En el plano de los deberes concretos, el art\u00edculo 9 establece que quien trate datos personales debe adoptar las medidas t\u00e9cnicas y organizativas necesarias para garantizar la seguridad y confidencialidad<\/strong> de los datos, de modo de evitar su adulteraci\u00f3n, p\u00e9rdida, consulta o tratamiento no autorizado. La f\u00f3rmula importa, y desde gobierno se lee con atenci\u00f3n: la ley no se conform\u00f3 con medidas t\u00e9cnicas. Exigi\u00f3, en pie de igualdad, medidas organizativas<\/strong>. Dentro de ese segundo bloque vive todo lo que aportan una pol\u00edtica interna, un programa de awareness y una capacitaci\u00f3n efectiva. En la pr\u00e1ctica de cualquier marco de gesti\u00f3n, eso es un control, y los controles se gestionan, se miden y se evidencian.<\/p>\n El art\u00edculo 10 agrega el deber de confidencialidad<\/strong>: los responsables y quienes intervengan en cualquier fase del tratamiento est\u00e1n obligados al secreto profesional, obligaci\u00f3n que subsiste aun despu\u00e9s de finalizada la relaci\u00f3n<\/strong> con el titular del archivo. Esa frase tiene una consecuencia operativa que muchos programas pasan por alto: el deber no se apaga el d\u00eda de la baja del colaborador. Si la capacitaci\u00f3n no cubri\u00f3 ese punto y no qued\u00f3 registrada, la organizaci\u00f3n se queda sin forma de probar que lo comunic\u00f3.<\/p>\n La normativa reglamentaria de la autoridad de aplicaci\u00f3n viene precisando qu\u00e9 se entiende por \u201cmedidas t\u00e9cnicas y organizativas\u201d del art\u00edculo 9: la designaci\u00f3n de un responsable interno, la documentaci\u00f3n de pol\u00edticas, los controles de acceso y la formaci\u00f3n peri\u00f3dica del personal. La AAIP no inventa esos requisitos. Los deriva del propio art\u00edculo 9 y los vuelve exigibles en sede administrativa. Para quien gestiona el cumplimiento, son los mismos controles que cualquier marco de seguridad de la informaci\u00f3n reconoce como b\u00e1sicos.<\/p>\n Conviene explicitar un punto antes de avanzar, porque es donde muchos programas se desarman: una cosa es cumplir<\/strong> la Ley 25.326 y otra distinta es poder demostrarlo<\/strong>. La diferencia parece sutil. En una auditor\u00eda o una inspecci\u00f3n es la que decide si todo termina con un acta favorable o con un expediente abierto.<\/p>\n La ley no detalla c\u00f3mo se prueba el cumplimiento, porque eso corresponde a la actividad probatoria general de la organizaci\u00f3n. Pero el r\u00e9gimen sancionatorio del art\u00edculo 31 (apercibimientos, multas, suspensiones, clausuras) opera, por definici\u00f3n, sobre hechos que hay que demostrar. Sin evidencia, el cumplimiento es una afirmaci\u00f3n. Con evidencia, es un hecho que se puede sostener frente al \u00f3rgano de control. Quien viene del mundo de la gesti\u00f3n de riesgo conoce bien esa distancia: un control que existe pero no deja rastro es, a efectos pr\u00e1cticos, un control que no se puede auditar.<\/p>\n Para un programa de awareness esto significa que cada acci\u00f3n formativa, cada pol\u00edtica aceptada y cada recordatorio enviado deben dejar una huella verificable. No alcanza con que el colaborador haya recibido el curso. Hace falta saber qui\u00e9n, cu\u00e1ndo, qu\u00e9 versi\u00f3n del contenido y con qu\u00e9 credenciales<\/strong> lo recibi\u00f3. La pregunta operativa, entonces, deja de ser \u201c\u00bfcapacitamos al personal?\u201d y pasa a ser \u201c\u00bfqu\u00e9 podemos exportar el d\u00eda que la autoridad nos lo pida?