¿Qué tiene que cumplir una óptica con la ley de datos personales?

¿Una óptica tiene que inscribir su base de datos en la AAIP?

Sí, según la posición oficial. El artículo 21 de la Ley 25.326 habla de las bases privadas "destinadas a proporcionar informes", pero el Decreto 1558/2001 extiende la inscripción a las que exceden el uso personal, y la AAIP dice en su página de trámites de datos personales que esos archivos "deben estar inscriptos".

Primero se inscribe al responsable —la óptica, sea persona humana o sociedad— y después cada base. La inscripción del responsable es gratuita, se hace por Trámites a Distancia con clave fiscal nivel 2 o superior y devuelve por mail un código de responsable, según la página oficial de inscripción de responsables privados. No vence: si cambian los datos, se modifica.

Al inscribir la base se declara, como mínimo, lo que enumera el artículo 21, y después no se pueden guardar datos de una naturaleza distinta a la declarada. Para una óptica, el formulario obliga a decidir dos cosas que pocas tienen por escrito: cuánto tiempo guarda la ficha y quién del equipo puede verla.

• Quién es el responsable y para qué se usan los datos.
• Qué datos se guardan y cómo se recolectan.
• A quién se le comunican: laboratorio, obra social, proveedores.
• Qué medidas de seguridad hay y qué personas acceden.
• Cuánto tiempo se conservan.
• Cómo ejerce el paciente sus derechos.

¿Con qué base legal guarda la óptica la graduación del paciente?

Con dos posibles, y ninguna confirmada por la AAIP para ópticas. La Ley 25.326 deja tratar datos de salud a "los establecimientos sanitarios públicos o privados" sobre sus pacientes (artículo 8) y, aparte, no pide consentimiento cuando los datos derivan de una relación contractual y son necesarios para cumplirla (artículo 5, inciso 2 d).

La óptica queda en el medio. A favor del artículo 8: en jurisdicción nacional, instalar una casa de óptica requiere autorización previa de la autoridad sanitaria, según la Ley 17.132. En contra: también es un comercio, y la ley no aclara de qué lado cae. La diferencia importa porque el artículo 7 prohíbe formar archivos que revelen datos sensibles, y es el artículo 8 el que levanta esa prohibición para los establecimientos sanitarios.

La lectura prudente, mientras nadie lo resuelva: la graduación se guarda para hacer y garantizar el trabajo, con el respaldo de cualquiera de las dos vías, y todo lo que no sea el trabajo —publicidad, encuestas, fotos, reenvíos fuera del circuito— pide un consentimiento aparte. Si ese consentimiento va en el mismo formulario que otras declaraciones, el artículo 5 pide que figure en forma "expresa y destacada".

¿Qué es obligatorio y qué es sólo una recomendación?

La ley obliga a cuidar los datos, pero el detalle de cómo cuidarlos es una recomendación. El artículo 9 de la Ley 25.326 exige medidas técnicas y organizativas contra la pérdida y el acceso no autorizado; la Resolución AAIP 47/2018 presenta sus medidas concretas "De modo referencial", para facilitar el cumplimiento.

Que sea recomendación no vuelve opcional el problema. Si hay una filtración, lo que se mira es si la óptica cumplió el artículo 9, y las medidas de la Resolución 47/2018 son la forma más sencilla de mostrar que sí. La Resolución AAIP 126/2024 clasifica como infracción leve tratar datos sin estar inscripto y como muy grave no cumplir la seguridad o la confidencialidad de datos sensibles, que es donde cae la graduación.

Las sanciones de la ley van del apercibimiento a la clausura o la cancelación del archivo. No damos montos: los del texto de la ley son de su sanción y no verificamos valores actualizados. La Resolución 126/2024 se modificó en 2025, pero en el Registro de Infractores y no en la clasificación, según su ficha de normas modificatorias.

¿Qué medidas de seguridad recomienda la AAIP para una óptica?

Las de la Resolución AAIP 47/2018, que llevadas al mostrador son: un usuario por persona, contraseñas seguras, baja inmediata de quien se va, registro de accesos, copias de respaldo probadas, destrucción segura del papel y un procedimiento para incidentes. El Anexo I las ordena en ocho procesos, de la recolección a la destrucción.

Cada medida viene marcada como aplicable a datos personales o, además, a datos sensibles. Como la graduación es un dato de salud, a la óptica le tocan las dos columnas: la de una sola sesión por usuario, por ejemplo, la resolución la pide sólo para datos sensibles, y es la que más choca con la costumbre de dejar una cuenta abierta en el mostrador todo el día.

¿Qué hay que hacer si se filtran o se pierden los datos?

Contener, documentar y, aunque hoy no sea obligatorio, avisar a la AAIP. La Ley 25.326 no obliga a notificar un incidente, pero la Resolución AAIP 47/2018 recomienda tener un procedimiento con una persona responsable, armar un informe y enviarlo a incidente.seguridad@aaip.gob.ar o al domicilio de la Agencia.

En diciembre de 2025, al abrir una investigación de oficio por una presunta filtración masiva, la AAIP dijo en un comunicado que "no ha recibido notificación formal" del incidente, y recordó que el proyecto de ley de 2023 preveía avisar dentro de las 72 horas. Ese proyecto perdió estado parlamentario en 2025, según la propia AAIP: las 72 horas no rigen.

