Ley 25.326 y consultorio psicológico: qué necesitás saber

Si atendés pacientes en Argentina, guardás datos personales sensibles. Nombre, DNI, dirección, obra social, historia clínica, registro de sesiones, derivaciones, notas de evolución, archivos de audio si transcribís sesiones. La ley argentina dice qué podés hacer con esos datos, cómo tenés que cuidarlos y qué pasa si no lo hacés.

La mayoría de los profesionales que vemos arrancan su práctica sin saber que existe un marco legal específico, lo descubren cuando un colega les comenta algo o cuando un paciente les pide un trámite que sí o sí pasa por compliance. Este artículo ordena lo que importa para vos: qué dice la Ley 25.326, cómo se cruza con la Ley 26.529 de historia clínica, qué tenés que hacer en concreto y qué pasa si no.

No es asesoramiento legal personalizado — para eso conviene un abogado que te conozca. Sí es la base con la que un psicólogo, psiquiatra, psicopedagogo o un centro debería empezar a trabajar este mes.

¿Qué es la Ley 25.326 y por qué te afecta?

La Ley 25.326 de Protección de los Datos Personales, vigente desde el año 2000, regula cómo cualquier persona u organización en Argentina puede recolectar, almacenar, usar y compartir datos personales. La aplica y supervisa la Agencia de Acceso a la Información Pública (AAIP), que reemplazó en 2016 a la antigua Dirección Nacional de Protección de Datos Personales.

La ley considera "datos sensibles" a aquellos que pueden revelar origen racial o étnico, opiniones políticas, convicciones religiosas, información referente a la salud o a la vida sexual. Los datos clínicos que manejás en una sesión de psicoterapia son datos sensibles. Eso te ubica automáticamente en la categoría más exigente que regula la ley.

Concretamente: tenés un deber de confidencialidad reforzado, necesitás consentimiento informado y específico para procesar esos datos, y estás obligado a aplicar medidas técnicas y organizativas que prevengan accesos no autorizados, pérdidas o usos indebidos.

No importa si trabajás solo en tu consultorio o si dirigís un centro con 20 profesionales. La ley aplica igual. Lo único que cambia es el nivel de complejidad operativa.

La diferencia entre Ley 25.326 y Ley 26.529

Mucha gente las mezcla. Son complementarias:

• Ley 25.326 (2000) te dice cómo proteger los datos personales de cualquier persona física. Es transversal: aplica a clínicas, escuelas, bancos, gimnasios y, sí, también a tu consultorio.
• Ley 26.529 (2009) regula los derechos del paciente y la historia clínica. Te obliga a llevarla en forma ordenada, foliada, cronológica, completa y a conservarla durante 10 años desde el último contacto con el paciente.

En la práctica significa que tu historia clínica electrónica (HCE) tiene que cumplir las dos: ser un documento clínico válido bajo Ley 26.529 y al mismo tiempo proteger esos datos personales sensibles bajo Ley 25.326. Si querés el detalle de qué exige puntualmente la 26.529 (contenidos mínimos, plazo de conservación, derechos del paciente sobre su HCE), lo cubrimos completo en historia clínica electrónica: qué exige la Ley 26.529.

Una HCE en Excel compartida por WhatsApp falla en las dos. Una en Google Drive sin cifrado falla en una. Una plataforma sin trazabilidad de accesos falla en la otra. El criterio para elegir cualquier herramienta donde guardes información clínica es: ¿me sirve para defenderme ante una inspección de AAIP y ante un reclamo de un paciente por su historia clínica?

Las 6 obligaciones concretas (lo que tenés que hacer)

Esto es lo accionable. Si no estás haciendo alguna de estas seis cosas, es la primera por donde empezar.

1. Recolectar solo los datos que realmente necesitás (principio de minimización). No pidas DNI escaneado si no te hace falta. No guardes el grupo sanguíneo si no atendés esa parte. Cuanto menos guardes, menos riesgo, menos obligaciones, menos exposición ante un incidente.

