Ciberseguridad Argentina: datos y compras B2B

La ciberseguridad en Argentina también aparece en cuestionarios de compras y compliance. Cuando una fintech, una operadora, una minera o un fondo evalúan sumar un proveedor, hay una pregunta que aparece cada vez con más frecuencia:

¿Cómo maneja esta empresa los datos personales a los que va a tener acceso?

No es retórica ni un trámite para completar al final. En sectores donde el compliance pesa tanto como el precio, una respuesta vaga puede frenar la compra antes de que el equipo llegue a discutir la propuesta técnica.

Servicios de ciberseguridad para empresas y protección de datos

Una operación puede ser entre empresas y, aun así, tratar datos personales. Un formulario comercial reúne nombre, cargo, correo laboral y teléfono de una persona. Una plataforma de mantenimiento puede registrar usuarios, ubicaciones, horarios, tickets y firmas. Un proveedor de recursos humanos puede acceder a legajos o información de salud.

La pregunta práctica no es si tu empresa se considera ‘de datos’. Es si recolecta, consulta, almacena, comparte o elimina información referida a personas identificadas o identificables. Si la respuesta es sí, la protección de datos ya forma parte del servicio que vendés.

Un marco legal que está cambiando, no que ya cambió

La Ley 25.326 y su Decreto Reglamentario 1558/2001 siguen siendo el marco nacional vigente. La autoridad de aplicación es la Agencia de Acceso a la Información Pública (AAIP). La norma fue sancionada en 2000; desde entonces cambiaron la escala de internet, los servicios en la nube y el uso de inteligencia artificial, por eso existen iniciativas para modernizarla.

Al 19 de agosto de 2026, las páginas oficiales del Congreso muestran proyectos de reforma integral presentados por el diputado Pablo Carro (1948-D-2025) y el senador Martín Doñate (644/25). Son propuestas legislativas: no deben presentarse como obligaciones ya vigentes.

Entre los temas debatidos aparecen la notificación de incidentes, una responsabilidad más demostrable, reglas sobre decisiones automatizadas y figuras internas especializadas. Conviene seguirlos, pero el plan de trabajo de hoy tiene que partir de la ley actual, no de titulares sobre una ley futura.

Argentina, además, continúa en la lista de países con decisión de adecuación de la Comisión Europea. Eso facilita determinados flujos de datos desde el Espacio Económico Europeo hacia Argentina. No convierte automáticamente a una empresa argentina en cumplidora del RGPD ni reemplaza el análisis de cada tratamiento o contrato.

Lo que la ley ya exige hoy

Esperar una reforma sería un mal punto de partida. La Ley 25.326 ya establece obligaciones concretas para responsables y usuarios de bases de datos:

• Finalidad y calidad. Los datos deben ser ciertos, adecuados, pertinentes y no excesivos para el fin informado; no pueden reutilizarse de manera incompatible.
• Información y consentimiento. La recolección debe informar quién es responsable, para qué se usarán los datos, si las respuestas son obligatorias y cómo ejercer derechos; el consentimiento debe cumplir los requisitos y excepciones aplicables.
• Conservación. Los datos deben actualizarse cuando corresponda y destruirse cuando dejan de ser necesarios o pertinentes, salvo plazos legales o contractuales que justifiquen conservarlos.
• Seguridad y confidencialidad. Deben existir medidas técnicas y organizativas para evitar pérdida, adulteración, acceso o tratamiento no autorizado, además de deber de secreto.
• Derechos. La persona puede solicitar acceso y, cuando corresponda, rectificación, actualización, supresión o confidencialidad. La ley fija diez días corridos para responder el acceso y cinco días hábiles para rectificar, actualizar o suprimir.
• Cesiones y transferencias. Compartir datos con terceros o enviarlos al exterior exige revisar finalidad, información, consentimiento o excepción aplicable y el nivel de protección del destino.

“Más vale prevenir que curar.” – Refrán popular

Guardar datos como se guarda un buen vino

Un buen vino no sobrevive el paso del tiempo por casualidad. Necesita una bodega con temperatura, humedad y luz controladas. Y esas condiciones se sostienen durante años, no sólo el día que se guarda la botella.

Los datos personales de clientes, empleados y socios funcionan de manera parecida. No alcanza con recolectarlos una vez de forma prolija: hace falta un ambiente controlado y sostenido, con accesos limitados, retención definida, seguridad constante y una salida segura cuando ya no son necesarios.

De lo contrario, un activo comercial puede convertirse en un riesgo legal, operativo y reputacional. La política de privacidad visible es apenas la etiqueta; los permisos, contratos, respaldos y registros son la bodega.

Los principios que conviene incorporar ya

Quede donde quede la reforma legislativa, estas prácticas se apoyan en obligaciones vigentes o en las medidas de seguridad recomendadas por la AAIP:

• Recolectar sólo lo necesario para un fin concreto. Un dato ‘por si acaso’ también genera responsabilidad.
• Explicar qué se recolecta, para qué, quién es responsable y con quién se comparte, en lenguaje que una persona pueda entender.
• Definir plazos de retención y una forma verificable de borrar o anonimizar; guardar indefinidamente no es un plan.
• Asignar accesos por función, revisar altas y bajas de usuarios, usar autenticación adecuada y conservar trazabilidad de cambios.
• Evaluar proveedores de nube, CRM, formularios, analítica, correo e IA antes de entregarles datos; documentar ubicación, acceso y obligaciones.
• Tener un protocolo escrito para detectar, contener, analizar y comunicar un incidente, aunque la reforma todavía no haya convertido la notificación de 72 horas en regla general.
• Poder demostrar el cumplimiento con inventarios, políticas, contratos, registros y pruebas. Una promesa verbal no resiste una auditoría.

