Categoría: Privacidad

Los lectores automáticos de placas vehiculares (ALPR, por sus siglas en inglés) registran cada auto que pasa, construyendo un historial detallado de movimientos de personas que nunca fueron sospechosas de nada. La Electronic Frontier Foundation (EFF) sostiene que, mientras estos sistemas sigan operando, los tribunales y legislaturas deben exigir una orden judicial antes de que la policía pueda consultar esa base de datos.

Un ALPR es una cámara instalada en postes, patrullas o edificios que fotografía automáticamente las placas de todos los vehículos que pasan, registrando la matrícula, la ubicación y la hora exacta. Esos datos se almacenan en bases de datos consultables durante meses o años. No se trata de vigilancia focalizada sobre un sospechoso: es captura masiva de información sobre cualquier persona que conduzca por una vía pública, independientemente de si tiene algún vínculo con una investigación penal.

Qué hace falta para que una orden judicial sea válida en EE. UU.

En el sistema estadounidense, la Cuarta Enmienda exige que antes de registrar a una persona o sus propiedades, un juez neutral determine que existe causa probable, es decir, una probabilidad razonable de que la búsqueda revelará evidencia de un delito. Además, la orden debe describir con precisión qué se buscará, lo que impide las llamadas “expediciones de pesca” donde la policía explora registros sin un objetivo definido. El principio clave es que quien quiere buscar no es quien decide si la búsqueda está justificada.

Esa lógica ya aplica a otras formas de vigilancia: en general se requiere orden judicial para intervenir llamadas telefónicas, para revisar el contenido de un celular y para acceder a datos de ubicación de torres de telefonía. La EFF argumenta que el acceso a bases de datos de ALPR debería seguir el mismo estándar, dado que revelan patrones de movimiento igualmente sensibles.

Usos documentados sin orden judicial: perfilación, deportaciones y acoso

La EFF documentó casos concretos en los que agentes de policía accedieron a datos de ALPR sin orden judicial para fines que van mucho más allá de la investigación criminal legítima. Entre los usos relevados figuran:

• Perfilación étnica de comunidades romaní.
• Monitoreo de manifestantes y activistas.
• Investigación de casos relacionados con el acceso al aborto.
• Localización de personas migrantes para su deportación.
• Seguimiento de un ciudadano que había presentado una queja contra un agente.
• Acoso a ex parejas románticas por parte de efectivos policiales.
• Consultas sin justificación declarada.

Sin un control judicial previo, estos abusos solo salen a la luz después de que el daño ya ocurrió, y la persona afectada debe recorrer un camino largo y costoso para impugnarlos. Una exigencia de orden judicial invertiría esa carga: la justificación vendría antes del acceso, no después.

Cuándo aplica la exigencia de orden judicial — y cuándo no

La EFF aclara que un requisito de orden judicial no convierte la vigilancia masiva en aceptable; solo introduce un control mínimo sobre su uso. Las ciudades que ya tienen sistemas ALPR instalados necesitarían legislación estadual o doctrina judicial que establezca explícitamente ese estándar, dado que actualmente no existe una norma federal uniforme en Estados Unidos que lo exija. El requisito tampoco elimina el problema de la captura indiscriminada de datos: el registro sigue ocurriendo para todos, sospechosos o no. La posición de la EFF es más amplia: las ciudades no deberían adquirir estos sistemas, y las que ya los tienen deberían desmantelarlos.

El debate llega a América Latina, donde la expansión de ALPR avanza sin marcos claros

En la región, el despliegue de ALPR creció sostenidamente durante la última década sin que la legislación de protección de datos haya acompañado ese ritmo. En Argentina, la Ley 25.326 de Protección de los Datos Personales reconoce que los datos de ubicación pueden ser datos sensibles según su contexto de uso, pero no establece estándares específicos para la recolección masiva por organismos de seguridad. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) contempla excepciones amplias para el tratamiento de datos con fines de seguridad pública que han sido objeto de crítica por parte de especialistas en privacidad. En México, la LFPDPPP protege datos en el sector privado, pero el tratamiento por autoridades gubernamentales queda fuera de su alcance directo, regulado en cambio por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, cuya aplicación efectiva es irregular según distintos informes de organizaciones civiles.

