DataTrends LATAM

Categoría: Opinión

  • Cuánto cuesta proteger un dato en LATAM (y por qué nadie lo sabe con certeza)

    Cuánto cuesta proteger un dato en LATAM (y por qué nadie lo sabe con certeza)

    Por Daniel Monastersky – www.danielmonastersky.com

    La semana pasada me escribió un DPO senior de una entidad financiera de la región. Le habían ofrecido un puesto en una compañía global, contratación remota desde su país, y no sabía cuánto pedir. Tenía siete años de experiencia, certificaciones internacionales, dirigía un equipo de cinco personas y había liderado dos auditorías regulatorias complejas. Su pregunta era simple: “¿Cuánto cobra alguien como yo, hoy, en este mercado?” La respuesta honesta es incómoda: nadie lo sabe con certeza.

    Esa conversación se repite cada semana. Un CISO recién promovido que negocia su nuevo contrato. Una empresa que abre una posición de Data Governance Officer y no encuentra referencias confiables para armar la oferta. Un equipo de prevención de fraudes que quiere retener a sus analistas y descubre, demasiado tarde, que el mercado los paga el doble. Un abogado especializado en AI & Legal Tech que duda si quedarse o sumarse a una firma del exterior que le triplica el ingreso en dólares.

    Detrás de cada una de esas conversaciones hay un problema estructural que llevamos años postergando: el ecosistema de privacidad, gobierno de datos, ciberseguridad y prevención de fraudes en América Latina no tiene un estudio de mercado propio. Los relevamientos de los estudios jurídicos miden abogados. Los de recursos humanos miden talento general. Los de ciberseguridad miden seguridad. Nadie mira fraude. Y absolutamente nadie cruza, sobre un mismo dataset, lo que pasa con la remuneración, la demanda, la escasez de skills, las modalidades de trabajo y el impacto real de la inteligencia artificial sobre nuestros perfiles.

    El resultado es predecible: profesionales que negocian a ciegas, empresas que arman bandas salariales por intuición, equipos que pierden gente por no entender la varianza que introdujo el trabajo remoto internacional. Porque ese es el elefante en la habitación que casi nadie mide bien: la diferencia entre cobrar de un empleador local y cobrar de un empleador del exterior, en remoto, en dólares. Esa única variable explica buena parte de la dispersión salarial que hoy define al ecosistema regional. Y, sin embargo, no aparece en ningún estudio serio.

    Por eso, desde DGL TALENT —el brazo de talento de Data Governance Latam— estamos produciendo, en alianza con el CECyD | Centro de Estudios en Ciberseguridad y Datos de la Universidad Austral, el primer relevamiento regional que mide, sobre un mismo dataset, remuneración y condiciones de mercado del ecosistema completo de profesionales que protegen, gobiernan y defienden el dato en América Latina.

    Cinco verticales, una sola investigación: Privacidad, Gobierno de Datos, Ciberseguridad, AI & Legal Tech, y Prevención de Fraudes y Crimen Financiero. Toda la pirámide, del analista junior al C-level. Sin recortes ejecutivos, sin sesgos sectoriales: el mercado completo, medido con rigor académico y la profundidad que solo da el cruce con la práctica.

    Esta investigación se inscribe en una agenda institucional que venimos consolidando desde hace más de un año. En el CECyD de la Austral ejercemos la co-dirección junto a Pedro Adamović desde marzo de 2025, con el objetivo de posicionar al centro como el espacio de referencia regional en investigación aplicada sobre estos cinco verticales. En esa misma línea, Facundo Malaureille Peltzer asume como Coordinador del área de Privacidad, sumando una de las trayectorias más respetadas de la región en protección de datos. Y Sofia Mónaco se incorpora como Head de DGL.TALENT, liderando desde la práctica una vertical de búsqueda y consultoría especializada que hoy no tenía equivalente en LATAM. El estudio es, precisamente, el primer gran output que articula esa agenda académica con la práctica de mercado.

    La metodología es exigente y la distribución también. La base se construye a través de los canales de los socios de DGL.TALENT y de la comunidad de más de 1500 profesionales formados con CECyD · Universidad Austral, con un objetivo de muestra de 400 a 600 respuestas válidas —el umbral necesario para producir cortes confiables por rol y por país—. La encuesta es completamente anónima y la investigación va a producir cuatro entregables a partir de ese único dataset: una Salary Guide LATAM con rangos por rol, seniority y país; un benchmark de remuneraciones transversal; un informe de mercado que cruce movilidad, demanda, skills críticos e impacto de la IA; y capítulos verticales específicos para DPO, CISO, Data Governance Officer, AI & Legal Tech y Prevención de Fraudes.

    Vale la pena detenerse en lo que esto significa. Hasta hoy, nadie en América Latina había medido a este ecosistema como un todo. No existía la conversación. Se discutía, eso sí: en pasillos, en grupos de WhatsApp, en negociaciones a puertas cerradas. Pero no había evidencia. No había un dataset compartido que permitiera, por ejemplo, demostrar la brecha entre empleadores locales y empleadores internacionales en remoto, o cuantificar cuánto vale realmente una certificación, o entender cuál es el techo salarial real de un DPO en Argentina, México o Colombia.

    Por primera vez, lo va a haber. Y va a estar producido desde adentro del ecosistema —no desde una consultora generalista que llega a esto desde afuera—, con la doble pertenencia académica y profesional que exige una investigación de esta naturaleza.

    Hace años que discutimos, sin saberlo, sobre datos que no existen. La novedad no es que ahora vayamos a tener una opinión más informada. La novedad es que vamos a tener, por primera vez, los datos.

  • El día que entendí que esto era más grande que el derecho

    El día que entendí que esto era más grande que el derecho

    Por Daniel Monastersky – www.danielmonastersky.com

    Hubo un momento, hace ya muchos años, en que me di cuenta que el camino que había elegido no terminaba en un escritorio.

    Para entender ese momento hay que retroceder un poco más. Fui a la ORT, y aunque entonces no podía saberlo, ahí empezó todo lo que vino después. En esa época me imaginaba ingeniero electrónico: el plan era construir cosas, entender cómo funcionaban por dentro, vivir cerca de la tecnología desde el lugar más concreto posible. El plan cambió —los caminos rara vez son rectos—, pero ese chip nunca se desactivó. Cuando años después llegué al derecho informático, no llegué desde el derecho buscando aplicarlo a la tecnología: llegué desde alguien que siempre había mirado la tecnología y, en algún momento, encontró que el derecho era una herramienta para incidir sobre ella.

    Había empezado, entonces, como abogado especializado en derecho informático y privacidad.

    Me recibí en 2004 y, casi sin pausa, fundé Techlaw. Era uno de los primeros estudios jurídicos de la región dedicados exclusivamente al derecho informático y a las nuevas tecnologías. Suena lindo dicho hoy. En ese momento era, sobre todo, una apuesta a contramano. El mercado no existía, los clientes no sabían todavía que necesitaban a alguien que se dedicara a esto, y la mayoría de mis colegas pensaba que estaba invirtiendo tiempo en un nicho que “tal vez” iba a importar en algún futuro lejano.

    Hubo años de remar sin viento favorable, de explicar lo mismo veinte veces, de iniciar conversaciones que terminaban en silencio porque del otro lado nadie entendía de qué les estaba hablando.

    Pero mi mesa de trabajo se llenaba, lenta pero sostenidamente, de casos donde el problema no era estrictamente jurídico: era humano. Una persona expuesta. Una empresa sin políticas. Un dato que viajaba sin permiso. Y entendí algo simple, pero que me cambió la práctica entera: por más fina que fuera la respuesta legal que pudiera dar, sin formación, sin comunidad y sin medios que tradujeran lo que estaba pasando, el derecho llegaba siempre tarde.

    Esa lectura me empujó a un terreno que un abogado promedio probablemente no hubiera pisado: el de los medios. A los dos o tres años de Techlaw lancé identidadrobada.com, un sitio de noticias sobre robo de identidad, fraude y ciberseguridad en una época en la que casi nadie cubría sistemáticamente esos temas en Argentina. Empezó muy chico. Hubo períodos en los que escribía prácticamente para nadie. Pero, de a poco, la conversación encontró audiencia, y de ahí salió la Revista Identidad Robada en formato impreso, que llegó a los kioscos en un momento en el que sostener una publicación en papel sobre estos temas era casi una imprudencia. La sostuvimos igual. Más adelante vino ciberseguridadlatam.com, que se fue consolidando como plataforma editorial regional. Vistos en perspectiva, esos proyectos fueron la primera versión de algo que con los años aprendería a llamar por su nombre: una infraestructura de comunicación especializada.

    En paralelo, durante esos años seguí trabajando como abogado especializado. Estudiaba, escribía, litigaba, asesoraba. Cada caso era una clase. Pero en algún momento empecé a ver el patrón: los problemas que me llegaban no eran problemas individuales, eran síntomas de un sistema que crecía mucho más rápido que su propia regulación. La privacidad ya no era un tema técnico, era un tema de poder. La ciberseguridad ya no era un tema de IT, era un tema de gobernanza. Los datos ya no eran un activo, eran el activo. Y la inteligencia artificial recién empezaba a aparecer en el horizonte.

    Entre 2016 y 2018 me tocó integrar el Advisory Board del Global Forum on Cyber Expertise (GFCE), la plataforma multilateral con sede en La Haya que coordina la cooperación internacional en capacidades de ciberseguridad y que reúne a gobiernos y organismos de todo el mundo, entre ellos la OEA y el Consejo de Europa. Éramos diez personas convocadas desde la academia, la sociedad civil y la comunidad técnica para asesorar estratégicamente al organismo. No fui ahí a hablar: fui, sobre todo, a escuchar. Salí con dos cosas: la convicción de que la conversación sobre privacidad, ciberseguridad y gobernanza de datos solo iba a tener consecuencias reales si se daba en términos regionales y globales; y la incomodidad de saber que en Latinoamérica todavía teníamos mucho por construir para llegar a esa mesa con peso propio.

