Categoría: Privacidad

En el lapso de tres días, Texas y Florida adoptaron medidas de emergencia para desmantelar sus redes de lectores automáticos de patentes (ALPR, por sus siglas en inglés). Texas prohibió el gasto de fondos públicos en cámaras Flock Safety el 28 de agosto; Florida ordenó retirar todos los dispositivos instalados en rutas estatales antes del 1° de octubre.

La decisión del gobernador Greg Abbott llegó horas antes de que el medio The Texas Tribune publicara una investigación que reveló cómo una agencia estatal había canalizado al menos 30 millones de dólares hacia la construcción de una red de vigilancia vehicular sin autorización legislativa explícita. El decreto prohíbe a las agencias estatales contratar o renovar acuerdos con Flock Safety, la empresa más extendida en el mercado de ALPR municipal en Estados Unidos.

Florida: 30 días para retirar cámaras de rutas estatales

El 31 de agosto, el Departamento de Transporte de Florida (FDOT) emitió un memorándum respaldado por el gobernador Ron DeSantis que revoca todos los permisos de instalación aprobados previamente y prohíbe la emisión de nuevos permisos. Funcionarios del FDOT justificaron la medida citando “el aumento exponencial de despliegues a lo largo de nuestras rutas, acompañado de reportes preocupantes de mal uso, riesgos de privacidad de datos y esquemas de vigilancia que ameritan acción inmediata para preservar la soberanía y calidad de vida de los floridanos”, según se informó en medios locales. La orden desencadenó una ola de respuestas de sheriffs y autoridades municipales que comenzaron a retirar los dispositivos de sus jurisdicciones.

Qué se confirma y qué falta precisar

Está confirmado que ambas órdenes tienen carácter ejecutivo y efecto inmediato sobre el ámbito estatal, aunque su alcance sobre contratos municipales ya vigentes es aún objeto de debate legal en Florida. No está confirmado si Texas extenderá la prohibición a fondos federales canalizados por agencias estatales, ni si Florida contempla legislación permanente o la orden puede ser revertida por una administración futura. Tampoco se ha informado sobre auditorías formales a los datos de patentes ya recolectados ni sobre plazos de retención o eliminación de esa información.

El movimiento bipartidista que impulsó estos cambios lleva años activo: decenas de municipios en distintos estados habían rescindido contratos con Flock Safety antes de las órdenes estatales, según registros de agosto de 2026 citados por Ars Technica. La EFF documentó que agosto de 2026 marcó un récord en cancelaciones de contratos a nivel municipal.

En América Latina, el debate sobre ALPR tiene un marco legal distinto pero igualmente urgente. Argentina carece de regulación específica sobre sistemas de reconocimiento de patentes, aunque la Ley 25.326 de Protección de Datos Personales y las resoluciones de la AAIP obligan a encuadrar cualquier tratamiento masivo de datos de movilidad como dato personal cuando permite identificar a una persona. Brasil, por su parte, aplica la LGPD a sistemas similares desplegados por estados y municipios, y la ANPD ha señalado que el tratamiento de datos vehiculares con fines de seguridad pública requiere base legal expresa. México, bajo la LFPDPPP y la Ley General de Protección de Datos para el Sector Público, enfrenta un escenario similar: múltiples alcaldías y estados operan redes de ALPR sin marcos de retención ni auditoría formalmente establecidos.

El próximo hito es el 1° de octubre de 2026, fecha límite para el retiro físico de las cámaras en rutas estatales de Florida; cualquier incumplimiento municipal activará el primer conflicto jurisdiccional derivado de la orden del FDOT.

La Comisión de Protección de Datos de Ghana (DPC) está profundizando su compromiso regional para exportar servicios y estándares de privacidad a otros países africanos. El movimiento posiciona a Ghana como un hub normativo en un continente donde la mayoría de los marcos de protección de datos aún están en construcción, y ofrece un espejo para América Latina, donde ocurre una dinámica similar.

Ghana fue uno de los primeros países africanos en adoptar una ley específica de protección de datos: la Data Protection Act de 2012 (Ley 843). Más de una década después, la DPC no solo aplica ese marco internamente sino que según se informó está impulsando activamente su modelo hacia vecinos regionales que carecen de autoridades de control consolidadas o de legislación equivalente. La estrategia combina asistencia técnica, intercambio de capacidades y articulación con redes de autoridades de privacidad del continente.

