Protección de datos de pacientes en Argentina: guía Ley 25.326 y Ley 26.529 para centros radiológicos dentales

Una clínica radiológica dental en Argentina maneja datos sensibles todos los días. La Ley 25.326 de Protección de los Datos Personales, sancionada en el año 2000, fue una norma pionera en América Latina y le valio a Argentina el reconocimiento de adecuación de la Unión Europea (Decisión 2003/490/CE), una distinción que comparte con muy pocos países fuera de la UE. La autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP).

Este artículo explica qué dice la Ley 25.326, cómo se complementa con la Ley 26.529 de Derechos del Paciente y la Ley 26.742 de muerte digna, que significa el reconocimiento de adecuación de la UE para transferencias internacionales y cómo CBCTHub cumple cada exigencia técnica para tu centro radiológico.

Marco regulatorio: las leyes que aplican a una clínica dental en Argentina

• Ley 25.326 (2000) de Protección de los Datos Personales (Habeas Data).
• Decreto 1558/2001 Reglamentario de la Ley 25.326.
• Ley 26.529 (2009) de Derechos del Paciente, Historia Clínica y Consentimiento Informado.
• Ley 26.742 (2012) de muerte digna, modifica la 26.529.
• Resolución AAIP 47/2018 medidas de seguridad recomendadas.
• Decisión 2003/490/CE de la Comisión Europea: Argentina tiene adecuación para transferencias desde la UE.
• Reformas en debate: hay proyectos de modernización alineados con GDPR en análisis parlamentario.

La Ley 25.326 en pocas palabras

La Ley 25.326, conocida como ley de Habeas Data por la acción constitucional que protege los datos personales, fue sancionada el 4 de octubre de 2000 y reglamentada por el Decreto 1558/2001. Crea un régimen general de protección de datos personales con principios, derechos y autoridad de control. La AAIP, creada por la Ley 27.275 en 2016, asumio las funciones de la antigua DNPDP.

Datos sensibles según la Ley 25.326

El artículo 2 define datos sensibles como aquellos que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosoficas o morales, afiliación sindical e información referente a la salud o a la vida sexual. El artículo 7 establece que ninguna persona puede ser obligada a proporcionar datos sensibles y que solo pueden ser objeto de tratamiento cuando medien razones de interés general autorizadas por ley o consentimiento expreso del titular. Una tomografía CBCT es dato sensible.

Que exige la ley sobre los datos del paciente

Consentimiento expreso e informado

El artículo 5 exige consentimiento libre, expreso e informado para tratar datos personales, que en el caso de datos sensibles debe constar por escrito. La Ley 26.529 artículo 5 detalla los requisitos del consentimiento informado en el ámbito sanitario.

Derechos del titular

Acceso (art. 14), rectificación, actualización o supresión (art. 16), oposición (art. 19). El responsable debe responder en 10 días corridos para acceso y 5 días para rectificación.

Principios de la Ley 25.326

Licitud, calidad, finalidad, exactitud, conservación, seguridad, confidencialidad, cesión y transferencia limitada.

Medidas de seguridad

El artículo 9 obliga al responsable y al usuario a adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad. La Resolución AAIP 47/2018 detalla medidas recomendadas en tres niveles.

Notificación de incidentes

La Resolución AAIP 47/2018 recomienda informar a la AAIP los incidentes de seguridad. Aunque la 25.326 no fija un plazo legal estricto, la práctica regulatoria sigue la lógica del GDPR.

Transferencias internacionales

El artículo 12 prohíbe la transferencia a países u organismos internacionales que no proporcionen niveles de protección adecuados. Hay excepciones: consentimiento expreso, transferencia bancaria internacional, cooperación judicial internacional, salud pública. Como Argentina tiene reconocimiento de adecuación de la UE, las transferencias desde Europa a Argentina son libres.

Inscripción en el Registro Nacional de Bases de Datos

El artículo 21 obliga al responsable de un archivo de datos personales con fines no exclusivamente personales a inscribirlo en el Registro Nacional de Bases de Datos, gestionado por la AAIP. La inscripción es gratuita y se hace vía web.

Conservación (Ley 26.529)

La Ley 26.529 artículo 18 establece que la historia clínica es propiedad del paciente y debe ser conservada por el establecimiento durante al menos diez años desde la última actuación registrada.

Sanciones de la AAIP

• Apercibimiento.
• Suspensión.
• Multa de ARS 1.000 a ARS 100.000 (actualizables periódicamente; los valores nominales se elevan con la inflación).
• Clausura o cancelación del archivo de datos.

Las multas argentinas son nominalmente bajas en comparación con GDPR, pero hay proyectos de reforma que las elevarian sustancialmente. Además, el incumplimiento puede generar responsabilidad civil y, en casos graves, penal por violación del secreto profesional (Código Penal art. 156).

