Inicio BlogSeguridad de datos

Tecnología · 12 min de lectura

Seguridad de datos en la administración de consorcios: qué te exige la ley y qué preguntarle a tu proveedor

Administrar edificios es tratar datos personales de cientos de familias, y frente a la Ley 25.326 el responsable de ese tratamiento sos vos, no tu software. Contratar un sistema no traslada la obligación: la reparte. Esta guía separa lo que la ley argentina te exige a vos de lo que tenés derecho a exigirle a tu proveedor, con las preguntas concretas para hacérselas antes de firmar.

Equipo CONSO · 26 de agosto de 2026

La respuesta corta

El software es tu encargado; el responsable seguís siendo vos

El padrón de propietarios e inquilinos de un consorcio es una base de datos personales, y quien la forma es el administrador. La Ley 25.326 llama responsable del tratamiento a quien decide para qué y cómo se usan esos datos, y encargado al tercero que los procesa siguiendo sus instrucciones —el artículo 25 define esa figura como la «prestación de servicios informatizados de datos personales»—. Tu software de expensas es lo segundo. Vos seguís siendo lo primero.

La consecuencia práctica es incómoda y conviene saberla antes que después: si un vecino reclama por sus datos, si la AAIP inicia una actuación o si un dato personal termina donde no debía, el interlocutor es la administración. El proveedor responde ante vos por su parte del contrato; vos respondés ante el titular del dato. Por eso las preguntas del apartado 06 no son un trámite técnico: son la forma de repartir bien un riesgo que ya es tuyo.

Lo que la ley te pide a vos

Informar para qué usás los datos (art. 6), adoptar medidas de seguridad (art. 9), guardar secreto (art. 10), atender los reclamos en plazo (arts. 14 y 16) e inscribir la base (arts. 21 y 24).

Lo que le pedís al proveedor

Un contrato de encargado que diga que sólo actúa por instrucciones tuyas, dónde viven los datos, quiénes son sus propios proveedores y qué pasa el día que te vas.

Qué datos personales maneja de verdad un consorcio

Más de los que uno cree, y algunos entran en la categoría más protegida de la ley. La Ley 25.326 define «datos personales» en su artículo 2 como «información de cualquier tipo referida a personas físicas o de existencia ideal determinadas o determinables». No hace falta que el dato sea íntimo: alcanza con que identifique a alguien. En una administración eso incluye, como mínimo, estas seis familias.

El padrón de unidades. Nombre y apellido de propietarios e inquilinos, domicilio, teléfono, correo electrónico y la relación de cada persona con su unidad funcional.
La cuenta corriente por unidad. Saldos, deuda, intereses y pagos. Es información patrimonial asociada a una persona identificable: quién debe y cuánto es un dato personal, no un número anónimo.
Los datos del personal del edificio. Documento, CUIL, domicilio, recibos de sueldo y cargas sociales del encargado y de cualquier otro empleado.
Datos sensibles, aunque no los busques. El artículo 2 califica como sensibles, entre otros, los que revelan afiliación sindical e información referente a la salud. Una boleta sindical, una obra social o un certificado médico del encargado caen ahí, y el artículo 7 les pone un régimen más estricto: nadie puede ser obligado a proporcionarlos.
Los datos de proveedores y sus contactos. CUIT, domicilio, nombre y teléfono de la persona con la que hablás en cada empresa.
Las comunicaciones. Mensajes de vecinos, reclamos, fotos de una filtración, audios por WhatsApp. Todo eso es tratamiento de datos personales, y suele ser la parte que ninguna administración inventaría.

Un edificio de sesenta unidades reúne sin esfuerzo varios cientos de personas identificadas entre propietarios, inquilinos, familiares, empleados y proveedores. Multiplicado por la cartera de edificios de una administración mediana, el volumen es comparable al de una empresa de servicios —con la diferencia de que casi nadie lo trata como tal.

Qué te exige la Ley 25.326 a vos, no a tu software

Cinco obligaciones concretas, todas anteriores a cualquier decisión tecnológica. La Ley 25.326 de Protección de los Datos Personales se sancionó el 4 de octubre de 2000, sigue vigente en 2026 y su reglamentación es el Decreto 1558/2001. El organismo de control es la Agencia de Acceso a la Información Pública (AAIP), que asumió esa función de la antigua Dirección Nacional de Protección de Datos Personales.

