# Protección de datos en la nube en Argentina

> En Argentina rige la Ley 25.326 y la autoridad es la AAIP. Lo que exige a una empresa que guarda datos de clientes en la nube, dentro o fuera del país.

La **protección de datos en la nube en Argentina** se rige por la Ley 25.326 de Protección de los Datos Personales, del año 2000, y su autoridad de control es la Agencia de Acceso a la Información Pública (AAIP). Cuando una empresa guarda datos de clientes en un servicio de nube, la ley limita lo que el proveedor puede hacer con ellos, exige medidas de seguridad y prohíbe las transferencias a países sin protección adecuada, una lista oficial en la que, a octubre de 2026, no figura Estados Unidos.

**En resumen**

1. En Argentina, la Ley 25.326 sigue vigente en octubre de 2026 y la Agencia de Acceso a la Información Pública es su autoridad de control.
2. Un proveedor que trata datos por cuenta de tu empresa no puede usarlos para otro fin ni cederlos, y debe destruirlos al terminar el contrato salvo que autorices conservarlos hasta dos años.
3. Las transferencias a países sin protección adecuada están prohibidas salvo excepciones; la lista oficial incluye la Unión Europea, pero no Estados Unidos.


## Protección de datos en la nube en Argentina: una ley veterana con autoridad activa

Si diriges un estudio de arquitectura en Rosario o una academia en Córdoba y guardas en la nube datos de clientes o alumnos, la norma que te aplica es la [Ley 25.326 de Protección de los Datos Personales](https://servicios.infoleg.gob.ar/infolegInternet/anexos/60000-64999/64790/texact.htm), publicada en el Boletín Oficial el 2 de noviembre de 2000 y vigente en octubre de 2026. Esta página concreta para Argentina el panorama de [cumplir con la ley de datos cuando usas la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/).

Lo esencial cabe en tres ideas: el proveedor de nube solo puede usar tus datos para el servicio contratado, tienes que protegerlos con medidas de seguridad y, si los servidores están fuera del país, el destino importa. La ley tiene más de veinticinco años, pero sus reglas sobre servicios por cuenta de terceros y transferencias encajan bien con la nube. Esto es información general: para tu caso, valida las decisiones con un abogado que ejerza en Argentina.

### Quién controla y qué registro te toca

La autoridad de control es la Agencia de Acceso a la Información Pública (AAIP), que asumió esa función en 2017 (DNU 746/2017 y Decreto 899/2017). Además, Argentina aprobó en 2022, por la Ley 27.699, el protocolo que moderniza el Convenio 108 del Consejo de Europa.

La obligación que más sorprende a las pymes es el registro. El artículo 21 exige inscribir «todo archivo, registro, base o banco de datos público, y privado destinado a proporcionar informes». La AAIP interpreta que una base «destinada a dar informes» incluye también los usos internos de la información personal, así que conviene revisar si tus bases de clientes deben inscribirse. La inscripción en el Registro Nacional de Bases de Datos es gratuita, se hace en línea desde Trámites a Distancia con clave fiscal y no caduca, aunque hay que actualizarla si cambian los datos declarados ([AAIP, inscripción de bases privadas](https://www.argentina.gob.ar/aaip/datospersonales/registrar-bases-privadas)).

### Lo que la ley permite a tu proveedor de nube

El artículo 25 regula la prestación de servicios de tratamiento por cuenta de terceros, que es exactamente lo que hace un servicio de almacenamiento con los archivos de tu empresa. Fija tres límites:

- **Finalidad cerrada.** Los datos no pueden aplicarse «con un fin distinto al que figure en el contrato de servicios».
- **Sin cesiones.** El proveedor no puede cederlos a otras personas, «ni aun para su conservación».
- **Fin del contrato.** Los datos deben destruirse, salvo que autorices expresamente conservarlos ante posibles encargos futuros; en ese caso, el plazo máximo es de dos años, con las debidas condiciones de seguridad.

El Decreto 1558/2001, que reglamenta la ley, añade que el contrato debe indicar el nivel de seguridad, las obligaciones de confidencialidad y que el prestador actúa según tus instrucciones. A eso se suman el deber de seguridad del artículo 9 y el secreto profesional del artículo 10, que sigue vigente después de terminar la relación.

### Si los servidores están fuera de Argentina

El artículo 12 prohíbe transferir datos personales a países u organismos «que no propocionen niveles de protección adecuados» (la errata está en el texto oficial), con excepciones como la cooperación judicial o los datos médicos necesarios para un tratamiento. La AAIP mantiene la lista de destinos adecuados y explica en su [página sobre transferencias internacionales](https://www.argentina.gob.ar/transferencias-internacionales) qué hacer en cada caso:

| Dónde están los servidores | ¿Destino adecuado? | Qué necesitas |
|---|---|---|
| Unión Europea y Espacio Económico Europeo | Sí | Cumplir la ley como en Argentina |
| Reino Unido, Suiza, Uruguay, Nueva Zelanda, Andorra, Guernsey, Jersey, Isla de Man, Islas Feroe | Sí | Ídem |
| Canadá | Solo el sector privado | Ídem, si el destinatario es una empresa privada |
| Israel | Solo para tratamientos automatizados | Ídem, dentro de ese límite |
| Estados Unidos y el resto de países | No | Contrato con las cláusulas modelo de la Disposición 60-E/2016 o de la Resolución 198/2023, normas corporativas vinculantes en grupos de empresas, o consentimiento expreso de los titulares |

*Fuente: AAIP, Resolución 34/2019 y página de transferencias internacionales, consultadas el 13 de octubre de 2026.*

Si firmas un contrato que se aparta de los modelos, la AAIP pide presentarlo para su aprobación dentro de los treinta días corridos desde la firma. Antes de contratar un servicio cuyos servidores estén en Estados Unidos, comprueba si su anexo de tratamiento de datos incluye cláusulas compatibles con esos modelos.

### Seguridad e incidentes

La Resolución 47/2018 de la AAIP recoge medidas de seguridad recomendadas, de carácter referencial: control de acceso, copias de respaldo, gestión de vulnerabilidades, destrucción de soportes e incidentes. Para estos últimos recomienda documentar cada incidente y comunicarlo a la AAIP. A octubre de 2026 no hemos encontrado una norma que fije un plazo obligatorio de notificación, como sí ocurre en la Unión Europea.

### Al otro lado de la cordillera, una ley recién reformada

Chile está a punto de estrenar una agencia de protección de datos y reglas detalladas sobre el contrato con el proveedor. Si trabajas con clientes de los dos países, compara con [la transición chilena hacia su nueva ley](/guias/almacenamiento-en-la-nube/proteccion-de-datos/chile/).

### Clientes en España: el camino inverso

La Comisión Europea reconoce a Argentina un nivel de protección adecuado desde 2003. Para una empresa española que guarda datos en servidores argentinos, eso simplifica mucho [el envío de datos fuera de la Unión Europea](/guias/almacenamiento-en-la-nube/proteccion-de-datos/transferencias-internacionales/).

### Otra mirada en la región

Colombia distingue entre transmitir datos a un encargado y transferirlos a otro responsable, con un contrato específico para el primer caso. El repaso de [la normativa colombiana aplicada a la nube](/guias/almacenamiento-en-la-nube/proteccion-de-datos/colombia/) completa la comparación.