Consentimiento y consulta por DNI

Agregar un campo documento al pedido cuesta una línea en el cliente HTTP. Lo que cambia detrás no es el endpoint: es quién es el titular de los datos, qué justifica la consulta y quién responde si esa justificación nunca existió. La diferencia de cobertura entre patente y documento ya la tratamos aparte; acá interesa la de habilitación.

La base legal no viaja en el payload. Una API puede exigir una referencia, verificar su vigencia y registrar el rechazo, pero no puede saber si alguien habló con la persona consultada. Esta nota trata esa parte: captura, referencia y revocación. Es orientación general, no asesoramiento jurídico.

Qué cambia cuando el identificador es una persona

La Ley 25.326 alcanza información referida a personas determinadas o determinables. Una patente llega al titular por una vía indirecta; un documento identifica de forma directa. Lo que separa a las dos consultas no es sólo la cobertura: es cuánta justificación hace falta antes de emitirlas.

La ley pide además datos ciertos, adecuados, pertinentes y no excesivos respecto de la finalidad para la que se obtuvieron, y prohíbe usarlos para finalidades distintas o incompatibles. Consultar el documento de un chofer para conciliar infracciones de la flota y reutilizar ese resultado para otra decisión son dos tratamientos, no uno.

Qué tiene que tener un consentimiento que sirva

El texto legal describe un consentimiento libre, expreso e informado, que debe constar por escrito o por otro medio que permita equipararlo. La reglamentación agrega una condición de diseño: si se presta por un medio distinto del escrito, ese medio debe asegurar la autoría y la integridad de la declaración. Un tilde que no registra quién lo puso ni sobre qué texto cumple mal ese requisito.

Informado tiene contenido propio. Entre las obligaciones que publica la Agencia de Acceso a la Información Pública figura informar previamente la finalidad del tratamiento y sus destinatarios, la existencia de la base, la identidad del responsable y los derechos de acceso, rectificación y supresión.

La propia ley enumera supuestos en los que el consentimiento no resulta necesario, entre ellos datos que derivan de una relación contractual, científica o profesional del titular y resultan necesarios para su desarrollo o cumplimiento. Que una consulta encaje ahí es una evaluación jurídica documentable, no un flag del cliente de API.

Cómo se ata el consentimiento al pedido

Un consentimiento guardado como PDF en una carpeta compartida no sostiene nada en una revisión. Conviene tratarlo como un objeto con estado propio, al que cada consulta apunta mediante una referencia de consentimiento que incluya:

• un identificador opaco, sin documento ni nombre legibles;
• la finalidad declarada y el alcance habilitado;
• la fecha en que se otorgó y aquella en que deja de valer;
• el medio por el que se obtuvo y el rol que lo registró.

El pedido lleva la referencia, nunca el documento firmado. Si la referencia falta, venció o no cubre el alcance solicitado, la respuesta correcta es un error explícito. “Sin consentimiento válido” y “sin infracciones” no son lo mismo, y confundirlos deja asentada una consulta que no debería haber salido.

La bitácora registra que hubo un pedido, con qué referencia y quién lo emitió, sin copiar el documento a trazas ni etiquetas; quién puede emitirlo es una cuestión de roles y atributos de acceso.

Revocar no borra el pasado, pero corta el futuro

La reglamentación cubre las dos mitades: el consentimiento dado para el tratamiento puede revocarse en cualquier momento, y esa revocación no tiene efectos retroactivos. En una integración eso debería ser un evento observable, no un correo suelto:

• la referencia pasa a estado revocado y toda consulta posterior falla cerrada;
• los trabajos programados que la usaban se detienen, incluido el monitoreo recurrente;
• lo ya obtenido queda con finalidad declarada y fecha de eliminación;
• las copias derivadas se revisan una por una.

Ese último punto es el que suele quedar afuera: un enlace de reporte emitido con el consentimiento vigente sigue abriendo después de la revocación si nadie lo caduca.

La revocación tampoco es el único pedido con reloj: la guía de derechos de la Agencia indica diez días corridos para contestar un pedido de acceso y cinco días hábiles para rectificar, actualizar o suprimir. Si reunir lo asociado a un documento exige rastrear exportaciones a mano, el plazo se consume antes de empezar.

