloud y Kubernetes.
| Obligación | Referencia | Control técnico |
|---|---|---|
| Deber de seguridad | Art. 9, Ley 25.326 | Cifrado en reposo (disco/buckets con gestión de llaves) y en tránsito (TLS 1.2+), control de acceso con mínimo privilegio en cloud IAM y Kubernetes RBAC, MFA en todos los accesos a producción, gestión centralizada de secretos, registro de auditoría. |
| Confidencialidad de quienes tratan datos | Art. 10 | Cláusulas NDA en contratos, control de acceso basado en roles de negocio, revisión periódica de cuentas activas y eliminación de accesos al finalizar la relación contractual o laboral. |
| Registro de bases de datos personales | Art. 21 | Inventario de bases de datos con nombre, finalidad, categoría de datos y responsable, como insumo para la declaración ante la AAIP y su renovación anual. |
| Transferencias internacionales | Art. 12 y Decreto 1558/2001 | Mapa de regiones cloud donde se procesan datos personales, identificación de flujos transfronterizos y base legal de cada transferencia. |
| Atención de solicitudes: acceso (10 días corridos) y rectificación (5 días hábiles) | Arts. 14 y 16 | Proceso técnico para localizar, exportar o corregir datos de un titular en bases de datos, buckets, logs y backups dentro del plazo legal. |
| Medidas recomendadas: datos personales y datos sensibles | Res. AAIP 47/2018, Anexo I | Control de acceso diferenciado, copias de respaldo y procedimiento de recuperación, gestión de vulnerabilidades, destrucción segura de información y controles adicionales para datos sensibles. |
| Registro y gestión de incidentes de seguridad | Res. AAIP 47/2018 y Res. 332/2020 | Logging centralizado con retención suficiente para investigaciones, alertas sobre accesos anómalos, runbook de respuesta a incidentes, registro de vulneraciones y procedimiento de comunicación a la AAIP y a los titulares afectados. |
AAIP: medidas de seguridad recomendadas y manejo de incidentes
La Resolución AAIP 47/2018 aprobó las medidas de seguridad recomendadas para el tratamiento de datos personales en medios informatizados. La Resolución 332/2020 incorporó la notificación de incidentes como práctica esperada en los procesos de fiscalización.
La Resolución 47/2018 (publicada el 25 de julio de 2018) reemplazó normas anteriores y aprobó dos anexos con medidas para entornos informatizados y no informatizados. Para los entornos digitales (Anexo I), las medidas se organizan en ocho áreas: recolección de datos, control de acceso, control de cambios, copias de respaldo y recuperación, gestión de vulnerabilidades, destrucción de información, gestión de incidentes de seguridad y entornos de desarrollo. Las medidas distinguen entre datos personales generales y datos sensibles, con estándares más exigentes para estos últimos.
Las medidas están formuladas como recomendaciones. Sin embargo, la AAIP las pondera en sus procesos sancionadores. La Resolución 332/2020, que aprueba una guía de fiscalización, incorpora como práctica esperada la notificación a la AAIP y a los titulares afectados ante incidentes que puedan comprometer datos personales.
La Ley 25.326 no fija un plazo de notificación obligatoria ante la AAIP ni ante los titulares. El proyecto de ley 3397-D-2026 propone incorporar un deber de notificación, pero no ha sido sancionado. Aun así, tener un proceso de respuesta y comunicación documentado es lo que la AAIP espera ver en una fiscalización.
Lista de verificación técnica
Puntos mínimos para que tu equipo de ingeniería tenga una base de cumplimiento bajo la Ley 25.326 y las resoluciones AAIP vigentes.
- Levanta el inventario de bases de datos personales: nombre, finalidad, categoría de datos y responsable, como insumo para la inscripción ante la AAIP y su renovación anual.
- Verifica el cifrado en reposo y en tránsito en todas las bases, buckets y flujos que contienen datos personales, con rotación periódica de llaves.
- Revisa el control de accesos: mínimo privilegio en cloud IAM y Kubernetes, MFA en accesos a producción, eliminación de cuentas al finalizar contratos o relaciones laborales.
- Implementa logging centralizado con retención suficiente para investigaciones, con alertas sobre accesos anómalos o exportaciones masivas de datos.
- Documenta el proceso de respuesta a incidentes: quién decide la comunicación a la AAIP, cómo se notifica a los titulares si aplica, y en qué sistema queda registrado el incidente.
- Revisa los contratos con proveedores cloud y SaaS para que incluyan las obligaciones de seguridad del Art. 9 y un plazo de reporte de vulneraciones al responsable.