\u201d.<\/p>\n Las inspecciones y las auditor\u00edas que terminan bien son las que se apoyan en un conjunto acotado pero firme de registros. Estos son los seis que, en mi experiencia gestionando cumplimiento, todo programa de concienciaci\u00f3n deber\u00eda tener disponibles para una autoridad de control:<\/p>\n Aceptaci\u00f3n verificable de la pol\u00edtica de tratamiento de datos personales.<\/strong> No la firma gen\u00e9rica del ingreso a la empresa, sino la aceptaci\u00f3n expresa, fechada y atada al usuario, de la pol\u00edtica espec\u00edfica vigente al momento de la lectura. Si la pol\u00edtica se actualiz\u00f3, el registro debe poder identificar contra qu\u00e9 versi\u00f3n se prest\u00f3 la conformidad.<\/p>\n<\/li>\n Constancia de capacitaci\u00f3n con fecha, contenido y autenticaci\u00f3n.<\/strong> Una constancia gen\u00e9rica (\u201crealiz\u00f3 el curso de protecci\u00f3n de datos\u201d) es d\u00e9bil. La constancia s\u00f3lida indica versi\u00f3n del m\u00f3dulo, fecha de inicio y de finalizaci\u00f3n, duraci\u00f3n efectiva e identificaci\u00f3n del colaborador mediante credencial corporativa, no por declaraci\u00f3n propia.<\/p>\n<\/li>\n Registro de aprobaci\u00f3n, no solo de asistencia.<\/strong> Para los efectos del art\u00edculo 9 importa que el contenido se haya comprendido, no que el colaborador haya abierto el curso. La evidencia pertinente incluye el resultado de una evaluaci\u00f3n (cuestionario, simulaci\u00f3n o equivalente) con un umbral de aprobaci\u00f3n documentado.<\/p>\n<\/li>\n Trazabilidad de las actualizaciones de la pol\u00edtica y del programa.<\/strong> La AAIP puede preguntar cu\u00e1ndo se incorpor\u00f3 al programa un determinado deber (por ejemplo, el cifrado de bases o el reporte interno de incidentes) y desde qu\u00e9 fecha cada colaborador estuvo obligado a conocerlo. Sin un historial versionado, esa pregunta queda sin respuesta.<\/p>\n<\/li>\n Evidencia de la comunicaci\u00f3n de obligaciones posteriores al cese de la relaci\u00f3n.<\/strong> El art\u00edculo 10 establece que el deber de confidencialidad subsiste tras la finalizaci\u00f3n de la relaci\u00f3n. La buena pr\u00e1ctica es comunicar ese deber expresamente, registrarlo y conservar la constancia durante el plazo de prescripci\u00f3n aplicable.<\/p>\n<\/li>\n Documentaci\u00f3n del responsable interno que coordina el programa.<\/strong> Acta de designaci\u00f3n, alcance de su funci\u00f3n, criterios bajo los cuales aprueba la pol\u00edtica y firma de los entregables. La AAIP suele dirigirse a una persona concreta, y la pregunta de qui\u00e9n responde por el programa no puede resolverse sobre la marcha.<\/p>\n<\/li>\n<\/ol>\n La lista no es taxativa, y el peso relativo de cada \u00edtem var\u00eda seg\u00fan el sector de la organizaci\u00f3n (financiero, salud, retail, sector p\u00fablico), su tama\u00f1o y la sensibilidad de los datos que trata. Pero ning\u00fan programa serio puede prescindir de los seis a la vez.<\/p>\n Imaginemos un escenario frecuente. Una organizaci\u00f3n sufre un incidente: se filtra una base con datos personales de clientes. La denuncia llega a la AAIP. La autoridad pide, entre otras cosas, evidencia de la formaci\u00f3n recibida por el personal con acceso a esa base. La organizaci\u00f3n aporta un listado: \u201ctodos los colaboradores realizaron el curso de protecci\u00f3n de datos\u201d. La AAIP pide el detalle. El sistema solo registra clics de apertura.