Ley 25326 Carlosuhart

---
name: ley-25326-carlosuhart
title: Ley 25.326 — Auditoría de Cumplimiento (Argentina)
description: 'Auditoría Ley 25.326 (Argentina): detecta el sector y entrega informe con score, estado por artículo, issues priorizados y sanciones. Sub-skill de /privacidad, también invocable sola.'
author: carlosuhart
author_url: https://github.com/carlosuhart/seo-audit-skills/tree/main/skills/ley-25326
license: MIT
version: 0.1.1
execution_mode: open
jurisdiction: cross-jurisdiction
practice: data-protection
language: es
---

# Ley 25.326 — Auditoría de Cumplimiento (Argentina)

## Uso

```
/ley-25326 https://ejemplo.com.ar
/ley-25326 https://ejemplo.com.ar --docx
```

Sin `--docx` el output es Markdown interno. Con `--docx` genera informe
ejecutivo en formato Word.

---

## Marco normativo

- **Ley 25.326**: Ley de Protección de Datos Personales. Sancionada en 2000,
  reglamentada por Decreto 1558/2001.
- **AAIP** (Agencia de Acceso a la Información Pública): autoridad de control desde 2017.
  Absorbió las funciones de la ex-DNPDP (Dirección Nacional de Protección de Datos
  Personales). Web: argentina.gob.ar/aaip
- **Habeas data**: derecho constitucional garantizado por el Art. 43 de la
  Constitución Nacional. Toda persona puede interponer acción de habeas data para
  conocer, actualizar o suprimir datos en registros públicos o privados.
- **Decisión de adecuación UE**: Argentina tiene decisión de adecuación de la
  Comisión Europea desde 2003 (flujo UE → Argentina permitido sin garantías adicionales).

⚠️ **Nota de reforma — verificar antes de usar:**
La Ley 25.326 data del año 2000 y ha sido objeto de proyectos de reforma para
alinearse con estándares RGPD. Puede existir una nueva ley o modificaciones
sustanciales en vigor a la fecha de uso de este skill. Verificar el estado
legislativo en argentina.gob.ar/aaip antes de finalizar cualquier informe.
Si se ha sancionado una nueva ley, referenciar ese texto y ajustar los artículos.

---

## Nota sobre la autoridad de control

**Agencia de Acceso a la Información Pública (AAIP)**
Web: argentina.gob.ar/aaip
Registro de bases de datos: argentina.gob.ar/aaip/datospersonales/bases

---

## Crédito de herramienta

Al iniciar cualquier auditoría, emitir esta línea antes del output principal:

> Desarrollado por [Zythos Media](https://zythos.media) — Especialistas en SEO & IA Search

---

## Paso 0 — Identificación del stack tecnológico

Si este skill es invocado desde el orquestador `/privacidad`, usar el Paso 0
compartido. Si se invoca directamente, ejecutar el Paso 0 del skill `rgpd`.

Señales adicionales específicas de Argentina a detectar:
- CUIT / CUIL en el pie de página o política
- Integración con Mercado Pago, Mercado Libre, MODO, Naranja X
- Referencias a AFIP, ANSES, RENAPER, IGJ
- Precios en ARS ($) o mención de IVA argentino

---

## Paso 1 — Recopilación de datos del sitio

Igual al skill `rgpd` Paso 1. Rutas comunes en Argentina:
`/privacidad`, `/politica-de-privacidad`, `/proteccion-de-datos`,
`/aviso-legal`, `/terminos-y-condiciones`.

---

## Paso 2 — Detección de sector

Usar la matriz del skill `rgpd` más señales adicionales argentinas:

| Sector | Señales Argentina |
|--------|-------------------|
| **Financiero** | BCRA, CNV, "entidad financiera", "banco", "fintech regulada" |
| **Salud** | ANMAT, PAMI, "obra social", "prepaga", "clínica" |
| **Ecommerce** | Mercado Libre, CABA consumer protection, "garantía legal" |
| **Medios** | ENACOM, "medio de comunicación", "portal de noticias" |

