DataTrends LATAM

Categoría: Privacidad

  • Sin daño concreto, no hay caso: la doctrina del standing en litigios de brechas de datos

    Sin daño concreto, no hay caso: la doctrina del standing en litigios de brechas de datos

    Un juez federal del Distrito de Nueva Jersey desestimó una demanda colectiva contra TABB Inc., empresa de verificación de antecedentes, al determinar que el demandante no acreditó haber sufrido un perjuicio concreto y actual derivado de la filtración de datos reportada en 2024. La decisión, según se informó, refuerza una línea jurisprudencial en Estados Unidos que pone en jaque las acciones colectivas masivas en materia de brechas de datos —y que tiene implicancias directas para la forma en que legisladores y abogados de América Latina están diseñando sus propios marcos de responsabilidad civil.

    TABB Inc. y la filtración de 2024: qué estaba en juego

    TABB Inc. es una compañía de Nueva Jersey dedicada a la verificación de antecedentes laborales, un sector que procesa volúmenes significativos de datos sensibles: historiales crediticios, registros judiciales, domicilios, números de identificación. Cuando la filtración de datos fue reportada en 2024, la exposición potencial de esa clase de información motivó la presentación de una demanda colectiva bajo la premisa de que los afectados habían sufrido un daño derivado del acceso no autorizado a sus datos. Sin embargo, según se informó, el tribunal determinó que el demandante principal no logró demostrar un nexo causal entre la brecha y un perjuicio real, específico y verificable en su propia persona —el requisito de standing o legitimación activa que exige el artículo III de la Constitución estadounidense para acceder a la justicia federal.

    El fallo no evalúa si TABB actuó con negligencia ni absuelve a la empresa de eventuales obligaciones regulatorias. Lo que el juez resolvió es un problema procesal anterior: sin daño concreto, no existe controversia justiciable. Esta distinción es técnica pero de enorme impacto práctico: cierra la puerta a acciones colectivas fundadas únicamente en el riesgo de daño futuro o en la mera exposición de datos, sin que el demandante pueda mostrar un perjuicio ya materializado —fraude, usurpación de identidad, pérdida económica cuantificable.

    La doctrina TransUnion y su vigencia como filtro anti-litigios masivos

    El razonamiento que subyace a este fallo no es nuevo. En 2021, la Corte Suprema de Estados Unidos resolvió en TransUnion LLC v. Ramirez que la mera violación de una obligación legal —incluyendo normas de protección de datos— no es suficiente para conferir legitimación activa si no existe un daño concreto análogo al reconocido por el common law. Desde entonces, los tribunales federales han aplicado ese estándar para desestimar una proporción creciente de demandas colectivas por brechas de datos. La decisión contra TABB es, según se informó, consistente con esa tendencia: el riesgo hipotético de que los datos filtrados sean utilizados para cometer fraude no equivale a que el fraude haya ocurrido.

    Para los demandantes, este estándar crea una paradoja difícil de resolver: los daños derivados de una brecha de datos frecuentemente se materializan meses o años después del incidente original, cuando el vínculo causal ya es más difícil de probar. Las empresas, en cambio, se benefician de una ventana de tiempo en la que la exposición litigiosa es menor incluso ante filtraciones graves. Esta asimetría ha sido objeto de críticas por parte de grupos de defensa del consumidor en Estados Unidos.

    Argentina, Brasil y México: tres modelos de daño resarcible ante una brecha

    La pregunta de qué constituye un daño resarcible en materia de brechas de datos no está resuelta de manera uniforme en América Latina, y el contraste con la doctrina estadounidense es instructivo para quienes diseñan políticas o asesoran empresas en la región.

    En Argentina, la Ley 25.326 de Protección de los Datos Personales no establece un umbral de daño concreto para habilitar los derechos del titular; basta con la violación de las obligaciones del responsable del tratamiento para que la Agencia de Acceso a la Información Pública (AAIP) pueda iniciar actuaciones sancionatorias. En sede judicial, sin embargo, la exigencia de probar daño para obtener una indemnización civil sigue los principios generales del Código Civil y Comercial —lo que en la práctica genera un análisis caso a caso similar, aunque sin la rigidez del standing constitucional estadounidense. La reforma en discusión del marco de privacidad argentino, impulsada por la AAIP, no incluye hasta el momento un artículo específico sobre daños colectivos o acciones de clase en materia de brechas.

    En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) adopta un enfoque diferente: el artículo 42 establece la responsabilidad civil del controlador o del operador por daños patrimoniales o morales derivados del tratamiento irregular, sin exigir que el daño sea “concreto” en el sentido restrictivo del derecho constitucional estadounidense. El daño moral —figura consolidada en la jurisprudencia brasileña— permite reclamaciones incluso ante afectaciones a la dignidad o a la intimidad que no producen una pérdida económica medible. La Autoridade Nacional de Proteção de Dados (ANPD) ha avanzado en la reglamentación del régimen sancionatorio y en agosto de 2024 publicó su primera resolución sobre comunicación de incidentes, lo que fortalece el andamiaje para eventuales litigios posteriores.

    En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) otorga al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) la facultad de imponer sanciones ante violaciones a la seguridad de los datos, independientemente de si el titular acredita un daño individual. No obstante, las acciones colectivas en sede civil continúan siendo un mecanismo poco desarrollado en la práctica, lo que limita el acceso a la justicia de los afectados en incidentes masivos.

    Qué cambia para empresas con operaciones transfronterizas en la región

    Para una empresa latinoamericana que opera también en Estados Unidos —o para una multinacional estadounidense como TABB con potencial base de usuarios en la región— el fallo tiene una lectura estratégica doble. Por un lado, la doctrina del standing en tribunales federales estadounidenses sigue siendo un escudo procesal relevante frente a litigios masivos. Por otro, esa protección no se traslada automáticamente a los marcos legales de Argentina, Brasil o México, donde la legitimación para reclamar es más amplia y las autoridades de control pueden actuar de oficio.

