Categoría: Privacidad

Un análisis de la Electronic Frontier Foundation sobre registros de búsqueda del sistema de lectura automatizada de patentes (ALPR) de Flock Safety reveló que agentes policiales de Estados Unidos accedieron a datos de ubicación de millones de vehículos sin justificación legítima, usando razones como “LOL”, “LMAO”, “sexy” o “idk” (“no sé”) en los campos de auditoría obligatorios. El hallazgo expone una falla estructural que va más allá de la anécdota: cuando no hay requisito de orden judicial ni mecanismo de control real, los sistemas de vigilancia masiva se convierten en herramientas de acceso irrestricto.

El caso más llamativo del análisis corresponde al Departamento de Policía de Goshen, cuyo agente ejecutó el 7 de mayo de 2025 búsquedas sobre 6.474 redes ALPR que representan datos de 82.413 cámaras. En el campo donde debía documentar el motivo, escribió “idk”. No hubo sanción documentada. No hubo invalidación del resultado. La búsqueda simplemente quedó registrada como un hecho más en el log del sistema.

Flock Safety, Motorola y Axon: la arquitectura de vigilancia que se vende como seguridad pública

Las lectoras automáticas de patentes operan a través de empresas privadas —Flock Safety, Motorola Solutions y Axon son las más citadas en el análisis de la EFF— que licencian su tecnología a departamentos policiales municipales. El argumento de venta es siempre el mismo: la herramienta es indispensable para resolver crímenes graves como secuestros, robos de autos o homicidios. Pero los logs de auditoría muestran un uso rutinario, aleatorio y, en muchos casos, abiertamente burlesco.

Flock Safety respondió a las críticas previas implementando un menú desplegable de tipos de delitos que el agente debe seleccionar antes de ejecutar una búsqueda. La EFF señala que esta medida es cosmética: el sistema no verifica que la razón seleccionada corresponda al motivo real de la consulta. Un agente puede elegir “robo de vehículo” en el dropdown y estar rastreando a un ex cónyuge. La uniformidad del menú no reemplaza la accountability.

Sin orden judicial ni estándar de causa probable: el vacío legal que habilita el abuso

En Estados Unidos, los sistemas ALPR operan en un vacío normativo significativo. No existe legislación federal que exija orden judicial para consultar bases de datos de ubicación vehicular históricas. Algunos estados tienen regulaciones propias —Illinois y New Hampshire cuentan con restricciones de retención de datos, por ejemplo— pero la mayoría carece de estándares vinculantes sobre proporcionalidad o documentación de búsquedas. La EFF ha documentado que esta arquitectura de acceso irrestricto genera una “cultura de abuso” donde la vigilancia masiva se normaliza como rutina operativa.

El problema de fondo es de diseño: un sistema de auditoría que depende de que el propio agente documente honestamente sus razones no es un sistema de control, es una declaración de intenciones. Sin validación independiente, sin cruce con resultados de investigaciones reales y sin consecuencias por entradas inválidas, el log de auditoría cumple una función de legitimación formal, no de rendición de cuentas efectiva.

Argentina, Brasil y México frente a la vigilancia vehicular: tres marcos legales, un mismo riesgo

La expansión de sistemas ALPR en América Latina sigue una curva similar a la estadounidense, con una brecha regulatoria que en varios países es aún más pronunciada. En Argentina, la Ciudad de Buenos Aires opera el sistema de reconocimiento de patentes CONARC —integrado a la red de videovigilancia urbana— sin que exista una regulación específica sobre retención de datos vehiculares, acceso por parte de fuerzas de seguridad o estándares de auditoría. La Ley 25.326 de Protección de los Datos Personales establece principios de finalidad y proporcionalidad, pero su aplicación a bases de datos de vigilancia estatal en tiempo real es materia en disputa y la Agencia de Acceso a la Información Pública (AAIP) no ha emitido criterios específicos para este tipo de sistemas.

