Datos Seguros Argentina

Nombre propuesto del programa

Nombre recomendado: Datos Seguros Argentina

• Datos en Red: conecta protección con digitalización cotidiana.
• Escudo Digital: evoca defensa ciudadana ante el riesgo tecnológico.

Resumen ejecutivo

Proponemos que el Congreso de la Nación sancione una ley que reemplace la Ley 25.326 de Protección de Datos Personales por un régimen actualizado, alineado con el Reglamento General de Protección de Datos de la Unión Europea y con las normas ISO 27001, 27002, 27037, 27701, 42001, 31000, 20000 y 9001. La propuesta protege a las 45.618.787 personas registradas en el Censo 2022 y a la totalidad de organizaciones públicas y privadas que tratan datos personales en Argentina. Su costo principal recae en el fortalecimiento presupuestario de la Agencia de Acceso a la Información Pública (AAIP), autoridad de aplicación ya existente. La presentación se canaliza mediante petición formal ante la AAIP y el Poder Ejecutivo, con copia a bloques legislativos, a partir del 20 de agosto de 2026.

El problema

La Ley 25.326 de Protección de Datos Personales fue sancionada hace más de veinticinco años, cuando la digitalización del sector público y privado en Argentina era incipiente. Desde entonces, el 100% de las organizaciones públicas y privadas trata datos personales a escala, y tecnologías como la inteligencia artificial, el big data y el perfilamiento automatizado operan sin un marco normativo que las contemple.

La ley vigente presenta cuatro fallas estructurales. Primero, sus sanciones son montos fijos en pesos que la inflación licúa: con una variación interanual del IPC del 33,8% a julio de 2026, según el INDEC vía datos.gob.ar, cualquier multa nominal pierde poder disuasorio en el primer año. Segundo, no existe obligación legal de notificar incidentes de seguridad ni a la autoridad de aplicación ni a los titulares afectados. Tercero, no hay mecanismos de gobernanza ni auditoría adecuados para el volumen y la complejidad actual del tratamiento de datos. Cuarto, la ley no regula decisiones automatizadas, inteligencia artificial ni tratamiento masivo de datos.

Esto deja sin protección efectiva a los 45.618.787 ciudadanos y ciudadanas registrados en el Censo Nacional 2022, según el INDEC. Intentos previos de reforma no lograron prosperar en el Congreso, lo que confirma que el problema es reconocido políticamente pero que la solución requiere articulación técnica y legislativa sólida. Brasil lo resolvió en 2018 con la Lei Geral de Proteção de Dados; Chile lo hizo en 2024 con la Ley 21.719. Argentina acumula rezago normativo mientras la adopción tecnológica avanza.

Que se evaluo y que se eligio

Alternativa	Alcance de protección	Efectividad disuasoria	Viabilidad política	Velocidad	Alineación internacional	Capacidad institucional requerida	Cobertura tecnológica
Reforma integral de la Ley 25.326	Total: 45,6 M de personas, sector público y privado completo	Alta, si las multas se fijan como porcentaje de facturación	Baja-media: requiere consenso amplio en ambas cámaras	Lenta: 2 a 4 años (estimación por analogía con Brasil y Chile; no verificada para Argentina)	Total: RGPD e ISO 27001, 27002, 27037, 27701, 42001, 31000, 20000 y 9001	Alta: nuevas funciones de auditoría, sanción y certificación para la AAIP	Total: IA, big data, perfilamiento y decisiones automatizadas
Marco sectorial para IA y datos masivos	Parcial: solo tratamiento por IA y big data	Media: disuade en IA, no en tratamiento general	Media-alta: alcance acotado reduce resistencias	Media	Parcial: ISO 42001 e ISO 27001 para IA	Moderada	Completa en IA; deja fuera otros tratamientos masivos
Reforma parcial + reglamentación por decreto	Parcial: mejora sanciones e incidentes, no cubre IA	Media-baja: mejora el margen sobre arquitectura vieja	Alta: cambios quirúrgicos, menor debate	Rápida	Parcial: sanciones y notificación; no estándares técnicos completos	Baja-moderada	Nula: no modifica la arquitectura tecnológica de la ley
No hacer nada	Sin cambio	Nula	Alta (no requiere acción)	Inmediata	Nula	Sin cambio	Nula