Tener base legal para tratar el dato (art. 5). El principio es el consentimiento «libre, expreso e informado», pero el inciso 2.d) lo exceptúa cuando los datos «deriven de una relación contractual, científica o profesional del titular de los datos, y resulten necesarios para su desarrollo o cumplimiento». El padrón de expensas encaja ahí: no necesitás pedirle permiso a un propietario para liquidarle la expensa. Sí lo necesitás para usar su teléfono con otro fin.
Informar antes de recolectar (art. 6). Cuando pedís datos hay que informar «en forma expresa y clara» la finalidad y los destinatarios, la existencia de la base y la identidad y domicilio del responsable, si contestar es obligatorio o facultativo, y «la posibilidad del interesado de ejercer los derechos de acceso, rectificación y supresión». Un párrafo en la ficha de alta de unidad resuelve el 90 % de esto.
Adoptar medidas de seguridad (art. 9). La norma exige «las medidas técnicas y organizativas que resulten necesarias para garantizar la seguridad y confidencialidad» y prohíbe registrar datos «en archivos, registros o bancos que no reúnan condiciones técnicas de integridad y seguridad». Qué medidas, no lo dice: volvemos sobre eso en el apartado 07.
Guardar secreto (art. 10). El deber de confidencialidad alcanza a «las personas que intervengan en cualquier fase del tratamiento» —tu equipo, no sólo vos— y «subsistirá aun después de finalizada su relación con el titular del archivo de datos». Un colaborador que se va sigue obligado.
No ceder los datos por fuera de su finalidad (art. 11). La cesión requiere consentimiento previo del titular, salvo las excepciones de la propia norma. Pasarle el listado de morosos a un estudio jurídico para ejecutar la deuda tiene encuadre; pasárselo a un tercero para que ofrezca servicios a los vecinos, no.

Ninguna de las cinco se cumple ni se incumple por elegir un software. Se cumplen con procedimientos de la administración —una ficha de alta bien redactada, un acuerdo de confidencialidad con el equipo, un criterio escrito sobre a quién se le entrega qué—. El sistema ayuda a sostenerlas; no las reemplaza.

La inscripción de tu base en el Registro Nacional de Bases de Datos

Si administrás consorcios cobrando honorarios, tu padrón no es de «uso exclusivamente personal», y la ley te manda inscribirlo. El artículo 24 de la Ley 25.326 es corto y no deja mucho margen: «Los particulares que formen archivos, registros o bancos de datos que no sean para un uso exclusivamente personal deberán registrarse conforme lo previsto en el artículo 21».

«A los efectos de esta reglamentación, quedan comprendidos en el concepto de archivos, registros, bases o bancos de datos privados destinados a dar informes, aquellos que exceden el uso exclusivamente personal y los que tienen como finalidad la cesión o transferencia de datos personales, independientemente de que la circulación del informe o la información producida sea a título oneroso o gratuito.» — artículo 1 del Anexo I del Decreto 1558/2001.

Esa definición reglamentaria es la que cierra la discusión: el artículo 21 habla de bases «destinadas a proporcionar informes», y el decreto aclara que eso incluye a toda base que exceda el uso personal. La base de una administración profesional lo excede por definición.

El trámite es más liviano de lo que suena. Según publica la AAIP, la inscripción de bases privadas se hace por la plataforma Trámites a Distancia (TAD) con clave fiscal nivel 2 o superior, es gratuita, y una vez aprobada llega por correo el número de inscripción. La propia agencia aclara que la inscripción no vence, pero que hay que informar cualquier cambio en lo declarado. El artículo 21 enumera qué se declara: nombre y domicilio del responsable, características y finalidad del archivo, naturaleza de los datos, forma de recolección, destino de los datos, medios de seguridad, tiempo de conservación y cómo se ejercen los derechos.

Y ahora la parte honesta sobre las consecuencias. Bajo la clasificación vigente —Resolución AAIP 126/2024, en vigor desde el 1 de junio de 2024—, «efectuar tratamiento de datos personales sin encontrarse inscripto ante el Registro Nacional de Bases de Datos» es una infracción leve. La escala del artículo 31 de la ley sigue expresada en los pesos del año 2000: de $1.000 a $100.000, con apercibimiento, suspensión, clausura o cancelación del archivo como sanciones no pecuniarias. Traducido: la multa, hoy, no es el riesgo real. El riesgo real es la acción de hábeas data de un vecino, el reclamo de daños y el problema reputacional de que en tu administración se filtró un padrón. La inscripción es gratuita y te saca del incumplimiento formal en una tarde; hacerla por miedo a la multa sería un mal cálculo, y no hacerla porque la multa es baja, peor.

