Categoría: Opinión

Por Daniel Monastersky – www.danielmonastersky.com

Imaginate por un momento que sos padre o madre de un chico de 13 años que acaba de firmar su primer contrato con las inferiores de un club de fútbol. Para que el club lo evalúe, lo cuide y lo proyecte, no vas a entregar solamente una autorización firmada: vas a entregar su historia clínica completa, sus evaluaciones psicológicas, datos biométricos de seguimiento físico y nutricional, información económica de tu familia, certificados de antecedentes y, cada vez más seguido, su ubicación en tiempo real durante los entrenamientos. Confiás esa intimidad porque asumís que un club profesional la cuida con el mismo rigor con el que la cuidaría un hospital o un banco.

Ese supuesto se acaba de romper en Europa, y la advertencia es válida para todos nosotros.

Una multa de 66.000 euros que no es la noticia

La Real Sociedad, uno de los clubes históricos de la liga española, sufrió un ataque de ransomware que expuso los datos de unas 60.000 personas: jugadores, empleados, juveniles, familiares, profesionales del cuerpo médico. La Agencia Española de Protección de Datos (AEPD) investigó el incidente y detectó un combo difícil de explicar en una entidad de ese porte: información de categoría especial —salud, biometría, antecedentes penales— almacenada sin cifrado; copias de seguridad conviviendo en los mismos servidores comprometidos; y una red interna sin segmentación, donde bastó un equipo personal infectado para que el ataque se expandiera por toda la infraestructura.

La sanción fue de 110.000 euros, reducida a 66.000 por pago voluntario. Pero la multa, en este caso, es lo menos importante. Lo verdaderamente relevante es el diagnóstico que viene atrás: no estamos frente a una desprolijidad puntual, sino frente a un modelo de gestión de riesgos que no se corresponde con el volumen y la sensibilidad de la información tratada.

Lo que este expediente revela es un problema cultural que excede largamente a un club. Se trata de la convicción —tan extendida en el mundo del deporte profesional— de que las entidades deportivas son “solo” clubes, y no organizaciones intensivas en datos críticos. La realidad es otra, y conviene decirla con todas las letras.

Un club de élite hoy es, simultáneamente, una clínica (por el volumen de datos de salud, rendimiento y rehabilitación), una entidad financiera (por la información económica de contratos, comisiones, primas y patrimonio familiar), un juzgado en miniatura (por los certificados de antecedentes que exige procesar para trabajar con menores) y un laboratorio biométrico (por la captura permanente de variables fisiológicas de los jugadores). Todo eso, en una sola estructura que muchas veces sigue gestionando la seguridad de la información como si su mayor exposición fuera la cuenta de Instagram del primer equipo.

El RGPD —como debería ocurrir con cualquier régimen serio de protección de datos— no hace excepciones por escudos, colores o cantidad de hinchas. La obligación de aplicar medidas de seguridad adecuadas al riesgo es la misma que la de cualquier hospital o aseguradora. Y, sin embargo, los hallazgos de la AEPD parecen describir una organización que todavía no terminó de asumir esa equivalencia.

El espejo incómodo para Argentina y la región

Si esto pasa en España, donde el RGPD lleva años de implementación y la AEPD tiene un historial activo de sanciones, la pregunta inevitable es qué está pasando en el ecosistema deportivo argentino y regional.

¿Cuántos clubes de primera división tienen hoy una política formal de gobierno de datos, segmentación de red, cifrado sistemático de información sensible y un plan probado de respuesta ante incidentes? ¿Cuántos cuentan con un responsable identificable de privacidad? ¿Cuántos aplican un enfoque de protección reforzada para los datos de los menores que pasan por sus divisiones inferiores, sus predios formativos y sus escuelitas de fútbol?

Las respuestas, hoy por hoy, son incómodas.

Lo más preocupante es que la fragilidad crece a medida que bajamos de categoría. Si un club con los recursos de la Real Sociedad llegó hasta acá, ¿cuál es el estado real de la seguridad en clubes del ascenso, en federaciones con estructuras mínimas o en las academias privadas que captan chicos desde los seis o siete años?