Elegimos la reforma integral porque es la única alternativa que cierra simultáneamente las cuatro fallas de la Ley 25.326: sanciones sin poder disuasorio, ausencia de notificación de incidentes, vacío de gobernanza y ausencia de regulación tecnológica. Las demás opciones resuelven partes del problema y dejan a los 45.618.787 ciudadanos expuestos en alguna de esas dimensiones. La mayor resistencia política es real, pero se mitiga con una propuesta técnicamente sólida, una audiencia pública previa bajo el Decreto 1172/2003 y articulación directa con bloques legislativos.

Costos y que consume

La reforma integral es la opción más completa y la que más consume. Sus costos tienen tres dimensiones.

Costo institucional. La AAIP, ya autoridad de aplicación de la Ley 25.326, debe recibir presupuesto y personal adicional para ejercer las nuevas funciones de auditoría, certificación y sanción. Sin esa partida en la Ley de Presupuesto, regulada por la Ley 24.156, la nueva ley repite el problema de la vigente: existe pero no se aplica. Cada recurso que la AAIP destine a datos personales es un recurso que no destina a acceso a la información pública, que también es su competencia; ese intercambio debe nombrarse explícitamente en la negociación presupuestaria.

Costo para las organizaciones reguladas. Las organizaciones públicas y privadas deben adecuar sus sistemas a los nuevos estándares. Las que ya certificaron ISO 27001 o ISO 27701 tienen menor costo de adecuación; las que parten de cero, mayor. Un régimen de incentivos —reducción de carga administrativa para quienes certifiquen— redistribuye ese costo y acelera la adopción.

Costo de las sanciones mal diseñadas. Las multas deben fijarse como porcentaje de la facturación anual del infractor, siguiendo el modelo del RGPD europeo, y no como montos fijos en pesos. Con una inflación interanual del 33,8% a julio de 2026 y el salario mínimo en $376.600 en agosto de 2026, según el Consejo del Salario vía datos.gob.ar, un monto nominal pierde poder disuasorio en el primer año. El mecanismo porcentual o una indexación a la UVA o al salario mínimo es condición técnica no negociable de la propuesta.

Costo de la demora. El período de 2 a 4 años entre sanción y vigencia plena —estimado por analogía con Brasil y Chile, no verificado para Argentina— es un costo que asumen los titulares de datos, no las organizaciones reguladas. La propuesta pide que la reglamentación se apruebe en plazos acotados y que la AAIP tenga capacidad operativa desde la entrada en vigencia.

Instrumento y base legal

Presentamos esta propuesta mediante dos canales simultáneos.

El primero es una petición formal ante la AAIP y el Poder Ejecutivo Nacional, amparada en el artículo 14 de la Constitución Nacional, que garantiza el derecho de todo ciudadano a peticionar ante las autoridades. No requiere cantidad mínima de firmas ni plazo especial; se presenta por nota escrita dirigida a la AAIP como autoridad de aplicación de la Ley 25.326 y al Poder Ejecutivo. Pedimos que, antes de remitir el proyecto al Congreso, la AAIP convoque una audiencia pública bajo el mecanismo de elaboración participativa de normas del Decreto 1172/2003, artículos 14 a 21, que habilita esa instancia de participación ciudadana en el proceso de elaboración normativa. Advertimos que el texto vigente del Decreto 1172/2003 debe verificarse, dado que pudo haber sido modificado o reglamentado con posterioridad a la fecha de consulta.

El segundo canal es la presentación a un bloque legislativo en el Honorable Congreso de la Nación, para que uno o más legisladores patrocinen el proyecto como iniciativa parlamentaria propia. Este canal no requiere que cumplamos los requisitos de la Ley 24.747 de Iniciativa Legislativa Popular —que exige el 1,5% del padrón electoral con distribución territorial— porque no presentamos el proyecto directamente ante el Congreso como iniciativa popular, sino que lo acercamos a un bloque para que lo tome.