Qué puede exigirte un vecino sobre sus datos, y en cuántos días

Tres derechos con plazos cortos, y una excepción que casi nunca se menciona. El vecino no le reclama a tu software: te reclama a vos. Los plazos corren desde que recibís el pedido, no desde que le preguntás al proveedor.

Acceso: diez días corridos. El artículo 14 inciso 2 dice que el responsable «debe proporcionar la información solicitada dentro de los diez días corridos de haber sido intimado fehacientemente». Vencido el plazo sin respuesta, o con una respuesta insuficiente, «quedará expedita la acción de protección de los datos personales o de hábeas data». El inciso 3 agrega que el acceso es gratuito «a intervalos no inferiores a seis meses».
Rectificación, actualización o supresión: cinco días hábiles. El artículo 16 inciso 2 fija ese plazo máximo «de recibido el reclamo del titular de los datos o advertido el error o falsedad». Y el inciso 4 suma algo que se olvida: si el dato ya fue cedido, hay que notificar la rectificación o supresión al cesionario «dentro del quinto día hábil».
Información: qué bases existen (art. 13). Cualquier persona puede pedirle al organismo de control información sobre la existencia de bases de datos y sobre quién es su responsable. Es, además, la razón por la que una base inscripta es una base ubicable.

La excepción que te salva de un pedido imposible. Cuando un ex propietario pide que borres todo lo suyo, el artículo 16 inciso 5 es la norma a citar: «La supresión no procede cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, o cuando existiera una obligación legal de conservar los datos». Y vos tenés varias de esas obligaciones encima.

El artículo 2067 inciso i) del Código Civil y Comercial le manda al administrador «llevar en legal forma los libros de actas, de administración, de registro de propietarios», y además «archivar cronológicamente las liquidaciones de expensas, y conservar todos los antecedentes documentales de la constitución del consorcio y de las sucesivas administraciones». En la Ciudad de Buenos Aires, el artículo 9 inciso f) de la Ley 941 agrega el deber de «conservar la documentación del consorcio y garantizar el libre acceso de los consorcistas a la misma» —el mapa completo de esas obligaciones está en la guía de la Ley 941 para administradores de CABA—. La respuesta correcta a ese vecino, entonces, no es «no puedo» ni «listo, borré todo»: es explicarle qué se suprime, qué se conserva y con qué fundamento legal, por escrito y dentro de los cinco días hábiles.

¿Es seguro un software de expensas en la nube si los servidores están en el exterior?

Es legal, pero no es automático: la transferencia internacional de datos tiene su propio régimen y hay que legitimarla. El artículo 12 de la Ley 25.326 prohíbe transferir datos personales «con países u organismos internacionales o supranacionales, que no proporcionen niveles de protección adecuados», con excepciones tasadas. Y la lista de quiénes son «adecuados» existe, es pública y es corta.

Países y jurisdicciones con protección adecuada, según el artículo 3 de la Disposición 60-E/2016: «Estados miembros de la UNIÓN EUROPEA y miembros del espacio económico europeo (EEE), CONFEDERACIÓN SUIZA, GUERNSEY, JERSEY, ISLA DE MAN, ISLAS FEROE, CANADÁ sólo respecto de su sector privado, PRINCIPADO DE ANDORRA, NUEVA ZELANDA, REPÚBLICA ORIENTAL DEL URUGUAY y ESTADO DE ISRAEL sólo respecto de los datos que reciban un tratamiento automatizado.»

Estados Unidos no está en esa lista. Y ahí es donde la conversación se vuelve concreta, porque prácticamente toda la infraestructura de nube que usa el software del rubro —el argentino incluido— está radicada allá. Que no esté en la lista no vuelve ilegal la transferencia: la vuelve una transferencia que hay que legitimar por alguna de las vías previstas, típicamente el consentimiento específico e informado del titular y las cláusulas contractuales modelo que aprobó la misma Disposición 60-E/2016 —complementadas por la Resolución AAIP 198/2023, que sumó nuevas cláusulas modelo sin derogar las anteriores—.

Cómo se ve esto en CONSO, sin adornos: la plataforma corre en Vercel, la base de datos es un Postgres administrado por Supabase alojado en centros de datos de AWS en Estados Unidos, y los nueve proveedores que procesan datos por cuenta de CONSO están radicados allá. No es un dato que escondamos en una nota al pie: está publicado con denominación social, país, función y categorías de datos de cada uno en la lista pública de proveedores de servicios, y la política de privacidad explica en su Sección 7 con qué se legitima la transferencia. Pedile a cualquier proveedor que estés evaluando la misma tabla. Si no la tiene, esa también es una respuesta.

