Ley 25.326 y software en Argentina: qué pide y cómo cumplir

Guardás datos de tus clientes: nombres, teléfonos, mails, a veces datos de empleados o de salud. Eso, en Argentina, tiene reglas. Una PyME de cinco personas con una lista de clientes tiene que cumplir la Ley 25.326 igual que una empresa de mil. La buena noticia es que casi todo se resuelve una vez, dentro del sistema, y queda andando. Te explicamos qué te toca, en criollo.

Esta nota es una pieza de todo lo que hay que cumplir al digitalizar tu empresa.

Qué pide la ley, en simple

La ley protege los datos de las personas. En la práctica, te pide tres cosas:

1. Pedir permiso antes de guardar los datos de alguien, y dejar registrado que esa persona dijo que sí.
2. Cuidarlos bien: que no se filtren, que solo los vea quien tiene que verlos.
3. Dejar que la persona ejerza sus derechos: ver qué tenés sobre ella, corregirlo o pedir que lo borres.

Hay datos comunes (nombre, contacto) y datos sensibles (salud, datos biométricos, ideas políticas o religiosas, vida sexual, antecedentes penales). Los sensibles piden más cuidado todavía: permiso expreso y una razón clara para tenerlos.

Qué tenés que tener

Anotar tus bases en la AAIP

Antes de poner en marcha cualquier parte del sistema que guarde datos de personas, hay que anotar esas bases en la AAIP, el organismo que controla el tema. Ojo, una "base" no es una tabla del sistema: es un conjunto de datos con un fin. Tu lista de clientes es una base; los datos de tus empleados, otra; las fichas de los pacientes, una tercera. Cada una se anota por separado, online, con su nombre, para qué la usás y cuánto tiempo la guardás. El registro en sí no tiene arancel. Tercerizarlo en un gestor o estudio cuesta entre USD 50 y 200 por base, que es lo que el mercado cobra por hacerte el trámite. Se renueva todos los años. Ponete un recordatorio 60 días antes del vencimiento: si se vence, quedás en falta sin haber hecho nada mal.

Pedir permiso de verdad

Nada de tener el casillero de "acepto" ya marcado, ni un textito al pie que se da por aceptado. El permiso tiene que ser un casillero que la persona marca a propósito, con un link claro a tu política de privacidad. Y el sistema guarda ese sí: cuándo lo dio, qué versión de la política aceptó. Esa es tu prueba si algún día te lo piden. Importante: dar de baja el permiso tiene que ser tan fácil como darlo. Si la persona se anota en tres clics, tiene que poder borrarse en tres clics, no llamando a un 0800.

Dar respuesta a los derechos del cliente

Acá es donde la mayoría de las PyMEs pierde. El sistema necesita una pantalla donde la persona pueda pedir ver sus datos, corregirlos o pedir la baja. Hasta ahí, fácil. Lo difícil es el reloj: tenés diez días para mostrar los datos y cinco para corregir, contando desde que llega el pedido, no desde que alguien lo lee.

Pensá cómo pasa esto en la vida real. El pedido entra por el formulario de contacto de la web, lo recibe la casilla de administración, alguien lo reenvía al sistema, el que sabe dónde están esos datos está de vacaciones. Ya se fueron cuatro días de los diez y todavía nadie miró nada. Por eso el sistema tiene que agarrar el pedido apenas entra, convertirlo en un ticket con fecha de vencimiento y empezar a molestar solo. Prepararlo desde el arranque es barato. Agregarlo dos años después, cuando el pedido ya llegó, es caro y encima llegás tarde.

Cuidar los datos de verdad

Va por debajo y no se ve: datos guardados bajo llave, viajando protegidos, un registro de quién tocó qué, copias de seguridad y un plan escrito por si algo se filtra. Cuando hay filtración, hay que avisarle a la AAIP y a cada persona afectada.

Acuerdos con tus proveedores

Si mandás datos de tus clientes a un proveedor (un servicio en la nube, una plataforma de pagos), ese proveedor pasa a manejarlos por encargo tuyo. Sin un acuerdo firmado que diga qué puede y qué no puede hacer con esos datos, el que responde sos vos.