El instrumento que le pedimos a la autoridad que dicte es una ley del Congreso de la Nación sancionada en ejercicio de las facultades del artículo 75 de la Constitución Nacional, que es la competencia legislativa nacional aplicable. Una reforma de este alcance no puede instrumentarse por decreto del Poder Ejecutivo.

Puesta en marcha

Semana 1

• Redactar la nota de petición formal dirigida a la AAIP y al Poder Ejecutivo, con la firma de Mauro Stepanoski y de quienes se sumen.
• Identificar los bloques legislativos con mayor interés histórico en protección de datos y derechos digitales, revisando los expedientes de proyectos previos en el Honorable Congreso de la Nación.
• Contactar organizaciones de derechos digitales, asociaciones de consumidores y cámaras empresariales para sumar adhesiones a la petición.
• Preparar una versión breve de la propuesta para difusión pública y prensa.

Semana 2

• Presentar la nota formal ante la mesa de entradas de la AAIP y del Poder Ejecutivo, y solicitar acuse de recibo.
• Entregar la propuesta completa a al menos un bloque legislativo y solicitar reunión con el área técnica del bloque.
• Difundir la propuesta en medios y redes, usando el texto periodístico preparado en la semana anterior.
• Solicitar a la AAIP que informe, en el marco de la Ley 27.275 de Acceso a la Información Pública, el número de sanciones aplicadas bajo la Ley 25.326 y los montos correspondientes, para construir la línea de base de los indicadores.

Mensualmente

• Mantener reunión breve de seguimiento con el equipo técnico del bloque legislativo que tome la propuesta, para acompañar la redacción del proyecto y responder consultas técnicas.
• Enviar a la AAIP un formulario de dos preguntas sobre obstáculos concretos para aplicar el régimen vigente y recursos faltantes; registrar las respuestas y devolver al equipo de la AAIP cómo van los indicadores de la propuesta.
• Actualizar a las organizaciones adherentes sobre el estado parlamentario del proyecto.
• Revisar si surgieron nuevos proyectos de reforma en el Congreso y evaluar si corresponde articular con sus equipos redactores.

Como se va a saber si funciona

Qué se mide	Frecuencia	Qué resultado indica éxito
Sanciones aplicadas por la AAIP bajo la nueva ley	Anual	Aumento sostenido respecto a la serie histórica bajo la Ley 25.326
Organizaciones que notifican incidentes dentro del plazo legal	Anual	Tasa de notificación en alza desde el primer año de vigencia
Organizaciones certificadas ISO 27001 o ISO 27701	Anual	Crecimiento del 20% en tres años respecto a la línea de base
Tiempo promedio de resolución de reclamos ante la AAIP	Semestral	Reducción respecto al promedio registrado bajo la Ley 25.326
Reclamos ciudadanos ante la AAIP	Anual	Aumento inicial (mayor conciencia de derechos) seguido de estabilización
Respuestas al formulario mensual de la AAIP sobre obstáculos y recursos	Mensual	Obstáculos identificados reciben respuesta en reglamentación en el trimestre siguiente; la AAIP confirma recepción de devolución de indicadores

Riesgos e incertidumbres

• La AAIP no recibe los recursos adicionales que la ley requiere. Si la Ley de Presupuesto, regulada por la Ley 24.156, no prevé la partida correspondiente, la nueva ley queda sin enforcement igual que la Ley 25.326. Para despejarlo: incluir en el texto del proyecto una cláusula que obligue al Ejecutivo a prever la partida presupuestaria en el ejercicio siguiente a la sanción, y hacer seguimiento expreso de la Ley de Presupuesto anual.

• Las multas se fijan en pesos nominales fijos. Con una inflación interanual del 33,8% a julio de 2026, cualquier monto fijo pierde poder disuasorio en el primer año. Para despejarlo: proponer en el texto que las multas se fijen como porcentaje de la facturación anual o se indexen a la UVA o al salario mínimo vigente.

• La resistencia del sector privado repite el ciclo de proyectos fallidos. Los antecedentes de intentos de reforma no aprobados confirman que ese obstáculo es real. Para despejarlo: realizar la audiencia pública del Decreto 1172/2003 antes del ingreso del proyecto, incorporar el régimen de incentivos para quienes certifiquen ISO, y articular tempranamente con cámaras empresariales.