Qué hace concretamente la DPC de Ghana y por qué importa fuera de África

La expansión de servicios de privacidad entre autoridades de control es una práctica que la Unión Europea lleva décadas desarrollando a través del Comité Europeo de Protección de Datos (EDPB), y que en América Latina todavía es incipiente. Según se informó, la DPC busca consolidar acuerdos de cooperación con pares regionales, compartir metodologías de fiscalización y homologar criterios de evaluación de tratamientos de datos transfronterizos. En términos prácticos, esto equivale a construir una red funcional de autoridades en un contexto donde la fragmentación normativa genera asimetrías de protección para los titulares de datos.

El modelo ghanés es relevante porque operó durante años sin grandes recursos institucionales y aun así logró construir una autoridad de control reconocible. Ese trayecto —de ley aprobada a institución operativa con proyección regional— es exactamente el desafío que enfrentan varias autoridades latinoamericanas hoy.

Cuándo aplica este tipo de cooperación / cuándo no

La cooperación entre autoridades de control es eficaz cuando existen marcos legales de base en los países involucrados, aunque sean heterogéneos. Lo que se intercambia son metodologías, criterios de adecuación y protocolos de respuesta ante incidentes transfronterizos. No reemplaza la legislación nacional ni crea obligaciones directas para empresas privadas: el efecto sobre el sector privado es indirecto, a través de la armonización de criterios que luego se vuelcan en guías o resoluciones locales. Tampoco es aplicable cuando un país carece de cualquier marco legal de base: la cooperación técnica sin norma habilitante tiene alcance muy limitado.

El paralelo con América Latina: autoridades jóvenes, mismos problemas de escala

La situación africana tiene un correlato directo en la región. Brasil cuenta con la ANPD, que desde 2020 viene construyendo músculo regulatorio bajo la LGPD (Ley 13.709/2018) y ya participó en instancias multilaterales como el Global Privacy Assembly. Argentina tiene la AAIP, cuya Ley 25.326 data del año 2000 y está en proceso de actualización legislativa. México opera con el INAI bajo la LFPDPPP. Pero la mayoría de estos organismos trabaja en silos, con escasa coordinación formal entre sí, y ninguno tiene un mandato explícito de asistencia técnica a países vecinos con marcos más débiles, como Paraguay, Bolivia o Venezuela, donde la protección de datos personales carece de ley específica o de autoridad operativa.

La Red Iberoamericana de Protección de Datos (RIPD) es el espacio de articulación disponible, pero su actividad concreta en términos de transferencia de capacidades ha sido históricamente más declarativa que operativa. Lo que Ghana está intentando en África —construir liderazgo regional desde una autoridad con experiencia acumulada— es exactamente lo que Brasil o Argentina podrían hacer en América del Sur con más sistematicidad.

Tres elementos del modelo ghanés que otras autoridades pueden replicar

• Registro de responsables de tratamiento como mecanismo de visibilidad del ecosistema: la DPC mantiene un sistema de registro que permite mapear qué actores tratan datos en el país, una capacidad que autoridades como la AAIP argentina aún no tienen completamente desplegada.
• Cooperación sur-sur sin dependencia de marcos europeos: Ghana articula con pares africanos sin asumir que el GDPR es la única referencia válida, lo que le permite construir estándares adaptados a su contexto económico e institucional.
• Proyección proactiva, no reactiva: en lugar de esperar que otros países la consulten, la DPC sale a construir relaciones antes de que ocurran incidentes transfronterizos que obliguen a la cooperación de emergencia.

Ese tercer punto es quizás el más difícil de replicar en América Latina, donde las autoridades de control suelen operar en modo reactivo por restricciones presupuestarias y de personal. La ANPD brasileña tiene la masa crítica para asumir ese rol en la región; la pregunta es si tiene el mandato político y los recursos para hacerlo.

Para quienes trabajan en privacidad y gobernanza de datos en América Latina, el caso ghanés plantea una pregunta incómoda: ¿quién lidera la arquitectura regional de protección de datos en la región, o seguimos construyendo autoridades nacionales que se ignoran entre sí?