    Esa incomodidad encontró una primera salida más rápido de lo que esperaba. En 2018, mientras todavía estaba activo en el Advisory Board del GFCE, me convocaron desde la Universidad del CEMA para desarrollar desde cero la vertical de protección de datos y ciberseguridad. No dudé un segundo. Era exactamente el tipo de espacio que venía pensando que la región necesitaba: un programa académico riguroso, en una universidad de peso, sobre temas que recién empezaban a ocupar lugar en las agendas corporativas.

    Por esa misma época empezó a tomar forma otro proyecto que también terminaría de cambiar la escala. Data Governance Latam no salió de un archivo de Excel. Salió, en buena medida, de un reencuentro. Con Facundo Malaureille Peltzer nos conocíamos por la profesión desde 2006 o 2007. En esos años, cuando este campo todavía era marginal, los que estábamos cerca del tema nos cruzábamos en eventos, mesas, papers. Cada uno siguió su camino. Pero en 2019, más de una década después, volvimos a pensar en construir algo juntos. Primero fue la Diplomatura en Data Governance & Privacy. Después, cuando vimos que la fórmula funcionaba, vino DGL.

    Lo que nos pasó es difícil de fabricar: dos personas que miran el mismo problema desde lugares distintos y descubren que esa diferencia, lejos de ser un obstáculo, es exactamente lo que hacía falta. DGL fue eso: un equipo —un equipo, no un titular— que combina derecho, tecnología, gobernanza y gestión de riesgo, con la convicción de que la privacidad y la ciberseguridad solo funcionan cuando se diseñan dentro de la operación, no como un anexo legal.

    Pero incluso una buena consultora tiene un techo. Puede asesorar a treinta, cincuenta, cien organizaciones. Lo que no puede hacer, sola, es formar a las personas que van a tomar esas decisiones mañana. Y ahí estaba el otro problema que veíamos con claridad: la región tenía —y tiene— un déficit estructural de profesionales formados.

    Lo que estamos construyendo ahora ya no es una práctica profesional. Es una plataforma. Y digo “estamos” porque no la construyo solo: la construimos un equipo de socios, docentes, egresados, colegas y partners que, cada uno desde su lugar, empujan en la misma dirección.

    Una plataforma con cinco componentes que recién empiezan a conectarse del todo. Está el conocimiento, que se materializa en el CECyD | Centro de Estudios en Ciberseguridad y Datos de la Universidad Austral, Argentina, las diplomaturas, los programas ejecutivos y, ahora, el lanzamiento de DGL Academy: más de 1650 profesionales formados hasta hoy, cada uno volviendo a su organización con criterio propio. Está la comunidad: la red de egresados, la representación de ADPDados en Argentina, el Comité Académico de CyberSummit, un tejido de personas que se conocen, se consultan, se citan y se contratan entre sí. Están los medios: el podcast en Infobae, la newsletter Privacy & Cyber en Foco con más de 3500 suscriptores que eligieron uno por uno recibir contenido especializado, los aproximadamente 22000 seguidores en X. Están los servicios, con Data Governance Latam como brazo de implementación profesional. Y está el talento, con DGL TALENT, porque sin las personas correctas en los roles correctos, el resto no escala.

    Mirados en conjunto, esos cinco componentes son más una promesa que una llegada. Hay piezas que funcionan, hay piezas que recién están en marcha, hay piezas que todavía no encontraron su forma definitiva. Las cifras —1650, 3500, 22000— no son números masivos, ni pretenden serlo. Son cifras de nicho: modestas en términos absolutos, valiosas en términos cualitativos. En mercados B2B como Data Governance, Privacy, Cybersecurity y AI Governance, la profundidad de la audiencia pesa muchísimo más que el volumen.

    Si miro estos cinco componentes en su conjunto, hoy ya no veo una carrera profesional. Veo infraestructura. Y sé que la mayor parte del trabajo está por venir.

    Si me preguntan qué sigue, la respuesta es clara: DGL Academy. Academia como nodo central. La pieza que tiene que conectar la formación con la comunidad, los medios con los servicios, y todo eso con el talento que la región necesita producir en los próximos años. Porque eso es lo que falta en la región: un lenguaje común. Hoy cada país regula a su ritmo, cada empresa interpreta como puede, cada profesional se forma por su cuenta. La fragmentación no es un problema técnico, es un problema de coordinación. Y la coordinación no se decreta: se construye, año tras año, formando, conectando, publicando, asesorando.

    Si alguien me preguntara hoy quién soy profesionalmente, ya no diría “un abogado especializado en tecnología”. Esa respuesta describe a la persona que fui, no a la que soy. Hoy diría algo más cercano a esto: alguien que, junto a un equipo, intenta articular el ecosistema latinoamericano de Data Governance, Privacidad, Ciberseguridad e Inteligencia Artificial desde la academia, la formación ejecutiva, la comunidad profesional, los medios especializados y los servicios corporativos. No es una definición cómoda. No cabe en una tarjeta. Tampoco es una conquista cerrada: es, sobre todo, una dirección. Y mientras el camino tenga sentido, vamos a seguir caminándolo.

    A los que están empezando, les digo: este es un campo donde la profundidad importa más que la velocidad. Estudien, escriban, escuchen, equivóquense. Y persistan. Hay años en los que la conversación parece no llegar a ningún lado, y es justo en esos años donde se construye lo que después se ve. A los que ya están dentro: este ecosistema solo crece si lo construimos juntos. La región tiene talento. Lo que falta es coordinarlo. A las organizaciones: el costo de no tomarse en serio la privacidad, la ciberseguridad y la gobernanza de datos ya no es teórico. Es contable. Es reputacional. Es operativo. Y es, sobre todo, evitable.

    Y a mí mismo, dentro de unos años, cuando relea esto: el camino sigue. Lo que viene es todavía más interesante. Y, sobre todo, no estoy solo.

  • Lo que tu mejor empleado le está contando a una IA esta noche

    Lo que tu mejor empleado le está contando a una IA esta noche

    Por Daniel Monastersky – www.danielmonastersky.com

    Son las once y media de la noche. Una analista financiera todavía está en la oficina. Tiene un reporte que entregar mañana a primera hora, una hija que la espera en casa, y una planilla cruda con datos de clientes que no termina de cerrar. Abre ChatGPT en su navegador personal, copia la base completa —nombres, DNIs, montos, mails— y escribe: “Hacé un resumen agrupado por provincia y dame los tres clientes más rentables de cada zona.”

    En dos segundos, tiene el reporte. Cierra la pestaña. Apaga la luz. Se va a su casa.

    No hizo nada que considere mal. Trabajó más rápido para llegar antes. Es exactamente lo que vos le pedirías que haga.

    Y sin embargo, esa noche, sin firmar nada, sin que nadie lo sepa, sin que ningún sistema de seguridad lo registre, los datos personales de cientos de clientes de tu empresa cruzaron una frontera. Quedaron en un servidor del hemisferio norte, fuera de tu alcance, fuera de tu control, fuera de tu jurisdicción. Pueden ser usados para entrenar un modelo. Pueden ser leídos por alguien en una revisión de calidad. Pueden quedar expuestos en la próxima brecha de seguridad del proveedor.

    No los vas a poder recuperar nunca.

    Esa empleada no es desleal. No es negligente. Es buena en lo que hace. Y es, sin saberlo, el vector de uno de los riesgos más serios que tu empresa enfrenta hoy.

    Tiene nombre. Se llama Shadow AI.

    No es ella sola

    Pensá en todas las personas que confían en vos para hacer bien su trabajo. La abogada del estudio que pegó las cláusulas del contrato confidencial en una IA para que se las “redactara más claro”. El reclutador que subió treinta CVs con datos personales para que el chatbot se los resumiera. La secretaria del consultorio que cargó el listado de pacientes para armar una planilla. El contador que pegó el balance no publicado para pedirle al modelo que detecte inconsistencias.

    Cada uno con buena intención. Cada uno apurado. Cada uno convencido de que no estaba haciendo nada raro.

    Y ninguno de ellos te lo va a contar. No porque te quieran esconder algo, sino porque no lo perciben como algo digno de mencionar. “Le pasé unos datos a ChatGPT para que me ayude con un informe.” Lo dicen como quien cuenta que usó Excel.

    Mientras tanto, en tu empresa hay datos saliendo todos los días, por todos los puestos de trabajo, sin que ningún tablero los registre.

    Eso es lo que da más miedo: que no lo veas.

    Lo que no se puede deshacer

    Hay algo de la era digital a lo que todavía no nos terminamos de acostumbrar: hay errores que no se pueden corregir.

    Cuando un empleado manda un mail con un archivo adjunto al destinatario equivocado, podés llamar al destinatario y pedirle que lo borre. Si filtraste un dato a la prensa, podés intentar bajarlo. Si dejaste una carpeta abierta en la nube, podés cerrarla.

    Pero cuando un dato entra en una IA pública, no hay forma de sacarlo. No hay un botón de “deshacer”, no hay un derecho al olvido aplicable, no hay un contrato que ampare lo que se entregó sin haberlo firmado. El dato está. En algún lado. Para algún uso. Y vos no vas a saber dónde, ni para qué, ni quién lo va a ver.

    Ese es el costo silencioso. No el escándalo del día siguiente. La incertidumbre permanente sobre qué se fue, cuándo se fue, y qué va a hacer con eso quien lo encuentre.

    La pregunta que nadie quiere hacerse

    Imaginate por un momento que mañana te llama un cliente importante. Está enojado. Sus datos aparecieron en algún lado y quiere saber cómo pasó. Vos no tenés idea de cómo pasó. Tu equipo de sistemas tampoco. No hay un log de seguridad que muestre una brecha, no hay un mail con un adjunto sospechoso, no hay un acceso indebido al servidor. Todo lo que tenés es la certeza de que algo se filtró y la nada absoluta sobre cómo.

    Ahora imaginate la siguiente llamada: la del regulador, preguntándote qué medidas tomaste para proteger esa información. La del socio comercial, preguntándote si los términos que negociaron con tanto cuidado terminaron siendo entrenamiento gratis para alguien. La de tu equipo legal, explicándote que ese secreto industrial que protegías como un activo estratégico ya no puede ser considerado secreto, porque dejaste de tomar las medidas razonables para protegerlo.

    Ninguna de esas llamadas empieza con un hackeo. Todas empiezan con un empleado bien intencionado que solo quería trabajar más rápido.

