Política de Privacidad para Sitio Web Argentina

La Política de Privacidad para Sitio Web en Argentina es el documento que fija las normas internas y reglas de funcionamiento de obligatorio cumplimiento, conforme a Ley de Protección de Datos Personales N.° 25.326; Decreto Reglamentario 1558/2001.

El documento cumple la obligación de información previa establecida en el artículo 6 de la Ley 25.326, que exige que el responsable del archivo informe al titular de los datos —antes de recolectarlos o al momento de la recolección— sobre la existencia y finalidad del archivo, la identidad y domicilio del responsable, el carácter obligatorio o facultativo de la respuesta al formulario de recolección, las consecuencias de no proporcionar los datos, la posibilidad de ejercer los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) regulados en los artículos 14 a 19 de la Ley 25.326, y la existencia de transferencias internacionales de datos.

La Política de Privacidad Web se diferencia del Aviso de Privacidad utilizado en contextos laborales o contractuales en que está dirigida al público general que visita el sitio web, es pública y permanente, y debe estar disponible mediante un enlace accesible desde todas las páginas del sitio, especialmente desde los formularios que recolectan datos personales. La AAIP ha establecido en sus guías de buenas prácticas que la política debe estar redactada en lenguaje claro y comprensible para el usuario medio, sin tecnicismos innecesarios, y debe cubrir de forma específica las categorías de datos recolectados y las finalidades de cada tratamiento.

El alcance de la Ley 25.326 es amplio: aplica a todo tratamiento de datos personales realizado en el territorio argentino y también a tratamientos realizados fuera del territorio nacional cuando los datos pertenezcan a titulares argentinos o cuando el responsable del tratamiento tenga un establecimiento en Argentina. Esto significa que plataformas internacionales que dirigen sus servicios a usuarios argentinos también deben cumplir con la Ley 25.326, aunque no tengan sede en el país.

La obligación de registrar la base de datos ante el Registro Nacional de Bases de Datos (RNBD) de la AAIP —establecida en los artículos 21 y 22 de la Ley 25.326— complementa la Política de Privacidad como mecanismo de transparencia. Sin embargo, no es condición previa para publicar la política: el sitio web debe publicar su política desde el momento en que comienza a recolectar datos, y registrar la base ante la AAIP en forma paralela.

La Política de Privacidad Web es necesaria en Argentina desde el momento en que un sitio web o aplicación digital recolecta cualquier dato personal de sus usuarios, ya sea a través de formularios de contacto, registros de usuario, procesos de compra, suscripciones a boletines informativos, o mediante el uso de tecnologías de rastreo como cookies analíticas o de publicidad.

La primera situación que hace obligatoria la Política de Privacidad es el formulario de contacto básico que recolecta nombre y correo electrónico. Por mínima que parezca la recolección, el artículo 6 de la Ley 25.326 exige informar al usuario sobre el tratamiento de esos datos. Sin la información previa requerida por la ley, el consentimiento para el tratamiento de los datos es inválido, y la empresa queda expuesta a sanciones de la AAIP y a reclamaciones civiles del titular de los datos.

La segunda situación es la tienda de comercio electrónico (e-commerce) que procesa datos de clientes para la gestión de pedidos, facturación y envíos. Estos datos incluyen nombre, apellido, CUIT o DNI, domicilio de entrega, datos de tarjeta de crédito (cuando se procesa el pago directamente) y correo electrónico. La Política de Privacidad debe especificar qué datos se comparten con los procesadores de pago (Mercado Pago, decidir, PayU, etc.) y con las empresas de logística, en cumplimiento del artículo 11 de la Ley 25.326 sobre cesión de datos.

La tercera situación abarca los sitios web con registro de usuarios que almacenan perfiles con historial de actividad, preferencias y datos de comportamiento. La Ley 25.326 exige que el usuario sea informado sobre el período de conservación de sus datos y el procedimiento para solicitar la cancelación de su cuenta y la supresión de sus datos personales.

La cuarta situación corresponde a los sitios web que utilizan herramientas de analítica (Google Analytics, Hotjar, Meta Pixel) o de publicidad programática. Estas herramientas recolectan datos de comportamiento de los usuarios y los transfieren a servidores ubicados en el exterior, generalmente en los Estados Unidos. La Política de Privacidad debe informar sobre esta transferencia internacional de datos y su base legal bajo el artículo 12 de la Ley 25.326. La AAIP ha señalado en múltiples resoluciones que el uso no declarado de estas herramientas constituye una infracción a la obligación de transparencia de la Ley 25.326.

Una Política de Privacidad Web compliant con la Ley 25.326 y las directrices de la AAIP para Argentina debe incluir los siguientes elementos.

