Categoría: Privacidad

Un viernes por la mañana, en una ciudad de América Latina, una empresa de telecomunicaciones recibe una notificación de la autoridad reguladora. No es por un escándalo mediático. No hay víctimas evidentes de robo de identidad. El delito es más silencioso, más profundo: durante años, han procesado millones de registros de clientes sin que nadie en la organización fuera responsable, formal y explícitamente, de garantizar que esos datos estuvieran protegidos.

Nadie vigilaba. Nadie respondía. Nadie podía ser llamado a cuentas cuando algo salía mal.
Esta escena, repetida en innumerables empresas a través de cinco continentes, expone una grieta civilizatoria que apenas comenzamos a reconocer: la ausencia de estructuras organizacionales mínimas para la protección de datos personales es, fundamentalmente, una ausencia de democracia en la era digital.
Vivimos en un momento de paradoja absoluta. Nunca antes en la historia humana hemos compartido tanta información personal con organizaciones que no comprendemos plenamente. Cada compra en línea, cada búsqueda en internet, cada mensaje que enviamos, cada ubicación que registramos, cada preferencia que revelamos, se convierte en datos. Y esos datos son procesados, almacenados, analizados y, en muchos casos, compartidos o vendidos a terceros sin que tengamos verdadera comprensión de lo que sucede.
Las empresas saben más sobre nosotros que nosotros mismos. Conocen nuestras debilidades, nuestros miedos, nuestras aspiraciones más íntimas. Pueden predecir nuestro comportamiento mejor que nuestra propia intuición. Y en esta asimetría radical de información reside una pregunta política fundamental: ¿quién custodia a los custodios?
La respuesta internacional es clara y contundente: alguien dentro de la propia organización debe tener la responsabilidad explícita, estructural y vinculante de garantizar que el poder corporativo sobre nuestros datos sea ejercido con respeto por nuestros derechos fundamentales.
Ese alguien es el Responsable de Protección de Datos. Pero aquí está lo alarmante: mientras la regulación global avanza, su implementación real permanece fragmentada, débil y, en muchos casos, meramente teatral.
El panorama regulatorio mundial revela una verdad incómoda: más de setenta jurisdicciones han reconocido que la protección de datos requiere una función especializada dentro de las organizaciones. Desde la Unión Europea hasta Asia, desde África hasta América, existe consenso sobre la necesidad.
Pero el consenso termina ahí.
En Europa, bajo el Reglamento General de Protección de Datos (GDPR), el Responsable de Protección de Datos es una figura con poder real. No es un empleado subordinado. Debe reportar al máximo nivel ejecutivo. No puede ser despedido, sancionado ni presionado por desempeñar sus funciones de monitoreo. Posee acceso a toda la información relativa al tratamiento de datos. Es un mecanismo de control con dientes.
En Brasil, donde la LGPD estableció un marco regulatorio sofisticado, la obligación existe pero la independencia estructural es menos clara. En México, en Colombia, en Uruguay, en Chile, en otras jurisdicciones de América Latina, los marcos avanzan pero la arquitectura de poder sigue siendo ambigua.
Y luego están los contextos más frágiles: países donde la regulación existe sobre el papel pero las autoridades de control carecen de recursos para verificar cumplimiento, donde las empresas nombran a alguien «responsable» sin proporcionarle autoridad real, donde la función se convierte en un trámite administrativo divorciado de la realidad operacional.
Las responsabilidades que importan
Aquí reside el corazón de la cuestión. Una designación formal es inútil si la persona designada carece del poder, los recursos, la autoridad y la independencia para ejercer sus funciones.
Un verdadero Responsable de Protección de Datos debe:
Asesorar sobre obligaciones legales complejas. No es un ejercicio administrativo menor. Requiere comprensión profunda de marcos regulatorios que evolucionan constantemente, capacidad para identificar dónde y cómo una organización procesa datos, y facultad para decir «esto que queremos hacer probablemente viola derechos fundamentales de individuos.»
Monitorear compliance de manera continua. En una época donde el tratamiento de datos es omnipresente —en sistemas de recursos humanos, en plataformas de comercio electrónico, en aplicaciones de análisis de comportamiento— la supervisión debe ser permanente y exhaustiva. Requiere autoridad para acceder a cualquier sistema, para auditar cualquier proceso.
Realizar evaluaciones de impacto en derechos fundamentales. Cuando una organización implementa nuevas tecnologías o nuevas formas de procesar datos que pueden afectar derechos humanos, alguien debe evaluar esos riesgos independientemente. Evaluar significa poder detener, modificar, rechazar iniciativas que violen privacidad o dignidad.
Servir como punto de contacto con autoridades regulatorias. Cuando un individuo reclama sus derechos, cuando una autoridad investiga una violación, el Responsable debe ser interlocutor creíble, con acceso a información y con poder para actuar.
Educar y capacitar. La protección de datos no es responsabilidad únicamente del Responsable. Debe permear la cultura organizacional. Esto requiere capacidad para diseñar programas de formación, para instigar cambios culturales, para hacer que la privacidad sea un valor central, no un requisito regulatorio que se cumple a regañadientes.
Reportar violaciones. Cuando algo sale mal, cuando se detecta una brecha de seguridad, cuando se descubre un tratamiento abusivo de datos, el Responsable debe poder reportar no solo a management interno, sino directamente a autoridades regulatorias. Y debe poder hacerlo sin represalias.
Estas no son tareas administrativas menores. Son funciones que requieren expertise profundo, autonomía operacional, respaldo ejecutivo genuino e independencia protegida por ley.
Una profesión emergente
Existe una ironía incómoda en el régimen global de protección de datos: mientras las leyes avanzan demandando responsables designados, el mundo enfrenta una escasez crítica de profesionales verdaderamente cualificados para desempeñar estas funciones.
La protección de datos no es una especialidad que pueda derivarse de una única disciplina. No es puramente jurídica. No es puramente técnica. Es una profesión de intersecciones: requiere comprensión de derechos humanos fundamentales, dominio de marcos regulatorios específicos de cada jurisdicción, alfabetización tecnológica suficiente para comprender arquitecturas de información, expertise en gestión de riesgos, capacidad de comunicación y negociación dentro de estructuras corporativas complejas.
En Europa, donde el GDPR fue implementado en 2018, se desarrolló rápidamente un ecosistema: programas universitarios especializados, certificaciones profesionales robustas, comunidades de práctica, literatura especializada. Hoy existen cientos de miles de profesionales de protección de datos en el continente, con carreras, con comunidades, con estándares de competencia establecidos.
En el resto del mundo, esta infraestructura es incipiente.
En muchas jurisdicciones de América Latina, América Central, Asia y África, las universidades apenas están integrando contenidos de protección de datos en currículas de derecho e ingeniería. No existen programas especializados. Las certificaciones disponibles frecuentemente provienen de consultorías privadas con incentivos comerciales evidentes, no de cuerpos profesionales independientes. Existe proliferación de «especialistas» con credenciales cuestionables, personas que completaron cursos en línea y ahora se presentan como expertos.
Esto genera un mercado perverso: escasez genuina de talento crea demanda inflada, demanda inflada genera proliferación de oferta de baja calidad, baja calidad genera falsa conformidad regulatoria. Las empresas contratan o designan internamente a personas sin formación adecuada, creen que han satisfecho la obligación legal, y continúan operando sin verdadera supervisión de derechos.
Existe un problema estructural que ningún marco regulatorio ha resuelto completamente: el conflicto de interés inherente.
El Responsable de Protección de Datos depende de la misma organización cuyas prácticas debe monitorear. Vive en la misma cultura corporativa. Respira el mismo aire operacional. Está expuesto a presiones sobre presupuesto, viabilidad de proyectos, objetivos de negocio.
En el mejor de los casos, el GDPR europeo aborda esto estableciendo explícitamente que el DPO no puede ser despedido, sancionado ni presionado por sus actividades. Reporta al máximo nivel. Posee acceso garantizado a información. Está protegido.
Pero incluso en Europa, estudios recientes revelan tensiones: presiones informales, cambios de rol, degradación de capacidad de influencia, situaciones donde una función que debería ser independiente se ve capturada progresivamente por objetivos comerciales.
En contextos donde estos protecciones explícitas no existen —y eso incluye muchas jurisdicciones en América Latina y en el Sur Global— la captura es casi automática. El Responsable de Protección de Datos reporta a un ejecutivo cuya evaluación depende de objetivos comerciales. El Responsable tiene presupuesto limitado. El Responsable puede ser reposicionado, asignado a otras tareas, marginado cuando sus recomendaciones son incómodas.
