Habeas data y Ley 25.326: qué protege y cómo cumplirla

Si alguna vez un banco te negó un crédito por una deuda que ya habías pagado, o te llamaron para venderte algo con datos que nunca diste, ya sabés para qué sirve el habeas data. Es el derecho a saber qué datos tuyos tiene alguien, para qué los usa, y a exigir que los corrija o los borre.

Del otro lado del mostrador, ese mismo derecho se convierte en obligaciones. Si tenés un estudio jurídico, un estudio contable, una inmobiliaria o un consultorio, guardás datos de clientes, pacientes y empleados, y la Ley 25.326 de Protección de los Datos Personales te dice cómo tenés que tratarlos y en qué plazo tenés que contestar cuando alguien pregunta por los suyos.

Esta guía explica las dos caras: qué protege el habeas data y cómo se ejerce, y qué tiene que hacer una empresa o un profesional para cumplir la ley. Al final vemos qué cambia cuando esos datos pasan por un chat de inteligencia artificial, que es donde hoy se escapan sin que nadie lo note.

Qué es el habeas data

El habeas data está en el tercer párrafo del artículo 43 de la Constitución Nacional, el de la acción de amparo. Dice que toda persona puede interponer esa acción para tomar conocimiento de los datos a ella referidos y de su finalidad, que consten en registros o bancos de datos públicos, o privados destinados a proveer informes. Y que, en caso de falsedad o discriminación, puede exigir su supresión, rectificación, confidencialidad o actualización.

La expresión viene del latín y se podría traducir como “que tengas los datos”. La idea es la misma que la del habeas corpus: así como nadie puede retenerte sin dar explicaciones, nadie puede guardar información sobre vos sin que puedas saber qué guarda y corregirla.

La Ley 25.326 reglamenta ese artículo de la Constitución. Su artículo 1 dice que su objeto es la protección integral de los datos personales asentados en archivos, registros, bancos de datos u otros medios técnicos, públicos o privados destinados a dar informes, para garantizar el derecho al honor y a la intimidad de las personas y el acceso a la información que sobre ellas se registre. Y la ley desarrolla el habeas data en dos planos que conviene no confundir.

El primero son los derechos del titular, que se ejercen directamente ante quien tiene los datos, sin abogado ni juez: el acceso, la rectificación, la actualización y la supresión. El segundo es la acción judicial de habeas data, regulada en los artículos 33 a 43, que queda abierta cuando el pedido directo no funciona. En la práctica, casi todo se resuelve en el primer plano, y el segundo es la consecuencia de no contestar a tiempo.

Qué protege el habeas data: los derechos del titular

La ley llama titular a la persona a la que se refieren los datos. Tus clientes son titulares de los datos que guardás de ellos, y vos sos titular de los que guarda tu banco. Esos son sus derechos.

Acceso (artículo 14). Toda persona que acredite su identidad puede pedir información sobre sus datos incluidos en bancos de datos públicos o privados destinados a dar informes. El responsable tiene que contestar dentro de los diez días corridos desde que fue intimado de forma fehaciente. Es gratuito si se pide con intervalos de no menos de seis meses, salvo que se acredite un interés legítimo para pedirlo antes.

Contenido de la respuesta (artículo 15). La información tiene que ser clara, sin códigos o, si los usa, acompañada de una explicación en lenguaje accesible. Tiene que abarcar el registro completo de la persona aunque la consulta sea sobre una parte, y no puede revelar datos de terceros. El titular puede elegir cómo recibirla: por escrito, por medios electrónicos, por teléfono o de otra forma adecuada.

Rectificación, actualización y supresión (artículo 16). Toda persona tiene derecho a que sus datos se rectifiquen, se actualicen y, cuando corresponda, se supriman o se sometan a confidencialidad. El responsable tiene que hacerlo en el plazo máximo de cinco días hábiles desde que recibe el reclamo. Mientras verifica si el dato es correcto, tiene que bloquear el archivo o dejar constancia de que está en revisión. Es el derecho que más se usa después de un robo del DNI, cuando aparece a tu nombre un crédito que no pediste.

Gratuidad (artículo 19). La rectificación, la actualización o la supresión de datos inexactos o incompletos se hace sin cargo para el interesado.

La supresión tiene límites. El mismo artículo 16 dice que no procede cuando pueda perjudicar derechos o intereses legítimos de terceros, o cuando haya una obligación legal de conservar los datos. Un estudio contable no puede borrar los papeles de trabajo de una declaración jurada porque el cliente se lo pida si una norma le exige guardarlos. Lo que sí tiene que hacer es contestar, y explicar por qué no los borra.

