Categoría: Privacidad

La Electronic Frontier Foundation y la ACLU de Wisconsin presentaron una petición ante la Corte Suprema de ese estado para que declare inconstitucionales las búsquedas retrospectivas en bases de datos de lectores automatizados de patentes (ALPR) sin orden judicial previa. El caso involucra cuatro ciudades —Milwaukee, Racine, Kenosha y Green Bay— y tiene como cliente principal al Wisconsin Council of Churches, una organización religiosa cuya membresía considera especialmente sensible el registro sistemático de sus desplazamientos. Un tribunal federal en Oklahoma ya sentó un precedente al calificar los ALPR como “un tipo de vigilancia masiva indiscriminada”.

Los sistemas ALPR capturan, almacenan y cruzan las matrículas de miles de vehículos en tiempo real. La discusión no es si la tecnología puede hacerlo —técnicamente, puede—, sino si el Estado tiene derecho a consultarla sin que un juez valide previamente que existe una sospecha individualizada sobre alguien. Esa distinción es el núcleo del debate constitucional que la EFF intenta instalar, primero en California con el caso SIREN v. San José y ahora en Wisconsin.

Qué registran los ALPR y por qué la acumulación importa más que cada dato

Un lector de patentes aislado parece inocuo: toma una foto, registra una matrícula, anota hora y lugar. Pero cuando cuatro ciudades comparten y agregan esos registros durante meses, el resultado es un mapa detallado de los hábitos de vida de personas que nunca fueron sospechosas de nada. La petición ante la Corte Suprema de Wisconsin describe con precisión el tipo de información que queda expuesta: visitas a centros médicos, participación en reuniones de recuperación de adicciones, asistencia a servicios religiosos, concurrencia a protestas o encuentros políticos. Individualmente, ninguno de esos datos es comprometedor. Agregados y buscados retrospectivamente, permiten construir un perfil que ninguna persona razonable aceptaría compartir voluntariamente con la policía sin una orden judicial.

El argumento de la EFF descansa en la doctrina del “efecto mosaico” —desarrollada en el razonamiento del juez Sotomayor en el caso United States v. Jones (2012) ante la Corte Suprema federal de Estados Unidos— según la cual la acumulación de datos aparentemente triviales puede constituir una intrusión más grave a la privacidad que una búsqueda domiciliaria puntual. Wisconsin tiene clausulas constitucionales propias de privacidad que, según la organización, ofrecen protecciones más amplias que la Cuarta Enmienda federal.

El fallo de Oklahoma de octubre de 2026: primer precedente judicial sobre ALPR como vigilancia masiva

A principios de octubre de 2026, un tribunal federal en Oklahoma emitió la primera resolución judicial estadounidense que califica explícitamente a los ALPR como “un tipo de vigilancia masiva indiscriminada” y excluyó como prueba la evidencia obtenida mediante una búsqueda sin orden. La EFF calificó el resultado como parcialmente decepcionante —según se informó, el fallo no resolvió todos los puntos planteados—, pero reconoció su valor histórico como precedente. Para la estrategia litigiosa de la organización, ese fallo en Oklahoma y la petición en Wisconsin forman parte de una campaña coordinada: construir doctrina estado por estado hasta forzar una definición federal o legislativa.

El impacto sobre las organizaciones que operan sistemas de vigilancia urbana —proveedores como Flock Safety o Motorola Solutions, que abastecen a decenas de departamentos de policía en EE.UU.— aún no es claro. Si Wisconsin resuelve a favor de la EFF, los departamentos que comparten datos con ciudades de ese estado deberán revisar sus protocolos de acceso retroactivo y sus contratos con terceros.

Argentina, Brasil y México frente a la vigilancia biométrica y vehicular: marcos disímiles

América Latina no es ajena al despliegue de ALPR. En Argentina, el sistema de reconocimiento de patentes forma parte de la infraestructura del programa de videovigilancia del Ministerio de Seguridad de la Nación y de los sistemas provinciales. La Ley 25.326 de Protección de Datos Personales establece que los datos sensibles —entre los cuales podrían encuadrarse los de localización vinculados a actividades religiosas o políticas— requieren consentimiento expreso o habilitación legal específica, pero la norma data de 2000 y no contempla explícitamente la inteligencia de fuentes abiertas ni la agregación masiva de datos vehiculares. La Agencia de Acceso a la Información Pública (AAIP) no ha emitido hasta la fecha una resolución específica sobre el uso de ALPR por fuerzas de seguridad.