Diez preguntas para hacerle a tu proveedor antes de firmar

Cada pregunta viene con la respuesta que debería tranquilizarte, la que debería preocuparte y cómo la contesta CONSO —incluso cuando la respuesta no nos favorece, que es exactamente el punto de publicar una lista así—. Son preguntas para hacer por escrito y guardar la respuesta.

01 · ¿Sos responsable o encargado del tratamiento? ¿Me pasás el contrato?

Buena respuesta: «encargado», con un contrato que lo diga. El artículo 25 del Anexo I del Decreto 1558/2001 exige que el contrato disponga «que el encargado del tratamiento sólo actúa siguiendo instrucciones del responsable» y que las obligaciones de seguridad del artículo 9 «incumben también al encargado».
Alarma: no tener contrato, o reservarse el uso de tus datos «para mejorar el servicio».
CONSO: encargado. La política de privacidad lo dice en su Sección 2.3: respecto de los datos de terceros que carga la administración, el responsable es la administración y CONSO actúa como encargado.

02 · ¿Dónde viven físicamente los datos?

Buena respuesta: el nombre del proveedor de infraestructura y el país. Con eso podés cruzarlo contra la lista de la Disposición 60-E/2016.
Alarma: «en la nube», sin más.
CONSO: Vercel para la aplicación y Supabase para la base de datos, en centros de datos de AWS en Estados Unidos. Estados Unidos no integra la lista de países con protección adecuada, y por eso la transferencia se legitima por consentimiento informado y cláusulas contractuales.

03 · ¿Publicás quiénes son tus propios proveedores?

Buena respuesta: una lista con nombre, país, función y qué datos ve cada uno. Es lo que el artículo 25 de la Ley 25.326 vuelve exigible en la cadena.
Alarma: «trabajamos con proveedores líderes del mercado».
CONSO: nueve proveedores nombrados uno por uno en la página de subprocesadores, con el compromiso de avisar con treinta días de anticipación antes de incorporar uno que cambie sustancialmente el tratamiento. Es un dato que casi nadie del rubro publica; pedilo igual a todos.

04 · ¿Cómo se separan mis datos de los de otra administración?

Buena respuesta: una descripción del mecanismo, no una promesa.
Alarma: «es imposible que pase», sin explicar por qué.
CONSO: aislamiento lógico por organización, aplicado en cada consulta a la base de datos: ninguna consulta del sistema devuelve información de dos administraciones a la vez. Como está publicado en la página de seguridad, la separación está en cada consulta y no en una configuración que alguien pueda apagar. Hacia adentro de tu administración hay una segunda pared: niveles de acceso configurables por área y alcance por edificio, de modo que un colaborador sólo ve los edificios que le asignaste.

05 · ¿Los archivos tienen URL pública?

Buena respuesta: almacenamiento privado y enlaces que vencen.
Alarma: un link a una liquidación o a un recibo de sueldo que sigue abriendo seis meses después, para cualquiera que lo tenga.
CONSO: liquidaciones, facturas y comprobantes viven en almacenamiento privado y cada vista o descarga usa un enlace firmado que vence solo, con una vigencia que va de un minuto a una hora según el caso.

06 · ¿Qué datos se guardan cifrados y cuáles no?

Buena respuesta: una lista de campos concreta. Un sistema de gestión tiene que poder leer tus datos para mostrártelos, así que la respuesta honesta nunca es «todo, siempre».
Alarma: «cifrado de nivel bancario» y sellos sin contenido.
CONSO: la conexión viaja cifrada, el almacenamiento está cifrado en reposo por el proveedor y, además, se cifran a nivel de la aplicación —antes de guardarse— el CBU, el número de cuenta, el CUIT y el titular de las cuentas bancarias; el CUIT de proveedores y sus contactos; el nombre, apellido, correo, teléfono y domicilio de los contactos de unidad; el documento, CUIL, teléfono, correo y domicilio de los empleados; y el nombre del remitente en los extractos bancarios. Lo que no está en esa lista, no está cifrado a nivel de aplicación.

07 · ¿Qué queda registrado y qué no?