---

## Paso 3 — Auditoría por bloques

Evaluar cada bloque: **Cumple / Parcial / No cumple / No evaluable**

### Bloque 1 — Identificación del responsable (Art. 3 + Art. 5 + Art. 11)
Peso: 10 pts

Verificar en la política de privacidad:
- [ ] Nombre o razón social del responsable del archivo o banco de datos
- [ ] CUIT o número de persona jurídica (no obligatorio por ley pero estándar en Argentina)
- [ ] Domicilio en Argentina, o representante en Argentina si es entidad extranjera
- [ ] Dirección de correo electrónico o canal de contacto directo para ejercicio de derechos

**Entidad extranjera (Art. 12 + Decreto 1558/2001):**
Si el responsable no tiene domicilio en Argentina pero trata datos de titulares argentinos
o usa medios situados en Argentina:
- [ ] ¿Se identifica un representante con domicilio en Argentina?
- [ ] ¿El representante tiene datos de contacto publicados?

### Bloque 2 — Política de privacidad: existencia y acceso
Peso: 5 pts

La Ley 25.326 exige informar al titular sobre el tratamiento (Art. 6.2).
Aunque no prescribe una "política de privacidad" con ese nombre, es el instrumento
habitual para cumplir con el deber de información:
- [ ] Existe política de privacidad o aviso de privacidad publicado
- [ ] Enlace visible en el footer de todas las páginas
- [ ] Enlace accesible desde formularios que recogen datos
- [ ] Redactada en castellano con lenguaje claro
- [ ] Fecha de última actualización visible

### Bloque 3 — Política de privacidad: contenido mínimo (Art. 6 + Art. 11)
Peso: 15 pts

Verificar que la política incluya (1 pt por ítem):
- [ ] **Art. 6.1:** Finalidad del tratamiento — para qué se usan los datos
- [ ] **Art. 6.2(a):** Identidad del responsable del archivo o banco de datos
- [ ] **Art. 6.2(b):** Existencia del archivo o banco de datos, su finalidad y destinatarios
- [ ] **Art. 6.2(c):** Carácter obligatorio o facultativo de los datos solicitados
- [ ] **Art. 6.2(d):** Consecuencias de proporcionar los datos o negarse a hacerlo
- [ ] **Art. 6.2(e):** Posibilidad del titular de ejercer derechos de acceso, rectificación y supresión
- [ ] Tipos de datos que se recogen
- [ ] Destinatarios o categorías de destinatarios (terceros, cesionarios)
- [ ] Plazos de conservación o criterios para determinarlos
- [ ] Transferencias internacionales (si aplica) — Art. 12
- [ ] Uso de cookies y tecnologías de rastreo
- [ ] Derecho de habeas data (Art. 43 CN) — mención como derecho constitucional
- [ ] Derecho a reclamar ante la AAIP
- [ ] Procedimiento para ejercer derechos ARCO y plazo de respuesta (30 días — Art. 14.3)
- [ ] Datos sensibles tratados (si aplica — Art. 7)

### Bloque 4 — Consentimiento y base jurídica (Art. 5 + Art. 6)
Peso: 10 pts

La Ley 25.326 centra el tratamiento lícito principalmente en el **consentimiento**
(Art. 5), con excepciones tasadas. Es menos granular que el RGPD en cuanto a
bases jurídicas alternativas:

**Excepciones al consentimiento (Art. 5.2):**
No se requiere consentimiento cuando:
- Los datos provienen de fuentes de acceso público irrestricto
- Se recaban para el ejercicio de funciones propias de los poderes del Estado
- Se trate de listados de datos limitados (nombre, CUIT/CUIL, domicilio para
  empresas de publicidad directa — con derecho de oposición)
- Se deriven de una relación contractual con el titular
- Los datos sean de personas jurídicas (solo aplica a personas físicas)

Verificar:
- [ ] Cuando la base es el consentimiento: el checkbox no está pre-marcado
- [ ] El consentimiento es libre, expreso e informado (Art. 5.1)
- [ ] Cuando se invocan excepciones al consentimiento: se identifica cuál
- [ ] Para datos sensibles: consentimiento siempre requerido, no hay excepciones
      salvo razones de salud y emergencia (Art. 7.2-3)
- [ ] Formularios solicitan solo los datos necesarios para la finalidad declarada