    Por qué pasa

    La verdad incómoda es esta: tus empleados van a usar inteligencia artificial. Ya la están usando. Y no porque sean rebeldes ni descuidados, sino porque la presión por producir más, más rápido, con los mismos recursos, no para de subir.

    Si tu empresa no les da una herramienta de IA aprobada, segura y útil, ellos van a usar la que tienen a mano. La gratuita. La que pueden abrir desde el celular sin pedir permiso. La que les ahorra dos horas de trabajo y les permite llegar a la casa antes de que se duerma el hijo.

    Esto no se resuelve con un email de la dirección diciendo “no usen ChatGPT”. Eso ya lo intentaron muchas empresas. El resultado es siempre el mismo: el empleado pasa a usarlo desde el teléfono personal, fuera del Wi-Fi corporativo, y la organización pierde lo último que le quedaba: la visibilidad.

    Prohibir sin ofrecer alternativa no elimina el problema. Lo hace invisible. Y un problema invisible es exactamente lo que está creciendo, ahora mismo, en tu empresa.

    Lo que sí se puede hacer

    Acá viene la parte que importa, porque sí hay una salida y no es complicada de empezar.

    El primer paso es ver. Mapear, sin prejuicio y sin sanción inicial, qué herramientas se están usando, para qué tareas, con qué tipo de datos. Esto no se hace con un firewall: se hace con conversación, encuestas anónimas, análisis técnico, y la decisión política de querer saber la verdad.

    El segundo paso es ordenar. Definir, en lenguaje claro y sin manuales de cien páginas, qué se puede usar y qué no, qué tipo de información puede tocar una IA externa y cuál nunca. Tres listas, no treinta páginas.

    El tercer paso es habilitar. Si tus empleados necesitan IA para trabajar, dales una IA segura. Hay opciones empresariales que cuestan una fracción de lo que sale una sola filtración, y que cambian completamente la ecuación del riesgo.

    El cuarto paso es formar. Una vez. Bien. Con ejemplos reales. No con un PDF que nadie lee.

    Y el quinto paso es el más incómodo: aceptar que esto no es un proyecto que se hace y termina. Es una práctica que se sostiene. El ecosistema de IA cambia todas las semanas. Lo que hoy es seguro mañana puede no serlo. Lo que hoy es marginal mañana es masivo.

    No se trata de paranoia. Se trata de no quedar afuera de una conversación que ya está pasando dentro de tu propia empresa.

    Dónde entramos nosotros

    En Data Governance Latam trabajamos exactamente este problema. Lo vemos todos los días, en empresas de todos los tamaños, en todos los rubros. Y aprendimos algo importante: nadie se entera de su Shadow AI hasta que alguien lo ayuda a verlo.

    Por eso armamos un servicio específico para esto. Empezamos por una auditoría confidencial que mapea el uso real de IA dentro de tu organización —sin sanciones, sin acusaciones, sin generar miedo en el equipo. Después diseñamos con vos la política de uso responsable, adaptada a tu industria, a tu marco regulatorio y a las herramientas que tu gente necesita usar. Te ayudamos a elegir y desplegar las plataformas empresariales seguras. Y formamos a tus equipos con casos reales para que la cultura cambie de verdad.

    No vendemos miedo. Te acompañamos a salir del miedo.

    La última imagen

    Volvé por un momento a la analista del principio. La del reporte, la que cerró la pestaña y se fue a su casa pensando que había hecho un buen trabajo. Ella es tu mejor empleada. La que te ahorra horas, la que entiende tu negocio, la que no se queja, la que entrega. La querés tener.

    El problema no es ella. El problema es que está sola, sin política, sin herramienta, sin formación, frente a una tecnología que va más rápido que cualquier comité interno. Tu mejor empleada está expuesta, y por estar expuesta ella, también lo estás vos.

    La buena noticia es que esto se puede ordenar antes del incidente. La mala es que el momento de hacerlo es ahora, no después de la llamada del cliente enojado.

  • Tus proveedores también tienen proveedores

    Tus proveedores también tienen proveedores

    Por Daniel Monastersky – www.danielmonastersky.com

    Es lunes a las nueve de la mañana. Abrís el sistema de liquidación de sueldos para ver el reporte del cierre del mes. La pantalla dice: “Servicio temporalmente no disponible”.

    Pensás que es un problema técnico, una caída pasajera. Mandás un mail al soporte, no contestan. Llamás por teléfono, no contestan. A las dos de la tarde aparece un comunicado en la página del proveedor: “Estamos investigando un incidente de seguridad.”

    A las seis, te enterás por una nota en LinkedIn que el incidente fue un ransomware, que los atacantes pidieron rescate y que en la base que afanaron había datos de todos los clientes del proveedor. Datos de empleados. Nombres. DNIs. Salarios. CBUs. Direcciones particulares.

    De tus empleados.

    Esa noche entendés algo incómodo: vos no te confiaste tu liquidación de sueldos a ese proveedor. Vos contrataste un software hace seis años, firmaste un contrato que probablemente no leíste con atención, y le pasaste los datos de toda tu gente. Después no preguntaste más. Asumiste que estaban bien guardados porque la empresa “es seria” o “es grande” o “la usan todos”.

    El lunes te despertaste con un problema técnico. El martes te despertás con una crisis de protección de datos. Y la crisis no es de tu proveedor: es tuya.

    El proveedor no es un proveedor: es una llave

    Hay algo del modelo de negocios moderno al que nos acostumbramos sin querer: hoy una empresa de cincuenta personas tiene fácilmente cuarenta proveedores con acceso a información crítica de su operación.

    El sistema de facturación electrónica. El CRM. El proveedor de mail marketing. La plataforma de videollamadas. El antivirus. La consultora de marketing que te ayuda con la base de clientes. El estudio contable que tiene todo. La agencia de RRHH que mueve los CVs. La empresa de seguridad que monitorea las oficinas. El IT externo que entra remoto cuando algo se rompe. El backup en la nube. La pasarela de pagos. El asistente que usa la directora general que abre Drive con todos los documentos de la compañía.

    A cada uno le entregaste algo. A algunos, mucho. La mayoría tiene mejores accesos a tu información que un empleado nuevo en período de prueba. Y a casi ninguno lo conocés más allá del comercial que te firmó el contrato.

    Eso es supply chain. No es un concepto técnico. Es el dibujo, hoy invisible, de quién puede tocar tus datos sin que se lo pidas.

    La parte que da más miedo: no termina en tu proveedor

    Acá viene el detalle que pocos miran. Tu proveedor también tiene proveedores.

    Tu sistema de facturación corre arriba de un hosting que vos no contrataste. Ese hosting usa servicios de almacenamiento que tampoco contrataste. La plataforma de mail marketing que mandás todas las semanas tiene seis integraciones que se loguean con OAuth a tu cuenta sin que vos te enteres. La agencia que diseñó tu última campaña usó dos herramientas de IA, un repositorio de imágenes y una plataforma de revisión que comparte todo con un proveedor en otro continente.

    Cada uno de ellos podría ser hackeado. Cada uno de ellos, si lo es, te alcanza a vos. Y entre tu empresa y la brecha no hay una conexión directa: hay una cadena de tres, cuatro o cinco eslabones de los cuales conocés —con suerte— el primero.

    A esa cadena se la llama supply chain. Y hoy es la puerta de entrada favorita de cualquier ataque serio: no es necesario forzar tu cerradura cuando hay diez proveedores conectados a tu casa con llave maestra.

    Los casos que ya no se pueden ignorar

    Si alguien pensaba que esto era teoría, los últimos doce meses dejaron una serie de incidentes que conviene tener cerca.

    En abril de 2025, Marks & Spencer —ícono del retail británico— fue golpeado por un ransomware durante el fin de semana de Pascua. Los atacantes no entraron por la puerta digital de M&S: entraron usando las credenciales de dos empleados de Tata Consultancy Services (TCS), el proveedor de IT que M&S tenía contratado hacía más de diez años. Resultado: tiendas funcionando con planillas en papel, sistema de e-commerce caído durante seis semanas, y una pérdida proyectada de 300 millones de libras según el propio reporte de la compañía a la Bolsa de Londres. Co-op y Harrods fueron golpeados días después por la misma campaña.

    En agosto de 2025, Jaguar Land Rover sufrió uno de los ciberataques más caros de la historia. Cinco semanas con la producción detenida en sus plantas británicas. Más de 5.000 empresas de su cadena de suministro afectadas —proveedores, talleres, concesionarias, transportistas, comercios de los pueblos donde funcionan las fábricas—. La cuenta final, según el organismo independiente que monitorea estos incidentes en el Reino Unido, asciende a 1.900 millones de libras. Es el ataque cibernético más caro de la historia británica. Una sola compañía golpeada, miles de empresas con problemas. Así funciona la cadena hoy.

    En noviembre de 2025, un actor no autorizado se metió en la red del sistema público de salud de Nueva York. No lo detectaron hasta febrero de 2026 —casi tres meses después—. La puerta de entrada fue un proveedor externo cuyo nombre no se hizo público. Cuando hicieron el inventario del daño, los números fueron de los peores que se vieron este año: 1,8 millones de personas con sus datos médicos, financieros, identificaciones gubernamentales y huellas dactilares y palmares expuestos. La biometría no se cambia: si te robaron las huellas, las tenés robadas para siempre.

    Las llamadas no las recibió el proveedor. Las recibió, en cada caso, la empresa que confió en él.

    Y un dato sobrio que vale repetir: según el último informe global de investigaciones de brechas (Verizon DBIR 2025), el porcentaje de brechas en las que estuvo involucrado un tercero pasó del 15% al 30% en un solo año. Se duplicó. Es uno de los cambios más significativos que registró el informe en sus 18 ediciones. El próximo incidente que sufra tu empresa, estadísticamente, va a venir de la mano de alguien con quien tenés contrato.

    Por qué pasa lo que pasa

    La pregunta razonable es: ¿cómo llegamos acá? La respuesta tiene tres capas y ninguna es novedosa.

    La primera es que nadie tiene la foto completa. Las áreas comerciales contratan herramientas de marketing. RRHH contrata sistemas de selección y onboarding. Finanzas contrata software contable. Sistemas contrata infraestructura. Legales contrata gestores de firmas digitales. Cada área cumplió con su trabajo. Pero nadie, en muchas empresas, tiene un inventario único de qué proveedor tiene qué información, con qué nivel de acceso, bajo qué contrato. La empresa no tiene un mapa de su propia cadena.

