La Agencia Española de Protección de Datos ha impuesto a AENA una sanción de 10.043.002 euros por implantar sistemas de reconocimiento facial en ocho aeropuertos sin una Evaluación de Impacto en Protección de Datos que cumpliera los requisitos del RGPD. Esta multa iguala la sanción más alta de la historia de la AEPD, que fue aplicada a Google en 2022.
El sistema sancionado
AENA desarrolló entre 2019 y 2024 un programa de identificación biométrica mediante reconocimiento facial que permitía a los pasajeros:
Acceder a filtros de seguridad
Pasar por puertas de embarque
Utilizar mostradores de auto-entrega de equipaje (self bag drop)
El sistema procesaba datos biométricos con fines de identificación, incluyendo imágenes selfie, datos del chip NFC del DNI y tokens biométricos aepd. Según la resolución, el programa funcionó en 8 aeropuertos: Barajas, El Prat, Alicante-Elche, Gran Canaria, Ibiza, Menorca, Mallorca y Tenerife Norte, afectando a casi 40.000 usuarios en su fase operativa entre 2023 y 2024.
La infracción: artículo 35 del RGPD
Lo crucial aquí es que la sanción no se basa en una brecha de datos ni en uso indebido de información, sino en un incumplimiento formal pero fundamental: AENA llevó a cabo un tratamiento de datos biométricos de alto riesgo sin el análisis previo obligatorio exigido por el artículo 35 del RGPD.
Según el documento de resolución, la AEPD considera que:
La EIPD inicial (marzo 2019) era deficiente: Carecía de un análisis adecuado de necesidad, idoneidad y proporcionalidad del tratamiento.
Las consultas previas fueron infructuosas: AENA consultó a la AEPD en dos ocasiones durante los pilotos (febrero y junio de 2021), recibiendo informes que señalaban incumplimientos, pero no los subsanó adecuadamente antes de escalar el proyecto.
El tratamiento era más invasivo que las alternativas: El sistema procesaba más datos de los necesarios, incluyendo imágenes biométricas y contenidos íntegros de documentos de identificación y tarjetas de embarque.
Finalidad mal definida: La AEPD cuestiona que las finalidades reales del tratamiento (identificación unívoca de pasajeros) no justificaban el uso de biometría cuando existían métodos tradicionales menos intrusivos.
La posición de AENA
El gestor aeroportuario ha anunciado que recurrirá la sanción, alegando:
Sí realizaron evaluaciones de impacto antes del inicio de los programas, aunque la AEPD las considera insuficientes
No hubo brechas de seguridad: «La custodia de estos datos no ha estado en riesgo en ningún momento»
El consentimiento era voluntario: Los usuarios decidían libremente participar en el sistema
La sanción es desproporcionada: Consideran que se trata de un incumplimiento formal, no material
Contexto regulatorio crucial
La resolución hace referencia al Dictamen 11/2024 del Comité Europeo de Protección de Datos, que analiza específicamente el uso de reconocimiento facial para agilizar el flujo de pasajeros en aeropuertos. El CEPD concluye que tecnologías similares difícilmente cumplen los principios de necesidad y proporcionalidad.
Esto es importante porque marca un posicionamiento claro de las autoridades europeas: el reconocimiento facial en aeropuertos, aunque sea voluntario, enfrenta serias dudas sobre su proporcionalidad.
Medidas impuestas
Multa de 10.043.002 euros (calculada sobre un volumen de negocios de más de 5.000 millones de euros)
Suspensión temporal del tratamiento biométrico hasta que AENA elabore una EIPD válida
Publicación en el BOE por superar el millón de euros
El sistema ya estaba suspendido desde junio de 2024, cuando AENA procedió a bloquear y suprimir los datos tras conocer el inicio del procedimiento.
Análisis técnico-jurídico
Esta resolución es paradigmática por varios motivos:
1. Responsabilidad proactiva llevada al extremo: Incluso habiendo realizado EIPDs y consultado a la autoridad, AENA no cumplió. Esto demuestra que la AEPD exige documentación robusta y no meramente formal.
2. El test tripartito es inexcusable: Idoneidad, necesidad y proporcionalidad deben demostrarse exhaustivamente para tratamientos de alto riesgo, especialmente con datos biométricos.
3. El consentimiento no lo cura todo: Aunque el sistema era voluntario y basado en consentimiento (art. 9.2.a RGPD), esto no exime de cumplir el principio de minimización ni de justificar la proporcionalidad del tratamiento.
4. Precedente para aeropuertos europeos: Con el Dictamen 11/2024 del CEPD como referencia, esta resolución marca la pauta para otros proyectos similares en Europa.
Implicaciones para el sector
Infraestructuras críticas bajo escrutinio máximo: Los aeropuertos, por su volumen de usuarios y naturaleza estratégica, enfrentan estándares muy altos.
La biometría «voluntaria» no es carta blanca: Aunque mejore la experiencia del usuario, debe superar pruebas estrictas de proporcionalidad.
Las EIPDs son documentos vivos: Deben actualizarse cuando cambian significativamente las condiciones del tratamiento (nuevos aeropuertos, más usuarios, nuevas funcionalidades).
Esta sanción envía un mensaje claro: la innovación tecnológica en protección de datos no puede ir por delante del cumplimiento normativo. Las organizaciones que implementen sistemas de alto riesgo deben invertir recursos significativos en documentación, análisis y justificación técnico-jurídica antes de comenzar el tratamiento.
El caso AENA demuestra que ni siquiera el diálogo con la autoridad de control, si no va acompañado de correcciones efectivas, exime de responsabilidad. Y que cuando se trata de datos biométricos en infraestructuras masivas, la vara está muy, muy alta.
La demanda de Amazon contra Perplexity no es una disputa técnica menor entre dos gigantes de Silicon Valley. Es el primer movimiento visible de una guerra por el control del futuro digital que definirá nuestras libertades en la próxima década. Y estamos permitiendo que se escriba sin participación, sin debate público, sin regulación.
Cuando Amazon alega que Perplexity comete «fraude informático», está empleando un lenguaje legal calculado para hacer parecer un acto de defensa corporativa lo que es fundamentalmente un acto de consolidación de poder. Pero los detalles técnicos ocultan la verdadera naturaleza del conflicto: se está jugando el derecho de los usuarios a elegir las herramientas que median su relación con el comercio digital.
Lo que los términos y condiciones revelan: una arquitectura legal de control
Amazon no inventó la restricción contra agentes de IA. Estaba ahí todo el tiempo, enterrada en sus «Términos y Condiciones de Uso», un documento de cientos de párrafos que casi nadie lee completamente.
El idioma es técnico, pero el propósito es absoluto. Amazon define a un «Agente» como «cualquier software o servicio que toma acciones autónomas o semiautónomas en nombre de, o bajo la instrucción de, cualquier persona o entidad.» Y luego establece una exigencia inquietante: «Ningún Agente puede acceder, usar o interactuar con los Servicios de Amazon a menos que se identifique a sí mismo en todo momento y opere en estricta conformidad con los requisitos establecidos.»
¿Suena técnico? Lo es. ¿Pero qué significa en realidad? Significa que Amazon se ha arrogado el derecho de decidir quién puede automatizar acciones en su plataforma y bajo qué condiciones. Y más importante aún, significa que Amazon puede cambiar esas condiciones unilateralmente, en cualquier momento, sin tu consentimiento.
El documento continúa con disposiciones que revelan la verdadera intención. Los agentes deben «identificar claramente» su naturaleza automatizada en todas las solicitudes HTTP. No pueden «ocultar o disfrazar» que son máquinas. No pueden «completar o eludir CAPTCHAs». Amazon carece de medidas alternativas para contravenir sus propios bloqueos de acceso.
Todas estas restricciones son unilaterales. Vos aceptaste leerlas cuando creaste tu cuenta en Amazon. Probablemente ni siquiera sabías que existían. Y Amazon se reserva el derecho, explícitamente declarado, de «limitar, incluyendo mediante medidas técnicas, si y cómo cualquier Agente accede, usa e interactúa con los Servicios de Amazon.» En palabras simples: Amazon puede bloquear cualquier agente que quieras usar, en cualquier momento, sin justificación, solo porque lo decide.
¿Y por qué importa esto? Porque estos términos, aparentemente técnicos, establecen un principio legal fundamental: las corporaciones tienen derecho a decidir qué herramientas puedes usar, incluso si actúan exclusivamente en tu beneficio. Las plataformas no son espacios públicos. Son propiedades privadas donde las reglas las escriben quiénes controlan los servidores.
Amazon no está sola. Si observás los términos de otras plataformas, vas a encontrar restricciones similares. TripAdvisor, a través de su plataforma The Fork para restaurantes, explícitamente bloquea «todos los bots identificados como ‘bots maliciosos’ por defecto.» Booking.com tiene términos prohibiendo «data mining, robots, o herramientas similares de recopilación y extracción de datos.»
Pero aquí está lo interesante: estas mismas plataformas están desarrollando sus propios agentes de IA. Booking.com lanzó su «AI Trip Planner» que actúa automáticamente en nombre de los usuarios, navegando, comparando, recomendando hoteles. Amazon está desarrollando «Rufus», un asistente de compras que hace exactamente lo que Perplexity intenta hacer.
La contradicción es evidente: no podés usar un agente de terceros para comparar precios en Amazon, pero Amazon sí puede usar su propio agente para influir en tus decisiones de compra. No podés automatizar la búsqueda de restaurantes en The Fork, pero The Fork sí puede usar bots internos para moderar contenido, bloquear scraping competidor, y recomendar opciones.
Esto no es regulación de seguridad. Es exclusión competitiva. Es decir: «Las herramientas de automatización son peligrosas cuando las usan nuestros competidores, pero son innovación cuando las usamos nosotros.»
Amazon ya está desarrollando Rufus, su propio asistente de compras impulsado por IA. Google tiene Gemini. Meta integra IA en cada aspecto de sus servicios. Alibaba construyó su ecosistema cerrado de agentes. Ahora, cuando una startup se atreve a construir un agente que funciona de forma abierta e interoperable—es decir, que permite a los usuarios elegir—enfrenta litigios multimillonarios en tribunales norteamericanos.
El patrón es inequívoco. No es defensa. Es consolidación territorial. Cada plataforma está corriendo para asegurar que los agentes de IA del futuro sean exclusivamente suyos, que no exista competencia, que los usuarios no tengan alternativas. Porque quien controle el agente que media la interacción de un usuario con una plataforma controla esa relación, y más importante aún, los datos que genera.
Aravind Srinivas, CEO de Perplexity, lo expresó con claridad: «No creo que sea centrado en el cliente obligar a las personas a usar solo su asistente, que puede que ni siquiera sea el mejor asistente de compras.» Es un argumento que resuena con cualquier consumidor. Pero choca directamente con la realidad económica de las plataformas: su modelo de negocio se basa en el control total de la experiencia del usuario y, crucialmente, en la captura de los datos que esa experiencia genera.
Cuando Amazon demanda a Perplexity, lo que realmente está diciendo es: «Si querés que tus usuarios usen agentes de IA para interactuar con nuestras plataformas, esos agentes deben ser nuestros agentes. Porque si los usuarios pueden elegir, Amazon deja de controlar cómo tus clientes nos encuentran, cómo comparan nuestros precios, qué publicidad les mostramos.»
Sabemos que estamos en territorio inexplorado. No existen marcos legales claros que definan qué puede hacer un agente de IA, cuáles son sus derechos, quién es responsable cuando algo falla. Este vacío regulatorio no es accidental. Es estratégico, y las corporaciones lo están llenando a través de litigios ofensivos y términos de servicio unilaterales.