Qué tiene que cambiar, en serio

El caso Real Sociedad debería servirnos como punto de inflexión, no como anécdota internacional. No alcanza con un antivirus, una copia de seguridad ocasional y la delegación de todo “al área de sistemas”.

No hay misterio sobre qué hay que hacer: los estándares están escritos hace años y son los mismos que cualquier hospital o entidad financiera viene aplicando desde hace tiempo. Pero conviene enumerarlos, porque a veces lo evidente es justo lo que falta. Hace falta una política clara de gobierno de datos que defina qué información se trata, con qué finalidad, durante cuánto tiempo y con qué base de legitimación. Hace falta cifrado sistemático de la información sensible —salud, biometría, antecedentes, datos de menores— tanto en tránsito como en reposo. Hace falta segmentación de la red interna, de modo que un equipo comprometido no pueda contaminar toda la infraestructura. Hacen falta copias de seguridad aisladas, idealmente bajo la regla 3-2-1 y con al menos una copia offline. Y hace falta, sobre todo, un plan de respuesta ante incidentes probado, que involucre a la dirigencia, al cuerpo médico, a recursos humanos y a los asesores legales, no únicamente a sistemas.

Sería deseable, además, que las autoridades de control de la región —en nuestro caso, la AAIP— impulsen guías sectoriales específicas para entidades deportivas, fijando expectativas mínimas y buenas prácticas adaptadas a una realidad muy particular. Y que las propias federaciones y ligas asuman un rol activo: la seguridad de los datos de los jugadores y sus familias no puede depender de la voluntad o el presupuesto de cada club.

Volvamos un momento al chico de 13 años del principio. Su historia clínica, sus evaluaciones, su ubicación en tiempo real durante los entrenamientos. Su intimidad, en definitiva, viajando por servidores que sus padres nunca van a ver y por redes que nadie les explicó. La protección reforzada de los datos de menores no es un capítulo más de la agenda: es el eje no negociable sobre el que debería ordenarse todo lo demás.

Porque la próxima brecha no se va a medir solamente en euros, dólares o pesos de multa. Se va a medir en la confianza de quienes entregaron lo más íntimo de sus vidas creyendo que su club también los iba a cuidar fuera del campo de juego. Esa confianza, cuando se rompe, no la recupera ni el mejor fichaje de la temporada.

Por Daniel Monastersky y Facundo Malaureille — Centro de Estudios en Ciberseguridad y Datos, Universidad Austral

Un hombre de setenta años recibe, por fin, la respuesta que había pedido. Había ejercido su derecho de acceso, había preguntado qué datos tenía de él una empresa y para qué los estaba usando. La respuesta llega: veinte páginas, jerga jurídica cerrada, ningún resumen a la vista. El hombre no ejerció ningún derecho real. Recibió papel.

Esa escena, que podría pasar por anécdota menor, es en realidad el resumen más honesto de lo que está en juego con el nuevo proyecto de Ley de Protección de Datos Personales que el Ministerio de Desregulación y Transformación del Estado compartió el 1° de julio de 2026. Porque una ley de datos personales no se mide por lo que promete en sus considerandos, sino por lo que un ciudadano común puede efectivamente hacer con ella cuando la necesita. Y ahí, lamentablemente, el Proyecto tiene fracturas serias.

Vale una aclaración antes de seguir. Esto no es una crítica al proceso. La convocatoria a comentarios es bienvenida, el espíritu participativo también, y desde el CECYD de la Universidad Austral participamos activamente de esa instancia, proponiendo e incorporando mejoras concretas al texto. Pero la letra final merece una lectura crítica que vaya más allá de los elogios protocolares. Hay una frase que circula hace años en los foros de privacidad del mundo y que resume con precisión quirúrgica lo que puede salir mal cuando un Estado se propone modernizar su ley de datos: lo que no se mide no se protege, y lo que no se exige no se cumple. Argentina está a punto de aprender esa lección por las malas, si no corrige el rumbo a tiempo.

