Etiqueta: Normativa

  • La EFF publica una guía de privacidad digital para familias y jóvenes

    La EFF publica una guía de privacidad digital para familias y jóvenes

    La Electronic Frontier Foundation (EFF) publicó una guía práctica de privacidad en línea dirigida a familias, con énfasis en que son los padres —y no los gobiernos— quienes deben decidir cómo sus hijos se relacionan con el entorno digital. La iniciativa llega en un momento en que varios estados de Estados Unidos debaten leyes de verificación de edad que, según la organización, comprometen la privacidad de todos los usuarios de internet.

    El recurso, disponible en el portal de autodefensa digital de la EFF bajo el módulo “Online Privacy for Parents and Youth”, está diseñado para familias sin conocimientos técnicos. La premisa es concreta: identificar las amenazas reales que enfrentan los jóvenes en línea —desde confiar ciegamente en chatbots de inteligencia artificial hasta compartir datos personales con desconocidos— y luego definir pasos proporcionales para reducir esos riesgos sin bloquear el acceso a juegos, materiales educativos y comunidades digitales.

    Verificación de edad como amenaza colateral a la privacidad

    La EFF lanzó la guía en abierta respuesta al avance de legislaciones estatales y municipales en Estados Unidos que buscan restringir el acceso de menores a plataformas digitales mediante sistemas de verificación de edad. La organización argumenta que esas medidas, aunque bien intencionadas, generan un efecto secundario directo: obligan a todos los usuarios —adultos incluidos— a acreditar su identidad para acceder a contenidos, lo que implica la recolección y eventual retención de datos biométricos o documentales a escala masiva. El mecanismo conocido como age gating convierte una medida de protección infantil en un vector de vigilancia generalizada.

    Babette Ngene, directora de Tecnología de Interés Público de la EFF, señaló que el objetivo es “empoderar a las familias con el conocimiento y la confianza para tomar decisiones informadas sobre sus vidas digitales”. Thorin Klosowski, activista senior de seguridad y privacidad de la organización, agregó que decidir cómo los jóvenes usan internet “es un tema complicado que toca muchas habilidades e ideas distintas”, pero que en última instancia es una decisión familiar, no gubernamental.

    Cuándo aplica este enfoque / cuándo NO

    La guía de la EFF es pertinente para familias que buscan gestionar la exposición digital de menores de forma autónoma, sin depender de restricciones técnicas impuestas por plataformas o reguladores. No reemplaza, sin embargo, los marcos legales de protección de datos que sí imponen obligaciones a empresas y no solo a individuos: el Children’s Online Privacy Protection Act (COPPA) en Estados Unidos, el Reglamento General de Protección de Datos (RGPD) en la Unión Europea y sus equivalentes regionales establecen responsabilidades del lado de los controladores de datos, no del usuario. En esos regímenes, la carga no recae en la familia sino en la organización que recoge los datos. El enfoque de la EFF complementa pero no sustituye esa dimensión regulatoria.

    El debate de menores en internet ya llegó a América Latina

    La tensión entre protección de menores y privacidad universal no es exclusiva del debate estadounidense. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 14 que el tratamiento de datos de niños y adolescentes debe realizarse con consentimiento específico de al menos uno de los padres o tutores legales, y que los datos no pueden usarse en detrimento de los menores. Argentina, bajo la Ley 25.326 y la supervisión de la Agencia de Acceso a la Información Pública (AAIP), también reconoce la necesidad de protección reforzada para menores, aunque el marco carece del nivel de especificidad que tiene la LGPD en este punto. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) exige el consentimiento de quien ejerza la patria potestad para el tratamiento de datos de menores. Lo que ninguno de estos marcos resuelve todavía con precisión es cómo los Estados deben verificar la edad sin convertir esa verificación en un mecanismo de recolección de datos sensibles a escala.

    Chile, que atravesó en 2024 la implementación de su nueva Ley de Protección de Datos Personales (Ley 21.719), incorporó disposiciones reforzadas para el tratamiento de datos de niños, niñas y adolescentes, con principios de minimización y propósito que limitan el uso secundario de información recolectada durante procesos de verificación. Ese equilibrio —proteger sin vigilar— es exactamente el nudo que la EFF señala como irresuelto en el modelo legislativo que critica.

    Para profundizar en los marcos regionales sobre protección de datos de menores, la Ley 21.719 de Chile y el artículo 14 de la LGPD brasileña son los referentes más desarrollados de la región en este momento.

  • SBI confirma exposición de 3.897 registros de clientes en la dark web

    SBI confirma exposición de 3.897 registros de clientes en la dark web

    El State Bank of India (SBI), el mayor banco público del país asiático, confirmó que 3.897 registros de clientes fueron expuestos en la dark web, según se informó el 21 de octubre de 2025. Es el primer banco estatal indio en reconocer públicamente una brecha de esta naturaleza en lo que va del año.

    La confirmación provino del propio banco, que admitió el incidente sin detallar, según se informó, el vector de ataque ni el período de tiempo durante el cual los datos permanecieron expuestos antes de ser detectados. Los registros comprometidos corresponden a información de clientes, aunque la entidad no precisó públicamente qué tipos de datos personales integran el conjunto filtrado —si incluye datos de identidad, información financiera o credenciales de acceso.

