Categoría: Privacidad

LATAM Airlines confirmó una intrusión en sus sistemas informáticos y advirtió sobre la posible exposición de datos de pasajeros, según se informó el 20 de agosto de 2026. La aerolínea, con operaciones en Argentina, Brasil, Chile, Colombia, Ecuador y Perú, es uno de los transportistas aéreos más grandes de América Latina.

La compañía informó públicamente sobre el incidente sin precisar, hasta el momento del anuncio, el volumen exacto de registros potencialmente comprometidos ni los tipos de datos personales afectados. Tampoco se confirmó si la intrusión derivó en una exfiltración efectiva de información o si el acceso no autorizado fue contenido antes de que los datos salieran de los sistemas internos. La notificación fue divulgada por medios uruguayos y regionales, lo que sugiere que el aviso alcanzó a pasajeros de múltiples países del cono sur.

Datos confirmados al momento del cierre

• Actor afectado: LATAM Airlines, aerolínea con presencia en al menos seis países de América del Sur.
• Tipo de incidente: intrusión confirmada en sistemas internos, según comunicación de la propia empresa.
• Datos en riesgo: información de pasajeros, naturaleza específica no confirmada al momento de la publicación.
• Fecha del anuncio público: 20 de agosto de 2026.
• Exfiltración: no confirmada al cierre de esta edición.

Qué se sabe y qué falta confirmar sobre la brecha

Lo que está confirmado es la intrusión y la comunicación pública de LATAM sobre el riesgo de exposición. Lo que aún no está verificado es el alcance real del compromiso: cuántos pasajeros se vieron afectados, en qué países, qué campos de datos estuvieron expuestos —si incluyen documentos de identidad, datos de pago, historial de vuelos o datos de contacto— y si existe un actor de amenaza identificado. Tampoco trascendió si las autoridades de protección de datos de los países donde LATAM opera fueron notificadas de forma formal.

En términos regulatorios, el incidente activa obligaciones distintas según la jurisdicción. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que la Autoridade Nacional de Proteção de Dados (ANPD) sea notificada en un plazo razonable cuando existe riesgo relevante para los titulares. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) puede requerir reporte bajo la Ley 25.326 y la Disposición AAIP 4/2019. Chile avanza en la aplicación de su nueva Ley 21.719 de protección de datos personales, vigente desde 2024, que también contempla notificación a la autoridad ante incidentes. En Colombia, la Superintendencia de Industria y Comercio (SIC) tiene competencia sobre el tratamiento de datos de clientes de aerolíneas que operen en el país.

El próximo hito crítico es la notificación formal a las autoridades de control en cada jurisdicción: los plazos —que van de 72 horas en marcos más estrictos a términos más amplios en legislaciones nacionales— ya están corriendo desde el momento en que LATAM tomó conocimiento de la intrusión.

Apple American Group LLC, el mayor operador de franquicias de Applebee’s en Estados Unidos, confirmó una brecha de seguridad que resultó en el robo de datos personales altamente sensibles de sus empleados y/o clientes, incluyendo números de Seguro Social, información financiera, registros de salud e información biométrica. El número total de afectados no ha sido precisado, aunque presentaciones ante autoridades estatales confirman que el incidente involucra a múltiples jurisdicciones.

La divulgación fue reportada el 20 de agosto de 2026 por el medio especializado DataBreaches.net. Según se informó, Apple American Group —que opera cientos de restaurantes Applebee’s en todo el territorio estadounidense— presentó notificaciones ante reguladores estatales como parte del proceso obligatorio de disclosure que impone la legislación de varios estados de EE.UU. ante brechas que afectan a residentes. El vector de ataque y el grupo responsable no han sido identificados públicamente hasta el momento.

Datos confirmados del incidente en Apple American Group

• Empresa afectada: Apple American Group LLC, franquiciado principal de Applebee’s en EE.UU.
• Tipos de datos comprometidos: números de Seguro Social, datos financieros, registros de salud e información biométrica.
• Cantidad de afectados: no divulgada públicamente; presentaciones ante registros estatales confirman el alcance multi-jurisdiccional.
• Fecha de divulgación pública: 20 de agosto de 2026.
• Atribución del ataque: no confirmada al cierre de esta nota.