Brasil presenta un escenario más activo. La Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica datos de localización como datos personales cuando permiten identificar a una persona, y la Autoridade Nacional de Proteção de Dados (ANPD) ha avanzado en regulaciones sectoriales. Sin embargo, la base legal de “seguridad pública” contenida en el artículo 4 de la LGPD crea una zona gris que permite a las fuerzas de seguridad operar con mayor margen, siempre que exista habilitación legal específica. La discusión sobre si la consulta retrospectiva de bases de ALPR exige autorización judicial es, en Brasil, una deuda regulatoria pendiente.

México, por su parte, desplegó en años recientes cámaras con lectura de patentes en la Ciudad de México y en estados como Jalisco y Nuevo León. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) no aplica al sector público, que se rige por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO). El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) tiene facultades para revisar el tratamiento de datos por parte de entes públicos, pero su capacidad de supervisión sobre operaciones de inteligencia de seguridad es limitada en la práctica.

Qué cambia para empresas y entidades religiosas que operan en entornos de vigilancia urbana

El caso de Wisconsin introduce un elemento que rara vez aparece en el debate sobre ALPR: el impacto específico sobre organizaciones con actividades constitucionalmente protegidas. Una iglesia, una clínica de salud mental, un sindicato o un partido político que opera en una ciudad con cobertura ALPR genera, sin saberlo, un registro permanente de quién visita sus instalaciones. Para las organizaciones de la sociedad civil en LATAM, ese riesgo es igualmente real. Una entidad que ofrece asistencia a víctimas de violencia doméstica en Buenos Aires, Bogotá o Ciudad de México no puede garantizar a sus asistentes que su desplazamiento hasta la sede no quedará indexado en una base de datos policial durante años.

Las empresas que proveen tecnología de vigilancia a gobiernos latinoamericanos deben monitorear este litigio: si la doctrina del “efecto mosaico” se consolida jurisprudencialmente en EE.UU., presionará hacia estándares de auditoría y limitación de retención de datos que eventualmente migrarán a los contratos de exportación de tecnología de seguridad.

Qué monitorear: los próximos hitos en Wisconsin y su proyección regional

La Corte Suprema de Wisconsin deberá decidir si acepta la petición para revisar el caso. Si la admite, el proceso de briefing y argumentación oral podría extenderse durante 2027. En paralelo, el caso SIREN v. San José en California avanza en el circuito federal y podría generar una segunda resolución con peso doctrinal antes de que Wisconsin resuelva. En LATAM, dos eventos merecen seguimiento: la revisión del anteproyecto de reforma a la Ley 25.326 en Argentina —que podría incluir disposiciones sobre datos de localización— y los avances regulatorios de la ANPD en Brasil sobre tratamiento de datos por parte del sector público de seguridad.

Nuestro análisis

El litigio de la EFF en Wisconsin no es solo un debate constitucional estadounidense. Es la primera vez que una organización de alcance nacional construye una teoría jurídica sistemática contra la vigilancia vehicular masiva con clientes que representan a comunidades religiosas —un actor que los tribunales históricamente tratan con deferencia cuando alega vulneración de derechos asociativos o de conciencia. Esa elección de cliente no es casual: maximiza la simpatía judicial y amplía el alcance potencial del fallo más allá de la privacidad individual.

Para la región, el déficit es evidente: ninguna autoridad de protección de datos de América Latina ha emitido hasta la fecha una resolución que regule específicamente la consulta retrospectiva de bases ALPR por fuerzas de seguridad, a pesar de que la tecnología ya está desplegada en al menos cinco países. La AAIP en Argentina, la ANPD en Brasil y el INAI en México tienen bases legales para actuar; lo que falta es voluntad regulatoria. El precedente de Oklahoma demuestra que los tribunales pueden avanzar donde los reguladores no lo hacen.

Si una organización religiosa en Green Bay tiene argumentos jurídicos para resistir la vigilancia masiva de sus feligreses, una clínica de salud sexual en Ciudad de México o un centro de asistencia a migrantes en Buenos Aires también los tiene — pero ninguna autoridad latinoamericana se ha preguntado todavía quién los va a defender.

El Inspector General del Departamento de Seguridad Nacional de Estados Unidos (DHS OIG) detectó una “debilidad significativa” en el sistema de reconocimiento facial de la Administración de Seguridad en el Transporte (TSA): un proveedor externo accedió y extrajo imágenes de pasaportes y licencias de conducir de pasajeros sin conocimiento de la agencia, y sin que los afectados fueran notificados.

El hallazgo surge de una auditoría al sistema CAT-2 (Credential Authentication Technology 2), la tecnología que la TSA despliega en aeropuertos estadounidenses para verificar identidad mediante comparación facial. Según el resumen público del informe —el texto completo está clasificado—, el proveedor del sistema pudo acceder a información sensible durante tareas de mantenimiento y mejoras, sin que la TSA lo supiera ni lo autorizara formalmente. El OIG publicó sus conclusiones en septiembre de 2026.