La Electronic Frontier Foundation (EFF) y el Trevor Project identificaron un punto de partida claro para quienes quieren mejorar su seguridad digital: revisar y controlar activamente la información personal compartida en plataformas y servicios. El consejo no es abstracto — hay acciones concretas que pueden ejecutarse hoy, con impacto inmediato en la exposición a riesgos como el doxxing o el outing no consentido.

Las personas LGBTQ+ enfrentan amenazas digitales específicas que no siempre están contempladas en los consejos de ciberseguridad genéricos. El doxxing — la publicación malintencionada de datos personales para exponer o dañar a alguien — y el outing involuntario — la revelación no consentida de la identidad de género u orientación sexual — son riesgos reales que pueden tener consecuencias graves, especialmente para jóvenes. En un contexto donde la recopilación de datos por parte de plataformas es masiva y persistente, saber qué información circula con tu nombre es el primer paso defensivo.

Controlar la información personal: más allá del perfil de redes

La recomendación central de EFF y el Trevor Project es auditar la información ya compartida en servicios y plataformas, no solo preocuparse por lo que se comparte de ahora en más. Esto implica revisar si el nombre completo, dirección, teléfono, institución educativa o laboral son visibles para terceros, y reducir esa exposición donde sea posible. Usar un avatar en lugar de una foto personal es una decisión de privacidad válida, no una rareza. Compartir imágenes sin acompañarlas de datos de ubicación — y desactivar los metadatos EXIF de las fotos, que pueden incluir coordenadas GPS — reduce significativamente el riesgo de que alguien reconstruya una rutina o domicilio a partir de publicaciones aparentemente inocuas. Un método simple: tomar una captura de pantalla de la foto antes de compartirla elimina los metadatos originales.

Credenciales únicas, cuentas separadas y verificación en dos pasos

Reutilizar contraseñas entre plataformas es uno de los vectores de exposición más comunes. Si una plataforma sufre una brecha y la contraseña queda expuesta, todas las cuentas que usan la misma clave quedan en riesgo. El uso de un gestor de contraseñas permite generar credenciales únicas y complejas sin necesidad de memorizarlas. La autenticación de dos factores (2FA) agrega una capa adicional: incluso si alguien obtiene la contraseña, no puede acceder sin el segundo factor. En combinación, estas dos prácticas reducen drásticamente la superficie de ataque sobre cuentas personales. Para personas que participan en comunidades o espacios digitales vinculados a su identidad LGBTQ+, mantener una cuenta separada — con un seudónimo y sin vínculos a perfiles de nombre real — puede ser una medida de compartimentación efectiva.

Cuándo aplica este enfoque — y cuándo no alcanza

Estas medidas son el piso mínimo recomendable para cualquier persona con exposición digital, pero su relevancia aumenta en contextos de mayor vulnerabilidad: personas que no han salido del clóset con su entorno cercano, jóvenes en hogares no seguros, o quienes participan en activismo visible. En esos casos, las medidas básicas de privacidad pueden no ser suficientes y conviene combinarlas con herramientas más avanzadas, como navegadores con mayor resistencia al rastreo o redes privadas virtuales (VPN) confiables. En cambio, para alguien cuya presencia pública ya incluye su identidad LGBTQ+ y que no enfrenta riesgos inmediatos, el foco puede estar más en la seguridad de cuentas que en la ocultación de información.

El marco regulatorio en América Latina y la brecha de protección efectiva

Varios países de la región cuentan con leyes de protección de datos personales que reconocen categorías de datos sensibles — entre ellos, los relacionados con la vida sexual u orientación sexual — y exigen protecciones adicionales para su tratamiento. La Ley 25.326 de Argentina, la Lei Geral de Proteção de Dados (LGPD) de Brasil, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México y la Ley 1581 de Colombia incluyen explícitamente estos datos en sus categorías especiales o sensibles. Esto significa que, en teoría, una plataforma que recopile o procese datos vinculados a la orientación sexual de una persona tiene obligaciones reforzadas: bases legales más estrictas, mayor responsabilidad en caso de brecha. Sin embargo, la brecha entre la protección legal formal y la protección efectiva sigue siendo amplia: muchas plataformas operan desde jurisdicciones fuera de la región, los mecanismos de ejercicio de derechos son poco accesibles, y las autoridades de control tienen capacidad de enforcement limitada para casos individuales. La autonomía del usuario en la gestión de su propia información sigue siendo, en la práctica, la primera línea de defensa.