El primer problema aparece temprano, en el artículo 14, y es de manual. El consentimiento es la piedra angular de cualquier ley de protección de datos: cuando alguien entrega sus datos, tiene que hacerlo con conocimiento de causa, de manera activa y verificable. El GDPR europeo, el estándar de referencia global desde 2018, lo dice sin ambigüedad: el consentimiento se manifiesta mediante una acción afirmativa clara, y el silencio no alcanza. El Proyecto argentino, en cambio, admite el consentimiento tácito como regla general para datos no sensibles: basta con que la empresa haya informado la finalidad «previamente de manera clara» y que la persona «no se haya opuesto». Traducido al castellano de todos los días: si te mandan un mail avisándote que van a usar tus datos y vos no contestás, ese silencio vale como un sí. En un país donde los niveles de educación digital son heterogéneos y donde casi nadie lee una política de privacidad —en ningún país del mundo se leen, seamos honestos—, ese mecanismo no es una base de licitud. Es una habilitación encubierta del tratamiento, y debería ser directamente suprimido o restringido a supuestos absolutamente excepcionales con garantías reforzadas.

El segundo problema es más sutil, pero no menos grave: la ausencia de un principio de preeminencia del titular. En los comentarios que elevamos al Proyecto propusimos incorporar, en el artículo 11, una regla simple: en caso de duda sobre la interpretación de la ley, prevalece la interpretación más favorable a la persona. Es un estándar que ya figura en los marcos más avanzados del derecho comparado. Pero un principio sin mecanismos que lo sostengan es apenas un deseo. Si el artículo 14 admite el consentimiento tácito, si el artículo 28 permite al responsable del tratamiento negarse a responder solicitudes de derechos cuando él mismo las considere «excesivas» o «manifiestamente infundadas», y si no existe una vía ágil para que el titular reclame, ¿de qué sirve declarar que la duda se resuelve a su favor? El principio necesita dientes, no solo una mención.

De ahí en más, la conversación se traslada del texto a lo que el texto omite, y esta es, quizás, la parte más reveladora de todo el análisis. Empecemos por la Evaluación de Impacto en la Protección de Datos, conocida internacionalmente como EIPD o DPIA. Es el instrumento central del modelo moderno de protección de datos: antes de poner en marcha un tratamiento de alto riesgo, la organización está obligada a preguntarse qué riesgos genera, si son necesarios y proporcionales, y cómo los va a mitigar. Sin EIPD obligatoria, el principio de responsabilidad proactiva —el accountability tan mencionado en el Proyecto— queda sin su herramienta operativa principal. Es como exigir que los edificios sean seguros pero no pedir un estudio de suelo antes de poner los cimientos. El GDPR exige EIPD desde 2018. Chile la contempla en su Ley 19.628. Brasil también, en su LGPD. El Proyecto argentino la menciona de refilón en su Título V, pero no la regula de manera autónoma ni obligatoria para los supuestos que el derecho comparado considera indispensables: nuevas tecnologías de alto riesgo, perfilamiento con efectos jurídicos, tratamiento a gran escala de datos sensibles, seguimiento sistemático en espacios públicos. ¿Qué pasa sin esa exigencia en un país donde el reconocimiento facial ya se despliega en estadios, shoppings y terminales de transporte? ¿Qué pasa con los modelos de scoring crediticio que deciden si alguien accede a un crédito, un empleo o un seguro? Pasa lo de siempre cuando falta regulación: las empresas hacen lo que quieren hasta que alguien se queja, y cuando alguien se queja, ya es tarde.

La segunda gran ausencia es la figura del Delegado de Protección de Datos, el DPO. Es, junto con la EIPD, el otro pilar operativo del modelo de accountability: la persona encargada de velar por el cumplimiento dentro de la organización, de asesorar al responsable del tratamiento y de actuar como punto de contacto con la autoridad de control y con los titulares. El Proyecto, tal como está redactado, no lo regula. No dice en qué casos es obligatorio designarlo, no fija garantías de independencia, no describe sus funciones, no obliga a publicar sus datos de contacto. En Europa el DPO es obligatorio para autoridades públicas y para organizaciones que hacen tratamiento sistemático a gran escala o manejan datos sensibles de forma masiva. Esas organizaciones existen en Argentina, y son muchas, pero el Proyecto las deja sin el mecanismo que volvería exigible su responsabilidad proactiva en el terreno, no solo en el papel.