    Las empresas de verificación de antecedentes —un sector en crecimiento en América Latina, impulsado por la expansión del empleo formal y los requisitos de compliance corporativo— están especialmente expuestas: procesan datos de múltiples categorías sensibles, los transfieren entre jurisdicciones y operan en un área donde la regulación sectorial es aún incipiente en varios países de la región. Una brecha en ese contexto puede no generar litigio viable en Nueva Jersey pero sí una investigación de la ANPD en São Paulo o una actuación de la AAIP en Buenos Aires.

    Qué monitorear: próximos hitos regulatorios y jurisprudenciales

    • La reforma a la Ley 25.326 en Argentina, cuyo borrador en circulación no incorpora aún un régimen específico de daños colectivos por brechas —una brecha normativa que el fallo estadounidense hace más visible.
    • La consolidación del régimen sancionatorio de la ANPD en Brasil, que podría generar los primeros precedentes de responsabilidad civil derivada de brechas bajo la LGPD en tribunales estaduales.
    • La evolución de la jurisprudencia del Poder Judicial de la Federación en México sobre acciones colectivas en materia de datos personales, aún escasa pero en desarrollo.
    • Nuevas resoluciones de tribunales federales estadounidenses que apliquen o morigeren la doctrina TransUnion en el contexto específico de datos de verificación de antecedentes.

    Nuestro análisis

    El fallo contra TABB no es una señal de que las brechas de datos sean consecuencias jurídicamente irrelevantes en Estados Unidos. Es, más precisamente, un recordatorio de que el diseño procesal importa tanto como el derecho sustantivo. La doctrina del standing actúa como un filtro que beneficia estructuralmente a las empresas frente a la litigación masiva —y ese filtro no existe en la mayoría de los marcos latinoamericanos de protección de datos.

    Esto tiene una consecuencia para los equipos legales y de cumplimiento que operan en la región: la exposición regulatoria ante una brecha en Brasil o Argentina puede ser mayor, no menor, que en el mercado estadounidense, porque las autoridades pueden actuar de oficio y los umbrales de daño son más bajos. Las empresas que calibran su programa de respuesta a incidentes mirando exclusivamente la jurisprudencia de los Circuit Courts estadounidenses corren el riesgo de subestimar su exposición regulatoria en LATAM. La pregunta correcta no es “¿nos pueden demandar con éxito en Nueva Jersey?” sino “¿qué debe saber la ANPD o la AAIP en las próximas 72 horas?”.

    Cuando el estándar de daño varía entre jurisdicciones, la estrategia de respuesta a incidentes también tiene que variar: una sola plantilla de notificación no alcanza para operar en tres marcos legales distintos.

  • Flock Safety endurece reglas de acceso ante el backlash por vigilancia masiva

    Flock Safety endurece reglas de acceso ante el backlash por vigilancia masiva

    Flock Safety, la empresa que opera la mayor red privada de lectores de patentes vehiculares para fuerzas policiales en Estados Unidos, anunció cambios en las condiciones de acceso de los agentes a su sistema nacional, en respuesta a una creciente presión pública y la pérdida de contratos por denuncias de vigilancia masiva y abuso policial. Las modificaciones buscan contener el daño reputacional y recuperar la confianza institucional que el negocio necesita para sobrevivir.

    Flock Safety opera una red de lectores automáticos de matrículas —conocidos en la industria como ALPRs (Automated License Plate Readers)— instalados en vía pública y espacios privados que registran, almacenan y comparten información sobre la ubicación y circulación de vehículos. La compañía provee ese servicio a departamentos de policía de todo Estados Unidos bajo contratos municipales y estatales. El volumen de datos que procesa la convierte en uno de los actores de mayor escala en el ecosistema de vigilancia vehicular, y también en uno de los más cuestionados.

    El problema que desencadenó los cambios: acceso sin control a datos de ubicación

    La presión sobre Flock creció a partir de reportes que documentaron cómo oficiales podían consultar la red de lectores de patentes con controles mínimos, generando registros de movimiento de personas sin supervisión judicial ni base de sospecha razonable. Este patrón se encuadra en lo que la doctrina de privacidad denomina “vigilancia del mosaico”: ninguna lectura individual revela mucho, pero la acumulación sistemática construye un perfil de vida cotidiana tan detallado como una intervención de comunicaciones. Según se informó, algunos contratos perdidos por la empresa se vinculan directamente a objeciones de concejos municipales y grupos de libertades civiles que citaron estos riesgos.

    Qué cambia en el acceso de los agentes a la red nacional

    Los ajustes anunciados apuntan específicamente a limitar la capacidad de los agentes para cruzar datos entre jurisdicciones sin justificación registrada. Según se informó, las modificaciones incluyen nuevas restricciones sobre qué perfiles de usuario pueden consultar la red interestatal y en qué condiciones. El objetivo declarado es que cada búsqueda quede asociada a un propósito de investigación documentado, lo que en teoría crea un rastro de auditoría. Sin embargo, la efectividad real de esos controles depende de cómo se implementen las políticas de uso aceptable en cada agencia cliente —una variable que Flock no controla directamente.

    Cuándo aplica y cuándo NO: los límites de una política corporativa de privacidad

    Estas reglas aplican únicamente dentro del ecosistema de Flock y solo vinculan a los departamentos de policía en la medida en que sus contratos las incorporen. No sustituyen legislación, no crean derechos exigibles para los ciudadanos cuyos datos son procesados, y no generan obligaciones de notificación frente a reguladores. En jurisdicciones donde no existe una ley estatal específica sobre ALPRs —la mayoría de los estados de EE.UU. carece de regulación comprehensiva—, la política de Flock es el único freno operativo. Eso es, a la vez, su fortaleza comercial y su vulnerabilidad democrática.