Buena respuesta: el alcance exacto del registro de auditoría.
Alarma: que te prometan que queda registrado absolutamente todo, sin excepciones. Es la frase más fácil de decir y la más difícil de sostener.
CONSO: los movimientos de dinero en cuentas bancarias, fondos del edificio y caja quedan auditados dentro de la misma transacción que los produce; seis tablas con datos personales sensibles tienen su propio registro de acceso y modificación; la actividad de los colaboradores queda registrada en decenas de módulos. Lo que no: ese registro de actividad está pensado para el trabajo del equipo y no anota lo que hace el dueño de la cuenta, y los pagos a proveedores hoy no escriben en una tabla de auditoría.

08 · ¿Cada cuánto hacés copias de seguridad y cuánto conservás si me doy de baja?

Buena respuesta: una política escrita, con frecuencia y retención.
Alarma: un número redondo dicho de memoria por un vendedor. Y otra alarma, en el contrato: revisá si la cláusula de responsabilidad del usuario te adjudica a vos el respaldo de tu propia información.
CONSO: no publicamos frecuencia ni plazos de retención tras la baja hasta tenerlos escritos como política, y los Términos y Condiciones, en su punto 10.4, ponen en cabeza del usuario «la obtención y mantenimiento de respaldos (backups) propios de su información crítica». Preferimos que lo sepas antes de firmar y no después.

09 · ¿Qué pasa el día que me voy?

Buena respuesta: exportación en formato abierto disponible siempre, sin permanencia, y un plazo comprometido de entrega.
Alarma: que la exportación sea un trámite con el área comercial.
CONSO: cada listado y reporte se exporta a Excel cuando quieras, sin permanencia, y los Términos fijan la entrega de toda la información en hasta 10 días hábiles. Con una aclaración honesta: la exportación total al irse es un proceso que se pide, no un botón de un clic.

10 · ¿Qué le pasa a mis datos cuando los procesa la inteligencia artificial?

Buena respuesta: qué se envía, a quién, si se usa para entrenar modelos y cuánto se conserva el historial.
Alarma: «la IA corre local y tus datos no salen», cuando el producto usa modelos de terceros.
CONSO: las consultas viajan a proveedores de modelos radicados en Estados Unidos, identificados en la lista de subprocesadores, con el criterio de enviar sólo lo necesario para responder, y la política de privacidad establece que no se usan para entrenar modelos. Lo que todavía no podemos prometer: hoy el historial de las interacciones con la IA no se purga solo a los X meses.

Estas diez preguntas son las de protección de datos. Son complementarias, y no idénticas, a las siete pruebas de confiabilidad general de un sistema —exportación, precio público, rastro de auditoría, aprobación humana de la IA— que están en cómo saber si un software de consorcios es confiable. Un proveedor puede pasar aquellas y fallar estas.

Lo que la ley argentina todavía no te exige (y por qué eso no te protege)

Tres huecos del régimen vigente que conviene conocer, porque son huecos de la ley y no de tu proveedor. Saberlos cambia dónde ponés el esfuerzo: en un marco laxo, el estándar que te protege es el que vos elegís, no el mínimo legal.

La ley te pide medidas de seguridad, pero ya no te dice cuáles. La Resolución AAIP 47/2018, publicada el 25 de julio de 2018, derogó las Disposiciones 11/2006 y 9/2008 —que fijaban niveles de seguridad obligatorios— y las reemplazó por dos documentos de «medidas de seguridad recomendadas». La obligación genérica del artículo 9 sigue en pie; el catálogo concreto pasó a ser una recomendación no vinculante.
No hay un deber legal de notificar una filtración. La Ley 25.326 no contiene una obligación de informar incidentes de seguridad. La AAIP recomienda notificar dentro de las 72 horas de tomado conocimiento, y el proyecto de ley que la volvía obligatoria perdió estado parlamentario en 2025. Hoy, si tu proveedor se compromete por contrato a avisarte, es porque decidió hacerlo, no porque se lo manden.
La escala de multas no acompaña. El artículo 31 sigue fijando multas «de mil pesos ($ 1.000.-) a cien mil pesos ($ 100.000.-)», valores del año 2000. Quien mida el riesgo por el tamaño de la multa va a concluir que no hay riesgo, y se va a equivocar: el hábeas data, el reclamo de daños del titular y la pérdida de un consorcio no tienen tope de escala.

Y un límite de esta nota, para ser parejos. Todo lo de arriba es el régimen nacional. Hay proyectos de reforma integral de la Ley 25.326 en trámite parlamentario desde 2025 —ninguno sancionado a la fecha de esta publicación— y jurisdicciones con normas propias sobre la actividad del administrador. Antes de apoyar una decisión importante en un plazo o en una sanción, verificá la norma vigente en tu jurisdicción: esta guía te da el mapa nacional y los artículos con nombre, no un dictamen sobre tu caso.