2. Obtener consentimiento informado, libre y específico. El paciente tiene que saber qué datos guardás, para qué los usás y con quién los compartís (obras sociales, equipo del centro, profesionales en interconsulta). El consentimiento debe ser previo y poder revocarse. No alcanza con un "acepto" genérico al inicio: si activás transcripción de audio con IA, eso necesita consentimiento aparte y explícito por sesión.

3. Cifrar y controlar el acceso a los datos clínicos. La AAIP no especifica un algoritmo en particular, pero el estándar de la industria es TLS en tránsito y AES-256 (o equivalente) en reposo. Cifrado a nivel de campo para los datos más sensibles, no solo a nivel de disco. Cada profesional del centro debe acceder únicamente a sus propios pacientes; los administrativos, a lo administrativo. Tener todo en una planilla compartida no cumple.

4. Llevar un registro de accesos (trazabilidad). Si pasa algo, tenés que poder reconstruir quién vio qué y cuándo. Una historia clínica sin log de accesos no es defendible. En un centro chico esto se hace con la herramienta que uses; en uno grande es indispensable.

5. Reconocer y atender los derechos ARCO del paciente. Tu paciente puede pedirte: Acceso (que le muestres qué tenés sobre él), Rectificación (que corrijas un dato erróneo), Cancelación / supresión (que borres datos cuando ya no haya base legal para guardarlos) y Oposición (que dejes de procesar sus datos en ciertos casos). La ley te da plazos: 10 días para acceso, 5 para rectificación o cancelación. Si no respondés, el paciente puede denunciar ante AAIP.

6. Inscribirte en el Registro Nacional de Bases de Datos (RNBD). La ley obliga a registrar cualquier base de datos con datos personales. Si tu base son tus pacientes, sí, te toca. Ampliado en la próxima sección — y si querés el paso a paso completo con capturas, lo tenés en inscripción en AAIP RNBD para psicólogos.

AAIP RNBD: cómo te inscribís paso a paso

El RNBD es el registro público de bases de datos que mantiene la AAIP. Inscribir tu consultorio no toma más de una hora si tenés los datos a mano. Es gratuito y se hace 100% online.

Lo que necesitás antes de arrancar:

• CUIT (de tu monotributo, autónomos o sociedad).
• Clave fiscal nivel 3 (de AFIP).
• Datos del consultorio o centro: domicilio, teléfono, mail de contacto.
• Una breve descripción de tus actividades de tratamiento de datos: qué guardás, para qué, durante cuánto tiempo.

Pasos:

1. Entrar a argentina.gob.ar/aaip → sección Protección de Datos Personales → Trámites a Distancia.
2. Iniciar sesión con tu CUIT + Clave Fiscal.
3. Buscar el trámite "Inscripción de Base de Datos Personales" o equivalente.
4. Completar el formulario describiendo cada base (típicamente "Pacientes" alcanza para un consultorio; en un centro pueden ser dos o tres).
5. Confirmar y guardar la constancia.

Una vez inscripto, te tocan renovaciones anuales o cada vez que cambies algo sustancial (nueva tecnología, nuevo prestador externo, nuevo tipo de dato). El sistema te avisa, pero conviene ponerte un recordatorio.

Sanciones reales: qué pasa si no cumplís

La AAIP tiene escala progresiva: apercibimiento, suspensión, multa y, en casos graves, clausura. Las multas se actualizan, y al momento de este artículo van desde apercibimientos formales hasta cifras que ya son materiales para un consultorio independiente (cientos de miles de pesos) y pueden ser significativamente mayores para centros e instituciones que reincidan o tengan brechas graves.

Más allá del monto, lo importante es el efecto reputacional. Si una sanción a tu nombre o al de tu centro queda registrada y un paciente la encuentra, perdés más en confianza que en plata. Por eso vale la pena tratarlo como prevención, no como cumplimiento defensivo.