En ninguno de esos marcos existe hoy una obligación expresa equivalente a la orden judicial para que fuerzas de seguridad accedan a bases de datos de matrículas vehiculares acumuladas. Esa brecha normativa importa: si la discusión estadounidense gira en torno a requerir una autorización judicial previa para un sistema que ya opera con ciertos controles institucionales, en la región el punto de partida es más básico aún. La mayoría de los despliegues de ALPR en ciudades latinoamericanas carecen de registros públicos sobre quién accede a los datos, con qué frecuencia y bajo qué criterio.

Para profundizar en el marco legal aplicable, la posición completa de la EFF sobre sistemas ALPR y sus recomendaciones de política pública están disponibles en eff.org. En América Latina, el Relator Especial de la ONU para la Libertad de Expresión ha señalado la vigilancia de espacios públicos como área prioritaria de análisis en sus informes regionales.

El Estado puede monitorear perfiles públicos en redes sociales sin orden judicial en varios países de América Latina, mientras que las filtraciones de bases de datos oficiales siguen sin tener consecuencias legales claras para los responsables. La pregunta no es si existe vigilancia digital, sino bajo qué reglas opera y quién controla a quienes controlan.

El ciberpatrullaje —la práctica por la cual agencias estatales rastrean actividad en plataformas digitales, foros y redes sociales con fines de inteligencia, investigación penal o seguridad pública— existe en prácticamente todos los países de la región. Lo que varía dramáticamente entre jurisdicciones es si esa actividad tiene base legal expresa, control judicial previo y algún mecanismo de rendición de cuentas. En la mayoría de los casos, ninguna de las tres condiciones se cumple de forma completa.

Tres actores con acceso a datos personales, tres lógicas distintas

Cuando hablamos de quién tiene acceso a nuestros datos, hay que separar al menos tres tipos de actores con lógicas radicalmente diferentes. Primero, las plataformas privadas —Meta, Google, X, TikTok— que recolectan datos de comportamiento para fines publicitarios y los entregan a gobiernos cuando reciben una orden legal válida, o incluso antes si sus políticas internas lo permiten. Segundo, los Estados, que acceden a datos tanto mediante requerimientos formales a plataformas como a través de sistemas propios de vigilancia: scrapers de redes, software de análisis de contenido público, o herramientas de inteligencia de fuentes abiertas (OSINT). Tercero, actores no autorizados —desde grupos criminales hasta ex empleados con acceso residual— que obtienen datos mediante filtraciones, vulneración de sistemas o compra en mercados ilegales.

La combinación de los tres flujos crea un ecosistema donde los datos de una persona pueden circular entre sistemas privados, estatales e ilegales sin que esa persona tenga forma práctica de saberlo, ni mucho menos de impedirlo.

Ciberpatrullaje en Argentina, México y Brasil: distinto encuadre legal, misma opacidad

En Argentina, la Ley 25.326 de Protección de Datos Personales establece que el tratamiento de datos por parte del Estado debe tener finalidad explícita y base legal, pero no contempla de forma específica el ciberpatrullaje como actividad regulada. La Agencia de Acceso a la Información Pública (AAIP) tiene competencia para fiscalizar archivos estatales, pero su capacidad de auditar operaciones de inteligencia digital es, en la práctica, muy limitada. El debate se agudizó con el uso de herramientas de monitoreo de redes durante protestas sociales, sin que exista un marco normativo que defina qué puede observarse, por cuánto tiempo y con qué autorización.

En México, la LFPDPPP rige para el sector privado; el sector público se regula por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO), sancionada en 2017. Esta ley obliga a las dependencias a publicar avisos de privacidad y a designar un responsable, pero las áreas de seguridad nacional quedan expresamente fuera de su ámbito. El Instituto Nacional de Transparencia (INAI) puede investigar a entidades públicas, pero no a las fuerzas de seguridad cuando actúan bajo la lógica de inteligencia. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) tiene excepciones similares: el artículo 4 excluye del régimen general el tratamiento de datos para seguridad pública, defensa nacional e investigación penal, delegando esa regulación a legislación específica que aún no existe en forma completa.

