Protección de datos: qué tiene que cumplir mi empresa y qué pasa si me sancionan

Qué obligaciones tiene una empresa que maneja datos personales

La Ley 25.326 tiene por objeto la protección integral de los datos personales asentados en archivos, registros, bancos de datos u otros medios técnicos de tratamiento, públicos o privados destinados a dar informes, para garantizar el derecho al honor y a la intimidad y el acceso a la información que sobre cada persona se registre. Así la transcribió la Sala I en el caso Entrega Creativa.

En ese mismo expediente, la autoridad de control intimó a una empresa de envíos a domicilio con cuatro frentes que sirven de lista de control para cualquier negocio: inscribir la base en el Registro Nacional de Bases de Datos (arts. 3, 21 y 29 de la ley), informar qué medidas de seguridad y confidencialidad aplica (art. 9), justificar la base legal para guardar los datos (art. 4) y cumplir el principio de información (art. 6).

El decreto 1558/2001, en su artículo 31, aclara a quiénes se aplican las sanciones: a los responsables o usuarios de archivos, registros, bases o bancos de datos públicos y privados destinados a dar información, se hubieren inscripto o no en el registro correspondiente. No inscribirse, entonces, no te deja fuera del régimen.

Qué infracciones tuvo en cuenta la autoridad en un caso concreto

En Entrega Creativa SRL c/ EN-Agencia de Acceso a la Información Pública, un usuario denunció que el seguimiento de pedidos de la empresa permitía ver y descargar la imagen de su DNI. El acta de constatación calificó una infracción leve (base sin inscripción perfeccionada), tres graves (falta de consentimiento informado, datos excesivos y ausencia de medidas de seguridad) y una muy grave, por dejar documentación de identidad accesible a terceros no autorizados.

La empresa respondió que las pautas de la Resolución AAIP 47/2018 eran meras recomendaciones y que el régimen sancionatorio no le era aplicable. Esos argumentos formaban parte del descargo; la Sala I no los resolvió porque anuló la sanción por otra razón, que se explica más abajo. Por eso conviene leer el fallo como mapa de lo que la autoridad controla, no como respaldo a ninguna de esas defensas.

El decreto 1558/2001 establece cómo se gradúa la multa: se atiende a la naturaleza de los derechos afectados, al volumen de los tratamientos, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia (nueva infracción de similar naturaleza dentro de tres años) y a los daños causados. Corregir rápido y documentar esa corrección es la mejor forma de llegar a la sanción con menos agravantes.

Llamadas y mensajes comerciales: el Registro «No Llame»

Si tu empresa ofrece productos por teléfono, la Ley 26.951 te considera usuario o responsable de archivos y bancos de datos. El artículo 7 prohíbe dirigirse a los inscriptos en el Registro Nacional «No Llame» y exige consultar sus altas y bajas cada treinta días corridos. Se exceptúan, entre otros supuestos del artículo 8, las llamadas a quienes tienen una relación contractual vigente y referidas al objeto estricto del vínculo.

La carga de la prueba es el punto donde se pierden estos casos. El artículo 11 del Anexo I del decreto 2501/2014 manda al sujeto obligado a brindar el registro de sus llamadas salientes y deja a su cargo acreditar que cumplió. En DirecTV Argentina SA, la Sala V aplicó esa regla, constató que la empresa no aportó prueba que rebatiera 260 denuncias y confirmó una multa de $10.000.000.

Algo parecido ocurrió en Tarjeta Naranja SAU (Sala V), donde se confirmó una multa de $3.000.000 por 286 infracciones. El registro de llamadas llegó a la autoridad en un formato confuso e ilegible pese a una intimación con plazo razonable. En Telecom Argentina SA (Sala III), el juez de primera instancia había rechazado la demanda contra un apercibimiento porque la empresa no acreditó sus dichos con el listado de llamadas salientes ni con otro medio adecuado.

Cómo se discute una sanción y qué miran los tribunales

La Sala V recordó en Tarjeta Naranja que el Poder Ejecutivo puede aplicar sanciones si la ley lo habilita expresamente, se asegura el derecho de defensa y queda abierta la vía judicial; el control posterior debe ser suficiente y efectivo para descartar decisiones manifiestamente irrazonables. Es decir, la sanción se puede discutir, pero con prueba.

Ese mismo fallo agrega que las constancias del expediente administrativo tienen valor probatorio y que, para desvirtuarlas, no basta una negativa genérica: hay que identificar concretamente los vicios y ofrecer prueba idónea. Sobre el monto, en DirecTV se sostuvo que la graduación es resorte primario de la autoridad y solo cede ante una manifiesta arbitrariedad, lo que no ocurre si la multa respeta los límites normativos.

Además, la sanción debe provenir de quien tiene competencia. En Entrega Creativa, la Sala I declaró nulas, de nulidad absoluta e insanable, las resoluciones que multaron y rechazaron la reconsideración porque las firmó el director nacional de Protección de Datos Personales después de la renuncia del titular de la Agencia; la delegación de firma regía solo para «ausencia transitoria», no para una vacancia.

Hay también un filtro de admisibilidad. En Google Argentina SRL y otro (Sala IV, 2026), el tribunal declaró mal concedida la apelación porque las multas, que sumaban $280.000, no alcanzaban el monto mínimo de $2.100.000 que el artículo 242 del CPCCN exige para apelar. Conviene medir ese umbral antes de planificar la estrategia.

Cómo ordenar tu empresa antes de que llegue la intimación

Un programa mínimo de cumplimiento no necesita grandes sistemas. Lo que se pide en los expedientes es documentación: qué bases tenés, para qué se usan, con qué consentimiento se recabaron y quién accede. Con eso en orden, una intimación se contesta en el plazo y con pruebas.

1. Relevá tus bases. Listá clientes, empleados, proveedores y prospectos, con los datos que guardás de cada grupo y dónde están.
2. Inscribí o regularizá el registro de cada base y verificá que el trámite esté completo, no solo iniciado.
3. Revisá la política de privacidad y los formularios para que informen la finalidad y recaben un consentimiento libre, expreso e informado.
4. Pedí solo los datos necesarios. Si una finalidad no exige copia del DNI, no la exijas ni la almacenes.
5. Definí medidas de seguridad sobre accesos, descargas y enlaces públicos, y dejá constancia de ellas.
6. Si hacés llamadas comerciales, consultá el Registro «No Llame» con la periodicidad legal y conservá los registros de llamadas salientes de tus operadores.

Si ya recibiste una nota o un acta de constatación, el plazo para presentar el descargo es corto y esa presentación define buena parte del expediente. Escribinos desde la página de contacto con la documentación que tengas y la revisamos con vos.

Preguntas frecuentes