10 días corridospara contestar un pedido de acceso (art. 14)

5 días hábilespara rectificar, actualizar o suprimir (art. 16)

Cómo ejercer el habeas data, paso a paso

Si querés saber qué datos tuyos tiene una empresa, un organismo o un profesional, o querés que los corrijan o los borren, el camino tiene cuatro pasos.

1. Identificá al responsable. Es quien tiene la base de datos: la empresa, el banco, el estudio. Si está inscripto, sus datos de contacto aparecen en el buscador del Registro Nacional de Bases de Datos de la AAIP.
2. Mandá el pedido por un medio que deje constancia. La AAIP publica en su página de derechos un modelo de solicitud de acceso y otro de rectificación, actualización o supresión. La AAIP sugiere presentarlo de modo que te quede constancia de la recepción, como una nota por escrito con sello o un envío postal certificado con acuse de recibo; una carta documento también sirve. Importa porque el plazo corre desde la intimación fehaciente.
3. Esperá el plazo. Diez días corridos para el acceso, cinco días hábiles para la rectificación o la supresión.
4. Si no contestan, o contestan mal, elegí el camino. Podés hacer una denuncia ante la AAIP por incumplimiento de la Ley 25.326, con la copia de tu pedido y de la respuesta, si la hubo. O podés iniciar la acción judicial de habeas data.

La acción judicial tiene reglas propias. Según el artículo 33, procede para conocer los datos almacenados y su finalidad, y para exigir su rectificación, supresión, confidencialidad o actualización cuando se presuma que son falsos, inexactos o están desactualizados, o cuando su registro esté prohibido por la ley. La pueden iniciar el afectado, sus tutores o curadores y sus sucesores (artículo 34). Es competente, a elección de quien demanda, el juez de su domicilio, el del demandado o el del lugar donde el hecho se exteriorice (artículo 36). La demanda va por escrito e individualiza, con la mayor precisión posible, el archivo y su responsable (artículo 38). Y el responsable tiene un plazo de no más de cinco días hábiles para contestar el informe que le pide el juez, que puede ampliarlo prudencialmente (artículo 39).

Un caso muy común es el de los informes comerciales. La página de derechos de la AAIP explica cuándo se puede pedir que se rectifique una deuda que figura impaga aunque se haya cancelado, y cuándo corresponde que deje de circular. Si te pasó con una deuda que no era tuya, quizá alguien usó tu documento, y lo contamos en qué pueden hacer con tu DNI.

Ley 25326: qué es y a quién alcanza

La Ley 25.326 se sancionó el 4 de octubre de 2000 y sigue vigente, con su decreto reglamentario, el 1558/2001. Hay proyectos para reemplazarla, entre ellos el que el Poder Ejecutivo envió a la Cámara de Diputados en 2023, pero ninguno está aprobado. Mientras eso no pase, la regla es esta.

Lo primero que hace la ley es definir. Según su artículo 2:

• Dato personal es la información de cualquier tipo referida a personas físicas o de existencia ideal determinadas o determinables. El nombre, el mail, el domicilio, el número de documento o el CUIL o el CUIT de tu cliente entran sin discusión.
• Dato sensible es el que revela origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, o información referente a la salud o a la vida sexual. Tiene un régimen más estricto, que desarrollamos en la guía de datos sensibles.
• Tratamiento de datos son las operaciones y procedimientos sistemáticos, electrónicos o no, que permitan recolectar, conservar, ordenar, almacenar, modificar, relacionar, evaluar, bloquear o destruir datos personales, y en general procesarlos, así como cederlos a terceros por comunicaciones, consultas, interconexiones o transferencias.
• Disociación de datos es todo tratamiento de datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable.

La ley alcanza a las personas jurídicas en lo que resulte pertinente (artículo 1), y sus capítulos I a IV y el artículo 32 son de orden público y de aplicación, en lo pertinente, en todo el territorio nacional (artículo 44).

La autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP). La creó la Ley 27.275 de acceso a la información pública, y el Decreto 746/2017 le asignó, al modificar esa ley, la tarea de actuar como autoridad de aplicación de la Ley 25.326 y de fiscalizar la protección integral de los datos personales.

Ley de protección de datos personales: los principios que tenés que cumplir

El capítulo II de la ley fija los principios generales. Son pocos y se entienden bien leyéndolos con un caso de oficina al lado.

