Proteccion de datos de pacientes en Argentina: guia Ley 25.326 y Ley 26.529 para centros radiologicos dentales

Una clinica radiologica dental en Argentina maneja datos sensibles todos los dias. La Ley 25.326 de Proteccion de los Datos Personales, sancionada en el ano 2000, fue una norma pionera en America Latina y le valio a Argentina el reconocimiento de adecuacion de la Union Europea (Decision 2003/490/CE), una distincion que comparte con muy pocos paises fuera de la UE. La autoridad de aplicacion es la Agencia de Acceso a la Informacion Publica (AAIP).

Este articulo explica que dice la Ley 25.326, como se complementa con la Ley 26.529 de Derechos del Paciente y la Ley 26.742 de muerte digna, que significa el reconocimiento de adecuacion de la UE para transferencias internacionales y como CBCTHub cumple cada exigencia tecnica para tu centro radiologico.

Marco regulatorio: las leyes que aplican a una clinica dental en Argentina

• Ley 25.326 (2000) de Proteccion de los Datos Personales (Habeas Data).
• Decreto 1558/2001 Reglamentario de la Ley 25.326.
• Ley 26.529 (2009) de Derechos del Paciente, Historia Clinica y Consentimiento Informado.
• Ley 26.742 (2012) de muerte digna, modifica la 26.529.
• Resolucion AAIP 47/2018 medidas de seguridad recomendadas.
• Decision 2003/490/CE de la Comision Europea: Argentina tiene adecuacion para transferencias desde la UE.
• Reformas en debate: hay proyectos de modernizacion alineados con GDPR en analisis parlamentario.

La Ley 25.326 en pocas palabras

La Ley 25.326, conocida como ley de Habeas Data por la accion constitucional que protege los datos personales, fue sancionada el 4 de octubre de 2000 y reglamentada por el Decreto 1558/2001. Crea un regimen general de proteccion de datos personales con principios, derechos y autoridad de control. La AAIP, creada por la Ley 27.275 en 2016, asumio las funciones de la antigua DNPDP.

Datos sensibles segun la Ley 25.326

El articulo 2 define datos sensibles como aquellos que revelan origen racial y etnico, opiniones politicas, convicciones religiosas, filosoficas o morales, afiliacion sindical e informacion referente a la salud o a la vida sexual. El articulo 7 establece que ninguna persona puede ser obligada a proporcionar datos sensibles y que solo pueden ser objeto de tratamiento cuando medien razones de interes general autorizadas por ley o consentimiento expreso del titular. Una tomografia CBCT es dato sensible.

Que exige la ley sobre los datos del paciente

Consentimiento expreso e informado

El articulo 5 exige consentimiento libre, expreso e informado para tratar datos personales, que en el caso de datos sensibles debe constar por escrito. La Ley 26.529 articulo 5 detalla los requisitos del consentimiento informado en el ambito sanitario.

Derechos del titular

Acceso (art. 14), rectificacion, actualizacion o supresion (art. 16), oposicion (art. 19). El responsable debe responder en 10 dias corridos para acceso y 5 dias para rectificacion.

Principios de la Ley 25.326

Licitud, calidad, finalidad, exactitud, conservacion, seguridad, confidencialidad, cesion y transferencia limitada.

Medidas de seguridad

El articulo 9 obliga al responsable y al usuario a adoptar las medidas tecnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad. La Resolucion AAIP 47/2018 detalla medidas recomendadas en tres niveles.

Notificacion de incidentes

La Resolucion AAIP 47/2018 recomienda informar a la AAIP los incidentes de seguridad. Aunque la 25.326 no fija un plazo legal estricto, la practica regulatoria sigue la logica del GDPR.

Transferencias internacionales

El articulo 12 prohibe la transferencia a paises u organismos internacionales que no proporcionen niveles de proteccion adecuados. Hay excepciones: consentimiento expreso, transferencia bancaria internacional, cooperacion judicial internacional, salud publica. Como Argentina tiene reconocimiento de adecuacion de la UE, las transferencias desde Europa a Argentina son libres.

Inscripcion en el Registro Nacional de Bases de Datos

El articulo 21 obliga al responsable de un archivo de datos personales con fines no exclusivamente personales a inscribirlo en el Registro Nacional de Bases de Datos, gestionado por la AAIP. La inscripcion es gratuita y se hace via web.

Conservacion (Ley 26.529)

La Ley 26.529 articulo 18 establece que la historia clinica es propiedad del paciente y debe ser conservada por el establecimiento durante al menos diez anos desde la ultima actuacion registrada.

Sanciones de la AAIP

• Apercibimiento.
• Suspension.
• Multa de ARS 1.000 a ARS 100.000 (actualizables periodicamente; los valores nominales se elevan con la inflacion).
• Clausura o cancelacion del archivo de datos.

Las multas argentinas son nominalmente bajas en comparacion con GDPR, pero hay proyectos de reforma que las elevarian sustancialmente. Ademas, el incumplimiento puede generar responsabilidad civil y, en casos graves, penal por violacion del secreto profesional (Codigo Penal art. 156).