    Los cambios tampoco son equiparables a una auditoría externa independiente ni a un régimen de supervisión pública. La empresa anuncia lo que implementará, pero la verificación de cumplimiento permanece opaca para la sociedad civil y los organismos legislativos.

    Por qué el modelo ALPR desafía los marcos de privacidad en América Latina

    En América Latina, el despliegue de lectores automáticos de patentes crece sostenidamente: ciudades de Argentina, Brasil, México, Colombia y Chile integran ALPRs en sus sistemas de videovigilancia urbana y control vehicular. La diferencia con el modelo de Flock es que, en la región, los sistemas suelen ser operados directamente por agencias estatales —lo que los coloca bajo la órbita de las leyes de protección de datos personales vigentes—. En Argentina, la Ley 25.326 y las disposiciones de la AAIP (Agencia de Acceso a la Información Pública) exigen que el tratamiento de datos biométricos y de localización tenga base legal expresa; los datos de patentes vinculados a personas identificables podrían calificar como datos personales bajo ese esquema. En Brasil, la LGPD (Lei 13.709/2018) plantea el mismo interrogante: ¿cuál es la base legal para el tratamiento masivo de datos de circulación vehicular por fuerzas de seguridad?

    El caso Flock ilustra un riesgo sistémico que las regulaciones latinoamericanas aún no han abordado de forma explícita: la externalización de la infraestructura de vigilancia a proveedores privados que operan bajo sus propias políticas de acceso, sin que los marcos de protección de datos personales definan claramente quién es responsable del tratamiento cuando el operador es un tercero contratado por el Estado.

    Las políticas corporativas de privacidad pueden frenar el escrutinio público en el corto plazo, pero no reemplazan el trabajo legislativo que define qué datos del Estado pueden quedar en manos privadas y bajo qué condiciones. Para profundizar en el marco regulatorio aplicable a sistemas de vigilancia estatal con proveedores privados, la Resolución 4/2019 del Grupo de Trabajo del Artículo 29 (ahora EDPB) sobre videovigilancia ofrece el estándar más detallado disponible.

  • ICO amonesta a la oficina de antecedentes penales del Reino Unido por brecha de datos

    ICO amonesta a la oficina de antecedentes penales del Reino Unido por brecha de datos

    La Oficina del Comisionado de Información del Reino Unido (ICO) emitió una amonestación formal contra ACRO Criminal Records Office, unidad policial nacional encargada de emitir certificados de antecedentes penales y certificados de protección internacional de menores, tras confirmar infracciones a los artículos 32(1), 32(1)(b) y 32(1)(d) del UK GDPR.

    ACRO es una unidad policial de alcance nacional que, entre otras funciones, procesa solicitudes de acceso de titulares (Subject Access Requests) y gestiona documentación sensible vinculada a antecedentes penales y protección infantil. La ICO determinó que la entidad no implementó medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo de los datos que trata, una exigencia explícita del artículo 32 del UK GDPR. La amonestación fue publicada el 15 de agosto de 2026, según se informó en DataBreaches.net.

    Artículo 32 UK GDPR: los tres puntos de infracción confirmados

    • Artículo 32(1): ausencia de medidas técnicas y organizativas apropiadas para el nivel de riesgo del tratamiento.
    • Artículo 32(1)(b): falta de capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas de tratamiento.
    • Artículo 32(1)(d): inexistencia de un proceso regular de verificación, evaluación y valoración de la eficacia de las medidas de seguridad aplicadas.

    Qué se sabe y qué falta confirmar

    La información disponible confirma la amonestación formal de la ICO y los artículos infringidos del UK GDPR. No se han divulgado públicamente detalles sobre el volumen de registros afectados, la naturaleza técnica del incidente —si fue una exfiltración externa, un error de configuración o una exposición interna—, ni el número de personas cuyos datos podrían haberse visto comprometidos. Tampoco se ha informado si ACRO notificó el incidente a los titulares afectados ni en qué plazo. La ICO optó por una amonestación y no por una sanción económica, decisión que en el marco del UK GDPR post-Brexit es una herramienta regulatoria diferenciada de la multa administrativa, aunque igualmente vinculante en cuanto a las medidas correctivas exigidas.

    El caso tiene relevancia directa para organismos públicos en América Latina que procesan datos de categorías especiales —como antecedentes penales o datos de menores— sin controles equivalentes al artículo 32. En Argentina, la Ley 25.326 y las disposiciones de la AAIP exigen medidas de seguridad adecuadas al nivel de sensibilidad del dato; en Brasil, el artículo 46 de la LGPD impone obligaciones similares con un estándar de proporcionalidad al riesgo. Entidades públicas que gestionan registros criminales o certificados de conducta en la región operan frecuentemente sin evaluaciones periódicas de la eficacia de sus controles —exactamente el punto que motivó la infracción al artículo 32(1)(d) en este caso.

    El próximo hito a seguir es la respuesta formal de ACRO al plan de acción correctivo que la ICO tiene facultad de exigir tras la amonestación, cuyo plazo no fue publicado al cierre de esta nota.

  • NHS admite brecha de datos: enviaba información de trasplantes por pagers sin cifrar

    NHS admite brecha de datos: enviaba información de trasplantes por pagers sin cifrar

    El Servicio Nacional de Salud del Reino Unido (NHS) reconoció una brecha de datos tras confirmarse que enviaba información médica sensible de pacientes en lista de trasplante a través de una red de pagers sin cifrado. El hallazgo, producto de una investigación de la BBC, expuso nombres, fechas de nacimiento y tipos de órganos ofrecidos o necesitados circulando en texto plano.

    Según se informó, los datos se transmitían de forma rutinaria mediante dispositivos pager —tecnología de radiofrecuencia de los años ochenta— cuya señal puede interceptarse con equipos de bajo costo disponibles en el mercado. La investigación periodística detectó que el sistema afectaba específicamente a pacientes del programa de trasplantes, uno de los perfiles clínicos de mayor sensibilidad, dado que los datos expuestos incluyen información de salud que en la mayoría de los marcos regulatorios modernos recibe protección reforzada.

