Autorización de Uso de Datos Personales

La Autorización de Uso de Datos Personales en Argentina es el documento por el cual una persona presta su conformidad expresa e informada, conforme a Ley 25.326 Art. 5 (Protección de Datos Personales); Directrices AAIP.

La Ley 25.326, sancionada en el año 2000 y reglamentada por el Decreto 1558/01, es la norma fundamental de protección de datos personales en Argentina. Define 'datos personales' en su artículo 2 como 'información de cualquier tipo referida a personas físicas o de existencia ideal determinadas o determinables', y establece los principios rectores del tratamiento: licitud, lealtad, finalidad, calidad, seguridad, temporalidad y confidencialidad. El artículo 5 de la Ley 25.326 establece el consentimiento como la base de licitud por defecto del tratamiento de datos personales — salvo las excepciones taxativas del artículo 5 inc. 2, el responsable del archivo no puede tratar datos sin el consentimiento previo del titular.

Argentina fue el primer país latinoamericano en obtener el reconocimiento de 'nivel adecuado de protección de datos' por parte de la Comisión Europea (Decisión 2003/490/CE), lo que permite la transferencia de datos entre Argentina y la Unión Europea sin necesidad de mecanismos adicionales de garantía. La AAIP ha actualizado sus directrices para acercarlas al Reglamento General de Protección de Datos (RGPD/GDPR) europeo, lo que permite a las organizaciones implementar políticas de privacidad unificadas para los mercados argentino y europeo.

El consentimiento bajo la Ley 25.326 debe reunir las siguientes características: (a) libre — sin coacción ni condicionamiento al acceso a bienes o servicios esenciales; (b) expreso — manifestado en forma activa por el titular, no puede ser un consentimiento pre-marcado o inferido del silencio; (c) informado — el titular debe haber recibido toda la información relevante sobre el tratamiento antes de otorgar el consentimiento; (d) específico — debe referirse a finalidades concretas, no puede ser un consentimiento genérico para 'cualquier uso'. El formulario de autorización de uso de datos personales de forms-legal.com está diseñado para cumplir estos cuatro requisitos y satisfacer los estándares de la AAIP.

La reforma de la Ley 25.326 está en proceso legislativo al 2025 — el proyecto de nueva Ley de Protección de Datos Personales propone fortalecer los derechos de los titulares (incluyendo el derecho a la portabilidad de datos y el derecho a oponerse al tratamiento automatizado), elevar las sanciones y modernizar el régimen de transferencias internacionales. Hasta tanto se apruebe la reforma, la Ley 25.326 y sus decretos reglamentarios siguen siendo el marco jurídico vigente.

La Autorización de Uso de Datos Personales en Argentina es necesaria en las siguientes situaciones, reguladas por la Ley 25.326 (Art. 5) y las directrices de la AAIP.

Registros de usuarios y formularios web: Toda empresa o emprendimiento que recolecte datos personales a través de formularios en su sitio web —nombre, email, teléfono, dirección, CUIT— para crear cuentas de usuario, enviar newsletters, acceder a contenido exclusivo o gestionar pedidos, debe obtener el consentimiento expreso del usuario antes de recolectar y procesar esos datos. El consentimiento debe ser un acto activo del usuario (tildar una casilla) y no puede estar pre-marcado.

CRM y bases de datos de clientes: Las empresas que mantienen bases de datos de clientes con datos personales —historial de compras, datos de contacto, preferencias, datos de facturación— deben contar con el consentimiento de cada titular para el tratamiento de sus datos. Si la base de datos fue creada antes de la Ley 25.326 o con consentimientos tácitos, debe actualizarse con consentimientos expresos conforme a los estándares actuales de la AAIP.

Marketing digital y email marketing: El envío de comunicaciones comerciales, newsletters, ofertas o publicidad por correo electrónico, WhatsApp, SMS u otros canales digitales requiere el consentimiento expreso previo del destinatario para el uso de su email o número de teléfono con fines de marketing. El envío de comunicaciones comerciales sin consentimiento previo puede constituir spam bajo la Ley 25.326 y generar reclamos ante la AAIP o ante el Instituto Nacional de Defensa del Consumidor (INDECONSUMER) si el destinatario es consumidor final.