Cuándo aplica la ley de protección de datos y cuándo no

Esta es la delimitación que más frecuentemente se omite en el debate público. Las leyes de protección de datos personales de la región —Ley 25.326 en Argentina, LGPD en Brasil, Ley 19.628 y su reforma en Chile, Ley 1581 en Colombia, Ley 29733 en Perú— protegen al individuo frente al tratamiento de sus datos por parte de empresas y, en distintos grados, frente al Estado actuando en su función administrativa ordinaria. No aplican, o aplican con excepciones amplias, cuando el Estado actúa en funciones de seguridad, inteligencia o investigación penal. Esa brecha es sistémica y reconocida: el Convenio 108+ del Consejo de Europa, que varios países de la región toman como referencia, exige que incluso esas excepciones sean proporcionadas, necesarias y sujetas a control independiente —condiciones que rara vez se verifican en la práctica regional.

Las filtraciones de bases de datos estatales —padrones electorales, registros de salud, sistemas de beneficios sociales— caen en una zona gris adicional: técnicamente el Estado es “víctima” de la brecha, pero también es responsable de no haber implementado medidas de seguridad adecuadas. Las leyes de protección de datos de la región imponen esa obligación de seguridad, pero las sanciones por incumplimiento son bajas y los procesos de fiscalización, lentos.

El dato que falta: registros de acceso y auditoría sobre bases estatales

Lo que distingue a los sistemas de mayor madurez regulatoria no es solo la existencia de una ley, sino la existencia de controles técnicos auditables: logs de acceso a bases de datos sensibles, políticas de retención documentadas, auditorías periódicas por organismos independientes y mecanismos de notificación al titular cuando sus datos fueron consultados o comprometidos. En la región, esos controles son la excepción. Los marcos de referencia como el NIST Privacy Framework o el estándar ISO/IEC 29101 proveen arquitecturas concretas para implementarlos, pero su adopción en el sector público latinoamericano es incipiente y voluntaria.

Mientras ese déficit persista, el debate sobre ciberpatrullaje y filtraciones seguirá siendo político antes que técnico-jurídico: quién tiene acceso a nuestros datos dependerá menos del marco legal vigente y más de quién gobierna y con qué criterio decide usar esa capacidad.

Para profundizar en el marco regional, el texto del Convenio 108+ y los informes de adecuación de la Comisión Europea sobre países de América Latina son el punto de partida más riguroso disponible públicamente.

Detectar una brecha de datos en las primeras horas no es solo una ventaja operativa: en la mayoría de los marcos legales de América Latina, la velocidad de detección determina si una organización cumple o incumple sus obligaciones de notificación. El tiempo que transcurre entre el incidente y la respuesta tiene consecuencias jurídicas directas, no solo reputacionales.

Cuando se habla de ciberseguridad continua —monitoreo 24/7, correlación de eventos, detección y respuesta administrada— el argumento suele construirse en torno al riesgo técnico: reducir el tiempo de permanencia del atacante, limitar el alcance de la exfiltración, preservar la integridad de los sistemas. Pero hay una dimensión que con frecuencia queda fuera del debate técnico: la detección temprana es también una obligación jurídica encubierta. No tener capacidad de detectar a tiempo es, en varios regímenes legales de la región, equivalente a no haber implementado medidas de seguridad adecuadas.