Ahora bien, no todo es ausencia. Hay un avance real, que también surgió de nuestra propuesta durante la consulta: la obligación de que los responsables y encargados del tratamiento incluyan en sus plataformas, aplicaciones y documentación un mecanismo visible y accesible para ejercer derechos, algo que llamamos informalmente el botón de ejercicio de derechos, incorporado en el Título IV. Es un paso correcto. Pero volvemos al hombre de setenta años del comienzo: un botón sin contenido comprensible detrás es un decorado. Por eso propusimos también, para el artículo 23, que el acceso se proporcione «por un medio de fácil lectura y comprensión», considerando la condición social, educativa y el rango etario del titular. La incorporación es positiva, pero necesita correlatos operativos: qué formatos se consideran adecuados, quién verifica que el lenguaje sea efectivamente comprensible. Los derechos que no son exigibles en la práctica son, en el mejor de los casos, promesas.

Hay dos frentes más donde el Proyecto se queda corto, y ambos tienen que ver con quién queda afuera del alcance real de la ley. El primero son las empresas extranjeras. El artículo 4° extiende la aplicación territorial a responsables no establecidos en Argentina, siempre que sus actividades apunten a personas residentes en el país, lo cual está bien. Pero sin la obligación de designar un representante local, esa extensión es una declaración de principios sin capacidad de ejecución. ¿Cómo reclama un ciudadano argentino frente a una empresa con sede en Irlanda, Delaware o Singapur? El GDPR resolvió exactamente este problema con su artículo 27, que exige representante obligatorio en la Unión Europea para todo responsable no establecido que trate datos de ciudadanos europeos. Argentina debería replicar ese esquema, porque son justamente las plataformas de alcance global las que más volumen de datos de argentinos tratan y las que mayores riesgos generan. Dejarlas sin un interlocutor accesible en el país no es neutralidad regulatoria: es protección encubierta del infractor.

El segundo frente es, sencillamente, el Estado. El régimen sancionatorio del Proyecto fija multas de hasta el 3% de la facturación anual en Argentina para las infracciones más graves, un porcentaje que puede doler a una empresa mediana pero que resulta insignificante para una plataforma global cuya facturación local es una fracción mínima de su negocio total. El GDPR, en cambio, llega hasta el 4% de la facturación global, y esa diferencia no es cosmética: es la distancia entre una sanción que efectivamente disuade y una que se paga sin pestañear y se incorpora como costo operativo. Pero el dato más silencioso, y el más revelador de todo el Proyecto, está en el artículo 57: las multas económicas no se aplican al Sector Público Nacional. Si un organismo público incumple, la autoridad de control se limita a remitir las actuaciones a la autoridad jerárquica correspondiente y a los órganos de control interno. Es decir, el Estado puede violar la misma ley de protección de datos que él sanciona, y la consecuencia es un memo interno. En un país donde los padrones electorales se han filtrado, donde datos de organismos como el ANSES han aparecido en manos de marketers, y donde los historiales clínicos circulan con una laxitud preocupante, eximir al sector público de sanciones económicas no es una opción razonable de política regulatoria. Es un cheque en blanco.

Nada de lo que planteamos desde el CECYD es ciencia ficción ni una importación forzada del modelo europeo. No pedimos que Argentina copie el GDPR palabra por palabra ni que adopte un régimen más gravoso que el continente que lo inventó. Pedimos, simplemente, coherencia. Una ley no protege datos personales si al mismo tiempo admite el consentimiento tácito como regla general, si omite la EIPD obligatoria para los tratamientos de alto riesgo, si no regula la figura del DPO, si no exige representantes locales a los responsables extranjeros y si no aplica multas al propio Estado cuando incumple. Protege datos en el nombre. Los expone en los hechos.

Argentina todavía está a tiempo de corregir el rumbo. Tiene la oportunidad, y la responsabilidad, de dotarse de un marco normativo moderno, coherente y efectivamente protectorio, en lugar de una ley que suene bien en la conferencia de prensa y falle en el primer reclamo real. Sus ciudadanos no merecen ser tratados como ciudadanos de segunda con una ley de segunda. El derecho a la protección de datos personales es un derecho fundamental. Ya es hora de que el texto que lo regula esté a la altura de esa definición.

