Categoría: Privacidad

Por Daniel Monastersky – www.danielmonastersky.com

Es lunes a las nueve de la mañana. Abrís el sistema de liquidación de sueldos para ver el reporte del cierre del mes. La pantalla dice: “Servicio temporalmente no disponible”.

Pensás que es un problema técnico, una caída pasajera. Mandás un mail al soporte, no contestan. Llamás por teléfono, no contestan. A las dos de la tarde aparece un comunicado en la página del proveedor: “Estamos investigando un incidente de seguridad.”

A las seis, te enterás por una nota en LinkedIn que el incidente fue un ransomware, que los atacantes pidieron rescate y que en la base que afanaron había datos de todos los clientes del proveedor. Datos de empleados. Nombres. DNIs. Salarios. CBUs. Direcciones particulares.

De tus empleados.

Esa noche entendés algo incómodo: vos no te confiaste tu liquidación de sueldos a ese proveedor. Vos contrataste un software hace seis años, firmaste un contrato que probablemente no leíste con atención, y le pasaste los datos de toda tu gente. Después no preguntaste más. Asumiste que estaban bien guardados porque la empresa “es seria” o “es grande” o “la usan todos”.

El lunes te despertaste con un problema técnico. El martes te despertás con una crisis de protección de datos. Y la crisis no es de tu proveedor: es tuya.

El proveedor no es un proveedor: es una llave

Hay algo del modelo de negocios moderno al que nos acostumbramos sin querer: hoy una empresa de cincuenta personas tiene fácilmente cuarenta proveedores con acceso a información crítica de su operación.

El sistema de facturación electrónica. El CRM. El proveedor de mail marketing. La plataforma de videollamadas. El antivirus. La consultora de marketing que te ayuda con la base de clientes. El estudio contable que tiene todo. La agencia de RRHH que mueve los CVs. La empresa de seguridad que monitorea las oficinas. El IT externo que entra remoto cuando algo se rompe. El backup en la nube. La pasarela de pagos. El asistente que usa la directora general que abre Drive con todos los documentos de la compañía.

A cada uno le entregaste algo. A algunos, mucho. La mayoría tiene mejores accesos a tu información que un empleado nuevo en período de prueba. Y a casi ninguno lo conocés más allá del comercial que te firmó el contrato.

Eso es supply chain. No es un concepto técnico. Es el dibujo, hoy invisible, de quién puede tocar tus datos sin que se lo pidas.

La parte que da más miedo: no termina en tu proveedor

Acá viene el detalle que pocos miran. Tu proveedor también tiene proveedores.

Tu sistema de facturación corre arriba de un hosting que vos no contrataste. Ese hosting usa servicios de almacenamiento que tampoco contrataste. La plataforma de mail marketing que mandás todas las semanas tiene seis integraciones que se loguean con OAuth a tu cuenta sin que vos te enteres. La agencia que diseñó tu última campaña usó dos herramientas de IA, un repositorio de imágenes y una plataforma de revisión que comparte todo con un proveedor en otro continente.

Cada uno de ellos podría ser hackeado. Cada uno de ellos, si lo es, te alcanza a vos. Y entre tu empresa y la brecha no hay una conexión directa: hay una cadena de tres, cuatro o cinco eslabones de los cuales conocés —con suerte— el primero.

A esa cadena se la llama supply chain. Y hoy es la puerta de entrada favorita de cualquier ataque serio: no es necesario forzar tu cerradura cuando hay diez proveedores conectados a tu casa con llave maestra.

Los casos que ya no se pueden ignorar

Si alguien pensaba que esto era teoría, los últimos doce meses dejaron una serie de incidentes que conviene tener cerca.

En abril de 2025, Marks & Spencer —ícono del retail británico— fue golpeado por un ransomware durante el fin de semana de Pascua. Los atacantes no entraron por la puerta digital de M&S: entraron usando las credenciales de dos empleados de Tata Consultancy Services (TCS), el proveedor de IT que M&S tenía contratado hacía más de diez años. Resultado: tiendas funcionando con planillas en papel, sistema de e-commerce caído durante seis semanas, y una pérdida proyectada de 300 millones de libras según el propio reporte de la compañía a la Bolsa de Londres. Co-op y Harrods fueron golpeados días después por la misma campaña.

