Categoría: Privacidad

Los lectores automatizados de matrículas —conocidos como ALPRs por sus siglas en inglés— dejaron de ser una herramienta policial puntual para convertirse en una infraestructura de rastreo vehicular continuo, interconectado y con retención indefinida de datos. La Electronic Frontier Foundation (EFF) impulsa una agenda legislativa en estados de EE.UU. para limitar ese sistema, pero el debate importa más allá del norte: en América Latina, tecnologías equivalentes proliferan con marcos regulatorios aún más débiles.

Un lector de placas automatizado es, en esencia, una cámara con software de reconocimiento óptico que captura la matrícula de un vehículo junto con la fecha, hora y coordenadas GPS. La tecnología existe desde hace más de cincuenta años y opera en Estados Unidos desde 1998, según registros gubernamentales citados por la EFF. Lo que cambió no es el hardware: son la inteligencia artificial embebida, el almacenamiento en la nube y los acuerdos de intercambio de datos entre agencias que convirtieron miles de cámaras dispersas en una red nacional de seguimiento.

De herramienta policial a infraestructura de vigilancia masiva

Empresas como Flock Safety, Motorola Solutions (división Vigilant) y Axon comercializan estos sistemas ante concejos municipales argumentando su utilidad para resolver crímenes violentos. La EFF documenta, sin embargo, un patrón de usos que excede ampliamente esa justificación: rastreo de inmigrantes, seguimiento de manifestantes pacíficos, perfilado de comunidades étnicas específicas —incluyendo el caso de población romaní—, monitoreo de mujeres que buscan servicios de salud reproductiva, y verificación de residencia escolar o atención de quejas por ruido. Un análisis reciente de la organización reveló registros de búsqueda en los que agentes anotaron razones como “LOL” o “LMAO”, evidencia de uso sin justificación legítima. Varios oficiales también utilizaron las bases de datos para rastrear exparejas sentimentales, según reportó el Washington Post.

Cuándo aplica la regulación de ALPRs y cuándo no alcanza

La regulación de estos sistemas aplica cuando se trata de captura masiva —es decir, sin sospecha previa individualizada— de datos de localización asociados a personas identificables a través de su vehículo. En ese escenario, los principios de minimización de datos, limitación de finalidad y retención temporal son directamente relevantes. La regulación no suele aplicar —o aplica con menor intensidad— cuando el sistema registra únicamente placas en contextos acotados, como peajes con base legal clara, sin cruce con otras bases de datos y con plazos de retención breves. La diferencia entre un control vehicular legal y una red de vigilancia masiva no está en el sensor sino en la escala, la interoperabilidad y el tiempo de almacenamiento.

New Hampshire sancionó la primera ley estatal sobre ALPRs en 2007, pero la EFF advierte que los avances tecnológicos y los casos de abuso documentados desde entonces exigen marcos mucho más específicos. La organización impulsa legislación en múltiples estados que incluiría restricciones sobre períodos de retención, prohibición de compartir datos entre jurisdicciones sin orden judicial, auditorías obligatorias de acceso y mecanismos de rendición de cuentas para los proveedores privados.

El caso LATAM: tecnología equivalente, regulación más débil

En América Latina, sistemas de lectura automática de matrículas operan en ciudades de Argentina, Brasil, México, Colombia y Chile, frecuentemente sin legislación específica que regule su uso policial. En Argentina, el tratamiento de datos captados por cámaras de vigilancia urbana queda dentro del alcance de la Ley 25.326 de Protección de Datos Personales, que reconoce datos de localización como sensibles en algunos contextos, pero no establece obligaciones específicas para sistemas de rastreo vehicular masivo ni plazos máximos de retención para imágenes capturadas en vía pública. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) aplica sobre datos personales tratados por entidades públicas, incluyendo fuerzas de seguridad, pero con excepciones amplias para actividades de seguridad pública que en la práctica crean zonas grises. México opera bajo la LFPDPPP para el sector privado y la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados para el sector público, pero los municipios que contratan tecnología ALPR a proveedores privados pocas veces realizan evaluaciones de impacto en protección de datos antes del despliegue.

El riesgo de misión expandida —usar el sistema para fines no declarados en la justificación original de compra— es idéntico en cualquier latitud. Si una policía municipal argentina o colombiana firma un contrato con un proveedor de ALPRs sin definir por escrito los plazos de retención, las finalidades permitidas y los controles de acceso, reproduce exactamente el escenario que la EFF documenta en EE.UU.: un sistema diseñado para resolver crímenes graves que termina siendo una herramienta de vigilancia discrecional.

Qué exige una regulación mínimamente razonable

Independientemente de la jurisdicción, los estándares básicos que organismos como el Comité de Derechos Humanos de Naciones Unidas y la propia arquitectura del GDPR europeo sugieren para sistemas de vigilancia masiva incluyen: retención limitada (no más de 30 días salvo investigación activa con base legal), prohibición de compartir datos con terceros sin orden judicial, auditorías periódicas de acceso con registros de las búsquedas realizadas, evaluaciones de impacto previas al despliegue, y canales de reclamo para personas que consideren que sus datos fueron usados de manera ilegítima. Ninguno de estos requisitos es nuevo ni técnicamente complejo; lo que escasea es la voluntad política de aplicarlos a tecnología que se vende como solución de seguridad.

