Categoría: Privacidad

La Oficina de Derechos Civiles del Departamento de Salud de Estados Unidos (OCR/HHS) cerró un acuerdo de resolución con Ambry Genetics Corporation por presuntas violaciones a la Security Rule de HIPAA. El caso pone en foco los estándares de seguridad para datos de salud genética —un tipo de dato cuya sensibilidad y consecuencias para terceros no tiene equivalente en ningún otro sector— y llega en un momento en que varios países de América Latina están revisando sus marcos de protección para datos biométricos y de salud.

Ambry Genetics, con sede en Aliso Viejo, California, es una empresa dedicada a pruebas genéticas diagnósticas y está clasificada como “covered entity” bajo HIPAA. La Security Rule de esa ley establece salvaguardas administrativas, físicas y técnicas que las entidades cubiertas deben implementar para proteger la información de salud electrónica protegida (ePHI). Según informó OCR, la investigación detectó incumplimientos en esas salvaguardas, aunque al cierre de esta nota el monto del acuerdo y el detalle técnico de las fallas no habían sido publicados en su totalidad por HHS.

La Security Rule de HIPAA: qué exige y dónde suelen fallar las empresas de genómica

La Security Rule de HIPAA no es una norma de ciberseguridad genérica: exige análisis de riesgo documentado, gestión de riesgos continua, controles de acceso, auditoría de sistemas y planes de contingencia, entre otros requerimientos. Las empresas de pruebas genéticas son un blanco de escrutinio particular porque manejan datos que identifican no solo al paciente sino también a sus familiares biológicos, lo que amplifica el potencial de daño en caso de brecha. OCR ha incrementado su actividad de enforcement en los últimos años, con énfasis en organizaciones de salud que procesan datos genómicos y de laboratorio clínico.

El patrón de falla más frecuente en casos resueltos por OCR incluye análisis de riesgo incompletos o no actualizados, ausencia de procedimientos de revisión de actividad en sistemas críticos y controles de acceso insuficientes para usuarios con privilegios elevados. Aunque el expediente de Ambry no detalla públicamente cuál de esas fallas fue determinante, el solo hecho de que OCR haya iniciado investigación y llegado a un acuerdo indica que al menos uno de esos pilares estuvo comprometido.

Datos genéticos en LATAM: Argentina, Brasil y México ante un vacío regulatorio específico

El caso Ambry Genetics es relevante para la región porque ningún país de América Latina cuenta aún con un régimen de seguridad técnica tan detallado como HIPAA para datos de salud genética, aunque los tres marcos principales de la región los clasifican como datos sensibles con protección reforzada. En Argentina, la Ley 25.326 de Protección de Datos Personales los incluye en la categoría de datos sensibles cuyo tratamiento está sujeto a requisitos de consentimiento expreso y medidas de seguridad adicionales; sin embargo, la normativa no especifica controles técnicos mínimos equivalentes a la Security Rule. La Autoridad de Aplicación (AAIP) tiene facultades de investigación, pero el enforcement en el sector salud ha sido históricamente reactivo.

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) clasifica los datos genéticos como datos sensibles en su artículo 5, inciso II, y exige que su tratamiento tenga base legal específica. La Autoridade Nacional de Proteção de Dados (ANPD) publicó en 2023 su regulación de seguridad de la información (Resolução CD/ANPD nº 2/2022), que establece obligaciones de gestión de incidentes y medidas de seguridad proporcionales al riesgo, pero aún sin la granularidad sectorial que tiene HIPAA para salud. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y sus Lineamientos del Aviso de Privacidad también reconocen los datos de salud como sensibles, pero el INAI no ha emitido estándares técnicos sectoriales específicos para laboratorios genéticos o empresas de genomics.

Chile presenta un caso distinto: la nueva Ley 21.719 de Protección de Datos Personales, publicada en 2024 y con plazo de adecuación en curso, eleva significativamente el estándar de protección para datos sensibles e incorpora obligaciones de evaluación de impacto (EIPD) para tratamientos de alto riesgo. Los datos genéticos quedan comprendidos en esa categoría, lo que en la práctica obliga a clínicas, laboratorios y empresas de biotecnología con operación en Chile a hacer análisis de riesgo documentados, el mismo punto donde HIPAA exige más y donde Ambry Genetics aparentemente falló.

