Nos dirigimos a ustedes a fin de informarles acerca de la presentación de un nuevo proyecto de Ley de Protección de Datos Personales ante la Cámara de Diputados de la Nación.

1-Contexto

El 16 de julio de 2026 el diputado Agustín Rossi ingresó en la Cámara de Diputados el expediente 3397-D-2026,  que propone crear un nuevo régimen de protección de datos personales y derogar las Leyes N° 25.326 y N° 26.343.

2-Antecedentes

Según sus propios Fundamentos, el proyecto “reproduce el articulado” del proyecto de Ley remitido por el Poder Ejecutivo Nacional al Congreso en junio de 2023, firmado por el entonces Presidente Alberto Fernández y el entonces Jefe de Gabinete, el propio Agustín Rossi, que había perdido estado parlamentario.

El texto fue impulsado y elaborado por la Agencia de Acceso a la Información Pública (AAIP) a partir de un proceso de consulta pública (Resolución AAIP N° 119/22, prorrogada por Resolución AAIP N° 145/22), con 173 opiniones de 123 participantes.

3-Principales ejes del régimen propuesto

El proyecto contempla, entre otros, los siguientes aspectos centrales:

-Objeto (art. 1): garantizar el derecho fundamental a la protección de datos personales y la privacidad, conforme al art. 43, párrafo tercero, de la Constitución Nacional.

-Definiciones ampliadas (art. 2): anonimización, seudonimización, datos biométricos, elaboración de perfiles, incidente de seguridad, Delegado de Protección de Datos, entre otros.

-Ámbito territorial y extraterritorialidad (art. 4): aplica a responsables no establecidos en Argentina que traten datos en el país, ofrezcan bienes o servicios a personas en el territorio, o realicen perfilamiento.

-Principios (arts. 6 a 12 y 20): licitud, lealtad y transparencia; finalidad; minimización; exactitud; responsabilidad proactiva y demostrada; seguridad.

-Bases legales (art. 13): cambio de paradigma respecto de la Ley 25.326. Se abandona la lógica de prohibición con excepciones basada en el consentimiento. Nuevas bases: consentimiento; funciones estatales; obligación legal; ejecución de contrato; salvaguarda de la vida; interés legítimo (con análisis previo, detallado y documentado).

-Consentimiento (art. 14): expreso, previo, libre, específico, informado e inequívoco.

-Datos sensibles (art. 17): responsabilidad reforzada y régimen de prohibición con excepciones tasadas.

-Notificación de incidentes de seguridad (art. 21): dentro de las 72 horas a la Autoridad de Aplicación.

-Transferencias internacionales (arts. 23 a 26): tres mecanismos jerarquizados: (i) decisión de adecuación; (ii) garantías adecuadas (cláusulas contractuales modelo, normas corporativas vinculantes, certificaciones); (iii) excepciones tasadas.

-Derechos de los titulares (arts. 27 a 35): acceso, rectificación, oposición, supresión, decisiones automatizadas y elaboración de perfiles (con derecho a revisión humana), portabilidad y limitación.

-Obligaciones de responsables y encargados (arts. 36 a 48): protección de datos desde el diseño y por defecto; evaluación de impacto para tratamientos de alto riesgo; Delegado de Protección de Datos obligatorio para organismos públicos y tratamientos sistemáticos; Representante local para responsables no establecidos en el país; Creación del Registro Nacional para la Protección de los Datos Personales.

-Información crediticia (arts. 49 a 52): plazo de conservación de 5 años, reducido a 2 años si el deudor cancela la obligación; deber de explicar la fórmula o algoritmo de scoring.

-Autoridad de Aplicación (arts. 53 y 54): la Agencia de Acceso a la Información Pública y Protección de los Datos Personales.

-Sanciones (arts. 55 a 65): multas de 5 a 1.000.000 de unidades móviles (valor inicial $10.000, actualizable por IPC), o del 2% al 4% de la facturación total anual global del infractor.

-Habeas data (arts. 66 a 74): ampliación de la legitimación activa para acciones colectivas.

4-Comparación entre el proyecto de 2023 y el proyecto de 2026

El articulado del proyecto 2026 es sustancialmente idéntico al de 2023. Los cambios se concentran en el origen institucional y en los fundamentos. No hay modificaciones normativas o de derecho.

5-Recomendaciones prácticas

-La Ley N° 25.326 continúa plenamente vigente; el proyecto no genera obligaciones actuales.

-Si bien es difícil anticipar la suerte que correrá el proyecto, resulta razonable anticipar el eventual esquema de cumplimiento: mapeo de tratamientos y bases legales, revisión de políticas de privacidad y avisos informativos, procedimientos de atención de derechos, protocolos de notificación de incidentes en 72 horas, evaluaciones de impacto para tratamientos de alto riesgo, designación de Delegado de Protección de Datos o Representante local cuando corresponda y revisión de los mecanismos contractuales de transferencia internacional.

Por Florencia Rosati y Emilio Beccar Varela