    La segunda es que firmar un contrato no es lo mismo que controlar al proveedor. Tener un anexo de confidencialidad no garantiza que el proveedor cifre tu información. Tener un acuerdo de tratamiento de datos no garantiza que esté cumpliendo con lo que firmó. La auditoría es un acto, no un papel. Y la auditoría a proveedores, en la mayoría de las empresas, no se hace nunca.

    La tercera es que el proveedor también cambió sin avisarte. Hace cinco años contrataste un software simple, alojado en un único servidor. Hoy ese software usa quince integraciones, está conectado a tres proveedores nuevos, incorporó funcionalidades de inteligencia artificial que mueven tus datos por lugares que no estaban en el contrato original. Vos firmaste con el de 2020, pero estás expuesto al de 2026.

    Lo que importa, en el idioma del que decide

    Si sos quien firma los cheques o los contratos, conviene tener clara una cosa: cuando un proveedor sufre una brecha, la responsabilidad legal y reputacional es tuya, no de él.

    La Ley 25.326 de Protección de Datos Personales pone la obligación sobre el responsable del tratamiento —es decir, sobre vos— de garantizar que el encargado al que le confiaste los datos los proteja correctamente. No alcanza con decir “yo confiaba en el proveedor”. La autoridad de aplicación va a preguntarte qué medidas tomaste para asegurarte de que esa confianza estuviera justificada. Y los proyectos de reforma que están en debate refuerzan ese principio: vas a tener que demostrar la diligencia, no solo declararla.

    A esto se suma una verdad más simple y más dura: tu cliente no se enoja con tu proveedor. Se enoja con vos. Tu socio comercial no rompe la relación con tu proveedor. La rompe con vos. El medio que titula la noticia no nombra a tu proveedor en el zócalo. Te nombra a vos.

    La cadena de suministro se contrata hacia abajo. La cuenta se paga hacia arriba.

    Lo que sí se puede hacer

    La buena noticia es que esto es ordenable. La mala es que ordenarlo no se hace en una tarde y no se hace solo.

    El primer paso es hacer la lista. Mapear, sin pudor, qué proveedores hay, qué información manejan, con qué nivel de acceso. La mayoría de las empresas que hacen este ejercicio por primera vez se sorprenden con la cantidad. Lo que no se ve, no se gestiona.

    El segundo paso es clasificar. No todos los proveedores son iguales. El que tiene acceso a tu base de clientes no es el mismo riesgo que el que te imprime las tarjetas personales. Categorizar permite invertir el esfuerzo donde realmente importa.

    El tercer paso es revisar los contratos. No con el comercial que te llama para venderte el upgrade, sino con la mirada legal y técnica que aplique hoy: ¿hay cláusulas de notificación de incidentes? ¿En qué plazo? ¿Hay derecho a auditar? ¿Se identifican los subcontratistas?

    El cuarto paso es auditar de verdad. No con una encuesta que el proveedor llena solo, sino con evidencias, pruebas, certificaciones verificables y conversaciones honestas con su equipo de seguridad. Los proveedores serios saben que esto es parte del juego y lo agradecen.

    El quinto paso es no terminar nunca. El ecosistema cambia, los proveedores cambian, las amenazas cambian. La gestión de riesgo de proveedores no es un proyecto que se entrega y se archiva: es una práctica continua.

    Volvé al lunes a la mañana del principio. El sistema caído. El soporte que no contesta. Esa escena no es un mal recuerdo. Es el primer minuto de un problema que ya empezó antes de que vos lo supieras. Empezó el día que firmaste un contrato sin preguntar. Siguió cada mes que pagaste la factura sin auditar. Y va a terminar el día que te llame el primer cliente preguntando dónde están sus datos.

    Esa llamada se puede evitar. No del todo, no para siempre, pero sí en buena medida. Lo que no se puede evitar es la pregunta que va a venir después del incidente: “¿Por qué nunca auditamos a este proveedor?” El momento de tener la respuesta es ahora, no después.

    Fuentes: Marks & Spencer (Reuters, BBC, Cybernews, mayo 2025); Jaguar Land Rover (Cyber Monitoring Centre UK, octubre 2025); NYC Health + Hospitals (aviso oficial, mayo 2026); Verizon Data Breach Investigations Report 2025; Ley 25.326 de Protección de Datos Personales y proyectos de reforma (AAIP).

  • La cara prestada: cuando la IA pone en tu mano un producto que nunca tocaste

    La cara prestada: cuando la IA pone en tu mano un producto que nunca tocaste

    Por Daniel Monastersky – www.danielmonastersky.com

    Para quienes no la siguen: Floppy Tesouro es modelo y figura mediática argentina, con presencia continua en televisión desde hace más de quince años. Pasó por Showmatch, Bailando por un Sueño, paneles, realities y campañas publicitarias, y construyó —como tantas figuras de su rubro— una comunidad de seguidores que la siguen en redes sociales y le prestan atención cuando recomienda algo. Esa atención es, hoy, su capital de trabajo. Y ese capital es precisamente lo que una marca le tomó sin permiso.

    La historia es sencilla de contar. Una empresa que vende nebulizadores tomó una selfie que Floppy había publicado en sus redes —se la ve en un ascensor, vestida de blanco, levantando el celular para fotografiarse en el espejo— y, mediante inteligencia artificial, le insertó en la mano libre un nebulizador portátil. La imagen resultante se difundió como si Floppy estuviera mostrando, recomendando o avalando el producto. Nunca lo hizo. Nunca firmó contrato. Nunca cobró. Nunca supo, hasta que la imagen empezó a circular y alguien se lo avisó. Cuando la modelo se quejó públicamente, la marca dio de baja sus redes sociales y, según ella misma contó, le pidió disculpas privadas con el argumento de que “no tomaron dimensión”.

    El detalle no es menor: un nebulizador no es una crema corporal. Es un dispositivo médico regulado por ANMAT. La supuesta recomendación de Floppy, además de inventada, opera sobre un producto vinculado a la salud, lo que multiplica el reproche por todos lados.

    El caso no es excepcional. Es la regla.

    Sería un error tratar esto como una rareza de la farándula. La manipulación de imágenes de personas conocidas para vender cosas que nunca avalaron es, hoy, una industria. Las plataformas de Meta —Facebook e Instagram— están saturadas de anuncios que usan caras de figuras públicas argentinas e internacionales, generadas con IA o editadas con herramientas de fotomontaje, para promocionar criptomonedas truchas, suplementos para adelgazar, productos para potencia sexual o cursos de inversión milagrosos. Mercado Libre ha tenido que dar de baja, de manera reiterada, publicaciones donde se atribuyen recomendaciones falsas a deportistas y conductores. En el exterior, Tom Hanks denunció el año pasado un aviso de cobertura odontológica en Estados Unidos que usaba su rostro sin permiso; Scarlett Johansson hizo lo propio cuando una app de IA usó una voz parecida a la suya en una campaña; y a Taylor Swift le fabricaron imágenes íntimas sintéticas que recorrieron las redes durante días antes de ser bajadas.

    El patrón es siempre el mismo. Alguien identifica una cara con poder de venta. Una herramienta de IA produce, en minutos y por monedas, una versión falsa de esa persona haciendo lo que el anunciante quiere que haga. La pieza circula. Los usuarios, que confían en quien aparece, hacen clic. Para cuando el reclamo legal llega, la campaña ya cumplió su objetivo y la cuenta del anunciante desapareció. Floppy tuvo la suerte —y los recursos— de detectar el caso a tiempo y mover una denuncia. La gran mayoría de las personas afectadas, famosas o no, ni se enteran.

    Lo que se rompe, capa por capa

    El derecho argentino tiene varias respuestas para esta conducta, y conviene revisarlas porque rara vez se aplica solo una.

    Derecho a la propia imagen. El artículo 53 del Código Civil y Comercial exige consentimiento para captar o reproducir la imagen de una persona, salvo excepciones de interés público, científico, cultural o educativo. La promoción de un nebulizador no entra en ninguna excepción. El artículo 31 de la Ley 11.723 de Propiedad Intelectual, vigente desde 1933, exige también consentimiento expreso para el uso comercial del retrato fotográfico. Falta el consentimiento. La infracción se configura sola.

    Protección de datos personales. La Ley 25.326 considera dato personal toda información referida a una persona identificable. Una fotografía donde alguien es reconocible cumple esa definición sin discusión, y así lo viene sosteniendo la Agencia de Acceso a la Información Pública en sus dictámenes. El tratamiento de ese dato sin base legal —ni consentimiento, ni interés legítimo, ni ninguna otra— viola los artículos 4, 5 y 11 de la ley, con sanciones administrativas a cargo de la AAIP. Cuando la imagen se asocia a un producto médico y sugiere una condición de salud, la protección se eleva al régimen reforzado de datos sensibles del artículo 7.

    Defensa del consumidor y lealtad comercial. La Ley 24.240 prohíbe inducir a error al consumidor sobre las características o avales de un producto (artículos 4 y 8). La Ley 22.802 de Lealtad Comercial sanciona la publicidad engañosa. Un consumidor que ve a una figura conocida sosteniendo el nebulizador puede creer razonablemente que ella lo respalda. Esa creencia, falsa, es la que mueve la decisión de compra. Hay engaño. Hay daño. Hay responsabilidad.

    Materia penal. Si la marca obtuvo dinero de consumidores que creyeron en el aval inexistente, el artículo 172 del Código Penal (estafa) está disponible para discusión: hay ardid, hay error, hay disposición patrimonial. El artículo 173 inciso 16, incorporado por la Ley 26.388 de Delitos Informáticos, sanciona la defraudación mediante manipulación informática. Una IA generativa que inserta un objeto en la imagen de una persona y la difunde con fines comerciales es, literalmente, manipulación informática. Y la Ley 26.529 de Derechos del Paciente, sumada a las regulaciones de ANMAT sobre publicidad de productos médicos, agrega otra capa de irregularidad: la promoción de dispositivos sanitarios requiere autorización previa que en este caso, evidentemente, no existió.