    Datos confirmados al 14 de agosto de 2026

    • El NHS reconoció públicamente la existencia de la brecha tras la publicación de la investigación de la BBC.
    • Los datos transmitidos incluían: nombre completo del paciente, fecha de nacimiento y tipo de órgano involucrado (ofrecido o requerido).
    • La red de pagers utilizada no contaba con cifrado en la transmisión de datos.
    • El uso de pagers para comunicaciones clínicas era, según se informó, una práctica rutinaria y no un evento aislado.
    • No se ha confirmado públicamente si hubo acceso no autorizado efectivo a los datos interceptados.

    Qué se sabe y qué falta confirmar sobre el alcance

    Lo confirmado hasta ahora es que el NHS reconoció el incidente y que la práctica era sistemática, no accidental. Lo que permanece sin verificar es el número total de pacientes afectados, el período durante el cual se realizaron estas transmisiones y si la Oficina del Comisionado de Información del Reino Unido (ICO) —autoridad de control bajo el UK GDPR— ya recibió la notificación formal de la brecha. Bajo el régimen de protección de datos vigente en el Reino Unido, las organizaciones tienen 72 horas para notificar a la autoridad cuando el riesgo para los titulares es probable. Tampoco se ha informado si el NHS activó algún protocolo de notificación individual hacia los pacientes afectados.

    El incidente tiene repercusión directa para la región. En Argentina, la Ley 25.326 de Protección de los Datos Personales clasifica los datos de salud como datos sensibles y exige medidas de seguridad adecuadas para su tratamiento; la AAIP puede ordenar el cese del tratamiento y aplicar sanciones ante incumplimientos. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece la misma categoría de dato sensible para información de salud y fija la obligación de notificación a la ANPD en plazos que la propia autoridad ha ido precisando mediante resoluciones. En México, la LFPDPPP y su reglamento obligan a los responsables a implementar medidas de seguridad físicas, técnicas y administrativas; el uso de canales no cifrados para datos de salud difícilmente superaría un escrutinio del INAI. El caso NHS es, en ese sentido, un espejo incómodo: los sistemas de salud pública de la región también operan con infraestructura heredada que no fue diseñada con privacidad en mente.

    El próximo hito a seguir es la confirmación de si la ICO recibió la notificación formal dentro del plazo de 72 horas exigido por el UK GDPR y si iniciará una investigación sobre el alcance total del incidente.

  • Reconocimiento facial en tiempo real llega al metro de Londres

    Reconocimiento facial en tiempo real llega al metro de Londres

    La policía ferroviaria británica comenzó a desplegar reconocimiento facial en vivo en el metro de Londres, con la estación Victoria como primer punto de implementación. La medida activa alertas entre organizaciones de privacidad, que advierten que la tecnología está dejando de ser excepcional para volverse rutinaria en el espacio público.

    El sistema, operado por la British Transport Police (BTP), permite identificar en tiempo real a personas que circulan por las instalaciones del Underground comparando sus rostros contra bases de datos de individuos buscados. No se trata de un piloto experimental: según se informó, la decisión es operativa y el despliegue progresivo comenzó en agosto de 2026. La elección de Victoria —una de las estaciones con mayor tráfico de pasajeros en toda la red— no es menor: cualquier tecnología instalada ahí alcanza escala masiva desde el primer día.

    Por qué Victoria y por qué ahora

    El argumento de las autoridades sigue el patrón estándar de seguridad pública: identificar sospechosos, prevenir delitos, proteger a los viajeros. Lo que distingue este caso es la velocidad con que el reconocimiento facial en vivo pasó de ser una tecnología cuestionada a una herramienta operativa normalizada en el Reino Unido. La policía metropolitana de Londres ya la venía usando en exteriores; extenderla al subterráneo cierra el círculo de vigilancia en los desplazamientos cotidianos de millones de personas. Grupos como Big Brother Watch llevan años documentando las tasas de error de estos sistemas —en particular su desempeño desproporcionadamente peor con personas de piel oscura— sin que eso haya frenado la expansión.

    El marco legal que habilita —y el que no regula— la biometría masiva en el Reino Unido

    En el Reino Unido post-Brexit, el régimen de protección de datos está contenido en el UK GDPR y la Data Protection Act 2018. Los datos biométricos califican como categoría especial, lo que en teoría exige una base legal reforzada para su tratamiento. Sin embargo, la excepción de prevención e investigación de delitos —artículo 10 de la DPA 2018— ha operado como puerta de entrada para estos despliegues sin que exista una ley específica sobre reconocimiento facial en espacios públicos. El Information Commissioner’s Office (ICO) ha emitido advertencias pero no ha bloqueado ningún despliegue policial. El resultado práctico es una tecnología que avanza más rápido que su propio marco normativo.

    Cuándo aplica el reconocimiento facial en vivo y cuándo no debería

    Los defensores del sistema distinguen entre reconocimiento facial retrospectivo —analizar imágenes ya capturadas tras un delito— y reconocimiento en vivo, que implica identificar personas en tiempo real sin causa previa. El primero tiene amparo jurídico más sólido; el segundo introduce vigilancia masiva de facto sobre toda persona que transite por el área monitoreada, con independencia de si es buscada o no. La diferencia es constitucional: el reconocimiento en vivo invierte la presunción de inocencia al tratar a todos los transeúntes como sujetos de escrutinio policial preventivo.

