La importancia de las VPN para la privacidad en línea en Argentina depende, en buena parte, de qué protege realmente la ley — y qué queda fuera de su alcance. Esta página revisa la Ley de Protección de Datos Personales con el detalle que un resumen general no puede ofrecer.
Origen y alcance de la Ley 25.326
La Ley de Protección de Datos Personales de Argentina, promulgada en el año 2000, fue una de las primeras de su tipo en América Latina y estableció principios básicos todavía vigentes: consentimiento para el tratamiento de datos personales, derecho de acceso y rectificación, y la creación de un organismo de control. En su momento representó un avance significativo, pero fue redactada antes de la existencia de buena parte de los servicios digitales que hoy generan la mayor cantidad de datos personales.
Lo que la ley cubre razonablemente bien
La norma establece con claridad los derechos básicos de acceso, rectificación y supresión de datos personales en poder de terceros, y exige que el tratamiento de datos sensibles —salud, opiniones políticas, afiliación sindical— cuente con protecciones reforzadas. También creó la Agencia de Acceso a la Información Pública como autoridad de control, con facultades de fiscalización y sanción.
Los vacíos frente a los desafíos actuales
El vacío más citado por especialistas es el tratamiento de las transferencias internacionales de datos: buena parte de los servicios digitales usados a diario en Argentina almacenan datos en servidores fuera del país, en jurisdicciones con estándares de protección distintos, y la ley de 2000 no anticipó la escala actual de este fenómeno. Tampoco contempla de forma específica prácticas como el perfilado automatizado mediante algoritmos, el rastreo publicitario entre plataformas, o el consentimiento granular que hoy exigen marcos más recientes como el RGPD europeo.
Comparación con estándares internacionales más recientes
Marcos como el Reglamento General de Protección de Datos de la Unión Europea, o la Ley General de Protección de Datos de Brasil, incorporan conceptos que la norma argentina no desarrolla con el mismo nivel de detalle: el derecho a la portabilidad de datos, sanciones proporcionales a la facturación de la empresa infractora, y obligaciones específicas de notificación en caso de filtración de datos. Argentina cuenta, desde 2019, con un anteproyecto de reforma que incorpora buena parte de estos elementos, pero su tratamiento legislativo ha avanzado de forma intermitente.
Reconocimiento facial y datos biométricos: un vacío particularmente evidente
La implementación de sistemas de reconocimiento facial en el espacio público, y el uso creciente de datos biométricos para autenticación en aplicaciones bancarias y gubernamentales, son fenómenos que la ley de 2000 no podía haber anticipado. Estos sistemas procesan una categoría de dato personal especialmente sensible —la identidad biométrica no se puede cambiar como una contraseña filtrada— sin que exista, en el marco legal vigente, un tratamiento específico y diferenciado para este tipo de información. Distintas jurisdicciones provinciales han avanzado con regulaciones propias en esta materia, generando un panorama desigual según la ubicación geográfica dentro del propio país, algo poco común en un marco de protección de datos que debería, en principio, aplicar de manera uniforme en todo el territorio.
El consentimiento en la era de los términos de servicio extensos
La ley exige consentimiento para el tratamiento de datos personales, pero no establece estándares claros sobre qué constituye un consentimiento informado frente a términos de servicio de decenas de páginas que casi nadie lee por completo. Marcos más recientes, como el RGPD europeo, exigen que el consentimiento sea específico, informado e inequívoco, con opciones claras de rechazo que no compliquen artificialmente el proceso. La legislación argentina no exige, en cambio, ese mismo nivel de granularidad, lo que en la práctica se traduce en consentimientos genéricos que cubren usos de datos mucho más amplios de lo que la persona promedio comprende al aceptar.
Qué significa esto en la práctica para un usuario
Mientras la reforma no se concrete, quien quiera proteger su privacidad en línea en Argentina no puede depender exclusivamente del marco legal vigente para cubrir los vacíos mencionados. Herramientas técnicas como una VPN no sustituyen una legislación actualizada, pero sí reducen la exposición práctica en los puntos concretos que la ley todavía no regula con precisión, particularmente en lo referido a qué puede observar un tercero no autorizado sobre la actividad en línea de una persona.
Sanciones: por qué su efecto disuasivo es limitado
La ley prevé sanciones administrativas para quienes incumplan sus disposiciones, pero los montos y procedimientos vigentes datan en gran medida del texto original de 2000, sin la actualización que sí incorporan marcos más recientes, donde las multas se calculan como porcentaje de la facturación global de la empresa infractora. Una sanción de monto fijo, sin ajustar por inflación ni por el tamaño de la empresa involucrada, tiene un efecto disuasivo muy distinto para una pequeña plataforma local que para una gran empresa tecnológica internacional con presencia en el país.
El rol de la Agencia de Acceso a la Información Pública
Este organismo es responsable de recibir denuncias, fiscalizar el cumplimiento de la ley y aplicar sanciones a quienes la incumplan, pero opera con recursos limitados frente al volumen actual de tratamiento de datos en la economía digital argentina. Conocer que este organismo existe, y que es posible presentar una denuncia formal ante él, es en sí mismo un paso de protección que muchos usuarios desconocen.
Cómo ejercer los derechos ya vigentes hoy
Más allá de lo que falte por reformar, la ley actual ya otorga derechos ejercitables de inmediato: cualquier persona puede solicitar a una empresa qué datos personales suyos posee, con qué finalidad los utiliza, y exigir su rectificación o supresión si corresponde. En la práctica, muy pocas personas ejercen este derecho porque desconocen que existe o no saben cómo formular la solicitud formalmente. La Agencia de Acceso a la Información Pública dispone de canales para presentar este tipo de reclamos sin necesidad de representación legal previa.
Qué revisar sobre este criterio
- Si el servicio o plataforma que se usa declara dónde almacena los datos personales, dentro o fuera de Argentina.
- Si existe una política de privacidad clara sobre transferencias internacionales de datos.
- El estado actual del proyecto de reforma de la ley, que cambia con el tiempo legislativo.
- Los derechos de acceso, rectificación y supresión ya vigentes, que se pueden ejercer hoy sin esperar ninguna reforma.
- Qué tratamiento específico recibe, si alguno, un dato biométrico frente a un dato personal común en el servicio que se usa.
Ninguno de estos puntos requiere conocimiento jurídico avanzado: la mayoría se puede verificar leyendo la política de privacidad publicada por cada servicio, y contrastándola con lo que la ley exige como mínimo.