    Código Contravencional de la Ciudad de Buenos Aires. La Ley 1472 ofrece dos puertas de entrada para este caso. Por un lado, las figuras tradicionales de oferta engañosa y suministro de información falsa al consumidor, que habilitan la intervención de la Dirección General de Defensa y Protección del Consumidor de CABA cuando la publicidad circuló en el ámbito local. Por otro —y es la puerta que mejor encuadra en lo ocurrido—, el artículo 77, incorporado por la Ley 6128 de 2018 dentro del nuevo capítulo de Identidad Digital de las Personas, tipifica la suplantación digital de la identidad. La norma sanciona a quien utiliza la imagen de una persona o crea una identidad falsa con su imagen mediante cualquier medio electrónico, sin su consentimiento, siempre que el hecho no constituya delito. La descripción típica calza con precisión sobre lo que ocurrió: se tomó la imagen de Floppy, se la combinó con un producto para construir la apariencia de que ella lo recomendaba, y todo se difundió por canales electrónicos sin su consentimiento.

    Daño civil. El artículo 52 del Código Civil y Comercial protege la imagen como derecho personalísimo, junto con el honor, la intimidad y la identidad. La indemnización por daño moral y patrimonial está reglada en los artículos 1737, 1738 y 1741. La acción procede aunque no haya intención de dañar: alcanza con haber usado la imagen sin consentimiento.

    El espejo europeo

    Si el mismo episodio hubiera ocurrido en cualquier Estado miembro de la Unión Europea, el Reglamento General de Protección de Datos (GDPR) sería el primer instrumento en aplicarse. El artículo 4.1 incluye la imagen identificable dentro de la definición de dato personal. El artículo 6 exige una base de licitud para tratar ese dato, base que aquí no existía. El artículo 9 protege con un régimen reforzado los datos relativos a la salud, categoría a la que la imagen se acercaba por el contexto del producto. El artículo 5 consagra el principio de exactitud: una imagen alterada por IA para sugerir un acto que no ocurrió viola ese principio de manera estructural. Y el Reglamento de Inteligencia Artificial de la Unión Europea, aprobado en 2024, obliga a etiquetar de forma clara los contenidos generados o manipulados por IA, en particular los deepfakes con fines comerciales. La multa potencial, en el régimen europeo, puede alcanzar hasta el 4% de la facturación anual global de la empresa o veinte millones de euros, lo que sea mayor.

    El problema no es solo la marca. Es el modelo.

    Detrás de cada caso como el de Floppy hay una pregunta que la sociedad argentina viene esquivando: la publicidad de influencers, tal como funciona, ¿es regulable o es directamente incompatible con la protección al consumidor?

    El marketing de influencers se construyó, desde su origen, sobre una ambigüedad calculada entre opinión personal y publicidad paga. Esa ambigüedad es su modelo de negocio. Si el consumidor distinguiera con claridad cuándo le están vendiendo y cuándo le están recomendando, la herramienta perdería efectividad y, por lo tanto, valor. La IA simplemente lleva esa lógica un paso más allá: si el negocio consiste en producir confianza simulada, ¿para qué contratar a la persona real cuando una máquina puede fabricar la simulación directamente?

    Mientras la discusión normativa argentina sigue centrada en exigir hashtags de identificación (#publicidad, #ad, #colaboración) que casi nadie lee y casi nadie controla, países como Francia y España avanzaron en marcos más exigentes que incluyen registros públicos de influencers, prohibiciones específicas para productos sanitarios y financieros, y responsabilidad solidaria de las plataformas.

    No se trata de criminalizar a quienes trabajan en redes ni de impedir que las marcas se comuniquen con el público. Se trata de reconocer que un sistema construido sobre la confusión entre testimonio personal y contrato comercial es estructuralmente vulnerable al fraude, y que cuando la IA generativa entra en escena, esa vulnerabilidad pasa de problema teórico a problema masivo. El caso Floppy es un caso visible. Por cada caso visible hay decenas que no llegan a los medios: profesionales cuyas fotos de LinkedIn aparecen en anuncios de cursos truchos, médicos que se enteran de que su cara promociona un suplemento que jamás recetarían, docentes que descubren su imagen vinculada a un instituto educativo del que nunca fueron parte.

    La pregunta no es si Floppy va a ganar la causa. Probablemente la gane. La pregunta es cuántos casos parecidos están ocurriendo en este mismo momento, sin denuncia, sin reparación y sin que el sistema regulatorio argentino tenga herramientas suficientes para detenerlos.

  • Cuando un club de fútbol también es un hospital, un banco, un juzgado y un laboratorio

    Cuando un club de fútbol también es un hospital, un banco, un juzgado y un laboratorio

    Por Daniel Monastersky – www.danielmonastersky.com

    Imaginate por un momento que sos padre o madre de un chico de 13 años que acaba de firmar su primer contrato con las inferiores de un club de fútbol. Para que el club lo evalúe, lo cuide y lo proyecte, no vas a entregar solamente una autorización firmada: vas a entregar su historia clínica completa, sus evaluaciones psicológicas, datos biométricos de seguimiento físico y nutricional, información económica de tu familia, certificados de antecedentes y, cada vez más seguido, su ubicación en tiempo real durante los entrenamientos. Confiás esa intimidad porque asumís que un club profesional la cuida con el mismo rigor con el que la cuidaría un hospital o un banco.

    Ese supuesto se acaba de romper en Europa, y la advertencia es válida para todos nosotros.

    Una multa de 66.000 euros que no es la noticia

    La Real Sociedad, uno de los clubes históricos de la liga española, sufrió un ataque de ransomware que expuso los datos de unas 60.000 personas: jugadores, empleados, juveniles, familiares, profesionales del cuerpo médico. La Agencia Española de Protección de Datos (AEPD) investigó el incidente y detectó un combo difícil de explicar en una entidad de ese porte: información de categoría especial —salud, biometría, antecedentes penales— almacenada sin cifrado; copias de seguridad conviviendo en los mismos servidores comprometidos; y una red interna sin segmentación, donde bastó un equipo personal infectado para que el ataque se expandiera por toda la infraestructura.

    La sanción fue de 110.000 euros, reducida a 66.000 por pago voluntario. Pero la multa, en este caso, es lo menos importante. Lo verdaderamente relevante es el diagnóstico que viene atrás: no estamos frente a una desprolijidad puntual, sino frente a un modelo de gestión de riesgos que no se corresponde con el volumen y la sensibilidad de la información tratada.

    Lo que este expediente revela es un problema cultural que excede largamente a un club. Se trata de la convicción —tan extendida en el mundo del deporte profesional— de que las entidades deportivas son “solo” clubes, y no organizaciones intensivas en datos críticos. La realidad es otra, y conviene decirla con todas las letras.

    Un club de élite hoy es, simultáneamente, una clínica (por el volumen de datos de salud, rendimiento y rehabilitación), una entidad financiera (por la información económica de contratos, comisiones, primas y patrimonio familiar), un juzgado en miniatura (por los certificados de antecedentes que exige procesar para trabajar con menores) y un laboratorio biométrico (por la captura permanente de variables fisiológicas de los jugadores). Todo eso, en una sola estructura que muchas veces sigue gestionando la seguridad de la información como si su mayor exposición fuera la cuenta de Instagram del primer equipo.

    El RGPD —como debería ocurrir con cualquier régimen serio de protección de datos— no hace excepciones por escudos, colores o cantidad de hinchas. La obligación de aplicar medidas de seguridad adecuadas al riesgo es la misma que la de cualquier hospital o aseguradora. Y, sin embargo, los hallazgos de la AEPD parecen describir una organización que todavía no terminó de asumir esa equivalencia.

    El espejo incómodo para Argentina y la región

    Si esto pasa en España, donde el RGPD lleva años de implementación y la AEPD tiene un historial activo de sanciones, la pregunta inevitable es qué está pasando en el ecosistema deportivo argentino y regional.

    ¿Cuántos clubes de primera división tienen hoy una política formal de gobierno de datos, segmentación de red, cifrado sistemático de información sensible y un plan probado de respuesta ante incidentes? ¿Cuántos cuentan con un responsable identificable de privacidad? ¿Cuántos aplican un enfoque de protección reforzada para los datos de los menores que pasan por sus divisiones inferiores, sus predios formativos y sus escuelitas de fútbol?

    Las respuestas, hoy por hoy, son incómodas.

    Lo más preocupante es que la fragilidad crece a medida que bajamos de categoría. Si un club con los recursos de la Real Sociedad llegó hasta acá, ¿cuál es el estado real de la seguridad en clubes del ascenso, en federaciones con estructuras mínimas o en las academias privadas que captan chicos desde los seis o siete años?

    Qué tiene que cambiar, en serio

    El caso Real Sociedad debería servirnos como punto de inflexión, no como anécdota internacional. No alcanza con un antivirus, una copia de seguridad ocasional y la delegación de todo “al área de sistemas”.

    No hay misterio sobre qué hay que hacer: los estándares están escritos hace años y son los mismos que cualquier hospital o entidad financiera viene aplicando desde hace tiempo. Pero conviene enumerarlos, porque a veces lo evidente es justo lo que falta. Hace falta una política clara de gobierno de datos que defina qué información se trata, con qué finalidad, durante cuánto tiempo y con qué base de legitimación. Hace falta cifrado sistemático de la información sensible —salud, biometría, antecedentes, datos de menores— tanto en tránsito como en reposo. Hace falta segmentación de la red interna, de modo que un equipo comprometido no pueda contaminar toda la infraestructura. Hacen falta copias de seguridad aisladas, idealmente bajo la regla 3-2-1 y con al menos una copia offline. Y hace falta, sobre todo, un plan de respuesta ante incidentes probado, que involucre a la dirigencia, al cuerpo médico, a recursos humanos y a los asesores legales, no únicamente a sistemas.

    Sería deseable, además, que las autoridades de control de la región —en nuestro caso, la AAIP— impulsen guías sectoriales específicas para entidades deportivas, fijando expectativas mínimas y buenas prácticas adaptadas a una realidad muy particular. Y que las propias federaciones y ligas asuman un rol activo: la seguridad de los datos de los jugadores y sus familias no puede depender de la voluntad o el presupuesto de cada club.

