Argentina tiene una ley de protección de datos personales desde el año 2000. Europa reformó la suya en 2018. Veinte años de diferencia que no son solo cronológicos: son conceptuales, procesales y filosóficos. Entender esa brecha es entender por qué el derecho de datos en Argentina tiene tanto por recorrer.
Una ley adelantada a su tiempo, atrasada al de hoy
Cuando se sancionó la Ley 25.326, Argentina se convirtió en uno de los primeros países latinoamericanos en contar con una normativa específica de protección de datos. Tanto, que en 2003 la Unión Europea reconoció al país como un Estado con nivel de protección adecuado, lo que habilitó transferencias internacionales de datos con naciones europeas.
Pero el mundo de 2000 era otro: sin smartphones, sin redes sociales masivas, sin Big Data, sin inteligencia artificial. La ley fue diseñada para una era que ya no existe.
El GDPR: cuando la privacidad se volvió un derecho fundamental exigible
El Reglamento General de Protección de Datos europeo, que entró en vigor en 2018, representó un cambio de paradigma. No solo amplió el catálogo de derechos de los titulares de datos — acceso, rectificación, supresión, portabilidad, oposición — sino que estableció mecanismos de responsabilidad proactiva que obligan a las organizaciones a demostrar que cumplen, no solo a declarar que lo hacen.
Las sanciones también son otra historia: el GDPR permite multas de hasta el 4% de la facturación global anual de una empresa. En Argentina, los topes de la Ley 25.326 resultan irrisorios frente a esos montos.
Las tres diferencias que más importan
Primero, la responsabilidad en la cadena de tratamiento. El GDPR regula con detalle los contratos entre el responsable y el encargado del tratamiento de datos. La ley argentina aborda esto de manera superficial.
Segundo, las evaluaciones de impacto. El GDPR exige una Privacy Impact Assessment antes de iniciar tratamientos de alto riesgo. La ley argentina no contempla nada equivalente.
Tercero, el Delegado de Protección de Datos. Obligatorio para ciertos tratamientos bajo el GDPR; inexistente como figura en la normativa argentina.
El riesgo concreto
Desde hace años circulan proyectos de ley que buscan actualizar la Ley 25.326 incorporando accountability, notificación de brechas y portabilidad de datos. Ninguno se convirtió en ley. El riesgo concreto: que la UE revise el reconocimiento de adecuación de Argentina, dificultando el flujo de datos entre ambas regiones y afectando a miles de empresas que operan en los dos mercados.