Cobranzas y datos personales: qué revisar después de las sanciones de la AAIP

El 2 de noviembre de 2026, la Agencia de Acceso a la Información Pública (AAIP), autoridad de aplicación de la Ley 25.326 de Protección de Datos Personales, informó sanciones por el tratamiento ilegítimo de datos personales en gestiones de cobranza telefónica y por no atender pedidos de supresión de datos.

Si tu pyme vende a cuenta corriente, en algún momento cobra deudas: con llamadas, mensajes, correos o una empresa de cobranzas. Este artículo resume lo que informó la AAIP, qué dice la ley y qué conviene revisar. Es información general, no asesoramiento legal: para un caso concreto, consultá con un abogado especializado en datos personales.

Qué informó la AAIP

• Una base de datos suspendida. La AAIP suspendió la base de datos de una empresa de cobranzas hasta que adecúe el tratamiento de datos a la normativa. La investigación empezó en abril de 2026 por denuncias según las cuales la empresa habría contactado a personas ajenas a las deudas: familiares, amistades, compañeros de trabajo y vecinos de los deudores.
• Más actuaciones por prácticas similares. Abrió un sumario contra otra empresa, inició una investigación de oficio contra una tercera e intimó a otras tres entidades.
• Un apercibimiento por no responder. Aplicó apercibimientos a un banco por no entregar la información que la AAIP le pidió, en una investigación por incumplimientos en la supresión de datos.

Y dejó un mensaje que alcanza a cualquier empresa que cobra: las obligaciones de protección de datos personales alcanzan tanto a las empresas que hacen las gestiones de cobranza como a las que ceden información personal para ese fin. Es decir, si le pasás tu lista de deudores a un tercero, la responsabilidad no se va con la lista.

Qué dice la Ley 25.326

Estos son los artículos de la Ley 25.326 que más tocan a una cobranza:

• Calidad y finalidad (artículo 4). Los datos tienen que ser ciertos, adecuados, pertinentes y no excesivos en relación con la finalidad para la que se obtuvieron. Y no pueden usarse para finalidades distintas o incompatibles con las que motivaron su obtención.
• Seguridad (artículo 9). Quien tiene la base debe adoptar medidas técnicas y organizativas para garantizar la seguridad y la confidencialidad de los datos, y evitar su adulteración, pérdida, consulta o tratamiento no autorizado.
• Confidencialidad (artículo 10). Todas las personas que intervienen en cualquier parte del tratamiento están obligadas al secreto profesional, aun después de terminada su relación con el titular de la base.
• Cesión (artículo 11). Los datos solo pueden cederse para fines directamente relacionados con el interés legítimo de quien los cede y de quien los recibe, y con el consentimiento previo del titular. El mismo artículo enumera los casos en que ese consentimiento no se exige.
• Servicios por cuenta de terceros (artículo 25). Quien trata datos por encargo de otro no puede usarlos para un fin distinto del que figura en el contrato de servicios, ni cederlos. Cumplido el contrato, los datos se destruyen, salvo autorización expresa para guardarlos por hasta dos años con las debidas condiciones de seguridad.
• Rectificación y supresión (artículo 16). El responsable debe rectificar, actualizar o suprimir los datos en un plazo máximo de cinco días hábiles desde el reclamo del titular. Si los datos se habían cedido, tiene que avisarle la corrección o la supresión al cesionario dentro del quinto día hábil. La supresión no procede cuando pudiera perjudicar derechos o intereses legítimos de terceros, o cuando existe una obligación legal de conservar los datos.

Una lista para revisar esta semana

1. A quién se contacta. La investigación que terminó en la suspensión partió de denuncias por contactos a personas ajenas a la deuda. Revisá que tus guiones, tus mensajes automáticos y tu proveedor de cobranzas se dirijan solo al titular de la deuda.
2. Con qué datos. Para cada canal de cobranza, preguntate de dónde salió el dato y para qué se pidió. Un teléfono que alguien dejó para coordinar una entrega no es lo mismo que uno dado para recibir avisos de pago.
3. Qué firmaste con el proveedor. Si una empresa de cobranzas o de mensajería trabaja tus datos, el contrato debería decir para qué los usa, que no puede cederlos y qué hace con la base al terminar, como prevé el artículo 25.
4. Quién ve la lista de deudores. Una planilla que circula por correo o por chat es difícil de proteger. Definí quién la consulta, dónde se guarda y quién la puede modificar.
5. Cómo respondés un pedido de rectificación o supresión. Tené a una persona responsable y el plazo de cinco días hábiles a la vista. Antes de borrar, verificá si hay una obligación legal de conservar ese dato.
6. Qué podés mostrar si te preguntan. Uno de los apercibimientos fue por no entregar información que pidió la AAIP. Un registro de cada contacto, con la fecha, el canal y el resultado, te deja responder con hechos.

Dónde entra la automatización

Automatizar la cobranza no la vuelve más legal, pero sí más ordenada. Un recordatorio de pago que sale solo puede ir siempre al contacto que el cliente dio para eso, dejar registrado cada envío y frenarse cuando la deuda se paga. Lo que no está claro, como un reclamo o un pedido de baja, puede pasar a una persona del equipo.

En automatización trabajamos así: conectamos los canales y las herramientas que ya usás, y definimos qué resuelve la automatización y qué deriva a una persona. Si estás ordenando tu cobranza, empezá por la lista de arriba: muchas de esas decisiones no son técnicas, y conviene tomarlas antes de automatizar.