Licitud (artículo 3). Un archivo de datos es lícito cuando está debidamente inscripto, cuando corresponde, y respeta los principios de la ley. No puede tener finalidades contrarias a las leyes o a la moral pública.

Calidad (artículo 4). Los datos tienen que ser ciertos, adecuados, pertinentes y no excesivos para la finalidad con la que se obtuvieron. No se pueden usar para fines distintos o incompatibles. Tienen que estar actualizados y se tienen que destruir cuando dejan de ser necesarios. Para tramitar un monotributo, el estudio contable no necesita la religión del cliente; para un contrato de alquiler, la inmobiliaria no necesita el historial médico del inquilino.

Consentimiento (artículo 5). Es la regla general, y tiene que ser libre, expreso e informado, por escrito o por otro medio equiparable. Las excepciones están tasadas en el inciso 2: datos de fuentes de acceso público irrestricto, datos que se recaban para funciones del Estado o por una obligación legal, listados que se limitan a nombre, documento, identificación tributaria o previsional, ocupación, fecha de nacimiento y domicilio, datos que derivan de una relación contractual, científica o profesional y son necesarios para cumplirla, y algunas operaciones de las entidades financieras. A diferencia de Europa, la ley argentina no tiene una base genérica de interés legítimo.

Información (artículo 6). Antes de recoger datos hay que informar, en forma expresa y clara, para qué se van a usar y quiénes pueden recibirlos, que existe la base y quién es su responsable, si las respuestas son obligatorias, qué pasa si no se dan, y cómo ejercer los derechos de acceso, rectificación y supresión.

Seguridad (artículo 9) y confidencialidad (artículo 10). El responsable tiene que adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad de los datos, y todas las personas que intervienen en el tratamiento están obligadas al secreto, incluso después de terminada su relación.

Cesión (artículo 11) y transferencia internacional (artículo 12). Ceder datos a un tercero exige, en principio, el consentimiento previo del titular, informado de la finalidad y de quién los recibe. Transferirlos a países sin un nivel de protección adecuado está prohibido, con excepciones.

Prestación de servicios de tratamiento (artículo 25). Quien trata datos por cuenta de otro, como el proveedor del sistema de facturación o el de la nube, no puede usarlos para otro fin ni cederlos, y tiene que destruirlos al terminar el contrato.

Cómo cumplir la Ley 25.326 en un estudio o una pyme

Con esos principios, la lista de tareas de una organización chica es bastante concreta. Es la que usaríamos nosotros para revisar un estudio de cinco personas.

tarea	qué hacer	dónde está
1. Inscribir la base	Si tu base no es de uso exclusivamente personal, revisá con la página de la AAIP si tenés que inscribirla en el Registro Nacional de Bases de Datos	Ley, arts. 3 y 21
2. Informar	Que tus formularios, tu web y tus contratos digan para qué usás los datos, quién los recibe y cómo se ejercen los derechos	Ley, art. 6
3. Poner la leyenda	Incluir en lugar visible la leyenda que recuerda que la AAIP atiende denuncias y reclamos	Res. AAIP 14/2018
4. Pedir sólo lo necesario	Revisar qué datos pedís y borrar los que ya no sirven	Ley, art. 4
5. Cuidar la seguridad	Contraseñas, accesos por persona, copias de resguardo, y qué se puede mandar fuera	Ley, art. 9; Res. AAIP 47/2018
6. Exigir secreto	Cláusula de confidencialidad para empleados, pasantes y colaboradores	Ley, art. 10
7. Firmar con proveedores	Contrato con quien trata datos por tu cuenta, con su deber de seguridad	Ley, art. 25; Decreto 1558/2001, art. 25
8. Contestar a tiempo	Un circuito para los pedidos de acceso, rectificación y supresión	Ley, arts. 14 y 16

La inscripción es el punto que más dudas genera. El artículo 21 dice que todo archivo, registro, base o banco de datos público, y privado destinado a dar informes, tiene que inscribirse en el registro que habilite el organismo de control. El Decreto 1558/2001, en su artículo 1, entiende comprendidos en esa segunda categoría los bancos de datos que exceden el uso exclusivamente personal. Por eso la AAIP explica que las bases de uso exclusivamente personal quedan fuera, y tiene una página para consultar cada caso.

La seguridad es el otro punto flojo. La Resolución AAIP 47/2018 aprobó medidas de seguridad recomendadas para el tratamiento de datos personales, en soporte informatizado y en papel. No son obligatorias en sí mismas, pero sirven como referencia de lo que la autoridad considera razonable, y traen un apartado sobre cómo detectar, evaluar, contener y responder a un incidente de seguridad. Qué hacer cuando el incidente ya ocurrió está en la guía de incidente de seguridad con datos personales.