Qué se sabe y qué falta confirmar

Lo confirmado hasta ahora es que la brecha implicó exfiltración real de datos —no una mera exposición accidental— y que la categoría de información comprometida es de las más críticas en términos de riesgo residual para los afectados: la biometría y los registros de salud no pueden ser cambiados como una contraseña, y los números de Seguro Social habilitan fraudes de identidad de largo alcance. Lo que permanece sin confirmar incluye el número exacto de víctimas, la fecha en que ocurrió la intrusión inicial, si el ataque involucró ransomware, y si Apple American Group tiene presencia operativa o datos de empleados fuera de EE.UU. que pudieran ampliar el alcance geográfico del incidente.

Para los equipos de privacidad en América Latina, el caso tiene relevancia indirecta pero concreta: cadenas de comida rápida y franquicias internacionales con operaciones en la región —incluyendo México, Brasil y Argentina— suelen compartir plataformas de gestión de recursos humanos y sistemas de nómina con sus casas matrices o con otros franquiciados de la misma red. Una brecha en un nodo puede comprometer datos de empleados latinoamericanos almacenados en servidores estadounidenses, lo que activa obligaciones de notificación bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) en México, la Lei Geral de Proteção de Dados (LGPD) en Brasil, o la Ley 25.326 en Argentina, según donde residan los titulares afectados. Ninguna de esas leyes exime a las empresas por el hecho de que el incidente haya ocurrido técnicamente fuera de sus fronteras.

El próximo hito a monitorear es la publicación de las notificaciones individuales a los afectados, cuyo plazo varía por estado en EE.UU. pero que en varios casos no supera los 30 a 45 días desde la detección confirmada del incidente.

El Consejo Electoral del Condado de Wake, en Carolina del Norte, suspendió el uso de un proveedor de software tras reportar un posible ciberataque que habría expuesto datos personales de trabajadores electorales. Los sistemas de votación, padrón electoral y conteo de votos no registran evidencia de compromiso, según informó el organismo.

El incidente se conoció el 15 de agosto de 2026, cuando el Consejo Electoral de Wake dio a conocer que había cortado su relación operativa con el proveedor afectado como medida preventiva. Según se informó, la información potencialmente expuesta corresponde a personas que se desempeñaron como fiscales o trabajadores de mesa en procesos electorales anteriores, no a votantes ni a datos del padrón general. El vector del ataque y la cantidad exacta de registros comprometidos no habían sido confirmados al momento de la publicación.

Datos confirmados al cierre de esta edición

• Actor afectado: Consejo Electoral del Condado de Wake, Carolina del Norte (EE. UU.).
• Tipo de dato expuesto: información personal de trabajadores electorales (poll workers), según se informó.
• Sistemas electorales críticos —máquinas de votación, boletas, padrón, conteo— declarados sin evidencia de afectación.
• Medida adoptada: suspensión inmediata del proveedor de software involucrado.
• Número de registros comprometidos: no confirmado a la fecha de publicación.
• Naturaleza del ataque: calificado como “posible ciberataque”; autoría y método sin confirmar.

Qué se sabe y qué falta confirmar

Lo confirmado es que el proveedor reportó el incidente al Consejo Electoral y que este actuó suspendiendo el contrato como medida de contención. Lo que permanece sin verificar es si hubo exfiltración efectiva de datos, qué volumen de registros pudo haberse comprometido, y si el proveedor cumplió con los plazos de notificación exigidos por la ley estatal de Carolina del Norte. Tampoco se ha confirmado si el acceso fue mediante ransomware, phishing dirigido u otro vector. El uso del término “posible” sugiere que la investigación forense aún no estaba concluida al momento de la divulgación pública.

El caso pone el foco en un eslabón frecuentemente subestimado: los proveedores terceros de software que gestionan datos operativos de procesos electorales. En América Latina, donde varios países contratan empresas privadas para la gestión de sistemas de apoyo electoral —desde Argentina hasta México y Brasil—, la cadena de custodia de datos de personal electoral rara vez está cubierta por los marcos de notificación de incidentes con plazos explícitos. La Ley 25.326 argentina, la LGPD brasileña y la LFPDPPP mexicana obligan a notificar brechas que afecten datos personales, pero la velocidad y transparencia de esa notificación depende en gran medida de cláusulas contractuales con los terceros, que en muchos casos no están estandarizadas para el contexto electoral.