Las preguntas sin respuesta son múltiples y urgentes. ¿Tiene un agente de IA que actúa en tu nombre los mismos derechos de acceso que un usuario humano? ¿Pueden las plataformas discriminar arbitrariamente entre tráfico humano y automatizado cuando este último beneficia directamente al usuario individual? ¿Quién es responsable si un agente comete un error: el usuario final, el desarrollador del agente, o la plataforma que permitió el acceso? ¿Pueden los términos de servicio unilaterales, documentos que casi nadie lee y se modifican constantemente, restringir legítimamente el derecho de los usuarios a utilizar herramientas de terceros que mejoran su experiencia?
En todo el mundo existe un vacío regulatorio masivo. Mientras tanto, las grandes corporaciones están escribiendo las reglas del juego en tribunales estadounidenses, determinando para el mundo qué está permitido y qué no. Sin participación regulatoria. Sin nuestras voces.
Proyectemos esto hacia 2028. Cada plataforma importante ha cerrado deliberadamente sus puertas a agentes de terceros. Amazon solo funciona con Rufus. Booking solo acepta su propio asistente.
Los consumidores necesitarán múltiples asistentes diferentes. Cada uno aprendiendo preferencias de forma aislada. Cada uno operando bajo reglas distintas que nadie comprende completamente. Cada uno recolectando datos sin coordinación, sin que exista visibilidad real sobre qué saben, qué comparten, con quién lo venden.
La promesa democrática de los agentes de IA—que podrían empoderar a usuarios individuales, pequeños emprendedores, consumidores vulnerables—se invierte completamente. Se convierte en otra herramienta de control corporativo, en fragmentación forzada, en usuarios confinados a ecosistemas que nunca eligieron.
No es especulación. Es el patrón que hemos visto repetirse a lo largo de la historia de internet. Con los navegadores web en los años noventa. Con las redes sociales a partir de 2005. Con la computación en la nube en la última década. El ciclo es predecible: primero viene la innovación abierta y competitiva, luego la consolidación acelerada, finalmente los oligopolios que controlan el acceso a recursos cada vez más esenciales.
Los agentes de IA no son solo para comprar zapatillas en internet. Son para buscar empleo sin dejar rastros digitales permanentes en plataformas de reclutamiento. Son para investigar temas sensibles, críticos, delicados—salud mental, cuestiones legales, orientación sexual, creencias políticas—con privacidad real, sin que tus búsquedas se conviertan en datos perfilables para corporaciones.
Son para que pequeños emprendedores compitan sin que las grandes plataformas los asfixien con restricciones arbitrarias. Son para gestionar finanzas personales sin que intermediarios extraigan valor de tu información. Son para acceder a servicios públicos sin depender de intermediarios privados con fines de lucro. Son para que la automatización beneficie al ciudadano, no solo a las corporaciones.
Un agente imparcial podría ayudarte a comparar precios reales sin que una plataforma dominante te muestre exclusivamente lo que decide que debes ver. Podría gestionar datos de salud sin que corporaciones farmacéuticas los moneticen para estudios de marketing. Podría navegar regulaciones gubernamentales sin que tengas que pagar a intermediarios privados. Podría ser herramienta de empoderamiento. Pero solo si le permitimos existir libremente.
Cuando Amazon demanda a Perplexity, no está protegiéndote de agentes maliciosos. Está protegiéndose a sí misma del riesgo existencial que representa la competencia. Está asegurando que la próxima década de innovación digital ocurra exclusivamente dentro de los límites que ella define, bajo los términos que ella establece, con los beneficios que ella captura.
Lo que llama la atención de este conflicto es que ni siquiera existen estructuras legales claras de responsabilidad. Si un agente de IA comete un error comprando un producto incorrecto, ¿quién es responsable? ¿El usuario que autorizó al agente? ¿El desarrollador que creó el agente? ¿La plataforma que permitió el acceso? La ley no lo dice. Los términos de servicio lo dejan ambiguo intencionalmente.
Esta ambigüedad es poderosa para las corporaciones grandes. Les permite actuar defensivamente cuando les conviene, y argumentar algo completamente distinto cuando les conviene diferentes cosas. Les permite litigar en tribunales norteamericanos como víctimas de un “fraude técnico”, mientras que en sus oficinas ejecutivas celebran haber bloqueado exitosamente a un competidor.
Para los desarrolladores independientes, especialmente en regiones donde los recursos legales son limitados, esta ambigüedad puede ser paralizante. ¿Invertir en innovación en agentes de IA cuando plataformas dominantes pueden demandarte sin advertencia previa? ¿Crear herramientas que mejoren la experiencia del usuario cuando las grandes plataformas pueden cerrar puertas arbitrariamente?
Reguladores, legisladores, autoridades de defensa del consumidor: necesitan actuar con urgencia. No en dos años, cuando el estatus quo haya sido cementado. No cuando los grandes jugadores hayan consolidado sus posiciones. Ahora.
La solución requiere cinco componentes que deben implementarse simultáneamente:
Primero, interoperabilidad como derecho legal fundamental. Los consumidores deben tener derecho garantizado a usar herramientas de terceros para interactuar con plataformas comerciales, siempre que respeten seguridad, propiedad intelectual y protección contra fraude. No es un privilegio que las corporaciones pueden conceder o revocar. Es un derecho que debe estar protegido en ley.
Segundo, identificación transparente pero nunca razón para denegación. Los agentes de IA pueden y deben identificarse claramente como tales. Pero esa identificación nunca puede ser razón automática para bloquear acceso. Las limitaciones técnicas, si existen, deben ser proporcionales, objetivas y aplicadas equitativamente a usuarios humanos y agentes.
Tercero, cadenas de responsabilidad claramente definidas en ley. Desarrolladores de agentes son responsables del funcionamiento técnico de sus sistemas. Usuarios finales son responsables de las decisiones que toman a través de esos agentes. Plataformas son responsables de mantener servicios seguros y accesibles. Nadie se esconde detrás de ambigüedades contractuales.
Cuarto, prohibición explícita de cierre discriminatorio. Las plataformas no pueden cerrar acceso a agentes de terceros para favorecer sus propios productos. Punto. Eso no es medida de seguridad. Es una práctica anticompetitiva. Y debe estar explícitamente prohibida en ley de defensa de la competencia.
Quinto, revisión de términos y condiciones unilaterales. Los términos de servicio no pueden ser herramientas para evadir la regulación. Cuando un término de servicio entra en conflicto con derechos fundamentales del usuario (acceso equitativo, no discriminación, libertad de elección de herramientas), la ley debe prevalecer sobre el contrato. Las corporaciones pueden establecer políticas razonables, pero estas no pueden usarse para monopolizar segmentos del mercado digital.
Quiénes demuestren capacidad regulatoria en esta materia establecerán los estándares internacionales para agentes de IA libres e interoperables, protegiendo a usuarios, desarrolladores y pequeños emprendedores simultáneamente. O pueden quedarse observando pasivamente mientras Silicon Valley escribe las reglas del juego desde sus oficinas en California.
La pregunta que debemos hacer no es «¿Cuán seguros son los agentes de IA?» sino la pregunta política real: «¿Quién controla el futuro digital y en beneficio de quién?» Las respuestas que demos ahora determinarán las libertades que tendremos en una década. Determinarán si los emprendedores pequeños pueden competir o si estarán atrapados en ecosistemas que les dictan las reglas. Determinarán si los consumidores tienen voz en cómo interactúan con el comercio, o si simplemente siguen órdenes que corporaciones remotas definen unilateralmente.
El futuro de los agentes de IA se está escribiendo en este momento preciso.
Hace aproximadamente diez años, cuando escribí sobre las identidades digitales múltiples, describía un futuro que parecía lejano y especulativo. Hoy, sentado frente a la pantalla en 2025, esa visión no es una advertencia futura sino una realidad que enfrentamos con urgencia. Lo que entonces parecía ciencia ficción se ha convertido en el drama cotidiano de millones de jóvenes argentinos y latinoamericanos.
Hace poco, una madre se contactó conmigo desesperada. Su hijo de dieciochos años, durante el último año de la secundaria, había tenido un conflicto escolar que derivó en desafortunados comentarios en redes sociales. Ahora se enfrentaba a la búsqueda de su primer empleo. Varias empresas rechazaban su candidatura. No obstante, logró acceder a una página de Google que mostraba aquellos mensajes de hace cuatro años. Los algoritmos habían convertido a un adolescente en su versión digital más oscura, sin que nadie se encargara de limpiar esos restos del pasado.
Este no es un caso aislado. Es, de hecho, la experiencia normalizada de una generación entera.
Cuando propuse hace una década que cada persona tendría múltiples identidades digitales a lo largo de su vida, no imaginaba que el proceso sería tan caótico, tan desordenado, tan fuera del control de los propios individuos. Hoy entiendo que el fenómeno es más complejo y potencialmente más dañino de lo que anticipé.
Primera identidad: el sharenting y la infancia colonizada
Todo comienza antes de que el niño tenga capacidad de decisión alguna. Los padres, seducidos por la posibilidad de compartir hitos de la infancia, publicaban fotografías, nombres, ubicaciones, rutinas. Lo que llamamos sharenting no era simplemente una práctica inocua de conexión familiar. Era la construcción de una identidad digital predeterminada, controlada completamente por otros, sin consentimiento y frecuentemente sin consideración sobre sus implicaciones futuras.
Esa primera identidad digital es, por definición, ajena. Construida por padres bien intencionados, capturada por algoritmos, almacenada en servidores corporativos. El niño nace en el mundo físico y simultáneamente en el digital, pero sin ser el arquitecto de su propia narrativa.
Segunda identidad: la adolescencia en pantalla
Posteriormente, cuando los adolescentes acceden a sus propias redes sociales, creen que están tomando el control. La realidad es que heredan una identidad preexistente mientras simultáneamente crean una nueva, con toda la impulsividad y la falta de madurez que caracteriza esa edad.
El ciberacoso no es un fenómeno secundario en esta etapa. Es el motor que muchas veces destruye la narrativa digital en construcción. Un mensaje enviado en un momento de enfado, una foto compartida sin pensar, un comentario hecho en grupo. Estos fragmentos se multiplican, se etiquetan, se almacenan en servidores y copian millones de veces. La impulsividad adolescente encuentra en internet una permanencia que en el mundo físico nunca tuvo. En la escuela, una ofensa se olvida; en línea, es eternamente recuperable.
Tercera identidad: la puerta laboral cerrada o abierta
Y entonces llega el momento crítico. El joven entra en el mercado laboral y descubre que no controla su presentación. Las empresas lo descubren a través de Google, Facebook, Instagram, ahora también ChatGPT, Claude, Gemini, Perplexity, Grok, entre otros. Ven no quien es, sino quien fue en momentos de debilidad, en compañía de amigos, en circunstancias que nunca debieron definir su futuro profesional.
Aquella frase que escribí hace una década cobra una fuerza aún más preocupante: «Vos sos quien Google dice que sos.» Hoy, diez años después, comprendo que no es una declaración retórica. Es la expresión de una captura de identidad. Las Big Techs, en asociación con empleadores y algoritmos que nadie comprende completamente, han confiscado el derecho fundamental a reinventarse.
Lo que no preveía completamente hace diez años: cómo la multiplicidad de identidades digitales se entrelaza con amenazas que escapan a toda comprensión.
Hoy, empresas como Worldcoin no simplemente recopilan datos conductuales. Capturan iris, rostros, datos biométricos. Estos se almacenan en servidores privados en jurisdicciones que nuestras leyes no alcanzan. Esa cuarta identidad digital, la biométrica, es aún más profunda, más inmutable que los datos demográficos. Es literalmente quien eres a nivel biológico, capturado, procesado, entrenado para entrenar algoritmos de inteligencia artificial.
