Protecao de dados de pacientes na Argentina: guia Lei 25.326 e Lei 26.529 para centros de radiologia dentaria

Uma clinica radiologica dentaria na Argentina lida com dados sensiveis todos os dias. A Lei 25.326 de Protecao de Dados Pessoais, sancionada no ano 2000, foi uma norma pioneira na America Latina e rendeu a Argentina o reconhecimento de adequacao da Uniao Europeia (Decisao 2003/490/CE), uma distincao que compartilha com pouquissimos paises fora da UE. A autoridade de aplicacao e a Agencia de Acesso a Informacao Publica (AAIP).

Este artigo explica o que diz a Lei 25.326, como se complementa com a Lei 26.529 de Direitos do Paciente e a Lei 26.742 de morte digna, o que significa o reconhecimento de adequacao da UE para transferencias internacionais e como o CBCTHub cumpre cada exigencia tecnica para seu centro radiologico. Para profissionais brasileiros, a Lei 25.326 e a inspiracao historica da nossa LGPD.

Marco regulatorio aplicavel a uma clinica dentaria na Argentina

• Lei 25.326 (2000) de Protecao de Dados Pessoais (Habeas Data).
• Decreto 1558/2001 Regulamentar da Lei 25.326.
• Lei 26.529 (2009) de Direitos do Paciente, Prontuario e Consentimento Informado.
• Lei 26.742 (2012) de morte digna, modifica a 26.529.
• Resolucao AAIP 47/2018 medidas de seguranca recomendadas.
• Decisao 2003/490/CE da Comissao Europeia: Argentina tem adequacao para transferencias da UE.
• Reformas em debate: ha projetos de modernizacao alinhados com RGPD em analise parlamentar.

A Lei 25.326 em poucas palavras

A Lei 25.326, conhecida como lei de Habeas Data pela acao constitucional que protege os dados pessoais, foi sancionada em 4 de outubro de 2000 e regulamentada pelo Decreto 1558/2001. Cria um regime geral de protecao de dados pessoais com principios, direitos e autoridade de controle. A AAIP, criada pela Lei 27.275 em 2016, assumiu as funcoes da antiga DNPDP.

Dados sensiveis segundo a Lei 25.326

O artigo 2 define dados sensiveis como aqueles que revelam origem racial e etnica, opinioes politicas, conviccoes religiosas, filosoficas ou morais, filiacao sindical e informacao referente a saude ou a vida sexual. O artigo 7 estabelece que nenhuma pessoa pode ser obrigada a fornecer dados sensiveis e que so podem ser objeto de tratamento quando houver razoes de interesse geral autorizadas por lei ou consentimento expresso do titular. Uma tomografia CBCT e dado sensivel.

O que a lei exige sobre os dados do paciente

Consentimento expresso e informado

O artigo 5 exige consentimento livre, expresso e informado para tratar dados pessoais, que no caso de dados sensiveis deve constar por escrito. A Lei 26.529 artigo 5 detalha os requisitos do consentimento informado no ambito sanitario.

Direitos do titular

Acesso (art. 14), retificacao, atualizacao ou supressao (art. 16), oposicao (art. 19). O responsavel deve responder em 10 dias corridos para acesso e 5 dias para retificacao.

Principios da Lei 25.326

Licitude, qualidade, finalidade, exatidao, conservacao, seguranca, confidencialidade, cessao e transferencia limitada.

Medidas de seguranca

O artigo 9 obriga responsavel e usuario a adotar medidas tecnicas e organizativas necessarias para garantir a seguranca e a confidencialidade. A Resolucao AAIP 47/2018 detalha medidas recomendadas em tres niveis.

Notificacao de incidentes

A Resolucao AAIP 47/2018 recomenda informar a AAIP os incidentes de seguranca. Embora a 25.326 nao fixe um prazo legal estrito, a pratica regulatoria segue a logica do RGPD.

Transferencias internacionais

O artigo 12 proibe a transferencia a paises ou organismos internacionais que nao proporcionem niveis adequados de protecao. Ha excecoes: consentimento expresso, transferencia bancaria internacional, cooperacao judicial internacional, saude publica. Como a Argentina tem reconhecimento de adequacao da UE, as transferencias da Europa para a Argentina sao livres.

Inscricao no Registro Nacional de Bases de Dados

O artigo 21 obriga o responsavel de um arquivo de dados pessoais com fins nao exclusivamente pessoais a inscreve-lo no Registro Nacional de Bases de Dados, gerenciado pela AAIP. A inscricao e gratuita e e feita via web.

Conservacao (Lei 26.529)

A Lei 26.529 artigo 18 estabelece que o prontuario e propriedade do paciente e deve ser conservado pelo estabelecimento por pelo menos dez anos a partir da ultima atuacao registrada.

Sancoes da AAIP

• Advertencia.
• Suspensao.
• Multa de ARS 1.000 a ARS 100.000 (atualizaveis periodicamente; os valores nominais sobem com a inflacao).
• Fechamento ou cancelamento do arquivo de dados.

As multas argentinas sao nominalmente baixas em comparacao com o RGPD, mas ha projetos de reforma que as elevariam substancialmente. Alem disso, o descumprimento pode gerar responsabilidade civil e, em casos graves, penal por violacao do segredo profissional (Codigo Penal art. 156).

