Legal

Datos personales de los asistentes: qué dice la Ley 25.326 para el registro de tu evento

Por SOMOS DER · 30 de octubre de 2026 · 7 min de lectura

Si registrás asistentes a un evento en Argentina, estás armando una base de datos personales y te alcanza la Ley 25.326. En la práctica son cuatro reglas: pedí consentimiento informado antes de juntar los datos, decí para qué los vas a usar y no los uses para otra cosa, pedí solo lo necesario (nada de datos sensibles obligatorios) y borralos cuando dejan de servir. Y si alguien pide ver, corregir o borrar sus datos, tenés plazos para responder.

Por qué un formulario de registro es una base de datos

La Ley 25.326 de Protección de los Datos Personales define dato personal como información de cualquier tipo referida a personas determinadas o determinables. Nombre, mail, DNI, teléfono, empresa: todo entra. Y define base de datos como cualquier conjunto organizado de datos personales, electrónico o no. Una planilla de invitados, un formulario online y una lista impresa en la mesa de acreditación cuentan igual.

La ley además exige que las bases estén inscriptas. La Agencia de Acceso a la Información Pública (AAIP), que es la autoridad de control, lo dice así: los archivos y bases de datos que permitan obtener información sobre las personas deben estar inscriptos, y en esa misma página tenés un apartado para consultar si estás alcanzado y cuáles son tus obligaciones como responsable. Si organizás eventos seguido y guardás la base entre una edición y otra, revisalo.

Lo que sigue es una lectura práctica de la ley para el registro de asistentes. No reemplaza el consejo de un abogado para tu caso.

1. Consentimiento: libre, expreso, informado y que quede constancia

El artículo 5 dice que el tratamiento de datos es ilícito si el titular no prestó su consentimiento libre, expreso e informado, por escrito o por otro medio que se le equipare. Si el consentimiento va junto con otras declaraciones (las condiciones del evento, por ejemplo), tiene que figurar en forma expresa y destacada.

Traducido al formulario de registro:

• Una casilla que marca la persona, no una que viene marcada de fábrica.
• Un texto corto y visible, arriba del botón de enviar, no escondido en un link de términos.
• Separado de otros permisos. Aceptar que te registren para entrar no es lo mismo que aceptar recibir promociones.

La ley tiene excepciones (por ejemplo, listados que se limitan a nombre, documento, ocupación, fecha de nacimiento y domicilio), pero para un evento no conviene apoyarse en ellas: el mail y el teléfono, que es lo que casi siempre pedís, no están en esa lista.

2. Informá antes de pedir: qué tiene que decir el texto

El artículo 6 enumera lo que hay que informar antes de juntar los datos, en forma expresa y clara. Aplicado a un evento, el texto del formulario tiene que responder:

• Para qué se usan los datos y quiénes los pueden recibir (el organizador, la marca que invita, el sistema de acreditación).
• Quién es el responsable de la base, con identidad y domicilio.
• Qué preguntas son obligatorias y cuáles optativas.
• Qué pasa si no das un dato (por ejemplo, sin mail no te llega el QR).
• Cómo pedir acceso, corrección o borrado de tus datos.

Cinco líneas bien escritas cubren todo eso. Si el evento lo organiza una agencia para una marca, aclaren entre ustedes quién figura como responsable antes de publicar el formulario.

3. Finalidad: los datos sirven para lo que dijiste y nada más

El artículo 4 dice que los datos no pueden usarse para finalidades distintas o incompatibles con las que motivaron su obtención. Si juntaste la base para acreditar a la gente en la puerta, no la podés usar después para una campaña comercial que no informaste.

Lo mismo con la cesión. El artículo 11 exige el consentimiento previo del titular para ceder sus datos, informándole la finalidad e identificando a quién se los pasás. Si un sponsor quiere la lista de asistentes, eso tiene que estar dicho y aceptado en el registro. El caso típico es el de una feria donde el expositor escanea la credencial del visitante: que esté explicado antes, no que el visitante se entere cuando le llega el mail.