Y si usás inteligencia artificial

Cada vez más negocios suman IA: un asistente que contesta el WhatsApp, un resumen automático de fichas, un buscador sobre tus documentos. Si esa IA toca datos de personas, aplica la misma ley. A junio de 2026 no hay una ley de IA propia en Argentina; lo que rige es la Ley 25.326 más las recomendaciones de la AAIP. Lo que tenés que tener en cuenta:

• Permiso y acuerdo. Igual que con cualquier proveedor: la persona consiente y vos tenés un acuerdo con el proveedor de IA. Los proveedores serios no usan tus datos para entrenar sus modelos; eso te deja más tranquilo.
• Mandar solo lo justo. A la IA le pasás lo necesario, no todo "por las dudas". Cuanto menos dato sensible viaja, mejor.
• Datos sensibles, más cuidado. Si son datos de salud, conviene quitar antes lo que identifica a la persona (nombre, DNI) y que un profesional revise el resultado antes de archivarlo.
• La última palabra la tiene una persona. La ley, en su artículo 20, le da derecho a cualquiera a que una decisión que lo afecta (un crédito, una contratación) la revise alguien de carne y hueso. Un sistema automático puede proponer. Firmar, no.

Un ejemplo real: una clínica sumó resúmenes automáticos de las fichas de sus pacientes con IA. Antes de mandar nada, el sistema quita los datos que identifican a la persona; hay un acuerdo firmado con el proveedor; el paciente da su permiso al ingresar; queda registrado cada uso; y el médico revisa el resumen antes de guardarlo. Resultado: siguieron en regla, y de paso pasaron de tardar 15 días promedio en responder un pedido de acceso a datos a solo 3, porque el sistema lo ordena todo.

Cómo lo dejamos en regla

La idea es que no tengas que pelearte con esto a mano. Cuando armamos tu sistema, esto va incluido: las bases listas para anotar, el permiso bien pedido y registrado, la pantalla para que el cliente ejerza sus derechos con sus plazos automáticos, los datos guardados con cuidado y los acuerdos con proveedores ordenados. Sumás una asesoría legal puntual y quedás cubierto.

De lo que sale, hay una parte que podés averiguar hoy sin llamar a nadie, porque la cobran terceros: el registro en la AAIP no tiene arancel, un gestor pide entre USD 50 y 200 por base y una asesoría legal puntual se paga por hora, como cualquier consulta. Lo otro, la parte técnica, no tiene un precio de lista y por eso no lo tiramos: lo que la mueve de un extremo al otro es si va incluida desde el arranque o si hay que abrirle el código a un sistema que ya lleva tres años andando, y eso solo se sabe mirando lo que tenés. Un número dicho antes de esa charla no te sirve para presupuestar nada.

Lo que sí podés medir vos, y es la cuenta que importa, está del otro lado. Contá cuánto te lleva hoy contestar un pedido de acceso a datos: cuántos días de ir y venir entre administración, sistemas y el abogado, y cuántas personas se cortan lo que estaban haciendo para buscar dónde estaba ese cliente. Después mirá el otro riesgo, que no se mide en horas: una falta muy grave de la escala de la AAIP llega hasta UM 5.000, y un contrato con un cliente corporativo que no se firma porque no estás inscripto se pierde entero.

Por qué conviene ahora y no cuando llegue el reclamo

Cuidar los datos de tus clientes no es burocracia. Es lo que te evita una multa y lo que te deja firmar con clientes grandes, que hoy revisan esto antes de sentarse a hablar de precio. Se resuelve una vez, dentro del sistema, y después se olvida.

El primer paso no necesita presupuesto ni proveedor: sentate y hacé la lista de todos los lugares donde hoy hay datos de personas. La planilla de clientes, el CRM, el grupo de WhatsApp donde los vendedores se pasan teléfonos, la carpeta de legajos, el formulario de la web, la casilla vieja que nadie cerró. Van a aparecer más de los que pensabas. Esa lista es, literalmente, la mitad del trámite de inscripción.