Por qué ya es un criterio de compra

En energía, minería, agro, servicios financieros y tecnología, la evaluación de proveedores suele mirar más que una política publicada. El comprador necesita saber qué información recibirá el proveedor, dónde se alojará, quién podrá verla, qué subcontratistas intervienen y qué ocurrirá al terminar el contrato.

La AAIP puede inspeccionar si un responsable adoptó medidas técnicas y organizativas y puede impulsar sanciones ante incumplimientos. A la vez, un comprador tiene su propio riesgo contractual y reputacional. Si tu empresa trata datos por cuenta de ese cliente, tus controles pasan a ser parte de sus controles.

Una empresa que responde con claridad y documentación tiene una ventaja real frente a otra que sólo puede decir ‘no tuvimos problemas hasta ahora’. La primera reduce incertidumbre; la segunda le pide al comprador que confíe sin evidencia.

Qué suele pedir un comprador serio

• Mapa de datos. qué datos recibe el servicio, para qué se usan, en qué sistemas viven y cuándo se eliminan.
• Responsables. quién decide, quién opera, quién aprueba accesos y quién coordina un incidente.
• Controles. accesos, respaldos, gestión de vulnerabilidades, segregación de ambientes y borrado seguro.
• Terceros. proveedores y subencargados, ubicación, contratos, transferencias y forma de supervisión.
• Derechos. canal y procedimiento para responder solicitudes dentro de los plazos legales.
• Incidentes. detección, escalamiento, preservación de evidencia, comunicación contractual y aprendizaje posterior.

Cinco preguntas para ubicarte

1. ¿Sabés con precisión qué datos personales recolecta tu empresa, para qué los usa y en qué sistemas están?
2. ¿Existe una política de privacidad clara y actualizada, o un texto genérico copiado de internet que no coincide con la operación real?
3. ¿Hay un protocolo definido ante una brecha y está alineado con las obligaciones contractuales de cada cliente?
4. ¿Alguien es responsable formal del tema, o queda diluido entre sistemas, legal, recursos humanos y marketing?
5. ¿Podrías responder con documentación —no de palabra— si un cliente pregunta cómo protegés sus datos y qué terceros intervienen?

Si la cuarta te hizo dudar, ahí suele empezar el problema. Lo que no tiene dueño no se revisa; y lo que no se revisa termina dependiendo de memoria, costumbre o buena voluntad.

Por dónde empezar

Elegí un servicio concreto y seguí sus datos de punta a punta: formulario, correo, CRM, carpeta compartida, plataforma, respaldo y eliminación. No intentes resolver toda la empresa en una tarde. El primer objetivo es descubrir qué ocurre de verdad.

Después, contrastá ese recorrido con la información que recibe la persona, los accesos, los proveedores, los contratos y los plazos. Las brechas entre lo que la política promete y lo que la operación hace suelen ser más importantes que la redacción jurídica del documento.

Armamos la guía descargable “Checklist de compliance en protección de datos para empresas B2B en Argentina” para evaluar en qué punto está tu empresa hoy, priorizar hallazgos y preparar una carpeta de evidencias para clientes exigentes.

Descargala y completala con legal, sistemas, ventas, recursos humanos y la persona dueña del servicio. No reemplaza asesoramiento jurídico, pero ayuda a llegar a esa conversación con los datos, preguntas y documentos ordenados.

Fuentes oficiales consultadas

Contenido informativo general, actualizado al 19 de agosto de 2026. La aplicación concreta depende del tratamiento, los contratos y las jurisdicciones involucradas; no sustituye asesoramiento legal.

• Argentina.gob.ar – Texto actualizado de la Ley 25.326: https://www.argentina.gob.ar/normativa/nacional/ley-25326-64790/actualizacion
• Argentina.gob.ar – Decreto Reglamentario 1558/2001: https://www.argentina.gob.ar/normativa/nacional/decreto-1558-2001-70368/actualizacion
• AAIP – Resolución 47/2018, medidas de seguridad recomendadas: https://www.argentina.gob.ar/normativa/nacional/resoluci%C3%B3n-47-2018-312662/texto
• AAIP – Derechos de las personas titulares de datos: https://www.argentina.gob.ar/aaip/datospersonales/derechos
• AAIP – Investigación sobre presunta filtración y referencia al proyecto de reforma: https://www.argentina.gob.ar/noticias/la-aaip-inicio-una-investigacion-de-oficio-ante-presunta-filtracion-masiva-de-datos
• Cámara de Diputados – Proyecto 1948-D-2025: https://www.diputados.gov.ar/comisiones/permanentes/cfinanzas/proyecto.html?exp=1948-D-2025
• Senado – Proyecto 644/25: https://www.senado.gob.ar/parlamentario/comisiones/verExp/644.25/S/PL
• Comisión Europea – Decisiones de adecuación: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en

Te puede interesar

WordPress: cómo actualizar tu sitio sin romperlo