Bajo estas condiciones, la independencia es aspiracional, no estructural.
Un argumento frecuente en jurisdicciones con regulaciones emergentes es que la obligación de designar Responsables de Protección de Datos debe ser «proporcional» al tamaño y naturaleza de la organización.
Sobre el papel, esto es razonable. Una pequeña empresa local que procesa algunos datos de empleados no necesita la misma sofisticación que un conglomerado tecnológico global. Tiene sentido calibrar requisitos.
Pero en la práctica, «proporcionalidad» frecuentemente se convierte en evasión. Se crea categorías de organizaciones exentas. Se establece umbrales de datos que no procesan (incluso cuando procesan muchos). Se permite que pequeñas empresas designen «contactos» que no tienen autoridad real.
La realidad es que incluso pequeñas organizaciones pueden causar daño significativo procesando datos sin supervisión. Una clínica de salud pequeña que gestiona historiales médicos de cientos de personas. Una empresa de servicios financieros que maneja datos sensibles. Una plataforma digital emergente que procesa información de comportamiento de usuarios.
La proporcionalidad es necesaria, pero no debe significar que organizaciones pequeñas operen sin supervisión genuina de derechos. Significa que la sofisticación y escala de esa supervisión puede variar, pero su existencia no debe.
El Vacío de Enforcement
Un problema fundamental en gran parte del mundo en desarrollo es que la obligación de designar Responsables de Protección de Datos coexiste con autoridades regulatorias débiles.
Una regulación sin capacidad de enforcement es una recomendación, no una ley. Las autoridades de protección de datos en muchos países enfrentan presupuestos limitados, falta de personal especializado, poder de investigación restringido, capacidad de sanción débil. En algunos casos, estas autoridades ni siquiera existen formalmente.
Bajo estas condiciones, las empresas hacen lo mínimo: nombran a alguien, dicen que cumplen la ley, y continúan operando de la manera que siempre lo hicieron. No hay riesgo. No hay consecuencias.
Esto genera un régimen de conformidad teatral: todos los actores juegan sus papeles, los documentos se preparan, las cajas se tildan, pero la realidad de la protección de datos permanece inalterada.
Es fácil redefinir esto como un problema de cumplimiento regulatorio, como un asunto técnico de gobernanza corporativa. Es cómodo pensarlo así.
Pero está completamente equivocado.
Lo que está realmente en juego es la pregunta fundamental de poder en la era digital: ¿quién controla la información que define nuestras vidas, y quién vela porque ese control sea ejercido con respeto por nuestra dignidad humana?
Cada día, algoritmos entrenan en nuestros datos para predecir cuáles son las personas que merecen crédito, cuáles pueden ser consideradas para empleos, cuáles son candidatos «sospechosos» para investigación criminal. Nuestros datos entrenan sistemas que determinan qué información vemos, qué oportunidades nos presenta el mercado, cómo somos perfilados por instituciones de poder.
Sin supervisión genuina dentro de las organizaciones, esa toma de decisiones sucede en la penumbra. Sin alguien responsable específicamente de cuestionar, de auditar, de proteger derechos, el poder corporativo sobre nuestros datos es ejercido fundamentalmente sin contrapeso.
Esto no es un problema de privacidad individual. Es un problema de poder político. Es un problema de democracia.
El panorama internacional es contradictorio. Más de setenta jurisdicciones ahora requieren la designación de Responsables de Protección de Datos. Pero la calidad de esas designaciones varía radicalmente.
En algunos contextos, es un papel con poder real. En otros, es un rol consultivo sin autoridad decisoria. En otros, es un título que se agrega a un empleado recargado de trabajo, sin formación específica, sin presupuesto dedicado, sin acceso real a información sobre tratamiento de datos.
Esta variación no es accidental. Refleja diferencias en capacidad institucional, en comprensión política de qué significa protección de datos, en balance de poder entre gobiernos y sector privado.
Pero lo que une a todas estas variaciones es la realidad de que la mayoría de Responsables de Protección de Datos designados globalmente operan bajo restricciones significativas de independencia, recursos y poder.
Si pretendemos que la protección de datos sea más que cumplimiento regulatorio performativo, debemos reconstruir desde los cimientos. Esto requiere:
Primero: Estándares de Cualificación Claros. No puede haber una profesión robusta de protección de datos sin estándares profesionales establecidos. Las universidades deben ofrecer programas especializados. Las asociaciones profesionales deben establecer certificaciones con rigor real. Los organismos reguladores deben definir explícitamente qué competencias son necesarias. Esto no es burocracia innecesaria; es profesionalización genuina.
Segundo: Independencia Garantizada Legalmente. Las leyes deben ser explícitas: el Responsable de Protección de Datos no puede ser despedido, sancionado, marginado o presionado por desempeñar sus funciones. Debe reportar al máximo nivel ejecutivo o directamente a estructuras de governance como directorios. Esta independencia no es un detalle organizacional; es una condición fundamental para que la función sea significativa.
Tercero: Acceso Garantizado a Información. El Responsable debe tener derecho de acceso garantizado por ley a cualquier información sobre cómo la organización procesa datos. No puede haber sistemas o prácticas que estén fuera de su supervisión. Esto requiere cambios legales explícitos.
Cuarto: Protección de Denuncias. El Responsable debe poder reportar directamente a autoridades regulatorias, a directorios, a públicos externos, sin represalias. Esto requiere marcos legales robustos de protección de denunciantes.
Quinto: Autoridades Regulatorias Fortalecidas. De nada sirve la designación de Responsables si no hay autoridades que verifiquen que realmente están ejerciendo sus funciones. Los gobiernos deben invertir en autoridades de protección de datos con presupuesto adecuado, personal especializado, poder de investigación y de sanción.
Sexto: Ecosistemas de Apoyo. Comunidades de práctica donde profesionales puedan aprender mutuamente, redes de intercambio de experiencias, acceso a recursos públicos de formación, literatura especializada en idiomas locales. La profesión de protección de datos no puede florecer en aislamiento.
Séptimo: Transparencia Corporativa. Las organizaciones deben reportar públicamente sobre cómo operan sus Responsables de Protección de Datos: a qué nivel reportan, qué recursos tienen, cuáles son las recomendaciones que han hecho, cuál ha sido el seguimiento. Esta transparencia crea presión social para que la función sea significativa.
Externalización estratégica
Aquí emerge una alternativa que redefine completamente el debate sobre protección de datos en contextos de recursos limitados: la función de Responsable de Protección de Datos puede ser externalizada.
Esto no es un compromiso con la calidad. Cuando se estructura correctamente, puede ser una solución sofisticada que resuelve simultáneamente varios problemas: acceso a expertise genuina, independencia estructural, costo-efectividad.
Un Responsable de Protección de Datos externo —ya sea contratado de una consultora especializada, de una firma de abogados con expertise en privacidad, o de un profesional independiente certificado— puede operar con mayor independencia que un empleado interno. No compite por presupuestos con objetivos comerciales. No se ve capturado por dinámicas organizacionales. Reporta directamente a governance, no a ejecutivos operacionales.
Más aún, un DPO externo aporta perspectiva comparativa: ha visto cómo otras organizaciones manejan similares desafíos. Puede recomendar prácticas mejores. Puede identificar riesgos con ojos frescos.
Para pequeñas y medianas empresas —que enfrentan genuinas restricciones de presupuesto— la externalización permite acceso a profesionales de clase mundial sin tener que crear posiciones de tiempo completo que quizás no justifiquen recursos internos.
Pero la externalización solo tiene validez bajo condiciones precisas: el profesional externo debe tener independencia contractual garantizada para reportar directamente a directorios, sin interferencia de management ejecutivo. Debe tener acceso completo a información sobre tratamiento de datos. Sus recomendaciones no pueden ser subordinadas a consideraciones comerciales. Debe estar protegido por cláusulas explícitas contra represalias si reporta incumplimiento.
Además, la regulación debe permitir explícitamente esta externalización. Algunos marcos regulatorios europeos lo hacen; otros mantienen cierta ambigüedad que desincentiva esta aproximación.
Para organizaciones que buscan construir su arquitectura de protección de datos de manera seria —especialmente en contextos donde la expertise interna es limitada o costosa— la externalización con profesionales verdaderamente especializados puede ser no solo una opción válida, sino una opción preferible.
En América Latina, donde la infraestructura de profesionales de protección de datos es emergente, este modelo tiene especial relevancia. Permite que empresas de todos los tamaños accedan a expertise robusta sin depender de la disponibilidad local de profesionales certificados.