Por qué el modelo de enforcement de OCR importa más allá de EE.UU.

Los acuerdos de OCR funcionan como señales de precio para el mercado: fijan el costo esperado del incumplimiento y —cuando incluyen planes de acción correctiva— establecen un estándar de facto para el sector. Las empresas latinoamericanas de biotecnología o salud digital que operan en EE.UU. o procesan datos de ciudadanos estadounidenses están directamente alcanzadas por HIPAA. Pero más allá de la jurisdicción directa, el patrón de enforcement de OCR alimenta las decisiones de autoridades locales sobre qué controles exigir y cómo graduarlos por sector. La ANPD brasileña, que ya citó al GDPR europeo como referencia para su regulación de seguridad, tiene incentivos para mirar también el modelo HIPAA cuando diseñe guías sectoriales para datos de salud.

Qué monitorear: adecuación chilena, guías sectoriales de ANPD y reforma argentina en 2026

Tres hitos regulatorios de corto plazo merecen seguimiento directo a partir de este caso. Primero, el proceso de adecuación a la Ley 21.719 en Chile, cuyo plazo vence en 2026 para la mayoría de los obligados: los laboratorios y empresas de diagnóstico genético deberían estar cerrando sus EIPD ahora. Segundo, cualquier guía sectorial que emita la ANPD para el sector salud en Brasil —un documento esperado pero aún no publicado— podría incorporar exigencias de análisis de riesgo similares a las que activaron el caso Ambry. Tercero, Argentina tiene en trámite legislativo un proyecto de reforma a la Ley 25.326; si ese proyecto avanza hacia estándares técnicos más específicos para datos sensibles, el precedente de OCR será una referencia útil para los redactores del reglamento.

Nuestro análisis

El enforcement de HIPAA sobre empresas de genómica no es una curiosidad del sistema de salud estadounidense: es el anticipo de dónde van a terminar los reguladores latinoamericanos cuando el sector de biotecnología y diagnóstico genético escale en la región. La combinación de datos de altísima sensibilidad, cadena de custodia compleja y empresas con estructuras de compliance todavía débiles es exactamente el escenario que activa investigaciones como la de Ambry Genetics. Las autoridades de la región tienen las herramientas legales —datos sensibles con protección reforzada— pero les falta el complemento: estándares técnicos sectoriales con dientes. Mientras ese complemento no llegue, las empresas que operen en ambos mercados estarán respondiendo a HIPAA con más detalle del que exigen sus reguladores locales. Esa asimetría es una ventaja temporal, no una situación sostenible.

La pregunta que deberían hacerse los laboratorios y empresas de salud digital en Argentina, Brasil, Chile y México no es si sus datos genéticos están protegidos por ley —lo están— sino si sus controles técnicos documentados resistirían el escrutinio de un regulador que, como OCR, pide ver el análisis de riesgo actualizado antes de cualquier otra cosa.

Un informe de la Electronic Frontier Foundation revela que policías en Estados Unidos registran justificaciones como “LOL”, “LMAO” o “Sexy” al consultar la red de lectores automáticos de patentes de Flock Safety. El hallazgo expone una falla sistémica de accountability en el uso de tecnología de vigilancia masiva —y tiene implicancias directas para los debates legislativos sobre ALPR que se están abriendo en América Latina.

Los lectores automáticos de patentes —conocidos como ALPR, por sus siglas en inglés— son cámaras fijas o móviles que capturan, registran y cruzan matrículas vehiculares en tiempo real con bases de datos policiales. Flock Safety es la empresa que opera la red privada más extendida de este tipo en Estados Unidos, con contratos activos en miles de jurisdicciones. El sistema exige que los agentes ingresen un motivo antes de consultar el historial de movimiento de un vehículo. Según el reporte de la EFF, ese requisito se está cumpliendo en la forma pero no en el fondo: las justificaciones ingresadas carecen de sentido operativo y, en muchos casos, son abiertamente burlonas.