En agosto de 2025, Jaguar Land Rover sufrió uno de los ciberataques más caros de la historia. Cinco semanas con la producción detenida en sus plantas británicas. Más de 5.000 empresas de su cadena de suministro afectadas —proveedores, talleres, concesionarias, transportistas, comercios de los pueblos donde funcionan las fábricas—. La cuenta final, según el organismo independiente que monitorea estos incidentes en el Reino Unido, asciende a 1.900 millones de libras. Es el ataque cibernético más caro de la historia británica. Una sola compañía golpeada, miles de empresas con problemas. Así funciona la cadena hoy.

En noviembre de 2025, un actor no autorizado se metió en la red del sistema público de salud de Nueva York. No lo detectaron hasta febrero de 2026 —casi tres meses después—. La puerta de entrada fue un proveedor externo cuyo nombre no se hizo público. Cuando hicieron el inventario del daño, los números fueron de los peores que se vieron este año: 1,8 millones de personas con sus datos médicos, financieros, identificaciones gubernamentales y huellas dactilares y palmares expuestos. La biometría no se cambia: si te robaron las huellas, las tenés robadas para siempre.

Las llamadas no las recibió el proveedor. Las recibió, en cada caso, la empresa que confió en él.

Y un dato sobrio que vale repetir: según el último informe global de investigaciones de brechas (Verizon DBIR 2025), el porcentaje de brechas en las que estuvo involucrado un tercero pasó del 15% al 30% en un solo año. Se duplicó. Es uno de los cambios más significativos que registró el informe en sus 18 ediciones. El próximo incidente que sufra tu empresa, estadísticamente, va a venir de la mano de alguien con quien tenés contrato.

Por qué pasa lo que pasa

La pregunta razonable es: ¿cómo llegamos acá? La respuesta tiene tres capas y ninguna es novedosa.

La primera es que nadie tiene la foto completa. Las áreas comerciales contratan herramientas de marketing. RRHH contrata sistemas de selección y onboarding. Finanzas contrata software contable. Sistemas contrata infraestructura. Legales contrata gestores de firmas digitales. Cada área cumplió con su trabajo. Pero nadie, en muchas empresas, tiene un inventario único de qué proveedor tiene qué información, con qué nivel de acceso, bajo qué contrato. La empresa no tiene un mapa de su propia cadena.

La segunda es que firmar un contrato no es lo mismo que controlar al proveedor. Tener un anexo de confidencialidad no garantiza que el proveedor cifre tu información. Tener un acuerdo de tratamiento de datos no garantiza que esté cumpliendo con lo que firmó. La auditoría es un acto, no un papel. Y la auditoría a proveedores, en la mayoría de las empresas, no se hace nunca.

La tercera es que el proveedor también cambió sin avisarte. Hace cinco años contrataste un software simple, alojado en un único servidor. Hoy ese software usa quince integraciones, está conectado a tres proveedores nuevos, incorporó funcionalidades de inteligencia artificial que mueven tus datos por lugares que no estaban en el contrato original. Vos firmaste con el de 2020, pero estás expuesto al de 2026.

Lo que importa, en el idioma del que decide

Si sos quien firma los cheques o los contratos, conviene tener clara una cosa: cuando un proveedor sufre una brecha, la responsabilidad legal y reputacional es tuya, no de él.

La Ley 25.326 de Protección de Datos Personales pone la obligación sobre el responsable del tratamiento —es decir, sobre vos— de garantizar que el encargado al que le confiaste los datos los proteja correctamente. No alcanza con decir “yo confiaba en el proveedor”. La autoridad de aplicación va a preguntarte qué medidas tomaste para asegurarte de que esa confianza estuviera justificada. Y los proyectos de reforma que están en debate refuerzan ese principio: vas a tener que demostrar la diligencia, no solo declararla.

A esto se suma una verdad más simple y más dura: tu cliente no se enoja con tu proveedor. Se enoja con vos. Tu socio comercial no rompe la relación con tu proveedor. La rompe con vos. El medio que titula la noticia no nombra a tu proveedor en el zócalo. Te nombra a vos.