Estamos en un punto de inflexión. La ola de regulación global sobre protección de datos continúa avanzando. Más jurisdicciones establecerán marcos. Más organizaciones serán obligadas a designar —o externalizar— funciones de Responsables de Protección de Datos.
Pero tenemos una elección: permitir que esto continúe como tendencia global de conformidad teatral, o tomarlo en serio como una oportunidad para establecer estructuras de poder democráticas en la era digital.
La elección es, en último análisis, política. Requiere que gobiernos reconozcan que la protección de datos no es un tema técnico de cumplimiento, sino un tema fundamental de poder y derechos humanos. Requiere que sociedades civiles demanden que regulaciones no sean meramente promulgadas sino genuinamente implementadas. Requiere que profesionales de protección de datos se profesionalicen, se organicen y reclamen el poder que sus funciones deberían tener.
Y requiere que las organizaciones —sea designando internamente o contratando profesionales externos— tomen en serio la responsabilidad de que alguien, verdaderamente, custodie el tratamiento de sus datos.

La pregunta que abrió este análisis permanece sin respuesta en muchas partes del mundo: ¿quién custodia a los custodios?
La respuesta es que debe haber estructuras internas de accountability, personas cuyo trabajo explícito es garantizar que el poder sobre datos sea ejercido responsablemente. Pero esas estructuras solo tienen significado si cuentan con independencia real, con poder real, con protección real, con cualificación real.
Esa independencia puede ser interna o externa. Esa cualificación puede derivarse de formación académica o de experiencia práctica certificada. Esas estructuras pueden ser construidas o contratadas. Pero deben existir.
Hoy, esas estructuras existen principalmente en el papel. En algunos contextos, especialmente en Europa, están comenzando a cobrar vida. En otros, permanecen aspiracionales.
Lo que suceda en los próximos años en la implementación global de protección de datos determinará si la era digital será una era de ciudadanía con derechos reales, o una era de ciudadanía supervisada donde nuestros datos son procesados sin que tengamos poder alguno sobre nuestras propias vidas.
No es demasiado dramático decir que el futuro de la democracia digital depende de cómo respondamos ahora a la pregunta de quién custodia a los custodios.
Para organizaciones que buscan navegar esta complejidad con rigor genuino, que entienden que la protección de datos es una inversión en legitimidad democrática, no un gasto regulatorio, existe expertise disponible. Profesionales que han trabajado en múltiples jurisdicciones, que comprenden tanto la sofisticación técnica como las realidades empresariales, que pueden estructurar soluciones que sean simultáneamente robustas e implementables.
Para explorar cómo construir —o externalizar— una verdadera función de protección de datos, estructurada con independencia y expertise genuina, Data Governance Latam ofrece asesoría especializada. Pueden ser contactados en https://datagovernancelatam.com/data-privacy/#dpo para coordinar conversaciones sobre cómo implementar protección de datos que sea más que conformidad teatral.

Fortinet confirmó que una vulnerabilidad crítica en su sistema de autenticación SSO de FortiCloud está siendo explotada activamente por atacantes. La falla permite eludir mecanismos de autenticación y obtener acceso no autorizado a entornos corporativos, lo que representa un riesgo significativo para organizaciones que utilizan estos servicios para la gestión centralizada de identidades. Según la empresa, los ataques ya fueron detectados “en estado salvaje”, lo que indica que no se trata de una amenaza teórica sino de una campaña activa. La vulnerabilidad afecta especialmente a infraestructuras donde FortiCloud está integrado como punto clave de administración de dispositivos y políticas de seguridad.

El incidente vuelve a poner en foco los riesgos asociados a sistemas de autenticación centralizados, que se han convertido en objetivos prioritarios para actores maliciosos. Una vez comprometido el acceso, los atacantes pueden escalar privilegios, moverse lateralmente dentro de la red y mantener persistencia durante largos períodos. Expertos en ciberseguridad advierten que este tipo de fallas refuerza la necesidad de aplicar parches de manera inmediata, segmentar accesos críticos y complementar el SSO con controles adicionales como autenticación multifactor y monitoreo continuo de actividad anómala.

Investigadores de seguridad detectaron una oleada de ataques automatizados dirigidos contra firewalls FortiGate, con el objetivo de extraer archivos de configuración y crear accesos persistentes dentro de redes corporativas. Las campañas utilizan scripts que escanean de forma masiva dispositivos expuestos a internet, explotando vulnerabilidades conocidas o configuraciones débiles. Una vez dentro, los atacantes buscan información sensible como credenciales, reglas de red y direcciones internas, datos que pueden facilitar ataques posteriores más sofisticados.

La automatización de estos ataques refleja una tendencia creciente en el ecosistema del cibercrimen, donde la velocidad y la escala se imponen sobre la personalización. En cuestión de horas, miles de dispositivos pueden ser comprometidos si no están correctamente actualizados. Especialistas advierten que los firewalls, tradicionalmente vistos como barreras defensivas, se han convertido en blancos de alto valor. El episodio subraya la necesidad de reducir superficies de ataque, limitar accesos administrativos y aplicar una vigilancia constante sobre dispositivos perimetrales.

A principios de 2026, el grupo energético español Endesa y su filial Energía XXI confirmaron un ciberataque que comprometió datos personales sensibles de clientes, incluidos números de DNI, contactos telefónicos y cuentas bancarias (IBAN). La compañía notificó la brecha a los usuarios afectados y a la autoridad regulatoria de protección de datos respectiva, activando protocolos de seguridad para contener la incidencia y monitorear posibles intentos de uso fraudulento de la información. Aunque las contraseñas no se vieron vulneradas y no se detectó actividad fraudulenta inicial, la exposición de datos de millones de clientes generó preocupación sobre posibles campañas de phishing y suplantación de identidad dirigidas a consumidores.

Este incidente subraya cómo los ciberataques en el sector energético ya no solo ponen en riesgo sistemas de generación o transmisión de energía, sino también la privacidad y seguridad financiera de los usuarios finales. Empresas con grandes volúmenes de datos personales deben, además de proteger sus redes operativas, asegurar sus plataformas de gestión comercial y atención al cliente con controles robustos, cifrado de datos y respuesta ante incidentes de fuga de información. La transparencia en la comunicación con los clientes y el refuerzo de medidas preventivas se vuelven esenciales para mantener la confianza del público y reducir los efectos colaterales de brechas de seguridad.

La Universidad de Sydney informó a su comunidad sobre una brecha de seguridad que expuso datos históricos de estudiantes y personal. Aunque no se trata de un ataque reciente, la institución reconoció que la información quedó vulnerable debido a sistemas heredados con medidas de protección insuficientes. El caso puso en evidencia los riesgos asociados a la acumulación de datos sensibles durante décadas sin una estrategia clara de actualización o eliminación.

Las universidades se han convertido en objetivos atractivos para los atacantes debido a la gran cantidad de datos personales y de investigación que manejan. Expertos en ciberseguridad advierten que el sector educativo suele estar rezagado en inversión en seguridad digital. El incidente refuerza la necesidad de auditorías periódicas, modernización de infraestructuras y políticas de protección de datos que contemplen no solo el presente, sino también la información histórica almacenada.

Los hechos clave

La Agencia Española de Protección de Datos ha impuesto a AENA una sanción de 10.043.002 euros por implantar sistemas de reconocimiento facial en ocho aeropuertos sin una Evaluación de Impacto en Protección de Datos que cumpliera los requisitos del RGPD. Esta multa iguala la sanción más alta de la historia de la AEPD, que fue aplicada a Google en 2022.

El sistema sancionado

AENA desarrolló entre 2019 y 2024 un programa de identificación biométrica mediante reconocimiento facial que permitía a los pasajeros:

• Acceder a filtros de seguridad
• Pasar por puertas de embarque
• Utilizar mostradores de auto-entrega de equipaje (self bag drop)

El sistema procesaba datos biométricos con fines de identificación, incluyendo imágenes selfie, datos del chip NFC del DNI y tokens biométricos aepd. Según la resolución, el programa funcionó en 8 aeropuertos: Barajas, El Prat, Alicante-Elche, Gran Canaria, Ibiza, Menorca, Mallorca y Tenerife Norte, afectando a casi 40.000 usuarios en su fase operativa entre 2023 y 2024.

La infracción: artículo 35 del RGPD

Lo crucial aquí es que la sanción no se basa en una brecha de datos ni en uso indebido de información, sino en un incumplimiento formal pero fundamental: AENA llevó a cabo un tratamiento de datos biométricos de alto riesgo sin el análisis previo obligatorio exigido por el artículo 35 del RGPD.

Según el documento de resolución, la AEPD considera que:

1. La EIPD inicial (marzo 2019) era deficiente: Carecía de un análisis adecuado de necesidad, idoneidad y proporcionalidad del tratamiento.
2. Las consultas previas fueron infructuosas: AENA consultó a la AEPD en dos ocasiones durante los pilotos (febrero y junio de 2021), recibiendo informes que señalaban incumplimientos, pero no los subsanó adecuadamente antes de escalar el proyecto.
3. El tratamiento era más invasivo que las alternativas: El sistema procesaba más datos de los necesarios, incluyendo imágenes biométricas y contenidos íntegros de documentos de identificación y tarjetas de embarque.
4. Finalidad mal definida: La AEPD cuestiona que las finalidades reales del tratamiento (identificación unívoca de pasajeros) no justificaban el uso de biometría cuando existían métodos tradicionales menos intrusivos.

La posición de AENA

El gestor aeroportuario ha anunciado que recurrirá la sanción, alegando:

• Sí realizaron evaluaciones de impacto antes del inicio de los programas, aunque la AEPD las considera insuficientes
• No hubo brechas de seguridad: «La custodia de estos datos no ha estado en riesgo en ningún momento»
• El consentimiento era voluntario: Los usuarios decidían libremente participar en el sistema
• La sanción es desproporcionada: Consideran que se trata de un incumplimiento formal, no material

Contexto regulatorio crucial

La resolución hace referencia al Dictamen 11/2024 del Comité Europeo de Protección de Datos, que analiza específicamente el uso de reconocimiento facial para agilizar el flujo de pasajeros en aeropuertos. El CEPD concluye que tecnologías similares difícilmente cumplen los principios de necesidad y proporcionalidad.

Esto es importante porque marca un posicionamiento claro de las autoridades europeas: el reconocimiento facial en aeropuertos, aunque sea voluntario, enfrenta serias dudas sobre su proporcionalidad.

Medidas impuestas

1. Multa de 10.043.002 euros (calculada sobre un volumen de negocios de más de 5.000 millones de euros)
2. Suspensión temporal del tratamiento biométrico hasta que AENA elabore una EIPD válida
3. Publicación en el BOE por superar el millón de euros

El sistema ya estaba suspendido desde junio de 2024, cuando AENA procedió a bloquear y suprimir los datos tras conocer el inicio del procedimiento.

Análisis técnico-jurídico

Esta resolución es paradigmática por varios motivos:

1. Responsabilidad proactiva llevada al extremo: Incluso habiendo realizado EIPDs y consultado a la autoridad, AENA no cumplió. Esto demuestra que la AEPD exige documentación robusta y no meramente formal.

2. El test tripartito es inexcusable: Idoneidad, necesidad y proporcionalidad deben demostrarse exhaustivamente para tratamientos de alto riesgo, especialmente con datos biométricos.