- Mapea los flujos de datos transfronterizos: qué datos van a qué regiones cloud y si existe base legal bajo el Art. 12.
- Genera un proceso técnico para atender solicitudes de acceso (10 días corridos) y de rectificación o supresión (5 días hábiles) desde cualquier base, bucket, log o backup.
- Gestiona la inscripción en el Registro Nacional de Bases de Datos y mantenla actualizada.
Si tratas datos sensibles (salud, origen étnico, opiniones políticas, entre otros), la Resolución AAIP 47/2018 recomienda controles más exigentes. Revisa con tu asesor legal qué categorías de tus datos entran en esa definición.
Sanciones
El artículo 31 de la Ley 25.326 faculta a la AAIP a aplicar apercibimiento, suspensión, multa, clausura o cancelación del archivo de datos.
Las multas originales del Art. 31 (ARS 1.000 a ARS 100.000) quedaron desactualizadas. La Resolución 126/2024 de la AAIP actualizó el régimen de sanciones y los montos de las multas por categoría de infracción (leves, graves y muy graves).
El artículo 32 de la ley incorporó sanciones al Código Penal: de un mes a dos años de prisión para quien inserte datos falsos en un archivo destinado a dar informes, de seis meses a tres años si esos datos se proporcionan a terceros, y de un mes a dos años por el acceso ilegítimo a un banco de datos.
Los montos de las multas en pesos se actualizan periódicamente. Consulta los valores vigentes y la clasificación de infracciones en la Resolución 126/2024 con tu asesor legal antes de tomar decisiones de cumplimiento.
BCRA: requisitos para entidades financieras y PSP
Las entidades financieras reguladas y los Proveedores de Servicios de Pago (PSP) registrados ante el BCRA están sujetos a un marco separado de requisitos mínimos de tecnología y seguridad de la información.
La Comunicación A 7724 del BCRA (10 de marzo de 2023) aprobó los requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información para entidades financieras. La norma organiza las exigencias en siete bloques: gobierno de tecnología y seguridad de la información, gestión de riesgos, continuidad del negocio, gestión de ciberincidentes, desarrollo y adquisición de software, gestión de relaciones con terceras partes, y canales electrónicos.
En materia de gobierno, el Directorio debe supervisar los planes estratégicos de tecnología y seguridad. La Alta Gerencia es responsable de establecer el marco normativo interno de seguridad de la información. La norma exige constituir un Comité de Gobierno con representantes del Directorio, la Alta Gerencia y las áreas involucradas. El marco interno debe cubrir control de accesos, gestión de contraseñas, gestión de vulnerabilidades, dispositivos móviles, software no autorizado y estándares de computación forense.
Para la gestión de terceros y cloud, los terceros a los que se deleguen procesos vinculados a tecnología o seguridad quedan alcanzados por los mismos requisitos mínimos. Externalizar servicios considerados críticos requiere notificar a la SEFyC al menos 60 días antes de iniciar la tercerización, con documentación del servicio, el proveedor y los subcontratistas. Los proveedores en el exterior deben estar en jurisdicciones alineadas con los estándares del GAFI (FATF) y los registros clave deben mantenerse en Argentina.
La Comunicación A 8398 (5 de febrero de 2026) extendió el mismo marco a los PSP incluidos en el Registro de PSP del BCRA, con un plazo de adecuación de 180 días desde esa fecha.
La Comunicación A 7783 (junio de 2023) estableció requisitos adicionales para los servicios financieros digitales. Confirma con tu asesor legal y con tu equipo técnico cuáles comunicaciones aplican a tu tipo de entidad o servicio.
Lo que implementa Sereno
Equipo técnico con más de 10 años de experiencia en DevOps, seguridad y plataforma para fintech y e-commerce en América Latina. Acceso de solo lectura primero, MFA, mínimo privilegio y NDA firmado.
Auditoría de infraestructura
Revisión en dos semanas de tu infraestructura cloud, Kubernetes y controles de seguridad. Genera el inventario de bases de datos personales, el mapa de controles y los hallazgos sobre brechas respecto al Art. 9 y la Resolución AAIP 47/2018. Sirve de punto de partida para la adecuación a la Ley 25.326 y al marco BCRA. Desde USD 3.000. Ver auditoría.
Implementación técnica de cumplimiento
Controles de seguridad, gestión de secretos, control de accesos, registros de evidencia y runbooks de respuesta a incidentes. Mapa de flujos de datos transfronterizos y revisión de contratos con encargados de tratamiento. Los proyectos de cumplimiento técnico se presupuestan por alcance. Coordinación con tu asesor legal.