En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) reconoce en su artículo 4° una excepción amplia para actividades de seguridad pública, defensa nacional e investigación penal, lo que en la práctica significa que los sistemas de vigilancia vehicular operados por organismos estatales quedan fuera del alcance pleno de la norma. La Autoridade Nacional de Proteção de Dados (ANPD) ha avanzado en la regulación de tratamientos de datos personales por parte del sector privado, pero el tratamiento de datos por fuerzas de seguridad sigue pendiente de un marco específico que el Congreso no ha aprobado. En México, la LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de los Particulares) no aplica a organismos gubernamentales; la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados de 2017 rige para el sector público, pero sus mecanismos de control sobre bases de datos de vigilancia masiva son débiles y el INAI ha tenido escasa actuación en este campo específico.

El patrón regional es consistente: las leyes de protección de datos personales más robustas de la región tienen excepciones amplias para seguridad pública, y ningún país cuenta con legislación específica que establezca estándares de proporcionalidad, retención y auditoría para sistemas ALPR o equivalentes. Ciudades como Bogotá, Santiago, Lima y São Paulo operan redes de lectura de patentes de alcance creciente bajo marcos normativos que no contemplan los riesgos documentados por la EFF.

Qué monitorear: legislación pendiente y los próximos hitos en la regulación de vigilancia vehicular

En el plano internacional, el Comité de Derechos Humanos de la ONU ha señalado repetidamente que la vigilancia masiva sin control judicial es incompatible con el artículo 17 del Pacto Internacional de Derechos Civiles y Políticos —que protege la privacidad— independientemente de si el Estado que la ejecuta tiene o no una ley de privacidad avanzada. Este estándar internacional es una palanca disponible para organizaciones de la sociedad civil en la región que quieran cuestionar sistemas ALPR ante organismos de derechos humanos.

En el corto plazo, vale monitorear tres hitos: la posible actualización de la Ley 25.326 en Argentina, que incluye en su agenda de reforma criterios sobre tratamientos de datos por organismos de seguridad; el avance del proyecto de regulación sectorial de vigilancia urbana en la ANPD brasileña; y la discusión en el Congreso mexicano sobre una ley específica de videovigilancia que varios grupos civiles llevan impulsando desde 2023. Ninguno de estos procesos tiene fecha cierta, pero los tres son espacios donde el caso documentado por la EFF puede funcionar como argumento empírico.

Nuestro análisis: el log de auditoría no es un control, es una coartada

El hallazgo de la EFF es técnicamente sencillo pero políticamente devastador: los sistemas de vigilancia masiva que se venden con promesas de accountability no tienen, en la práctica, ningún mecanismo que obligue a los agentes a ser honestos sobre el propósito de sus consultas. El dropdown de Flock Safety es el equivalente digital de un formulario en papel que nadie revisa. La solución no es mejorar el formulario —es requerir autorización previa independiente para búsquedas en bases de datos de ubicación masiva, con estándar de causa probable y revisión judicial posterior.

Para América Latina, la lección operativa es anterior a la técnica: antes de desplegar o ampliar sistemas ALPR, los gobiernos locales deberían poder responder tres preguntas que hoy ninguno de los contratos con proveedores privados exige responder públicamente. ¿Quién puede consultar la base y bajo qué criterio documentado? ¿Cuánto tiempo se retienen los datos de vehículos que no son objeto de ninguna investigación? ¿Quién audita los logs y con qué consecuencias ante entradas inválidas? Mientras esas preguntas no tengan respuesta vinculante, “LMAO” seguirá siendo una razón tan válida como cualquier otra.

Si una entrada de log que dice “no sé” da acceso a datos de 82.413 cámaras sin consecuencias, el problema no es la cultura policial: es que el sistema fue diseñado para que eso fuera posible. ¿Cuántos municipios en América Latina firmaron contratos con los mismos proveedores sin exigir respuestas a esas tres preguntas?

Argentina avanza hacia la entrada en vigencia de su nueva Ley de Datos Personales, que reemplazará a la Ley 25.326 vigente desde el año 2000. Las empresas que operan en el país tienen una ventana definida para adaptar sus procesos: quienes lleguen tarde al cumplimiento no solo enfrentarán sanciones de la Agencia de Acceso a la Información Pública (AAIP), sino que quedarán expuestos ante consumidores y socios comerciales cada vez más exigentes en materia de privacidad.

