La Corporación de Instalaciones de Seúl enfrenta una tormenta política tras ofrecer 5.000 wones —equivalentes a unos 3,50 dólares— como compensación a cada una de las 4,62 millones de personas afectadas por una brecha de datos personales. La cifra, considerada irrisoria por legisladores surcoreanos, reabre el debate global sobre cómo valuar el daño real que sufren los individuos cuando sus datos son comprometidos.
El concejal Im Gyu-ho, del Partido Democrático de Corea, fue uno de los primeros en cuestionar públicamente la propuesta ante el Consejo Metropolitano de Seúl. Según se informó, el funcionario señaló que el monto no refleja ni el alcance del incidente ni la naturaleza de los datos expuestos, y exigió una revisión del esquema indemnizatorio. La cifra total que desembolsaría la corporación rondaría los 23 millones de dólares, pero distribuida entre millones de personas, el impacto individual resulta casi simbólico.
El problema de fondo: ¿cuánto vale un dato personal?
La controversia surcoreana no es un caso aislado: es la versión más reciente de un debate que ningún sistema regulatorio ha resuelto del todo. Establecer un valor monetario al daño derivado de una brecha de datos personales implica considerar factores heterogéneos —riesgo de fraude, estrés, pérdida de control sobre la propia identidad digital— que los marcos legales traducen en criterios distintos según la jurisdicción. En Europa, el RGPD habilita indemnizaciones por “daño moral” sin tope mínimo definido, lo que ha derivado en sentencias que van desde unos pocos euros hasta compensaciones de cuatro cifras por persona en casos de exposición de datos sensibles.
En América Latina, el panorama es fragmentado. En Argentina, la Ley 25.326 de Protección de Datos Personales prevé acciones de daños y perjuicios, pero la práctica judicial aún no ha consolidado estándares claros de cuantificación por brecha masiva. En Brasil, la Lei Geral de Proteção de Dados (LGPD) contempla la responsabilidad civil del controlador y habilita a la Autoridade Nacional de Proteção de Dados (ANPD) a sancionar, aunque las primeras resoluciones sancionatorias recién están sentando precedente. México, a través del INAI y la LFPDPPP, también carece de una doctrina consolidada sobre montos compensatorios individuales en incidentes de escala masiva.
Sanciones que no duelen: el riesgo del “precio del dato”
Cuando la compensación por persona se fija en cifras que no generan incentivos reales para prevenir incidentes, el sistema regulatorio pierde efectividad disuasoria. Este es, precisamente, el argumento que subyace a la crítica del legislador Im Gyu-ho: si una entidad pública puede procesar de forma insegura los datos de 4,62 millones de ciudadanos y saldar la cuenta con 3,50 dólares por cabeza, el costo del incumplimiento es inferior al costo de invertir en controles preventivos. Esa lógica —el “precio del dato”— es exactamente lo que marcos como el RGPD intentaron romper con multas de hasta el 4% de la facturación global anual.
“La compensación no refleja el alcance del incidente ni la naturaleza de los datos expuestos. Debe revisarse el esquema indemnizatorio.”
— Im Gyu-ho, concejal del Partido Democrático de Corea, Consejo Metropolitano de Seúl
Implicancias para la región
El caso de Seúl ofrece una referencia concreta para los debates legislativos que se desarrollan en la región. En Colombia, la Ley Estatutaria 1581 y su regulación complementaria están siendo revisadas en el marco de una posible reforma. En Chile, la nueva Ley Marco de Ciberseguridad y la Ley de Protección de Datos Personales recientemente promulgada incorporan criterios de proporcionalidad en las sanciones. En todos estos contextos, la pregunta de fondo es la misma: ¿las multas y compensaciones previstas son suficientes para modificar el comportamiento de las organizaciones que procesan datos masivamente, o seguirán siendo un costo tolerable de operación?
La discusión también interpela a entidades públicas, que en muchos países latinoamericanos quedan fuera o en zonas grises de los regímenes de responsabilidad por datos personales. Si los organismos estatales no están sujetos a los mismos estándares sancionatorios que el sector privado, el incentivo para invertir en seguridad y gobernanza de datos se debilita aún más. La Corporación de Instalaciones de Seúl —una entidad pública metropolitana— ilustra exactamente ese riesgo.
Cuando la compensación por una brecha masiva cuesta menos que una taza de café por persona, no es un problema de matemáticas: es un problema de diseño regulatorio.