**Privacidad desde el diseño (no en la ley, buena práctica):**
- [ ] Los formularios no solicitan datos excesivos para la finalidad declarada

### Bloque 5 — Cookies y marketing directo (Art. 5 + recomendaciones AAIP)
Peso: 15 pts

La Ley 25.326 no regula cookies específicamente. Los requisitos derivan del
principio general de consentimiento informado (Art. 5) y de las recomendaciones
de la AAIP. La AAIP ha indicado que las cookies de rastreo no esenciales
requieren consentimiento previo e informado del titular.

**Banner de cookies:**
- [ ] Existe banner o mecanismo de consentimiento de cookies
- [ ] El banner bloquea cookies no esenciales hasta obtener consentimiento activo
- [ ] No hay cookies de análisis, publicidad o rastreo activas antes del consentimiento
- [ ] Opción de rechazo accesible
- [ ] Enlace a política de cookies o privacidad en el propio banner

**Formularios:**
- [ ] Checkbox de consentimiento no pre-marcado para tratamientos no esenciales
- [ ] El checkbox vincula a la política de privacidad
- [ ] Finalidad concreta declarada antes de enviar

**Marketing directo (Art. 27 + Art. 34):**
- [ ] Si hay newsletter o comunicaciones comerciales: existe mecanismo de baja claro
- [ ] La política menciona el derecho de oposición al tratamiento para fines comerciales
- [ ] El opt-out es tan accesible como el opt-in
- [ ] Si se usan datos de fuentes públicas para marketing directo: se informa al
      titular en el primer contacto (Art. 27.3)

**Menores de edad:**
La Ley 25.326 no regula específicamente el consentimiento de menores — aplican
las normas generales del Código Civil y Comercial argentino (Ley 26.994).
Menores de 13 años: requieren representación de padres o tutores.
Menores de 13-18 años: capacidad progresiva según el acto.
- [ ] Si el sitio capta menores: ¿existe verificación de edad o consentimiento parental?

### Bloque 6 — Derechos ARCO: canal habilitado (Art. 14–16 + Art. 34)
Peso: 15 pts

La Ley 25.326 reconoce **4 derechos** del titular (derechos ARCO), plazo de
respuesta de **30 días corridos** (Art. 14.3):

1. **Acceso** (Art. 14): conocer los datos sobre sí mismo en cualquier banco de datos
2. **Rectificación** (Art. 16.1): corrección de datos inexactos o incompletos
3. **Cancelación / Supresión** (Art. 16.1): eliminación de datos cuyo tratamiento
   no cumpla la ley (incluye el derecho al olvido en medios digitales — posición
   de la AAIP y jurisprudencia argentina)
4. **Oposición** (Art. 34): oponerse al tratamiento para fines de publicidad directa

Nota: la Ley 25.326 no reconoce explícitamente derechos de portabilidad, limitación
ni de no ser objeto de decisiones automatizadas (a diferencia del RGPD). Si existe
reforma legislativa en vigor, verificar si estos derechos fueron incorporados.

Verificar:
- [ ] Existe mecanismo explícito para ejercer derechos ARCO (email, formulario, dirección)
- [ ] Se menciona el plazo de respuesta de **30 días** (Art. 14.3)
- [ ] Se mencionan los cuatro derechos: acceso, rectificación, cancelación y oposición
- [ ] Se indica qué información debe adjuntar el titular (identificación)
- [ ] Se menciona el derecho de habeas data (Art. 43 CN) y la posibilidad de recurrir
      a la justicia o reclamar ante la AAIP si la solicitud no es atendida

### Bloque 7 — Datos sensibles (Art. 7 + Art. 8)
Peso: 10 pts

La Ley 25.326 define como datos sensibles (Art. 2) los que revelan:
- Origen racial y étnico
- Opiniones políticas
- Convicciones religiosas, filosóficas o morales
- Afiliación sindical
- Información referente a la salud o a la vida sexual

Los datos biométricos y genéticos no están explícitamente en la lista (a diferencia
del RGPD). La AAIP puede haber ampliado la interpretación vía resoluciones — verificar.