Aplicaciones móviles y plataformas digitales: Las apps móviles que recolectan datos de geolocalización, hábitos de uso, datos de salud o bienestar (apps fitness, salud, alimentación), datos biométricos (reconocimiento facial, huella dactilar para autenticación), o datos de menores de edad requieren consentimiento específico e informado del usuario para cada categoría de datos y finalidad de uso. Los datos de menores de 18 años requieren el consentimiento de sus representantes legales (Ley 25.326 Art. 8).

Recursos humanos y datos de empleados: Las empresas que procesan datos personales de sus empleados —legajos, datos médicos, datos sindicales, datos de nómina— deben informar a los empleados sobre el tratamiento de sus datos y obtener su consentimiento para los usos que excedan los necesarios para la ejecución del contrato de trabajo (por ejemplo, uso de imagen del empleado, publicación en directorio interno, transferencia de datos a empresas del grupo).

Sistemas de videovigilancia con reconocimiento facial: Las empresas o instituciones que instalen sistemas de videovigilancia en espacios de trabajo o acceso público con capacidad de reconocimiento facial deben contar con la autorización de tratamiento de datos biométricos de todas las personas registradas, inscribir la base de datos biométrica en el registro de la AAIP, y cumplir con los requisitos de seguridad establecidos en el Decreto 1558/01 y las disposiciones de la AAIP.

Salud e investigación clínica: Instituciones sanitarias, laboratorios farmacéuticos, y organismos como el CONICET que realicen estudios de investigación clínica o epidemiológica con datos de salud de pacientes o participantes deben obtener el consentimiento informado (que incluye la autorización de tratamiento de datos personales de salud) conforme a la Ley 25.326 Art. 7 y la Resolución 1480/11 del Ministerio de Salud de la Nación (Guía para Investigaciones en Seres Humanos).

Una Autorización de Uso de Datos Personales válida y conforme a la Ley 25.326 Art. 5 y las directrices de la AAIP debe contener los siguientes elementos.

Identificación del responsable del tratamiento: Nombre completo o razón social, CUIT, domicilio real en Argentina, y datos de contacto del responsable del archivo (empresa, organización o persona física que determina los fines y los medios del tratamiento). Si la empresa tiene un delegado de protección de datos (DPO), identificarlo. Este dato es fundamental para que el titular sepa a quién dirigirse para ejercer sus derechos ARCO (Acceso, Rectificación, Cancelación, Oposición).

Categorías de datos personales recolectados: Listar con precisión qué tipos de datos personales se recolectan: datos identificativos (nombre, apellido, DNI, CUIT, dirección, email, teléfono), datos económicos (ingresos, datos bancarios, CBU, tarjetas de crédito), datos de salud, datos biométricos (imagen facial, huellas), datos de geolocalización, datos de hábitos o preferencias, datos de menores de edad. Para datos sensibles (Ley 25.326 Art. 7), el consentimiento debe ser aún más específico y la información más detallada.

Finalidad específica del tratamiento: Describir con precisión para qué se usan los datos: gestión de la relación comercial, envío de comunicaciones de marketing, elaboración de perfiles de usuario, prestación del servicio contratado, cumplimiento de obligaciones legales (facturación, declaraciones impositivas ante AFIP/ARCA), investigación científica, prevención del fraude, etc. El principio de finalidad de la Ley 25.326 prohíbe usar los datos para finalidades incompatibles con las declaradas al momento de recolección.

Destinatarios y cesionarios de los datos: Indicar si los datos serán compartidos con terceros: empresas del mismo grupo económico, proveedores de servicios tecnológicos (hosting, CRM, email marketing), plataformas publicitarias (Google Ads, Meta, TikTok Ads), entidades financieras, organismos públicos (AFIP/ARCA, ANSES). Si los datos se transfieren al exterior (Ley 25.326 Art. 12), identificar los países destinatarios y si tienen nivel adecuado de protección reconocido por la AAIP.

