En el barrio Castro de San Francisco, varios bares y clubes nocturnos LGBTQ+ instalaron terminales de verificación de identidad que van mucho más allá de confirmar la edad de sus clientes. El sistema en cuestión, comercializado bajo el nombre PatronScan, escanea documentos de identidad, captura fotografías de los asistentes y, según se informó, comparte esa información con otros establecimientos participantes de la red. La revelación encendió alertas entre activistas de privacidad y especialistas legales, y abrió un debate que excede las fronteras de California.
Un sistema de seguridad o una base de datos encubierta
PatronScan no es un producto nuevo. Según documentación periodística publicada ya en 2019, la empresa construyó una red que permite a los bares adheridos marcar a determinados clientes y compartir esa información con otros locales. En la práctica, significa que una persona que fue expulsada de un establecimiento —por cualquier motivo— puede quedar registrada en un sistema al que acceden múltiples negocios, sin que ella lo sepa ni haya prestado consentimiento explícito.
La empresa sostiene que su uso es legal en California y aclaró, según se informó, que no realiza reconocimiento facial en América del Norte ni ningún tipo de análisis automatizado de imágenes. Sin embargo, la sola recopilación y circulación de datos provenientes de documentos de identidad oficiales plantea interrogantes jurídicos de fondo.
La tensión con las leyes de privacidad
California cuenta con una norma específica sobre privacidad de documentos de identidad que, tras una enmienda de 2018, prohíbe a las empresas retener o utilizar información obtenida del escaneo de un documento oficial, salvo en casos acotados: verificación de edad, cumplimiento de una obligación legal o prevención de fraude. La pregunta que queda sin respuesta clara es si construir una base de datos compartida entre locales encaja en alguna de esas excepciones.
Este tipo de tensión normativa no es exclusiva de Estados Unidos. En América Latina, marcos regulatorios como la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley 25.326 de Argentina o la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México establecen principios similares: los datos personales deben recopilarse con una finalidad específica, con consentimiento informado y no pueden cederse a terceros sin base legal suficiente. Un sistema como PatronScan, trasplantado a cualquiera de estos países, enfrentaría cuestionamientos directos bajo esas legislaciones.
Colombia, por su parte, cuenta con la Ley 1581 de 2012 y su decreto reglamentario, que exigen autorización previa, expresa e informada del titular para el tratamiento de sus datos. Chile avanza en la misma dirección con su nueva Ley 21.719, que refuerza las obligaciones de responsabilidad proactiva para quien trate datos personales.
El peso simbólico de los espacios LGBTQ+
Más allá del análisis técnico-legal, hay una dimensión que la Electronic Frontier Foundation (EFF) señaló con precisión: los espacios LGBTQ+ han funcionado históricamente como refugios donde las personas podían reunirse sin ser monitoreadas ni catalogadas. La paradoja es evidente cuando esos mismos espacios se convierten en nodos de recolección de datos.
En contextos donde la identidad sexual o de género puede ser motivo de discriminación, persecución o violencia —realidad documentada en múltiples países de la región— la existencia de bases de datos que registran quién asistió a qué lugar y con qué frecuencia representa un riesgo que va más allá de la incomodidad. Una filtración, un acceso indebido o una solicitud gubernamental pueden tener consecuencias concretas para personas vulnerables.
Consentimiento, proporcionalidad y responsabilidad
El caso PatronScan ilustra un problema estructural del ecosistema de datos: la proliferación de sistemas de recopilación masiva en entornos donde los usuarios tienen escaso poder de negociación. Nadie negocia los términos del escaneo de su cédula en la puerta de un bar.
Los principios de minimización de datos y proporcionalidad —presentes en prácticamente todas las legislaciones de privacidad modernas— apuntan exactamente a este escenario: si el objetivo es verificar que alguien es mayor de edad, no hay justificación para retener el nombre, el domicilio, la fecha de nacimiento y una fotografía, ni para compartir ese conjunto de datos con terceros.
La pregunta que deja abierta este caso no es solo regulatoria. Es también cultural: ¿en qué momento normalizamos que entrar a un espacio de ocio nocturno implique ceder datos personales a una red privada de establecimientos? La respuesta, en cualquier latitud, debería incomodarnos.
Deja un comentario