La guía completa de autodefensa digital de EFF, disponible en ssd.eff.org, ofrece módulos específicos por nivel de riesgo y perfil de amenaza — incluyendo instrucciones para eliminar metadatos de fotos y configurar autenticación de dos factores.

Cuando alguien expone deliberadamente tu dirección, número de teléfono o lugar de trabajo en foros hostiles para intimidarte o ponerte en riesgo, ya estás ante un incidente de doxxing. La respuesta importa tanto como la prevención: documentar, delegar y actuar con rapidez puede marcar la diferencia entre contener el daño y perder el control de la situación.

El doxxing —término derivado del inglés “dropping documents”— consiste en recopilar información personal disponible públicamente y redistribuirla con intención de acosar, intimidar o poner en peligro a una persona. No requiere hackeo ni filtración técnica: en la mayoría de los casos el agresor usa fuentes abiertas —redes sociales, registros públicos, foros— y amplifica la exposición en comunidades hostiles. Lo que convierte ese dato en arma no es su origen, sino el contexto en que se publica y el daño que provoca.

El registro del incidente: primer paso antes de hacer cualquier otra cosa

Ante un caso de doxxing, la primera acción es crear un registro estructurado del incidente. No hace falta una herramienta sofisticada: una hoja de cálculo o un documento de texto con campos mínimos es suficiente. Según la guía publicada por la Electronic Frontier Foundation (EFF), ese registro debe incluir el sitio o plataforma donde ocurrió la publicación, la fecha y hora exacta, una descripción breve de lo expuesto, el nombre o descripción del actor de amenaza, y cualquier otra persona involucrada. La razón es doble: ordena el caos emocional del momento y genera evidencia utilizable si se decide involucrar a las fuerzas de seguridad o iniciar acciones legales.

Este punto es crítico en América Latina, donde los marcos legales de protección de datos personales —la Ley 25.326 en Argentina, la LGPD en Brasil, la LFPDPPP en México, o la Ley 1581 en Colombia— reconocen el tratamiento no autorizado de datos personales como una infracción con consecuencias civiles y administrativas. Una denuncia ante la Agencia de Acceso a la Información Pública (AAIP) en Argentina, la Autoridade Nacional de Proteção de Dados (ANPD) en Brasil o el Instituto Nacional de Transparencia (INAI) en México requiere evidencia documentada: sin registro, el reclamo se debilita.

Roles de equipo: la respuesta al doxxing no es una tarea individual

La EFF subraya un principio que suele subestimarse: la privacidad es un deporte de equipo. Definir roles antes de que ocurra el incidente —y reactivarlos en cuanto ocurre— reduce el impacto. Hay tareas que conviene distribuir: monitorear los foros donde se publicó la información, mantener actualizado el registro del incidente, configurar alertas web con el nombre de la víctima, reforzar la seguridad de las cuentas de redes sociales, y eventualmente contactar a las fuerzas de seguridad para reducir el riesgo de SWATing —una práctica en la que el agresor llama a servicios de emergencia con una denuncia falsa para enviar fuerzas policiales al domicilio de la víctima.

Distribuir estas tareas entre personas de confianza tiene un efecto secundario importante: separa a la víctima directa de la exposición continua al contenido dañino. Leer reiteradamente los mensajes hostiles o rastrear foros de odio en busca de actualizaciones genera estrés severo. Designar a alguien más para ese monitoreo es, en los términos de la EFF, tan estratégico como técnico.

Cuándo aplica este protocolo y cuándo no

Este tipo de respuesta aplica cuando hay publicación activa de datos personales con intención de daño: nombre completo más dirección física, información laboral combinada con mensajes de amenaza, o fotografías con geolocalización expuesta en foros hostiles. No aplica —o aplica de forma parcial— cuando la exposición es accidental y sin actor identificable, cuando los datos son estrictamente públicos y no hubo recopilación con fines de acoso, o cuando el incidente ya cesó sin consecuencias activas. En esos casos, la prioridad es reducir la huella digital futura, no gestionar un incidente en curso.

También conviene distinguir el doxxing del data breach corporativo: en el primero, el objetivo es una persona específica y el canal de difusión suele ser social; en el segundo, el compromiso es masivo y el vector es técnico. La respuesta legal y operativa difiere en cada caso, aunque ambos pueden activar las obligaciones de notificación que establece, por ejemplo, el artículo 11 de la Ley 25.326 argentina o el artículo 48 de la LGPD brasileña.