Por Daniel Monastersky – www.danielmonastersky.com

Un vuelo internacional de Copa Airlines aterriza en Rosario en la madrugada del sábado. A bordo, dos pasajeros adultos —un hombre de 54 años y una mujer de 59— son descubiertos en una situación comprometedora por otros pasajeros. La PSA interviene. Se labra una denuncia por exhibiciones obscenas. Hasta ahí, un episodio curioso que podría haber quedado en la anécdota de los diarios del domingo.

Pero no quedó ahí.

En pocas horas, los medios no solo relataron el hecho: publicaron los nombres, edades, profesiones, estado civil y hasta el perfil en redes sociales de los dos involucrados. Supimos que uno es arquitecto, jefe de obra ferroviaria, casado y con tres hijos. Supimos que la otra es divorciada y dueña de un centro de rehabilitación. Supimos que ambos «suelen publicar fotos de viajes». Supimos, en definitiva, todo lo que no necesitábamos saber para comprender el hecho.

Ahí está el verdadero escándalo.

El hecho que nadie discute

Hay un principio básico en protección de datos que en Argentina está consagrado desde la Ley 25.326, y que en el mundo entero se repite en el RGPD, la LGPD brasileña y prácticamente cualquier marco normativo moderno: la proporcionalidad. Los datos personales que se procesan —o se publican— deben ser los estrictamente necesarios para el fin que se persigue.

¿Cuál es el fin periodístico de revelar que el hombre está casado y tiene tres hijos? ¿O que ella es divorciada? Esa información no aporta nada al relato del episodio. No ayuda a comprender si existió un delito. No contribuye al debate sobre seguridad aérea. Solo sirve para una cosa: maximizar el daño reputacional a dos personas privadas que, en el peor de los casos, cometieron una infracción menor.

Los medios que publicaron esta información invocarían, como siempre, el «interés público». Pero el interés público tiene límites. Puede justificar informar que dos pasajeros fueron detenidos por conducta inapropiada en un vuelo. No justifica convertir esa detención en una ejecución reputacional en redes sociales, con nombre, apellido, profesión y link al perfil de Instagram.

La arquitectura del daño digital

Lo que describe este caso es algo que desde DGL vemos con creciente preocupación: la construcción de un expediente digital permanente sobre personas privadas, a partir de hechos que ni siquiera llegaron a condena judicial.

La causa quedó caratulada como «exhibiciones obscenas». La Justicia provincial tomó intervención, pero ni siquiera está claro que mantenga jurisdicción porque el hecho ocurrió en un vuelo internacional. En otras palabras: no hay condena, no hay sentencia, puede que ni siquiera haya juicio. Pero el daño ya está hecho. Cuando alguien escriba los nombres de estas dos personas en Google, aparecerá este episodio. Para siempre. Sin posibilidad de prescripción. Sin derecho al olvido efectivo.

¿Y la regulación mediática?

Aquí viene la pregunta incómoda que nadie en el ecosistema mediático quiere responder: ¿existe algún estándar claro sobre qué datos personales puede publicar un medio periodístico sobre una persona privada involucrada en un hecho menor?

En Argentina, la respuesta honesta es: no, no existe de manera explícita. La Ley 25.326 excluye de su ámbito de aplicación al tratamiento de datos con fines periodísticos. Es una exclusión razonable: la libertad de prensa es un valor democrático fundamental y no puede quedar subordinada a la protección de datos de cualquier funcionario o figura pública que quiera blindarse. Pero esa exclusión fue pensada para proteger el periodismo de interés público genuino, no para amparar la publicación del estado civil de un arquitecto rosarino detenido por un episodio de exhibicionismo.

La AAIP —la autoridad de aplicación en materia de protección de datos— podría tener algo que decir sobre esto. Hasta ahora, guarda silencio.