La reforma era inevitable. La Ley 25.326 fue sancionada antes de que existieran las redes sociales, el procesamiento masivo de datos en la nube o los modelos de negocio basados en la monetización de información personal. La nueva normativa, cuyo texto fue debatido durante años en el Congreso, actualiza los estándares argentinos acercándolos al Reglamento General de Protección de Datos (RGPD) de la Unión Europea y a la Lei Geral de Proteção de Dados (LGPD) de Brasil, que lleva operativa desde 2020 con multas ya aplicadas por la Autoridade Nacional de Proteção de Dados (ANPD). El diagnóstico regional es claro: los marcos normativos de primera generación ya no alcanzan.

Cinco obligaciones que las empresas argentinas no pueden postergar

El camino hacia el cumplimiento no es lineal, pero hay un conjunto de pasos que concentran la mayor parte del riesgo de incumplimiento. Basándonos en el análisis del marco legal y la experiencia comparada con Brasil y México —donde la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) lleva más de una década vigente—, estas son las áreas críticas que toda organización debe resolver antes de la entrada en vigor:

• Mapeo y registro de tratamientos: inventariar qué datos personales se recolectan, con qué base legal, por cuánto tiempo se conservan y quién tiene acceso. Sin este registro, el resto del cumplimiento es imposible de auditar.
• Revisión de bases de legitimación: el consentimiento deja de ser la única ni la principal base legal. Las empresas deben identificar cuándo aplica interés legítimo, ejecución contractual u obligación legal, y documentarlo correctamente.
• Actualización de avisos de privacidad y políticas internas: los textos vigentes en la mayoría de las organizaciones fueron redactados bajo la lógica de la Ley 25.326 y no contemplan nuevos derechos como la portabilidad o la limitación del tratamiento.
• Designación del responsable de protección de datos: la nueva ley incorpora la figura equivalente al Data Protection Officer (DPO). Definir si corresponde designarlo, con qué perfil y con qué nivel de independencia es una decisión que requiere análisis jurídico y organizacional.
• Protocolo de respuesta a brechas de seguridad: la notificación obligatoria a la autoridad de control y, en ciertos casos, a los titulares afectados, exige un procedimiento interno previamente documentado. Improvisar ante un incidente tiene un costo legal y reputacional alto.

La experiencia brasileña bajo la LGPD: lecciones para Argentina

Brasil es el espejo más útil para Argentina en este proceso. La LGPD entró en vigor en septiembre de 2020 y las primeras sanciones de la ANPD llegaron en 2023, con un período de gracia que muchas empresas interpretaron como inactividad regulatoria. El resultado: cuando las multas comenzaron, un porcentaje significativo de organizaciones medianas no tenía ni siquiera el mapeo de tratamientos completado, según reportes de consultoras especializadas en compliance de datos en Brasil. Argentina podría replicar ese patrón si las empresas subestiman el tiempo que toma implementar cambios estructurales.

México ofrece otro ángulo. La LFPDPPP —vigente desde 2010 y complementada por lineamientos del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI)— demostró que el aviso de privacidad, cuando se trata como un trámite formal en lugar de una herramienta de transparencia real, pierde toda eficacia. Las empresas argentinas tienen la oportunidad de no repetir ese error y diseñar avisos genuinamente informativos desde el inicio.

La AAIP como autoridad de control: capacidad sancionatoria reforzada

La nueva ley fortalece las atribuciones de la AAIP para investigar, requerir información y aplicar sanciones. Esto no es un detalle menor: bajo la Ley 25.326, la capacidad sancionatoria de la autoridad de control era limitada y las multas raramente representaban un desincentivo real para las grandes organizaciones. La reforma busca cambiar esa ecuación. Las empresas multinacionales que ya operan bajo RGPD o LGPD reconocerán el esquema; las de capital local, en cambio, necesitarán construir desde cero una cultura de accountability interno.

