Argentina unifica sus leyes de protección de datos
Seguramente has oído hablar del Reglamento General de Protección de Datos (RGPD), el reglamento de protección de datos en Europa que establece uno de los más altos estándares en la materia. Esta regulación está sirviendo de ejemplo para muchos países que buscan equiparar sus estándares de protección. En este post comentamos el caso de Argentina que está en proceso de actualización legislativa sobre protección de datos emulando lo que establece el RGPD.
En el año 2000, cuando Argentina promulgó la “PDPA” (Ley de Protección de los Datos Personales), fue uno de los países pioneros en referencia a la protección de los datos en Latinoamérica y fue certificada como “adecuada” para transferencia de los datos desde la Unión Europea. El 24 de mayo de 2016, la RGPD entró en vigor, dejando así la certificación PDPA obsoleta. En septiembre de 2022 la Agencia Argentina de Acceso a la Información Pública inició el proceso de reformas en las leyes de protección de datos. Esta reforma es la más ambiciosa para Argentina desde que aplicaron PDPA en el año 2000.
Se destaca el propósito de crear un nuevo proyecto de ley donde se reflejen los nuevos desafíos que imponen las transformaciones tecnológicas y el desarrollo de la economía digital, todo ello armonizado “con los más altos estándares regionales e internacionales, desde un enfoque de derechos humanos, con una mirada situada y soberana”.
Vamos a analizar algunos de los cambios importantes se buscan implementar con la nueva legislación:
Definiciones claras y ampliadas: Se incluyen nuevos términos y definiciones relacionados con el tratamiento de datos personales, como el consentimiento, la transferencia internacional de datos, los datos genéticos, los datos biométricos, entre otros.
Ámbito territorial ampliado: Al igual que la RGPD, la regulación afectaría a organizaciones fuera de Argentina que ofrezcan bienes o servicios a personas en Argentina o que monitoreen su comportamiento.
Principios actualizados: Se incluyen nuevos principios de procesamiento de datos, como la minimización de datos y la responsabilidad proactiva y demostrada.
Base legal ampliada: Mientras que la LPDP solo se basa en el consentimiento como base legal para el tratamiento de datos personales, la reforma permite otras bases legales, como el interés legítimo.
Protección de datos sensibles: Se establecen bases legales adicionales para el procesamiento de datos personales sensibles y criterios de responsabilidad reforzada en el tratamiento.
Protección de datos de niños: Se prevé una protección especial para los datos personales de los niños y se establecen reglas específicas para proteger su información cuando se procesa en servicios de la sociedad de la información.
Incidentes de seguridad: Se establece la obligación de notificar a la Agencia de Acceso a la Información Pública (AAIP) las violaciones de datos en un plazo de 72 horas si representan un riesgo para los derechos de los interesados. También se requiere informar a los interesados si la violación supone un alto riesgo para sus derechos.
Transferencia transfronteriza de datos: Se aclaran las disposiciones sobre la transferencia internacional de datos y se establecen condiciones y excepciones para dichas transferencias. El objetivo que persigue este cambio en materia de transferencias internacionales es que se brinde mayor claridad al sistema, y a su vez se promueva un escenario más apto para la inversión y la innovación en la Argentina, sin que por ello se deje de proteger la privacidad de las personas.
Derechos del interesado ampliados: Se añaden nuevos derechos para los titulares de datos, como el derecho a la portabilidad de datos, el derecho a no estar sujeto a decisiones automatizadas y el derecho a obtener la limitación del tratamiento de sus datos.
Evaluación de impacto de la protección de datos: Se establece la obligación de realizar una evaluación de impacto previa al procesamiento de datos que pueda representar un mayor riesgo para los derechos de los interesados.
Delegado de protección de datos: Se establece la obligación de designar un delegado de protección de datos en determinadas situaciones, con descripción de sus calificaciones y tareas.
Representante: Los responsables y encargados extranjeros que estén sujetos a la ley argentina deben designar un representante considerando las normas de ámbito territorial.
Registro nacional: Los responsables y encargados que deban designar un delegado de protección de datos o un representante deberán estar registrados en la AAIP.
Multas actualizadas: El 1 de Junio de 2024 ha entrado en vigor la Resolución 126/2024 donde la AAIP ha actualizado y sistematizado en una única norma la regulación sobre infracciones y sanciones en materia de protección de datos personales según la Ley 25.326. En el anexo aprobado, se establece una nueva clasificación de infracciones en leves, graves y muy graves, detallando las conductas que se encuadran en cada categoría.
Por ejemplo, se consideran infracciones graves el tratar datos personales sin la debida legitimación o sin proporcionar la información exigida a los titulares de los datos. En cuanto al régimen de graduación de sanciones, se fijan escalas de multas que van desde $1.000 hasta $100.000, dependiendo de la gravedad de la infracción. Además de las multas, se pueden aplicar apercibimientos, suspensiones, clausuras o cancelaciones de bases de datos.
En conclusión, la actualización de esta normativa supone un beneficio para los ciudadanos, pero también para las SMEs (Small and medium-sized enterprises) europeas, quienes tendrán más facilidades en la transferencia de datos y en instaurar sistemas de Backend Support, generándose así nuevas oportunidades de empleo en el mercado argentino y europeo.
