Proteção de dados de pacientes na Argentina: guia Lei 25.326 e Lei 26.529 para centros de radiologia dentária

Uma clínica radiológica dentária na Argentina lida com dados sensíveis todos os dias. A Lei 25.326 de Proteção de Dados Pessoais, sancionada no ano 2000, foi uma norma pioneira na América Latina e rendeu a Argentina o reconhecimento de adequação da União Europeia (Decisão 2003/490/CE), uma distinção que compartilha com pouquíssimos países fora da UE. A autoridade de aplicação e a Agência de Acesso a Informação Pública (AAIP).

Este artigo explica o que diz a Lei 25.326, como se complementa com a Lei 26.529 de Direitos do Paciente e a Lei 26.742 de morte digna, o que significa o reconhecimento de adequação da UE para transferências internacionais e como o CBCTHub cumpre cada exigência técnica para seu centro radiológico. Para profissionais brasileiros, a Lei 25.326 é a inspiração histórica da nossa LGPD.

Marco regulatório aplicável a uma clínica dentária na Argentina

• Lei 25.326 (2000) de Proteção de Dados Pessoais (Habeas Data).
• Decreto 1558/2001 Regulamentar da Lei 25.326.
• Lei 26.529 (2009) de Direitos do Paciente, Prontuário e Consentimento Informado.
• Lei 26.742 (2012) de morte digna, modifica a 26.529.
• Resolução AAIP 47/2018 medidas de segurança recomendadas.
• Decisão 2003/490/CE da Comissão Europeia: Argentina tem adequação para transferências da UE.
• Reformas em debate: há projetos de modernização alinhados com RGPD em análise parlamentar.

A Lei 25.326 em poucas palavras

A Lei 25.326, conhecida como lei de Habeas Data pela ação constitucional que protege os dados pessoais, foi sancionada em 4 de outubro de 2000 e regulamentada pelo Decreto 1558/2001. Cria um regime geral de proteção de dados pessoais com princípios, direitos e autoridade de controle. A AAIP, criada pela Lei 27.275 em 2016, assumiu as funções da antiga DNPDP.

Dados sensíveis segundo a Lei 25.326

O artigo 2 define dados sensíveis como aqueles que revelam origem racial e étnica, opiniões políticas, convicções religiosas, filosóficas ou morais, filiação sindical e informação referente a saúde ou a vida sexual. O artigo 7 estabelece que nenhuma pessoa pode ser obrigada a fornecer dados sensíveis e que só podem ser objeto de tratamento quando houver razões de interesse geral autorizadas por lei ou consentimento expresso do titular. Uma tomografia CBCT é dado sensível.

O que a lei exige sobre os dados do paciente

Consentimento expresso e informado

O artigo 5 exige consentimento livre, expresso e informado para tratar dados pessoais, que no caso de dados sensíveis deve constar por escrito. A Lei 26.529 artigo 5 detalha os requisitos do consentimento informado no âmbito sanitário.

Direitos do titular

Acesso (art. 14), retificação, atualização ou supressão (art. 16), oposição (art. 19). O responsável deve responder em 10 dias corridos para acesso e 5 dias para retificação.

Princípios da Lei 25.326

Licitude, qualidade, finalidade, exatidão, conservação, segurança, confidencialidade, cessão e transferência limitada.

Medidas de segurança

O artigo 9 obriga responsável e usuário a adotar medidas técnicas e organizativas necessárias para garantir a segurança e a confidencialidade. A Resolução AAIP 47/2018 detalha medidas recomendadas em três níveis.

Notificação de incidentes

A Resolução AAIP 47/2018 recomenda informar a AAIP os incidentes de segurança. Embora a 25.326 não fixe um prazo legal estrito, a prática regulatória segue a lógica do RGPD.

Transferências internacionais

O artigo 12 proíbe a transferência a países ou organismos internacionais que não proporcionem níveis adequados de proteção. Há exceções: consentimento expresso, transferência bancária internacional, cooperação judicial internacional, saúde pública. Como a Argentina tem reconhecimento de adequação da UE, as transferências da Europa para a Argentina são livres.

Inscrição no Registro Nacional de Bases de Dados

O artigo 21 obriga o responsável de um arquivo de dados pessoais com fins não exclusivamente pessoais a inscreve-lo no Registro Nacional de Bases de Dados, gerenciado pela AAIP. A inscrição é gratuita e é feita via web.

Conservação (Lei 26.529)

A Lei 26.529 artigo 18 estabelece que o prontuário é propriedade do paciente e deve ser conservado pelo estabelecimento por pelo menos dez anos a partir da última atuação registrada.

Sanções da AAIP

• Advertência.
• Suspensão.
• Multa de ARS 1.000 a ARS 100.000 (atualizáveis periodicamente; os valores nominais sobem com a inflação).
• Fechamento ou cancelamento do arquivo de dados.

As multas argentinas são nominalmente baixas em comparação com o RGPD, mas há projetos de reforma que as elevariam substancialmente. Além disso, o descumprimento pode gerar responsabilidade civil e, em casos graves, penal por violação do segredo profissional (Código Penal art. 156).