Lo que este episodio revela sobre nosotros

Seamos directos: el episodio del vuelo de Copa generó decenas de notas, miles de clicks y una cantidad incontable de comentarios burlones en redes. Funcionó. El modelo de negocio que combina datos personales con indignación pública es extraordinariamente efectivo.

Pero cada vez que esto ocurre, se consolida una norma social peligrosa: que la vida privada de las personas es un bien público disponible para el consumo y el escarnio, siempre que el hecho sea lo suficientemente llamativo. Hoy son dos desconocidos en un avión. Mañana puede ser cualquiera de nosotros en cualquier contexto que no elegimos.

La privacidad no es un privilegio de los inocentes. Es un derecho que se activa precisamente cuando la persona está en su momento más vulnerable.

Lo que debería cambiar

Tres cosas concretas:

Primero, la AAIP necesita emitir lineamientos claros sobre el tratamiento de datos de personas privadas en contextos periodísticos. La exclusión de la Ley 25.326 no puede ser una carta blanca ilimitada.

Segundo, los medios de comunicación necesitan —y algunos ya tienen— políticas internas de protección de datos aplicadas a sus redacciones. Publicar el estado civil de alguien denunciado por una falta menor no es periodismo: es exposición gratuita.

Tercero, como sociedad necesitamos empezar a hacer la pregunta correcta antes de compartir este tipo de notas: ¿necesito realmente saber quiénes son estas personas para entender lo que ocurrió? Si la respuesta es no —y casi siempre lo es—, quizás el click no sea tan inocente como parece.

El avión ya aterrizó. La PSA hizo su trabajo. La Justicia decidirá si hubo delito. Pero el tribunal de la opinión pública ya dictó sentencia, con datos que nadie le pidió permiso a nadie para publicar.

Ese es el escándalo que vale la pena debatir.

Por Daniel Monastersky – www.datagovernancelatam.com

Hace poco recibí la llamada de un director de un banco mediano. Estaba desconcertado. El BCRA solicitaba mapeo completo de datos de clientes, políticas de clasificación, responsables asignados, procedimientos de eliminación. «Dani,» me dijo, «¿cuándo la seguridad de datos se convirtió en requisito regulatorio? Siempre pensé que eran firewalls y cifrado.»

Esa conversación resume el cambio paradigmático de la Comunicación 7724. No es una actualización técnica. Es una redefinición completa de responsabilidad sobre información en el sistema financiero argentino.

Durante veinte años trabajando en data protection en Latinoamérica, he visto normas evolucionar. Pero la Comunicación 7724 marca algo diferente. La gobernanza de datos deja de ser «nice to have» para convertirse en responsabilidad indelegable, inmediatamente verificable.

De la seguridad técnica a la gobernanza integral

La sección 4.4 es categórica: «Las entidades deberán definir un proceso que establezca responsabilidades, políticas y procedimientos para la gestión de datos, que abarque todas las etapas de su ciclo de vida».

Durante años, observé un patrón consistente. Los bancos argentinos invertían recursos masivos en seguridad perimetral. Firewalls sofisticados. Encriptación de punta a punta. Necesario, pero fundamentalmente incompleto.

¿Por qué? Porque proteger datos no es lo mismo que gobernarlos. Un banco podía tener seguridad técnica excelente, pero si no sabía exactamente qué datos tenía, dónde estaban, quién los accedía, por qué existían, esa seguridad era superficial.

La Comunicación 7724 cierra ese vacío. Ahora es obligatorio que alguien—formalmente identificado, documentadamente responsable—sepa exactamente dónde está cada dato de cliente, cómo está clasificado, quién lo puede acceder, cuándo debe ser eliminado.

En algunas de las auditorías internas que hacemos en Data Governance Latam, encontré una situación que grafica perfectamente por qué la Comunicación 7724 era necesaria.

Un banco regional auditado tenía datos de clientes del 2010 sin clasificación. No había propietario asignado. Sin procedimiento de eliminación. Pregunté: «¿Por qué existen estos datos?» Respuesta: «Nadie lo sabe. Siempre estuvieron ahí.»

Eso ahora es incumplimiento regulatorio grave.