La cadena de suministro se contrata hacia abajo. La cuenta se paga hacia arriba.

Lo que sí se puede hacer

La buena noticia es que esto es ordenable. La mala es que ordenarlo no se hace en una tarde y no se hace solo.

El primer paso es hacer la lista. Mapear, sin pudor, qué proveedores hay, qué información manejan, con qué nivel de acceso. La mayoría de las empresas que hacen este ejercicio por primera vez se sorprenden con la cantidad. Lo que no se ve, no se gestiona.

El segundo paso es clasificar. No todos los proveedores son iguales. El que tiene acceso a tu base de clientes no es el mismo riesgo que el que te imprime las tarjetas personales. Categorizar permite invertir el esfuerzo donde realmente importa.

El tercer paso es revisar los contratos. No con el comercial que te llama para venderte el upgrade, sino con la mirada legal y técnica que aplique hoy: ¿hay cláusulas de notificación de incidentes? ¿En qué plazo? ¿Hay derecho a auditar? ¿Se identifican los subcontratistas?

El cuarto paso es auditar de verdad. No con una encuesta que el proveedor llena solo, sino con evidencias, pruebas, certificaciones verificables y conversaciones honestas con su equipo de seguridad. Los proveedores serios saben que esto es parte del juego y lo agradecen.

El quinto paso es no terminar nunca. El ecosistema cambia, los proveedores cambian, las amenazas cambian. La gestión de riesgo de proveedores no es un proyecto que se entrega y se archiva: es una práctica continua.

Volvé al lunes a la mañana del principio. El sistema caído. El soporte que no contesta. Esa escena no es un mal recuerdo. Es el primer minuto de un problema que ya empezó antes de que vos lo supieras. Empezó el día que firmaste un contrato sin preguntar. Siguió cada mes que pagaste la factura sin auditar. Y va a terminar el día que te llame el primer cliente preguntando dónde están sus datos.

Esa llamada se puede evitar. No del todo, no para siempre, pero sí en buena medida. Lo que no se puede evitar es la pregunta que va a venir después del incidente: “¿Por qué nunca auditamos a este proveedor?” El momento de tener la respuesta es ahora, no después.

Fuentes: Marks & Spencer (Reuters, BBC, Cybernews, mayo 2025); Jaguar Land Rover (Cyber Monitoring Centre UK, octubre 2025); NYC Health + Hospitals (aviso oficial, mayo 2026); Verizon Data Breach Investigations Report 2025; Ley 25.326 de Protección de Datos Personales y proyectos de reforma (AAIP).

Por Daniel Monastersky – www.danielmonastersky.com

Imaginate por un momento que sos padre o madre de un chico de 13 años que acaba de firmar su primer contrato con las inferiores de un club de fútbol. Para que el club lo evalúe, lo cuide y lo proyecte, no vas a entregar solamente una autorización firmada: vas a entregar su historia clínica completa, sus evaluaciones psicológicas, datos biométricos de seguimiento físico y nutricional, información económica de tu familia, certificados de antecedentes y, cada vez más seguido, su ubicación en tiempo real durante los entrenamientos. Confiás esa intimidad porque asumís que un club profesional la cuida con el mismo rigor con el que la cuidaría un hospital o un banco.

Ese supuesto se acaba de romper en Europa, y la advertencia es válida para todos nosotros.

Una multa de 66.000 euros que no es la noticia

La Real Sociedad, uno de los clubes históricos de la liga española, sufrió un ataque de ransomware que expuso los datos de unas 60.000 personas: jugadores, empleados, juveniles, familiares, profesionales del cuerpo médico. La Agencia Española de Protección de Datos (AEPD) investigó el incidente y detectó un combo difícil de explicar en una entidad de ese porte: información de categoría especial —salud, biometría, antecedentes penales— almacenada sin cifrado; copias de seguridad conviviendo en los mismos servidores comprometidos; y una red interna sin segmentación, donde bastó un equipo personal infectado para que el ataque se expandiera por toda la infraestructura.

