LPDP 25.326 — qué pide a la identidad digital
La Ley 25.326 de Protección de Datos Personales (LPDP) es la norma marco que regula el tratamiento de datos personales en Argentina desde el año 2000. Aunque fue redactada antes de la era de internet móvil y de las wallets digitales, sus principios fundacionales son aplicables —y limitantes— a cualquier sistema de identidad digital provincial o nacional.
Entender qué pide LPDP es prerequisito para cualquier proyecto SSI gov en Argentina.
Los 8 principios fundamentales
LPDP define ocho principios que rigen el tratamiento de datos personales. Cuatro son particularmente relevantes para identidad digital:
Calidad de los datos
Los datos deben ser ciertos, adecuados, pertinentes y no excesivos para los fines de su tratamiento.
Finalidad específica
Los datos solo pueden usarse para los fines para los que fueron recolectados. No se pueden reutilizar para otros propósitos sin nuevo consentimiento.
Consentimiento informado
El titular debe consentir expresamente al tratamiento de sus datos, salvo excepciones puntuales (registros públicos, datos de salud en emergencia, etc.).
Derechos ARCO
Acceso, Rectificación, Cancelación y Oposición. El ciudadano puede consultar, corregir, eliminar y oponerse al tratamiento de sus datos.
Los otros cuatro (seguridad, confidencialidad, transferencia internacional, registración) complementan pero no son los más cliché-able para SSI.
Por qué SSI ya cumple con LPDP
El modelo SSI cumple con LPDP de forma estructural, no por esfuerzo del implementador. Cuatro propiedades del modelo SSI mapean directamente con los principios LPDP:
| Principio LPDP | Propiedad SSI que lo cumple |
|---|---|
| Calidad | El emisor firma los datos, garantizando que son ciertos al momento de emisión |
| Finalidad | El holder presenta solo los atributos relevantes (selective disclosure) |
| Consentimiento | Cada presentación requiere acción explícita del holder |
| Acceso (ARCO-A) | El holder tiene acceso permanente a sus credenciales |
Donde SSI realmente brilla es en el principio de minimización: el verificador solo recibe los datos estrictamente necesarios, no la credencial completa. Esto es lo que LPDP describe como "no excesivos para los fines" pero que casi ningún sistema centralizado puede garantizar al nivel arquitectónico.
Los desafíos pendientes
Cuatro áreas donde SSI no resuelve LPDP automáticamente y se requiere diseño adicional:
- 1Rectificación de datos. Si los datos en una credencial son incorrectos, ¿cómo se rectifica? El emisor debe revocar la vieja y emitir una nueva. SSI hace técnicamente posible, pero los procesos institucionales tienen que diseñarse.
- 2Cancelación (derecho al olvido). Si el ciudadano pide eliminar sus datos, el emisor puede revocar las credenciales, pero los verificadores que ya las vieron pueden conservar logs. Hay que diseñar políticas de retención + auditoría.
- 3Oposición al tratamiento. ¿Qué pasa si el ciudadano se opone a que un emisor le emita credenciales? En servicios obligatorios (DNI, licencia) la oposición no aplica; en servicios voluntarios sí.
- 4Transferencia internacional. Si una credencial emitida en Salta se verifica en Madrid, ¿eso es una "transferencia internacional de datos"? Técnicamente el dato vive con el ciudadano, no se transfiere desde Salta. Esta interpretación está pendiente de jurisprudencia.
Comparación con GDPR
LPDP de 2000 anticipa varios principios que GDPR (2018, UE) profundiza. Pero hay tres diferencias importantes:
| LPDP (AR, 2000) | GDPR (UE, 2018) | |
|---|---|---|
| Privacy by design | No explícito | Obligatorio (Art. 25) |
| DPO obligatorio | Solo para registradores grandes | Para procesadores significativos |
| Multas | Hasta ~$100k USD | Hasta 4% facturación global |
| Derecho a la portabilidad | No explícito | Obligatorio |
| Brechas: notificación | No obligatoria | Obligatoria a 72hs |
La reforma de LPDP está en proceso de discusión legislativa desde 2018 (proyecto en debate, sin sanción). El nuevo texto se alinearía con GDPR pero todavía no es ley.
Qué exige a un proyecto SSI gov
Cualquier proyecto SSI provincial tiene que asegurar:
Consentimiento documentado
Cada credencial emitida con base legal clara: ley específica, decreto, ordenanza. El consentimiento ciudadano queda registrado.
Trazabilidad sin sobre-tracking
Logs operativos suficientes para auditoría regulatoria pero no excesivos para tracking ciudadano. SSI ayuda: los logs viven con el holder.
Procesos ARCO disponibles
Canales para que el ciudadano acceda, rectifique, cancele u oponga. La AAIP (Agencia de Acceso a la Información Pública) los exige.
Más una recomendación adicional: documentar el análisis de impacto sobre la privacidad (PIA) del sistema. Aunque no es obligatorio bajo LPDP actual, es recomendado y será obligatorio bajo la reforma.
La AAIP — autoridad de aplicación
La Agencia de Acceso a la Información Pública (AAIP) es la autoridad nacional de aplicación de LPDP. Cualquier proyecto SSI debe:
- Registrar las bases de datos personales que opera (si las tiene — SSI puede operar sin base centralizada).
- Responder a denuncias de ciudadanos.
- Reportar brechas de seguridad significativas.
La AAIP también publica guías y disposiciones operativas que aclaran cómo aplicar LPDP en casos nuevos. Es buena práctica consultar la última guía AAIP relevante al diseñar un sistema gov.
Referencias
Relacionados
- Ley 27.275 — acceso a información pública — el complemento sobre acceso a info pública
- GDPR vs LPDP — lecciones para Argentina — la comparación detallada
- eIDAS 2.0 — qué aprender de la UE — el modelo regulatorio que conviene mirar