La consecuencia para una óptica es concreta: la Agencia puede actuar de oficio aunque nadie le avise, y un informe hecho a tiempo es la mejor prueba de que se cumplió el artículo 9. Avisarles a los pacientes afectados —si se perdió una notebook con la base, por ejemplo— es prudente, pero no encontramos una norma vigente que lo exija.

1. Qué pasó: la naturaleza de la violación de seguridad.
2. Qué categoría de datos se vio afectada: graduaciones, contactos, datos de obra social.
3. Qué usuarios o pacientes quedaron afectados.
4. Qué se hizo para mitigar el daño.
5. Qué se va a hacer para que no se repita.

¿Se pueden pasar los datos al laboratorio o a la obra social?

Sí, lo necesario para hacer el trabajo o cobrarlo. El artículo 11 de la Ley 25.326 pide consentimiento para ceder datos, pero no lo exige en los casos del artículo 5, inciso 2, entre ellos los datos que derivan de una relación contractual y son necesarios para cumplirla.

Quien los recibe queda con las mismas obligaciones, y quien los cede responde "solidaria y conjuntamente". El laboratorio admite dos lecturas: es un prestador que trata los datos por cuenta de la óptica, o es una cesión necesaria para cumplir el contrato con el paciente. En las dos, lo prudente es lo mismo: mandarle sólo la graduación, las medidas y el número de trabajo —el nombre, si lo exige— y dejar por escrito que no usa los datos para otro fin.

Con la obra social o PAMI, pasar los datos del afiliado y de la prestación es parte de cobrar lo que el paciente usó de su cobertura. El circuito de PAMI está en cómo ser prestador de PAMI.

¿Qué tiene que garantizar el proveedor del sistema de gestión?

Que use los datos sólo para prestar el servicio y que los destruya al terminar. El artículo 25 de la Ley 25.326 le prohíbe a quien trata datos por cuenta de otro aplicarlos a un fin distinto o cederlos, "ni aun para su conservación", y le pide destruirlos cuando termina el contrato, salvo autorización para guardarlos hasta dos años.

La óptica sigue siendo la responsable de la base: el proveedor trata los datos por su cuenta, no en su lugar. Por eso la pregunta sobre dónde se alojan no es técnica, es legal: el artículo 12 de la misma ley prohíbe transferir datos a países sin un nivel de protección adecuado, salvo excepciones. Vale igual para el sistema, la planilla en la nube y la mensajería.

• ¿El contrato dice que los datos se usan sólo para prestar el servicio?
• ¿Qué pasa con los datos si la óptica deja de usar el sistema, y en qué plazo se borran?
• ¿Se pueden exportar antes de irse, para no perder la ficha de los pacientes?
• ¿En qué país están alojados?
• ¿Cada persona del equipo puede tener su propio usuario, con permisos distintos?

¿En cuánto tiempo hay que responder a un paciente que pide sus datos?

En diez días corridos si pide acceso y en cinco días hábiles si pide rectificar, actualizar o suprimir, según los artículos 14 y 16 de la Ley 25.326. El acceso es gratuito una vez cada seis meses, y si la óptica no responde en plazo, el paciente queda habilitado para iniciar una acción de hábeas data.

Para que el paciente sepa a quién pedírselo, la Resolución AAIP 14/2018 pide exhibir en un lugar visible, antes de recolectar los datos, la información sobre la base y cómo ejercer los derechos, junto con el texto que dice que la AAIP atiende denuncias y reclamos. En una óptica, el lugar natural es el mostrador donde se toma la receta.

Una reserva honesta: el artículo 14 habla de las bases "destinadas a proveer informes", y aplicar los diez días a la base de una óptica es la lectura habitual, sin un criterio escrito que lo confirme. En la práctica, el plazo se cumple sólo si la óptica sabe dónde está todo lo del paciente: la ficha, el libro, los sobres y los mensajes. Qué se puede suprimir y qué hay que conservar lo resuelve la guía de los datos de la receta.

¿Qué cambia si se reforma la ley de datos personales?

Hoy, nada: la Ley 25.326 sigue vigente y ningún proyecto para reemplazarla es ley. Según la AAIP, el proyecto de 2023 perdió estado parlamentario en 2025 y la Agencia lleva adelante mesas de diálogo para enviar uno nuevo; en Diputados hay proyectos de 2026 que modifican o reemplazan la ley, ninguno sancionado.

El otro frente es el Convenio 108+ del Consejo de Europa. Argentina aprobó por la Ley 27.699 el protocolo que lo modifica y, según la misma nota de la AAIP, lo ratificó en 2023; en febrero de 2026 el convenio tenía 33 ratificaciones y le faltaban cinco para entrar en vigor.

No tiene sentido adaptar la óptica a un texto que todavía no existe. Lo que está escrito hoy —el artículo 9 y las recomendaciones de 2018— alcanza para ordenarla, y el único plazo concreto que circuló, las 72 horas para avisar una filtración, venía de un proyecto que ya no está en trámite.