3. El consentimiento no lo cura todo: Aunque el sistema era voluntario y basado en consentimiento (art. 9.2.a RGPD), esto no exime de cumplir el principio de minimización ni de justificar la proporcionalidad del tratamiento.

4. Precedente para aeropuertos europeos: Con el Dictamen 11/2024 del CEPD como referencia, esta resolución marca la pauta para otros proyectos similares en Europa.

Implicaciones para el sector

• Infraestructuras críticas bajo escrutinio máximo: Los aeropuertos, por su volumen de usuarios y naturaleza estratégica, enfrentan estándares muy altos.
• La biometría «voluntaria» no es carta blanca: Aunque mejore la experiencia del usuario, debe superar pruebas estrictas de proporcionalidad.
• Las EIPDs son documentos vivos: Deben actualizarse cuando cambian significativamente las condiciones del tratamiento (nuevos aeropuertos, más usuarios, nuevas funcionalidades).

Esta sanción envía un mensaje claro: la innovación tecnológica en protección de datos no puede ir por delante del cumplimiento normativo. Las organizaciones que implementen sistemas de alto riesgo deben invertir recursos significativos en documentación, análisis y justificación técnico-jurídica antes de comenzar el tratamiento.

El caso AENA demuestra que ni siquiera el diálogo con la autoridad de control, si no va acompañado de correcciones efectivas, exime de responsabilidad. Y que cuando se trata de datos biométricos en infraestructuras masivas, la vara está muy, muy alta.

Por Daniel Monastersky

La demanda de Amazon contra Perplexity no es una disputa técnica menor entre dos gigantes de Silicon Valley. Es el primer movimiento visible de una guerra por el control del futuro digital que definirá nuestras libertades en la próxima década. Y estamos permitiendo que se escriba sin participación, sin debate público, sin regulación.

Cuando Amazon alega que Perplexity comete «fraude informático», está empleando un lenguaje legal calculado para hacer parecer un acto de defensa corporativa lo que es fundamentalmente un acto de consolidación de poder. Pero los detalles técnicos ocultan la verdadera naturaleza del conflicto: se está jugando el derecho de los usuarios a elegir las herramientas que median su relación con el comercio digital.

Lo que los términos y condiciones revelan: una arquitectura legal de control

Amazon no inventó la restricción contra agentes de IA. Estaba ahí todo el tiempo, enterrada en sus «Términos y Condiciones de Uso», un documento de cientos de párrafos que casi nadie lee completamente.

El idioma es técnico, pero el propósito es absoluto. Amazon define a un «Agente» como «cualquier software o servicio que toma acciones autónomas o semiautónomas en nombre de, o bajo la instrucción de, cualquier persona o entidad.» Y luego establece una exigencia inquietante: «Ningún Agente puede acceder, usar o interactuar con los Servicios de Amazon a menos que se identifique a sí mismo en todo momento y opere en estricta conformidad con los requisitos establecidos.»

¿Suena técnico? Lo es. ¿Pero qué significa en realidad? Significa que Amazon se ha arrogado el derecho de decidir quién puede automatizar acciones en su plataforma y bajo qué condiciones. Y más importante aún, significa que Amazon puede cambiar esas condiciones unilateralmente, en cualquier momento, sin tu consentimiento.

El documento continúa con disposiciones que revelan la verdadera intención. Los agentes deben «identificar claramente» su naturaleza automatizada en todas las solicitudes HTTP. No pueden «ocultar o disfrazar» que son máquinas. No pueden «completar o eludir CAPTCHAs». Amazon carece de medidas alternativas para contravenir sus propios bloqueos de acceso.

Todas estas restricciones son unilaterales. Vos aceptaste leerlas cuando creaste tu cuenta en Amazon. Probablemente ni siquiera sabías que existían. Y Amazon se reserva el derecho, explícitamente declarado, de «limitar, incluyendo mediante medidas técnicas, si y cómo cualquier Agente accede, usa e interactúa con los Servicios de Amazon.» En palabras simples: Amazon puede bloquear cualquier agente que quieras usar, en cualquier momento, sin justificación, solo porque lo decide.

¿Y por qué importa esto? Porque estos términos, aparentemente técnicos, establecen un principio legal fundamental: las corporaciones tienen derecho a decidir qué herramientas puedes usar, incluso si actúan exclusivamente en tu beneficio. Las plataformas no son espacios públicos. Son propiedades privadas donde las reglas las escriben quiénes controlan los servidores.

Amazon no está sola. Si observás los términos de otras plataformas, vas a encontrar restricciones similares. TripAdvisor, a través de su plataforma The Fork para restaurantes, explícitamente bloquea «todos los bots identificados como ‘bots maliciosos’ por defecto.» Booking.com tiene términos prohibiendo «data mining, robots, o herramientas similares de recopilación y extracción de datos.»

Pero aquí está lo interesante: estas mismas plataformas están desarrollando sus propios agentes de IA. Booking.com lanzó su «AI Trip Planner» que actúa automáticamente en nombre de los usuarios, navegando, comparando, recomendando hoteles. Amazon está desarrollando «Rufus», un asistente de compras que hace exactamente lo que Perplexity intenta hacer.

La contradicción es evidente: no podés usar un agente de terceros para comparar precios en Amazon, pero Amazon sí puede usar su propio agente para influir en tus decisiones de compra. No podés automatizar la búsqueda de restaurantes en The Fork, pero The Fork sí puede usar bots internos para moderar contenido, bloquear scraping competidor, y recomendar opciones.

Esto no es regulación de seguridad. Es exclusión competitiva. Es decir: «Las herramientas de automatización son peligrosas cuando las usan nuestros competidores, pero son innovación cuando las usamos nosotros.»

Amazon ya está desarrollando Rufus, su propio asistente de compras impulsado por IA. Google tiene Gemini. Meta integra IA en cada aspecto de sus servicios. Alibaba construyó su ecosistema cerrado de agentes. Ahora, cuando una startup se atreve a construir un agente que funciona de forma abierta e interoperable—es decir, que permite a los usuarios elegir—enfrenta litigios multimillonarios en tribunales norteamericanos.

El patrón es inequívoco. No es defensa. Es consolidación territorial. Cada plataforma está corriendo para asegurar que los agentes de IA del futuro sean exclusivamente suyos, que no exista competencia, que los usuarios no tengan alternativas. Porque quien controle el agente que media la interacción de un usuario con una plataforma controla esa relación, y más importante aún, los datos que genera.

Aravind Srinivas, CEO de Perplexity, lo expresó con claridad: «No creo que sea centrado en el cliente obligar a las personas a usar solo su asistente, que puede que ni siquiera sea el mejor asistente de compras.» Es un argumento que resuena con cualquier consumidor. Pero choca directamente con la realidad económica de las plataformas: su modelo de negocio se basa en el control total de la experiencia del usuario y, crucialmente, en la captura de los datos que esa experiencia genera.

Cuando Amazon demanda a Perplexity, lo que realmente está diciendo es: «Si querés que tus usuarios usen agentes de IA para interactuar con nuestras plataformas, esos agentes deben ser nuestros agentes. Porque si los usuarios pueden elegir, Amazon deja de controlar cómo tus clientes nos encuentran, cómo comparan nuestros precios, qué publicidad les mostramos.»

Sabemos que estamos en territorio inexplorado. No existen marcos legales claros que definan qué puede hacer un agente de IA, cuáles son sus derechos, quién es responsable cuando algo falla. Este vacío regulatorio no es accidental. Es estratégico, y las corporaciones lo están llenando a través de litigios ofensivos y términos de servicio unilaterales.

Las preguntas sin respuesta son múltiples y urgentes. ¿Tiene un agente de IA que actúa en tu nombre los mismos derechos de acceso que un usuario humano? ¿Pueden las plataformas discriminar arbitrariamente entre tráfico humano y automatizado cuando este último beneficia directamente al usuario individual? ¿Quién es responsable si un agente comete un error: el usuario final, el desarrollador del agente, o la plataforma que permitió el acceso? ¿Pueden los términos de servicio unilaterales, documentos que casi nadie lee y se modifican constantemente, restringir legítimamente el derecho de los usuarios a utilizar herramientas de terceros que mejoran su experiencia?

En todo el mundo existe un vacío regulatorio masivo. Mientras tanto, las grandes corporaciones están escribiendo las reglas del juego en tribunales estadounidenses, determinando para el mundo qué está permitido y qué no. Sin participación regulatoria. Sin nuestras voces.

Proyectemos esto hacia 2028. Cada plataforma importante ha cerrado deliberadamente sus puertas a agentes de terceros. Amazon solo funciona con Rufus. Booking solo acepta su propio asistente. 

Los consumidores necesitarán múltiples asistentes diferentes. Cada uno aprendiendo preferencias de forma aislada. Cada uno operando bajo reglas distintas que nadie comprende completamente. Cada uno recolectando datos sin coordinación, sin que exista visibilidad real sobre qué saben, qué comparten, con quién lo venden.

La promesa democrática de los agentes de IA—que podrían empoderar a usuarios individuales, pequeños emprendedores, consumidores vulnerables—se invierte completamente. Se convierte en otra herramienta de control corporativo, en fragmentación forzada, en usuarios confinados a ecosistemas que nunca eligieron.