Identificación del responsable del tratamiento: razón social o nombre completo del responsable, CUIT, domicilio legal en Argentina, correo electrónico y teléfono de contacto para el ejercicio de derechos ARCO. Si la empresa está inscripta en el Registro Nacional de Bases de Datos de la AAIP, debe indicarse el número de inscripción, lo que refuerza la confianza del usuario.

Categorías de datos recolectados y finalidades: descripción específica de qué datos se recolectan (datos de identificación, datos de contacto, datos financieros, datos de comportamiento de navegación, datos de dispositivo) y la finalidad de cada categoría de tratamiento. La Ley 25.326 exige que los datos sean pertinentes, adecuados y no excesivos en relación con la finalidad declarada (principio de proporcionalidad, artículo 4.1).

Base legal del tratamiento: identificación del fundamento legal para cada tratamiento de datos (consentimiento del titular bajo artículo 5 Ley 25.326, ejecución de un contrato bajo CCyC artículo 957, cumplimiento de obligación legal, interés legítimo del responsable). Este elemento, requerido por los lineamientos internacionales adoptados por la AAIP, permite al usuario entender por qué el sitio web puede tratar sus datos sin haberle solicitado un consentimiento específico en cada caso.

Transferencias a terceros y transferencias internacionales: identificación de los terceros que reciben datos del usuario (procesadores de pago como Mercado Pago o decidir, plataformas de email marketing, servicios de analítica, redes de publicidad) y los países de destino en casos de transferencia internacional, conforme al artículo 12 de la Ley 25.326. La política de forms-legal.com recomienda especificar el nombre de cada proveedor y el país donde están sus servidores.

Derechos ARCO y canal de ejercicio: descripción detallada de los derechos del usuario bajo los artículos 14 a 19 de la Ley 25.326 (Acceso, Rectificación, Cancelación y Oposición), el canal habilitado para su ejercicio (correo electrónico, formulario web), el plazo de respuesta (30 días hábiles conforme a la ley), y el derecho del usuario a reclamar ante la AAIP si su solicitud no es atendida.

Política de cookies: descripción de las cookies y tecnologías de rastreo utilizadas (técnicas, analíticas, de publicidad), diferenciadas por finalidad. La Ley 25.326 y las regulaciones de la AAIP exigen el consentimiento del usuario para cookies no esenciales. Este elemento es tan relevante que muchos sitios web optan por publicar una Política de Cookies separada, vinculada desde la Política de Privacidad.

Plazo de conservación de datos: indicación del tiempo durante el cual se conservarán los datos de cada categoría y los criterios para determinar ese plazo, incluyendo los plazos legales mínimos de conservación exigidos por AFIP o por la Ley General de Sociedades (Ley 19.550) para datos contables. Al vencimiento del plazo, los datos deben ser suprimidos o anonimizados de forma irreversible.

Para completar la Política de Privacidad Web de su sitio web argentino utilizando este modelo, siga los pasos indicados a continuación.

Paso 1 — Datos del responsable: complete el nombre o razón social de la empresa u organización que opera el sitio web, exactamente como figura en la inscripción ante AFIP (con CUIT en formato XX-XXXXXXXX-X). Indique el domicilio legal en Argentina y los datos de contacto habilitados para el ejercicio de derechos ARCO: correo electrónico específico para consultas de privacidad (recomendado: [email protected] o [email protected]) y teléfono o formulario web.

Paso 2 — Nombre y URL del sitio web: indique la URL completa del sitio web (ej. www.empresa.com.ar) y su nombre comercial. Si opera múltiples sitios web bajo la misma razón social, puede redactar una política unificada que los enumere, o políticas separadas si las finalidades y los datos tratados difieren significativamente.

Paso 3 — Categorías de datos y finalidades: para cada formulario del sitio web (contacto, registro, compra, suscripción), identifique los datos que recolecta y la finalidad. Por ejemplo: formulario de contacto recolecta nombre y correo para responder la consulta; formulario de registro recolecta nombre, correo y contraseña para gestionar la cuenta de usuario; proceso de compra recolecta datos de facturación y envío. Use el campo correspondiente en el asistente para detallar estas categorías.

Paso 4 — Herramientas de terceros: liste todos los servicios de terceros que recolectan datos de sus usuarios (Google Analytics, Meta Pixel, plataformas de email marketing como Mailchimp o HubSpot, procesadores de pago como Mercado Pago o decidir). Para cada servicio, indique si los datos se transfieren a servidores fuera de Argentina y el país de destino, a fin de cumplir con el artículo 12 de la Ley 25.326.

Paso 5 — Tipos de cookies: indique qué tipos de cookies utiliza el sitio (técnicas/necesarias, analíticas, de publicidad, de redes sociales). Si usa cookies de analítica o publicidad, la AAIP exige que el usuario pueda aceptarlas o rechazarlas mediante un mecanismo de consentimiento (banner de cookies).