Acciones de contención una vez que el incidente está documentado

Con el registro en mano y los roles asignados, las acciones de contención pueden ejecutarse en paralelo. El primer frente es la restricción de acceso: revisar la configuración de privacidad en todas las cuentas activas, revocar el acceso de aplicaciones de terceros innecesarias y habilitar autenticación de dos factores donde aún no esté activa. El segundo frente es la solicitud de eliminación: la mayoría de las plataformas tienen mecanismos de reporte para contenido que expone datos personales sin consentimiento; en jurisdicciones con derecho al olvido o derecho de supresión —como las cubiertas por la LGPD o la Ley 25.326— existe además la vía administrativa ante la autoridad de control. El tercer frente es la evaluación del riesgo físico: si la información expuesta incluye domicilio o rutinas, la seguridad personal debe considerarse parte del protocolo, no un exceso.

La guía completa de respuesta a incidentes de doxxing de la EFF, incluyendo herramientas de inteligencia de fuentes abiertas y plantillas de registro, está disponible en eff.org/deeplinks. Para el contexto legal regional, la AAIP (Argentina), la ANPD (Brasil) y el INAI (México) publican canales de denuncia y orientación sobre derechos de supresión en sus sitios oficiales.

La Agencia de Inmigración y Control de Aduanas de Estados Unidos (ICE) utilizó citaciones administrativas —administrative subpoenas— para obtener datos de usuarios de Meta, Google, X y Reddit, apuntando a personas que documentaron actividades de la agencia, criticaron al gobierno en redes sociales o asistieron a protestas. La Electronic Frontier Foundation (EFF) publicó un listado parcial de estas citaciones que se extiende desde 2025 hasta el presente, advirtiendo que el universo real es probablemente mayor al documentado.

Una citación administrativa es una orden emitida por una agencia del Ejecutivo —sin intervención judicial— que obliga a un tercero, en este caso una plataforma tecnológica, a entregar información sobre sus usuarios. A diferencia de una orden judicial (warrant), no requiere que un juez evalúe la causa probable. En el contexto de ICE, el instrumento se utiliza para solicitar “datos básicos de suscriptores”: nombre, dirección de correo electrónico, número de teléfono, dirección IP y registros de actividad. El problema identificado por la EFF no es la herramienta en sí, sino su uso fuera del alcance legal que la habilita y en violación de derechos constitucionales, en particular la Primera Enmienda de la Constitución estadounidense, que protege la libertad de expresión.

500 citaciones a Meta, Google y Twitter entre 2018 y 2020; 21 a Reddit solo en el segundo semestre de 2025

Los números que trascendieron ilustran la escala del fenómeno. Según documentos obtenidos por Just Futures Law mediante solicitudes de acceso a la información, ICE envió cerca de 500 citaciones administrativas a Meta, Google y Twitter entre 2018 y 2020. Para el segundo semestre de 2025, el Departamento de Seguridad Nacional (DHS) dirigió 21 citaciones a Reddit, dato que la propia plataforma divulgó en su Informe de Transparencia correspondiente a ese período. Reddit es, hasta ahora, la única empresa que desagrega específicamente las citaciones del DHS en sus reportes públicos, lo que hace imposible extrapolar con precisión qué volumen recibieron otras plataformas en el mismo lapso.

La EFF advierte que su listado es incompleto por diseño: las citaciones suelen hacerse públicas solo cuando el usuario afectado recibe notificación y decide impugnarlas judicialmente, o cuando una empresa las menciona en un reporte de transparencia. En paralelo, la organización tiene abierta una demanda de acceso a la información (FOIA) contra el DHS precisamente para obtener el volumen total de citaciones enviadas a empresas de redes sociales desde 2025, sin respuesta satisfactoria hasta la fecha.

Cuándo aplica una citación administrativa y cuándo no tiene sustento legal

Las citaciones administrativas son legítimas cuando se emiten dentro del mandato estatutario de la agencia y con un propósito investigativo vinculado a ese mandato. Lo que la EFF documenta es distinto: citaciones dirigidas a personas que fotografiaron o filmaron operativos de ICE en espacios públicos, a usuarios que publicaron críticas al gobierno en redes sociales, y a estudiantes internacionales que participaron en manifestaciones. En varios casos, ICE debió retirar las citaciones luego de que usuarios las impugnaron o de que empresas tecnológicas presentaron objeciones formales. El retiro implica reconocimiento implícito de que la agencia había excedido su autoridad legal.