<\/p>\n Ese escenario ilustra un d\u00e9ficit recurrente. Lo que prueba un clic de apertura es que el colaborador, en alg\u00fan momento, accedi\u00f3 al recurso. No prueba que lo haya le\u00eddo, ni que lo haya comprendido, ni que la versi\u00f3n a la que accedi\u00f3 contuviera el punto en discusi\u00f3n. Frente a una autoridad de control, una evidencia tan magra rara vez alcanza, y deja a la organizaci\u00f3n en la posici\u00f3n m\u00e1s inc\u00f3moda de cualquier proceso de cumplimiento: la de tener el control pero no poder mostrarlo.<\/p>\n A esto se suma un elemento que conviene gestionar desde el dise\u00f1o: la integridad de la evidencia<\/strong> del registro de capacitaci\u00f3n. Lo que est\u00e1 en juego es poder demostrar que el registro no se modific\u00f3 despu\u00e9s de generado, que su fecha es aut\u00e9ntica y que la atribuci\u00f3n al colaborador es \u00edntegra. Una planilla editable a mano no satisface ese est\u00e1ndar. Un registro generado por un sistema con sello de tiempo, identificaci\u00f3n de usuario y log de acceso, s\u00ed. Esa diferencia, que parece t\u00e9cnica, es en realidad de gobierno: define cu\u00e1nto vale tu evidencia el d\u00eda que alguien la cuestiona.<\/p>\n En el r\u00e9gimen del art\u00edculo 31, el apercibimiento es el pelda\u00f1o m\u00e1s leve y las multas y clausuras los m\u00e1s severos. La intensidad de la sanci\u00f3n responde a la gravedad de la conducta, pero tambi\u00e9n al grado de diligencia que la organizaci\u00f3n pueda probar. Tener evidencia s\u00f3lida es, en t\u00e9rminos de gesti\u00f3n de riesgo, el principal factor de mitigaci\u00f3n frente al \u00f3rgano de control.<\/p>\n La Ley 25.326 se sancion\u00f3 en el a\u00f1o 2000 y, desde entonces, atraves\u00f3 reformas reglamentarias sucesivas. En los \u00faltimos a\u00f1os, los proyectos de reforma que ingresaron al Congreso buscan acercar el r\u00e9gimen argentino a los est\u00e1ndares contempor\u00e1neos, en particular al Reglamento General de Protecci\u00f3n de Datos europeo (GDPR). Mientras la sanci\u00f3n definitiva no se concrete, lo prudente es leer el debate como una hoja de ruta de lo que la AAIP empezar\u00e1 a exigir cuando el texto entre en vigor.<\/p>\n Entre los ejes que ese debate insin\u00faa, cuatro tocan directamente a un programa de awareness:<\/p>\n Mi recomendaci\u00f3n operativa es simple: empezar a registrar hoy como si la reforma ya estuviera vigente. Las medidas que la 25.326 exige bajo la f\u00f3rmula amplia del art\u00edculo 9 son, en gran parte, las que la reforma exigir\u00e1 de manera expl\u00edcita. Adelantarse no es esfuerzo perdido: es el plazo que la organizaci\u00f3n se gana cuando el texto se publique.<\/p>\n Llegado este punto, la pregunta se vuelve operativa: \u00bfc\u00f3mo organizar el programa para que la evidencia exista, sea \u00edntegra y est\u00e9 disponible en un tiempo razonable? El criterio que aplico se resume en una idea: la evidencia no se construye al final, se construye desde el dise\u00f1o.<\/p>\n Eso se traduce en tres movimientos. Primero, integrar el registro al flujo normal del programa: cada lectura de pol\u00edtica, cada finalizaci\u00f3n de m\u00f3dulo, cada aprobaci\u00f3n de evaluaci\u00f3n tiene que generar su constancia autom\u00e1ticamente, sin acci\u00f3n adicional del colaborador ni del responsable. Segundo, garantizar la integridad de esas constancias: identificaci\u00f3n robusta del colaborador, fecha verificable y v\u00ednculo con la versi\u00f3n del contenido vigente al momento de la acci\u00f3n. Tercero, conservar las constancias por el plazo que requiera la prescripci\u00f3n aplicable y poder exportarlas en formato auditable.