Hay un proyecto de nueva ley de protección de datos circulando en el Congreso que actualizaría el marco a estándares más cercanos al GDPR europeo. Cuando se apruebe (probable en los próximos 12-24 meses), los plazos y montos van a endurecerse. Lo que hagas hoy te deja preparado para esa próxima ola.

Errores comunes que vemos

En las conversaciones que tenemos con profesionales y centros, estos cinco se repiten:

• Compartir historias clínicas por WhatsApp o mail común. Sin cifrado de extremo a extremo, sin trazabilidad, sin política de retención. Es una de las primeras cosas que un inspector mira.
• Usar Excel o Google Sheets como sistema "oficial" del centro. No tiene control de accesos por profesional, no registra quién vio qué, y cualquier persona con el link puede ver todo. Para un consultorio individual aún puede argumentarse; para un centro multi-profesional es indefendible.
• No formalizar el consentimiento. El paciente firma una vez al inicio y nunca más, o ni siquiera firma. Si activás IA para transcripción, ese consentimiento adicional no es opcional.
• No tener un protocolo para incidentes. Si mañana un colega filtra accidentalmente datos o te roban un dispositivo con accesos, ¿qué hacés? La ley exige notificar a la autoridad y a los afectados según gravedad. Sin protocolo, las decisiones se toman en pánico y se cometen errores.
• No documentar nada. En compliance, lo que no está escrito y firmado, no existe. Tus consentimientos, tus políticas internas, tus accesos, todo debe poder mostrarse.

Cómo Psik® te ayuda

Construimos Psik® apuntando exactamente a este marco. Cifrado a nivel de campo para datos clínicos, trazabilidad de accesos por profesional, consentimientos integrados con versionado, soporte para registrar tu base en AAIP RNBD y un flujo de IA opcional con consentimiento explícito por sesión.

No reemplazamos al asesor legal ni te hacemos los trámites, pero te dejamos las cosas en regla del lado técnico para que el cumplimiento no sea una preocupación constante. Es la diferencia entre dormir tranquilo y revisar cada mes si vas a tener un problema.

Preguntas frecuentes

¿Tengo que registrarme en AAIP aunque atienda solo 5 pacientes? Sí. La ley no establece un umbral mínimo. Si guardás datos personales sistemáticamente, te corresponde inscribirte.

¿Puedo guardar la historia clínica en papel? Podés, pero también te alcanzan las obligaciones: confidencialidad, conservación 10 años, derechos ARCO. El papel agrega problemas operativos (incendio, humedad, pérdida) que la HCE resuelve.

¿Si trabajo en un centro, las obligaciones son del centro o mías? Las dos. El centro es responsable como organización; el profesional es responsable como tratante. Por eso conviene que la plataforma que usen separe responsabilidades claramente.

¿Una transcripción de sesión con IA viola la ley? No, si está hecha bien: consentimiento explícito del paciente por sesión, transcripción cifrada, sin uso de audio para entrenar modelos, control absoluto del profesional sobre el contenido generado. Si la herramienta no garantiza estas cuatro cosas, sí.

---

Próximos pasos

Si terminaste el artículo y te quedó una sensación de "tengo que ponerme con esto", es probablemente la sensación correcta. Tres cosas concretas para hacer esta semana:

1. Revisá tu consentimiento informado. Si es genérico, especificalo: qué datos guardás, dónde, por cuánto tiempo, con quién los compartís.
2. Verificá si estás inscripto en RNBD. Si no lo estás, agendá una hora la próxima semana para hacerlo.
3. Mirá dónde guardás datos clínicos hoy. Si está en planillas, mails o WhatsApp, planificá la migración a una herramienta con cifrado y trazabilidad. Tomate dos meses si hace falta, pero arrancá.

Si querés que armemos juntos el checklist de tu situación particular, escribime a hola@psik.com.ar. Estamos para ayudarte sin compromiso.