La Ley 25.326 de Protección de los Datos Personales es la norma argentina que regula las bases de datos con información de personas. Exige el consentimiento "libre, expreso e informado" del titular (art. 5), obliga a informar antes de recoger datos (art. 6) y la controla la Agencia de Acceso a la Información Pública (AAIP).

Si tienes un sitio web, una tienda online o campañas que llegan a Argentina, la pregunta práctica es qué cambia con las cookies. La ley no las menciona, y no encontré una guía de la AAIP dedicada a ellas, así que este artículo separa lo que dice el texto de lo que es una lectura razonable. Todo lo legal está contrastado con el texto de la ley en Infoleg, consultado el 30 de octubre de 2026.

La ley fue sancionada el 4 de octubre de 2000 y promulgada parcialmente el 30 de octubre de 2000. Su objeto es la protección integral de los datos personales asentados en archivos, registros, bancos de datos u otros medios técnicos de tratamiento, públicos o privados destinados a dar informes (art. 1).

Tres rasgos la distinguen de otras leyes de la región:

• Protege también a las personas jurídicas. El art. 1 dice que sus disposiciones se aplican, en lo pertinente, a los datos de personas de existencia ideal, y el art. 2 incluye a las personas de existencia ideal en la definición de dato personal.
• Define dato personal en sentido amplio: información de cualquier tipo referida a personas "determinadas o determinables" (art. 2).
• Habla de "archivo, registro, base o banco de datos". No de "tratamiento" en abstracto: gran parte de sus obligaciones se organizan alrededor de la base de datos.

Su reglamentación es el Decreto 1558/2001. Según el texto vigente del art. 29 del decreto (sustituido por el Decreto 899/2017), el órgano de control es la AAIP.

El art. 2 distingue los datos personales de los datos sensibles: los que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical, salud o vida sexual. Para estos últimos el art. 7 dispone que nadie puede ser obligado a proporcionarlos y que solo se tratan por razones de interés general autorizadas por ley, o con fines estadísticos o científicos cuando no se pueda identificar a los titulares.

El art. 2 define también el tratamiento de datos como las operaciones y procedimientos sistemáticos, electrónicos o no, que permiten recolectar, conservar, ordenar, almacenar, modificar, relacionar, evaluar, bloquear o destruir datos, y cederlos a terceros. Una tienda online que guarda nombre, domicilio y compras en su base está dentro de esa definición.

Los principios básicos están en los arts. 3 a 10 de la ley:

• Licitud (art. 3): la base de datos debe estar inscripta y respetar los principios de la ley.
• Calidad (art. 4): datos ciertos, adecuados, pertinentes y no excesivos para su finalidad; recogidos sin medios desleales; no usados para fines incompatibles; exactos y actualizados; y destruidos cuando dejan de ser necesarios.
• Seguridad (art. 9): el responsable debe adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad de los datos.
• Confidencialidad (art. 10): quienes intervienen en cualquier fase del tratamiento están obligados al secreto profesional, incluso después de terminar su relación con el titular.

La ley no define medidas de seguridad concretas. Lo que sí hace es prohibir registrar datos personales en bases que no reúnan condiciones técnicas de integridad y seguridad (art. 9, inciso 2).

El art. 5 es el centro de la ley. El tratamiento de datos personales es ilícito cuando el titular no prestó su consentimiento libre, expreso e informado. Debe constar por escrito o por otro medio que permita equipararlo, según las circunstancias. Si el consentimiento se presta junto con otras declaraciones, tiene que figurar de forma expresa y destacada.

Lo "informado" tiene un contenido concreto. El art. 6 obliga a informar antes de recoger los datos, de forma expresa y clara:

1. La finalidad y los destinatarios o clases de destinatarios.
2. La existencia de la base de datos y la identidad y el domicilio de su responsable.
3. El carácter obligatorio o facultativo de las respuestas.
4. Las consecuencias de dar los datos, de negarse o de que sean inexactos.
5. La posibilidad de ejercer los derechos de acceso, rectificación y supresión.