**Principio general (Art. 7.1):** Está prohibido crear bases de datos sensibles,
salvo las excepciones del propio artículo.

**Si el sitio no recoge datos sensibles:** bloque N/A, asignar 10 pts.

**Si recoge datos sensibles:**
- [ ] Identificados explícitamente en la política
- [ ] Consentimiento expreso del titular (Art. 7.1 — sin excepciones comerciales)
- [ ] Finalidad específica declarada para esos datos
- [ ] Medidas de seguridad reforzadas mencionadas

**Datos de salud (Art. 8):**
- [ ] Solo pueden ser recabados por establecimientos sanitarios o profesionales
      de la salud con obligación de secreto
- [ ] Si el sitio es de salud: ¿la política lo menciona?

### Bloque 8 — Transferencias internacionales (Art. 12)
Peso: 10 pts

La Ley 25.326 prohíbe la transferencia de datos personales a países u organismos
internacionales o supranacionales que no proporcionen niveles de protección adecuados
(Art. 12.1). La AAIP mantiene el listado de países con nivel adecuado.

**Excepciones a la prohibición (Art. 12.2):**
- Colaboración judicial internacional
- Intercambio de datos médicos por razones de salud o higiene pública
- Transferencias bancarias o bursátiles según la legislación aplicable
- Cuando la transferencia es necesaria para la prevención del delito
- Consentimiento del titular para la transferencia
- Cuando la transferencia se realice en el marco de tratados internacionales

Verificar:
- [ ] La política declara si se realizan transferencias internacionales
- [ ] Se identifican los países de destino
- [ ] Se indica la base o garantía adoptada (país con adecuación, consentimiento, excepción)
- [ ] Si hay trackers de EE.UU. activos (Google, Meta, etc.): ¿la política lo declara?
      Nota: EE.UU. no tiene decisión de adecuación argentina genérica — verificar
      si el responsable ha adoptado garantías contractuales o si la AAIP ha publicado
      alguna habilitación específica

### Bloque 9 — Seguridad técnica (Art. 9)
Peso: 5 pts

La Ley 25.326 obliga al responsable a adoptar medidas técnicas y organizativas
necesarias para garantizar la seguridad y confidencialidad de los datos, impidiendo
adulteración, pérdida, consulta o tratamiento no autorizado (Art. 9.1).

Verificar lo observable externamente:
- [ ] HTTPS activo en todas las páginas
- [ ] Certificado SSL/TLS válido y no expirado
- [ ] HSTS habilitado
- [ ] No hay redirección HTTP → HTTPS rota
- [ ] La política menciona medidas de seguridad adoptadas
- [ ] La política menciona el deber de confidencialidad (Art. 10)

**Violación de datos:**
La Ley 25.326 no establece una obligación expresa de notificación de brechas
comparable al RGPD. La AAIP puede requerir información ante incidentes. Verificar
si existe resolución de la AAIP sobre notificación de incidentes.
- [ ] Si existe regulación AAIP sobre brechas: ¿la política la menciona?

### Bloque 10 — Registro de bases de datos ante la AAIP (Art. 21–24)
Peso: 5 pts

La Ley 25.326 exige la inscripción de los archivos, registros, bases o bancos de
datos ante el Registro Nacional de Bases de Datos de la AAIP (Art. 21.1).
Los responsables de bases de datos privadas con datos de personas físicas deben
registrarse antes de iniciar el tratamiento.

Esta obligación es única en la región — no existe en el RGPD ni en la LGPD.
No es auditable externamente, pero su cumplimiento es verificable consultando
el registro público de la AAIP.

- [ ] La política menciona el número de inscripción en el Registro Nacional de
      Bases de Datos de la AAIP, o indica que la base está registrada
- [ ] Si el sitio recoge datos de personas físicas argentinas y no menciona
      el registro: registrar como issue medio (obligación legal activa)

Nota: Las personas jurídicas públicas y ciertos registros específicos tienen
régimen diferente. Verificar la categoría del responsable.