    América Latina: el mismo debate, marcos regulatorios más débiles

    Lo que ocurre en el Underground de Londres es un espejo adelantado de tensiones que ya se viven en la región. En Buenos Aires, el sistema de reconocimiento facial en el espacio público fue suspendido en 2022 por orden judicial tras comprobarse errores de identificación y uso irregular de la base de datos; la causa involucró a la Agencia de Acceso a la Información Pública (AAIP). En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica los datos biométricos como datos sensibles bajo el artículo 11, pero no existe aún una prohibición expresa del reconocimiento facial en vivo por parte de autoridades de seguridad. En México, la LFPDPPP regula el tratamiento de datos biométricos en el sector privado con mayor precisión que en el sector público, donde los marcos son más difusos. Colombia avanza en una reforma integral a su Ley 1581 de 2012, pero el uso policial de biometría no está en el centro del debate legislativo actual. En ningún país de la región existe hoy una norma que fije con claridad los requisitos de proporcionalidad, supervisión judicial previa y auditoría de sesgos para el reconocimiento facial en vivo en espacios públicos.

    La pendiente normativa: de la excepción al estándar

    La advertencia de los grupos de privacidad británicos apunta a un riesgo sistémico que trasciende la geografía: cuando una tecnología se normaliza operativamente antes de que exista regulación específica, el costo político de prohibirla o revertirla crece con cada despliegue adicional. El Reglamento de Inteligencia Artificial de la Unión Europea (AI Act), que entró en vigor en agosto de 2024, prohíbe en su artículo 5 el uso de sistemas de identificación biométrica remota en tiempo real en espacios públicos para propósitos policiales, con excepciones acotadas. Ese estándar no aplica al Reino Unido ni a ningún país latinoamericano, pero constituye hoy la referencia de más alto rango disponible para legisladores que quieran establecer límites.

    El texto íntegro del AI Act, incluyendo las prohibiciones de biometría en tiempo real, está disponible en el Diario Oficial de la Unión Europea (Reglamento 2024/1689). Para el debate regional, el fallo judicial de Buenos Aires de 2022 y la resolución de la AAIP asociada siguen siendo la referencia jurisprudencial más concreta de América Latina sobre los límites del reconocimiento facial en el espacio público.

  • Juez federal regula el manejo de datos robados a Change Healthcare en litigio

    Juez federal regula el manejo de datos robados a Change Healthcare en litigio

    Un juez federal de Minnesota emitió una orden judicial que establece reglas estrictas sobre cómo los datos robados durante el ciberataque a Change Healthcare en 2024 pueden ser utilizados en el marco del litigio colectivo en curso contra UnitedHealth Group. La magistrada Dulce J. Foster aprobó el plan el 7 de agosto de 2026, según informó Becker’s.

    La orden aplica a la demanda consolidada contra UnitedHealth Group y varias empresas vinculadas, y regula el acceso, almacenamiento y circulación de la información exfiltrada durante uno de los ciberataques más graves registrados contra el sector salud en Estados Unidos. El ataque de 2024 comprometió datos de salud de decenas de millones de personas, según se informó en su momento, e interrumpió operaciones de facturación médica en todo el país.

    Orden de protección sobre datos exfiltrados: qué establece

    La medida judicial define condiciones específicas bajo las cuales abogados, peritos y partes del proceso pueden acceder al material robado que ahora forma parte del expediente. Este tipo de orden —denominada “protective order” en el sistema estadounidense— es un mecanismo procesal que busca evitar que datos sensibles incorporados como evidencia sean utilizados fuera del ámbito del juicio o sufran una exposición adicional. El hecho de que se haya formalizado un protocolo diferenciado para este material refleja la sensibilidad excepcional de los registros involucrados, que incluyen información de salud protegida bajo HIPAA.

    El expediente colectivo reúne múltiples demandas contra UnitedHealth Group por su presunta responsabilidad en el incidente, incluyendo alegaciones sobre controles de seguridad insuficientes y demoras en la notificación a los afectados. La aprobación de reglas específicas de manejo sugiere que el volumen y la naturaleza de los datos exfiltrados representan un desafío procesal sin precedentes para los tribunales federales.

    Datos confirmados y qué falta verificar

    • Fecha de aprobación de la orden: 7 de agosto de 2026.
    • Autoridad firmante: magistrada Dulce J. Foster, Distrito Federal de Minnesota.
    • Demandada principal: UnitedHealth Group y otras empresas del grupo.
    • Origen de los datos: ciberataque a Change Healthcare, ocurrido en 2024.
    • Alcance del ataque: datos de decenas de millones de personas, según se informó.

    Lo que aún no está confirmado públicamente incluye el detalle exacto de las restricciones impuestas por la orden, qué categorías específicas de datos quedan bajo el protocolo diferenciado y si la medida contempla algún mecanismo de supervisión independiente sobre el cumplimiento de las partes. Tampoco se ha informado si la orden establece plazos de destrucción o devolución del material una vez concluido el proceso.

    Para los equipos jurídicos y de cumplimiento en América Latina, el caso tiene relevancia directa. Brasil, bajo la LGPD (Lei Geral de Proteção de Dados), exige notificación a la ANPD ante incidentes con “risco ou dano relevante” a los titulares; Argentina, bajo la Ley 25.326 y las disposiciones de la AAIP, contempla obligaciones similares. La pregunta que este litigio deja abierta —si las medidas de seguridad previas eran razonables— es exactamente el estándar que los reguladores latinoamericanos aplican al evaluar responsabilidad del responsable del tratamiento. Un fallo adverso contra UnitedHealth podría convertirse en referencia comparada para futuros casos en la región.

    El próximo hito procesal a seguir es la definición del calendario de descubrimiento probatorio, que determinará en qué condiciones los datos robados serán efectivamente presentados como evidencia ante el tribunal.

  • CISA advierte sobre Gunra Ransomware: doble extorsión contra infraestructura crítica

    CISA advierte sobre Gunra Ransomware: doble extorsión contra infraestructura crítica

    La Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) emitió el 10 de agosto de 2026 una alerta formal sobre Gunra, un ransomware-as-a-service (RaaS) activo desde 2025 que opera bajo un esquema de doble extorsión: cifra los datos de sus víctimas y amenaza con publicarlos en un sitio de filtraciones dedicado si no se paga el rescate. Los sectores afectados incluyen gobierno, infraestructura crítica y otras organizaciones.