La distinción es relevante desde el punto de vista jurídico: una citación válida requiere que los datos solicitados tengan conexión razonable con una investigación dentro del ámbito competencial de la agencia. Cuando el objeto de la investigación es el ejercicio de libertad de expresión o de reunión —actividades protegidas constitucionalmente—, la citación carece de fundamento legal y puede ser impugnada. Ese es el argumento central que ha funcionado en los casos judiciales documentados.

Qué implica para usuarios latinoamericanos con cuentas en plataformas estadounidenses

Las plataformas alcanzadas —Meta, Google, X, Reddit— están incorporadas bajo legislación estadounidense y sus servidores principales operan en ese país, lo que las somete a la jurisdicción del DHS independientemente de la nacionalidad del usuario. Un ciudadano argentino, mexicano o brasileño con cuenta en Instagram o en X puede, en principio, ser objeto de una citación administrativa de ICE si la agencia considera que tiene algún vínculo con una investigación migratoria o de seguridad. Esta situación no está cubierta por las leyes locales de protección de datos personales —ni por la Ley 25.326 argentina, ni por la LGPD brasileña (Lei 13.709/2018), ni por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México— porque el tratamiento ocurre bajo derecho estadounidense, con una orden emitida por una agencia federal.

Esto expone una brecha estructural: los marcos de privacidad de América Latina protegen a sus ciudadanos frente a sus propias autoridades y frente a empresas que operan en su territorio, pero no frente a órdenes coercitivas emitidas por gobiernos extranjeros a plataformas radicadas fuera de la región. Las autoridades de control de datos personales —AAIP en Argentina, ANPD en Brasil, INAI en México— no tienen competencia para intervenir en este tipo de transferencia. La única vía de impugnación disponible es la judicial estadounidense, lo que exige recursos legales y presencia en esa jurisdicción.

Transparencia corporativa: Reddit como excepción, no como norma

El caso de Reddit es relevante por contraste. Al desagregar las citaciones del DHS en su informe de transparencia, la plataforma permite que investigadores, periodistas y usuarios cuantifiquen el fenómeno. Las demás empresas mencionadas —Meta, Google, X— no ofrecen ese nivel de detalle en sus reportes públicos, lo que dificulta cualquier estimación del alcance real. La EFF invita a quienes tengan conocimiento de citaciones no documentadas a reportarlas al correo info@eff.org, una señal de que la organización considera que el inventario publicado subestima significativamente el volumen total.

Para usuarios y organizaciones en América Latina que interactúan con plataformas estadounidenses, la pregunta no es si sus datos pueden ser solicitados por agencias del gobierno de EE.UU., sino bajo qué condiciones esas plataformas los entregarán —y si notificarán al usuario antes de hacerlo.

Los sistemas de lectura automática de patentes (ALPR, por sus siglas en inglés) no son una herramienta de seguridad vial: son infraestructura de vigilancia masiva que registra los movimientos de todos los conductores, independientemente de que exista una sospecha concreta. La Electronic Frontier Foundation (EFF) adoptó una posición formal que va más allá del uso responsable: exige su eliminación.

Un sistema ALPR funciona mediante cámaras instaladas en vías públicas, vehículos policiales o infraestructura privada que capturan las patentes de todos los autos que pasan. Esos datos se almacenan en bases consultables —a veces durante años— y pueden ser accedidos por policías, agencias de inmigración y proveedores privados sin necesidad de orden judicial en la mayoría de las jurisdicciones que los despliegan. El resultado no es un registro de infractores: es un mapa histórico y georreferenciado de hacia dónde va cada conductor.

Por qué la EFF dice que los ALPR son “irreparablemente dañinos”

La posición de la EFF, publicada en agosto de 2026, no plantea que los ALPR estén mal configurados ni que deban regularse mejor. Sostiene algo más radical: que la recolección indiscriminada y continua de datos de ubicación sobre todos los conductores, sin sospecha previa, no debería existir en ninguna forma. El argumento central es que el riesgo no proviene del mal uso del sistema, sino de su diseño mismo. No hay política de retención ni actualización de software que elimine el potencial de que esa base de datos sea usada para perseguir inmigrantes, disidentes políticos o cualquier grupo en la mira de una administración de turno.