La norma 4.4.1 requiere tres movimientos simultáneos: identificar cada dato con precisión quirúrgica. Sé qué información tenemos, dónde reside, quién la accede. Clasificar según criticidad: confidencial, crítico, público. Cada categoría tiene implicaciones operativas concretas. Asignar responsables formales. Alguien debe certificar: «He revisado estos datos, están correctamente clasificados, requieren estos controles específicos, serán retenidos este período exacto.»

Para un banco mediano, significa transformación operativa seria. Auditorías internas exhaustivas. Inconsistencias encontradas. Procesos de acceso rediseñados. Documentación masiva.

Pero cuando el BCRA interroga sobre una filtración, el banco responde: «Sabemos exactamente qué datos tenemos, cómo están clasificados, quién tiene acceso, bajo qué controles.»

Datos de clientes

La sección 4.4 es inequívoca: «Se deberán establecer procesos y procedimientos para la obtención y la identificación de los datos tratados por la entidad que consideren datos de clientes, datos contables y datos transaccionales».

Esto significa: los bancos deben saber exactamente qué datos tienen de cada cliente. Exactamente. Con procedimientos documentados.

Cuando Fernando, contador de Caballito, descubre que sus datos fueron usados para abrir cuenta fraudulenta, y presenta reclamo ante la AAIP, el banco ya no puede decir «no sabemos exactamente qué información tiene». Ese argumento no existe más en el régimen regulatorio argentino.

He presentado reclamos ante la AAIP contra instituciones que no respondían preguntas básicas: «¿Qué datos tenían de mi cliente?» «¿Dónde estaban?» «¿Quién accedía?»

La Comunicación 7724 cierra esa puerta. Un banco debe tener respuestas verificables. No opcionales. Obligatorias. Auditables.

El Ciclo de Vida

Los datos tienen ciclos. Nacen, se usan, envejecen, mueren. Cada etapa debe estar gobernada.

Identificación: sé exactamente qué tengo. Clasificación: comprende sensibilidad. Almacenamiento: controla protección. Uso: registra acceso. Transferencia: documenta si se comparte. Retención: define período. Eliminación: establece destrucción irreversible.

Cada etapa es verificable, auditable.

He encontrado bancos con datos de clientes del 2005 sin clasificación, sin propietario, sin procedimiento de eliminación. Es incumplimiento regulatorio directo.

Data Privacy se debe integrar a la Gobernanza

La sección 10.2 ordena: «Los requerimientos vinculados a la protección de los usuarios sean contemplados en los procesos de tecnología correspondientes».

Cuando clasifican «datos de cliente», deben integrar obligaciones legales: derechos de acceso, rectificación, supresión, olvido. Limitaciones sobre retención. Restricciones sobre transferencia. Contextos de uso específicos.

La Comunicación 7724 cerró la puerta a negligencia estructurada. Un banco argentino ya no puede decir «no sabemos qué datos tenemos». No puede afirmar «no conocemos obligaciones legales». No puede sostener que gobernanza de datos es «cosa de IT».

El BCRA exige gobernanza verdadera. Responsabilidades definidas. Procesos documentados. Ciclos de vida controlados. Privacidad integrada. Auditable. Permanente.

O gobiernas tus datos formalmente, con responsabilidad, documentación transparente, controles verificables.

O el regulador lo hace por ti.

No hay tercera opción.

¿Tu banco está realmente adecuado a la Comunicación 7724?

Si sos director, gerente de IT, o responsable de compliance en una institución financiera argentina, la pregunta honesta es: ¿sabemos exactamente qué datos tenemos? ¿Están clasificados? ¿Tenemos responsables asignados? ¿Nuestros ciclos de vida de datos son verificables?

En Data Governance Latam ayudamos a instituciones financieras a implementar gobernanza de datos verdadera. Auditorías exhaustivas, clasificación, asignación de propietarios, rediseño de procesos, documentación regulatoria.

La Comunicación 7724 no es una amenaza. Es una oportunidad para transformar cómo tu institución maneja la información.

Contacta a Data Governance Latam en www.datagovernancelatam.com para coordinar una consulta sobre la adecuación a la Comunicación 7724 del BCRA.

El futuro del sistema financiero argentino depende de gobernanza de datos real.