    Volvamos un momento al chico de 13 años del principio. Su historia clínica, sus evaluaciones, su ubicación en tiempo real durante los entrenamientos. Su intimidad, en definitiva, viajando por servidores que sus padres nunca van a ver y por redes que nadie les explicó. La protección reforzada de los datos de menores no es un capítulo más de la agenda: es el eje no negociable sobre el que debería ordenarse todo lo demás.

    Porque la próxima brecha no se va a medir solamente en euros, dólares o pesos de multa. Se va a medir en la confianza de quienes entregaron lo más íntimo de sus vidas creyendo que su club también los iba a cuidar fuera del campo de juego. Esa confianza, cuando se rompe, no la recupera ni el mejor fichaje de la temporada.

  • El mapa que anticipó el golpe: La ANPD sanciona a una organización de salud y confirma sus propias prioridades para 2026-2027

    El mapa que anticipó el golpe: La ANPD sanciona a una organización de salud y confirma sus propias prioridades para 2026-2027

    Por Daniel Monastersky – www.danielmonastersky.com

    Cerca de 78.772 chicos y 47.921 personas mayores tienen algo en común, aunque nunca se hayan cruzado: sus historias clínicas, sus diagnósticos, sus internaciones quedaron expuestos cuando un grupo de ransomware secuestró los sistemas de la organización social que gestiona unidades públicas de salud en distintos estados de Brasil. En total, alrededor de 500.000 pacientes. El ataque ocurrió en 2025 y la propia entidad lo comunicó a la Agencia Nacional de Protección de Datos, la ANPD. Pero comunicar un incidente no es lo mismo que gestionarlo bien, y ahí es donde empieza esta historia.

    La ANPD abrió un Proceso Administrativo Sancionador porque, según su investigación, la organización no logró demostrar que había adoptado medidas técnicas y administrativas adecuadas para proteger esa información. Tampoco avisó a los pacientes de manera individual: se limitó a publicar un comunicado en su sitio web, que ni siquiera detallaba la fecha del ataque, qué datos se habían visto comprometidos o qué perfil tenían los afectados. La entidad intentó minimizar el hecho, argumentando que los atacantes solo habían accedido a información administrativa y a contratos ya vencidos. La Agencia no le encontró sustento técnico a esa versión. Y encima faltaba algo tan básico como informar quién era el encargado de tratamiento de datos personales en la organización, una exigencia elemental de la LGPD.

    Lo que sigue ahora es previsible: diez días hábiles para presentar su defensa, y si se confirman las infracciones, sanciones que van desde una advertencia hasta multas de hasta el 2% de la facturación, pasando por la suspensión de las actividades de tratamiento de datos. Nada nuevo bajo el sol regulatorio brasileño, salvo por un detalle que cambia la lectura de todo el caso: este episodio no es un hecho aislado, es la puesta en práctica de una hoja de ruta que la ANPD ya había anunciado.

    A fines de diciembre de 2025, la Agencia publicó el Mapa de Temas Prioritários para el bienio 2026-2027, a través de la Resolução CD/ANPD nº 30. El documento no es un simple comunicado institucional: es, literalmente, el aviso previo de dónde va a poner la lupa el regulador brasileño durante los próximos dos años. Y define cuatro ejes. El primero, los derechos de los titulares, con foco explícito en datos sensibles: biometría, salud, información financiera y todo dato que pueda derivar en discriminación o exclusión social. El segundo, la protección de niños, niñas y adolescentes en el entorno digital, exigiendo que la verificación etaria y los controles parentales dejen de ser un casillero tildado en un formulario de compliance y pasen a funcionar de verdad. El tercero, el tratamiento de datos por parte del Estado, con especial atención a la biometría, los registros sociales y la salud pública. Y el cuarto, la inteligencia artificial aplicada al tratamiento de datos personales, con exigencias de transparencia algorítmica y mitigación de sesgos que llegan antes de que exista un marco legal específico para la IA en Brasil.

    Leído en conjunto, el mensaje de la ANPD es difícil de ignorar: el caso de la organización social no es una anécdota aislada, es exactamente el tipo de situación que el regulador anticipó que iba a perseguir con más fuerza. Salud, datos sensibles, sector público, falta de comunicación adecuada a los titulares: los cuatro elementos del caso calzan casi perfectamente con los cuatro ejes del mapa. Y no es la primera vez que un organismo vinculado a la salud pública brasileña queda en la mira. Ya en 2024, la ANPD había sancionado al Ministerio de Salud por no haber designado a tiempo un encargado de datos y por no presentar los Informes de Impacto a la Protección de Datos que la propia Agencia le había solicitado. La designación del encargado, de hecho, recién llegó después de iniciado el proceso sancionador. El patrón se repite: gobernanza tardía, respuesta reactiva, subestimación del riesgo hasta que el regulador golpea la puerta.

    Para quienes trabajamos en protección de datos en América Latina, este caso deja una comparación difícil de esquivar. En Argentina todavía discutimos actualizar una ley de 2000 que quedó desactualizada frente al RGPD europeo y a la propia LGPD brasileña, mientras Brasil ya construyó una autoridad de datos con capacidad sancionadora real, con mapas de fiscalización públicos y con jurisprudencia administrativa acumulada. La lección no es solo brasileña: es sobre qué pasa cuando una organización de salud, pública o social, trata datos de cientos de miles de personas sin haber invertido en gobernanza antes de que ocurra el incidente. Un plan de respuesta a incidentes que no se ensayó nunca, una comunicación a los titulares pensada como trámite y no como obligación sustantiva, un encargado de datos que existe en el papel pero no en los hechos: todo eso se paga, tarde o temprano, y en este caso se paga con datos de salud de casi 80.000 chicos.

    La pregunta que le queda a cada organización que maneja datos sensibles, esté en Brasil, en Argentina o en cualquier país de la región, es simple: si mañana la autoridad de protección de datos de tu país pidiera evidencia técnica de las medidas de seguridad implementadas, ¿la tendrías lista, o recién empezarías a armarla?

    Nota metodológica: la información sobre el caso de la organización social proviene de un artículo de IBDCNI del 9 de julio de 2026, que cita como fuente primaria a gov.br/anpd. Los datos sobre el Mapa de Temas Prioritários 2026-2027 surgen del comunicado oficial de la ANPD y de análisis coincidentes de varios estudios jurídicos brasileños (Martinelli Advogados, Trench Rossi Watanabe, TI Inside, Café com Bytes, Data Guide). El precedente del Ministerio de Salud se basa en un artículo de Maeda, Ayres & Sarubbi Advogados.

  • LinkedIn sabe dónde trabajan. Nosotros sabemos quiénes están preparados

    LinkedIn sabe dónde trabajan. Nosotros sabemos quiénes están preparados

    Por Daniel Monastersky – www.danielmonastersky.com

    Presentamos DGL.TALENT y Talent Coach, la nueva vertical del ecosistema de Data Governance Latam.

    Hace unos meses, el director de legales de una de las tres aseguradoras más grandes de Argentina nos planteó un problema que escuchamos cada vez más seguido. Habían entrevistado a media docena de candidatos para la posición de DPO. Todos tenían el perfil de LinkedIn impecable: certificaciones internacionales, títulos de posgrado, la palabra GDPR repetida como mantra en cada experiencia laboral. Y sin embargo, ninguno podía responder la pregunta que de verdad importaba: ¿cómo se implementa un programa de privacidad en una compañía de seguros, con sus intermediarios, sus peritos, sus datos de salud y sus veinte sistemas heredados que nadie se anima a tocar?

    “Necesitábamos un DPO que entendiera el negocio de seguros, no solo el RGPD. DGL entendió eso en la primera reunión”, nos dijo después. Esa frase resume por qué hoy escribo este artículo.

    La asimetría que nadie quiere nombrar

    Después de más de veinte años trabajando en el ecosistema de datos de la región, llegamos a una conclusión: LinkedIn sabe dónde trabaja la gente, pero no sabe quiénes están preparados. Y esa brecha, que en otras industrias puede ser un detalle, en privacidad, gobierno de datos y ciberseguridad es un riesgo regulatorio, reputacional y hasta penal.

    Pensalo desde el lado de la empresa. Cuando contratás mal a un gerente comercial, perdés un trimestre. Cuando contratás mal a un CISO o a un DPO, te enterás el día del incidente. El día que la autoridad de control te pide el registro de tratamientos. El día que el ransomware ya está adentro y descubrís que el “arquitecto de seguridad” que figuraba precioso en su perfil nunca había gestionado una crisis real.

    Y pensalo también desde el lado del candidato. Los mejores profesionales de este ecosistema no están buscando trabajo. Están trabajando. No actualizan su perfil, no coleccionan badges, no publican tres veces por semana. Son invisibles para los algoritmos de reclutamiento tradicionales, que premian la actividad en la red por encima de la capacidad de ejecutar un lunes a la mañana.

    Esa doble asimetría —empresas que no pueden distinguir preparación real de currículum decorado, y talento genuino que no aparece en los radares— es el problema que decidimos atacar.

    Qué es DGL.TALENT

    DGL TALENT es la unidad de talent recruitment especializado de Data Governance Latam. Y acá hay una distinción que para nosotros es fundacional: no somos una consultora de recursos humanos que aprendió de datos. Somos los especialistas en datos que además conectan el talento.

    Trabajamos exclusivamente en cinco verticales, todas del ecosistema que habitamos hace dos décadas: privacidad, con DPOs y Privacy Managers que traducen RGPD, LGPD, Ley 25.326 y HIPAA en procesos ejecutables; gobierno de datos, con CDOs, Data Stewards y Data Architects que construyen frameworks usables y no PDFs decorativos; ciberseguridad, con CISOs y arquitectos anclados en la industria del cliente; AI y Legal Tech, con perfiles de gobernanza de inteligencia artificial antes de que se convierta en un problema regulatorio; y prevención de fraudes y crimen financiero, con especialistas en AML, KYC y Fraud Risk.

    La regla es simple: solo intermediamos en dominios donde tenemos expertise directa. No competimos en verticales genéricas, porque ahí no podemos evaluar lo que de verdad importa. Cuando un candidato pasa por nuestro proceso, se enfrenta al framework del cliente antes de firmar, no después. Esa rigurosidad no la inventamos para reclutamiento: la trajimos calcada de la práctica consultora.