Meta, Google, TikTok no simplemente registran nuestras acciones. Entrenan sistemas de inteligencia artificial con nuestras imágenes, textos, patrones de comportamiento. Creamos una quinta identidad digital: la del cuerpo cuyas características faciales entrenan sistemas de reconocimiento facial; la de la voz cuyas palabras entrenan modelos de lenguaje.
No hemos entendido completamente lo que esto significa. No simplemente somos vigilados. Somos duplicados digitalmente, reproducidos en código, nuestras características y comportamientos se convirtieron en commodity para ser vendido, reutilizado, explotado sin límite temporal o geográfico.
Cuando publiqué ese artículo hace diez años, ya era evidente que la Ley 25.326 era insuficiente. Hoy, la brecha entre realidad tecnológica y protección legal es un abismo.
Argentina ha permitido que corporaciones tecnológicas multinacionales operen bajo reglas diseñadas a fines de los noventa. Hemos permitido que el sharenting sea legal. Hemos tolerado que Worldcoin operara años antes de cualquier regulación. Hemos visto cómo Meta entrena sistemas de IA con datos de ciudadanos sin consentimiento expreso.
Otros países actuaron. La Unión Europea implementó el GDPR, con sanciones que corporaciones respetan. Colombia avanzó en regulación de biometría. Brasil requiere consentimiento para IA. Argentina, mientras tanto, sigue esperando.
Hace una década advertía sobre la necesidad urgente de educación digital desde la infancia. Hoy esa necesidad es aún más crítica, pero el sistema educativo argentino está menos preparado que nunca.
Los jóvenes no comprenden que cada compartición es una rendición de control. No entienden que los algoritmos no son neutrales. No saben que sus identidades digitales están siendo capturadas, replicadas, monetizadas.
Las campañas de concientización deben ir más allá del «no compartas información personal». Deben explicar que la identidad digital no es simplemente información que compartimos voluntariamente. Es un ecosistema controlado por actores corporativos con incentivos en contra de nuestra autonomía.
No creo en soluciones tecnocráticas simples. Pero creo en tres pilares para avanzar:
Regulación con poder real: Necesitamos leyes que permitan a los ciudadanos recuperar control sobre sus identidades digitales. Derecho al olvido con verdaderas sanciones. Regulación de sharenting. Control sobre entrenamiento de IA. Derechos sobre biometría. Y reguladores con capacidad de sancionar a corporaciones multinacionales con multas que realmente duelan.
Educación crítica y temprana: No basta enseñar a los niños a usar tecnología. Deben aprender a desconfiar de ella. A entender que los algoritmos están diseñados para maximizar engagement, no para servir su bienestar. A comprender que su identidad digital es valiosa y que tienen derecho a defenderla.
Reconstrucción de identidades: Para quienes ya fueron atrapados por identidades digitales negativas, necesitamos mecanismos efectivos de remediación. El derecho al olvido no puede ser teórico. Debe ser práctico, rápido, vinculante.
Cuando escribí eso hace diez años, la amenaza era prospectiva. Hoy es presente. Los adolescentes de hoy vivirán durante décadas con identidades digitales que no eligieron, que no controlan, que les cerrarán puertas que ni siquiera sabían que existían.
La profecía no fue una advertencia que ignoramos. Fue una fotografía de un futuro que elegimos permitir.
Aún podemos cambiar el curso. Necesitamos un reconocimiento radical de que las corporaciones tecnológicas capturaron aspectos fundamentales de nuestra identidad, y que recuperarlos requiere una voluntad política que Argentina aún no ha demostrado tener.
La pregunta que debe urgir a legisladores, educadores y ciudadanos es simple: ¿Cuánto más esperaremos antes de actuar?
Argentina pide explicaciones a la empresa tras descubrir que 3500 millones de números telefónicos estuvieron años vulnerables a robos masivos.
Imaginate que alguien pudiera entrar a tu casa sin forzar la cerradura. Que simplemente entrara porque nunca le pusiste llave, aunque hace años alguien te lo advirtió. Así funciona lo que acaba de pasar con WhatsApp.
Un grupo de investigadores de la Universidad de Viena descubrió que la aplicación de mensajería instantánea más usada del mundo tenía un agujero de seguridad que permitía extraer números de teléfono de usuarios de manera fácil y masiva. Lo peor: Meta, la empresa dueña de WhatsApp, sabía de este problema desde 2017 y no hizo absolutamente nada para solucionarlo durante ocho años.
El escándalo es tan grande que presentamos una denuncia ante la AAIP (Autoridad de Protección de Datos Personales). Queremos que se investigue cómo fue posible que una empresa estadounidense ignore durante casi una década la privacidad de sus usuarios argentinos.
Cómo funciona la vulnerabilidad
WhatsApp tiene una función útil. Cuando vos agregás un número a tu libreta de contactos, la app te avisa automáticamente si esa persona está en WhatsApp. Es práctico, nadie tiene que hacer nada especial.
Pero resulta que esta función dejaba la puerta abierta. Durante años, cualquiera podía preguntarle a WhatsApp «¿este número existe?» cientos de veces por segundo, sin que la app frenara.
Entonces, alguien con un poco de conocimiento técnico y una computadora podía ponerse a probar números telefónicos de manera automática. Millones de números. Miles de millones de números.
En 2017, un investigador de seguridad llamado Loran Kloeze descubrió esto y se lo comunicó a Meta. La empresa recibió el aviso. Meta dice que reconoció el problema. Pero pasaron años y años sin que hicieran nada importante para arreglarlo.
Cuando la casa quedó abierta
Hace poco, un equipo de investigadores de la Universidad de Viena decidió revisar si ese agujero seguía abierto. Spoiler: estaba abierto.
Estos investigadores —Gabriel Gegenhuber, Philipp Frenzel, Maximilian Günther, Johanna Ullrich y Aljosha Judmayer— hicieron un experimento. En apenas 30 minutos extrajeron 30 millones de números de teléfono estadounidenses. Siguieron adelante. Y siguieron. Hasta que compilaron una base de datos con aproximadamente 3500 millones de números telefónicos.
Tres mil quinientos millones. Eso es casi todos los usuarios de WhatsApp que hay en el planeta.
Los investigadores actuaron responsablemente. Borraron los datos. Avisaron a Meta. Recién ahí la empresa se movió y, aproximadamente seis meses después, finalmente implementó la solución que debería haber estado desde el principio: frenar las consultas masivas.
«Esto es la exposición más grande de números telefónicos y datos personales que jamás se haya documentado», declaró uno de los investigadores.
Argentina también fue afectada
Entre esos 3500 millones de números están los de millones de argentinos. Según la investigación son 43.854.434 (sí, casi 44 millones). Tus contactos de WhatsApp. Tus números de amigos, familia, colegas. Estuvieron expuestos.
Los investigadores publicaron un repositorio donde documentaron su investigación. Ahí se ven números de múltiples países, incluyendo Argentina. Perfiles públicos. Fotos. Información suficiente para saber quién sos.
Esto ocurrió sin que Meta notificara a nadie. Sin avisar. Sin pedir disculpas anticipadas. Los usuarios argentinos no tenían ni idea de que sus números estaban en riesgo.
Es por eso que presentamos una denuncia formal ante la AAIP (Autoridad de Protección de Datos Personales), el organismo que en Argentina se encarga de defender la privacidad de los ciudadanos.
En la denuncia solicitamos que la AAIP investigue qué pasó. Que averigüe cuántos argentinos fueron afectados. Que exija respuestas a Meta. Y que, si corresponde, aplique sanciones.
Preguntas incómodas para Meta
Si la AAIP avanza con la investigación —y todo indica que así será—, Meta tendrá que responder algunas preguntas bastante incómodas.
Por ejemplo: ¿Por qué esperó 8 años para implementar una solución? ¿Fue negligencia o fue un cálculo empresarial? ¿Acaso pensaron que no pasaría nada?
¿Cuántos argentinos fueron afectados realmente? ¿Hay alguien monitoreando si actores malintencionados también explotaron este agujero antes de que fuera parcheado?
Y quizás la más importante: ¿Por qué nunca les avisaron a los usuarios? Si tu banco hubiera sido hackeado, ya habrías recibido una llamada. Si tu información de salud estuviera comprometida, lo sabrías. Pero Meta guardó silencio.
El patrón se repite
Mientras investigamos este caso, nos dimos cuenta de algo preocupante: Argentina ha tenido problemas similares con otras grandes empresas de tecnología. Hace poco, el caso de Worldcoin generó preocupación por cómo se recopilaba información biométrica de argentinos sin protecciones adecuadas.
Pero lo más preocupante es que Meta es un reincidente. Hace aproximadamente un año ya habíamos presentado una denuncia ante la AAIP sobre cómo Meta estaba usando inteligencia artificial para entrenar sus modelos con datos de usuarios de WhatsApp sin consentimiento informado. Ahora, un año después, enfrentamos un nuevo caso donde Meta nuevamente ignoró advertencias sobre seguridad de datos durante años.
Es como si Meta dijera: presentan denuncia, nosotros seguimos igual, ¿quién les va a frenar?
Lo que distingue este caso de violación de datos es la escala y la negligencia. 8 años.
Primero, la realidad: si tenés WhatsApp, tu número está en esa base de datos compilada por investigadores. Está documentado en publicaciones académicas de acceso público.
¿Eso significa que alguien te va a llamar mañana estafando? No necesariamente. Pero significa que tu información está ahí, y durante 8 años estuvo al alcance de cualquiera que supiera técnicamente cómo extraerla.
Lo que sigue será un proceso que puede tomar meses o años. La AAIP investigará. Meta responderá (o no). Habrá análisis, probablemente auditorías. Al final, habrá una decisión.
Lo que está en juego es claro: si Meta fue negligente -nuevamente- ¿habrá consecuencias? ¿Argentina seguirá el camino de otros países que han sancionado a las Big Techs por violaciones a la privacidad?
O ¿seguiremos siendo un país donde estas empresas pueden hacer lo que quieran?
Estaremos atentos. La respuesta la tendremos en los próximos meses. Mientras tanto, tu número de WhatsApp sigue en esa base de datos. Y Meta sabe que fue su culpa.
Lo que pedimos que investigue la AAIP
En la presentación formal ante la AAIP, hemos solicitado específicamente que la autoridad actúe en varios frentes para que Meta rindan cuentas.
Primero, que abra una investigación de oficio contra Meta Platforms Ireland Ltd. No por negligencia simple, sino por violación deliberada del principio de seguridad. Meta tuvo 8 años para implementar medidas técnicas básicas que cualquier empresa responsable hubiera implementado. No lo hizo.
Segundo, queremos que Meta responda preguntas concretas. ¿Cuántos usuarios argentinos fueron efectivamente afectados? ¿Desde cuándo exactamente se puede acceder a sus números? ¿Qué comunicaciones tiene Meta de 2017 en adelante sobre esta vulnerabilidad? ¿Por qué nunca se parcheó hasta que investigadores externos la expusieron públicamente?
Tercero, pedimos que Meta presente un plan de mitigación. Que demuestre que notificó a los usuarios argentinos. Que presente una auditoría independiente de seguridad de la API que permite verificar números. Que implemente medidas de protección adicionales para que esto no vuelva a suceder.
Cuarto, queremos que la AAIP investigue si otros actores malintencionados explotaron esta misma vulnerabilidad. Meta tiene logs de acceso de los últimos 8 años. Debe saber si alguien más probó lo que los investigadores de Viena probaron.
Quinto, que se apliquen sanciones. No estamos hablando de una multa simbólica. Estamos hablando de una sanción que considere la gravedad: 3.5 mil millones de números comprometidos. La negligencia sistemática: 8 años sabiendo del problema. El carácter transnacional de lo ocurrido.