La sanción fue de 110.000 euros, reducida a 66.000 por pago voluntario. Pero la multa, en este caso, es lo menos importante. Lo verdaderamente relevante es el diagnóstico que viene atrás: no estamos frente a una desprolijidad puntual, sino frente a un modelo de gestión de riesgos que no se corresponde con el volumen y la sensibilidad de la información tratada.

Lo que este expediente revela es un problema cultural que excede largamente a un club. Se trata de la convicción —tan extendida en el mundo del deporte profesional— de que las entidades deportivas son “solo” clubes, y no organizaciones intensivas en datos críticos. La realidad es otra, y conviene decirla con todas las letras.

Un club de élite hoy es, simultáneamente, una clínica (por el volumen de datos de salud, rendimiento y rehabilitación), una entidad financiera (por la información económica de contratos, comisiones, primas y patrimonio familiar), un juzgado en miniatura (por los certificados de antecedentes que exige procesar para trabajar con menores) y un laboratorio biométrico (por la captura permanente de variables fisiológicas de los jugadores). Todo eso, en una sola estructura que muchas veces sigue gestionando la seguridad de la información como si su mayor exposición fuera la cuenta de Instagram del primer equipo.

El RGPD —como debería ocurrir con cualquier régimen serio de protección de datos— no hace excepciones por escudos, colores o cantidad de hinchas. La obligación de aplicar medidas de seguridad adecuadas al riesgo es la misma que la de cualquier hospital o aseguradora. Y, sin embargo, los hallazgos de la AEPD parecen describir una organización que todavía no terminó de asumir esa equivalencia.

El espejo incómodo para Argentina y la región

Si esto pasa en España, donde el RGPD lleva años de implementación y la AEPD tiene un historial activo de sanciones, la pregunta inevitable es qué está pasando en el ecosistema deportivo argentino y regional.

¿Cuántos clubes de primera división tienen hoy una política formal de gobierno de datos, segmentación de red, cifrado sistemático de información sensible y un plan probado de respuesta ante incidentes? ¿Cuántos cuentan con un responsable identificable de privacidad? ¿Cuántos aplican un enfoque de protección reforzada para los datos de los menores que pasan por sus divisiones inferiores, sus predios formativos y sus escuelitas de fútbol?

Las respuestas, hoy por hoy, son incómodas.

Lo más preocupante es que la fragilidad crece a medida que bajamos de categoría. Si un club con los recursos de la Real Sociedad llegó hasta acá, ¿cuál es el estado real de la seguridad en clubes del ascenso, en federaciones con estructuras mínimas o en las academias privadas que captan chicos desde los seis o siete años?

Qué tiene que cambiar, en serio

El caso Real Sociedad debería servirnos como punto de inflexión, no como anécdota internacional. No alcanza con un antivirus, una copia de seguridad ocasional y la delegación de todo “al área de sistemas”.

No hay misterio sobre qué hay que hacer: los estándares están escritos hace años y son los mismos que cualquier hospital o entidad financiera viene aplicando desde hace tiempo. Pero conviene enumerarlos, porque a veces lo evidente es justo lo que falta. Hace falta una política clara de gobierno de datos que defina qué información se trata, con qué finalidad, durante cuánto tiempo y con qué base de legitimación. Hace falta cifrado sistemático de la información sensible —salud, biometría, antecedentes, datos de menores— tanto en tránsito como en reposo. Hace falta segmentación de la red interna, de modo que un equipo comprometido no pueda contaminar toda la infraestructura. Hacen falta copias de seguridad aisladas, idealmente bajo la regla 3-2-1 y con al menos una copia offline. Y hace falta, sobre todo, un plan de respuesta ante incidentes probado, que involucre a la dirigencia, al cuerpo médico, a recursos humanos y a los asesores legales, no únicamente a sistemas.

Sería deseable, además, que las autoridades de control de la región —en nuestro caso, la AAIP— impulsen guías sectoriales específicas para entidades deportivas, fijando expectativas mínimas y buenas prácticas adaptadas a una realidad muy particular. Y que las propias federaciones y ligas asuman un rol activo: la seguridad de los datos de los jugadores y sus familias no puede depender de la voluntad o el presupuesto de cada club.