Un punto que suele pasarse por alto: la nueva normativa también alcanza a los encargados del tratamiento —proveedores tecnológicos, agencias de marketing, empresas de contact center— que procesan datos por cuenta de terceros. Revisar los contratos con proveedores y exigir garantías de cumplimiento es parte del trabajo de adecuación, no un paso opcional.

Qué monitorear en los próximos meses: reglamentación y guías de la AAIP

La ley, una vez promulgada, no opera en el vacío: necesita reglamentación que defina plazos de notificación de brechas, umbrales para la designación obligatoria del DPO y criterios de evaluación del impacto relativo al tratamiento de datos (equivalente al DPIA del RGPD). Las organizaciones deben monitorear activamente las publicaciones de la AAIP en el Boletín Oficial y participar en los espacios de consulta pública que la autoridad suele habilitar antes de emitir guías interpretativas. La experiencia de la ANPD brasileña —que publicó resoluciones clave sobre agentes de tratamiento de pequeño porte y sobre comunicación de incidentes— muestra que esos instrumentos secundarios son tan importantes como el texto de la ley.

Nuestro análisis

La actualización de la normativa argentina es positiva y necesaria, pero el riesgo real no está en el texto de la ley sino en el tiempo de implementación. Las organizaciones que esperan a que la AAIP publique la reglamentación completa para recién comenzar su diagnóstico interno llegarán tarde. Los cinco pasos identificados —mapeo, bases legales, avisos, DPO y protocolo de brechas— son independientes de los detalles reglamentarios pendientes y pueden iniciarse ahora. En la región, tanto Brasil como México mostraron que el período de gracia no es un regalo, sino una trampa para quienes lo confunden con inacción del regulador. Argentina tiene la ventaja de poder aprender de esos ciclos. La pregunta es si las empresas locales están dispuestas a usarla.

El cumplimiento temprano no es ventaja competitiva en abstracto: es el único escenario en el que una organización controla el ritmo de su adecuación en lugar de reaccionar ante una inspección.

Delaware promulgó la House Bill 380, una reforma sustantiva a su Delaware Personal Data Privacy Act (DPDPA) que ajusta obligaciones para controladores de datos, amplía derechos de los consumidores y endurece requisitos de transparencia. La movida convierte a Delaware en uno de los estados estadounidenses con la legislación de privacidad más actualizada del país, y el impacto se extiende a cualquier empresa latinoamericana que opere o comercialice servicios en ese mercado.

Delaware no es un actor menor en el ecosistema corporativo de América: es el estado de constitución de más del 65% de las empresas Fortune 500, según datos de la División de Corporaciones de Delaware. Eso significa que la reforma no es solo una cuestión local. Cualquier entidad constituida allí —y muchas con sede en Brasil, México o Argentina lo están— queda alcanzada por las nuevas obligaciones, independientemente de dónde procese los datos.

Qué modifica HB 380 en la DPDPA original

La HB 380 introduce ajustes en al menos tres ejes centrales de la DPDPA vigente desde 2023. Primero, refuerza las obligaciones de evaluación de impacto de protección de datos (DPIA) para tratamientos de alto riesgo, incluyendo publicidad dirigida, venta de datos personales y elaboración de perfiles con efectos jurídicos. Segundo, amplía la definición de “datos sensibles” para incorporar categorías que la ley original dejaba en zona gris, entre ellas datos de salud mental y datos derivados de inferencias sobre características protegidas. Tercero, establece mecanismos más precisos de opt-out universales para los consumidores, alineándose con el Global Privacy Control (GPC), señal técnica que varios estados ya reconocen como método válido de ejercicio de derechos.

El régimen de cumplimiento también se toca: la reforma ajusta los plazos para responder solicitudes de derechos —equivalentes a los DSAR del GDPR— y precisa qué información debe incluirse en las políticas de privacidad para que se consideren suficientes ante una eventual acción del Attorney General, que retiene la facultad exclusiva de aplicación de la ley.