    Los números que respaldan esta apuesta hablan solos. Operamos en doce países de América Latina. Más de 1500 profesionales se formaron a través del CECyD | Centro de Estudios en Ciberseguridad y Datos que co-dirigimos en la Universidad Austral. Nuestra plataforma propia trabaja sobre una base de más de mil perfiles evaluados con análisis semántico. Y porque el mercado necesitaba un punto de referencia que no existía, publicamos el Estudio de Remuneraciones Argentina 2026: la mediana anual del ecosistema se ubica en 43.728 dólares. Es el primer dato público y propio del sector, construido desde adentro.

    Algo más, que para quienes venimos de la tecnología no es menor: DGL TALENT no es una agencia con un Excel. Construimos la tecnología porque nuestra tesis operativa lo exige: no se puede evaluar talento técnico con herramientas genéricas.

    Talent Coach

    Ahora bien, todo lo anterior es la cara B2B. Pero había una pregunta del lado del candidato que nos daba vueltas hace tiempo: ¿cómo se ve mi perfil de LinkedIn desde el otro lado de la mesa, antes de que me llamen a una entrevista?

    Talent Coach es nuestra respuesta. Es una herramienta pública y gratuita, disponible en dgltalent.com/coach, pensada para profesionales de nuestras cinco verticales. El funcionamiento es deliberadamente simple: exportás el PDF de tu propio perfil de LinkedIn —desde tu perfil, tocás Más y después Guardar en PDF—, lo subís, y recibís por mail un informe personal con tres cosas: las inconsistencias que un reclutador experto detectaría en tu perfil, las preguntas que te podrían hacer en una entrevista calibradas por vertical y seniority, y sugerencias concretas para fortalecer tu perfil antes del próximo proceso.

    ¿Por qué el PDF de LinkedIn y no un CV? Porque el CV es curación intencional y el perfil de LinkedIn es el registro público. Es exactamente el mismo objeto que ve una contraparte cuando descarga tu perfil. Analizamos lo que el mercado ya está viendo de vos, no la versión editada que preparaste para una búsqueda puntual.

    Y acá viene la parte que, viniendo de una firma cuya vertical madre es la privacidad, no podía ser de otra manera: el PDF no se almacena, el informe queda exclusivamente para el candidato y el resultado no entra en ningún proceso de selección de DGL.TALENT. Talent Coach vive del otro lado de una muralla operativa. No alimenta nuestro pipeline comercial con datos personales capturados de manera oportunista. Una firma que vende reclutamiento en privacidad no puede permitirse hacer con los datos de los candidatos lo que le recomendaría a sus clientes no hacer jamás.

    Si no sos un profesional vinculado a privacidad, gobierno de datos, ciberseguridad, AI y Legal Tech o prevención de fraudes, los resultados no van a serte útiles. Talent Coach no es un coach de CV genérico. Es una herramienta de nicho profundo, y esa restricción es una decisión, no una limitación.

    El talento como infraestructura crítica

    Durante años escribimos sobre marcos regulatorios, sobre incidentes, sobre la urgencia de reformar la Ley 25.326, sobre gobernanza de inteligencia artificial. Pero hay una verdad que atraviesa todos esos temas y que rara vez se dice en voz alta: ninguna regulación, ningún framework y ninguna tecnología funciona sin las personas correctas en los lugares correctos. El talento especializado es infraestructura crítica, y en América Latina esa infraestructura tiene déficit.

    DGL TALENT es nuestra forma de atacar ese déficit desde el lado de la demanda, conectando organizaciones con profesionales verdaderamente preparados. Talent Coach lo ataca desde el lado de la oferta, ayudando a cada profesional del ecosistema a entender cómo lo ve el mercado y qué le falta para el próximo paso. Las dos piezas son parte de la misma tesis.

    Si estás contratando en alguna de nuestras cinco verticales, escribinos: en dgltalent.com está todo el detalle. Y si sos profesional del ecosistema de datos, hacé la prueba hoy mismo en dgltalent.com/coach. Es gratis, tu PDF no queda en ningún lado, y la peor consecuencia posible es enterarte de algo sobre tu perfil que preferís saber antes de la entrevista y no durante.

    Porque LinkedIn sabe dónde trabajás. La pregunta es si estás preparado para lo que viene. Y esa respuesta, ahora, la podés tener vos primero.

  • Apuntes sin anestesia sobre el nuevo proyecto de Ley de Protección de Datos Personales de Argentina

    Apuntes sin anestesia sobre el nuevo proyecto de Ley de Protección de Datos Personales de Argentina

    Por Daniel Monastersky y Facundo Malaureille — Centro de Estudios en Ciberseguridad y Datos, Universidad Austral

    Un hombre de setenta años recibe, por fin, la respuesta que había pedido. Había ejercido su derecho de acceso, había preguntado qué datos tenía de él una empresa y para qué los estaba usando. La respuesta llega: veinte páginas, jerga jurídica cerrada, ningún resumen a la vista. El hombre no ejerció ningún derecho real. Recibió papel.

    Esa escena, que podría pasar por anécdota menor, es en realidad el resumen más honesto de lo que está en juego con el nuevo proyecto de Ley de Protección de Datos Personales que el Ministerio de Desregulación y Transformación del Estado compartió el 1° de julio de 2026. Porque una ley de datos personales no se mide por lo que promete en sus considerandos, sino por lo que un ciudadano común puede efectivamente hacer con ella cuando la necesita. Y ahí, lamentablemente, el Proyecto tiene fracturas serias.

    Vale una aclaración antes de seguir. Esto no es una crítica al proceso. La convocatoria a comentarios es bienvenida, el espíritu participativo también, y desde el CECYD de la Universidad Austral participamos activamente de esa instancia, proponiendo e incorporando mejoras concretas al texto. Pero la letra final merece una lectura crítica que vaya más allá de los elogios protocolares. Hay una frase que circula hace años en los foros de privacidad del mundo y que resume con precisión quirúrgica lo que puede salir mal cuando un Estado se propone modernizar su ley de datos: lo que no se mide no se protege, y lo que no se exige no se cumple. Argentina está a punto de aprender esa lección por las malas, si no corrige el rumbo a tiempo.

    El primer problema aparece temprano, en el artículo 14, y es de manual. El consentimiento es la piedra angular de cualquier ley de protección de datos: cuando alguien entrega sus datos, tiene que hacerlo con conocimiento de causa, de manera activa y verificable. El GDPR europeo, el estándar de referencia global desde 2018, lo dice sin ambigüedad: el consentimiento se manifiesta mediante una acción afirmativa clara, y el silencio no alcanza. El Proyecto argentino, en cambio, admite el consentimiento tácito como regla general para datos no sensibles: basta con que la empresa haya informado la finalidad «previamente de manera clara» y que la persona «no se haya opuesto». Traducido al castellano de todos los días: si te mandan un mail avisándote que van a usar tus datos y vos no contestás, ese silencio vale como un sí. En un país donde los niveles de educación digital son heterogéneos y donde casi nadie lee una política de privacidad —en ningún país del mundo se leen, seamos honestos—, ese mecanismo no es una base de licitud. Es una habilitación encubierta del tratamiento, y debería ser directamente suprimido o restringido a supuestos absolutamente excepcionales con garantías reforzadas.

    El segundo problema es más sutil, pero no menos grave: la ausencia de un principio de preeminencia del titular. En los comentarios que elevamos al Proyecto propusimos incorporar, en el artículo 11, una regla simple: en caso de duda sobre la interpretación de la ley, prevalece la interpretación más favorable a la persona. Es un estándar que ya figura en los marcos más avanzados del derecho comparado. Pero un principio sin mecanismos que lo sostengan es apenas un deseo. Si el artículo 14 admite el consentimiento tácito, si el artículo 28 permite al responsable del tratamiento negarse a responder solicitudes de derechos cuando él mismo las considere «excesivas» o «manifiestamente infundadas», y si no existe una vía ágil para que el titular reclame, ¿de qué sirve declarar que la duda se resuelve a su favor? El principio necesita dientes, no solo una mención.

    De ahí en más, la conversación se traslada del texto a lo que el texto omite, y esta es, quizás, la parte más reveladora de todo el análisis. Empecemos por la Evaluación de Impacto en la Protección de Datos, conocida internacionalmente como EIPD o DPIA. Es el instrumento central del modelo moderno de protección de datos: antes de poner en marcha un tratamiento de alto riesgo, la organización está obligada a preguntarse qué riesgos genera, si son necesarios y proporcionales, y cómo los va a mitigar. Sin EIPD obligatoria, el principio de responsabilidad proactiva —el accountability tan mencionado en el Proyecto— queda sin su herramienta operativa principal. Es como exigir que los edificios sean seguros pero no pedir un estudio de suelo antes de poner los cimientos. El GDPR exige EIPD desde 2018. Chile la contempla en su Ley 19.628. Brasil también, en su LGPD. El Proyecto argentino la menciona de refilón en su Título V, pero no la regula de manera autónoma ni obligatoria para los supuestos que el derecho comparado considera indispensables: nuevas tecnologías de alto riesgo, perfilamiento con efectos jurídicos, tratamiento a gran escala de datos sensibles, seguimiento sistemático en espacios públicos. ¿Qué pasa sin esa exigencia en un país donde el reconocimiento facial ya se despliega en estadios, shoppings y terminales de transporte? ¿Qué pasa con los modelos de scoring crediticio que deciden si alguien accede a un crédito, un empleo o un seguro? Pasa lo de siempre cuando falta regulación: las empresas hacen lo que quieren hasta que alguien se queja, y cuando alguien se queja, ya es tarde.

    La segunda gran ausencia es la figura del Delegado de Protección de Datos, el DPO. Es, junto con la EIPD, el otro pilar operativo del modelo de accountability: la persona encargada de velar por el cumplimiento dentro de la organización, de asesorar al responsable del tratamiento y de actuar como punto de contacto con la autoridad de control y con los titulares. El Proyecto, tal como está redactado, no lo regula. No dice en qué casos es obligatorio designarlo, no fija garantías de independencia, no describe sus funciones, no obliga a publicar sus datos de contacto. En Europa el DPO es obligatorio para autoridades públicas y para organizaciones que hacen tratamiento sistemático a gran escala o manejan datos sensibles de forma masiva. Esas organizaciones existen en Argentina, y son muchas, pero el Proyecto las deja sin el mecanismo que volvería exigible su responsabilidad proactiva en el terreno, no solo en el papel.