Sexto, que ordene medidas cautelares. Preservación de toda evidencia técnica. Bloqueo de nuevos intentos de enumeración masiva. Suspensión de ciertas transferencias de datos relacionadas hasta que todo se aclare.
Y séptimo, que coordine con autoridades de otros países. Europa ya ha sancionado a Meta por infracciones similares. Brasil también está investigando. Colombia tiene regulaciones estrictas sobre brechas de datos. Argentina no puede quedarse atrás.
Lo que está en juego no es solo una multa. Es si Argentina está dispuesta a hacer que estas empresas multinacionales rindan cuentas. O si seguiremos siendo un país donde pueden pasar décadas ignorando la privacidad de sus ciudadanos sin consecuencias.
Cuando Andy Warhol proclamó que “en el futuro, todos tendrán sus 15 minutos de fama”, capturó con brillantez la democratización de la visibilidad mediática que se avecinaba. Pero hoy, décadas después, enfrentamos una paradoja infinitamente más oscura: en el futuro que ya está aquí, todos tendremos apenas 15 minutos de privacidad. Y a diferencia de la fama warholiana —efímera pero voluntaria— esta privacidad racionada será el último refugio en un mundo donde cada segundo de tu existencia está siendo observado, registrado y monetizado.
Pensá en esto por un segundo. ¿Cuántos minutos al día podés garantizar que no estás siendo rastreado? ¿Cuándo fue la última vez que tuviste una conversación verdaderamente privada, sin que tu teléfono escuchara, sin que una cámara registrara, sin que un algoritmo catalogara? Si sos honesto con vos mismo, la respuesta es preocupante. Quizás ya estás viviendo con menos de 15 minutos de privacidad real al día. Quizás ya cruzamos ese umbral sin darnos cuenta.
La frase de Warhol era optimista, casi celebratoria. Anticipaba un futuro donde la fama —antes reservada a élites, artistas y poderosos— estaría al alcance de cualquiera. Y tenía razón: hoy podés tener millones de seguidores, viralizar un video, convertirte en trending topic. Pero lo que Warhol no previó fue el costo.
Porque mientras democratizábamos la visibilidad, privatizábamos la invisibilidad. La capacidad de no ser visto, de existir sin registro ni escrutinio, de pensar sin vigilancia, se convirtió en el lujo más escaso del siglo XXI. Invertimos la ecuación: la fama se volvió barata y accesible, mientras que la privacidad se transformó en un privilegio inaccesible para la mayoría.
Las cifras ya hablan por sí solas. Tu celular genera entre 200 y 300 puntos de localización diarios. Las plataformas de redes sociales almacenan hasta 600 categorías de información sobre vos. Generás aproximadamente 1.7 megabytes de datos cada segundo que vivís conectado. No son estadísticas abstractas. Es tu vida convertida en commodity, tu intimidad transformada en un producto, tu existencia reducida a variables en bases de datos que alimentan algoritmos diseñados para predecir, manipular y monetizar cada aspecto de tu comportamiento.
Andy Warhol imaginó un futuro donde todos podríamos brillar momentáneamente. Vivimos en uno donde todos somos permanentemente observados, y la oscuridad —el derecho a desaparecer, aunque sea por minutos— se está extinguiendo.
La privacidad no desapareció de golpe. Fue una erosión calculada, sistemática y extraordinariamente rentable. Cada aplicación que descargaste, cada servicio “gratuito” que aceptaste, cada dispositivo “inteligente” que incorporaste a tu hogar, representó otro ladrillo removido del muro que protegía tu intimidad.
El modelo fue brillante en su simplicidad: ofrecerte conveniencia a cambio de vigilancia. ¿Querés que tu asistente de voz te despierte con las noticias? Perfecto, pero estará escuchando permanentemente. ¿Querés encontrar el mejor restaurante cerca? Claro, pero compartirás tu ubicación en tiempo real. ¿Querés una red social para conectar con amigos? Bienvenido, pero tus conversaciones privadas alimentarán sistemas de inteligencia artificial que aprenderán a pensar como vos para venderte mejor.
El camino es claro. Primero, normalizamos la vigilancia constante bajo el pretexto de seguridad y conveniencia. Cámaras en cada esquina, reconocimiento facial en aeropuertos, asistentes de voz que escuchan permanentemente, aplicaciones que requieren permisos invasivos para funcionalidades básicas. Te acostumbran a ser observado.
Segundo, creamos una economía donde la privacidad tiene precio. Versiones “premium” sin rastreo. Suscripciones que prometen “no vender tus datos”. Servicios que cobran por no espiarte. La privacidad deja de ser un derecho para convertirse en un producto de lujo.
Tercero, establecemos que la privacidad es sospechosa. “Si no tenés nada que ocultar, ¿por qué te preocupa la vigilancia?” Esa pregunta insidiosa invierte la lógica de los derechos fundamentales. Ya no es el Estado o las corporaciones quienes deben justificar por qué te vigilan; sos vos quien debe justificar por qué querés privacidad.
Ya estamos transitando este camino a velocidad alarmante. En China, el sistema de crédito social evalúa cada acción de los ciudadanos, desde sus compras hasta sus amistades, determinando acceso a servicios, empleos y libertad de movimiento. En Europa, pese al GDPR —el marco regulatorio más avanzado del planeta— las grandes tecnológicas encuentran constantemente formas de eludir restricciones. Y en América Latina, donde las regulaciones son débiles o inexistentes, somos laboratorios de experimentación para las prácticas más invasivas.
Pensá en tu día típico. Despertás con una alarma en tu teléfono que ya registró tus patrones de sueño. Revisás redes sociales que catalogaron tus intereses. Tomás transporte público cubierto por cámaras con reconocimiento facial. Trabajás en una computadora que monitorea tu productividad. Almorzás en un lugar que registra tu ubicación y preferencias gastronómicas. Comprás productos cuyos pagos electrónicos construyen perfiles detallados de tu comportamiento consumista. Volvés a casa pasando por más cámaras. Mirás streaming que analiza qué te gusta y cuándo pausás. Te acostás con tu teléfono cerca, que registra incluso tus ronquidos.
¿Cuántos minutos de ese día fueron verdaderamente privados? ¿Cuántos momentos exististe sin ser observado, registrado, analizado? Probablemente ninguno. Ya estamos viviendo con cero privacidad, solo que aún no lo asumimos plenamente.
El futuro de los 15 minutos de privacidad no es distópico. Es optimista. Porque implica que al menos tendrás esos 15 minutos. Implica que habrá espacios, aunque minúsculos, donde todavía podrás existir sin vigilancia. La trayectoria actual nos lleva hacia privacidad cero, vigilancia total, existencia permanentemente observada. Ya es imposible escaparse.
La Ley 25.326 de Protección de Datos Personales de Argentina data del año 2000. Veinticinco años en términos tecnológicos equivalen a siglos. Esta ley fue diseñada para un mundo de bases de datos estáticas y formularios en papel, no para un ecosistema de inteligencia artificial, Big Data, internet de las cosas y vigilancia ubicua. Mientras Brasil actualizó su marco con la LGPD en 2020 y Europa estableció el GDPR como estándar de oro en 2018, Argentina permanece anclada en paradigmas jurídicos que no contemplan siquiera la existencia de celulares inteligentes.
El problema no es solo argentino. Es global y estructural.
Vos, usuario en Buenos Aires, aceptás términos gobernados por leyes de California, procesados en servidores en Irlanda, con datos vendidos a intermediarios en paraísos fiscales. ¿Dónde queda tu protección legal efectiva? ¿A qué tribunal acudís cuando tus derechos son violados por una empresa sin presencia física en tu país?
Más grave aún: cuando existen regulaciones, la capacidad de enforcement es ridículamente inadecuada. Agencias regulatorias con presupuestos de centavos enfrentan corporaciones valoradas en billones de dólares, con ejércitos de abogados especializados y capacidad técnica infinitamente superior. Las multas, cuando se imponen —lo cual es raro— son tratadas como costos operacionales, no como disuasivos reales. Meta fue multada por 1.200 millones de euros por el GDPR. Suena impresionante hasta que ves que es menos del 2% de sus ingresos anuales. El costo de hacer negocios, nada más.
En Argentina, la AAIP tiene un presupuesto limitadísimo y un equipo técnico de gran nivel pero insuficiente en tamaño para enfrentar la complejidad de las violaciones actuales. Presenté denuncias, fundamentadas en evidencia sólida, contra prácticas claramente violatorias de derechos fundamentales. El proceso es lento, los recursos limitados, y las empresas simplemente esperan, sabiendo que el costo de litigar es menor que el costo de cambiar sus prácticas.
Este desbalance de poder no es accidental. Es el resultado de décadas de lobby corporativo, captura regulatoria y diseño intencional de sistemas legales que favorecen la acumulación de datos sobre la protección de derechos.
Detrás de cada violación de privacidad hay consecuencias humanas concretas que no aparecen en estadísticas.
En estos últimos años vi familias destruidas por filtraciones de información médica que revelaron diagnósticos psiquiátricos o enfermedades estigmatizadas. Profesionales despedidos por opiniones políticas expresadas en redes sociales años atrás, rescatadas de contexto y utilizadas contra ellos. Personas discriminadas por algoritmos que perpetúan sesgos históricos sin transparencia ni posibilidad de apelación: mujeres que no obtienen préstamos porque los algoritmos “predicen” que quedarán embarazadas, jóvenes de barrios humildes rechazados para empleos por su código postal, personas con apellidos que suenan “extranjeros” sometidas a controles adicionales.
La privacidad no es un lujo abstracto para tecnófilos paranoicos. Es el fundamento de tu autonomía personal, de tu capacidad de ser quien sos sin performance constante.
Sin privacidad no hay libertad de pensamiento. Saber que estas siendo observado modifica tu comportamiento, autocensura tus ideas, te convierte en performer constante de una versión aceptable de vos mismo. Los estudios son concluyentes: personas bajo vigilancia toman decisiones más conservadoras, evitan explorar ideas controversiales, se autocensuran incluso en ausencia de amenaza explícita.
Sin privacidad no hay verdadera democracia. El voto secreto pierde sentido cuando cada aspecto de tu vida política es monitoreado, analizado y utilizado para manipular tus decisiones. Las campañas de desinformación, la manipulación algorítmica de lo que ves y lo que no ves, erosionan los cimientos mismos del proceso democrático.
Sin privacidad no hay dignidad humana. La exposición constante, la imposibilidad de cometer errores sin registro permanente, la incapacidad de cambiar sin que tu pasado te persiga eternamente, erosionan la esencia misma de lo que significa ser persona. Necesitás privacidad para experimentar, para fallar, para crecer, para ser vulnerable.
Cuando decimos “en el futuro todos tendremos 15 minutos de privacidad”, estamos describiendo una sociedad donde la intimidad será tan escasa que deberá ser administrada con cuidado extremo. Quince minutos diarios para pensar libremente, para ser vulnerable sin juicio, para existir sin registro. El resto del tiempo: performance constante para algoritmos que evalúan, clasifican y monetizan cada gesto, cada palabra, cada pensamiento que se filtra a través de tus interacciones digitales.
La batalla por la privacidad no está perdida, pero el tiempo se agota exponencialmente. Cada día que pasa sin acción efectiva, cada ley obsoleta que no actualizamos, cada violación que toleramos, nos acerca a ese futuro de privacidad racionada.