Plazos de conservación de los datos: Especificar cuánto tiempo se conservarán los datos de cada categoría. La Ley 25.326 Art. 4 inc. 7 exige que los datos se conserven durante el tiempo necesario para la finalidad del tratamiento. Declare plazos concretos: 'datos de clientes: durante la vigencia de la relación comercial más 5 años'; 'datos de candidatos laborales: 2 años'; 'datos de salud: 10 años conforme Ley 26.529'. Forms-legal.com recomienda incluir siempre este dato en el formulario de consentimiento para cumplir con los estándares de la AAIP y del GDPR en los formularios de autorización de uso de datos personales de Argentina.

Derechos del titular y mecanismo de ejercicio: Informar al titular sobre sus derechos bajo la Ley 25.326: (a) derecho de acceso (Art. 14 — saber qué datos tiene el responsable, cómo los usa, a quién los cedió); (b) derecho de rectificación (Art. 16 — corregir datos inexactos); (c) derecho de actualización (Art. 16 — actualizar datos desactualizados); (d) derecho de supresión o cancelación (Art. 16 inc. 3 — eliminar datos cuando ya no son necesarios o cuando el titular revoca el consentimiento); (e) derecho de confidencialidad (Art. 17 — el responsable debe guardar secreto sobre los datos). Proporcione un canal de contacto concreto (email, formulario web, dirección postal) para el ejercicio de estos derechos y el plazo de respuesta comprometido (recomendable: dentro de los 5 días hábiles para acusar recibo y 30 días para resolución).

Mecanismo de consentimiento activo: El consentimiento debe ser un acto positivo inequívoco del titular. Para formularios electrónicos: casilla desmarcada que el titular debe marcar activamente. Para instrumentos en papel: espacio de firma del titular. Nunca pre-marque casillas de consentimiento. Nunca infiera el consentimiento del silencio o de la mera navegación web sin acción activa.

Para completar la Autorización de Uso de Datos Personales en Argentina, siga estos pasos basados en la Ley 25.326 Art. 5 y las directrices de la AAIP.

Paso 1 — Identificar al responsable del tratamiento: Ingrese el nombre o razón social de la empresa u organización que recolecta y procesa los datos, junto con su CUIT (formato XX-XXXXXXXX-X) y domicilio en Argentina. Si tiene un delegado de protección de datos (DPO), incluya su nombre y contacto. Este dato permite al titular identificar a quién dirigir sus solicitudes de derechos ARCO.

Paso 2 — Identificar al titular de los datos: Nombre completo, DNI y domicilio de la persona física cuyos datos se autorizan. Verifique que el titular sea mayor de 18 años (CCyC Art. 25) — para menores, complemente con el consentimiento de sus representantes legales (Ley 25.326 Art. 8).

Paso 3 — Listar los datos autorizados: En el campo correspondiente, enumere con precisión los tipos de datos que el titular autoriza: 'nombre y apellido, DNI, CUIT, dirección de correo electrónico, número de teléfono, historial de compras, datos de geolocalización'. Para datos sensibles (salud, biometría, etc.), sea especialmente preciso e incluya la justificación de la necesidad del tratamiento.

Paso 4 — Especificar la finalidad: Describa para qué se usarán los datos con la mayor especificidad posible. Evite finalidades genéricas como 'uso comercial' — en su lugar, indique: 'envío de newsletters y comunicaciones de marketing sobre productos y servicios de [empresa]', 'gestión de pedidos y facturación', 'análisis de comportamiento de compra para mejorar la experiencia de usuario'. Cada finalidad debe ser específica y diferenciada.

Paso 5 — Identificar a los destinatarios: Si los datos se compartirán con terceros —proveedores tecnológicos, plataformas publicitarias, empresas del grupo— identifíquelos o descríbalos por categoría. Si se transferirán al exterior, indique los países y el fundamento legal de la transferencia internacional (Ley 25.326 Art. 12 — países con nivel adecuado AAIP, o cláusulas contractuales estándar para países sin nivel adecuado).