El próximo hito a seguir es la publicación del informe forense del proveedor y la determinación oficial de si corresponde notificación individual a los trabajadores electorales afectados, conforme a la normativa de Carolina del Norte.

Un juez federal del Distrito de Nueva Jersey desestimó una demanda colectiva contra TABB Inc., empresa de verificación de antecedentes, al determinar que el demandante no acreditó haber sufrido un perjuicio concreto y actual derivado de la filtración de datos reportada en 2024. La decisión, según se informó, refuerza una línea jurisprudencial en Estados Unidos que pone en jaque las acciones colectivas masivas en materia de brechas de datos —y que tiene implicancias directas para la forma en que legisladores y abogados de América Latina están diseñando sus propios marcos de responsabilidad civil.

TABB Inc. y la filtración de 2024: qué estaba en juego

TABB Inc. es una compañía de Nueva Jersey dedicada a la verificación de antecedentes laborales, un sector que procesa volúmenes significativos de datos sensibles: historiales crediticios, registros judiciales, domicilios, números de identificación. Cuando la filtración de datos fue reportada en 2024, la exposición potencial de esa clase de información motivó la presentación de una demanda colectiva bajo la premisa de que los afectados habían sufrido un daño derivado del acceso no autorizado a sus datos. Sin embargo, según se informó, el tribunal determinó que el demandante principal no logró demostrar un nexo causal entre la brecha y un perjuicio real, específico y verificable en su propia persona —el requisito de standing o legitimación activa que exige el artículo III de la Constitución estadounidense para acceder a la justicia federal.

El fallo no evalúa si TABB actuó con negligencia ni absuelve a la empresa de eventuales obligaciones regulatorias. Lo que el juez resolvió es un problema procesal anterior: sin daño concreto, no existe controversia justiciable. Esta distinción es técnica pero de enorme impacto práctico: cierra la puerta a acciones colectivas fundadas únicamente en el riesgo de daño futuro o en la mera exposición de datos, sin que el demandante pueda mostrar un perjuicio ya materializado —fraude, usurpación de identidad, pérdida económica cuantificable.

La doctrina TransUnion y su vigencia como filtro anti-litigios masivos

El razonamiento que subyace a este fallo no es nuevo. En 2021, la Corte Suprema de Estados Unidos resolvió en TransUnion LLC v. Ramirez que la mera violación de una obligación legal —incluyendo normas de protección de datos— no es suficiente para conferir legitimación activa si no existe un daño concreto análogo al reconocido por el common law. Desde entonces, los tribunales federales han aplicado ese estándar para desestimar una proporción creciente de demandas colectivas por brechas de datos. La decisión contra TABB es, según se informó, consistente con esa tendencia: el riesgo hipotético de que los datos filtrados sean utilizados para cometer fraude no equivale a que el fraude haya ocurrido.

Para los demandantes, este estándar crea una paradoja difícil de resolver: los daños derivados de una brecha de datos frecuentemente se materializan meses o años después del incidente original, cuando el vínculo causal ya es más difícil de probar. Las empresas, en cambio, se benefician de una ventana de tiempo en la que la exposición litigiosa es menor incluso ante filtraciones graves. Esta asimetría ha sido objeto de críticas por parte de grupos de defensa del consumidor en Estados Unidos.

Argentina, Brasil y México: tres modelos de daño resarcible ante una brecha

La pregunta de qué constituye un daño resarcible en materia de brechas de datos no está resuelta de manera uniforme en América Latina, y el contraste con la doctrina estadounidense es instructivo para quienes diseñan políticas o asesoran empresas en la región.

En Argentina, la Ley 25.326 de Protección de los Datos Personales no establece un umbral de daño concreto para habilitar los derechos del titular; basta con la violación de las obligaciones del responsable del tratamiento para que la Agencia de Acceso a la Información Pública (AAIP) pueda iniciar actuaciones sancionatorias. En sede judicial, sin embargo, la exigencia de probar daño para obtener una indemnización civil sigue los principios generales del Código Civil y Comercial —lo que en la práctica genera un análisis caso a caso similar, aunque sin la rigidez del standing constitucional estadounidense. La reforma en discusión del marco de privacidad argentino, impulsada por la AAIP, no incluye hasta el momento un artículo específico sobre daños colectivos o acciones de clase en materia de brechas.