El reloj legal empieza cuando la organización “debería haber sabido”

La mayoría de las leyes de protección de datos personales en América Latina establecen plazos de notificación contados desde el momento en que la organización toma conocimiento del incidente. La Lei Geral de Proteção de Dados de Brasil (LGPD, Lei 13.709/2018) indica en su artículo 48 que el responsable debe comunicar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en un “plazo razonable” tras conocer la ocurrencia. La ANPD, a través de la Resolución CD/ANPD nº 15/2024, precisó ese plazo en tres días hábiles para la notificación preliminar. En Argentina, la Ley 25.326 no fija un plazo explícito de notificación de brechas en su texto original, pero la Agencia de Acceso a la Información Pública (AAIP) ha emitido lineamientos que recomiendan la comunicación inmediata, y el proyecto de reforma en discusión busca incorporar un plazo de 72 horas, alineado con el GDPR europeo. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) tampoco establece un plazo numérico expreso, pero el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) ha interpretado que la demora injustificada agrava la responsabilidad del responsable del tratamiento.

El punto crítico está en la frase “desde que toma conocimiento”. Cuando una organización no tiene capacidad de monitoreo continuo, el momento del conocimiento se retrasa artificialmente. Un atacante que permanece en la red durante semanas o meses —el llamado dwell time, que según reportes del sector puede superar los 200 días en incidentes no detectados a tiempo— no solo amplía el daño; también desplaza hacia adelante el inicio del plazo legal, lo que los reguladores interpretan cada vez más como negligencia en la implementación de medidas técnicas.

Cuándo aplica la obligación de notificar y cuándo NO

No todo incidente de seguridad activa la obligación de notificación. Los regímenes de la región convergen en que la notificación es obligatoria cuando el incidente involucra datos personales y existe riesgo relevante para los derechos de los titulares. Esto implica que una brecha que afecta únicamente datos anonimizados de manera irreversible, o que se contiene antes de que exista acceso no autorizado real a datos personales, puede no requerir notificación formal. Sin embargo, la carga de demostrar esa ausencia de riesgo recae sobre la organización responsable, y sin registros de detección y contención, esa demostración es prácticamente imposible. El monitoreo continuo no solo reduce el daño: produce la evidencia documental que la organización necesita para acreditar que actuó diligentemente o que el incidente no alcanzó el umbral de notificación.

Colombia, Chile y Perú: tres posiciones regulatorias frente al mismo problema

Colombia cuenta con la Ley Estatutaria 1581 de 2012 y el Decreto 1377 de 2013, supervisados por la Superintendencia de Industria y Comercio (SIC). La SIC ha sancionado a empresas por fallas en medidas de seguridad técnicas, lo que crea un precedente sobre la exigencia implícita de capacidad de detección. Chile avanza con la Ley 21.719, aprobada en 2024, que introduce por primera vez un régimen de notificación de brechas con plazos definidos y obligaciones de registro de incidentes, bajo la supervisión del Consejo para la Transparencia en un período transitorio. Perú, con la Ley 29733 y su reglamento, también exige medidas de seguridad adecuadas al nivel de riesgo del tratamiento, lo que la Autoridad Nacional de Protección de Datos ha interpretado como comprensivas de capacidades de detección y respuesta. En los tres casos, una organización que no puede demostrar cuándo ocurrió un incidente ni cuánto tiempo tardó en detectarlo enfrenta una posición jurídica desventajosa frente al regulador.

Lo que la capacidad de detección acredita ante un regulador

Cuando una autoridad de control investiga una brecha, una de las primeras preguntas es si la organización contaba con mecanismos razonables para detectarla. La existencia de registros de logs auditables, alertas de seguridad, procedimientos de clasificación de incidentes y tiempos de respuesta documentados forma parte del estándar de diligencia debida que los reguladores de la región evalúan al determinar la responsabilidad y la cuantía de las sanciones. Una organización con monitoreo continuo que detecta y contiene un incidente en horas está en posición de argumentar que implementó medidas adecuadas. Una organización que descubre una brecha semanas después, por una notificación externa o por medios de comunicación, enfrenta el escenario contrario, independientemente de cuánto invierta en respuesta forense posterior.

Para profundizar en los plazos y obligaciones de notificación vigentes en la región, la Resolución CD/ANPD nº 15/2024 de Brasil y el texto de la Ley 21.719 de Chile son los documentos de referencia más actualizados disponibles en los registros oficiales de sus respectivas autoridades de protección de datos.