La EFF también documenta daños concretos y recurrentes: conductores inocentes detenidos por errores de lectura óptica, y casos de agentes policiales que utilizaron los sistemas para rastrear a ex parejas o personas de interés personal. Estos no son fallos excepcionales: son consecuencias predecibles de construir y conectar en red una base de datos masiva de ubicación personal.

La distinción que los fabricantes prefieren ignorar: ALPR vs. cámaras de tráfico convencionales

Existe una diferencia técnica y jurídica fundamental entre un ALPR y una cámara de semáforo en rojo. Una cámara de control de velocidad o de infracciones registra una violación específica y emite una multa: no retiene datos de conductores que no cometieron ninguna infracción ni conecta esa información con otras bases de datos. Un ALPR, en cambio, registra a todos, sin excepción, y agrega esa información a un historial consultable. La EFF advierte que los fabricantes aprovechan contratos de control de tráfico convencional para introducir sistemas ALPR como complemento, diluyendo la distinción en la práctica contractual.

Cuándo aplica la restricción / cuándo NO

La posición de la EFF apunta específicamente a la vigilancia masiva mediante ALPR: la recolección continua y sin causa de datos de ubicación sobre toda la población que usa vías públicas. No cuestiona la identificación de un vehículo específico bajo una orden judicial válida, ni los sistemas de control de tráfico que no retienen datos de terceros no involucrados. La línea divisoria es la recolección indiscriminada y la retención prolongada: si el sistema guarda datos de quienes no infringieron ninguna ley, el problema es estructural, no operativo.

América Latina: el vacío regulatorio que convierte a la región en terreno fértil

En América Latina, el despliegue de sistemas ALPR avanza con escasa regulación específica. Argentina, Brasil, México y Colombia tienen marcos de protección de datos personales —la Ley 25.326, la LGPD, la LFPDPPP y la Ley 1581 de 2012, respectivamente— que reconocen el principio de finalidad: los datos personales solo pueden recolectarse para fines determinados, explícitos y legítimos. Un sistema que captura la ubicación de todos los conductores sin sospecha previa difícilmente supera ese estándar. Sin embargo, ninguna de esas leyes contiene disposiciones específicas sobre vigilancia vehicular masiva, y las autoridades de control —la AAIP en Argentina, la ANPD en Brasil, el INAI en México— no han emitido lineamientos sectoriales sobre el tema.

La brecha es relevante porque varios municipios latinoamericanos han adquirido o licitado sistemas de lectura de patentes bajo el paraguas de “ciudad inteligente” o “seguridad vial”, sin que medie un análisis de impacto en privacidad ni una definición de plazos de retención. En Brasil, la ANPD tiene competencia para exigir ese análisis en tratamientos de alto riesgo; en Argentina, la resolución AAIP 47/2018 establece criterios para evaluaciones de impacto que podrían aplicarse, pero la autoridad no ha actuado de oficio en este ámbito.

Lo que la EFF propone mientras los sistemas siguen operando

Dado que los sistemas ALPR ya están desplegados en múltiples jurisdicciones, la EFF articula una posición de reducción de daños paralela a su objetivo de eliminación. Las medidas que impulsa ante tribunales y legislaturas incluyen: exigencia de orden judicial para acceder a los datos recopilados, plazos máximos de retención breves y aplicables, prohibición de acceso a agencias federales sin proceso judicial, y transparencia obligatoria sobre qué entidades consultan las bases de datos y con qué frecuencia. Ninguna de estas medidas resuelve el problema de fondo, según la propia EFF, pero limitan el daño mientras el debate político madura.

Para quienes trabajan en privacidad en la región, el punto de partida es la normativa vigente: los marcos de protección de datos de Argentina, Brasil y México ya ofrecen herramientas —principio de finalidad, evaluaciones de impacto, notificación a la autoridad— que podrían aplicarse a estos sistemas hoy, sin esperar legislación específica. La referencia completa de la posición de la EFF está disponible en eff.org/deeplinks/2026/08/effs-policy-position-alpr-surveillance-eliminate-it-and-reduce-its-harms.