El Decreto 1558/2001 (art. 5) añade que el consentimiento informado es el que está precedido de una explicación, adecuada al nivel social y cultural del titular, de esa información. También prevé que el consentimiento puede revocarse en cualquier tiempo, sin efectos retroactivos.

El art. 5, inciso 2, enumera excepciones: datos de fuentes de acceso público irrestricto, los recabados para funciones propias del Estado o por obligación legal, listados limitados a datos básicos de identificación, los que derivan de una relación contractual, científica o profesional y son necesarios para su desarrollo o cumplimiento, y las operaciones de las entidades financieras.

Para un comercio, la excepción útil es la contractual: los datos necesarios para completar una compra no dependen del consentimiento del cliente. Cualquier uso adicional, como perfilar para publicidad, sí necesita su propia base.

El art. 11 permite ceder datos solo para fines directamente relacionados con el interés legítimo del cedente y del cesionario y con el previo consentimiento del titular, que debe saber la finalidad e identificar al cesionario. Ese consentimiento es revocable. El cesionario queda sujeto a las mismas obligaciones que el cedente, y este responde solidariamente.

El art. 12 prohíbe transferir datos personales a países u organismos internacionales que no proporcionen niveles de protección adecuados, con excepciones. Según el art. 12 del decreto, la prohibición no rige cuando el titular consintió expresamente la cesión.

Si usas herramientas de analítica o publicidad con servidores fuera de Argentina, esta es la parte de la ley que lo toca. Para los mecanismos concretos (cláusulas modelo, autorizaciones), la página de obligaciones de la AAIP remite a la normativa de la agencia.

La ley reconoce estos derechos y fija plazos cortos:

El acceso es gratuito a intervalos no inferiores a seis meses, salvo interés legítimo acreditado (art. 14, inciso 3), y la rectificación, actualización o supresión de datos inexactos o incompletos es sin cargo (art. 19). Si el plazo vence sin respuesta, queda abierta la acción de protección de los datos personales o de hábeas data.

El art. 27 trae una regla útil para marketing: quien trata datos para publicidad o venta directa debe permitir que el titular pida en cualquier momento el retiro o el bloqueo de su nombre de esas bases. Si envías comunicaciones comerciales, necesitas un canal para eso.

Los arts. 21 y 24 obligan a inscribir las bases de datos: las públicas y las privadas destinadas a proporcionar informes, y las de particulares que no sean de uso exclusivamente personal. La inscripción incluye datos del responsable, finalidad, naturaleza de los datos, destinatarios, medidas de seguridad y tiempo de conservación (art. 21, inciso 2).

Según la AAIP, el trámite se hace por Trámites a Distancia (TAD), el responsable debe inscribirse antes de registrar una base, y también deben hacerlo quienes tratan datos de argentinos sin estar establecidos en el país. Si vendes a Argentina desde otro país, revisa con quien se ocupe de lo legal si esa obligación te alcanza.

El art. 31 permite al organismo de control aplicar apercibimiento, suspensión, multa, clausura o cancelación de la base de datos. El decreto (art. 31) dice que la cuantía se gradúa según la naturaleza de los derechos afectados, el volumen de los tratamientos, los beneficios obtenidos, la intencionalidad, la reincidencia (tres años) y los daños causados.

No cito la escala de multas: el texto de la ley la expresa en pesos de 2000 y no he contrastado una actualización oficial. El art. 32 incorpora además dos delitos al Código Penal, el art. 117 bis (insertar o proporcionar datos falsos en un archivo de datos personales) y el art. 157 bis (acceder ilegítimamente a un banco de datos personales o revelar información registrada cuyo secreto se debe guardar).

La Ley 25.326 no usa la palabra "cookies", y la AAIP no tiene, que yo haya podido encontrar, una guía propia sobre ellas. Su página de recomendaciones (enero de 2024) habla de leer la política de privacidad, y de que los sitios deben ofrecer un canal para ejercer los derechos. No de cookies.