4. Qué no pedir: no excesivos y nada sensible obligatorio

El mismo artículo 4 pide que los datos sean ciertos, adecuados, pertinentes y no excesivos en relación con la finalidad. La pregunta que ordena el formulario es una sola: ¿esto lo necesito para que la persona entre y el evento funcione? Si la respuesta es no, sacalo. En qué datos pedir en el registro de asistentes lo desarrollamos campo por campo.

Los datos sensibles tienen una regla más dura. El artículo 2 los define como los que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información sobre la salud o la vida sexual. El artículo 7 dice que ninguna persona puede ser obligada a darlos. En un evento aparecen más seguido de lo que parece:

• Restricciones alimentarias por salud (celiaquía, alergias) o necesidades de accesibilidad. Útiles, pero optativas, explicadas y vistas solo por quien las necesita.
• Menú por religión. Mejor preguntar «¿necesitás un menú especial?» con opciones abiertas, sin pedir el motivo.
• Afiliación sindical o partidaria en eventos institucionales. Si no es indispensable, no la pidas.

Un detalle de diseño ayuda: en PASE el QR de cada asistente es un código aleatorio que no lleva datos personales adentro. Si alguien saca una foto de la credencial o el QR circula, no expone el nombre ni el mail de nadie.

5. Seguridad: la base tiene que estar cuidada

El artículo 9 obliga al responsable a tomar las medidas técnicas y organizativas necesarias para evitar la adulteración, pérdida, consulta o tratamiento no autorizado de los datos. Y prohíbe registrar datos en archivos que no reúnan condiciones de integridad y seguridad. El artículo 10 suma el deber de confidencialidad para todos los que intervienen.

En un evento, los puntos débiles suelen ser tres: la planilla compartida por mail con medio equipo, la lista impresa que queda en la mesa de acreditación al final de la noche y los celulares de los operadores con la base descargada. Que cada operador vea solo lo que necesita para validar, y que nada impreso con datos se quede tirado. En planilla o sistema de acreditación comparamos los dos caminos también desde este lado.

6. Cuánto guardar: hasta que deja de ser necesario

La ley no fija un plazo en días. El artículo 4 dice que los datos deben ser destruidos cuando dejaron de ser necesarios o pertinentes para los fines con que se juntaron. Eso te obliga a decidir antes del evento cuánto los necesitás:

• Para el informe de cierre y la conciliación con el cliente: unas semanas después del evento suele alcanzar. Las métricas agregadas (cuántos entraron, a qué hora) no son datos personales y las podés conservar.
• Para invitar a la próxima edición: solo si lo informaste y la persona aceptó.
• Datos sensibles optativos: se borran apenas termina el evento.

Escribí la fecha de borrado en el mismo documento donde está el texto del formulario, y acordá con quien te da el sistema de acreditación cómo se borra la base cuando llega ese día.

7. Derechos del asistente: acceso, corrección y borrado

Cualquier persona puede pedir saber qué datos suyos tenés, corregirlos o que los borres. El artículo 14 da diez días corridos para responder un pedido de acceso. El artículo 16 da un plazo máximo de cinco días hábiles para rectificar, actualizar o suprimir. Si no respondés, la persona queda habilitada para iniciar la acción de hábeas data.

Lo práctico: un mail de contacto visible en el formulario y en el mail de confirmación, y alguien del equipo que sepa que esos pedidos existen y tienen plazo. Corregir datos también es parte del día a día: en PASE el registro detecta mails mal escritos (gmial.com, hotmail.con) antes de enviar, y el asistente puede usar «Recuperar mi pase» para que le vuelva a llegar el QR a su mail.

Pedí poco, explicá para qué, no lo uses para otra cosa y borralo cuando ya no sirve. Eso es casi toda la ley aplicada a un evento.

Preguntas frecuentes