Proyecto de actualización a la Ley de Protección de Datos Personales en Argentina avanza en el Congreso

1. Qué Cambia con la Nueva Ley: Principales Novedades Jurídicas

De acuerdo con los textos debatidos y analizados por CiberSeguridad Latam, el proyecto recepta las mejores prácticas del Reglamento General de Protección de Datos (GDPR) de la Unión Europea:

• Obligación de Notificación de Brechas de Seguridad (Data Breach): Las empresas y organismos que sufran una filtración de datos personales deberán notificarlo formalmente a la Agencia de Acceso a la Información Pública (AAIP) y a los ciudadanos afectados dentro de las 72 horas de detectado el incidente.
• Sanciones Económicas Reales: Se abandona el tope histórico de multas (que había quedado pulverizado por la inflación) para adoptar un esquema de sanciones de hasta el 4% de la facturación global anual o sumas fijas de hasta cientos de millones de pesos por infracciones gravísimas.
• Designación del Delegado de Protección de Datos (DPO): Obligatoriedad para empresas medianas y grandes de contar con un oficial de cumplimiento responsable de velar por el tratamiento lícito de los datos.
• Derecho al Olvido y Portabilidad: El ciudadano podrá exigir que sus datos sean eliminados de bases comerciales y transferidos sin costo a otra plataforma digital.

"No podemos seguir rigiéndonos por una ley sancionada en la época de los módems telefónicos y los disquetes. Proteger los datos personales no es una traba burocrática, sino un requisito ineludible para que la Argentina mantenga su estatus de país con protección adecuada ante la Unión Europea y pueda exportar servicios basados en el conocimiento."

2. El Impacto en los Algoritmos y la Inteligencia Artificial

Una de las incorporaciones más vanguardistas del proyecto es la regulación del tratamiento automatizado de datos mediante modelos de IA.

Las empresas que utilicen algoritmos para evaluar perfiles crediticios, seleccionar personal o admitir estudiantes deberán garantizar el derecho del ciudadano a obtener una explicación humana sobre la lógica del algoritmo y a impugnar decisiones que hayan sido tomadas exclusivamente por una máquina sin supervisión.

3. Análisis Financiero: El Costo del Compliance vs. El Costo de la Multa

Para las empresas argentinas, adaptarse al nuevo marco normativo requerirá inversiones en asesoramiento legal, auditorías de bases de datos y cifrado de servidores.

No obstante, el costo de no cumplir es infinitamente superior. Una sola filtración de clientes mal gestionada no solo derivará en multas multimillonarias de la AAIP, sino en demandas judiciales colectivas (acciones de clase) y la pérdida de certificaciones internacionales necesarias para vender software a clientes de Estados Unidos y Europa.

4. Qué Deben Empezar a Hacer las Empresas y PyMEs Hoy Mismo

Aunque la ley se encuentre en fase parlamentaria, las organizaciones deben iniciar su proceso de adecuación preventiva:

• Mapeo de Datos Personales: Saber con exactitud qué datos se recopilan, en qué servidores se almacenan y quién tiene acceso a ellos dentro de la empresa.
• Revisión de Términos y Condiciones: Actualizar las políticas de privacidad en sitios web y tiendas online, asegurando que el consentimiento del usuario sea libre, informado y verificable.
• Cifrado de Bases de Datos en Reposo: No almacenar información sensible (DNI, tarjetas, historias clínicas) en texto plano en bases de datos MySQL o PostgreSQL.

5. Checklist para Adecuar tu Empresa al Nuevo Estándar de Privacidad

Guía de cumplimiento normativo en 4 pasos:

1. Redactar una Política Interna de Seguridad de la Información: Establecer directivas claras para empleados sobre contraseñas, uso de VPN y manejo de archivos confidenciales.
2. Firmar Acuerdos de Confidencialidad (NDAs) con Proveedores: Asegurar que las consultoras y software externos que procesan datos de tus clientes cumplan con las mismas exigencias.
3. Diseñar un Protocolo de Respuesta ante Filtraciones: Saber exactamente qué pasos seguir y cómo redactar la notificación a la AAIP si ocurre un incidente.
4. Eliminar Datos Caducos: Borrar de forma segura los registros de prospectos o clientes inactivos que ya no cumplan ninguna finalidad comercial legítima.

6. El Estatus de 'País con Protección Adecuada' y el Impacto en las Exportaciones

El trasfondo geopolítico y económico de la reforma de la Ley 25.326 es la preservación de la calificación de Argentina como "País con Nivel de Protección Adecuado" otorgada por la Comisión Europea. Este reconocimiento internacional —que en América Latina solo poseen Argentina y Uruguay— permite que empresas europeas transfieran datos de ciudadanos hacia servidores en nuestro país sin necesidad de complejas autorizaciones previas.

Si la Argentina no actualiza su marco normativo a los estándares del GDPR, la Unión Europea podría revocar ese estatus preferencial, lo que representaría un golpe devastador para la industria del software y los centros de servicios corporativos compartidos (BPO) radicados en el país, que exportan miles de millones de dólares anuales en desarrollo tecnológico y soporte a clientes europeos.

7. Recomendaciones para Directores y Responsables Legales de Empresas

Pautas prácticas para estructurar el cumplimiento normativo en organizaciones locales:

1. Realizar una Evaluación de Impacto en la Protección de Datos (EIPD): Evaluar los riesgos para los derechos de los usuarios antes de lanzar cualquier nueva aplicación web o asistente de IA.
2. Establecer Procedimientos Ágiles para Respuestas a Derechos ARCO: Garantizar que la empresa pueda responder en menos de 10 días cuando un usuario solicite el Acceso, Rectificación, Cancelación u Oposición al uso de sus datos personales.
3. Implementar Principios de Privacidad desde el Diseño (Privacy by Design): Asegurar que los desarrolladores de software construyan las aplicaciones recopilando únicamente la información mínima indispensable para brindar el servicio.