Qué probar antes de habilitarlo en producción

Las pruebas útiles acá son negativas. Conviene cubrir cinco escenarios: pedido sin referencia; referencia vencida; referencia de otra empresa; alcance menor al solicitado; revocación ocurrida durante un lote en curso. Cada uno debe fallar de forma explícita y quedar asentado con el mismo detalle que un pedido exitoso.

Sumá una revisión de logs, exportaciones y detalle de facturación buscando el documento en texto plano: si aparece, la minimización del endpoint no alcanzó por más correcta que sea la respuesta.

Queda una verificación que ninguna prueba automática cubre: que exista un texto de consentimiento revisado por asesoría legal —o una base alternativa documentada— y que la referencia sea obligatoria en el contrato, no opcional.

Metodología

Alcance

Diseño operativo del consentimiento en integraciones que consultan infracciones por DNI: captura, referencia en el pedido, vigencia, revocación y pruebas negativas. No cubre la redacción del texto legal ni la evaluación de un caso concreto.

Unidad de análisis

Una consulta por DNI y la referencia de consentimiento que la habilita en el momento en que se emite.

Cobertura

Marco general de la Ley 25.326 y su decreto reglamentario, junto con las guías de obligaciones y de derechos publicadas por la Agencia de Acceso a la Información Pública, al 29 de agosto de 2026. No incluye normativa sectorial ni provincial.

Limitaciones

• Determinar si un caso encaja en los supuestos en que la ley no exige consentimiento es una evaluación jurídica; esta nota es orientación general y no constituye asesoramiento legal.
• Los plazos de retención, la forma de captura y las cláusulas contractuales dependen de la finalidad que declare cada organización.
• Las fuentes oficiales actualizan sus guías; conviene revisar la versión vigente antes de fijar una política interna.

Fuentes

• Ley 25.326 de Protección de los Datos Personales — Argentina.gob.ar (consultada el 2026-08-29)
• Decreto 1558/2001 — reglamentación de la Ley 25.326 — Argentina.gob.ar (consultada el 2026-08-29)
• Obligaciones de responsables de bases de datos personales — Agencia de Acceso a la Información Pública (consultada el 2026-08-29)
• Derechos de las personas respecto de sus datos personales — Agencia de Acceso a la Información Pública (consultada el 2026-08-29)

Preguntas frecuentes

¿La API puede verificar que la persona dio su consentimiento?

No. Puede exigir una referencia, comprobar su vigencia y su alcance, y registrar el rechazo cuando falta. La conversación con la persona ocurre fuera del sistema: quien la sostiene es la empresa que integra, y es también quien responde por ella.

¿Una empresa necesita consentimiento para consultar el DNI de sus choferes?

Depende del caso. La ley enumera supuestos en los que el consentimiento no resulta necesario, entre ellos datos que derivan de una relación contractual, científica o profesional y son necesarios para su desarrollo o cumplimiento. Encajar una consulta ahí es una evaluación jurídica, no una opción de configuración; conviene documentarla antes de habilitar el endpoint.

¿Alcanza con una casilla tildada en un formulario de alta?

El texto legal describe un consentimiento expreso e informado, que conste por escrito o por otro medio que permita equipararlo, y la reglamentación pide que ese otro medio asegure la autoría y la integridad de la declaración. Hay que informar además, y antes, la finalidad, la existencia de la base, la identidad del responsable y los derechos que la persona puede ejercer. Una casilla premarcada o un aviso posterior a la aceptación son difíciles de sostener después.

¿Qué pasa con los resultados ya obtenidos si la persona revoca?

La reglamentación dice que la revocación no tiene efectos retroactivos: corta las consultas siguientes y los trabajos programados, pero no borra por sí sola lo ya obtenido, que queda sujeto a la finalidad declarada y al plazo de retención documentado. Si además llega un pedido de supresión, la guía oficial de derechos habla de cinco días hábiles para resolverlo. Revisá también exportaciones, tableros y enlaces de reportes todavía vigentes.

Notas relacionadas