    Gunra surgió como variante independiente en 2025 y escaló a modelo RaaS a lo largo de 2026, lo que significa que sus operadores reclutan afiliados externos que ejecutan los ataques a cambio de una porción del rescate cobrado. Este modelo reduce la barrera técnica de entrada para actores maliciosos y amplía significativamente la superficie de ataque. La alerta de CISA fue publicada bajo el programa #StopRansomware, que sistematiza avisos técnicos sobre amenazas activas para facilitar la respuesta de organizaciones públicas y privadas.

    Doble extorsión: cifrado más exfiltración confirmada

    El vector que distingue a Gunra es la combinación de cifrado de datos con exfiltración previa y amenaza de publicación. Los afiliados no solo inutilizan los sistemas de la víctima: antes de activar el cifrado, extraen información sensible y la alojan en un dedicated leak site (DLS) propio. Esto convierte cada ataque en un incidente de privacidad potencial, independientemente de si la organización logra restaurar sus sistemas desde respaldos. Según se informó en la alerta de CISA, los objetivos prioritarios son entidades gubernamentales e infraestructura crítica, categorías que en América Latina incluyen organismos de salud pública, energía, agua y sistemas financieros regulados.

    Datos confirmados

    • Gunra apareció por primera vez como variante de ransomware en 2025.
    • La expansión a modelo RaaS se confirmó en 2026.
    • Opera con doble extorsión: cifrado + publicación de datos exfiltrados en DLS propio.
    • Sectores objetivo declarados: gobierno, infraestructura crítica y otras organizaciones.
    • La alerta fue emitida por CISA el 10 de agosto de 2026 bajo el programa #StopRansomware.

    La alerta de CISA no detalla el número de víctimas confirmadas ni especifica países afectados fuera de Estados Unidos. Tampoco se informó el monto promedio de rescate exigido ni los vectores de acceso inicial utilizados por los afiliados. Estos datos permanecen sin confirmar al cierre de esta nota.

    Para las organizaciones en América Latina, el esquema RaaS de Gunra tiene implicancias directas en materia de notificación de brechas. En Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la Autoridade Nacional de Proteção de Dados (ANPD) en un plazo razonable cuando hay exfiltración de datos personales. En Argentina, la Ley 25.326 y las disposiciones complementarias de la AAIP establecen la obligación de reportar incidentes de seguridad. En México, el INAI exige notificación bajo la LFPDPPP cuando datos personales bajo custodia de responsables privados son comprometidos. En todos estos casos, el modelo de doble extorsión activa automáticamente las obligaciones de reporte, incluso si la organización decide no pagar el rescate: la exfiltración ya ocurrió.

    Las organizaciones en la región con infraestructura crítica o datos gubernamentales bajo custodia deben verificar hoy si sus planes de respuesta a incidentes incluyen protocolos de notificación a autoridades de protección de datos ante exfiltración confirmada, no solo ante cifrado.

  • Brecha en proveedor logístico de Bol expone datos de clientes en la dark web

    Brecha en proveedor logístico de Bol expone datos de clientes en la dark web

    El retailer neerlandés Bol notificó a sus clientes que información personal pudo haber sido vista o copiada por terceros no autorizados que accedieron a los sistemas de uno de sus socios logísticos. Los datos comprometidos ya aparecieron publicados en la dark web, según se informó, convirtiendo el incidente en el segundo caso resonante en el comercio minorista holandés en pocas semanas, tras el aviso similar emitido por la cadena de lujo De Bijenkorf.

    Un ataque al proveedor, un problema del retailer

    Bol fue enfático en aclarar que sus propios sistemas no fueron vulnerados. Sin embargo, esa distinción tiene un peso limitado para los consumidores afectados: los datos son igualmente suyos, independientemente de en qué servidor estuvieran almacenados. Este es el patrón clásico del ataque a la cadena de suministro digital — el actor principal no es el blanco directo, pero termina siendo el rostro de la crisis ante sus usuarios. La empresa emitió un comunicado advirtiendo que “alguna información de clientes pudo haber sido visualizada o copiada”, sin detallar el volumen exacto de registros expuestos ni la naturaleza precisa de los datos involucrados.

    La coincidencia temporal con el caso De Bijenkorf no es anecdótica. Sugiere que uno o más actores maliciosos están apuntando sistemáticamente a operadores logísticos que prestan servicios a múltiples retailers, maximizando el impacto de un único punto de compromiso. Este vector — conocido en la industria como third-party breach — es precisamente el que los marcos regulatorios modernos buscan cubrir con obligaciones de due diligence sobre proveedores.

    El GDPR y la notificación: el reloj ya corre

    Bajo el Reglamento General de Protección de Datos (GDPR), tanto el responsable del tratamiento como el encargado tienen obligaciones claras ante una brecha de seguridad. El responsable — en este caso Bol, dado que es quien tiene la relación contractual con el cliente final — debe notificar a la autoridad competente, la Autoriteit Persoonsgegevens (AP) de los Países Bajos, dentro de las 72 horas de haber tomado conocimiento del incidente. Si los datos expuestos representan un riesgo alto para los derechos de los individuos, también corresponde la notificación directa a los afectados. La aparición de los datos en la dark web eleva considerablemente ese nivel de riesgo.

    El caso tiene lectura directa para América Latina. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 la obligación de notificar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en “prazo razoável”, cuya interpretación la ANPD ha ido precisando en resoluciones sucesivas. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) contempla la notificación de brechas en su normativa, aunque el proyecto de reforma de la Ley 25.326 busca alinear plazos y obligaciones más explícitamente con el estándar europeo. En México, la LFPDPPP no establece un plazo específico de notificación, una laguna que el sector señala como pendiente de resolver.