<\/p>\n Plataformas como SMARTFENSE<\/a> est\u00e1n dise\u00f1adas, por defecto, con esa l\u00f3gica: cada acci\u00f3n del colaborador sobre el contenido (lectura, aceptaci\u00f3n, finalizaci\u00f3n, aprobaci\u00f3n) queda registrada con fecha, autenticaci\u00f3n de usuario, versi\u00f3n del recurso y trazabilidad de cambios. Para un responsable de cumplimiento en Argentina, eso deja de ser una caracter\u00edstica de producto y pasa a ser la respuesta operativa al art\u00edculo 9 de la Ley 25.326.<\/p>\n Vale mencionar que el primer abordaje de este blog sobre la Ley 25.326<\/a> recorri\u00f3 el \u00e1ngulo de la capacitaci\u00f3n como requisito normativo, complementario al que desarrollo aqu\u00ed. Quien busque una mirada m\u00e1s general sobre la articulaci\u00f3n entre marco legal y programa de concienciaci\u00f3n puede consultar tambi\u00e9n la reflexi\u00f3n sobre el cumplimiento normativo como compromiso sostenido<\/a> y el an\u00e1lisis sobre perfiles psicol\u00f3gicos y su admisibilidad legal<\/a>. La secci\u00f3n de recursos de cumplimiento<\/a> re\u00fane materiales adicionales para responsables de seguridad y compliance officers.<\/p>\n La Ley 25.326 lleva un cuarto de siglo entre nosotros. En todo ese tiempo, su exigencia central, las medidas t\u00e9cnicas y organizativas del art\u00edculo 9, se mantuvo casi inalterada. Lo que s\u00ed cambi\u00f3, y mucho, es el nivel de evidencia que la autoridad espera ver para tener por cumplido ese deber. Un programa de awareness que en 2005 sobreviv\u00eda con una planilla de asistencia, hoy queda corto.<\/p>\n La pregunta que vale la pena llevarse no es si la organizaci\u00f3n cumple la 25.326. Es si podr\u00eda demostrarlo ma\u00f1ana frente a una inspecci\u00f3n de la AAIP. Si la respuesta exige un esfuerzo de reconstrucci\u00f3n, conviene anticiparse: la reforma en debate no va a flexibilizar el est\u00e1ndar de evidencia, va a endurecerlo. Y para quien gestiona riesgo, esto no termina en la sanci\u00f3n evitada. Un programa que prueba lo que hace sostiene la confianza de clientes, reguladores y direcci\u00f3n, y esa confianza es, en el fondo, una condici\u00f3n de la continuidad del negocio.<\/p>\n","protected":false},"excerpt":{"rendered":" La Ley 25.326 exige medidas t\u00e9cnicas y organizativas. Qu\u00e9 tiene que registrar tu programa de awareness para resistir una inspecci\u00f3n de la AAIP.<\/p>\n","protected":false},"author":34,"featured_media":41427,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,198],"tags":[304,253,2217,2212,1483],"class_list":["post-41430","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-compliance-es-ar","tag-datos-personales-es-ar","tag-habeas-data","tag-ley-25-326","tag-proteccion-de-datos-es-ar"],"acf":[],"yoast_head":" \nLa distancia entre cumplir la ley y poder probarlo<\/h2>\n
![\"Detalle](\"https:\/\/smartfense.com\/file\/2026\/05\/apoyo-01-1779302214.jpg\")
<\/p>\n\u00bfQu\u00e9 tiene que registrar tu programa para resistir una inspecci\u00f3n de la AAIP?<\/h2>\n
\n
\u00bfY si tu programa solo prueba que el colaborador abri\u00f3 el curso?<\/h2>\n
\u00bfQu\u00e9 cambia con la reforma pendiente de la 25.326?<\/h2>\n
\n
C\u00f3mo estructurar la evidencia que la ley te va a pedir<\/h2>\n
A modo de conclusi\u00f3n<\/h2>\n