Necesitamos acción coordinada en múltiples frentes, implementada con urgencia:
Primero: Marco regulatorio actualizado y con dientes reales: Argentina necesita urgentemente una ley de protección de datos para el siglo XXI. No adaptaciones cosméticas de la 25.326, sino legislación comprehensiva que reconozca derechos digitales fundamentales: derecho al olvido, portabilidad de datos, explicabilidad algorítmica, consentimiento significativo y revocable, minimización de datos, privacy by design obligatorio. Y crucialmente: sanciones que duelan de verdad, presupuesto real para enforcement, agencias regulatorias con capacidad técnica equiparable a las empresas que regulan.
Segundo: Alfabetización digital masiva y efectiva: La mayoría de las personas no comprende la magnitud de datos que genera ni cómo son utilizados contra sus intereses. Necesitamos educación obligatoria sobre privacidad digital desde la escuela primaria, campañas públicas de concientización comparables a las de salud pública, y herramientas accesibles que te permitan ejercer control real sobre tu información. No alcanza con “leer los términos y condiciones”. Necesitamos regulación que haga esos términos comprensibles, limitados y justos.
Tercero: Tecnología que respete la privacidad por diseño, no por opción: Debemos exigir y fomentar alternativas tecnológicas que no basen su modelo de negocio en la vigilancia. Privacy by design no puede ser diferenciador de mercado; debe ser requisito legal obligatorio. Cifrado de punta a punta, minimización de datos, transparencia algorítmica, auditorías independientes: estos principios deben ser mandatorios, no opcionales.
Cuarto: Responsabilidad corporativa real con inversión de carga probatoria: Las empresas tecnológicas deben ser consideradas responsables no solo por violaciones activas sino por negligencia en la protección de datos. Necesitamos invertir la carga de la prueba: que sean las corporaciones quienes demuestren que cumplieron con estándares de protección, no vos quien pruebes el daño sufrido. Y cuando fallen, las consecuencias deben ser proporcionalmente devastadoras para sus balances.
Quinto: Cooperación internacional efectiva sin ingenuidad: La privacidad digital requiere soluciones globales. América Latina debe coordinarse para establecer estándares comunes, compartir mejores prácticas y crear masa crítica regulatoria que no pueda ser ignorada por las big tech. No podemos competir individualmente contra corporaciones más poderosas que muchos Estados. Juntos, podemos.
No esperes a tener solo 15 minutos
No podemos esperar a tener literalmente solo 15 minutos de privacidad para reaccionar.
La privacidad no es tema técnico para especialistas. Es cuestión fundamental de derechos humanos que te afecta directamente, personalmente, inmediatamente. Cuando tu hijo busca información de salud y es catalogado como “riesgo médico” por algoritmos que determinarán sus oportunidades futuras. Cuando buscás empleo y te discriminan por tu código postal, tus amistades en redes, o patrones de comportamiento que ni siquiera conocés. Cuando una conversación privada en tu sala se convierte en publicidad dirigida a las pocas horas. Esto no es futuro lejano de ciencia ficción. Es presente inmediato y medible.
Como papá de Rafi, me pregunto constantemente qué mundo le estamos dejando. Un mundo donde la intimidad sea tan escasa que deba ser administrada en porciones de quince minutos, como raciones de guerra. O un mundo donde la privacidad sea defendida como el derecho fundamental que es, con la ferocidad que merece.
No podemos esperar a que la privacidad se extinga para lamentar su pérdida con nostalgia impotente. Debemos actuar ahora, con urgencia proporcional a la amenaza: legisladores promulgando leyes efectivas, reguladores dotados de capacidad real de enforcement, ciudadanos exigiendo respeto a sus derechos con organización colectiva, empresas adoptando prácticas éticas no por bondad sino por obligación legal ineludible.
Andy Warhol predijo que todos seríamos famosos durante 15 minutos. Vivimos en un mundo donde esa predicción se cumplió, pero con un costo que no anticipó: para tener esos 15 minutos de fama, sacrificamos toda nuestra privacidad. Ahora enfrentamos la profecía inversa: en el futuro, si no actuamos ya, todos tendremos apenas 15 minutos de privacidad. Y a diferencia de la fama warholiana —efímera pero voluntaria— esta privacidad racionada será todo lo que nos quede de nuestra dignidad humana.
La decisión que tomemos hoy determinará cuál de esos futuros habitaremos mañana. Tu futuro. El futuro de Rafi. El futuro de todos.
Defendé tu privacidad como si tu libertad dependiera de ello. Porque depende.
El día de ayer la Casa Blanca publicó un comunicado sobre un Marco de Acuerdo en negociación entre Argentina y Estados Unidos sobre comercio e inversión recíprocos.
Para nosotros—especialistas en protección de datos—ese comunicado contiene algo que requiere una lectura más profunda. Escondida entre párrafos sobre mercados abiertos y reducción de barreras arancelarias, se encuentra esta frase:
«Argentina se ha comprometido a facilitar el comercio digital con Estados Unidos reconociendo a Estados Unidos como una jurisdicción adecuada bajo la ley argentina para la transferencia internacional de datos, incluyendo datos personales.»
Lo importante aquí no es lo que dice. Es lo que no dice. Es lo que aún puede decirse. Porque esto no es un acuerdo firmado. Es un Marco. Un proyecto. Una negociación en curso donde las palabras exactas, las condiciones específicas, y los mecanismos de protección aún pueden ser modificados.
Y esa es nuestra oportunidad.
Es una oportunidad que existe en este preciso momento, y que desaparecerá cuando se cierre la negociación. Sabemos cómo funciona esto. Hemos visto cómo los acuerdos internacionales evolucionan desde marcos genéricos a texto normativo final.
Por eso escribimos esto ahora. No para criticar lo que existe. Para mejorar lo que aún está siendo construido.
Cualquier especialista en derecho internacional nota algo inmediatamente cuando lee el comunicado de la Casa Blanca dice que Argentina reconocerá a Estados Unidos como jurisdicción adecuada, pero no especifica qué organismos estadounidense, bajo qué legislación, con qué garantías.
Esta vaguedad no es accidental. Es estratégica. Los marcos de negociación son deliberadamente amplios, permitiendo que cada lado declare «victoria» interpretándolos de maneras diferentes. Pero precisamente por eso, es donde debemos actuar. Mientras la negociación está abierta, podemos presionar por precisión. Una vez que el marco se convierte en acuerdo final, esa precisión debería estar fijada en texto normativo vinculante.
Entonces: ¿qué debería significar «adecuado»?
Durante años, la comunidad de especialistas en protección de datos ha argumentado—correctamente—que Estados Unidos carece de una ley federal integral de protección de datos personales equivalente a nuestra Ley 25.326 o al GDPR europeo. Esos argumentos siguen siendo válidos. Pero mientras nos enfocábamos en lo que falta a nivel federal, sucedió algo sin precedentes en Estados Unidos: una revolución regulatoria a nivel estatal que cambió fundamentalmente el panorama.
En los últimos cinco años, seis estados estadounidenses—California, Colorado, Connecticut, Utah, Virginia y Montana—han aprobado leyes de protección de datos de carácter integral que, aunque diferentes a nuestro modelo, generan en ciertos aspectos niveles de protección tan robustos como los que Argentina ofrece a sus ciudadanos.
Esto no es opinión. Es verificable. Es documentable. Y mientras el Marco está siendo negociado, es precisamente el tipo de información que debería estar informando las decisiones de los negociadores argentinos.
Consideremos California. Cuando la California Consumer Privacy Act (CCPA) entró en vigor en enero de 2020, fue el primer intento estadounidense serio de crear un marco integral de protección de datos a nivel estatal. Pero California no se detuvo allí. En noviembre de 2020, los votantes aprobaron la California Privacy Rights Act (CPRA), expandiendo la protección inicial y creando una agencia dedicada exclusivamente a la privacidad: la California Privacy Protection Agency (CPPA).
¿Qué significa esto para un ciudadano argentino cuyos datos podrían fluir hacia California bajo este Marco? Significa acceso, rectificación, eliminación y portabilidad de datos. Significa supervisión activa por una autoridad independiente. Significa multas significativas por incumplimiento: hasta $2.500 por violación, o $7.500 si es intencional.
Pero California no es un caso aislado. Virginia aprobó su Consumer Data Protection Act en 2021. Colorado hizo lo propio en 2023. Connecticut, Utah, Montana también. Cada ley refleja los mismos principios fundamentales: transparencia, consentimiento, derechos de titulares, supervisión independiente, sanciones reales.
Aquí está el verdadero problema. El Marco actual, tal como está redactado, permitiría que Argentina reconozca como «adecuada» toda transferencia de datos a Estados Unidos sin distinción. Lo que significa que datos de ciudadanos argentinos transferidos a California—donde existe supervisión regulatoria robusta—serían equivalentes, en términos legales, a datos transferidos a Mississippi, donde no existe ley estatal de protección de datos y donde los ciudadanos están sujetos únicamente a regulaciones sectoriales fragmentadas.
Eso es impreciso. Eso es injusto. Y, lo más importante: ese es el tipo de error que se comete en marcos de negociación y luego se cristaliza en acuerdos finales que generan problemas durante años.
Estamos ante una oportunidad única: mientras el Marco aún está siendo negociado, podemos presionar por inclusión de lenguaje que refleje esta realidad. Que reconozca que Estados Unidos tiene heterogeneidad regulatoria. Que especifique qué jurisdicciones estadounidenses cumplen criterios de equivalencia. Que requiera garantías adicionales para transferencias a jurisdicciones sin protecciones equivalentes.
Una vez que se firme el acuerdo, sin esa precisión, habrá sido perdida la oportunidad.
Nuestra propuesta para la negociación
Lo que proponemos no es retrasar la negociación. Es mejorarla. Lo que proponemos es que los negociadores argentinos insistan en que el acuerdo final incluya disposiciones sobre cómo se operacionalizará ese reconocimiento de «adecuación.»
Específicamente:
1. Reconocimiento selectivo de jurisdicciones
El acuerdo debería especificar que Argentina reconoce como jurisdicciones adecuadas únicamente aquellos estados estadounidenses que cuentan con legislación integral de protección de datos personales. El listado inicial incluiría: California, Colorado, Connecticut, Utah, Virginia y Montana.
Esto no es restrictivo. Es verificable. Cada una de estas leyes está sancionada. Vigente. Supervisada por autoridades independientes. Son hechos objetivos, no opiniones.
2. Criterios de equivalencia claros
El acuerdo debería establecer criterios explícitos que cualquier ley estatal debe cumplir para ser reconocida. Estos criterios podrían reflejar exactamente lo que Argentina ya exige en su propia Ley 25.326:
Reconocimiento de derechos fundamentales de titulares (acceso, rectificación, eliminación, portabilidad)
Mecanismos de consentimiento previo para datos sensibles
Supervisión por autoridades independientes
Sanciones significativas por incumplimiento
3. Cláusula de revisión periódica
El acuerdo debería incluir un mecanismo mediante el cual, periódicamente (por ejemplo, cada dos años), se revise qué estados estadounidenses cumplen los criterios y, consecuentemente, sean reconocidos como adecuados. Esto crea incentivos para que estados sin protecciones las desarrollen.
4. Garantías para transferencias no adecuadas
Para transferencias a jurisdicciones estadounidenses sin marcos integrales de protección, el acuerdo debería requerir garantías adicionales verificadas por la autoridad argentina de datos: Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), o mecanismos equivalentes.
Esto no bloquea comercio. Lo hace más seguro. Crea un incentivo para que empresas estadounidenses con operaciones en estados sin protecciones busquen certificaciones o trasladen datos a estados con protecciones.
El precedente europeo: Cómo se hace esto correctamente
Para quienes dudan que esto es posible, existe un precedente cercano: la Unión Europea.
Cuando la Corte de Justicia de la Unión Europea dictaminó en Schrems II que el anterior marco de transferencias de datos con Estados Unidos era inadecuado, la UE no suspendió el comercio digital con EE.UU. Lo que hizo fue especificar: transferencias a ciertos estados, bajo ciertas garantías, con ciertos mecanismos de supervisión, son permitidas. Transferencias a otros lugares requieren protecciones adicionales.