No es especulación. Es el patrón que hemos visto repetirse a lo largo de la historia de internet. Con los navegadores web en los años noventa. Con las redes sociales a partir de 2005. Con la computación en la nube en la última década. El ciclo es predecible: primero viene la innovación abierta y competitiva, luego la consolidación acelerada, finalmente los oligopolios que controlan el acceso a recursos cada vez más esenciales.

Los agentes de IA no son solo para comprar zapatillas en internet. Son para buscar empleo sin dejar rastros digitales permanentes en plataformas de reclutamiento. Son para investigar temas sensibles, críticos, delicados—salud mental, cuestiones legales, orientación sexual, creencias políticas—con privacidad real, sin que tus búsquedas se conviertan en datos perfilables para corporaciones.

Son para que pequeños emprendedores compitan sin que las grandes plataformas los asfixien con restricciones arbitrarias. Son para gestionar finanzas personales sin que intermediarios extraigan valor de tu información. Son para acceder a servicios públicos sin depender de intermediarios privados con fines de lucro. Son para que la automatización beneficie al ciudadano, no solo a las corporaciones.

Un agente imparcial podría ayudarte a comparar precios reales sin que una plataforma dominante te muestre exclusivamente lo que decide que debes ver. Podría gestionar datos de salud sin que corporaciones farmacéuticas los moneticen para estudios de marketing. Podría navegar regulaciones gubernamentales sin que tengas que pagar a intermediarios privados. Podría ser herramienta de empoderamiento. Pero solo si le permitimos existir libremente.

Cuando Amazon demanda a Perplexity, no está protegiéndote de agentes maliciosos. Está protegiéndose a sí misma del riesgo existencial que representa la competencia. Está asegurando que la próxima década de innovación digital ocurra exclusivamente dentro de los límites que ella define, bajo los términos que ella establece, con los beneficios que ella captura.

Lo que llama la atención de este conflicto es que ni siquiera existen estructuras legales claras de responsabilidad. Si un agente de IA comete un error comprando un producto incorrecto, ¿quién es responsable? ¿El usuario que autorizó al agente? ¿El desarrollador que creó el agente? ¿La plataforma que permitió el acceso? La ley no lo dice. Los términos de servicio lo dejan ambiguo intencionalmente.

Esta ambigüedad es poderosa para las corporaciones grandes. Les permite actuar defensivamente cuando les conviene, y argumentar algo completamente distinto cuando les conviene diferentes cosas. Les permite litigar en tribunales norteamericanos como víctimas de un “fraude técnico”, mientras que en sus oficinas ejecutivas celebran haber bloqueado exitosamente a un competidor.

Para los desarrolladores independientes, especialmente en regiones donde los recursos legales son limitados, esta ambigüedad puede ser paralizante. ¿Invertir en innovación en agentes de IA cuando plataformas dominantes pueden demandarte sin advertencia previa? ¿Crear herramientas que mejoren la experiencia del usuario cuando las grandes plataformas pueden cerrar puertas arbitrariamente?

Reguladores, legisladores, autoridades de defensa del consumidor: necesitan actuar con urgencia. No en dos años, cuando el estatus quo haya sido cementado. No cuando los grandes jugadores hayan consolidado sus posiciones. Ahora.

La solución requiere cinco componentes que deben implementarse simultáneamente:

Primero, interoperabilidad como derecho legal fundamental. Los consumidores deben tener derecho garantizado a usar herramientas de terceros para interactuar con plataformas comerciales, siempre que respeten seguridad, propiedad intelectual y protección contra fraude. No es un privilegio que las corporaciones pueden conceder o revocar. Es un derecho que debe estar protegido en ley.

Segundo, identificación transparente pero nunca razón para denegación. Los agentes de IA pueden y deben identificarse claramente como tales. Pero esa identificación nunca puede ser razón automática para bloquear acceso. Las limitaciones técnicas, si existen, deben ser proporcionales, objetivas y aplicadas equitativamente a usuarios humanos y agentes.

Tercero, cadenas de responsabilidad claramente definidas en ley. Desarrolladores de agentes son responsables del funcionamiento técnico de sus sistemas. Usuarios finales son responsables de las decisiones que toman a través de esos agentes. Plataformas son responsables de mantener servicios seguros y accesibles. Nadie se esconde detrás de ambigüedades contractuales.

Cuarto, prohibición explícita de cierre discriminatorio. Las plataformas no pueden cerrar acceso a agentes de terceros para favorecer sus propios productos. Punto. Eso no es medida de seguridad. Es una práctica anticompetitiva. Y debe estar explícitamente prohibida en ley de defensa de la competencia.

Quinto, revisión de términos y condiciones unilaterales. Los términos de servicio no pueden ser herramientas para evadir la regulación. Cuando un término de servicio entra en conflicto con derechos fundamentales del usuario (acceso equitativo, no discriminación, libertad de elección de herramientas), la ley debe prevalecer sobre el contrato. Las corporaciones pueden establecer políticas razonables, pero estas no pueden usarse para monopolizar segmentos del mercado digital.

Quiénes demuestren capacidad regulatoria en esta materia establecerán los estándares internacionales para agentes de IA libres e interoperables, protegiendo a usuarios, desarrolladores y pequeños emprendedores simultáneamente. O pueden quedarse observando pasivamente mientras Silicon Valley escribe las reglas del juego desde sus oficinas en California.

La pregunta que debemos hacer no es «¿Cuán seguros son los agentes de IA?» sino la pregunta política real: «¿Quién controla el futuro digital y en beneficio de quién?» Las respuestas que demos ahora determinarán las libertades que tendremos en una década. Determinarán si los emprendedores pequeños pueden competir o si estarán atrapados en ecosistemas que les dictan las reglas. Determinarán si los consumidores tienen voz en cómo interactúan con el comercio, o si simplemente siguen órdenes que corporaciones remotas definen unilateralmente.

El futuro de los agentes de IA se está escribiendo en este momento preciso. 

Por Daniel Monastersky – www.danielmonastersky.com

Hace aproximadamente diez años, cuando escribí sobre las identidades digitales múltiples, describía un futuro que parecía lejano y especulativo. Hoy, sentado frente a la pantalla en 2025, esa visión no es una advertencia futura sino una realidad que enfrentamos con urgencia. Lo que entonces parecía ciencia ficción se ha convertido en el drama cotidiano de millones de jóvenes argentinos y latinoamericanos.

Hace poco, una madre se contactó conmigo desesperada. Su hijo de dieciochos años, durante el último año de la secundaria, había tenido un conflicto escolar que derivó en desafortunados comentarios en redes sociales. Ahora se enfrentaba a la búsqueda de su primer empleo. Varias empresas rechazaban su candidatura. No obstante, logró acceder a una página de Google que mostraba aquellos mensajes de hace cuatro años. Los algoritmos habían convertido a un adolescente en su versión digital más oscura, sin que nadie se encargara de limpiar esos restos del pasado.

Este no es un caso aislado. Es, de hecho, la experiencia normalizada de una generación entera.

Cuando propuse hace una década que cada persona tendría múltiples identidades digitales a lo largo de su vida, no imaginaba que el proceso sería tan caótico, tan desordenado, tan fuera del control de los propios individuos. Hoy entiendo que el fenómeno es más complejo y potencialmente más dañino de lo que anticipé.

Primera identidad: el sharenting y la infancia colonizada

Todo comienza antes de que el niño tenga capacidad de decisión alguna. Los padres, seducidos por la posibilidad de compartir hitos de la infancia, publicaban fotografías, nombres, ubicaciones, rutinas. Lo que llamamos sharenting no era simplemente una práctica inocua de conexión familiar. Era la construcción de una identidad digital predeterminada, controlada completamente por otros, sin consentimiento y frecuentemente sin consideración sobre sus implicaciones futuras.

Esa primera identidad digital es, por definición, ajena. Construida por padres bien intencionados, capturada por algoritmos, almacenada en servidores corporativos. El niño nace en el mundo físico y simultáneamente en el digital, pero sin ser el arquitecto de su propia narrativa.

Segunda identidad: la adolescencia en pantalla

Posteriormente, cuando los adolescentes acceden a sus propias redes sociales, creen que están tomando el control. La realidad es que heredan una identidad preexistente mientras simultáneamente crean una nueva, con toda la impulsividad y la falta de madurez que caracteriza esa edad.

El ciberacoso no es un fenómeno secundario en esta etapa. Es el motor que muchas veces destruye la narrativa digital en construcción. Un mensaje enviado en un momento de enfado, una foto compartida sin pensar, un comentario hecho en grupo. Estos fragmentos se multiplican, se etiquetan, se almacenan en servidores y copian millones de veces. La impulsividad adolescente encuentra en internet una permanencia que en el mundo físico nunca tuvo. En la escuela, una ofensa se olvida; en línea, es eternamente recuperable.

Tercera identidad: la puerta laboral cerrada o abierta

Y entonces llega el momento crítico. El joven entra en el mercado laboral y descubre que no controla su presentación. Las empresas lo descubren a través de Google, Facebook, Instagram, ahora también ChatGPT, Claude, Gemini, Perplexity, Grok, entre otros. Ven no quien es, sino quien fue en momentos de debilidad, en compañía de amigos, en circunstancias que nunca debieron definir su futuro profesional.

Aquella frase que escribí hace una década cobra una fuerza aún más preocupante: «Vos sos quien Google dice que sos.» Hoy, diez años después, comprendo que no es una declaración retórica. Es la expresión de una captura de identidad. Las Big Techs, en asociación con empleadores y algoritmos que nadie comprende completamente, han confiscado el derecho fundamental a reinventarse.

