API y empresas

Datos personales en una API de infracciones

Una respuesta sin nombres puede seguir describiendo a una persona determinable. Qué campos son datos personales, qué obligaciones aparecen al guardarlos y quién responde por la copia.

Foto de Marco FerreiroMarco FerreiroAutor en multas.ar
4 min de lectura
Archivador metálico gris con un cajón entreabierto y carpetas cerradas, junto a un escritorio de madera con dos carpetas apiladas bajo luz natural.
Archivador metálico gris con un cajón entreabierto y carpetas cerradas, junto a un escritorio de madera con dos carpetas apiladas bajo luz natural.

Una respuesta de infracciones puede no contener ningún nombre y aun así describir a una persona. Patente, número de acta, fecha, hora y lugar del hecho hablan de alguien: del titular registral, del conductor o de ambos. Que el campo del nombre esté ausente no vuelve anónimo al registro.

La distinción importa cuando la respuesta deja de ser una pantalla y pasa a ser una fila en la base del cliente. Ahí empieza un tratamiento propio, con obligaciones propias, y el proveedor de la API no puede cumplirlas por vos.

Determinable no es lo mismo que anónimo

La Ley 25.326 alcanza la información referida a personas determinadas o determinables. Determinable es la palabra que hace el trabajo: no hace falta el nombre si el dato permite llegar a la persona por vías conocidas. Una patente lleva a un titular registral; un CUIT identifica de forma directa.

Conviene inventariar campo por campo:

  • patente, documento o CUIT: identifican por sí solos;
  • acta, fecha, hora y lugar del hecho: describen la conducta de una persona determinable;
  • monto, estado de pago y vencimiento: son datos económicos de esa misma persona;
  • código de jurisdicción o de tipo de infracción: no identifican solos, pero heredan el carácter personal del registro que integran.

La acumulación también cuenta: un año de actas de la misma patente en horarios parecidos dibuja un patrón de circulación que ninguna de esas filas mostraba por separado.

La finalidad y el rol de quien guarda la copia

La ley exige que los datos sean ciertos, adecuados, pertinentes y no excesivos respecto de la finalidad, y que no se usen para fines distintos o incompatibles. Entre las obligaciones que publica la Agencia de Acceso a la Información Pública figura informar al titular la finalidad del tratamiento, la existencia de la base y sus derechos.

Consultar la deuda de una flota para pagarla en término es una finalidad concreta. Ordenar conductores por cantidad de actas o cruzar los registros con un tercero son usos distintos. Cuando aparece uno nuevo, lo primero que hay que revisar es el encuadre —qué se informó y con qué base se trata ese dato—, no el alcance del token.

La normativa también distingue entre quien decide sobre una base y quien trata datos por cuenta de otro. Cuál rol le toca a tu empresa depende del caso, y conviene definirlo por escrito antes de integrar.

Las obligaciones publicadas por la autoridad de aplicación incluyen inscribir en el Registro Nacional de Bases de Datos Personales los archivos destinados a dar informes, garantizar seguridad y confidencialidad, y regular las transferencias a otros países, con aprobación de la AAIP en ciertos casos. Ese punto suele sorprender: el almacén analítico donde se vuelca la respuesta puede estar fuera del país.

Una vez que la fila está en tu base, la copia es tuya. Borrarla en el origen no la borra en el destino.

Minimizar es una decisión del contrato

OWASP describe un patrón frecuente: la API devuelve el objeto completo y confía en que el cliente muestre sólo una parte. En infracciones eso significa entregar datos del titular cuando el caso de uso apenas necesitaba deuda y vencimiento. El consumidor no puede desminimizar lo que ya recibió.

Tres decisiones bajan la exposición:

  • alcances y conjuntos de campos por caso de uso, en lugar de una única respuesta máxima;
  • identificadores opacos que no lleven patente ni documento adentro;
  • nada de datos personales en la ruta ni en la cadena de consulta, porque terminan en registros y proxies.

El resto de la superficie merece el mismo criterio: la observabilidad puede medir sin etiquetar identidades, como discutimos en trazas y métricas sin patentes ni CUIT, y una respuesta sensible no debería quedar en una caché compartida por comodidad.

Cuando la persona ejerce sus derechos

La AAIP enumera los derechos de acceso, rectificación, actualización y supresión, con diez días corridos para contestar un pedido de acceso y cinco días hábiles para los otros. El pedido llega a quien tiene la base: muchas veces la empresa de flota, no el organismo emisor.

Para responder en esos plazos hay que saber dónde viven las copias: base operativa, almacén analítico, exportaciones a planilla, adjuntos de correo y respaldos. Un inventario que no incluye las derivadas no alcanza.

Queda un matiz honesto. Corregir tu copia no corrige el acta: un error del documento original se rectifica ante la autoridad competente, y tu registro debería reflejar esa resolución, no reemplazarla. Y mientras exista una obligación de conservación, la supresión puede no proceder; esa evaluación es jurídica, no técnica.

Qué revisar antes de integrar

Conviene tener por escrito el inventario de campos con su finalidad, el rol de cada parte, dónde se almacena cada copia y por cuánto tiempo, quién atiende un pedido de acceso y con qué procedimiento, y qué pasa con las derivadas cuando termina el contrato.

Ninguna de esas respuestas la aporta el esquema de la API. El contrato técnico y el contrato de datos describen el mismo objeto, y conviene escribirlos juntos.

Metodología

Alcance
Qué campos de una respuesta de infracciones constituyen datos personales y qué obligaciones aparecen para la empresa que los recibe y los guarda. No cubre el diseño de un régimen de retención ni el análisis de un caso particular.
Unidad de análisis
Un campo de la respuesta y la copia que queda en los sistemas del cliente después de la consulta.
Cobertura
Marco general de la Ley 25.326 y de las guías públicas de la Agencia de Acceso a la Información Pública al 29 de agosto de 2026, más los criterios de exposición excesiva de datos en APIs publicados por OWASP.

Limitaciones

  • No es asesoramiento jurídico: el encuadre de cada tratamiento depende de la finalidad, la base y el contrato de cada empresa.
  • Los plazos y trámites citados son los que publica la autoridad de aplicación y pueden actualizarse; conviene verificarlos antes de responder un pedido.
  • La nota no audita la configuración de un proveedor concreto ni evalúa la normativa de otros países.

Fuentes

Preguntas frecuentes

¿Una patente sin nombre ya es un dato personal?

En general sí. La Ley 25.326 alcanza información referida a personas determinadas o determinables, y una patente permite llegar al titular registral por vías conocidas. Que falte el campo del nombre no convierte al registro en anónimo.

¿Quién responde cuando el cliente guarda la respuesta en su propia base?

Quien decide para qué y cómo se tratan esos datos asume obligaciones propias sobre esa base, y el proveedor de la API no puede cumplirlas en su lugar. Conviene fijar por escrito qué rol ocupa cada parte antes de integrar. Es orientación general, no asesoramiento jurídico.

¿Qué plazos tiene una empresa para responder un pedido sobre datos personales?

La Agencia de Acceso a la Información Pública indica diez días corridos para responder un pedido de acceso y cinco días hábiles para rectificación, actualización o supresión. Verificá los plazos vigentes al momento de contestar.

¿Cambia algo si los resultados se guardan en un servidor de otro país?

Sí. Entre las obligaciones publicadas por la autoridad de aplicación figura la regulación de las transferencias de datos a otros países, con aprobación de la AAIP en ciertos casos. Conviene revisar dónde se almacenan las copias antes de contratar.

Notas relacionadas