En un estudio, el circuito de pedidos puede ser muy simple: una casilla de mail que alguien revisa todos los días, una planilla con la fecha de entrada y la fecha límite, y una respuesta modelo que se adapta. Lo que no puede pasar es que un pedido de acceso se pierda en la bandeja de un socio que está de vacaciones, porque a los diez días corridos queda abierta la acción judicial.

Sanciones de la Ley 25.326

Las sanciones administrativas están en el artículo 31: apercibimiento, suspensión, multa, y clausura o cancelación del archivo, registro o banco de datos. Las aplica la AAIP y se gradúan según la gravedad y la extensión de la violación y los perjuicios que causó. Los montos de multa que figuran en el texto de la ley son pesos del año 2000, así que no los citamos.

El artículo 32 incorporó al Código Penal los artículos 117 bis y 157 bis, que la Ley 26.388 de 2008 reformó después. Hoy el 117 bis castiga, entre otras conductas, a quien proporcione a un tercero, a sabiendas, información falsa contenida en un archivo de datos personales. El 157 bis castiga a quien, a sabiendas e ilegítimamente o violando sistemas de confidencialidad y seguridad de datos, acceda a un banco de datos personales; a quien ilegítimamente proporcione o revele información registrada en un archivo o banco de datos personales cuyo secreto debía preservar por ley, y a quien ilegítimamente inserte o haga insertar datos en un archivo de datos personales.

Y la responsabilidad civil por daños queda siempre abierta. En la práctica, lo que más pesa para una empresa chica no es la multa sino el reclamo del cliente afectado y la pérdida de confianza. Si pensás cubrir ese reclamo con una póliza, mirá antes qué cubre un seguro de ciberriesgo cuando la fuga viene de la IA.

Habeas data e inteligencia artificial

La Ley 25.326 no menciona la inteligencia artificial, y no hace falta. Pegar el expediente de un cliente en ChatGPT, Claude, Copilot o Gemini es tratar datos personales y comunicarlos a una empresa que los procesa y, muchas veces, los conserva. Todo lo anterior se aplica a ese gesto.

Y el habeas data tiene una consecuencia muy concreta. Si un cliente te pide acceso a sus datos, el artículo 15 dice que la respuesta tiene que abarcar su registro completo, y el artículo 6 te obligaba a informarle quiénes podían recibirlos. Si su expediente pasó por un chat de IA, la respuesta honesta incluye a un proveedor que quizá procesa en otro país. Y si te pide que lo borres, vas a tener que poder hacerlo también ahí, cosa que no siempre depende de vos. Qué conserva ChatGPT y por cuánto tiempo lo contamos en es seguro ChatGPT.

La ley tiene además una regla sobre decisiones automatizadas (artículo 20), que la AAIP complementó en 2019 con un criterio sobre el derecho a pedir una explicación de la lógica aplicada, y en 2023 la AAIP creó por la Resolución 161/2023 un programa sobre IA y datos personales. Esas reglas, cómo encaja cada herramienta en la ley, qué contrato pedir y qué poner en tu política de privacidad lo desarrollamos en inteligencia artificial y protección de datos.

Un ejemplo de lo que llega al chat

Así es un pedido típico que alguien de un estudio contable pegaría tal cual en un chat para que lo ayude a contestar:

Cliente: Nuria Solé Domènech
CUIL: 20-00000000-5
Correo: cliente@example.com
Domicilio: Calle Inexistente 0
Nos pide revisar por qué le rechazaron la deducción del alquiler y quiere saber si le conviene rectificar la declaración jurada.

Y esto es lo que llega al chat después de pasarlo por Nonimo, copiado tal cual de la salida del motor:

Cliente: [PERSONA_1]
CUIL: [CUIT_1]
Correo: [CORREO_1]
Domicilio: [DIRECCION_1]
Nos pide revisar por qué le rechazaron la deducción del alquiler y quiere saber si le conviene rectificar la declaración jurada.

El CUIL sale como [CUIT_1] porque el motor usa la misma etiqueta para los dos números, que tienen la misma forma. Para explicar por qué se rechaza una deducción, la IA no necesita nada de lo que se tapó. Lo que importa para el principio de calidad del artículo 4 es justo eso: el dato que no hace falta para la pregunta no tiene por qué salir de tu computadora.