El texto completo de la agenda legislativa de la EFF y los casos documentados están disponibles en eff.org; para el marco regulatorio regional, la Guía de Vigilancia Estatal y Derechos Humanos de la RLSV (Red en Defensa de los Derechos Digitales) ofrece análisis específicos para México, y Access Now publica informes comparados para el cono sur.

La Electronic Frontier Foundation (EFF) publicó una guía práctica de privacidad en línea dirigida a familias, con énfasis en que son los padres —y no los gobiernos— quienes deben decidir cómo sus hijos se relacionan con el entorno digital. La iniciativa llega en un momento en que varios estados de Estados Unidos debaten leyes de verificación de edad que, según la organización, comprometen la privacidad de todos los usuarios de internet.

El recurso, disponible en el portal de autodefensa digital de la EFF bajo el módulo “Online Privacy for Parents and Youth”, está diseñado para familias sin conocimientos técnicos. La premisa es concreta: identificar las amenazas reales que enfrentan los jóvenes en línea —desde confiar ciegamente en chatbots de inteligencia artificial hasta compartir datos personales con desconocidos— y luego definir pasos proporcionales para reducir esos riesgos sin bloquear el acceso a juegos, materiales educativos y comunidades digitales.

Verificación de edad como amenaza colateral a la privacidad

La EFF lanzó la guía en abierta respuesta al avance de legislaciones estatales y municipales en Estados Unidos que buscan restringir el acceso de menores a plataformas digitales mediante sistemas de verificación de edad. La organización argumenta que esas medidas, aunque bien intencionadas, generan un efecto secundario directo: obligan a todos los usuarios —adultos incluidos— a acreditar su identidad para acceder a contenidos, lo que implica la recolección y eventual retención de datos biométricos o documentales a escala masiva. El mecanismo conocido como age gating convierte una medida de protección infantil en un vector de vigilancia generalizada.

Babette Ngene, directora de Tecnología de Interés Público de la EFF, señaló que el objetivo es “empoderar a las familias con el conocimiento y la confianza para tomar decisiones informadas sobre sus vidas digitales”. Thorin Klosowski, activista senior de seguridad y privacidad de la organización, agregó que decidir cómo los jóvenes usan internet “es un tema complicado que toca muchas habilidades e ideas distintas”, pero que en última instancia es una decisión familiar, no gubernamental.

Cuándo aplica este enfoque / cuándo NO

La guía de la EFF es pertinente para familias que buscan gestionar la exposición digital de menores de forma autónoma, sin depender de restricciones técnicas impuestas por plataformas o reguladores. No reemplaza, sin embargo, los marcos legales de protección de datos que sí imponen obligaciones a empresas y no solo a individuos: el Children’s Online Privacy Protection Act (COPPA) en Estados Unidos, el Reglamento General de Protección de Datos (RGPD) en la Unión Europea y sus equivalentes regionales establecen responsabilidades del lado de los controladores de datos, no del usuario. En esos regímenes, la carga no recae en la familia sino en la organización que recoge los datos. El enfoque de la EFF complementa pero no sustituye esa dimensión regulatoria.

El debate de menores en internet ya llegó a América Latina

La tensión entre protección de menores y privacidad universal no es exclusiva del debate estadounidense. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 14 que el tratamiento de datos de niños y adolescentes debe realizarse con consentimiento específico de al menos uno de los padres o tutores legales, y que los datos no pueden usarse en detrimento de los menores. Argentina, bajo la Ley 25.326 y la supervisión de la Agencia de Acceso a la Información Pública (AAIP), también reconoce la necesidad de protección reforzada para menores, aunque el marco carece del nivel de especificidad que tiene la LGPD en este punto. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) exige el consentimiento de quien ejerza la patria potestad para el tratamiento de datos de menores. Lo que ninguno de estos marcos resuelve todavía con precisión es cómo los Estados deben verificar la edad sin convertir esa verificación en un mecanismo de recolección de datos sensibles a escala.

Chile, que atravesó en 2024 la implementación de su nueva Ley de Protección de Datos Personales (Ley 21.719), incorporó disposiciones reforzadas para el tratamiento de datos de niños, niñas y adolescentes, con principios de minimización y propósito que limitan el uso secundario de información recolectada durante procesos de verificación. Ese equilibrio —proteger sin vigilar— es exactamente el nudo que la EFF señala como irresuelto en el modelo legislativo que critica.

Para profundizar en los marcos regionales sobre protección de datos de menores, la Ley 21.719 de Chile y el artículo 14 de la LGPD brasileña son los referentes más desarrollados de la región en este momento.