Paso 6 — Fijar el plazo de conservación: Indique cuánto tiempo conservará los datos de cada categoría. Use los plazos legales como referencia mínima (10 años para datos contables, 5 años de prescripción general del CCyC) y adapte al ciclo de vida de cada tipo de dato en su organización.

Paso 7 — Informar sobre los derechos del titular: Incluya los derechos de acceso, rectificación, actualización, supresión y confidencialidad (Ley 25.326 Arts. 14–17), y el canal de ejercicio. La AAIP recomienda que el formulario incluya el email o formulario web de contacto del responsable para que el titular pueda ejercer sus derechos sin dificultades.

Paso 8 — Obtener el consentimiento activo: Para instrumentos en papel, el titular debe firmar el formulario en el espacio designado. Para formularios electrónicos, el titular debe marcar activamente la casilla de consentimiento — configure el sistema para que la casilla no esté pre-marcada. Conserve evidencia del consentimiento (registro con fecha, hora, IP del dispositivo para consentimientos electrónicos).

Paso 9 — Inscribir la base de datos en la AAIP: Si su organización es persona jurídica y procesa datos personales de forma habitual, verifique si la base de datos debe inscribirse en el Registro Nacional de Bases de Datos de la AAIP (www.argentina.gob.ar/aaip). El incumplimiento de la obligación de inscripción es infracción a la Ley 25.326 Art. 21.

La Autorización de Uso de Datos Personales en Argentina está sujeta a los siguientes requisitos legales bajo la Ley 25.326 y sus normas reglamentarias.

Consentimiento libre, expreso, informado y específico (Ley 25.326 Art. 5): El consentimiento no puede ser coaccionado, no puede inferirse del silencio, debe referirse a finalidades concretas, y debe ser otorgado después de que el titular haya recibido toda la información relevante sobre el tratamiento. La AAIP ha establecido en su Disposición 2/2019 que los estándares de consentimiento deben acercarse a los del GDPR europeo.

Información previa al consentimiento (Ley 25.326 Art. 6): Antes de recolectar los datos, el responsable debe informar al titular sobre: (a) la finalidad para la que se recolectan los datos; (b) el carácter obligatorio o facultativo de las respuestas; (c) las consecuencias de proporcionar los datos; (d) los derechos de acceso, rectificación, actualización, supresión y confidencialidad; (e) la identidad y domicilio del responsable del archivo. Esta información es la que debe figurar en el formulario de autorización.

Prohibición de condicionamiento del acceso a servicios esenciales (Ley 25.326 Art. 5 inc. 3): El consentimiento para el tratamiento de datos personales no puede ser condición para el acceso a bienes o servicios esenciales — el responsable no puede negar el servicio a quien no consiente el tratamiento de sus datos para finalidades distintas a las necesarias para la prestación del servicio. Esta restricción es especialmente relevante para empresas de telecomunicaciones, servicios públicos, y plataformas digitales de uso masivo.

Inscripción de bases de datos (Ley 25.326 Art. 21): Los archivos, registros y bases de datos de datos personales manejados por personas jurídicas privadas deben inscribirse en el Registro Nacional de Bases de Datos de la AAIP antes de iniciar el tratamiento de datos. La inscripción es gratuita y se realiza en línea a través del portal de la AAIP.

Seguridad de los datos (Ley 25.326 Art. 9 y Disposición DNPDP 11/2006): El responsable del archivo debe adoptar medidas técnicas y organizativas adecuadas para proteger los datos contra pérdida, alteración, acceso no autorizado o divulgación. La Disposición 11/2006 de la ex Dirección Nacional de Protección de Datos Personales (hoy AAIP) establece los requisitos mínimos de seguridad según el nivel de sensibilidad de los datos (básico, medio, alto). Los datos sensibles (salud, biometría, datos financieros) requieren medidas de seguridad de nivel alto.

Transferencias internacionales de datos (Ley 25.326 Art. 12): La transferencia de datos personales a países o organismos internacionales que no cuenten con un nivel adecuado de protección reconocido por la AAIP está prohibida, salvo excepciones (cláusulas contractuales estándar aprobadas por la AAIP, consentimiento explícito del titular para la transferencia específica). La lista de países con nivel adecuado es actualizada periódicamente por la AAIP.