Paso 6 — Plazos de conservación: para cada categoría de datos, indique cuánto tiempo los conserva. El campo de plazo de conservación es uno de los más importantes para el cumplimiento de la Ley 25.326: un plazo indefinido o impreciso es considerado un incumplimiento por la AAIP.

Paso 7 — Fecha de vigencia: registre la fecha de entrada en vigencia de la política en formato DD/MM/AAAA. Cuando actualice la política, conserve versiones anteriores fechadas y notifique a los usuarios registrados sobre los cambios materiales mediante correo electrónico.

La Política de Privacidad Web en Argentina debe cumplir los siguientes requisitos legales establecidos por la Ley 25.326 y las disposiciones de la AAIP.

Obligación de información previa (artículo 6 Ley 25.326): antes de recolectar datos personales, el responsable debe informar al titular sobre la finalidad del archivo, la identidad del responsable, el carácter obligatorio o facultativo de la respuesta, las consecuencias de no proporcionar los datos, la posibilidad de ejercer los derechos ARCO, y la existencia de transferencias internacionales. Esta información debe ser suministrada de forma clara, previa y gratuita.

Inscripción en el Registro Nacional de Bases de Datos (RNBD): el artículo 21 de la Ley 25.326 exige que los archivos, registros y bases de datos privados de acceso no restringido se inscriban ante la AAIP. La inscripción se realiza a través del sistema TAD (Trámite a Distancia) del gobierno nacional. La falta de inscripción puede resultar en sanciones del artículo 31 de la ley.

Consentimiento válido: el artículo 5 de la Ley 25.326 requiere que el consentimiento para el tratamiento de datos sea libre, expreso e informado. Para sitios web, esto significa que las casillas de verificación de consentimiento no pueden estar pre-marcadas, y el usuario debe poder negar el consentimiento sin consecuencias para acceder al servicio cuando el dato no sea necesario para el mismo.

Medidas de seguridad (Disposición DNPDP 11/2006): el responsable del tratamiento debe adoptar medidas técnicas y organizativas adecuadas al nivel de sensibilidad de los datos tratados, incluyendo protocolo HTTPS, cifrado de contraseñas, control de acceso a las bases de datos y registro de incidentes de seguridad. Las brechas de seguridad que afecten datos de usuarios argentinos deben ser notificadas a la AAIP, aunque la Ley 25.326 no establece plazos específicos de notificación como el RGPD europeo.

Sanciones (artículo 31 Ley 25.326): el incumplimiento de las obligaciones de la ley puede dar lugar a sanciones administrativas de la AAIP (apercibimiento, suspensión, multas de hasta $100.000 ARS) y a responsabilidad civil por daños bajo los artículos 1716 y 1737 del CCyC (Ley 26.994). El daño moral derivado de la vulneración del derecho a la privacidad puede ser indemnizable conforme a los artículos 1738 y 1741 CCyC.

Los errores más frecuentes en las Políticas de Privacidad Web de empresas argentinas que generan incumplimientos observados por la AAIP son los siguientes.

Política de privacidad genérica copiada de otro país: utilizar una política traducida del inglés o copiada de un sitio extranjero sin adaptarla a la Ley 25.326, sus artículos específicos, la autoridad de tutela (AAIP) y los derechos ARCO del ordenamiento argentino. La AAIP puede sancionar políticas que no cumplan con el derecho nacional aunque el responsable argumente que utiliza un estándar internacional.

Omitir la mención de las herramientas de analítica y publicidad: no declarar el uso de Google Analytics, Meta Pixel, LinkedIn Insight Tag u otras herramientas que recolectan datos de comportamiento de los usuarios y los transfieren a servidores en el exterior es una de las causas más frecuentes de sanciones por la AAIP. Estas herramientas constituyen tratamiento de datos personales y transferencia internacional que deben ser declarados expresamente.

No indicar plazos de conservación específicos: una cláusula que diga 'conservamos sus datos por el tiempo necesario' sin especificar el plazo concreto para cada categoría incumple el principio de calidad de los datos del artículo 4 de la Ley 25.326. La AAIP exige plazos determinados o criterios claros para determinarlos.

No registrar la base de datos ante la AAIP: publicar una Política de Privacidad sin cumplir con la obligación de inscripción de la base de datos en el Registro Nacional de Bases de Datos (RNBD) es una infracción independiente sancionable. Muchas empresas desconocen esta obligación y creen que publicar la política es suficiente.

No actualizar la política ante cambios en las herramientas o finalidades: incorporar nuevas herramientas de marketing, cambiar de procesador de pago o ampliar las finalidades de uso de los datos sin actualizar y volver a comunicar la política a los usuarios invalida el consentimiento obtenido bajo la versión anterior. La política debe versionarse y los usuarios registrados deben ser notificados de cambios materiales.