Cuatro fallas confirmadas en el contrato con el proveedor

• El proveedor extrajo imágenes de documentos de identidad (pasaportes y licencias) sin autorización explícita de la TSA.
• La agencia no contaba con políticas claras que regularan el acceso de terceros a datos biométricos y biográficos.
• No existía registro de cuándo ni qué información fue extraída.
• La TSA no pudo verificar que los datos extraídos fueran eliminados correctamente, ni notificó a los pasajeros sobre el posible almacenamiento de su información.

Qué se sabe y qué falta confirmar

El OIG emitió una observación formal y tres recomendaciones para fortalecer controles, mejorar la supervisión de proveedores y garantizar transparencia. Según se informó, la TSA aceptó las tres recomendaciones: dos ya están en proceso de implementación y una permanece abierta. Lo que no está confirmado públicamente —por la clasificación del informe completo— es el volumen exacto de registros afectados, la identidad del proveedor y si los datos extraídos fueron efectivamente eliminados. La EFF señaló que las implicancias de privacidad afectan a millones de pasajeros que no optaron por salir del sistema biométrico voluntario.

El caso expone una tensión estructural presente también en América Latina: los programas de verificación biométrica en aeropuertos —que avanzan en México, Brasil, Colombia y Argentina— suelen tercerizarse a proveedores privados bajo contratos que no siempre contemplan restricciones explícitas de acceso a datos durante el soporte técnico. En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica datos biométricos como categoría sensible y exige que el operador —en este caso, la agencia estatal— mantenga control efectivo sobre el tratamiento realizado por suboperadores. En Argentina, la Ley 25.326 requiere medidas de seguridad adecuadas, aunque la AAIP aún no ha emitido lineamientos específicos para biometría en contextos aeroportuarios. En México, el INAI ha señalado que el uso gubernamental de datos biométricos debe cumplir con los principios de la LFPDPPP incluso cuando el tratamiento lo ejecuta un tercero contratado.

La TSA tiene plazo abierto para cerrar la recomendación pendiente; hasta entonces, el mecanismo de supervisión de proveedores con acceso a datos biométricos sigue sin resolverse formalmente.

Un tribunal federal de Oklahoma declaró que los sistemas de lectura automatizada de patentes vehiculares (ALPR) constituyen “un tipo de vigilancia masiva indiscriminada” y que su consulta sin orden judicial viola la Cuarta Enmienda de la Constitución de Estados Unidos. El fallo, emitido el 12 de octubre de 2026, llega un día antes de que un tribunal californiano desestimara una demanda de la EFF contra la ciudad de San José, generando una tensión jurídica que anticipa litigios de largo aliento. Para América Latina, donde las redes de cámaras con lectura de patentes se expanden sin marcos legales claros, la discusión ya no puede postergarse.

El caso de Oklahoma comenzó con un hecho simple: un agente de policía observaba el tráfico en una autopista cuando detectó un vehículo con placas de California. Según la resolución judicial, el oficial comenzó a seguir a la conductora “sin motivo aparente” más allá del origen foráneo de sus placas, y luego consultó el sistema ALPR de la empresa Flock Safety —también sin causa justificada— obteniendo al menos 30 días de historial de localización del vehículo. El tribunal consideró que esa búsqueda retroactiva de datos de ubicación, sin orden judicial previa, violaba la protección constitucional contra registros irrazonables.

El sistema ALPR de San José: 500 cámaras, un mes de retención, cero orden judicial

En paralelo, la Electronic Frontier Foundation (EFF) y la ACLU de California argumentaron ante un tribunal de ese estado que el sistema de San José —cerca de 500 cámaras distribuidas por la ciudad, con retención de datos por al menos 30 días— constituye una búsqueda irrazonable bajo la Constitución de California, que incluye una garantía explícita de privacidad. El tribunal rechazó el argumento apoyándose en un precedente de cámara de apelaciones que equipara las redes ALPR a cámaras de semáforo individuales. La EFF anunció que apelará, señalando que el fallo ignora doctrina reciente de la Corte Suprema federal sobre el impacto de la agregación de datos de localización en el tiempo.

Esa doctrina —conocida en su núcleo como el estándar de “mosaic theory”— sostiene que la acumulación sistemática de datos que individualmente son inocuos puede revelar patrones de vida, relaciones personales y comportamientos íntimos que el ciudadano razonablemente esperaría mantener fuera del alcance estatal. La Corte Suprema de EE.UU. reforzó esta línea interpretativa en un fallo emitido apenas meses antes del caso de San José, según informó la propia EFF, aunque el tribunal californiano no lo consideró aplicable.