Volvamos un momento al chico de 13 años del principio. Su historia clínica, sus evaluaciones, su ubicación en tiempo real durante los entrenamientos. Su intimidad, en definitiva, viajando por servidores que sus padres nunca van a ver y por redes que nadie les explicó. La protección reforzada de los datos de menores no es un capítulo más de la agenda: es el eje no negociable sobre el que debería ordenarse todo lo demás.

Porque la próxima brecha no se va a medir solamente en euros, dólares o pesos de multa. Se va a medir en la confianza de quienes entregaron lo más íntimo de sus vidas creyendo que su club también los iba a cuidar fuera del campo de juego. Esa confianza, cuando se rompe, no la recupera ni el mejor fichaje de la temporada.

Por Daniel Monastersky y Facundo Malaureille — Centro de Estudios en Ciberseguridad y Datos, Universidad Austral

Un hombre de setenta años recibe, por fin, la respuesta que había pedido. Había ejercido su derecho de acceso, había preguntado qué datos tenía de él una empresa y para qué los estaba usando. La respuesta llega: veinte páginas, jerga jurídica cerrada, ningún resumen a la vista. El hombre no ejerció ningún derecho real. Recibió papel.

Esa escena, que podría pasar por anécdota menor, es en realidad el resumen más honesto de lo que está en juego con el nuevo proyecto de Ley de Protección de Datos Personales que el Ministerio de Desregulación y Transformación del Estado compartió el 1° de julio de 2026. Porque una ley de datos personales no se mide por lo que promete en sus considerandos, sino por lo que un ciudadano común puede efectivamente hacer con ella cuando la necesita. Y ahí, lamentablemente, el Proyecto tiene fracturas serias.

Vale una aclaración antes de seguir. Esto no es una crítica al proceso. La convocatoria a comentarios es bienvenida, el espíritu participativo también, y desde el CECYD de la Universidad Austral participamos activamente de esa instancia, proponiendo e incorporando mejoras concretas al texto. Pero la letra final merece una lectura crítica que vaya más allá de los elogios protocolares. Hay una frase que circula hace años en los foros de privacidad del mundo y que resume con precisión quirúrgica lo que puede salir mal cuando un Estado se propone modernizar su ley de datos: lo que no se mide no se protege, y lo que no se exige no se cumple. Argentina está a punto de aprender esa lección por las malas, si no corrige el rumbo a tiempo.

El primer problema aparece temprano, en el artículo 14, y es de manual. El consentimiento es la piedra angular de cualquier ley de protección de datos: cuando alguien entrega sus datos, tiene que hacerlo con conocimiento de causa, de manera activa y verificable. El GDPR europeo, el estándar de referencia global desde 2018, lo dice sin ambigüedad: el consentimiento se manifiesta mediante una acción afirmativa clara, y el silencio no alcanza. El Proyecto argentino, en cambio, admite el consentimiento tácito como regla general para datos no sensibles: basta con que la empresa haya informado la finalidad «previamente de manera clara» y que la persona «no se haya opuesto». Traducido al castellano de todos los días: si te mandan un mail avisándote que van a usar tus datos y vos no contestás, ese silencio vale como un sí. En un país donde los niveles de educación digital son heterogéneos y donde casi nadie lee una política de privacidad —en ningún país del mundo se leen, seamos honestos—, ese mecanismo no es una base de licitud. Es una habilitación encubierta del tratamiento, y debería ser directamente suprimido o restringido a supuestos absolutamente excepcionales con garantías reforzadas.

El segundo problema es más sutil, pero no menos grave: la ausencia de un principio de preeminencia del titular. En los comentarios que elevamos al Proyecto propusimos incorporar, en el artículo 11, una regla simple: en caso de duda sobre la interpretación de la ley, prevalece la interpretación más favorable a la persona. Es un estándar que ya figura en los marcos más avanzados del derecho comparado. Pero un principio sin mecanismos que lo sostengan es apenas un deseo. Si el artículo 14 admite el consentimiento tácito, si el artículo 28 permite al responsable del tratamiento negarse a responder solicitudes de derechos cuando él mismo las considere «excesivas» o «manifiestamente infundadas», y si no existe una vía ágil para que el titular reclame, ¿de qué sirve declarar que la duda se resuelve a su favor? El principio necesita dientes, no solo una mención.