La postura de la casa sobre nuestro propio producto está escrita con el mismo criterio en la página de seguridad de CONSO: seis afirmaciones que se pueden verificar en una demo, sin certificaciones que no tenemos y sin sellos decorativos. Lo que no está publicado ahí es porque todavía no lo podemos sostener por escrito.

Preguntas frecuentes

¿El administrador de consorcios tiene que inscribir su base de datos?

Sí, si administra de forma profesional. El artículo 24 de la Ley 25.326 obliga a registrar los archivos «que no sean para un uso exclusivamente personal», y el artículo 1 del Anexo I del Decreto 1558/2001 aclara que quedan comprendidas las bases «que exceden el uso exclusivamente personal». El padrón de propietarios, inquilinos, empleados y proveedores de una cartera de edificios lo excede. La inscripción en el Registro Nacional de Bases de Datos se hace ante la AAIP por Trámites a Distancia con clave fiscal nivel 2 o superior, es gratuita y no vence, aunque hay que informar cualquier cambio de lo declarado. Bajo la Resolución AAIP 126/2024, tratar datos sin estar inscripto es una infracción leve.

¿Es seguro guardar los datos de mis consorcios en un software en la nube?

Puede serlo, y la respuesta depende de cosas verificables, no de la palabra «nube». Preguntá dónde están radicados los servidores, quiénes son los subprocesadores del proveedor con nombre y país, cómo se separan tus datos de los de otras administraciones, si los archivos tienen enlaces que vencen, qué campos se guardan cifrados y qué queda registrado cuando alguien corrige un dato. Si los servidores están fuera del país, la transferencia internacional se rige por el artículo 12 de la Ley 25.326 y hay que legitimarla; Estados Unidos no integra la lista de países con protección adecuada del artículo 3 de la Disposición 60-E/2016, así que la vía habitual es el consentimiento específico e informado más cláusulas contractuales.

Un propietario me pide que borre todos sus datos: ¿tengo que hacerlo?

No necesariamente, y tenés cinco días hábiles para contestarle. El artículo 16 inciso 2 de la Ley 25.326 fija ese plazo para rectificar, actualizar o suprimir, pero el inciso 5 aclara que «la supresión no procede cuando pudiese causar perjuicios a derechos o intereses legítimos de terceros, o cuando existiera una obligación legal de conservar los datos». Y vos tenés obligaciones de conservación: el artículo 2067 inciso i) del Código Civil y Comercial te manda archivar cronológicamente las liquidaciones de expensas y conservar los antecedentes documentales de las sucesivas administraciones, y en CABA el artículo 9 inciso f) de la Ley 941 exige conservar la documentación del consorcio. La respuesta correcta es escrita: qué se suprime, qué se conserva y con qué fundamento.

Si contrato un software, ¿la responsabilidad por los datos pasa a ser del proveedor?

No. La Ley 25.326 distingue entre el responsable del tratamiento, que decide para qué y cómo se usan los datos, y el encargado, que los procesa por cuenta del responsable siguiendo sus instrucciones —la figura del artículo 25—. Al contratar un software de expensas, la administración sigue siendo responsable y el proveedor pasa a ser encargado. Lo que sí conseguís es repartir el riesgo por contrato: el artículo 25 del Anexo I del Decreto 1558/2001 exige que ese contrato diga que el encargado sólo actúa siguiendo tus instrucciones y que las obligaciones de seguridad del artículo 9 también le incumben a él. Pedí ese contrato por escrito antes de firmar.

¿Qué pasa si se filtran los datos de un consorcio que administro?

Hoy la Ley 25.326 no impone un deber legal de notificar el incidente: la AAIP recomienda avisar dentro de las 72 horas de tomado conocimiento, y el proyecto que volvía obligatoria esa notificación perdió estado parlamentario en 2025. Eso no significa que no haya consecuencias. El titular del dato puede iniciar la acción de hábeas data prevista en la propia ley y reclamar los daños; la AAIP puede iniciar actuaciones de oficio y aplicar las sanciones del artículo 31 —apercibimiento, suspensión, multa, clausura o cancelación del archivo—; y el consorcio puede pedirte explicaciones como responsable del tratamiento. Documentar qué pasó, cuándo y qué medidas tomaste es lo primero, y lo que después sostiene cualquier defensa.