Reconocimiento de adecuación de la UE

La Decisión 2003/490/CE de la Comisión Europea reconoce que Argentina ofrece un nivel adecuado de protección de datos personales. Esto significa que una clínica europea puede transferir datos a Argentina sin Clausulas Contractuales Tipo ni otras garantias adicionales. Es una distinción importante: solo Argentina, Uruguay, Reino Unido, Suiza, Canadá, Japón, Israel, Andorra, Faroes, Guernsey, Isla de Man, Jersey y Nueva Zelanda gozan de esta adecuación.

Riesgos concretos para un centro radiológico dental argentino

No tener historia clínica conservada por 10 años, enviar tomografías por WhatsApp sin medidas de seguridad, no inscribir la base de datos en el Registro de la AAIP, no tener consentimiento informado vigente, exponer datos por una página web mal configurada. Todos son escenarios reales sancionados por la AAIP. El Código Penal artículo 156 además castiga la violación del secreto profesional con multa y posible inhabilitación.

Cómo CBCTHub te ayuda a cumplir la Ley 25.326 y la Ley 26.529

Consentimiento informado en formato Ley 26.529

CBCTHub genera plantillas de consentimiento informado adaptadas a los requisitos del artículo 5 de la Ley 26.529 (finalidad, riesgos, alternativas, derecho a retirar el consentimiento). El paciente firma electrónicamente y queda verificable públicamente.

Cifrado de extremo a extremo

TLS 1.3 y AES-256 cumplen las medidas técnicas recomendadas por la Resolución AAIP 47/2018 en su nivel crítico para datos sensibles.

Audit log exportable

Cada acceso al examen queda registrado con timestamp, IP y user_id. Cumple el principio de confidencialidad del artículo 9 y permite responder a una solicitud de la AAIP o a un planteo del paciente sobre quién vio su tomografía.

PIN y links únicos con expiración

Cada examen tiene URL única con identificador opaco y PIN opcional. La página pública de la clínica exige PIN obligatorio. Los links expiran automáticamente según la política configurada, cumpliendo el principio de finalidad.

Derecho de supresión

DELETE /api/v1/exams/{id} elimina el examen y todos los DICOM en R2 de forma irreversible. Cumple el derecho del artículo 16 de la Ley 25.326.

Portabilidad mediante export-data

El endpoint /api/account/export-data entrega los datos en JSON estructurado. Aunque la 25.326 no incluye portabilidad formal, el endpoint te prepara para futuras reformas.

Contrato con el usuario de datos

CBCTHub firma un contrato con cada clínica argentina conforme al artículo 25 de la Ley 25.326. Disponible en /privacidad.

RLS multi-tenant en Supabase

Aislamiento estricto entre clínicas. Cumple el principio de seguridad y confidencialidad de los artículos 9 y 10 de la Ley 25.326.

Servidores compatibles con adecuación UE-Argentina

Cloudflare R2 y Supabase ofrecen regiones que cumplen con los estándares de la decisión de adecuación. Los datos de clínicas argentinas pueden alojarse en EEUU bajo Data Privacy Framework o en regiones SAm/EU según el plan.

Checklist de cumplimiento Ley 25.326 para tu centro

• Inscribir la base de datos en el Registro Nacional de Bases de Datos de la AAIP.
• Designar responsable o encargado de datos personales.
• Plantilla de consentimiento informado según Ley 26.529.
• Procedimiento documentado de respuesta a derechos del titular (10 días para acceso).
• Sistema de seguridad según Resolución AAIP 47/2018.
• Contrato con CBCTHub y todos los encargados.
• Política de retención de 10 años mínimo según Ley 26.529.
• Capacitación anual del personal.
• Registro de incidentes de seguridad.

FAQ

¿Puedo enviar tomografías por WhatsApp?

No de forma segura. WhatsApp no cumple los principios de seguridad y confidencialidad del artículo 9 de la Ley 25.326 para datos sensibles. Usa un link seguro de CBCTHub.

¿Cuánto tiempo debo conservar la historia clínica?

La Ley 26.529 artículo 18 fija un mínimo de diez años desde la última actuación registrada.

¿Qué pasa si pierdo el respaldo con datos de pacientes?

Debes notificar a la AAIP según la Resolución 47/2018. Las multas hoy son nominalmente bajas pero hay proyectos para elevarlas significativamente. Además puede haber responsabilidad civil y penal.

¿Necesito firmar algo con CBCTHub?

Si. El artículo 25 de la Ley 25.326 regula la prestación de servicios por encargo. CBCTHub proporciona el contrato en /privacidad.

¿Tengo que inscribir mi base de datos en la AAIP?

Si, según el artículo 21. El trámite es gratuito y se hace por el sitio web de la AAIP.

Recursos oficiales

• Agencia de Acceso a la Información Pública (AAIP)
• Ley 25.326 en InfoLEG
• Ley 26.529 en InfoLEG
• Decisión 2003/490/CE (adecuación UE-Argentina)

Descarga el contrato de encargo de CBCTHub | Solución para centros radiológicos en Argentina | Planes y precios

Este artículo es informativo y no constituye asesoría legal. Consulta con un abogado especializado en protección de datos argentino para tu caso específico.