• Hipótesis no verificada: tiempo de implementación de 2 a 4 años. El plazo entre sanción y vigencia plena se estimó por analogía con Brasil y Chile; no hay dato verificado para el contexto institucional argentino. Para despejarlo: consultar los equipos técnicos de la AAIP y del Congreso sobre plazos reales de reglamentación en reformas de alcance similar.

• Hipótesis no verificada: adopción de normas ISO en el sector público argentino. No se relevó con qué nivel de base cuenta el sector público para adecuarse a ISO 27001, ISO 27701 e ISO 42001. Para despejarlo: solicitar a la AAIP y al IRAM información sobre certificaciones vigentes antes de fijar los indicadores de la tabla de seguimiento.

• El intercambio de recursos dentro de la AAIP. Cada recurso que la AAIP destine a datos personales es un recurso que no destina a acceso a la información pública. Para despejarlo: proponer que el refuerzo presupuestario de la AAIP sea adicional y no redistribuido de las funciones existentes.

Fuentes y datos

• INDEC, Censo Nacional de Población, Hogares y Viviendas 2022 (resultados definitivos, base REDATAM): población de Argentina, 45.618.787 personas, año 2022.
• INDEC vía datos.gob.ar: IPC nivel general nacional, variación interanual del 33,8%, julio de 2026.
• Consejo del Salario vía datos.gob.ar: salario mínimo, vital y móvil mensual, $376.600 pesos corrientes, agosto de 2026.
• BCRA, Principales variables: dólar minorista (promedio vendedor), $1.517,54 pesos por dólar, 19 de agosto de 2026.
• Constitución de la Nación Argentina (Presidencia de la Nación, argentina.gob.ar, 1994): artículo 14 (derecho de petición), artículo 75 (competencia legislativa del Congreso Nacional), artículo 76.
• Ley 25.326 de Protección de Datos Personales (Congreso de la Nación): ley vigente cuya reforma se propone; la AAIP es su autoridad de aplicación.
• Ley 27.275 de Derecho de Acceso a la Información Pública (Congreso de la Nación, 2016): artículos 2, 3, 4 a 7, 8, 19 a 22, 24, 25 a 29 y 35 a 40; remite a la Ley 25.326 para el tratamiento de datos personales en el acceso a la información pública.
• Decreto 1172/2003 (Poder Ejecutivo Nacional, 2003): artículos 14 a 21, mecanismo de audiencia pública y elaboración participativa de normas; se advierte que el texto vigente debe verificarse por posibles modificaciones posteriores.
• Ley 24.156 de Administración Financiera y de los Sistemas de Control del Sector Público Nacional (Congreso de la Nación, 1992): artículos 1 a 10, 60 a 67 y 137 a 139; regula la asignación de recursos al sector público nacional.
• Ley 22.520 de Ministerios (Poder Ejecutivo Nacional, 1981, texto ordenado y actualizado): artículo 16; asigna al Ejecutivo el control de aplicación de la Ley 25.326.
• Ley 24.747 de Iniciativa Legislativa Popular (Congreso de la Nación, 1996): artículos 1 a 9; requisito del 1,5% del padrón electoral con distribución territorial para la presentación directa de iniciativas ciudadanas ante el Congreso.
• Red de Innovación Local (2026), Casos de gestión local — Transformación Digital, Datos: casos de Rosario y San Miguel de Tucumán con sistemas de IA y cámaras operando sin marco normativo nacional claro.
• Red de Innovación Local (2026), Casos de gestión local — Transformación Digital, Transparencia: caso de Luján de Cuyo con publicación de datos abiertos con algoritmos de IA.
• Reglamento General de Protección de Datos de la Unión Europea (RGPD): estándar internacional de referencia para sanciones proporcionales (hasta el 4% de la facturación global anual), portabilidad, derecho al olvido y consentimiento informado reforzado.
• Lei Geral de Proteção de Dados de Brasil (2018) y Ley 21.719 de Chile (2024): antecedentes regionales de reforma integral equivalente a la propuesta; el plazo de 2 a 4 años entre sanción y vigencia plena se estimó por analogía con estos casos y no está verificado para Argentina.