¿Resultado? Comercio digital continuó. De hecho, se aceleró. Porque las empresas sabían exactamente qué podían hacer.
Argentina puede hacer exactamente lo mismo, ahora, mientras el Marco está siendo negociado.
Esta propuesta genera beneficios concretos para cuatro sectores:
Para los ciudadanos argentinos
Es lo más importante. Cuando un ciudadano argentino transfiere datos a una plataforma estadounidense, sabe exactamente qué nivel de protección legal los ampara. No es esperanza. Es precisión regulatoria verificable.
Para las empresas argentinas
Las empresas que exportan datos o servicios digitales a Estados Unidos hoy enfrentan incertidumbre legal absoluta. ¿Puedo transferir datos de clientes argentinos a California? ¿Y si es Texas? Bajo esta propuesta, las respuestas serían claras. Eso reduce costos legales. Eso acelera decisiones comerciales. Eso facilita negocio.
Para Argentina como jurisdicción
Argentina tiene reputación internacional como país que toma en serio la protección de datos. Hemos legislado desde 2000. Hemos desarrollado jurisprudencia. Hemos presentado denuncias formales contra corporaciones multinacionales. Esa reputación es un activo. Protegerla es estrategia de Estado.
Para la relación bilateral
Y hay un mensaje positivo para Estados Unidos: Argentina dice, reconocemos tus avances. Reconocemos a California, Colorado, Connecticut, Utah, Virginia, Montana. Reconocemos lo que realmente merece reconocimiento, no ficción regulatoria. Ese mensaje es maduro. Es profesional. Es la posición que toma una nación que respeta a su socio lo suficiente como para ser honesta.
Tenemos ahora la oportunidad de proponer que ese texto final incluya precisión sobre protección de datos. Una vez que se firma sin esa precisión, probablemente será demasiado tarde.
Esto requiere acción. No de nosotros como autores, sino de legisladores argentinos, de la AAIP, de legisladores que entienden que la protección de datos no es un obstáculo al comercio, sino su precondición.
Argentina está en posición de negociar un acuerdo que sea ambos: que abra mercados y proteja privacidad. Que sea comercialmente viable y legalmente riguroso. Que reconozca los avances en protección de datos en ciertos estados estadounidenses mientras requiere garantías adicionales en otros.
Eso no es un obstáculo al comercio.
Eso es comercio responsable. Y debería ser política de Estado.
Anexo: Marcos normativos de Protección de Datos en Estados Unidos
La propuesta de reconocimiento selectivo de jurisdicciones estadounidenses en el Marco se fundamenta en la existencia verificada de marcos legales robustos en seis estados. A continuación detallamos cada una de estas leyes con referencias a sus textos oficiales.
Estados con legislación integral de Protección de Datos
1. California – California Consumer Privacy Act / California Privacy Rights Act (CCPA/CPRA)
Vigencia: 1 de Enero, 2020 (CCPA); 1 de Enero, 2023 (CPRA)
Autoridad de Aplicación: California Privacy Protection Agency (CPPA)
Referencia Legal: Cal. Civ. Code §§ 1798.100 et seq.
Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos; derecho a no ser discriminado por ejercer derechos de privacidad.
Mecanismos de supervisión: Agencia dedicada exclusivamente a privacidad con poder de investigación, auditoría y sanción. Sanciones de hasta $2.500 por violación o $7.500 por violación intencional.
2. Colorado – Colorado Privacy Act (CPA)
Vigencia: 1 de Julio, 2023
Autoridad de Aplicación: Colorado Attorney General
Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o recibir publicidad dirigida; derecho a limitar uso de información sensible.
Mecanismos de supervisión: Supervisión por Attorney General con autoridad exclusiva de cumplimiento. Requiere Data Protection Impact Assessments para actividades de alto riesgo. Sanciones de hasta $20.000 por violación.
3. Connecticut – Connecticut Data Privacy Act (CTDPA)
Vigencia: 1 de Julio, 2023
Autoridad de Aplicación: Connecticut Attorney General
Referencia Legal: Conn. Gen. Stat. § 4-179a et seq.
Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o recibir publicidad dirigida. Protecciones especiales para datos de menores y datos de salud del consumidor.
Mecanismos de supervisión: Aplicación exclusiva por Attorney General. Período de gracia de 60 días para corrección de violaciones (hasta diciembre 31, 2024). Multas de hasta $5,000 por violación intencional.
4. Utah – Utah Consumer Privacy Act (UCPA)
Vigencia: 31 de Diciembre, 2023
Autoridad de Aplicación: Utah Attorney General / Division of Consumer Protection
Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o recibir publicidad dirigida. Consentimiento requerido para datos sensibles.
Mecanismos de supervisión: Aplicación por Attorney General con período de gracia de 30 días para corrección. Sanciones de hasta $7.500 por violación más daños reales al consumidor.
5. Virginia – Virginia Consumer Data Protection Act (VCDPA)
Vigencia: Enero 1, 2023
Autoridad de Aplicación: Virginia Attorney General
Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos, publicidad dirigida, o profiling. Consentimiento requerido para datos sensibles.
Mecanismos de supervisión: Aplicación por Attorney General con período de gracia de 30 días para corrección. Requiere Data Protection Impact Assessments para actividades de alto riesgo. Sanciones de hasta $7.500 por violación.
6. Montana – Montana Consumer Data Privacy Act (MTCDPA)
Vigencia: Octubre 1, 2024
Autoridad de Aplicación: Montana Attorney General
Referencia Legal: Mont. Code Ann. § 30-14-1701 et seq.
Derechos garantizados: Acceso, rectificación, eliminación, portabilidad; derecho a optar por no vender datos o publicidad dirigida; derecho a revocar consentimiento. Consentimiento requerido para datos sensibles y datos de menores.
Mecanismos de supervisión: Aplicación por Attorney General con período de gracia de 60 días para corrección (hasta el 1ero de abril, 2026). Requiere Data Protection Impact Assessments para actividades de alto riesgo. Sanciones de hasta $7.500 por violación. Mecanismo universal de opt-out obligatorio.
Qué debería Incluir el marco negociado
Para que el acuerdo final sea legalmente riguroso y protector de derechos fundamentales, debería incluir:
Listado específico de jurisdicciones estadounidenses reconocidas como adecuadas, identificando la legislación específica vigente en cada una.
Criterios de equivalencia que cualquier nueva legislación estatal debe cumplir para ser reconocida.
Mecanismo de revisión periódica (ej. cada dos años) para actualizar el listado de jurisdicciones adecuadas conforme nuevos estados legislen protecciones equivalentes.
Requisitos para transferencias no adecuadas especificando qué garantías adicionales (SCC, BCR, etc.) se requieren para transferencias a jurisdicciones estadounidenses sin marcos integrales.
Disposición sobre autoridad regulatoria indicando que la AAIP de Argentina tendrá capacidad de verificar y certificar cumplimiento.
Nota de los autores
Este artículo ha sido escrito específicamente para contribuir al debate sobre la negociación del Marco del Acuerdo entre Argentina y EE.UU., con el objetivo de que consideraciones sobre protección de datos se incluyan en la redacción final del acuerdo.
La acelerada expansión de la inteligencia artificial (IA) en todos los ámbitos de la vida social, económica y estatal plantea desafíos sin precedentes para la protección de los derechos fundamentales. Entre ellos, el derecho a la privacidad y a la protección de los datos personales ocupa un lugar central. En este contexto, resulta indispensable contar con un marco normativo actualizado, sólido y coherente en materia de datos personales, como condición previa para avanzar hacia una regulación específica de la IA.
La experiencia europea ofrece una referencia clara en este sentido. La Unión Europea consolidó primero un régimen integral de protección de datos a través del Reglamento General de Protección de Datos (RGPD), que estableció principios, derechos y obligaciones aplicables tanto al sector público como al privado. Este marco no solo fortaleció la confianza de los ciudadanos en el tratamiento de sus datos, sino que también generó seguridad jurídica para las empresas e instituciones que desarrollan o utilizan tecnologías digitales.
Sobre esa base, la Unión Europea pudo avanzar en una regulación específica de la inteligencia artificial —el Reglamento de IA (AI Act)—, que reconoce distintos niveles de riesgo y establece obligaciones proporcionadas según el impacto de cada sistema. La existencia previa de un régimen robusto de protección de datos personales fue clave para definir las garantías, responsabilidades y mecanismos de control del uso de la IA, evitando contradicciones normativas y asegurando coherencia en la protección de derechos.
En Argentina, la Ley 25.326 de Protección de los Datos Personales, sancionada en el año 2000, fue pionera en la región, pero hoy muestra signos claros de desactualización frente al nuevo ecosistema digital. Conceptos como la toma de decisiones automatizadas, la portabilidad de datos, el tratamiento masivo en entornos de IA o la supervisión algorítmica no cuentan con una regulación específica ni con salvaguardas suficientes.
Por ello, actualizar la legislación de protección de datos personales debe ser un paso prioritario y urgente, no solo para alinearnos con estándares internacionales como el RGPD, sino también para sentar las bases jurídicas y éticas que permitan luego abordar, con rigor y legitimidad, una ley específica sobre inteligencia artificial.
Un marco moderno de protección de datos permitirá: • Asegurar la transparencia, explicabilidad y rendición de cuentas en los sistemas de IA. • Proteger los derechos de los ciudadanos frente a decisiones automatizadas o perfiles algorítmicos. • Fomentar la innovación responsable, garantizando un entorno de confianza. • Fortalecer el rol de la autoridad de control, dotándola de herramientas efectivas de supervisión.
La inteligencia artificial ofrece oportunidades extraordinarias, pero también exige un andamiaje normativo progresivo y coherente. Primero, debemos garantizar que los datos sobre los cuales se entrena y opera la IA sean tratados bajo estándares actualizados de protección y ética. Solo así podremos avanzar hacia una regulación de la IA que sea eficaz, legítima y centrada en las personas.
Por Daniel Monastersky – www.danielmonastersky.com
Argentina ha legalizado, sin proponérselo deliberadamente pero con plena conciencia de las consecuencias, un sistema de explotación masiva de datos personales. No es teoría conspirativa. Es hecho documentado que sucede en escala industrial todos los días, y tenemos pruebas concretas de esto en acciones legales que hemos tenido que interponer contra corporaciones que operan exactamente bajo este vacío normativo.
Empresas de data brokerage recopilan información sobre vos de cientos de fuentes: tus registros de transacciones, tus movimientos bancarios, tus búsquedas en línea, tu historial de compras, tus movimientos físicos registrados a través de geolocalización. Luego venden esos datos a quien pague. Reclutadores que quieren saber si eres empleable. Instituciones financieras que quieren calcular si eres «riesgoso». Aseguradoras que quieren predecir cuánto pagarás en servicios. Políticos que quieren saber cómo influenciarte.
Y vos no tenés derecho legal a saber que esto está sucediendo. No tenés derecho a acceder a ese perfil. No tenés derecho a corregir información falsa. No tenés derecho a decir que no.
Esa ausencia de derechos no es accidental. Es producto directo de una ley que fue redactada cuando esto era imposible de imaginar.
Argentina no solo tolera este sistema: lo facilita activamente mientras nosotros presentamos denuncias contra corporaciones que operan en la penumbra regulatoria.
Tomá Worldcoin como ejemplo. Una empresa que llegó a Argentina con un modelo de negocio basado en recopilar datos biométricos extremadamente sensibles: tu iris. Tu identidad retiniana. Información que es más única que tu huella dactilar, más inmutable que cualquier documento. ¿Y sabe qué? Bajo nuestra ley, lo hacen sin que vos tengas derecho explícito a saber la dimensión completa de lo que está siendo recopilado, sin mecanismos para decir que no, sin protecciones claras si esa información es mal utilizada.