Reconocimiento de adecuacion de la UE

La Decision 2003/490/CE de la Comision Europea reconoce que Argentina ofrece un nivel adecuado de proteccion de datos personales. Esto significa que una clinica europea puede transferir datos a Argentina sin Clausulas Contractuales Tipo ni otras garantias adicionales. Es una distincion importante: solo Argentina, Uruguay, Reino Unido, Suiza, Canada, Japon, Israel, Andorra, Faroes, Guernsey, Isla de Man, Jersey y Nueva Zelanda gozan de esta adecuacion.

Riesgos concretos para un centro radiologico dental argentino

No tener historia clinica conservada por 10 anos, enviar tomografias por WhatsApp sin medidas de seguridad, no inscribir la base de datos en el Registro de la AAIP, no tener consentimiento informado vigente, exponer datos por una pagina web mal configurada. Todos son escenarios reales sancionados por la AAIP. El Codigo Penal articulo 156 ademas castiga la violacion del secreto profesional con multa y posible inhabilitacion.

Como CBCTHub te ayuda a cumplir la Ley 25.326 y la Ley 26.529

Consentimiento informado en formato Ley 26.529

CBCTHub genera plantillas de consentimiento informado adaptadas a los requisitos del articulo 5 de la Ley 26.529 (finalidad, riesgos, alternativas, derecho a retirar el consentimiento). El paciente firma electronicamente y queda verificable publicamente.

Cifrado de extremo a extremo

TLS 1.3 y AES-256 cumplen las medidas tecnicas recomendadas por la Resolucion AAIP 47/2018 en su nivel critico para datos sensibles.

Audit log exportable

Cada acceso al examen queda registrado con timestamp, IP y user_id. Cumple el principio de confidencialidad del articulo 9 y permite responder a una solicitud de la AAIP o a un planteo del paciente sobre quien vio su tomografia.

PIN y links unicos con expiracion

Cada examen tiene URL unica con identificador opaco y PIN opcional. La pagina publica de la clinica exige PIN obligatorio. Los links expiran automaticamente segun la politica configurada, cumpliendo el principio de finalidad.

Derecho de supresion

DELETE /api/v1/exams/{id} elimina el examen y todos los DICOM en R2 de forma irreversible. Cumple el derecho del articulo 16 de la Ley 25.326.

Portabilidad mediante export-data

El endpoint /api/account/export-data entrega los datos en JSON estructurado. Aunque la 25.326 no incluye portabilidad formal, el endpoint te prepara para futuras reformas.

Contrato con el usuario de datos

CBCTHub firma un contrato con cada clinica argentina conforme al articulo 25 de la Ley 25.326. Disponible en /privacidad.

RLS multi-tenant en Supabase

Aislamiento estricto entre clinicas. Cumple el principio de seguridad y confidencialidad de los articulos 9 y 10 de la Ley 25.326.

Servidores compatibles con adecuacion UE-Argentina

Cloudflare R2 y Supabase ofrecen regiones que cumplen con los estandares de la decision de adecuacion. Los datos de clinicas argentinas pueden alojarse en EEUU bajo Data Privacy Framework o en regiones SAm/EU segun el plan.

Checklist de cumplimiento Ley 25.326 para tu centro

• Inscribir la base de datos en el Registro Nacional de Bases de Datos de la AAIP.
• Designar responsable o encargado de datos personales.
• Plantilla de consentimiento informado segun Ley 26.529.
• Procedimiento documentado de respuesta a derechos del titular (10 dias para acceso).
• Sistema de seguridad segun Resolucion AAIP 47/2018.
• Contrato con CBCTHub y todos los encargados.
• Politica de retencion de 10 anos minimo segun Ley 26.529.
• Capacitacion anual del personal.
• Registro de incidentes de seguridad.

FAQ

Puedo enviar tomografias por WhatsApp?

No de forma segura. WhatsApp no cumple los principios de seguridad y confidencialidad del articulo 9 de la Ley 25.326 para datos sensibles. Usa un link seguro de CBCTHub.

Cuanto tiempo debo conservar la historia clinica?

La Ley 26.529 articulo 18 fija un minimo de diez anos desde la ultima actuacion registrada.

Que pasa si pierdo el respaldo con datos de pacientes?

Debes notificar a la AAIP segun la Resolucion 47/2018. Las multas hoy son nominalmente bajas pero hay proyectos para elevarlas significativamente. Ademas puede haber responsabilidad civil y penal.

Necesito firmar algo con CBCTHub?

Si. El articulo 25 de la Ley 25.326 regula la prestacion de servicios por encargo. CBCTHub proporciona el contrato en /privacidad.

Tengo que inscribir mi base de datos en la AAIP?

Si, segun el articulo 21. El tramite es gratuito y se hace por el sitio web de la AAIP.

Recursos oficiales

• Agencia de Acceso a la Informacion Publica (AAIP)
• Ley 25.326 en InfoLEG
• Ley 26.529 en InfoLEG
• Decision 2003/490/CE (adecuacion UE-Argentina)

Descarga el contrato de encargo de CBCTHub | Solucion para centros radiologicos en Argentina | Planes y precios

Este articulo es informativo y no constituye asesoria legal. Consulta con un abogado especializado en proteccion de datos argentino para tu caso especifico.