Protección de datos de pacientes en odontología (Ley 25.326): qué tenés que saber

En Argentina, los datos de salud de tus pacientes (historia clínica, odontograma, radiografías, diagnósticos) son datos sensibles y están protegidos por la Ley 25.326 de Protección de los Datos Personales. En la práctica: la ley te habilita a tratarlos para atender al paciente, con secreto profesional; debés guardarlos con medidas de seguridad; necesitás su consentimiento para cederlos o usarlos para fines que exceden la atención (salvo excepciones de la propia ley), y el paciente tiene derecho a acceder, corregir y, en ciertos casos, eliminar su información.

Este artículo es informativo y no reemplaza el asesoramiento legal. Ante dudas concretas, te conviene verificar con tu colegio odontológico provincial y con la Agencia de Acceso a la Información Pública (AAIP), que es la autoridad de aplicación de la ley.

Qué dice la Ley 25.326 y por qué te involucra

La Ley 25.326, sancionada en el año 2000 y reglamentada por el Decreto 1558/2001, regula el tratamiento de datos personales en archivos, registros y bases de datos públicos y privados. Es la ley que reglamenta la acción de habeas data del artículo 43 de la Constitución Nacional, que permite a cualquier persona saber qué datos suyos existen y exigir su rectificación o supresión. Sigue vigente en 2026: hay proyectos de reforma integral presentados en el Congreso, pero ninguno fue sancionado.

Como odontólogo/a llevás bases de datos de pacientes (fichas, contactos, antecedentes, imágenes), así que la ley te alcanza como responsable del tratamiento de esos datos.

Por qué los datos odontológicos son "datos sensibles"

El artículo 2 de la ley define como datos sensibles aquellos que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual. Los datos clínicos de odontología entran de lleno en esta categoría.

Tienen una protección reforzada: por ejemplo, nadie puede ser obligado a proporcionarlos (art. 7).

El artículo 8 habilita expresamente a los profesionales y establecimientos sanitarios a recolectar y tratar datos de salud de sus pacientes, siempre respetando el secreto profesional. Es decir: podés (y necesitás) llevar la historia clínica, pero con confidencialidad.

Tus obligaciones principales como profesional

1. Consentimiento: cuándo hace falta y cuándo no

El artículo 5 fija como regla que el tratamiento de datos requiere el consentimiento libre, expreso e informado del titular. Pero prevé excepciones, y una aplica de lleno al consultorio: no hace falta consentimiento cuando los datos derivan de una relación profesional y son necesarios para su desarrollo (art. 5, inc. 2, d). Sumado al art. 8, eso significa que para atender al paciente y llevar su historia clínica no necesitás un consentimiento de datos aparte.

Para lo que excede la atención, la regla vuelve a ser el consentimiento: ceder sus datos a terceros o publicar fotos de su caso en redes. La ley también prohíbe usar los datos para fines incompatibles con los que motivaron su recolección (art. 4, inc. 3): si le mandás promociones, no uses su información clínica para eso y respetá su pedido de que lo saques de la lista (art. 27). Y siempre conviene informarle qué datos guardás, para qué y por cuánto tiempo.

2. Calidad y finalidad de los datos (art. 4)

Solo podés recolectar datos adecuados, pertinentes y no excesivos respecto de la finalidad para la que se obtienen. No pidas información que no necesitás para la atención.

3. Confidencialidad y seguridad (arts. 9 y 10)

Tenés que adoptar medidas técnicas y organizativas que eviten la adulteración, pérdida o acceso no autorizado a los datos. Por ejemplo:

• Controlar quién accede a las fichas (personal del consultorio).
• Usar contraseñas y resguardos en los sistemas digitales.
• Hacer copias de seguridad.
• Recordar que el deber de secreto alcanza a vos y a todas las personas que intervienen en el tratamiento de los datos (secretaría, otros profesionales), y sigue vigente aun después de que esa persona deja de trabajar en el consultorio (art. 10).

4. No ceder datos sin autorización (art. 11)

No podés transferir datos de pacientes a terceros (laboratorios, otros profesionales, aseguradoras, obras sociales) sin consentimiento, salvo las excepciones acotadas del art. 11, inc. 3. Entre ellas: cuando lo disponga una ley, cuando la cesión sea necesaria para la propia relación profesional (art. 5, inc. 2), o por razones de salud pública, emergencia o estudios epidemiológicos, con la identidad de los pacientes disociada.

Para la historia clínica hay una regla específica: la Ley 26.529 (art. 19, inc. c) exige la autorización expresa del paciente o de su representante legal para que otro profesional la solicite.