Worldcoin fue prohibida en Alemania. Prohibida en Colombia. País tras país está diciendo no. Porque otros gobiernos reconocieron lo que Argentina tardó en entender: que recopilar datos biométricos de la población sin protecciones claras es violación sistemática de derechos fundamentales. Fui yo mismo quien presenté la denuncia ante el regulador argentino en agosto de 2024, quien documentó el funcionamiento de esta empresa, quien expuso públicamente lo que estaba sucediendo bajo cobertura de legislación obsoleta.
Mientras Alemania y Colombia protegen a sus ciudadanos, Argentina sigue permitiendo que máquinas de escaneo de iris operen en nuestras calles.
Meta es otro caso. Facebook, Instagram, WhatsApp. Plataformas que construyeron imperios multimillonarios sobre tu información personal. Saben dónde vivís, a quién conocés, qué comprás, qué te asusta, qué te atrae, qué crees políticamente. Y bajo nuestra ley, lo hacen sin que vos tengas derecho explícito a saber la dimensión completa de lo que está siendo recopilado, sin mecanismos para decir que no, sin protecciones claras si esa información es mal utilizada. Nuevamente: tuvimos que presentar denuncias contra prácticas que nuestro propio ordenamiento jurídico permitía.
Ese derecho—el derecho a ser informado cuando tu información es comprometida—no podemos hacerlo valer en Argentina. No existe en nuestra normativa. No está protegido. No hay mecanismo que obligue al Estado o a las corporaciones a decirte: tu información fue expuesta. Tenés que saberlo. Tenés que poder actuar.
En Europa, es obligatorio. Tienen hasta 72 hs. Eso es lo máximo que pueden guardar silencio. Setenta y dos horas y después deben notificar. En Brasil, es obligatorio. En prácticamente cualquier democracia seria, es obligatorio. Pero en Argentina, Las organizaciones y empresas pueden guardar silencio mientras millones de ciudadanos permanecen ignorantes de que fueron víctimas de violación de privacidad masiva.
Estos no son casos aislados. Son síntomas del mismo tumor: una legislación que permite que corporaciones extranjeras y entidades estatales operen sobre datos de ciudadanos argentinos sin restricciones claras, sin sanciones reales, sin mecanismos de reclamo efectivos. Mientras el mundo avanza, nosotros permanecemos atrapados en el pasado legal permitiendo que suceda lo que otros países ya prohibieron hace años.
Nos dicen que esto es inevitable. Que es «el precio de internet». Que si querés servicios digitales, tenés que aceptar que te monitoreen. Que si no te gusta, no uses redes sociales.
Es una gran mentira que dicen por ahí para justificar lo injustificable.
Otros países rechazaron ese argumento hace años. Europa dijo: no. Los datos son de la persona. Si querés usarlos, necesitas permiso expreso. Brasil dijo: no. Tenés que ser claro sobre qué recopila, por qué lo recopila, y quién tiene acceso y como. Tenés que notificar si hay brechas. Chile, Uruguay, Colombia: todos dijeron no a la explotación sistemática.
Argentina, en cambio, sigue diciendo sí. Sigue permitiendo que corporaciones construyan perfiles económicamente valiosos sobre ciudadanos sin que esos ciudadanos tengan poder de veto, poder de acceso, poder de corrección.
Todos sabemos a esta altura que nuestra privacidad está protegida constitucionalmente. Pero la ley específica que debería hacerla efectiva en contexto digital fue escrita hace un cuarto de siglo.
Las empresas saben esto. Lo explotan deliberadamente. ¿Por qué? Porque el costo de violar tus derechos es prácticamente nulo. No hay sanciones significativas. No hay autoridad que las investigue sistemáticamente porque no tiene el enforcement para hacerlo, no tienen presupuesto, están casi atados de brazos. No hay mecanismos para que vos reclames. El resultado: actúan con impunidad calculada.
Una empresa recopila tus datos ilegalmente—en términos de lo que debería ser ilegal, pero que bajo nuestra ley es perfectamente legal. Vos descubrís. Presentás reclamo ante la autoridad regulatoria. La autoridad, con recursos limitados, tarda meses en responder. Mientras tanto, tus datos ya fueron vendidos a docenas de terceros y nunca sabrás a quién, para qué, con qué consecuencias.
Eso es el sistema que permitimos que funcione.
¿Quién se beneficia de que Argentina permanezca regulatoriamente ciega frente a esto?
No es misterio. Son empresas que construyeron modelos de negocios basados en la venta y explotación de nuestros datos. Lucran vendiendo acceso a datos sobre vos. Son sistemas publicitarios que dependen de perfiles detallados. Todos tienen interés financiero en que Argentina no actualice esta ley. Hoy estamos en la era de la hiper-personalizacion.
¿Y quién pierde? Vos. Todos nosotros.
Perdés oportunidades laborales porque un algoritmo alimentado por datos incompletos o incorrectos sobre vos—datos que ni siquiera sabías que existían—decidió que no eres candidato. Perdés acceso a servicios financieros porque una puntuación de riesgo basada en vigilancia de tus movimientos decidió que eres demasiado riesgoso. Perdés libertad política porque algoritmos construidos a partir de datos sobre vos pueden predecirte, manipularte, dirigirse a vos con precisión quirúrgica.
Y lo más grave: perdés la capacidad de elegir quién tenés derecho a ser, porque esa elección está siendo hecha por máquinas que analizan información sobre vos que ni siquiera sabés que existe. Información que circula en bases de datos sin que tengas derecho a saber qué dicen, sin que tengas poder para corregirla si es falsa, sin que tengas opción de rechazar su recopilación.
En una democracia genuina, los datos sobre ciudadanos no son commodity para ser vendidos al mejor postor. Son información sobre personas que poseen derechos fundamentales sobre esa información.
Una verdadera reforma significaría: vos tenés derecho absoluto a saber. No «en diez días si presentás un derecho de acceso». Significa acceso real, completo, comprensible. Todas las empresas que recopilan datos sobre vos deben poder identificarse y explicar qué tienen, por qué lo tienen, a quién se lo vendieron.
Cuando una empresa viola estos derechos—como Worldcoin hizo, como Meta hace, no es una «multa administrativa menor». Multas proporcionales al ingreso global de la empresa infractora. Responsabilidad personal para ejecutivos que autorizan violaciones. Autoridad regulatoria con poder real de investigar, sancionar, y ordenar cambios operacionales.
Eso es lo que otros países implementaron. Eso es lo que Argentina rechaza deliberadamente seguir permitiendo.
Se te dirá que la reforma está «en proceso». Que hay «debate multisectorial». Que los «expertos están trabajando en ello». Todo verdadero. Todo también completamente insuficiente.
Porque mientras «debatimos», millones de argentinos están siendo perfilados sin consentimiento. Mientras «trabajamos en propuestas», datos sobre vos se venden a terceros desconocidos. Mientras «construimos consenso», sistemas automatizados toman decisiones sobre tu acceso a oportunidades basadas en vigilancia que vos ni autorizaste.
Tuvimos que presentar denuncias contra Worldcoin porque el «debate» no detuvo la recopilación de datos biométricos. Tuvimos que presentar denuncias contra Meta porque el «consenso» no frenó la explotación de información personal.
El debate es escudo para la inacción. El «consenso» es excusa para no decidir. Los «expertos trabajando» es distracción mientras el daño continúa exponencialmente.
Lo que falta es voluntad política. Voluntad de decidir que los derechos de ciudadanos importan más que conveniencia de corporaciones. Eso es lo único que realmente falta. Y la evidencia de esa falta de voluntad está en cada denunciación que presentamos que permanece sin resolver, en cada corporación que continúa operando mientras nosotros litigamos, en cada dato tuyo que se vende, en cada brecha que sucede y es negada mientras millones de argentinos permanecen en la ignorancia.
Argentina está apostando que vos no vas a entender lo que sucede hasta que sea demasiado tarde. Que vas a seguir usando servicios digitales sin darte cuenta de quién más te está usando a vos. Que no vas a presionar para cambiar las cosas porque la violación es invisible.
Es apuesta que probablemente ganen si continuamos permitiendo que esto suceda en la oscuridad legal.
Pero hay alternativa. Existe. Otros países la eligieron. Argentina puede elegirla. Requiere que ciudadanos entiendan qué está siendo negado. Que empresas entiendan que operan en zona gris insostenible. Que legisladores entiendan que modernizar protección de datos no es favor a corporaciones sino obligación con ciudadanos.
La pregunta no es si Argentina puede modernizar su ley de protección de datos. Puede. La pregunta es si va a permitir que eso suceda antes de que toda una generación crezca creyendo que la explotación de datos biométricos y la venta de perfiles es cómo funciona el mundo.
Porque va a llegar el momento en que descubramos que fuimos nosotros mismos quienes permitimos que normalizaran nuestra explotación. Que fuimos nosotros quienes nos quedamos callados mientras Worldcoin recopilaba el iris en nuestras calles mientras otros países ya decían no y mientras Meta construía imperios sobre información que nos pertenece.
Y entonces será demasiado tarde para reclamar el derecho que nunca defendimos.
La batalla ya está ocurriendo. Nosotros la estamos librando denunciando corporaciones, presentando casos. Pero no es suficiente que la batalla la libremos abogados y activistas digitales. La tenés que librar vos también.
La Autoridad Nacional de Protección de Datos de Brasil (ANPD) y la Agencia de Acceso a la Información Pública de Argentina (AAIP) firmaron un Memorando de Entendimiento (MOU) que marca un punto de inflexión en la cooperación regional en materia de privacidad. Este acuerdo, suscrito por Waldemar Gonçalves y Beatriz Anchorena respectivamente, representa mucho más que un documento diplomático: es una declaración de principios sobre cómo Sudamérica abordará los desafíos de la era digital.
La aproximación entre Brasil y Argentina no es casual. Los lazos económicos, políticos, históricos y culturales, sumados a la proximidad geográfica y al hecho de que Argentina es el tercer principal socio comercial de Brasil, convierten esta alianza en una necesidad estratégica . En un continente donde las fronteras digitales se difuminan constantemente, la protección coordinada de datos personales deja de ser una opción para convertirse en un imperativo.
La fragmentación regulatoria solo beneficia a quienes buscan explotar las brechas legales entre jurisdicciones.
El Memorando establece mecanismos de asistencia mutua y cooperación técnica, regulatoria y fiscalizatoria en materia de privacidad y protección de datos personales . Aunque se trata de un instrumento no vinculante —es decir, no crea obligaciones legales directas— su valor radica en construir una base institucional sólida para la colaboración sistemática.
Las áreas de cooperación son particularmente relevantes para los desafíos contemporáneos: transferencias internacionales de datos, consultas públicas y el sandbox regulatorio en inteligencia artificial . Estos no son temas abstractos. Hablamos de proteger la información de millones de ciudadanos que utilizan servicios digitales binacionales, de garantizar que las empresas que operan en ambos países cumplan estándares consistentes, y de regular proactivamente tecnologías emergentes como la inteligencia artificial antes de que los daños sean irreversibles.
El acuerdo contempla el intercambio de experiencias en reglamentación y fiscalización, el compartir información sobre investigaciones en curso, la realización de fiscalizaciones conjuntas, el apoyo mutuo en investigaciones, y el desarrollo de programas de educación, capacitación e investigación conjuntos. Cada uno de estos componentes representa una pieza fundamental para construir un ecosistema digital más seguro y transparente.