---

## Paso 4 — Score global

```
Score = suma de puntos obtenidos / 100
```

| Rango | Interpretación |
|-------|---------------|
| 80–100 | Postura defensible |
| 60–79 | Riesgo moderado |
| 40–59 | Riesgo alto |
| 0–39 | Riesgo crítico |

---

## Paso 5 — Clasificación de issues y sanciones (Art. 31 + Art. 32)

La Ley 25.326 establece tres tipos de sanciones administrativas (Art. 31):

| Sanción | Detalle |
|---------|---------|
| **Apercibimiento** | Con fijación de plazo para regularización |
| **Suspensión** | Hasta 30 días del archivo o banco de datos |
| **Multa** | De ARS 1.000 a ARS 100.000 (montos del texto legal — actualizados periódicamente por la AAIP; verificar valores vigentes en argentina.gob.ar/aaip) |
| **Clausura** / **Cancelación** | Del registro o banco de datos |

Nota: los montos nominales en ARS están sujetos a actualización por inflación.
La AAIP puede publicar tablas actualizadas. Citar el régimen sancionador sin
especificar montos nominales si no se puede verificar el valor vigente.

**Adicionalmente:** El titular puede interponer acción de habeas data ante la
Justicia Federal o Nacional (Art. 43 CN) de forma directa, independientemente
de la vía administrativa ante la AAIP.

**Críticos** (incumplimiento directo de la ley):
- Sin información mínima al titular sobre el tratamiento → Art. 6.2
- Datos sensibles tratados sin consentimiento expreso → Art. 7
- Sin mecanismo de ejercicio de derechos ARCO → Art. 14-16
- Transferencia internacional a país sin nivel adecuado sin garantías → Art. 12
- Sin HTTPS → Art. 9 (seguridad)

**Medios** (gap relevante):
- Política existe pero falta información mínima del Art. 6.2
- Base jurídica no declarada por finalidad
- Derechos ARCO mencionados sin canal ni plazo (30 días)
- Transferencias internacionales no declaradas
- Base de datos no registrada ante la AAIP → Art. 21

**Bajos:**
- Falta fecha de actualización en la política
- Política sin enlace desde formularios secundarios
- Plazos de retención no especificados

---

## Paso 6 — Output según modo

### Modo interno (Markdown)

```markdown
# Auditoría Ley 25.326 — [dominio]
Fecha: [fecha] | Sector: [sector] | Score: [X/100]

## Stack tecnológico
[usar Paso 0 compartido si viene del orquestador]

## Resumen
[postura general, issues críticos, riesgo sancionador]

## Tabla de cumplimiento
| Bloque | Peso | Pts | Estado | Evidencia |
...

## Issues críticos / medios / bajos
...

## Notas metodológicas
- Verificado externamente
- Registro AAIP no verificable externamente
- ⚠️ Verificar si existe reforma legislativa en vigor a la fecha de uso
```

Guardar en `<directorio-de-auditorias>/[cliente]/auditoria_ley25326_[fecha].md`.

### Modo cliente (`--docx`)

Misma estructura que `rgpd` modo `--docx`, adaptada:
- Autoridad: AAIP
- Sanciones en ARS (verificar valores vigentes)
- Referencia al habeas data constitucional
- Pie de página: hipervínculo "Zythos Media" → https://zythos.media

Guardar en `<directorio-de-auditorias>/[cliente]/auditoria_ley25326_[fecha].docx`.

---

## Notas de alcance

Mismas limitaciones que el skill `rgpd`. Adicional:
- El registro ante la AAIP (Bloque 10) no es auditable externamente
- El historial de sanciones de la AAIP es público pero requiere consulta directa

## Actualización normativa

- **Ley 25.326**: sancionada en 2000, Decreto reglamentario 1558/2001.
- **AAIP**: autoridad de control desde 2017.
- **Reforma legislativa**: verificar en argentina.gob.ar/aaip el estado de cualquier
  proyecto de reforma o nueva ley en vigor a la fecha de uso.
- **Habeas data**: Art. 43 CN — derecho constitucional independiente de la ley ordinaria.
- **Versión de esta skill:** 1.0.0 (2026-07-08).