LGPD, Ley 25.326 y LFPDPPP frente al estándar Delaware

El ejercicio comparativo revela tanto convergencias como brechas relevantes para equipos de compliance en la región. Brasil, con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), ya reconoce la evaluación de impacto —llamada Relatório de Impacto à Proteção de Dados Pessoais (RIPD)— como obligación para tratamientos de alto riesgo, lo que la acerca conceptualmente a la DPIA reforzada por HB 380. Sin embargo, la ANPD aún no ha publicado criterios definitivos sobre qué tratamientos activan ese umbral, lo que deja margen de incertidumbre operativa que Delaware, en cambio, empieza a cerrar con texto más preciso.

Argentina opera bajo la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000 y objeto de un proceso de reforma que lleva años pendiente en el Congreso. La AAIP ha impulsado un proyecto de actualización que incorporaría, entre otras cosas, evaluaciones de impacto y mecanismos de opt-out más modernos —exactamente lo que HB 380 consolida en Delaware—. Mientras Argentina espera, las empresas argentinas con presencia en Estados Unidos enfrentan la paradoja de cumplir estándares más exigentes en el norte que los que rigen en su propio mercado doméstico.

México presenta una dinámica distinta. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) incluye derechos ARCO robustos y avisos de privacidad detallados, pero carece de un mecanismo equivalente al opt-out universal vía señal técnica. El INAI ha dado señales de modernización regulatoria, aunque sin cronograma firme. Para empresas mexicanas que operan en ambos mercados, la HB 380 de Delaware anticipa un nivel de granularidad técnica que el marco mexicano todavía no exige.

Impacto operativo para empresas con vínculos en Delaware

Las obligaciones concretas que HB 380 activa para controladores de datos incluyen revisar si los mecanismos de opt-out actuales son compatibles con el GPC, actualizar las DPIA para reflejar las nuevas categorías de datos sensibles y auditar las políticas de privacidad públicas para verificar que cumplen los requisitos de contenido mínimo que la reforma especifica. Las empresas latinoamericanas con subsidiarias, fondos de capital o estructuras holding constituidas en Delaware deben evaluar si esas entidades califican como controladores bajo la DPDPA reformada —el umbral aplica a quienes realizan negocios en Delaware o dirigen productos a residentes del estado.

El riesgo de no actuar no es inmediato en términos de multa automática, ya que la DPDPA mantiene el modelo de aplicación exclusiva por el Attorney General, sin causa de acción privada. Pero la ausencia de cumplimiento documentado puede transformarse en pasivo legal en el momento en que ese órgano inicie una investigación, especialmente si el incumplimiento involucra datos sensibles de la nueva categoría.

Qué monitorear en los próximos seis meses

Delaware no especificó en la HB 380 una fecha de entrada en vigor diferida larga, por lo que los equipos de compliance deben asumir que los cambios son exigibles en el corto plazo. Los hitos a seguir incluyen:

• Publicación de guías interpretativas del Attorney General de Delaware sobre los nuevos requisitos de DPIA y opt-out.
• Avance del proyecto de reforma de la Ley 25.326 en el Congreso argentino, que podría incorporar estándares similares.
• Resolución de la ANPD brasileña sobre criterios de activación del RIPD para tratamientos de alto riesgo.
• Posibles lineamientos del INAI mexicano sobre reconocimiento de señales técnicas de opt-out en el contexto de la LFPDPPP.

Nuestro análisis

La HB 380 es relevante para LATAM no porque Delaware sea un referente regulatorio directo de la región, sino porque actúa como laboratorio de estándares corporativos globales. Cuando la mayoría de las grandes empresas latinoamericanas se constituyen o financian a través de Delaware, los requisitos de ese estado se convierten de facto en el piso de compliance que esas estructuras deben sostener. El movimiento de Delaware hacia el opt-out técnico universal y la expansión de datos sensibles es consistente con una tendencia global que LGPD, GDPR y el futuro marco argentino ya anticipan. Los equipos de privacidad en la región que esperan a que “su” regulador local se actualice están gestionando el riesgo por el lado equivocado: el riesgo Delaware ya está activo hoy.

¿Tiene su organización mapeadas las entidades constituidas en Delaware y evaluado si califican como controladores bajo la DPDPA reformada? Esa pregunta debería estar en la agenda del próximo comité de privacidad.