Esto es una lectura, no una cita: una cookie o un identificador que permite reconocer a un visitante y seguir su comportamiento puede hacerlo "determinable" en el sentido del art. 2. Si es así, su uso para analítica o publicidad es un tratamiento que pide consentimiento libre, expreso e informado (art. 5), con la información previa del art. 6. La prudencia práctica para un sitio con visitantes argentinos es:

• No activar las cookies no esenciales hasta que la persona acepte de forma activa.
• Explicar finalidades y terceros antes de pedir el consentimiento, con un ejemplo en la política de cookies.
• Permitir cambiar la decisión cuando se quiera, como exige la revocabilidad del decreto.
• Conservar una prueba de lo que cada persona decidió, tema que desarrolla el registro de consentimientos.

Una plataforma de gestión del consentimiento (CMP) cubre esos cuatro puntos. En AdOpt, la prueba del consentimiento es el Consent Log, que guarda la fecha y la hora, y lo que cada persona aceptó o rechazó; el CookieID solo liga esa elección con el registro.

Si tu sitio tiene visitantes en otros países, no copies el aviso de uno en otro. Compara con Colombia (Ley 1581), Perú (Ley 29733) y México (LFPDPPP). Para Chile hay una ley nueva con fecha de entrada en vigor en discusión, explicada en esta guía. Y si vendes con Tiendanube, mira cómo funciona su aviso de cookies.

Desde hace años se discute en Argentina una reforma integral de la ley. En el texto consolidado de Infoleg consultado el 30 de octubre de 2026, la Ley 25.326 sigue vigente en su versión original con las normas que la completan. Antes de tomar una decisión importante, mira el estado de la ley en Infoleg y en la página de la AAIP.

• Identifica qué bases de datos tienes y si están inscriptas (arts. 3, 21 y 24).
• Revisa que cada formulario informe lo que pide el art. 6.
• Define cómo recoges y pruebas el consentimiento (art. 5).
• Prepara un canal y un procedimiento para acceso, rectificación y supresión, con los plazos de 10 días corridos y 5 días hábiles.
• Revisa los proveedores con servidores en el exterior (art. 12).
• Escanea tu sitio para saber qué cookies y scripts hay antes del consentimiento. Con la prueba de 30 días de AdOpt puedes hacerlo hoy.

Este artículo describe la ley y no sustituye el asesoramiento legal para tu caso.

• Consentimiento de cookies: qué exige la ley en España y cómo obtenerlo bien
• Habeas Data en Colombia: cómo cumplir la Ley 1581

El art. 5 dice que el tratamiento de datos personales es ilícito si el titular no dio su consentimiento libre, expreso e informado, que debe constar por escrito o por un medio equiparable. Hay excepciones, como los datos necesarios para una relación contractual o los de fuentes de acceso público irrestricto. El consentimiento puede revocarse en cualquier tiempo, sin efectos retroactivos.

No las menciona. La AAIP tampoco tiene una guía propia sobre cookies que haya podido encontrar. Lo prudente es aplicar los arts. 2, 5 y 6 por analogía: si una cookie permite identificar o seguir a una persona, su uso para analítica o publicidad pide consentimiento previo e información clara. Es una lectura, y conviene confirmarla con asesoramiento legal.

La Agencia de Acceso a la Información Pública (AAIP). El art. 29 del Decreto 1558/2001, en su texto sustituido por el Decreto 899/2017, la designa como órgano de control. Cualquier persona puede consultarla o presentar una denuncia gratuita por su sitio web.

Para el acceso, el art. 14 fija diez días corridos desde la intimación fehaciente. Para rectificación, actualización o supresión, el art. 16 fija cinco días hábiles desde el reclamo. Si no respondes en ese plazo, el titular puede iniciar la acción de protección de los datos personales o de hábeas data.

El art. 24 obliga a registrarse a los particulares que formen bases que no sean de uso exclusivamente personal. La AAIP indica que el trámite se hace por Trámites a Distancia y que también deben inscribirse quienes tratan datos de argentinos sin estar establecidos en el país. Confirma con quien lleve lo legal si tu caso lo exige.

¿Quieres que tus visitantes de Argentina decidan sobre las cookies antes de que se activen? Habla con el equipo de AdOpt y revisamos tu sitio juntos.