Cumplimiento en una integración con datos de terceros

En una integración de infracciones hay dos partes que negocian y una tercera que no está en la mesa. La empresa consulta, el proveedor responde y la persona descrita por el acta —el titular registral, el conductor, el dueño anterior de un usado— no firmó nada y casi nunca se entera de que la consulta existió.

Ese desbalance es lo que vuelve particular al cumplimiento acá: las obligaciones no surgen de la relación entre quienes firmaron, sino de la información que circula sobre quien no. Y como esa parte está ausente, nadie reclama en el momento: el pedido llega meses después, cuando hay que reconstruir una consulta vieja.

Quién es el tercero

Tercero es la persona a la que refieren los datos sin ser parte del vínculo comercial. Aparece en tres formas distintas:

• el conductor empleado, que integra la empresa pero no participa de la decisión de consultar;
• el titular registral de un usado que todavía no se compró;
• el titular de una patente tipeada mal, que no tiene relación con nadie.

El tercer caso suele quedar afuera de las políticas y es el más incómodo: una consulta errónea también trata datos de alguien, y el sistema debería poder decir cuántas veces ocurrió y qué quedó guardado.

La finalidad viaja con la consulta, no con el contrato

La Ley 25.326 exige que los datos sean ciertos, adecuados, pertinentes y no excesivos respecto de la finalidad, y que no se usen para fines distintos o incompatibles. Una integración con una sola credencial y un solo endpoint no distingue “pagar la deuda de la flota propia” de “revisar los autos de un candidato a proveedor”: las dos consultas llegan iguales.

El control práctico es que la finalidad sea un campo de la solicitud, con vocabulario cerrado, y que el conjunto de campos devuelto dependa de ella. Una consulta para pagar necesita deuda y vencimiento; no necesita el historial completo del dominio.

Ese campo no legitima nada por sí solo: fija un dato que después nadie reconstruye de memoria, y vuelve revisable un uso nuevo antes de que sea costumbre.

La cadena no termina en tu proveedor

Entre las obligaciones que publica la Agencia de Acceso a la Información Pública figuran inscribir en el registro nacional los archivos destinados a dar informes, garantizar seguridad y confidencialidad, y cumplir requisitos para transferir datos a otros países. En una integración esa cadena se extiende sola: el almacén analítico, la herramienta de reportes, el sistema de tickets donde alguien pega un resultado, el correo que despacha alertas y la planilla exportada el mes pasado.

Conviene mantener una lista de quién trata esos datos por tu cuenta, con qué alcance y dónde corre; cada herramienta nueva la modifica y ese es el punto que más veces queda sin revisar.

Un caso cambia el encuadre: cuando una empresa revende consultas a sus propios clientes, deja de ser sólo consumidora, y conviene revisar si su archivo queda alcanzado por la inscripción que rige para los destinados a dar informes.

Cumplimiento que se ejecuta, no que se firma

La autoridad publica un plan de protección de datos personales dirigido a organizaciones. Ya el formato dice algo: el cumplimiento se sostiene como programa, con documentación y revisiones propias, y no como una cláusula suelta del contrato de integración. Eso se traduce en controles que corren solos:

• finalidad obligatoria y validada en la solicitud, con la denegación registrada;
• conjuntos de campos por finalidad, en lugar de una respuesta máxima para todos;
• retención por clase de dato, con un proceso que borra y deja constancia;
• un canal de derechos con responsable asignado y plazo interno;
• eventos que permitan reconstruir una consulta sin archivar cada respuesta entera.

Cada control necesita dueño y prueba automática; lo que no la tiene se degrada en silencio, porque nadie avisa que un permiso quedó ancho. El diseño de esa evidencia lo tratamos en auditoría verificable sin payloads completos, y quién puede ver qué flota, en roles y atributos de acceso.

Un ensayo de auditoría antes de la real

Elegí una consulta cualquiera del mes pasado y reconstruila con la evidencia que ya existe: quién la pidió, con qué credencial y finalidad, qué campos devolvió, en qué sistemas quedó copia, cuándo vence cada una y quién autorizó la excepción si la hubo. Cronometralo y anotá qué dato hubo que pedirle a una persona en vez de leerlo de un registro.

El pedido real es parecido. La Agencia publica los derechos de acceso, rectificación, actualización y supresión, y aclara que se ejercen ante quien posee los datos: el organismo, la empresa o el profesional. Los plazos que informa son de diez días corridos para contestar un acceso y cinco días hábiles para rectificar, actualizar o suprimir. Sin inventario de copias, esos plazos se consumen averiguando dónde mirar.

El cumplimiento con datos de terceros no se demuestra mostrando el contrato que se firmó al integrar, sino explicando una consulta común sin convocar a tres equipos. Si el ensayo sale en una tarde, el programa existe; si no, existe el documento.

Metodología

Alcance

Criterios de cumplimiento aplicables a una integración que consulta infracciones de personas ajenas al contrato comercial. No cubre el encuadre jurídico de un caso concreto ni la redacción de cláusulas.

Unidad de análisis

Una consulta individual y la cadena de organizaciones que la origina, la responde y conserva copias de su resultado.

Cobertura

Obligaciones generales de la Ley 25.326 y materiales publicados por la Agencia de Acceso a la Información Pública, consultados al 29 de agosto de 2026 y aplicados al diseño de una integración.

Limitaciones

• No es asesoramiento jurídico. El encuadre de cada tratamiento y el rol de cada parte dependen del caso y se definen con asesoramiento propio.
• Las obligaciones registrales y los requisitos para transferir datos a otros países conviene verificarlos en la fuente antes de contratar proveedores o mover un almacén analítico.
• Los controles descritos hacen auditable una decisión, pero no la legitiman por sí solos.

Fuentes

• Ley 25.326 de Protección de los Datos Personales — Argentina.gob.ar (consultada el 2026-08-29)
• Obligaciones de responsables de bases de datos personales — Agencia de Acceso a la Información Pública (consultada el 2026-08-29)
• Derechos de las personas respecto de sus datos personales — Agencia de Acceso a la Información Pública (consultada el 2026-08-29)
• Plan de Protección de Datos Personales para organizaciones — Agencia de Acceso a la Información Pública (consultada el 2026-08-29)

Preguntas frecuentes

¿Alcanza con que el proveedor de la API cumpla la normativa?

No. El proveedor responde por su propio tratamiento, pero la copia que queda en los sistemas de la empresa que consulta constituye un tratamiento distinto, con obligaciones propias. Cuál rol le toca a cada parte depende del caso y conviene definirlo por escrito antes de integrar.

¿Una consulta hecha por error sobre una patente ajena cuenta como tratamiento?

En los hechos se recibieron y se guardaron datos de una persona sin relación con la empresa, así que lo prudente es contarla como tratamiento y no como ruido. El sistema debería permitir saber cuántas veces ocurrió, con qué credencial y qué se conservó del resultado, y esas copias deberían tener una retención más corta.

¿Declarar la finalidad en cada consulta la vuelve legítima?

No. Un campo no legitima un tratamiento. Lo que hace es dejar registrado en el momento algo que después nadie puede reconstruir, y permite que el conjunto de campos devuelto y los límites de uso dependan de esa finalidad en vez de quedar librados a la costumbre.

¿Quién responde si una persona pide acceso a sus datos?

El pedido se dirige a quien posee los datos, que muchas veces es la empresa que consultó y no el organismo emisor ni el proveedor. La Agencia informa diez días corridos para contestar un acceso y cinco días hábiles para rectificar, actualizar o suprimir; cumplirlos exige un inventario de dónde quedaron las copias, incluidas exportaciones y respaldos.

Notas relacionadas