O reconhecimento de adequação da UE

A Decisão 2003/490/CE da Comissão Europeia reconhece que a Argentina oferece um nível adequado de proteção de dados pessoais. Isso significa que uma clínica europeia pode transferir dados a Argentina sem Clausulas Contratuais Tipo nem outras garantias adicionais. É uma distinção importante: só Argentina, Uruguai, Reino Unido, Suíça, Canada, Japão, Israel, Andorra, Faroes, Guernsey, Ilha de Man, Jersey e Nova Zelândia possuem adequação.

Riscos concretos para um centro radiológico dentário argentino

Não ter prontuário conservado por 10 anos, enviar tomografias por WhatsApp sem medidas de segurança, não inscrever a base de dados no Registro da AAIP, não ter consentimento informado vigente, expor dados por uma página web mal configurada. Todos são cenários reais sancionados pela AAIP. O Código Penal artigo 156 ainda pune a violação do segredo profissional com multa e possível inabilitação.

Como o CBCTHub ajuda você a cumprir a Lei 25.326 e a Lei 26.529

Consentimento informado no formato Lei 26.529

O CBCTHub gera modelos de consentimento informado adaptados aos requisitos do artigo 5 da Lei 26.529 (finalidade, riscos, alternativas, direito a retirar o consentimento). O paciente assina eletronicamente e fica verificável publicamente.

Criptografia ponta a ponta

TLS 1.3 e AES-256 cumprem as medidas técnicas recomendadas pela Resolução AAIP 47/2018 em seu nível crítico para dados sensíveis.

Audit log exportável

Cada acesso ao exame fica registrado com timestamp, IP e user_id. Cumpre o principio de confidencialidade do artigo 9 e permite responder a uma solicitação da AAIP ou a um questionamento do paciente sobre quem viu sua tomografia.

PIN e links únicos com expiração

Cada exame tem URL única com identificador opaco e PIN opcional. A página pública da clínica exige PIN obrigatório. Os links expiram automaticamente conforme a política configurada, cumprindo o principio de finalidade.

Direito de supressão

DELETE /api/v1/exams/{id} apaga o exame e todos os DICOM em R2 de forma irreversível. Cumpre o direito do artigo 16 da Lei 25.326.

Portabilidade via export-data

O endpoint /api/account/export-data entrega os dados em JSON estruturado. Embora a 25.326 não inclua portabilidade formal, o endpoint te prepara para futuras reformas.

Contrato com o usuário de dados

O CBCTHub assina um contrato com cada clínica argentina conforme o artigo 25 da Lei 25.326. Disponível em /privacidad.

RLS multi-tenant no Supabase

Isolamento estrito entre clínicas. Cumpre os princípios de segurança e confidencialidade dos artigos 9 e 10 da Lei 25.326.

Servidores compatíveis com a adequação UE-Argentina

Cloudflare R2 e Supabase oferecem regiões que cumprem os padrões da decisão de adequação. Os dados de clínicas argentinas podem ser hospedados nos EUA sob Data Privacy Framework ou em regiões SAm/EU conforme o plano.

Checklist de conformidade Lei 25.326 para seu centro

• Inscrever a base de dados no Registro Nacional de Bases de Dados da AAIP.
• Designar responsável ou encarregado de dados pessoais.
• Modelo de consentimento informado segundo Lei 26.529.
• Procedimento documentado de resposta aos direitos do titular (10 dias para acesso).
• Sistema de segurança segundo Resolução AAIP 47/2018.
• Contrato com o CBCTHub e todos os encarregados.
• Política de retenção de 10 anos mínimo segundo Lei 26.529.
• Treinamento anual da equipe.
• Registro de incidentes de segurança.

FAQ

Posso enviar tomografias por WhatsApp?

Não de forma segura. WhatsApp não cumpre os princípios de segurança e confidencialidade do artigo 9 da Lei 25.326 para dados sensíveis. Use um link seguro do CBCTHub.

Por quanto tempo devo conservar o prontuário?

A Lei 26.529 artigo 18 fixa um mínimo de dez anos a partir da última atuação registrada.

O que acontece se eu perder o backup com dados de pacientes?

Você deve notificar a AAIP segundo a Resolução 47/2018. As multas hoje são nominalmente baixas mas há projetos para eleva-las significativamente. Além disso pode haver responsabilidade civil e penal.

Preciso assinar algo com o CBCTHub?

Sim. O artigo 25 da Lei 25.326 regula a prestação de serviços por encarregado. O CBCTHub fornece o contrato em /privacidad.

Tenho que inscrever minha base de dados na AAIP?

Sim, segundo o artigo 21. O trâmite é gratuito e é feito pelo site da AAIP.

Recursos oficiais

• Agência de Acesso a Informação Pública (AAIP)
• Lei 25.326 no InfoLEG
• Lei 26.529 no InfoLEG
• Decisão 2003/490/CE (adequação UE-Argentina)

Baixe o contrato de encarregado do CBCTHub | Solução para centros de radiologia na Argentina | Planos e preços

Este artigo é informativo e não constitui assessoria legal. Consulte um advogado especializado em proteção de dados argentino para o seu caso específico.