Lo que no preveía completamente hace diez años: cómo la multiplicidad de identidades digitales se entrelaza con amenazas que escapan a toda comprensión.

Hoy, empresas como Worldcoin no simplemente recopilan datos conductuales. Capturan iris, rostros, datos biométricos. Estos se almacenan en servidores privados en jurisdicciones que nuestras leyes no alcanzan. Esa cuarta identidad digital, la biométrica, es aún más profunda, más inmutable que los datos demográficos. Es literalmente quien eres a nivel biológico, capturado, procesado, entrenado para entrenar algoritmos de inteligencia artificial.

Meta, Google, TikTok no simplemente registran nuestras acciones. Entrenan sistemas de inteligencia artificial con nuestras imágenes, textos, patrones de comportamiento. Creamos una quinta identidad digital: la del cuerpo cuyas características faciales entrenan sistemas de reconocimiento facial; la de la voz cuyas palabras entrenan modelos de lenguaje.

No hemos entendido completamente lo que esto significa. No simplemente somos vigilados. Somos duplicados digitalmente, reproducidos en código, nuestras características y comportamientos se convirtieron en commodity para ser vendido, reutilizado, explotado sin límite temporal o geográfico.

Cuando publiqué ese artículo hace diez años, ya era evidente que la Ley 25.326 era insuficiente. Hoy, la brecha entre realidad tecnológica y protección legal es un abismo.

Argentina ha permitido que corporaciones tecnológicas multinacionales operen bajo reglas diseñadas a fines de los noventa. Hemos permitido que el sharenting sea legal. Hemos tolerado que Worldcoin operara años antes de cualquier regulación. Hemos visto cómo Meta entrena sistemas de IA con datos de ciudadanos sin consentimiento expreso.

Otros países actuaron. La Unión Europea implementó el GDPR, con sanciones que corporaciones respetan. Colombia avanzó en regulación de biometría. Brasil requiere consentimiento para IA. Argentina, mientras tanto, sigue esperando.

Hace una década advertía sobre la necesidad urgente de educación digital desde la infancia. Hoy esa necesidad es aún más crítica, pero el sistema educativo argentino está menos preparado que nunca.

Los jóvenes no comprenden que cada compartición es una rendición de control. No entienden que los algoritmos no son neutrales. No saben que sus identidades digitales están siendo capturadas, replicadas, monetizadas.

Las campañas de concientización deben ir más allá del «no compartas información personal». Deben explicar que la identidad digital no es simplemente información que compartimos voluntariamente. Es un ecosistema controlado por actores corporativos con incentivos en contra de nuestra autonomía.

No creo en soluciones tecnocráticas simples. Pero creo en tres pilares para avanzar:

Regulación con poder real: Necesitamos leyes que permitan a los ciudadanos recuperar control sobre sus identidades digitales. Derecho al olvido con verdaderas sanciones. Regulación de sharenting. Control sobre entrenamiento de IA. Derechos sobre biometría. Y reguladores con capacidad de sancionar a corporaciones multinacionales con multas que realmente duelan.

Educación crítica y temprana: No basta enseñar a los niños a usar tecnología. Deben aprender a desconfiar de ella. A entender que los algoritmos están diseñados para maximizar engagement, no para servir su bienestar. A comprender que su identidad digital es valiosa y que tienen derecho a defenderla.

Reconstrucción de identidades: Para quienes ya fueron atrapados por identidades digitales negativas, necesitamos mecanismos efectivos de remediación. El derecho al olvido no puede ser teórico. Debe ser práctico, rápido, vinculante.

Cuando escribí eso hace diez años, la amenaza era prospectiva. Hoy es presente. Los adolescentes de hoy vivirán durante décadas con identidades digitales que no eligieron, que no controlan, que les cerrarán puertas que ni siquiera sabían que existían.

La profecía no fue una advertencia que ignoramos. Fue una fotografía de un futuro que elegimos permitir.

Aún podemos cambiar el curso. Necesitamos un reconocimiento radical de que las corporaciones tecnológicas capturaron aspectos fundamentales de nuestra identidad, y que recuperarlos requiere una voluntad política que Argentina aún no ha demostrado tener.

La pregunta que debe urgir a legisladores, educadores y ciudadanos es simple: ¿Cuánto más esperaremos antes de actuar?

Por Daniel Monastersky y Facundo Malaureille

Argentina pide explicaciones a la empresa tras descubrir que 3500 millones de números telefónicos estuvieron años vulnerables a robos masivos.

Imaginate que alguien pudiera entrar a tu casa sin forzar la cerradura. Que simplemente entrara porque nunca le pusiste llave, aunque hace años alguien te lo advirtió. Así funciona lo que acaba de pasar con WhatsApp.

Un grupo de investigadores de la Universidad de Viena descubrió que la aplicación de mensajería instantánea más usada del mundo tenía un agujero de seguridad que permitía extraer números de teléfono de usuarios de manera fácil y masiva. Lo peor: Meta, la empresa dueña de WhatsApp, sabía de este problema desde 2017 y no hizo absolutamente nada para solucionarlo durante ocho años.

El escándalo es tan grande que presentamos una denuncia ante la AAIP (Autoridad de Protección de Datos Personales). Queremos que se investigue cómo fue posible que una empresa estadounidense ignore durante casi una década la privacidad de sus usuarios argentinos.

Cómo funciona la vulnerabilidad

WhatsApp tiene una función útil. Cuando vos agregás un número a tu libreta de contactos, la app te avisa automáticamente si esa persona está en WhatsApp. Es práctico, nadie tiene que hacer nada especial.

Pero resulta que esta función dejaba la puerta abierta. Durante años, cualquiera podía preguntarle a WhatsApp «¿este número existe?» cientos de veces por segundo, sin que la app frenara. 

Entonces, alguien con un poco de conocimiento técnico y una computadora podía ponerse a probar números telefónicos de manera automática. Millones de números. Miles de millones de números.

En 2017, un investigador de seguridad llamado Loran Kloeze descubrió esto y se lo comunicó a Meta. La empresa recibió el aviso. Meta dice que reconoció el problema. Pero pasaron años y años sin que hicieran nada importante para arreglarlo.

Cuando la casa quedó abierta

Hace poco, un equipo de investigadores de la Universidad de Viena decidió revisar si ese agujero seguía abierto. Spoiler: estaba abierto.

Estos investigadores —Gabriel Gegenhuber, Philipp Frenzel, Maximilian Günther, Johanna Ullrich y Aljosha Judmayer— hicieron un experimento. En apenas 30 minutos extrajeron 30 millones de números de teléfono estadounidenses. Siguieron adelante. Y siguieron. Hasta que compilaron una base de datos con aproximadamente 3500 millones de números telefónicos.

Tres mil quinientos millones. Eso es casi todos los usuarios de WhatsApp que hay en el planeta.

Los investigadores actuaron responsablemente. Borraron los datos. Avisaron a Meta. Recién ahí la empresa se movió y, aproximadamente seis meses después, finalmente implementó la solución que debería haber estado desde el principio: frenar las consultas masivas.

«Esto es la exposición más grande de números telefónicos y datos personales que jamás se haya documentado», declaró uno de los investigadores.

Argentina también fue afectada

Entre esos 3500 millones de números están los de millones de argentinos. Según la investigación son 43.854.434 (sí, casi 44 millones). Tus contactos de WhatsApp. Tus números de amigos, familia, colegas. Estuvieron expuestos.

Los investigadores publicaron un repositorio donde documentaron su investigación. Ahí se ven números de múltiples países, incluyendo Argentina. Perfiles públicos. Fotos. Información suficiente para saber quién sos.

Esto ocurrió sin que Meta notificara a nadie. Sin avisar. Sin pedir disculpas anticipadas. Los usuarios argentinos no tenían ni idea de que sus números estaban en riesgo.

Es por eso que presentamos una denuncia formal ante la AAIP (Autoridad de Protección de Datos Personales), el organismo que en Argentina se encarga de defender la privacidad de los ciudadanos.

En la denuncia solicitamos que la AAIP investigue qué pasó. Que averigüe cuántos argentinos fueron afectados. Que exija respuestas a Meta. Y que, si corresponde, aplique sanciones.

Preguntas incómodas para Meta

Si la AAIP avanza con la investigación —y todo indica que así será—, Meta tendrá que responder algunas preguntas bastante incómodas.

Por ejemplo: ¿Por qué esperó 8 años para implementar una solución? ¿Fue negligencia o fue un cálculo empresarial? ¿Acaso pensaron que no pasaría nada?

¿Cuántos argentinos fueron afectados realmente? ¿Hay alguien monitoreando si actores malintencionados también explotaron este agujero antes de que fuera parcheado?

Y quizás la más importante: ¿Por qué nunca les avisaron a los usuarios? Si tu banco hubiera sido hackeado, ya habrías recibido una llamada. Si tu información de salud estuviera comprometida, lo sabrías. Pero Meta guardó silencio.

El patrón se repite

Mientras investigamos este caso, nos dimos cuenta de algo preocupante: Argentina ha tenido problemas similares con otras grandes empresas de tecnología. Hace poco, el caso de Worldcoin generó preocupación por cómo se recopilaba información biométrica de argentinos sin protecciones adecuadas. 

Pero lo más preocupante es que Meta es un reincidente. Hace aproximadamente un año ya habíamos presentado una denuncia ante la AAIP sobre cómo Meta estaba usando inteligencia artificial para entrenar sus modelos con datos de usuarios de WhatsApp sin consentimiento informado. Ahora, un año después, enfrentamos un nuevo caso donde Meta nuevamente ignoró advertencias sobre seguridad de datos durante años.