    La responsabilidad no termina en el firewall propio

    Lo que el incidente de Bol pone sobre la mesa es una pregunta que todo responsable de privacidad en e-commerce y retail debería estar respondiendo ahora mismo: ¿qué nivel de acceso a datos de clientes tienen los proveedores logísticos, y bajo qué controles? Los contratos de tratamiento de datos (Data Processing Agreements o DPA, en la nomenclatura del GDPR) deben especificar medidas técnicas y organizativas mínimas, y su cumplimiento no puede auditarse una sola vez al año. En la región, muchas empresas de retail transfieren datos de envío — nombre, dirección, teléfono, en algunos casos correo electrónico e historial de compras — a operadores logísticos sin cláusulas contractuales que contemplen escenarios de brecha y responsabilidades de notificación.

    “La cadena de responsabilidad sobre los datos personales no termina donde termina el sistema propio. Termina donde termina el dato.”

    — Principio rector del enfoque de responsabilidad proactiva bajo GDPR y LGPD

    Qué mirar en las próximas horas

    Quedan abiertas varias variables que determinarán la gravedad final del caso: el tipo de datos expuestos (si incluyen información financiera o de autenticación, el riesgo escala significativamente), el número de registros publicados en la dark web, y la respuesta formal de la Autoriteit Persoonsgegevens. También será relevante saber si el mismo operador logístico prestaba servicios a De Bijenkorf, lo que confirmaría o descartaría la hipótesis de un ataque coordinado contra un proveedor compartido. Los clientes de Bol, mientras tanto, deberían estar atentos a correos de phishing que utilicen sus datos para parecer legítimos — una táctica habitual una vez que la información personal circula en foros clandestinos.

    En retail, el dato del cliente viaja con el paquete — y la responsabilidad legal, también.

  • SDKs publicitarios filtran ubicación sin consentimiento: lo que reveló la EFF

    SDKs publicitarios filtran ubicación sin consentimiento: lo que reveló la EFF

    Un informe de la Electronic Frontier Foundation (EFF) reveló que varios kits de desarrollo de software (SDKs) publicitarios comparten por defecto la ubicación de los usuarios con brokers de datos, sin su conocimiento ni consentimiento real. Entre los señalados figuran InMobi, BidMachine, HyBid de Verve y Petal Ads de Huawei. El hallazgo expone una cadena de transferencia de datos personales que opera de manera silenciosa dentro de millones de aplicaciones móviles.

    Los SDKs publicitarios son paquetes de código que los desarrolladores integran en sus apps para monetizarlas mediante publicidad. Su uso es masivo: prácticamente cualquier aplicación gratuita los incorpora. El problema, según documentó la EFF tras revisar la documentación pública de decenas de estos kits, es que varios de ellos activan por defecto la recolección y transmisión de la ubicación precisa del usuario en el momento en que la app recibe permiso de geolocalización, independientemente del propósito original para el que ese permiso fue otorgado.

    El mecanismo: consentimiento aparente, transferencia real

    El núcleo del problema no es técnico sino de diseño deliberado. Cuando un usuario autoriza a una app de delivery o navegación a acceder a su ubicación, no necesariamente entiende que esa misma señal puede activar un SDK publicitario que la reenvía a sistemas de rastreo de terceros. La investigadora Lena Cohen, tecnóloga de la EFF, lo describió con precisión:

    “Los valores predeterminados importan, no solo para los usuarios sino también para los desarrolladores. Si los desarrolladores no prestan atención a la configuración de compartición de ubicación de sus herramientas publicitarias, podrían exponer inadvertidamente la información de ubicación de los usuarios.”

    — Lena Cohen, tecnóloga senior, Electronic Frontier Foundation

    La investigación también señala que los SDKs utilizan incentivos económicos para estimular a los desarrolladores a habilitar la geolocalización: a mayor precisión de datos compartidos, mayores ingresos por publicidad. Esto crea una presión estructural para que la privacidad ceda frente a la monetización, incluso cuando los desarrolladores no tienen una intención explícita de vulnerar datos de sus usuarios.

    Qué implica esto para LATAM

    América Latina concentra algunos de los mercados de apps más activos del mundo. Brasil, México y Argentina figuran entre los diez países con mayor descarga de aplicaciones móviles a nivel global, según datos de la industria. Eso significa que millones de usuarios de la región están potencialmente expuestos a este mecanismo de fuga de datos, muchos de ellos sin ninguna protección legal efectiva activada en su favor.

    En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece que el tratamiento de datos de geolocalización requiere base legal explícita y, en muchos casos, consentimiento específico. La Autoridade Nacional de Proteção de Dados (ANPD) ya emitió orientaciones sobre el principio de finalidad: los datos recabados para un propósito no pueden reutilizarse para otro sin nueva base legal. Un SDK que redirige datos de ubicación a brokers publicitarios sin que el usuario lo sepa difícilmente cumple ese estándar. En Argentina, la Ley 25.326 y las directrices de la AAIP apuntan en la misma dirección: el consentimiento debe ser informado, libre y específico para cada finalidad.

    México no es la excepción. La LFPDPPP obliga a los responsables del tratamiento a informar de manera clara con qué terceros se compartirán los datos y para qué fines. Si un desarrollador integra un SDK sin auditar su comportamiento en materia de geolocalización, puede estar transfiriendo datos a terceros sin haberlo declarado en su aviso de privacidad, lo que configura una infracción directa.

    El desarrollador también es responsable

    Un punto que la EFF subraya y que suele pasarse por alto en los debates regulatorios es la responsabilidad del desarrollador frente a las prácticas del SDK que incorpora. Integrar una librería de terceros no exime al responsable de la app de las obligaciones sobre los datos que fluyen a través de ella. En términos del RGPD europeo —referencia técnica para varias normativas latinoamericanas— el desarrollador actúa como responsable del tratamiento y el SDK como encargado; esa relación debe estar contractualmente documentada y el encargado debe operar bajo instrucciones del responsable, no al revés.