El problema del log vacío: cuando el dato existe pero el control no

La arquitectura de Flock registra cada consulta. En teoría, eso debería garantizar trazabilidad y rendición de cuentas. En la práctica, un campo de texto libre sin validación ni supervisión posterior convierte el log en papel mojado. La EFF documentó registros con entradas como “LOL”, “LMAO” y términos que no tienen ningún vínculo con una investigación legítima. El sistema técnico funciona; el marco de control humano, no. Esta distinción es central: la vigilancia masiva no se vuelve legítima por el solo hecho de dejar un rastro si ese rastro no es revisado por nadie con autoridad para sancionarlo.

Texas y Florida intentan poner límites a los ALPR —con resultados dispares

El mismo número del boletín EFFector reporta que Texas y Florida están revisando sus marcos normativos sobre ALPR, según se informó. Ambos estados ilustran la tensión típica del ciclo regulatorio en tecnología de vigilancia: la adopción policial precede a la regulación por años, y cuando el legislador reacciona, lo hace ante hechos consumados y contratos vigentes difíciles de deshacer. Este patrón —adopción acelerada, regulación tardía y fragmentada— es exactamente el que están replicando varios países de América Latina.

ALPR en LATAM: Brasil, Argentina y Colombia frente al vacío normativo

En Brasil, el uso de ALPR por fuerzas de seguridad estaduales no tiene regulación federal específica. La Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) aplica en principio al tratamiento de datos personales —y la matrícula vinculada a un conductor es dato personal bajo ese marco—, pero la exención para actividades de seguridad pública del artículo 4° genera una zona gris amplia. En Argentina, la Ley 25.326 de Protección de los Datos Personales tampoco contempla explícitamente los sistemas ALPR; la Agencia de Acceso a la Información Pública (AAIP) no ha emitido lineamientos específicos sobre este tipo de tecnología. Colombia cuenta con la Ley 1581 de 2012 y sus decretos reglamentarios, pero la Superintendencia de Industria y Comercio tampoco ha abordado el uso policial de ALPR de manera directa. En los tres casos, la ausencia de regulación sectorial significa que no existe obligación formal de registrar el motivo de cada consulta, ni mecanismo de auditoría independiente.

Cuándo aplica el principio de finalidad —y cuándo no alcanza

El principio de finalidad —presente en la LGPD, la Ley 25.326 y los marcos inspirados en el Convenio 108 del Consejo de Europa— establece que los datos solo pueden usarse para el propósito que justificó su recolección. En teoría, ese principio debería prohibir que un agente consulte el historial de movimiento de un vehículo sin una causa investigativa concreta. En la práctica, el principio de finalidad es difícil de hacer cumplir sin tres elementos que suelen faltar: un log auditado, una autoridad con capacidad de inspección técnica, y sanciones disuasivas para el uso indebido. El caso Flock demuestra que el log existe pero no se audita. Los marcos latinoamericanos, en la mayoría de los casos, ni siquiera tienen el log.

El acuerdo con Meta y la vigilancia corporativa como telón de fondo

El mismo boletín de la EFF cubre un acuerdo de Meta que, según la organización, institucionaliza prácticas de vigilancia en lugar de corregirlas, según se informó. El dato importa porque sitúa el caso Flock en un contexto más amplio: la vigilancia masiva —sea estatal vía ALPR o corporativa vía plataformas— comparte una lógica común. Los datos se recopilan a escala, los controles son débiles o simbólicos, y cuando hay consecuencias legales, suelen llegar demasiado tarde para los afectados.

Para quien diseña política pública o audita el uso de tecnología en seguridad, la pregunta que deja el informe de la EFF no es si los agentes deben justificar sus consultas —deben hacerlo—, sino quién verifica que esa justificación sea real y qué ocurre cuando no lo es. En América Latina, ningún país tiene hoy una respuesta clara a esa pregunta para los sistemas ALPR. El texto completo del informe de la EFF está disponible en eff.org.