    Ahora bien, no todo es ausencia. Hay un avance real, que también surgió de nuestra propuesta durante la consulta: la obligación de que los responsables y encargados del tratamiento incluyan en sus plataformas, aplicaciones y documentación un mecanismo visible y accesible para ejercer derechos, algo que llamamos informalmente el botón de ejercicio de derechos, incorporado en el Título IV. Es un paso correcto. Pero volvemos al hombre de setenta años del comienzo: un botón sin contenido comprensible detrás es un decorado. Por eso propusimos también, para el artículo 23, que el acceso se proporcione «por un medio de fácil lectura y comprensión», considerando la condición social, educativa y el rango etario del titular. La incorporación es positiva, pero necesita correlatos operativos: qué formatos se consideran adecuados, quién verifica que el lenguaje sea efectivamente comprensible. Los derechos que no son exigibles en la práctica son, en el mejor de los casos, promesas.

    Hay dos frentes más donde el Proyecto se queda corto, y ambos tienen que ver con quién queda afuera del alcance real de la ley. El primero son las empresas extranjeras. El artículo 4° extiende la aplicación territorial a responsables no establecidos en Argentina, siempre que sus actividades apunten a personas residentes en el país, lo cual está bien. Pero sin la obligación de designar un representante local, esa extensión es una declaración de principios sin capacidad de ejecución. ¿Cómo reclama un ciudadano argentino frente a una empresa con sede en Irlanda, Delaware o Singapur? El GDPR resolvió exactamente este problema con su artículo 27, que exige representante obligatorio en la Unión Europea para todo responsable no establecido que trate datos de ciudadanos europeos. Argentina debería replicar ese esquema, porque son justamente las plataformas de alcance global las que más volumen de datos de argentinos tratan y las que mayores riesgos generan. Dejarlas sin un interlocutor accesible en el país no es neutralidad regulatoria: es protección encubierta del infractor.

    El segundo frente es, sencillamente, el Estado. El régimen sancionatorio del Proyecto fija multas de hasta el 3% de la facturación anual en Argentina para las infracciones más graves, un porcentaje que puede doler a una empresa mediana pero que resulta insignificante para una plataforma global cuya facturación local es una fracción mínima de su negocio total. El GDPR, en cambio, llega hasta el 4% de la facturación global, y esa diferencia no es cosmética: es la distancia entre una sanción que efectivamente disuade y una que se paga sin pestañear y se incorpora como costo operativo. Pero el dato más silencioso, y el más revelador de todo el Proyecto, está en el artículo 57: las multas económicas no se aplican al Sector Público Nacional. Si un organismo público incumple, la autoridad de control se limita a remitir las actuaciones a la autoridad jerárquica correspondiente y a los órganos de control interno. Es decir, el Estado puede violar la misma ley de protección de datos que él sanciona, y la consecuencia es un memo interno. En un país donde los padrones electorales se han filtrado, donde datos de organismos como el ANSES han aparecido en manos de marketers, y donde los historiales clínicos circulan con una laxitud preocupante, eximir al sector público de sanciones económicas no es una opción razonable de política regulatoria. Es un cheque en blanco.

    Nada de lo que planteamos desde el CECYD es ciencia ficción ni una importación forzada del modelo europeo. No pedimos que Argentina copie el GDPR palabra por palabra ni que adopte un régimen más gravoso que el continente que lo inventó. Pedimos, simplemente, coherencia. Una ley no protege datos personales si al mismo tiempo admite el consentimiento tácito como regla general, si omite la EIPD obligatoria para los tratamientos de alto riesgo, si no regula la figura del DPO, si no exige representantes locales a los responsables extranjeros y si no aplica multas al propio Estado cuando incumple. Protege datos en el nombre. Los expone en los hechos.

    Argentina todavía está a tiempo de corregir el rumbo. Tiene la oportunidad, y la responsabilidad, de dotarse de un marco normativo moderno, coherente y efectivamente protectorio, en lugar de una ley que suene bien en la conferencia de prensa y falle en el primer reclamo real. Sus ciudadanos no merecen ser tratados como ciudadanos de segunda con una ley de segunda. El derecho a la protección de datos personales es un derecho fundamental. Ya es hora de que el texto que lo regula esté a la altura de esa definición.

  • Sexo en el avión: el verdadero escándalo no es lo que pasó a bordo

    Sexo en el avión: el verdadero escándalo no es lo que pasó a bordo

    Por Daniel Monastersky – www.danielmonastersky.com

    Un vuelo internacional de Copa Airlines aterriza en Rosario en la madrugada del sábado. A bordo, dos pasajeros adultos —un hombre de 54 años y una mujer de 59— son descubiertos en una situación comprometedora por otros pasajeros. La PSA interviene. Se labra una denuncia por exhibiciones obscenas. Hasta ahí, un episodio curioso que podría haber quedado en la anécdota de los diarios del domingo.

    Pero no quedó ahí.

    En pocas horas, los medios no solo relataron el hecho: publicaron los nombres, edades, profesiones, estado civil y hasta el perfil en redes sociales de los dos involucrados. Supimos que uno es arquitecto, jefe de obra ferroviaria, casado y con tres hijos. Supimos que la otra es divorciada y dueña de un centro de rehabilitación. Supimos que ambos «suelen publicar fotos de viajes». Supimos, en definitiva, todo lo que no necesitábamos saber para comprender el hecho.

    Ahí está el verdadero escándalo.

    El hecho que nadie discute

    Hay un principio básico en protección de datos que en Argentina está consagrado desde la Ley 25.326, y que en el mundo entero se repite en el RGPD, la LGPD brasileña y prácticamente cualquier marco normativo moderno: la proporcionalidad. Los datos personales que se procesan —o se publican— deben ser los estrictamente necesarios para el fin que se persigue.

    ¿Cuál es el fin periodístico de revelar que el hombre está casado y tiene tres hijos? ¿O que ella es divorciada? Esa información no aporta nada al relato del episodio. No ayuda a comprender si existió un delito. No contribuye al debate sobre seguridad aérea. Solo sirve para una cosa: maximizar el daño reputacional a dos personas privadas que, en el peor de los casos, cometieron una infracción menor.

    Los medios que publicaron esta información invocarían, como siempre, el «interés público». Pero el interés público tiene límites. Puede justificar informar que dos pasajeros fueron detenidos por conducta inapropiada en un vuelo. No justifica convertir esa detención en una ejecución reputacional en redes sociales, con nombre, apellido, profesión y link al perfil de Instagram.

    La arquitectura del daño digital

    Lo que describe este caso es algo que desde DGL vemos con creciente preocupación: la construcción de un expediente digital permanente sobre personas privadas, a partir de hechos que ni siquiera llegaron a condena judicial.

    La causa quedó caratulada como «exhibiciones obscenas». La Justicia provincial tomó intervención, pero ni siquiera está claro que mantenga jurisdicción porque el hecho ocurrió en un vuelo internacional. En otras palabras: no hay condena, no hay sentencia, puede que ni siquiera haya juicio. Pero el daño ya está hecho. Cuando alguien escriba los nombres de estas dos personas en Google, aparecerá este episodio. Para siempre. Sin posibilidad de prescripción. Sin derecho al olvido efectivo.

    ¿Y la regulación mediática?

    Aquí viene la pregunta incómoda que nadie en el ecosistema mediático quiere responder: ¿existe algún estándar claro sobre qué datos personales puede publicar un medio periodístico sobre una persona privada involucrada en un hecho menor?

    En Argentina, la respuesta honesta es: no, no existe de manera explícita. La Ley 25.326 excluye de su ámbito de aplicación al tratamiento de datos con fines periodísticos. Es una exclusión razonable: la libertad de prensa es un valor democrático fundamental y no puede quedar subordinada a la protección de datos de cualquier funcionario o figura pública que quiera blindarse. Pero esa exclusión fue pensada para proteger el periodismo de interés público genuino, no para amparar la publicación del estado civil de un arquitecto rosarino detenido por un episodio de exhibicionismo.

    La AAIP —la autoridad de aplicación en materia de protección de datos— podría tener algo que decir sobre esto. Hasta ahora, guarda silencio.

    Lo que este episodio revela sobre nosotros

    Seamos directos: el episodio del vuelo de Copa generó decenas de notas, miles de clicks y una cantidad incontable de comentarios burlones en redes. Funcionó. El modelo de negocio que combina datos personales con indignación pública es extraordinariamente efectivo.

    Pero cada vez que esto ocurre, se consolida una norma social peligrosa: que la vida privada de las personas es un bien público disponible para el consumo y el escarnio, siempre que el hecho sea lo suficientemente llamativo. Hoy son dos desconocidos en un avión. Mañana puede ser cualquiera de nosotros en cualquier contexto que no elegimos.

    La privacidad no es un privilegio de los inocentes. Es un derecho que se activa precisamente cuando la persona está en su momento más vulnerable.

    Lo que debería cambiar

    Tres cosas concretas:

    Primero, la AAIP necesita emitir lineamientos claros sobre el tratamiento de datos de personas privadas en contextos periodísticos. La exclusión de la Ley 25.326 no puede ser una carta blanca ilimitada.

    Segundo, los medios de comunicación necesitan —y algunos ya tienen— políticas internas de protección de datos aplicadas a sus redacciones. Publicar el estado civil de alguien denunciado por una falta menor no es periodismo: es exposición gratuita.

    Tercero, como sociedad necesitamos empezar a hacer la pregunta correcta antes de compartir este tipo de notas: ¿necesito realmente saber quiénes son estas personas para entender lo que ocurrió? Si la respuesta es no —y casi siempre lo es—, quizás el click no sea tan inocente como parece.

    El avión ya aterrizó. La PSA hizo su trabajo. La Justicia decidirá si hubo delito. Pero el tribunal de la opinión pública ya dictó sentencia, con datos que nadie le pidió permiso a nadie para publicar.

    Ese es el escándalo que vale la pena debatir.