Por Daniel Monastersky y Facundo Malaureille — Centro de Estudios en Ciberseguridad y Datos, Universidad Austral
Un hombre de setenta años recibe, por fin, la respuesta que había pedido. Había ejercido su derecho de acceso, había preguntado qué datos tenía de él una empresa y para qué los estaba usando. La respuesta llega: veinte páginas, jerga jurídica cerrada, ningún resumen a la vista. El hombre no ejerció ningún derecho real. Recibió papel.
Esa escena, que podría pasar por anécdota menor, es en realidad el resumen más honesto de lo que está en juego con el nuevo proyecto de Ley de Protección de Datos Personales que el Ministerio de Desregulación y Transformación del Estado compartió el 1° de julio de 2026. Porque una ley de datos personales no se mide por lo que promete en sus considerandos, sino por lo que un ciudadano común puede efectivamente hacer con ella cuando la necesita. Y ahí, lamentablemente, el Proyecto tiene fracturas serias.
Vale una aclaración antes de seguir. Esto no es una crítica al proceso. La convocatoria a comentarios es bienvenida, el espíritu participativo también, y desde el CECYD de la Universidad Austral participamos activamente de esa instancia, proponiendo e incorporando mejoras concretas al texto. Pero la letra final merece una lectura crítica que vaya más allá de los elogios protocolares. Hay una frase que circula hace años en los foros de privacidad del mundo y que resume con precisión quirúrgica lo que puede salir mal cuando un Estado se propone modernizar su ley de datos: lo que no se mide no se protege, y lo que no se exige no se cumple. Argentina está a punto de aprender esa lección por las malas, si no corrige el rumbo a tiempo.
El primer problema aparece temprano, en el artículo 14, y es de manual. El consentimiento es la piedra angular de cualquier ley de protección de datos: cuando alguien entrega sus datos, tiene que hacerlo con conocimiento de causa, de manera activa y verificable. El GDPR europeo, el estándar de referencia global desde 2018, lo dice sin ambigüedad: el consentimiento se manifiesta mediante una acción afirmativa clara, y el silencio no alcanza. El Proyecto argentino, en cambio, admite el consentimiento tácito como regla general para datos no sensibles: basta con que la empresa haya informado la finalidad «previamente de manera clara» y que la persona «no se haya opuesto». Traducido al castellano de todos los días: si te mandan un mail avisándote que van a usar tus datos y vos no contestás, ese silencio vale como un sí. En un país donde los niveles de educación digital son heterogéneos y donde casi nadie lee una política de privacidad —en ningún país del mundo se leen, seamos honestos—, ese mecanismo no es una base de licitud. Es una habilitación encubierta del tratamiento, y debería ser directamente suprimido o restringido a supuestos absolutamente excepcionales con garantías reforzadas.
El segundo problema es más sutil, pero no menos grave: la ausencia de un principio de preeminencia del titular. En los comentarios que elevamos al Proyecto propusimos incorporar, en el artículo 11, una regla simple: en caso de duda sobre la interpretación de la ley, prevalece la interpretación más favorable a la persona. Es un estándar que ya figura en los marcos más avanzados del derecho comparado. Pero un principio sin mecanismos que lo sostengan es apenas un deseo. Si el artículo 14 admite el consentimiento tácito, si el artículo 28 permite al responsable del tratamiento negarse a responder solicitudes de derechos cuando él mismo las considere «excesivas» o «manifiestamente infundadas», y si no existe una vía ágil para que el titular reclame, ¿de qué sirve declarar que la duda se resuelve a su favor? El principio necesita dientes, no solo una mención.
De ahí en más, la conversación se traslada del texto a lo que el texto omite, y esta es, quizás, la parte más reveladora de todo el análisis. Empecemos por la Evaluación de Impacto en la Protección de Datos, conocida internacionalmente como EIPD o DPIA. Es el instrumento central del modelo moderno de protección de datos: antes de poner en marcha un tratamiento de alto riesgo, la organización está obligada a preguntarse qué riesgos genera, si son necesarios y proporcionales, y cómo los va a mitigar. Sin EIPD obligatoria, el principio de responsabilidad proactiva —el accountability tan mencionado en el Proyecto— queda sin su herramienta operativa principal. Es como exigir que los edificios sean seguros pero no pedir un estudio de suelo antes de poner los cimientos. El GDPR exige EIPD desde 2018. Chile la contempla en su Ley 19.628. Brasil también, en su LGPD. El Proyecto argentino la menciona de refilón en su Título V, pero no la regula de manera autónoma ni obligatoria para los supuestos que el derecho comparado considera indispensables: nuevas tecnologías de alto riesgo, perfilamiento con efectos jurídicos, tratamiento a gran escala de datos sensibles, seguimiento sistemático en espacios públicos. ¿Qué pasa sin esa exigencia en un país donde el reconocimiento facial ya se despliega en estadios, shoppings y terminales de transporte? ¿Qué pasa con los modelos de scoring crediticio que deciden si alguien accede a un crédito, un empleo o un seguro? Pasa lo de siempre cuando falta regulación: las empresas hacen lo que quieren hasta que alguien se queja, y cuando alguien se queja, ya es tarde.