Datos de menores de edad (Ley 25.326 Art. 8): El tratamiento de datos personales de menores de 18 años requiere el consentimiento de los representantes legales del menor — padres en ejercicio de la responsabilidad parental (CCyC Arts. 638–704) o tutor legal. El responsable debe implementar mecanismos de verificación de edad razonables para evitar recolectar datos de menores sin consentimiento parental.

En la preparación y uso de la Autorización de Uso de Datos Personales en Argentina, los errores más frecuentes son los siguientes.

Consentimientos genéricos o pre-marcados: El error más común es implementar un formulario de registro con una casilla pre-marcada que dice 'acepto los términos y condiciones y la política de privacidad'. La Ley 25.326 Art. 5 y la Disposición 2/2019 de la AAIP exigen un consentimiento activo e inequívoco — la casilla pre-marcada no es válida. El titular debe marcar la casilla por sí mismo. El consentimiento agrupado en los 'términos y condiciones' tampoco es suficiente — el consentimiento para el tratamiento de datos debe ser separado e identificable.

Finalidades demasiado amplias o vagas: Declarar que los datos se usan para 'fines comerciales' sin mayor especificidad es contrario al principio de finalidad de la Ley 25.326 Art. 4 inc. 3. Si el responsable luego usa los datos para una finalidad distinta a la declarada (por ejemplo, vende la base de datos a un tercero para su propio marketing), incurre en una infracción grave a la Ley 25.326 y puede ser sancionado por la AAIP.

No inscribir la base de datos en la AAIP: Muchas empresas omiten la obligación de inscripción de sus bases de datos de clientes o usuarios en el Registro Nacional de Bases de Datos de la AAIP (Ley 25.326 Art. 21). Esta omisión es per se una infracción a la Ley 25.326, independientemente de que el tratamiento de datos sea lícito en todos los demás aspectos. La inscripción es gratuita, online, y debe realizarse antes de iniciar el tratamiento.

No implementar canal de ejercicio de derechos ARCO: Los responsables de archivos que no proveen un canal claro y accesible para que los titulares ejerzan sus derechos de acceso, rectificación, actualización, supresión y confidencialidad (Ley 25.326 Arts. 14–17) incumplen la ley. La AAIP puede sancionar esta omisión y los titulares pueden presentar denuncias ante la agencia o interponer habeas data judicial (Ley 25.326 Art. 33; CN Art. 43).

No diferenciar datos sensibles de datos comunes: Tratar datos sensibles (salud, biometría, creencias religiosas, datos sindicales) con los mismos estándares que datos comunes es una infracción a la Ley 25.326 Art. 7. Los datos sensibles requieren consentimiento adicional específico, medidas de seguridad de nivel alto (Disposición DNPDP 11/2006), y no pueden usarse para discriminación o persecución. Implementar el formulario de autorización sin distinguir categorías de datos puede llevar al responsable a tratar datos sensibles sin el nivel de protección requerido.

No actualizar los formularios de consentimiento: Los formularios de consentimiento implementados hace años pueden no cumplir los estándares actuales de la AAIP, especialmente los ajustes incorporados por la Disposición 2/2019 para alinearlos con el GDPR europeo. Los responsables deben revisar y actualizar periódicamente sus formularios de consentimiento y obtener nuevos consentimientos de los titulares cuyo consentimiento anterior no cumple los estándares actuales.

Olvidar las transferencias internacionales de datos: Las empresas que usan plataformas tecnológicas de terceros con servidores en el exterior (AWS, Google Cloud, Microsoft Azure, plataformas de email marketing como Mailchimp o HubSpot) están realizando transferencias internacionales de datos sin siempre saberlo. La Ley 25.326 Art. 12 regula estas transferencias — si el país destinatario no tiene nivel adecuado reconocido por la AAIP, la transferencia requiere mecanismos adicionales (cláusulas contractuales estándar). No informar al titular sobre estas transferencias en el formulario de consentimiento es una omisión que puede generar sanciones de la AAIP.