5. Respetar los derechos del paciente (arts. 14 a 16)

El titular de los datos tiene derecho de acceso (saber qué datos tenés), de rectificación (corregir errores) y de supresión o actualización. La ley fija plazos concretos:

• El pedido de acceso se responde dentro de los 10 días corridos desde que el paciente lo pidió de forma fehaciente (art. 14, inc. 2).
• La rectificación, actualización o supresión se hace en un máximo de 5 días hábiles desde el reclamo (art. 16, inc. 2).
• El acceso es gratuito a intervalos no inferiores a seis meses, salvo interés legítimo (art. 14, inc. 3).

Tené en cuenta que la historia clínica tiene un plazo de conservación obligatorio: la Ley 26.529 de Derechos del Paciente fija un mínimo de 10 años (art. 18), por lo que el derecho de supresión convive con ese deber de guarda.

Registro de bases de datos en la AAIP

La ley (art. 21) exige inscribir en el Registro Nacional de Bases de Datos Personales de la AAIP las bases de datos públicas y las privadas destinadas a dar informes. Según la AAIP, solo quedan exceptuados los archivos de uso exclusivamente personal. Y la Resolución AAIP 126/2024 considera infracción leve tratar datos personales sin estar inscripto en el Registro.

Si tu consultorio está obligado y cómo hacer el trámite, conviene verificarlo con la AAIP en argentina.gob.ar/aaip.

Si tus datos se guardan fuera de Argentina

Muchos sistemas en la nube alojan la información en otro país. El artículo 12 prohíbe transferir datos personales a países que no proporcionen niveles de protección adecuados, salvo excepciones puntuales.

La lista de países adecuados de la AAIP (Disposición DNPDP 60/2016 y Resolución AAIP 34/2019) incluye, entre otros, la Unión Europea, el Reino Unido, Suiza, Uruguay, Canadá (sector privado), Nueva Zelanda e Israel. Brasil y Estados Unidos no figuran. Para transferir a un país que no está en la lista, la AAIP admite mecanismos como las cláusulas contractuales modelo (las de la Disposición 60/2016 y las de la Red Iberoamericana de Protección de Datos, aprobadas por la Resolución AAIP 198/2023), las normas corporativas vinculantes o el consentimiento expreso del titular.

Preguntale a tu proveedor de software dónde se alojan los datos, quiénes intervienen (incluidos los proveedores de inteligencia artificial) y con qué garantías.

Sanciones por incumplimiento

La AAIP, como autoridad de aplicación, puede aplicar sanciones administrativas: apercibimiento, suspensión, multas, y la clausura o cancelación del archivo o base de datos (art. 31).

Las infracciones se clasifican en leves, graves y muy graves, y la clasificación y la graduación de las sanciones vigentes están en la Resolución AAIP 126/2024 (modificada en 2025). Entre las muy graves figuran incumplir el deber de confidencialidad y seguridad respecto de datos sensibles y transferir datos a países sin protección adecuada; no atender en tiempo y forma un pedido de acceso, rectificación o supresión es grave.

Además, el Código Penal (arts. 117 bis y 157 bis) prevé penas de prisión para quien insertara datos falsos en un archivo, accediera ilegítimamente a un banco de datos personales o revelara información registrada cuyo secreto estuviera obligado a preservar.

Cómo te ayuda un software de gestión preparado

Cumplir la Ley 25.326 es más simple cuando la información clínica no vive en planillas sueltas. Con Odonthia —software de gestión para odontólogos/as con plan gratis— la ficha clínica, el odontograma FDI y los documentos con firma electrónica quedan centralizados, con usuarios y roles, registro de actividad, aislamiento por consultorio y respaldos automáticos.

Además, con la ficha por QR el paciente carga sus datos y antecedentes desde el celular y firma el consentimiento de uso de sus datos; el consultorio revisa y aprueba la ficha antes de que entre a la historia clínica.

Los roles quedan claros: vos sos el responsable del tratamiento de los datos de tus pacientes, y Odonthia actúa como encargado: según su política de privacidad, los procesa solo por instrucción del consultorio para prestarle el servicio, y esa política detalla dónde se alojan y qué proveedores intervienen. La responsabilidad legal sigue siendo tuya.

Conclusión

Los datos de tus pacientes son datos sensibles y la Ley 25.326 te obliga a tratarlos con confidencialidad y seguridad, y a pedir su consentimiento para cederlos o usarlos más allá de la atención. Conocer tus deberes y los plazos de los derechos del paciente evita sanciones y sostiene la confianza de la relación clínica. Ante casos concretos, consultá a tu colegio profesional y a la AAIP.