Argentina, Brasil y México: tres marcos legales, el mismo vacío sobre cámaras de reconocimiento vehicular

En América Latina, los sistemas ALPR operan en varias ciudades sin que ningún país haya sancionado regulación específica para su uso por parte de fuerzas de seguridad. El vacío no es exclusivo de un estado pequeño: afecta a las tres economías más grandes de la región. En Argentina, la Ley 25.326 de Protección de Datos Personales establece que los datos de personas físicas identificables —incluyendo datos de localización— requieren consentimiento o habilitación legal expresa para ser recopilados y tratados. Sin embargo, la norma data de 2000 y no contempla expresamente el tratamiento masivo y automatizado de datos vehiculares en tiempo real. La Agencia de Acceso a la Información Pública (AAIP) no ha emitido lineamientos específicos sobre ALPR, pese a que sistemas de este tipo operan en municipios del conurbano bonaerense y en la Ciudad Autónoma de Buenos Aires.

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) incluye una base legal de “legítimo interés” que las fuerzas de seguridad han interpretado de forma expansiva, pero la Autoridade Nacional de Proteção de Dados (ANPD) aún no ha fijado posición sobre la retención de imágenes vehiculares masivas. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) cubre al sector privado, mientras que el tratamiento estatal queda bajo la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados —aplicable a autoridades—, que exige finalidad específica y proporcionalidad. Aun así, no existe resolución del INAI que haya evaluado la proporcionalidad de un sistema ALPR municipal de escala comparable al de San José.

Flock Safety y los proveedores privados: el dato viaja aunque el marco legal no llegue

Un elemento crítico del caso de Oklahoma es el rol de Flock Safety, empresa privada que comercializa sistemas ALPR a cuerpos policiales en EE.UU. y que según reportes del sector está expandiendo operaciones en América Latina. Cuando una fuerza de seguridad contrata a un tercero para gestionar la infraestructura de captura y almacenamiento de datos vehiculares, la cadena de responsabilidad sobre el tratamiento de datos personales se vuelve opaca. En términos de la LGPD brasileña, ese proveedor califica como “operador” de datos; en la Ley 25.326 argentina, como “encargado del tratamiento”. Pero ninguna de esas categorías resuelve por sí sola la pregunta de fondo: ¿bajo qué base legal se captura, retiene y consulta ese historial de movimientos?

La diferencia con el contexto estadounidense —donde al menos existe un debate judicial activo— es que en la región el control judicial ex post sobre estas búsquedas es prácticamente inexistente. No hay equivalente latinoamericano a una moción de supresión de evidencia obtenida mediante ALPR sin orden judicial. Los datos recopilados pueden usarse en investigaciones penales sin que ningún juez haya evaluado previamente si la retención misma era proporcional.

Lo que viene: apelación de la EFF y presión regulatoria sobre retención de datos de localización

La EFF anticipó que apelará el fallo de San José y que buscará que un tribunal superior aplique la doctrina de la Corte Suprema federal sobre agregación de datos de localización. Si esa apelación prospera, el estándar emergente —que un sistema de cámaras interconectadas produce información cualitativamente distinta a una cámara individual— tendrá relevancia directa para debates regulatorios en la región. En Colombia, la Superintendencia de Industria y Comercio (SIC) ha comenzado a examinar el tratamiento de datos biométricos en espacios públicos bajo la Ley 1581 de 2012; la extensión de ese análisis a datos vehiculares masivos sería un paso lógico. En Chile, la nueva Ley 21.719 de Protección de Datos Personales, que entrará en vigor en forma plena en 2026, introduce el principio de minimización y limitación de finalidad que podría aplicarse a sistemas de retención prolongada de imágenes de patentes.

Nuestro análisis

La tensión entre los dos fallos del 12 y 13 de octubre de 2026 ilustra algo que suele perderse en el debate regional: la definición de vigilancia masiva no depende de la intención del sistema, sino de su arquitectura. Una red de 500 cámaras que retiene datos por 30 días no es funcionalmente equivalente a un agente parado en una esquina tomando nota de matrículas. La diferencia es de escala, permanencia y capacidad de retroalimentación cruzada —exactamente lo que la doctrina del mosaico intenta capturar. En América Latina, ninguna autoridad de protección de datos ha articulado ese argumento en términos vinculantes. La AAIP argentina, la ANPD brasileña y el INAI mexicano tienen bases legales suficientes para emitir lineamientos sobre proporcionalidad en el uso de ALPR estatal: la pregunta es si lo harán antes de que el parque de cámaras crezca otro orden de magnitud. Los municipios no esperan a los reguladores para desplegar la infraestructura; los reguladores, en cambio, parecen esperar que alguien más tome la iniciativa.

Mientras las autoridades de la región no definan qué constituye una búsqueda proporcional en una base de datos de localización vehicular, cada consulta policial sin orden judicial es un experimento sin control sobre los derechos de miles de personas que simplemente manejaron por una calle pública.