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) adopta un enfoque diferente: el artículo 42 establece la responsabilidad civil del controlador o del operador por daños patrimoniales o morales derivados del tratamiento irregular, sin exigir que el daño sea “concreto” en el sentido restrictivo del derecho constitucional estadounidense. El daño moral —figura consolidada en la jurisprudencia brasileña— permite reclamaciones incluso ante afectaciones a la dignidad o a la intimidad que no producen una pérdida económica medible. La Autoridade Nacional de Proteção de Dados (ANPD) ha avanzado en la reglamentación del régimen sancionatorio y en agosto de 2024 publicó su primera resolución sobre comunicación de incidentes, lo que fortalece el andamiaje para eventuales litigios posteriores.

En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) otorga al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) la facultad de imponer sanciones ante violaciones a la seguridad de los datos, independientemente de si el titular acredita un daño individual. No obstante, las acciones colectivas en sede civil continúan siendo un mecanismo poco desarrollado en la práctica, lo que limita el acceso a la justicia de los afectados en incidentes masivos.

Qué cambia para empresas con operaciones transfronterizas en la región

Para una empresa latinoamericana que opera también en Estados Unidos —o para una multinacional estadounidense como TABB con potencial base de usuarios en la región— el fallo tiene una lectura estratégica doble. Por un lado, la doctrina del standing en tribunales federales estadounidenses sigue siendo un escudo procesal relevante frente a litigios masivos. Por otro, esa protección no se traslada automáticamente a los marcos legales de Argentina, Brasil o México, donde la legitimación para reclamar es más amplia y las autoridades de control pueden actuar de oficio.

Las empresas de verificación de antecedentes —un sector en crecimiento en América Latina, impulsado por la expansión del empleo formal y los requisitos de compliance corporativo— están especialmente expuestas: procesan datos de múltiples categorías sensibles, los transfieren entre jurisdicciones y operan en un área donde la regulación sectorial es aún incipiente en varios países de la región. Una brecha en ese contexto puede no generar litigio viable en Nueva Jersey pero sí una investigación de la ANPD en São Paulo o una actuación de la AAIP en Buenos Aires.

Qué monitorear: próximos hitos regulatorios y jurisprudenciales

• La reforma a la Ley 25.326 en Argentina, cuyo borrador en circulación no incorpora aún un régimen específico de daños colectivos por brechas —una brecha normativa que el fallo estadounidense hace más visible.
• La consolidación del régimen sancionatorio de la ANPD en Brasil, que podría generar los primeros precedentes de responsabilidad civil derivada de brechas bajo la LGPD en tribunales estaduales.
• La evolución de la jurisprudencia del Poder Judicial de la Federación en México sobre acciones colectivas en materia de datos personales, aún escasa pero en desarrollo.
• Nuevas resoluciones de tribunales federales estadounidenses que apliquen o morigeren la doctrina TransUnion en el contexto específico de datos de verificación de antecedentes.

Nuestro análisis

El fallo contra TABB no es una señal de que las brechas de datos sean consecuencias jurídicamente irrelevantes en Estados Unidos. Es, más precisamente, un recordatorio de que el diseño procesal importa tanto como el derecho sustantivo. La doctrina del standing actúa como un filtro que beneficia estructuralmente a las empresas frente a la litigación masiva —y ese filtro no existe en la mayoría de los marcos latinoamericanos de protección de datos.

Esto tiene una consecuencia para los equipos legales y de cumplimiento que operan en la región: la exposición regulatoria ante una brecha en Brasil o Argentina puede ser mayor, no menor, que en el mercado estadounidense, porque las autoridades pueden actuar de oficio y los umbrales de daño son más bajos. Las empresas que calibran su programa de respuesta a incidentes mirando exclusivamente la jurisprudencia de los Circuit Courts estadounidenses corren el riesgo de subestimar su exposición regulatoria en LATAM. La pregunta correcta no es “¿nos pueden demandar con éxito en Nueva Jersey?” sino “¿qué debe saber la ANPD o la AAIP en las próximas 72 horas?”.

Cuando el estándar de daño varía entre jurisdicciones, la estrategia de respuesta a incidentes también tiene que variar: una sola plantilla de notificación no alcanza para operar en tres marcos legales distintos.