Este acuerdo trasciende la relación bilateral entre Brasil y Argentina. Según Waldemar Gonçalves, la formalización de esta alianza refuerza la actuación de la ANPD en el escenario internacional y fortalece la credibilidad de la Ley General de Protección de Datos (LGPD) brasileña tanto en Brasil como en otros países donde existe entendimiento o armonización legal .
Lo que estamos presenciando es el nacimiento de un bloque regional de protección de datos que puede servir como modelo para el resto de Sudamérica. En un continente históricamente fragmentado en materia regulatoria, la convergencia entre las dos mayores economías de la región envía una señal poderosa: la protección de datos no es un lujo del primer mundo, sino un derecho fundamental que debe defenderse colectivamente.
La armonización regulatoria entre Brasil y Argentina puede catalizar efectos en cascada. Otros países de la región enfrentan presiones similares: flujos de datos transfronterizos, empresas tecnológicas multinacionales que operan con impunidad relativa, y ciudadanos cada vez más conscientes de sus derechos digitales. Un marco cooperativo exitoso entre Brasil y Argentina puede convertirse en el estándar regional, facilitando la integración económica digital y protegiendo simultáneamente a los ciudadanos.
La naturaleza no vinculante del Memorando plantea interrogantes legítimos sobre su efectividad. Sin obligaciones legales directas, la implementación dependerá de la voluntad política sostenida, los recursos institucionales disponibles, y la capacidad de ambas agencias para traducir intenciones en acciones concretas.
Las fiscalizaciones conjuntas, por ejemplo, requieren protocolos operativos detallados, coordinación interinstitucional compleja, y posiblemente marcos legales adicionales para el intercambio de información sensible. La capacitación conjunta debe superar no solo diferencias idiomáticas menores, sino también tradiciones jurídicas y culturas regulatorias distintas.
Sin embargo, estos desafíos no deben minimizar el valor del acuerdo. Los instrumentos no vinculantes frecuentemente son el primer paso hacia compromisos más profundos. Establecen canales de comunicación, construyen confianza institucional, y permiten experimentar con mecanismos de cooperación antes de formalizarlos en tratados vinculantes.
Para que este acuerdo cumpla su potencial transformador, se requieren varios elementos:
Institucionalización de la cooperación: Los mecanismos de coordinación deben trascender las buenas intenciones para convertirse en procedimientos operativos estándares. Reuniones regulares, puntos de contacto designados, y protocolos claros de intercambio de información son esenciales.
Expansión progresiva: Brasil y Argentina deben invitar activamente a otros países sudamericanos a sumarse a este marco cooperativo. Uruguay, Chile, Colombia y Perú tienen marcos de protección de datos cada vez más sofisticados y se beneficiarían enormemente de la coordinación regional.
Recursos adecuados: La cooperación internacional requiere inversión. Ambas agencias necesitan presupuestos suficientes para personal especializado, sistemas tecnológicos compatibles, y programas de capacitación continua.
Transparencia y participación ciudadana: Los ciudadanos de ambos países deben poder monitorear el progreso de esta cooperación y participar en su diseño. La protección de datos no es un asunto exclusivamente técnico o burocrático; es fundamentalmente democrático.
Adaptabilidad tecnológica: Las tecnologías emergentes —inteligencia artificial generativa, blockchain, computación cuántica— plantearán desafíos regulatorios que no podemos anticipar completamente. El marco cooperativo debe ser lo suficientemente flexible para evolucionar con el paisaje tecnológico.
Este acuerdo entre Brasil y Argentina no es el punto final, sino el punto de partida. Representa el reconocimiento de que en la era digital, la soberanía nacional en materia de datos es una ficción peligrosa. La información fluye sin respetar fronteras, y nuestra protección legal debe ser igualmente fluida y coordinada.
Como profesionales del derecho, tecnólogos, legisladores y ciudadanos, tenemos la responsabilidad de exigir que este MOU se traduzca en protecciones concretas. Debemos monitorear su implementación, demandar transparencia en su ejecución, y presionar para su expansión a otros países de la región.
Podemos continuar con enfoques fragmentados que dejan a nuestros ciudadanos vulnerables ante corporaciones transnacionales y actores maliciosos, o podemos construir colectivamente un ecosistema digital que ponga los derechos fundamentales en el centro. Brasil y Argentina han dado el primer paso. Ahora corresponde a toda la región sostener y amplificar este impulso.
Este acuerdo es una oportunidad qu e no podemos desperdiciar.
La Superintendencia de Industria y Comercio de Colombia acaba de ordenar el cierre inmediato y definitivo de WorldCoin. No fue una multa. No fue una advertencia. Fue un cierre total, acompañado de la orden de eliminar todos los datos biométricos recolectados. La razón es tan simple como devastadora: WorldCoin recolectaba información biométrica sin consentimiento informado válido, violando sistemáticamente la Ley 1581 de protección de datos personales colombiana.
Esta decisión debería mantener despiertos a los reguladores argentinos. No porque WorldCoin sea un problema específico de Colombia, sino porque expone algo mucho más grave: la existencia de un estándar regulatorio en nuestra región que Argentina sistemáticamente no está cumpliendo.
Colombia identificó exactamente lo que hemos estado documentando en Argentina durante un año: fallas sistemáticas en los mecanismos de consentimiento informado, ausencia de autorización válida, y deficiencias fundamentales en la información suministrada a los titulares de datos. La SIC no dudó. Actuó con autoridad regulatoria clara, estableciendo un límite infranqueable.
Mientras tanto, en Argentina, Meta continúa recopilando datos personales de millones de usuarios sin consentimiento informado real. La compañía utiliza esos datos para entrenar sistemas de inteligencia artificial, modifica sus políticas unilateralmente, y responde a los requerimientos formales de la AAIP con evasivas corporativas que simplemente no responden preguntas sustanciales. Un año completo de incumplimiento. Un año completo de violaciones. Un año completo sin que se haya tomado una medida equivalente a la que Colombia acaba de implementar.
La pregunta que surge es incómoda pero inevitable: ¿por qué Meta cerró en Colombia pero continúa operando sin consecuencias en Argentina?
La acción de la SIC no es un caso aislado de firmeza regulatoria. Es la demostración de que existen marcos legales suficientes para proteger a los ciudadanos. Es la prueba de que cuando un regulador actúa con autoridad, incluso las corporaciones tecnológicas más poderosas del planeta se rinden. Porque eso es lo que hizo Meta: se rindió. No negoció extensiones. No pidió plazos adicionales. Cerró operaciones.
Esto establece un precedente regional crucial. Si Meta cedió ante Colombia, es porque entendió que enfrentaba un regulador serio. Que el juego había terminado. Que la protección de datos personales no era negociable en ese país.
Entonces surge la pregunta complementaria: ¿qué comunica al mercado la falta de una respuesta equivalente en Argentina? Comunica exactamente lo opuesto. Comunica que en Argentina, las corporaciones pueden violar sistemáticamente las leyes de protección de datos. Que los requerimientos regulatorios son sugerencias, no mandatos. Que existen diferentes estándares según la compañía y según el regulador.
Argentina cuenta con la Ley 25.326 de Protección de Datos Personales, una normativa sólida que establece principios claros: consentimiento previo e informado, limitación de uso, transparencia, y garantías especiales para datos sensibles. Estos principios no son menos rigurosos que los de Colombia. La diferencia no radica en lo que dice la ley. Radica en la disposición institucional de hacerla cumplir.
La decisión de la SIC colombiana identificó específicamente qué violaciones cometió WorldCoin: ausencia de autorización válida, fallas en los mecanismos de consentimiento, información insuficiente a los titulares de datos. Ahora bien, Meta comete exactamente las mismas violaciones en Argentina. Recopila datos sin consentimiento informado real. Modifica los términos de servicio unilateralmente. No proporciona información clara sobre cómo serán utilizados los datos. No facilita mecanismos accesibles para que los usuarios rechacen nuevos usos de sus datos.
La normativa argentina permite sancionar exactamente estos incumplimientos. Entonces la pregunta no es si existe base legal para actuar. Es si existe voluntad política de hacerlo.
Lo que expone la acción colombiana es un patrón que se extiende más allá de Meta o WorldCoin. Es un patrón donde Argentina se ha convertido en un territorio permisivo para corporaciones que buscan operar con estándares más bajos de protección de datos. Otras jurisdicciones actúan. Otros reguladores cierran operaciones. Otros países establecen límites claros. Argentina emite requerimientos que son ignorados sin consecuencias reales.
Esta vulnerabilidad no es accidental. Es el resultado de decisiones institucionales. Es el resultado de priorizar el desarrollo tecnológico y la inversión extranjera por sobre la protección de derechos fundamentales. Es el resultado de tratar a las corporaciones tecnológicas con una deferencia que nunca se extiende a otros actores económicos.
Cuando una empresa de servicios financieros viola leyes de protección al consumidor, enfrenta sanciones inmediatas. Cuando una compañía de telecomunicaciones incumple regulaciones, el regulador actúa. Pero cuando Meta o WorldCoin violan derechos fundamentales relacionados con datos personales, la respuesta institucional es proporcionalmente tibia, extendida en el tiempo, y frecuentemente sin efectos disuasivos.
La acción de Colombia establece un estándar que Argentina debe replicar urgentemente. No se trata simplemente de imponer multas o exigir cambios de política. Se trata de establecer líneas rojas claras que, cuando son cruzadas, resultan en cierre de operaciones. Se trata de demostrar que un país tiene la disposición institucional de defender los derechos de sus ciudadanos incluso a costa de perder inversión extranjera o acceso a tecnología.
Esto requiere varias cosas. Primero, que los reguladores argentinos, particularmente la AAIP, utilicen plenamente las herramientas que la ley les confiere. Segundo, que las instancias de apelación y revisión judicial sostengan esas decisiones regulatorias. Tercero, que el poder ejecutivo y legislativo respalden públicamente estas acciones, enviando señales claras de que la protección de datos personales no es negociable.
Colombia lo hizo. Cerró operaciones. Ordenó la eliminación de datos. Prohibió expresamente que vuelvan a operar puntos de recolección. No fue ambiguo. No fue gradual. Fue definitivo.
La ventana de oportunidad para Argentina no permanecerá abierta indefinidamente. Cada día que pasa sin una respuesta regulatoria equivalente a la de Colombia, más datos son procesados sin autorización real. Más usuarios son vulnerados. Más precedentes se establecen en la dirección equivocada. Se refuerza la creencia de que en Argentina, la protección de datos personales es una aspiración legal, no una realidad institucional.
La noticia de WorldCoin debe funcionar como un catalizador. Como una demostración de que es posible actuar. Como una prueba de que existen reguladores en nuestra región dispuestos a priorizar los derechos fundamentales por sobre las conveniencias corporativas. Como un llamado urgente a que Argentina alinee su acción regulatoria con su normativa legal.
No se trata de ser hostil con la inversión tecnológica. Se trata de establecer que toda inversión, sin excepción, debe cumplir con las leyes que protegen los derechos fundamentales. Se trata de crear un mercado donde la competencia se desarrolla sobre bases equitativas, donde todas las empresas están sujetas a los mismos estándares de protección.
Colombia ha mostrado que eso es posible. Que es viable. Que es políticamente factible. Ahora Argentina debe decidir si está dispuesta a seguir ese camino, o si prefiere continuar siendo un país donde las corporaciones tecnológicas operan en un espacio de menor accountability. Donde existe una brecha entre lo que la ley dice y lo que las instituciones están dispuestas a hacer cumplir.
Ese tiempo de decisión es ahora. Porque mientras Argentina delibera, Meta continúa procesando datos. Y cada día que pasa es un día en el que los derechos de millones de ciudadanos no están siendo protegidos de la manera que la ley requiere, y que nuestras instituciones deberían garantizar.