De ahí en más, la conversación se traslada del texto a lo que el texto omite, y esta es, quizás, la parte más reveladora de todo el análisis. Empecemos por la Evaluación de Impacto en la Protección de Datos, conocida internacionalmente como EIPD o DPIA. Es el instrumento central del modelo moderno de protección de datos: antes de poner en marcha un tratamiento de alto riesgo, la organización está obligada a preguntarse qué riesgos genera, si son necesarios y proporcionales, y cómo los va a mitigar. Sin EIPD obligatoria, el principio de responsabilidad proactiva —el accountability tan mencionado en el Proyecto— queda sin su herramienta operativa principal. Es como exigir que los edificios sean seguros pero no pedir un estudio de suelo antes de poner los cimientos. El GDPR exige EIPD desde 2018. Chile la contempla en su Ley 19.628. Brasil también, en su LGPD. El Proyecto argentino la menciona de refilón en su Título V, pero no la regula de manera autónoma ni obligatoria para los supuestos que el derecho comparado considera indispensables: nuevas tecnologías de alto riesgo, perfilamiento con efectos jurídicos, tratamiento a gran escala de datos sensibles, seguimiento sistemático en espacios públicos. ¿Qué pasa sin esa exigencia en un país donde el reconocimiento facial ya se despliega en estadios, shoppings y terminales de transporte? ¿Qué pasa con los modelos de scoring crediticio que deciden si alguien accede a un crédito, un empleo o un seguro? Pasa lo de siempre cuando falta regulación: las empresas hacen lo que quieren hasta que alguien se queja, y cuando alguien se queja, ya es tarde.

La segunda gran ausencia es la figura del Delegado de Protección de Datos, el DPO. Es, junto con la EIPD, el otro pilar operativo del modelo de accountability: la persona encargada de velar por el cumplimiento dentro de la organización, de asesorar al responsable del tratamiento y de actuar como punto de contacto con la autoridad de control y con los titulares. El Proyecto, tal como está redactado, no lo regula. No dice en qué casos es obligatorio designarlo, no fija garantías de independencia, no describe sus funciones, no obliga a publicar sus datos de contacto. En Europa el DPO es obligatorio para autoridades públicas y para organizaciones que hacen tratamiento sistemático a gran escala o manejan datos sensibles de forma masiva. Esas organizaciones existen en Argentina, y son muchas, pero el Proyecto las deja sin el mecanismo que volvería exigible su responsabilidad proactiva en el terreno, no solo en el papel.

Ahora bien, no todo es ausencia. Hay un avance real, que también surgió de nuestra propuesta durante la consulta: la obligación de que los responsables y encargados del tratamiento incluyan en sus plataformas, aplicaciones y documentación un mecanismo visible y accesible para ejercer derechos, algo que llamamos informalmente el botón de ejercicio de derechos, incorporado en el Título IV. Es un paso correcto. Pero volvemos al hombre de setenta años del comienzo: un botón sin contenido comprensible detrás es un decorado. Por eso propusimos también, para el artículo 23, que el acceso se proporcione «por un medio de fácil lectura y comprensión», considerando la condición social, educativa y el rango etario del titular. La incorporación es positiva, pero necesita correlatos operativos: qué formatos se consideran adecuados, quién verifica que el lenguaje sea efectivamente comprensible. Los derechos que no son exigibles en la práctica son, en el mejor de los casos, promesas.

Hay dos frentes más donde el Proyecto se queda corto, y ambos tienen que ver con quién queda afuera del alcance real de la ley. El primero son las empresas extranjeras. El artículo 4° extiende la aplicación territorial a responsables no establecidos en Argentina, siempre que sus actividades apunten a personas residentes en el país, lo cual está bien. Pero sin la obligación de designar un representante local, esa extensión es una declaración de principios sin capacidad de ejecución. ¿Cómo reclama un ciudadano argentino frente a una empresa con sede en Irlanda, Delaware o Singapur? El GDPR resolvió exactamente este problema con su artículo 27, que exige representante obligatorio en la Unión Europea para todo responsable no establecido que trate datos de ciudadanos europeos. Argentina debería replicar ese esquema, porque son justamente las plataformas de alcance global las que más volumen de datos de argentinos tratan y las que mayores riesgos generan. Dejarlas sin un interlocutor accesible en el país no es neutralidad regulatoria: es protección encubierta del infractor.