Lo que hace Nonimo

Nonimo es una app para Windows y Mac, con extensión para el navegador, que trabaja en tu computadora antes de que el texto llegue al chat. Seleccionás el fragmento, presionás la tecla que elegiste y los datos personales se cambian por marcadores como [PERSONA_1]. Cuando copiás la respuesta y presionás la misma tecla, cada marcador vuelve a su valor en tu pantalla. A Nonimo no le llega ni una palabra de tu texto.

En textos argentinos tapa mails y teléfonos con +54, y también los nombres, el CUIL, el CUIT, el DNI, el número de trámite y el domicilio cuando van con su rótulo, como Cliente:, CUIL:, DNI: o Domicilio:. No tapa todo: un CBU, por ejemplo, queda a la vista y lo tenés que borrar vos. Qué guarda la app y qué sale de tu equipo está en la página de seguridad.

Si lo que tenés que compartir es un archivo, las herramientas web hacen el mismo cambio en un PDF, un Word, un Excel, un PowerPoint o un CSV. En ese caso el archivo se procesa en el servidor de Nonimo, que no lo guarda, y te lo devuelve con los datos tapados.

Nonimo no reemplaza tu política de privacidad, tus contratos ni la inscripción de tu base. Lo que hace es resolver el paso que la ley más difícilmente perdona y que más fácil se olvida: que un dato que nadie necesitaba termine en un servidor que no conocés.

Habeas data y Ley 25.326 según tu actividad

Cada oficio tiene su punto débil, y es casi siempre el mismo documento que circula todos los días.

• Estudios jurídicos. Demandas, contratos y mails con la contraparte llevan nombres, domicilios y datos patrimoniales, y además están bajo secreto profesional. Mirá cómo lo resolvemos para estudios jurídicos.
• Estudios contables. Recibos de sueldo, constancias de inscripción y declaraciones juradas llevan datos del cliente y de sus empleados. Tienen su página para estudios contables.
• Consultorios. La historia clínica es dato sensible por definición. Cómo usar un chat sin exponer al paciente está en médicos y consultorios.
• Inmobiliarias. Solicitudes de alquiler, garantías y fotos del DNI pasan por el mail y por la IA. Fijate cómo cuidarlas en inmobiliarias.
• Productores de seguros. Pólizas, siniestros y denuncias llevan datos personales y, a veces, de salud. Lo vemos en productores de seguros.
• Municipios. Los expedientes de mesa de entradas juntan datos de vecinos de todo tipo. Lo contamos en municipios.

Y si tu oficina comparte documentos con terceros, antes de mandarlos conviene censurar el PDF de verdad, no con un recuadro negro que deja el texto debajo.

Fuentes

Consultadas el 19 de octubre de 2026.

• Constitución Nacional, artículo 43, tercer párrafo. Texto en InfoLEG.
• Ley 25.326 de Protección de los Datos Personales, sancionada el 4-10-2000. Texto actualizado en InfoLEG. Artículos 1 a 7, 9 a 12, 14 a 16, 19 a 21, 25, 31 a 34, 36, 38, 39 y 44.
• Código Penal, artículos 117 bis y 157 bis, en su texto vigente tras la Ley 26.388. Texto actualizado en InfoLEG.
• Ley 26.388, artículos 8 y 14 (sustituye el 157 bis y deroga el inciso 1 del 117 bis). Texto en InfoLEG.
• Decreto 1558/2001, reglamento de la Ley 25.326. Texto en InfoLEG. Artículos 1 y 25.
• Ley 27.275 de Acceso a la Información Pública, artículos 19 y 24 con las modificaciones del Decreto 746/2017. Texto actualizado en InfoLEG.
• Resolución AAIP 14/2018. Texto en argentina.gob.ar. Leyenda sobre la AAIP como órgano de control.
• Resolución AAIP 47/2018. Texto en argentina.gob.ar. Medidas de seguridad recomendadas, con un apartado de incidentes.
• Resolución AAIP 4/2019. Texto en argentina.gob.ar. Criterios orientadores; criterio 2, tratamiento automatizado.
• Resolución AAIP 161/2023. Texto en argentina.gob.ar. Programa de transparencia y protección de datos personales en el uso de la inteligencia artificial.
• AAIP, Conocé tus derechos. Página oficial. Modelos de solicitud y denuncia por incumplimiento.
• AAIP, Responsables de bases de datos. Página oficial. Quién tiene que inscribir sus bases.
• AAIP, Actualización de la Ley de Protección de Datos Personales. Página oficial. Proyecto enviado al Congreso en 2023.