SOC 2 e ISO 27001
Implementamos los controles técnicos y generamos la evidencia que requieren SOC 2 Tipo II e ISO 27001, incluyendo los que se alinean con el Art. 9 de la Ley 25.326 y el marco BCRA A 7724. Desde USD 10.000. Ver controles SOC 2 e ISO 27001.
Equipo de plataforma y seguridad 24/7
Operaciones, on-call, parchado, CI/CD seguro, IaC, gestión de secretos, detección SOC-lite con herramientas open source, backups y DR, reporte mensual. Los reportes incluyen evidencia de los controles activos que soportan el cumplimiento. Desde USD 8.000 al mes. Ver equipo 24/7.
Preguntas frecuentes
¿La Ley 25.326 sigue vigente en Argentina en 2026?
Sí. La Ley 25.326 de Protección de los Datos Personales está plenamente vigente. En julio de 2026 se presentó el expediente 3397-D-2026 para derogarla y crear un régimen nuevo alineado con el GDPR. Al 9 de noviembre de 2026, ese proyecto no había sido aprobado. Las obligaciones del Art. 9 (seguridad), Art. 10 (confidencialidad), Art. 21 (registro de bases de datos) y los plazos de atención a titulares aplican en su totalidad.
¿Qué es el Registro Nacional de Bases de Datos y quién debe inscribirse?
El artículo 21 de la Ley 25.326 obliga a inscribir en el Registro Nacional de Bases de Datos, ante la AAIP, todas las bases de datos públicas y las privadas destinadas a dar informes sobre personas. La inscripción se tramita por la plataforma Trámites a Distancia (TAD) con clave fiscal de AFIP y debe mantenerse actualizada. Incumplir esta obligación puede derivar en sanciones administrativas.
¿En qué plazo debo responder un derecho de acceso o de rectificación?
El artículo 14 establece que el responsable tiene diez días corridos para responder una solicitud de acceso del titular a sus datos. El artículo 16 establece que la rectificación, actualización o supresión debe ejecutarse dentro de los cinco días hábiles contados desde la recepción del reclamo. Atender estos plazos requiere saber exactamente en qué bases de datos, buckets, logs y backups viven los datos del titular.
¿La Ley 25.326 obliga a notificar una brecha de seguridad a la AAIP?
El texto actual de la Ley 25.326 no establece esa obligación de forma expresa. Sin embargo, la Resolución 332/2020 incorpora la notificación a los titulares afectados como práctica esperada en los procesos de fiscalización. El proyecto de ley 3397-D-2026 propone formalizar esa obligación, pero no ha sido sancionado.
¿Qué aplica a mi empresa fintech o PSP además de la Ley 25.326?
Las entidades financieras reguladas por el BCRA están sujetas a la Comunicación A 7724 (marzo de 2023), que establece requisitos mínimos de gobierno de tecnología, gestión de ciberincidentes, continuidad del negocio y tercerización. Los Proveedores de Servicios de Pago registrados ante el BCRA quedaron alcanzados por ese mismo marco a partir de la Comunicación A 8398 (febrero de 2026), con un plazo de adecuación de 180 días. Ambas normativas se suman a las de la Ley 25.326 y no las reemplazan.
¿Cuáles son las sanciones por incumplir la Ley 25.326?
El artículo 31 faculta a la AAIP a aplicar apercibimiento, suspensión, multa, clausura o cancelación del archivo. La Resolución 126/2024 actualizó el régimen de sanciones y los montos de las multas por categoría de infracción. El artículo 32 incorporó sanciones penales: hasta dos años de prisión por insertar datos falsos en un archivo y hasta tres años por proporcionarlos a terceros.
Fuentes
Última revisión: 9 de noviembre de 2026. Las normas cambian: revisa siempre el texto oficial vigente con tu asesor legal.
- Infoleg: Ley 25.326, texto actualizado
- Argentina.gob.ar: Decreto Reglamentario 1558/2001
- Argentina.gob.ar: Resolución AAIP 47/2018, texto
- Boletín Oficial: Resolución AAIP 47/2018 (25 de julio de 2018)
- AAIP: trámites de datos personales (Registro Nacional de Bases de Datos)
- BCRA: comunicado sobre Comunicación A 7724
- Abogados.com.ar: Comunicación A 7724 (Zang Bergel Viñes, 2023)
- Abogados.com.ar: incorporación de PSP como sujetos obligados, Com. A 8398
- IAPP: Argentina ratifica el Convenio 108+
- Beccar Varela: Resolución 126/2024, régimen sancionatorio
Hablemos 20 minutos
Elige un horario en el calendario. Es una videollamada de 20 minutos por Google Meet, y en ella solo queremos entender tu contexto.
O escríbenos a hola@serenoops.com