El segundo frente es, sencillamente, el Estado. El régimen sancionatorio del Proyecto fija multas de hasta el 3% de la facturación anual en Argentina para las infracciones más graves, un porcentaje que puede doler a una empresa mediana pero que resulta insignificante para una plataforma global cuya facturación local es una fracción mínima de su negocio total. El GDPR, en cambio, llega hasta el 4% de la facturación global, y esa diferencia no es cosmética: es la distancia entre una sanción que efectivamente disuade y una que se paga sin pestañear y se incorpora como costo operativo. Pero el dato más silencioso, y el más revelador de todo el Proyecto, está en el artículo 57: las multas económicas no se aplican al Sector Público Nacional. Si un organismo público incumple, la autoridad de control se limita a remitir las actuaciones a la autoridad jerárquica correspondiente y a los órganos de control interno. Es decir, el Estado puede violar la misma ley de protección de datos que él sanciona, y la consecuencia es un memo interno. En un país donde los padrones electorales se han filtrado, donde datos de organismos como el ANSES han aparecido en manos de marketers, y donde los historiales clínicos circulan con una laxitud preocupante, eximir al sector público de sanciones económicas no es una opción razonable de política regulatoria. Es un cheque en blanco.

Nada de lo que planteamos desde el CECYD es ciencia ficción ni una importación forzada del modelo europeo. No pedimos que Argentina copie el GDPR palabra por palabra ni que adopte un régimen más gravoso que el continente que lo inventó. Pedimos, simplemente, coherencia. Una ley no protege datos personales si al mismo tiempo admite el consentimiento tácito como regla general, si omite la EIPD obligatoria para los tratamientos de alto riesgo, si no regula la figura del DPO, si no exige representantes locales a los responsables extranjeros y si no aplica multas al propio Estado cuando incumple. Protege datos en el nombre. Los expone en los hechos.

Argentina todavía está a tiempo de corregir el rumbo. Tiene la oportunidad, y la responsabilidad, de dotarse de un marco normativo moderno, coherente y efectivamente protectorio, en lugar de una ley que suene bien en la conferencia de prensa y falle en el primer reclamo real. Sus ciudadanos no merecen ser tratados como ciudadanos de segunda con una ley de segunda. El derecho a la protección de datos personales es un derecho fundamental. Ya es hora de que el texto que lo regula esté a la altura de esa definición.

Por Daniel Monastersky – www.danielmonastersky.com

Un vuelo internacional de Copa Airlines aterriza en Rosario en la madrugada del sábado. A bordo, dos pasajeros adultos —un hombre de 54 años y una mujer de 59— son descubiertos en una situación comprometedora por otros pasajeros. La PSA interviene. Se labra una denuncia por exhibiciones obscenas. Hasta ahí, un episodio curioso que podría haber quedado en la anécdota de los diarios del domingo.

Pero no quedó ahí.

En pocas horas, los medios no solo relataron el hecho: publicaron los nombres, edades, profesiones, estado civil y hasta el perfil en redes sociales de los dos involucrados. Supimos que uno es arquitecto, jefe de obra ferroviaria, casado y con tres hijos. Supimos que la otra es divorciada y dueña de un centro de rehabilitación. Supimos que ambos «suelen publicar fotos de viajes». Supimos, en definitiva, todo lo que no necesitábamos saber para comprender el hecho.

Ahí está el verdadero escándalo.

---

El hecho que nadie discute

Hay un principio básico en protección de datos que en Argentina está consagrado desde la Ley 25.326, y que en el mundo entero se repite en el RGPD, la LGPD brasileña y prácticamente cualquier marco normativo moderno: la proporcionalidad. Los datos personales que se procesan —o se publican— deben ser los estrictamente necesarios para el fin que se persigue.