O reconhecimento de adequacao da UE

A Decisao 2003/490/CE da Comissao Europeia reconhece que a Argentina oferece um nivel adequado de protecao de dados pessoais. Isso significa que uma clinica europeia pode transferir dados a Argentina sem Clausulas Contratuais Tipo nem outras garantias adicionais. E uma distincao importante: so Argentina, Uruguai, Reino Unido, Suica, Canada, Japao, Israel, Andorra, Faroes, Guernsey, Ilha de Man, Jersey e Nova Zelandia possuem adequacao.

Riscos concretos para um centro radiologico dentario argentino

Nao ter prontuario conservado por 10 anos, enviar tomografias por WhatsApp sem medidas de seguranca, nao inscrever a base de dados no Registro da AAIP, nao ter consentimento informado vigente, expor dados por uma pagina web mal configurada. Todos sao cenarios reais sancionados pela AAIP. O Codigo Penal artigo 156 ainda pune a violacao do segredo profissional com multa e possivel inabilitacao.

Como o CBCTHub ajuda voce a cumprir a Lei 25.326 e a Lei 26.529

Consentimento informado no formato Lei 26.529

O CBCTHub gera modelos de consentimento informado adaptados aos requisitos do artigo 5 da Lei 26.529 (finalidade, riscos, alternativas, direito a retirar o consentimento). O paciente assina eletronicamente e fica verificavel publicamente.

Criptografia ponta a ponta

TLS 1.3 e AES-256 cumprem as medidas tecnicas recomendadas pela Resolucao AAIP 47/2018 em seu nivel critico para dados sensiveis.

Audit log exportavel

Cada acesso ao exame fica registrado com timestamp, IP e user_id. Cumpre o principio de confidencialidade do artigo 9 e permite responder a uma solicitacao da AAIP ou a um questionamento do paciente sobre quem viu sua tomografia.

PIN e links unicos com expiracao

Cada exame tem URL unica com identificador opaco e PIN opcional. A pagina publica da clinica exige PIN obrigatorio. Os links expiram automaticamente conforme a politica configurada, cumprindo o principio de finalidade.

Direito de supressao

DELETE /api/v1/exams/{id} apaga o exame e todos os DICOM em R2 de forma irreversivel. Cumpre o direito do artigo 16 da Lei 25.326.

Portabilidade via export-data

O endpoint /api/account/export-data entrega os dados em JSON estruturado. Embora a 25.326 nao inclua portabilidade formal, o endpoint te prepara para futuras reformas.

Contrato com o usuario de dados

O CBCTHub assina um contrato com cada clinica argentina conforme o artigo 25 da Lei 25.326. Disponivel em /privacidad.

RLS multi-tenant no Supabase

Isolamento estrito entre clinicas. Cumpre os principios de seguranca e confidencialidade dos artigos 9 e 10 da Lei 25.326.

Servidores compativeis com a adequacao UE-Argentina

Cloudflare R2 e Supabase oferecem regioes que cumprem os padroes da decisao de adequacao. Os dados de clinicas argentinas podem ser hospedados nos EUA sob Data Privacy Framework ou em regioes SAm/EU conforme o plano.

Checklist de conformidade Lei 25.326 para seu centro

• Inscrever a base de dados no Registro Nacional de Bases de Dados da AAIP.
• Designar responsavel ou encarregado de dados pessoais.
• Modelo de consentimento informado segundo Lei 26.529.
• Procedimento documentado de resposta aos direitos do titular (10 dias para acesso).
• Sistema de seguranca segundo Resolucao AAIP 47/2018.
• Contrato com o CBCTHub e todos os encarregados.
• Politica de retencao de 10 anos minimo segundo Lei 26.529.
• Treinamento anual da equipe.
• Registro de incidentes de seguranca.

FAQ

Posso enviar tomografias por WhatsApp?

Nao de forma segura. WhatsApp nao cumpre os principios de seguranca e confidencialidade do artigo 9 da Lei 25.326 para dados sensiveis. Use um link seguro do CBCTHub.

Por quanto tempo devo conservar o prontuario?

A Lei 26.529 artigo 18 fixa um minimo de dez anos a partir da ultima atuacao registrada.

O que acontece se eu perder o backup com dados de pacientes?

Voce deve notificar a AAIP segundo a Resolucao 47/2018. As multas hoje sao nominalmente baixas mas ha projetos para eleva-las significativamente. Alem disso pode haver responsabilidade civil e penal.

Preciso assinar algo com o CBCTHub?

Sim. O artigo 25 da Lei 25.326 regula a prestacao de servicos por encarregado. O CBCTHub fornece o contrato em /privacidad.

Tenho que inscrever minha base de dados na AAIP?

Sim, segundo o artigo 21. O tramite e gratuito e e feito pelo site da AAIP.

Recursos oficiais

• Agencia de Acesso a Informacao Publica (AAIP)
• Lei 25.326 no InfoLEG
• Lei 26.529 no InfoLEG
• Decisao 2003/490/CE (adequacao UE-Argentina)

Baixe o contrato de encarregado do CBCTHub | Solucao para centros de radiologia na Argentina | Planos e precos

Este artigo e informativo e nao constitui assessoria legal. Consulte um advogado especializado em protecao de dados argentino para o seu caso especifico.