Es como si Meta dijera: presentan denuncia, nosotros seguimos igual, ¿quién les va a frenar?

Lo que distingue este caso de violación de datos es la escala y la negligencia. 8 años.

Primero, la realidad: si tenés WhatsApp, tu número está en esa base de datos compilada por investigadores. Está documentado en publicaciones académicas de acceso público.

¿Eso significa que alguien te va a llamar mañana estafando? No necesariamente. Pero significa que tu información está ahí, y durante 8 años estuvo al alcance de cualquiera que supiera técnicamente cómo extraerla.

Lo que sigue será un proceso que puede tomar meses o años. La AAIP investigará. Meta responderá (o no). Habrá análisis, probablemente auditorías. Al final, habrá una decisión.

Lo que está en juego es claro: si Meta fue negligente -nuevamente- ¿habrá consecuencias? ¿Argentina seguirá el camino de otros países que han sancionado a las Big Techs por violaciones a la privacidad?

O ¿seguiremos siendo un país donde estas empresas pueden hacer lo que quieran?

Estaremos atentos. La respuesta la tendremos en los próximos meses. Mientras tanto, tu número de WhatsApp sigue en esa base de datos. Y Meta sabe que fue su culpa.

Lo que pedimos que investigue la AAIP

En la presentación formal ante la AAIP, hemos solicitado específicamente que la autoridad actúe en varios frentes para que Meta rindan cuentas.

Primero, que abra una investigación de oficio contra Meta Platforms Ireland Ltd. No por negligencia simple, sino por violación deliberada del principio de seguridad. Meta tuvo 8 años para implementar medidas técnicas básicas que cualquier empresa responsable hubiera implementado. No lo hizo.

Segundo, queremos que Meta responda preguntas concretas. ¿Cuántos usuarios argentinos fueron efectivamente afectados? ¿Desde cuándo exactamente se puede acceder a sus números? ¿Qué comunicaciones tiene Meta de 2017 en adelante sobre esta vulnerabilidad? ¿Por qué nunca se parcheó hasta que investigadores externos la expusieron públicamente?

Tercero, pedimos que Meta presente un plan de mitigación. Que demuestre que notificó a los usuarios argentinos. Que presente una auditoría independiente de seguridad de la API que permite verificar números. Que implemente medidas de protección adicionales para que esto no vuelva a suceder.

Cuarto, queremos que la AAIP investigue si otros actores malintencionados explotaron esta misma vulnerabilidad. Meta tiene logs de acceso de los últimos 8 años. Debe saber si alguien más probó lo que los investigadores de Viena probaron.

Quinto, que se apliquen sanciones. No estamos hablando de una multa simbólica. Estamos hablando de una sanción que considere la gravedad: 3.5 mil millones de números comprometidos. La negligencia sistemática: 8 años sabiendo del problema. El carácter transnacional de lo ocurrido.

Sexto, que ordene medidas cautelares. Preservación de toda evidencia técnica. Bloqueo de nuevos intentos de enumeración masiva. Suspensión de ciertas transferencias de datos relacionadas hasta que todo se aclare.

Y séptimo, que coordine con autoridades de otros países. Europa ya ha sancionado a Meta por infracciones similares. Brasil también está investigando. Colombia tiene regulaciones estrictas sobre brechas de datos. Argentina no puede quedarse atrás.

Lo que está en juego no es solo una multa. Es si Argentina está dispuesta a hacer que estas empresas multinacionales rindan cuentas. O si seguiremos siendo un país donde pueden pasar décadas ignorando la privacidad de sus ciudadanos sin consecuencias.

Por Daniel Monastersky | www.danielmonastersky.com

Cuando Andy Warhol proclamó que “en el futuro, todos tendrán sus 15 minutos de fama”, capturó con brillantez la democratización de la visibilidad mediática que se avecinaba. Pero hoy, décadas después, enfrentamos una paradoja infinitamente más oscura: en el futuro que ya está aquí, todos tendremos apenas 15 minutos de privacidad. Y a diferencia de la fama warholiana —efímera pero voluntaria— esta privacidad racionada será el último refugio en un mundo donde cada segundo de tu existencia está siendo observado, registrado y monetizado.

Pensá en esto por un segundo. ¿Cuántos minutos al día podés garantizar que no estás siendo rastreado? ¿Cuándo fue la última vez que tuviste una conversación verdaderamente privada, sin que tu teléfono escuchara, sin que una cámara registrara, sin que un algoritmo catalogara? Si sos honesto con vos mismo, la respuesta es preocupante. Quizás ya estás viviendo con menos de 15 minutos de privacidad real al día. Quizás ya cruzamos ese umbral sin darnos cuenta.

La frase de Warhol era optimista, casi celebratoria. Anticipaba un futuro donde la fama —antes reservada a élites, artistas y poderosos— estaría al alcance de cualquiera. Y tenía razón: hoy podés tener millones de seguidores, viralizar un video, convertirte en trending topic. Pero lo que Warhol no previó fue el costo.

Porque mientras democratizábamos la visibilidad, privatizábamos la invisibilidad. La capacidad de no ser visto, de existir sin registro ni escrutinio, de pensar sin vigilancia, se convirtió en el lujo más escaso del siglo XXI. Invertimos la ecuación: la fama se volvió barata y accesible, mientras que la privacidad se transformó en un privilegio inaccesible para la mayoría.

Las cifras ya hablan por sí solas. Tu celular genera entre 200 y 300 puntos de localización diarios. Las plataformas de redes sociales almacenan hasta 600 categorías de información sobre vos. Generás aproximadamente 1.7 megabytes de datos cada segundo que vivís conectado. No son estadísticas abstractas. Es tu vida convertida en commodity, tu intimidad transformada en un producto, tu existencia reducida a variables en bases de datos que alimentan algoritmos diseñados para predecir, manipular y monetizar cada aspecto de tu comportamiento.

Andy Warhol imaginó un futuro donde todos podríamos brillar momentáneamente. Vivimos en uno donde todos somos permanentemente observados, y la oscuridad —el derecho a desaparecer, aunque sea por minutos— se está extinguiendo.

La privacidad no desapareció de golpe. Fue una erosión calculada, sistemática y extraordinariamente rentable. Cada aplicación que descargaste, cada servicio “gratuito” que aceptaste, cada dispositivo “inteligente” que incorporaste a tu hogar, representó otro ladrillo removido del muro que protegía tu intimidad.

El modelo fue brillante en su simplicidad: ofrecerte conveniencia a cambio de vigilancia. ¿Querés que tu asistente de voz te despierte con las noticias? Perfecto, pero estará escuchando permanentemente. ¿Querés encontrar el mejor restaurante cerca? Claro, pero compartirás tu ubicación en tiempo real. ¿Querés una red social para conectar con amigos? Bienvenido, pero tus conversaciones privadas alimentarán sistemas de inteligencia artificial que aprenderán a pensar como vos para venderte mejor.

El camino es claro. Primero, normalizamos la vigilancia constante bajo el pretexto de seguridad y conveniencia. Cámaras en cada esquina, reconocimiento facial en aeropuertos, asistentes de voz que escuchan permanentemente, aplicaciones que requieren permisos invasivos para funcionalidades básicas. Te acostumbran a ser observado.

Segundo, creamos una economía donde la privacidad tiene precio. Versiones “premium” sin rastreo. Suscripciones que prometen “no vender tus datos”. Servicios que cobran por no espiarte. La privacidad deja de ser un derecho para convertirse en un producto de lujo.

Tercero, establecemos que la privacidad es sospechosa. “Si no tenés nada que ocultar, ¿por qué te preocupa la vigilancia?” Esa pregunta insidiosa invierte la lógica de los derechos fundamentales. Ya no es el Estado o las corporaciones quienes deben justificar por qué te vigilan; sos vos quien debe justificar por qué querés privacidad.

Ya estamos transitando este camino a velocidad alarmante. En China, el sistema de crédito social evalúa cada acción de los ciudadanos, desde sus compras hasta sus amistades, determinando acceso a servicios, empleos y libertad de movimiento. En Europa, pese al GDPR —el marco regulatorio más avanzado del planeta— las grandes tecnológicas encuentran constantemente formas de eludir restricciones. Y en América Latina, donde las regulaciones son débiles o inexistentes, somos laboratorios de experimentación para las prácticas más invasivas.

Pensá en tu día típico. Despertás con una alarma en tu teléfono que ya registró tus patrones de sueño. Revisás redes sociales que catalogaron tus intereses. Tomás transporte público cubierto por cámaras con reconocimiento facial. Trabajás en una computadora que monitorea tu productividad. Almorzás en un lugar que registra tu ubicación y preferencias gastronómicas. Comprás productos cuyos pagos electrónicos construyen perfiles detallados de tu comportamiento consumista. Volvés a casa pasando por más cámaras. Mirás streaming que analiza qué te gusta y cuándo pausás. Te acostás con tu teléfono cerca, que registra incluso tus ronquidos.

¿Cuántos minutos de ese día fueron verdaderamente privados? ¿Cuántos momentos exististe sin ser observado, registrado, analizado? Probablemente ninguno. Ya estamos viviendo con cero privacidad, solo que aún no lo asumimos plenamente.