La segunda gran ausencia es la figura del Delegado de Protección de Datos, el DPO. Es, junto con la EIPD, el otro pilar operativo del modelo de accountability: la persona encargada de velar por el cumplimiento dentro de la organización, de asesorar al responsable del tratamiento y de actuar como punto de contacto con la autoridad de control y con los titulares. El Proyecto, tal como está redactado, no lo regula. No dice en qué casos es obligatorio designarlo, no fija garantías de independencia, no describe sus funciones, no obliga a publicar sus datos de contacto. En Europa el DPO es obligatorio para autoridades públicas y para organizaciones que hacen tratamiento sistemático a gran escala o manejan datos sensibles de forma masiva. Esas organizaciones existen en Argentina, y son muchas, pero el Proyecto las deja sin el mecanismo que volvería exigible su responsabilidad proactiva en el terreno, no solo en el papel.
Ahora bien, no todo es ausencia. Hay un avance real, que también surgió de nuestra propuesta durante la consulta: la obligación de que los responsables y encargados del tratamiento incluyan en sus plataformas, aplicaciones y documentación un mecanismo visible y accesible para ejercer derechos, algo que llamamos informalmente el botón de ejercicio de derechos, incorporado en el Título IV. Es un paso correcto. Pero volvemos al hombre de setenta años del comienzo: un botón sin contenido comprensible detrás es un decorado. Por eso propusimos también, para el artículo 23, que el acceso se proporcione «por un medio de fácil lectura y comprensión», considerando la condición social, educativa y el rango etario del titular. La incorporación es positiva, pero necesita correlatos operativos: qué formatos se consideran adecuados, quién verifica que el lenguaje sea efectivamente comprensible. Los derechos que no son exigibles en la práctica son, en el mejor de los casos, promesas.
Hay dos frentes más donde el Proyecto se queda corto, y ambos tienen que ver con quién queda afuera del alcance real de la ley. El primero son las empresas extranjeras. El artículo 4° extiende la aplicación territorial a responsables no establecidos en Argentina, siempre que sus actividades apunten a personas residentes en el país, lo cual está bien. Pero sin la obligación de designar un representante local, esa extensión es una declaración de principios sin capacidad de ejecución. ¿Cómo reclama un ciudadano argentino frente a una empresa con sede en Irlanda, Delaware o Singapur? El GDPR resolvió exactamente este problema con su artículo 27, que exige representante obligatorio en la Unión Europea para todo responsable no establecido que trate datos de ciudadanos europeos. Argentina debería replicar ese esquema, porque son justamente las plataformas de alcance global las que más volumen de datos de argentinos tratan y las que mayores riesgos generan. Dejarlas sin un interlocutor accesible en el país no es neutralidad regulatoria: es protección encubierta del infractor.
El segundo frente es, sencillamente, el Estado. El régimen sancionatorio del Proyecto fija multas de hasta el 3% de la facturación anual en Argentina para las infracciones más graves, un porcentaje que puede doler a una empresa mediana pero que resulta insignificante para una plataforma global cuya facturación local es una fracción mínima de su negocio total. El GDPR, en cambio, llega hasta el 4% de la facturación global, y esa diferencia no es cosmética: es la distancia entre una sanción que efectivamente disuade y una que se paga sin pestañear y se incorpora como costo operativo. Pero el dato más silencioso, y el más revelador de todo el Proyecto, está en el artículo 57: las multas económicas no se aplican al Sector Público Nacional. Si un organismo público incumple, la autoridad de control se limita a remitir las actuaciones a la autoridad jerárquica correspondiente y a los órganos de control interno. Es decir, el Estado puede violar la misma ley de protección de datos que él sanciona, y la consecuencia es un memo interno. En un país donde los padrones electorales se han filtrado, donde datos de organismos como el ANSES han aparecido en manos de marketers, y donde los historiales clínicos circulan con una laxitud preocupante, eximir al sector público de sanciones económicas no es una opción razonable de política regulatoria. Es un cheque en blanco.
Nada de lo que planteamos desde el CECYD es ciencia ficción ni una importación forzada del modelo europeo. No pedimos que Argentina copie el GDPR palabra por palabra ni que adopte un régimen más gravoso que el continente que lo inventó. Pedimos, simplemente, coherencia. Una ley no protege datos personales si al mismo tiempo admite el consentimiento tácito como regla general, si omite la EIPD obligatoria para los tratamientos de alto riesgo, si no regula la figura del DPO, si no exige representantes locales a los responsables extranjeros y si no aplica multas al propio Estado cuando incumple. Protege datos en el nombre. Los expone en los hechos.
Argentina todavía está a tiempo de corregir el rumbo. Tiene la oportunidad, y la responsabilidad, de dotarse de un marco normativo moderno, coherente y efectivamente protectorio, en lugar de una ley que suene bien en la conferencia de prensa y falle en el primer reclamo real. Sus ciudadanos no merecen ser tratados como ciudadanos de segunda con una ley de segunda. El derecho a la protección de datos personales es un derecho fundamental. Ya es hora de que el texto que lo regula esté a la altura de esa definición.
Deja un comentario