¿Cuál es el fin periodístico de revelar que el hombre está casado y tiene tres hijos? ¿O que ella es divorciada? Esa información no aporta nada al relato del episodio. No ayuda a comprender si existió un delito. No contribuye al debate sobre seguridad aérea. Solo sirve para una cosa: maximizar el daño reputacional a dos personas privadas que, en el peor de los casos, cometieron una infracción menor.

Los medios que publicaron esta información invocarían, como siempre, el «interés público». Pero el interés público tiene límites. Puede justificar informar que dos pasajeros fueron detenidos por conducta inapropiada en un vuelo. No justifica convertir esa detención en una ejecución reputacional en redes sociales, con nombre, apellido, profesión y link al perfil de Instagram.

---

La arquitectura del daño digital

Lo que describe este caso es algo que desde DGL vemos con creciente preocupación: la construcción de un expediente digital permanente sobre personas privadas, a partir de hechos que ni siquiera llegaron a condena judicial.

La causa quedó caratulada como «exhibiciones obscenas». La Justicia provincial tomó intervención, pero ni siquiera está claro que mantenga jurisdicción porque el hecho ocurrió en un vuelo internacional. En otras palabras: no hay condena, no hay sentencia, puede que ni siquiera haya juicio. Pero el daño ya está hecho. Cuando alguien escriba los nombres de estas dos personas en Google, aparecerá este episodio. Para siempre. Sin posibilidad de prescripción. Sin derecho al olvido efectivo.

---

¿Y la regulación mediática?

Aquí viene la pregunta incómoda que nadie en el ecosistema mediático quiere responder: ¿existe algún estándar claro sobre qué datos personales puede publicar un medio periodístico sobre una persona privada involucrada en un hecho menor?

En Argentina, la respuesta honesta es: no, no existe de manera explícita. La Ley 25.326 excluye de su ámbito de aplicación al tratamiento de datos con fines periodísticos. Es una exclusión razonable: la libertad de prensa es un valor democrático fundamental y no puede quedar subordinada a la protección de datos de cualquier funcionario o figura pública que quiera blindarse. Pero esa exclusión fue pensada para proteger el periodismo de interés público genuino, no para amparar la publicación del estado civil de un arquitecto rosarino detenido por un episodio de exhibicionismo.

La AAIP —la autoridad de aplicación en materia de protección de datos— podría tener algo que decir sobre esto. Hasta ahora, guarda silencio.

---

Lo que este episodio revela sobre nosotros

Seamos directos: el episodio del vuelo de Copa generó decenas de notas, miles de clicks y una cantidad incontable de comentarios burlones en redes. Funcionó. El modelo de negocio que combina datos personales con indignación pública es extraordinariamente efectivo.

Pero cada vez que esto ocurre, se consolida una norma social peligrosa: que la vida privada de las personas es un bien público disponible para el consumo y el escarnio, siempre que el hecho sea lo suficientemente llamativo. Hoy son dos desconocidos en un avión. Mañana puede ser cualquiera de nosotros en cualquier contexto que no elegimos.

La privacidad no es un privilegio de los inocentes. Es un derecho que se activa precisamente cuando la persona está en su momento más vulnerable.

---

Lo que debería cambiar

Tres cosas concretas:

Primero, la AAIP necesita emitir lineamientos claros sobre el tratamiento de datos de personas privadas en contextos periodísticos. La exclusión de la Ley 25.326 no puede ser una carta blanca ilimitada.

Segundo, los medios de comunicación necesitan —y algunos ya tienen— políticas internas de protección de datos aplicadas a sus redacciones. Publicar el estado civil de alguien denunciado por una falta menor no es periodismo: es exposición gratuita.

Tercero, como sociedad necesitamos empezar a hacer la pregunta correcta antes de compartir este tipo de notas: ¿necesito realmente saber quiénes son estas personas para entender lo que ocurrió? Si la respuesta es no —y casi siempre lo es—, quizás el click no sea tan inocente como parece.

---

El avión ya aterrizó. La PSA hizo su trabajo. La Justicia decidirá si hubo delito. Pero el tribunal de la opinión pública ya dictó sentencia, con datos que nadie le pidió permiso a nadie para publicar.

Ese es el escándalo que vale la pena debatir.