El futuro de los 15 minutos de privacidad no es distópico. Es optimista. Porque implica que al menos tendrás esos 15 minutos. Implica que habrá espacios, aunque minúsculos, donde todavía podrás existir sin vigilancia. La trayectoria actual nos lleva hacia privacidad cero, vigilancia total, existencia permanentemente observada. Ya es imposible escaparse.

La Ley 25.326 de Protección de Datos Personales de Argentina data del año 2000. Veinticinco años en términos tecnológicos equivalen a siglos. Esta ley fue diseñada para un mundo de bases de datos estáticas y formularios en papel, no para un ecosistema de inteligencia artificial, Big Data, internet de las cosas y vigilancia ubicua. Mientras Brasil actualizó su marco con la LGPD en 2020 y Europa estableció el GDPR como estándar de oro en 2018, Argentina permanece anclada en paradigmas jurídicos que no contemplan siquiera la existencia de celulares inteligentes.

El problema no es solo argentino. Es global y estructural.

Vos, usuario en Buenos Aires, aceptás términos gobernados por leyes de California, procesados en servidores en Irlanda, con datos vendidos a intermediarios en paraísos fiscales. ¿Dónde queda tu protección legal efectiva? ¿A qué tribunal acudís cuando tus derechos son violados por una empresa sin presencia física en tu país? 

Más grave aún: cuando existen regulaciones, la capacidad de enforcement es ridículamente inadecuada. Agencias regulatorias con presupuestos de centavos enfrentan corporaciones valoradas en billones de dólares, con ejércitos de abogados especializados y capacidad técnica infinitamente superior. Las multas, cuando se imponen —lo cual es raro— son tratadas como costos operacionales, no como disuasivos reales. Meta fue multada por 1.200 millones de euros por el GDPR. Suena impresionante hasta que ves que es menos del 2% de sus ingresos anuales. El costo de hacer negocios, nada más.

En Argentina, la AAIP tiene un presupuesto limitadísimo y un equipo técnico de gran nivel pero insuficiente en tamaño para enfrentar la complejidad de las violaciones actuales. Presenté denuncias, fundamentadas en evidencia sólida, contra prácticas claramente violatorias de derechos fundamentales. El proceso es lento, los recursos limitados, y las empresas simplemente esperan, sabiendo que el costo de litigar es menor que el costo de cambiar sus prácticas.

Este desbalance de poder no es accidental. Es el resultado de décadas de lobby corporativo, captura regulatoria y diseño intencional de sistemas legales que favorecen la acumulación de datos sobre la protección de derechos.

Detrás de cada violación de privacidad hay consecuencias humanas concretas que no aparecen en estadísticas.

En estos últimos años vi familias destruidas por filtraciones de información médica que revelaron diagnósticos psiquiátricos o enfermedades estigmatizadas. Profesionales despedidos por opiniones políticas expresadas en redes sociales años atrás, rescatadas de contexto y utilizadas contra ellos. Personas discriminadas por algoritmos que perpetúan sesgos históricos sin transparencia ni posibilidad de apelación: mujeres que no obtienen préstamos porque los algoritmos “predicen” que quedarán embarazadas, jóvenes de barrios humildes rechazados para empleos por su código postal, personas con apellidos que suenan “extranjeros” sometidas a controles adicionales.

La privacidad no es un lujo abstracto para tecnófilos paranoicos. Es el fundamento de tu autonomía personal, de tu capacidad de ser quien sos sin performance constante.

Sin privacidad no hay libertad de pensamiento. Saber que estas siendo observado modifica tu comportamiento, autocensura tus ideas, te convierte en performer constante de una versión aceptable de vos mismo. Los estudios son concluyentes: personas bajo vigilancia toman decisiones más conservadoras, evitan explorar ideas controversiales, se autocensuran incluso en ausencia de amenaza explícita.

Sin privacidad no hay verdadera democracia. El voto secreto pierde sentido cuando cada aspecto de tu vida política es monitoreado, analizado y utilizado para manipular tus decisiones. Las campañas de desinformación, la manipulación algorítmica de lo que ves y lo que no ves, erosionan los cimientos mismos del proceso democrático.

Sin privacidad no hay dignidad humana. La exposición constante, la imposibilidad de cometer errores sin registro permanente, la incapacidad de cambiar sin que tu pasado te persiga eternamente, erosionan la esencia misma de lo que significa ser persona. Necesitás privacidad para experimentar, para fallar, para crecer, para ser vulnerable.

Cuando decimos “en el futuro todos tendremos 15 minutos de privacidad”, estamos describiendo una sociedad donde la intimidad será tan escasa que deberá ser administrada con cuidado extremo. Quince minutos diarios para pensar libremente, para ser vulnerable sin juicio, para existir sin registro. El resto del tiempo: performance constante para algoritmos que evalúan, clasifican y monetizan cada gesto, cada palabra, cada pensamiento que se filtra a través de tus interacciones digitales.

La batalla por la privacidad no está perdida, pero el tiempo se agota exponencialmente. Cada día que pasa sin acción efectiva, cada ley obsoleta que no actualizamos, cada violación que toleramos, nos acerca a ese futuro de privacidad racionada.

Necesitamos acción coordinada en múltiples frentes, implementada con urgencia:

Primero: Marco regulatorio actualizado y con dientes reales: Argentina necesita urgentemente una ley de protección de datos para el siglo XXI. No adaptaciones cosméticas de la 25.326, sino legislación comprehensiva que reconozca derechos digitales fundamentales: derecho al olvido, portabilidad de datos, explicabilidad algorítmica, consentimiento significativo y revocable, minimización de datos, privacy by design obligatorio. Y crucialmente: sanciones que duelan de verdad, presupuesto real para enforcement, agencias regulatorias con capacidad técnica equiparable a las empresas que regulan.

Segundo: Alfabetización digital masiva y efectiva: La mayoría de las personas no comprende la magnitud de datos que genera ni cómo son utilizados contra sus intereses. Necesitamos educación obligatoria sobre privacidad digital desde la escuela primaria, campañas públicas de concientización comparables a las de salud pública, y herramientas accesibles que te permitan ejercer control real sobre tu información. No alcanza con “leer los términos y condiciones”. Necesitamos regulación que haga esos términos comprensibles, limitados y justos.

Tercero: Tecnología que respete la privacidad por diseño, no por opción: Debemos exigir y fomentar alternativas tecnológicas que no basen su modelo de negocio en la vigilancia. Privacy by design no puede ser diferenciador de mercado; debe ser requisito legal obligatorio. Cifrado de punta a punta, minimización de datos, transparencia algorítmica, auditorías independientes: estos principios deben ser mandatorios, no opcionales.

Cuarto: Responsabilidad corporativa real con inversión de carga probatoria: Las empresas tecnológicas deben ser consideradas responsables no solo por violaciones activas sino por negligencia en la protección de datos. Necesitamos invertir la carga de la prueba: que sean las corporaciones quienes demuestren que cumplieron con estándares de protección, no vos quien pruebes el daño sufrido. Y cuando fallen, las consecuencias deben ser proporcionalmente devastadoras para sus balances.

Quinto: Cooperación internacional efectiva sin ingenuidad: La privacidad digital requiere soluciones globales. América Latina debe coordinarse para establecer estándares comunes, compartir mejores prácticas y crear masa crítica regulatoria que no pueda ser ignorada por las big tech. No podemos competir individualmente contra corporaciones más poderosas que muchos Estados. Juntos, podemos.

No esperes a tener solo 15 minutos

No podemos esperar a tener literalmente solo 15 minutos de privacidad para reaccionar. 

La privacidad no es tema técnico para especialistas. Es cuestión fundamental de derechos humanos que te afecta directamente, personalmente, inmediatamente. Cuando tu hijo busca información de salud y es catalogado como “riesgo médico” por algoritmos que determinarán sus oportunidades futuras. Cuando buscás empleo y te discriminan por tu código postal, tus amistades en redes, o patrones de comportamiento que ni siquiera conocés. Cuando una conversación privada en tu sala se convierte en publicidad dirigida a las pocas horas. Esto no es futuro lejano de ciencia ficción. Es presente inmediato y medible.

Como papá de Rafi, me pregunto constantemente qué mundo le estamos dejando. Un mundo donde la intimidad sea tan escasa que deba ser administrada en porciones de quince minutos, como raciones de guerra. O un mundo donde la privacidad sea defendida como el derecho fundamental que es, con la ferocidad que merece.

No podemos esperar a que la privacidad se extinga para lamentar su pérdida con nostalgia impotente. Debemos actuar ahora, con urgencia proporcional a la amenaza: legisladores promulgando leyes efectivas, reguladores dotados de capacidad real de enforcement, ciudadanos exigiendo respeto a sus derechos con organización colectiva, empresas adoptando prácticas éticas no por bondad sino por obligación legal ineludible.

Andy Warhol predijo que todos seríamos famosos durante 15 minutos. Vivimos en un mundo donde esa predicción se cumplió, pero con un costo que no anticipó: para tener esos 15 minutos de fama, sacrificamos toda nuestra privacidad. Ahora enfrentamos la profecía inversa: en el futuro, si no actuamos ya, todos tendremos apenas 15 minutos de privacidad. Y a diferencia de la fama warholiana —efímera pero voluntaria— esta privacidad racionada será todo lo que nos quede de nuestra dignidad humana.

La decisión que tomemos hoy determinará cuál de esos futuros habitaremos mañana. Tu futuro. El futuro de Rafi. El futuro de todos.

Defendé tu privacidad como si tu libertad dependiera de ello. Porque depende.​​​​​​​​​​​​​​​​