    La documentación poco clara o deliberadamente opaca de algunos SDKs, otro hallazgo de la EFF, agrava este problema: si el desarrollador no puede entender cómo configura la transmisión de datos la herramienta que usa, tampoco puede cumplir con sus obligaciones de información al usuario. El informe recomienda que los desarrolladores auditen activamente los SDKs que integran, desactiven el intercambio de ubicación cuando no sea estrictamente necesario, y exijan documentación clara a los proveedores.

    Reguladores bajo presión

    El informe de la EFF llega en un momento en que la regulación del mercado de brokers de datos de ubicación está ganando atención global. En Estados Unidos, la FTC ya tomó acciones contra empresas del sector. En LATAM, los marcos legales existen pero la supervisión activa del ecosistema de SDKs publicitarios sigue siendo prácticamente inexistente. Ninguna autoridad de protección de datos de la región ha publicado hasta la fecha guías específicas sobre las obligaciones de los desarrolladores respecto a las librerías de terceros que integran en sus aplicaciones.

    Mientras los reguladores latinoamericanos no pongan la lupa sobre el ecosistema de SDKs publicitarios, los marcos legales de privacidad de la región seguirán teniendo un punto ciego del tamaño de la economía de datos de ubicación.

  • Filtración masiva en Corea: USD 3,50 de compensación por persona enciende el debate

    Filtración masiva en Corea: USD 3,50 de compensación por persona enciende el debate

    La Corporación de Instalaciones de Seúl enfrenta una tormenta política tras ofrecer 5.000 wones —equivalentes a unos 3,50 dólares— como compensación a cada una de las 4,62 millones de personas afectadas por una brecha de datos personales. La cifra, considerada irrisoria por legisladores surcoreanos, reabre el debate global sobre cómo valuar el daño real que sufren los individuos cuando sus datos son comprometidos.

    El concejal Im Gyu-ho, del Partido Democrático de Corea, fue uno de los primeros en cuestionar públicamente la propuesta ante el Consejo Metropolitano de Seúl. Según se informó, el funcionario señaló que el monto no refleja ni el alcance del incidente ni la naturaleza de los datos expuestos, y exigió una revisión del esquema indemnizatorio. La cifra total que desembolsaría la corporación rondaría los 23 millones de dólares, pero distribuida entre millones de personas, el impacto individual resulta casi simbólico.

    El problema de fondo: ¿cuánto vale un dato personal?

    La controversia surcoreana no es un caso aislado: es la versión más reciente de un debate que ningún sistema regulatorio ha resuelto del todo. Establecer un valor monetario al daño derivado de una brecha de datos personales implica considerar factores heterogéneos —riesgo de fraude, estrés, pérdida de control sobre la propia identidad digital— que los marcos legales traducen en criterios distintos según la jurisdicción. En Europa, el RGPD habilita indemnizaciones por “daño moral” sin tope mínimo definido, lo que ha derivado en sentencias que van desde unos pocos euros hasta compensaciones de cuatro cifras por persona en casos de exposición de datos sensibles.

    En América Latina, el panorama es fragmentado. En Argentina, la Ley 25.326 de Protección de Datos Personales prevé acciones de daños y perjuicios, pero la práctica judicial aún no ha consolidado estándares claros de cuantificación por brecha masiva. En Brasil, la Lei Geral de Proteção de Dados (LGPD) contempla la responsabilidad civil del controlador y habilita a la Autoridade Nacional de Proteção de Dados (ANPD) a sancionar, aunque las primeras resoluciones sancionatorias recién están sentando precedente. México, a través del INAI y la LFPDPPP, también carece de una doctrina consolidada sobre montos compensatorios individuales en incidentes de escala masiva.

    Sanciones que no duelen: el riesgo del “precio del dato”

    Cuando la compensación por persona se fija en cifras que no generan incentivos reales para prevenir incidentes, el sistema regulatorio pierde efectividad disuasoria. Este es, precisamente, el argumento que subyace a la crítica del legislador Im Gyu-ho: si una entidad pública puede procesar de forma insegura los datos de 4,62 millones de ciudadanos y saldar la cuenta con 3,50 dólares por cabeza, el costo del incumplimiento es inferior al costo de invertir en controles preventivos. Esa lógica —el “precio del dato”— es exactamente lo que marcos como el RGPD intentaron romper con multas de hasta el 4% de la facturación global anual.

    “La compensación no refleja el alcance del incidente ni la naturaleza de los datos expuestos. Debe revisarse el esquema indemnizatorio.”

    — Im Gyu-ho, concejal del Partido Democrático de Corea, Consejo Metropolitano de Seúl

    Implicancias para la región

    El caso de Seúl ofrece una referencia concreta para los debates legislativos que se desarrollan en la región. En Colombia, la Ley Estatutaria 1581 y su regulación complementaria están siendo revisadas en el marco de una posible reforma. En Chile, la nueva Ley Marco de Ciberseguridad y la Ley de Protección de Datos Personales recientemente promulgada incorporan criterios de proporcionalidad en las sanciones. En todos estos contextos, la pregunta de fondo es la misma: ¿las multas y compensaciones previstas son suficientes para modificar el comportamiento de las organizaciones que procesan datos masivamente, o seguirán siendo un costo tolerable de operación?

    La discusión también interpela a entidades públicas, que en muchos países latinoamericanos quedan fuera o en zonas grises de los regímenes de responsabilidad por datos personales. Si los organismos estatales no están sujetos a los mismos estándares sancionatorios que el sector privado, el incentivo para invertir en seguridad y gobernanza de datos se debilita aún más. La Corporación de Instalaciones de Seúl —una entidad pública metropolitana— ilustra exactamente ese riesgo.

    Cuando la compensación por una brecha masiva cuesta menos que una taza de café por persona, no es un problema de matemáticas: es un problema de diseño regulatorio.