    Datos confirmados al cierre de esta edición

    • Registros expuestos confirmados: 3.897
    • Entidad afectada: State Bank of India (banco de titularidad estatal)
    • Destino de los datos: dark web, según confirmación oficial
    • Fecha de divulgación pública: 21 de octubre de 2025
    • Tipo de dato expuesto: registros de clientes (composición exacta no divulgada)

    Qué se sabe y qué falta confirmar

    Lo confirmado es la cifra de registros y la presencia del dataset en la dark web. Lo que permanece sin verificación pública es el origen del incidente: si fue un ataque externo, una exposición por mala configuración de sistemas, o un acceso interno no autorizado. Tampoco se informó si el SBI notificó individualmente a los clientes afectados ni si intervino el regulador financiero indio (RBI) o alguna autoridad de protección de datos. India cuenta desde 2023 con la Digital Personal Data Protection Act (DPDPA), que establece obligaciones de notificación ante brechas, aunque su reglamentación aún está en proceso de consolidación.

    Para bancos en América Latina que operan con sucursales o corresponsalía con entidades asiáticas, el caso ilustra un riesgo de cadena: los datos de clientes compartidos con terceros internacionales pueden quedar expuestos en jurisdicciones con marcos de notificación aún inmaduros. En Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la ANPD en plazos que la autoridad ha interpretado como no superiores a dos días hábiles para incidentes de alto riesgo. En Argentina, la Ley 25.326 y las disposiciones complementarias de la AAIP también exigen comunicación a los titulares afectados. Un banco que opera bajo esas jurisdicciones y comparte datos con corresponsales extranjeros debe auditar contractualmente los estándares de respuesta a incidentes de sus contrapartes.

    El próximo hito a seguir es si el SBI activa el mecanismo de notificación individual a los 3.897 titulares afectados y si el regulador indio abre una investigación formal, ambos plazos aún sin anuncio oficial al cierre de esta nota.

  • Sitio del gobierno de Rajastán expone hasta 70.000 registros de identidad

    Sitio del gobierno de Rajastán expone hasta 70.000 registros de identidad

    Hasta 70.000 registros de identidad quedaron expuestos tras una brecha en un sitio web del gobierno del estado indio de Rajastán, según informó India Today el 21 de octubre de 2025. El incidente pone en foco los controles de acceso y la clasificación de datos en portales públicos, una debilidad compartida por varios gobiernos de América Latina.

    Según se informó, la brecha afectó a un portal oficial del gobierno de Rajastán y habría comprometido registros que incluyen datos de identidad de ciudadanos. La cifra reportada asciende a hasta 70.000 registros, aunque las autoridades locales no habían confirmado públicamente el alcance exacto al momento de la publicación. No se especificó si los datos fueron exfiltrados o si la exposición se debió a una configuración incorrecta de acceso público en el sistema.

    Datos confirmados y lo que aún falta verificar

    • Registros potencialmente expuestos: hasta 70.000
    • Tipo de datos: registros de identidad de ciudadanos
    • Organismo afectado: sitio web del gobierno del estado de Rajastán, India
    • Fecha de reporte: 21 de octubre de 2025 (India Today)
    • Causa raíz: no confirmada públicamente al cierre de esta nota
    • Exfiltración confirmada: no verificada; se reporta exposición, no necesariamente descarga masiva

    Lo que el caso replica en portales de gobierno latinoamericanos

    Incidentes de este tipo tienen un espejo directo en la región. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) ha intervenido en casos de exposición de bases de datos estatales, bajo el marco de la Ley 25.326 de Protección de los Datos Personales, que establece la obligación de adoptar medidas técnicas y organizativas adecuadas para la seguridad de los datos. En Brasil, la Lei Geral de Proteção de Dados (LGPD) impone al operador público la notificación a la Autoridade Nacional de Proteção de Dados (ANPD) en casos de incidentes de seguridad con riesgo relevante, en un plazo que la ANPD ha acotado a dos días hábiles para incidentes graves. En México, el Instituto Nacional de Transparencia (INAI) tiene competencia para investigar brechas en organismos públicos federales bajo la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados.

    El patrón recurrente en estos incidentes —tanto en Asia meridional como en América Latina— es la ausencia de controles básicos de gobernanza: sin clasificación formal del dato, sin un data owner identificable para el sistema, y sin monitoreo de accesos anómalos. Portales de servicios ciudadanos suelen consolidar datos de identidad de alta sensibilidad sin los controles de acceso equivalentes. La exposición puede ocurrir sin intervención maliciosa: una configuración incorrecta de permisos en el servidor, un endpoint no autenticado, o un archivo indexado públicamente son vectores frecuentes que no requieren capacidad técnica sofisticada.

    La próxima definición crítica es si las autoridades de Rajastán confirman exfiltración activa: ese dato determinará si el incidente escala a notificación obligatoria bajo la ley de protección de datos de India (DPDPA 2023) y si los afectados deben ser comunicados individualmente.

  • SBI: 3.897 registros de clientes expuestos en la dark web

    SBI: 3.897 registros de clientes expuestos en la dark web

    El State Bank of India (SBI) enfrenta una investigación activa tras confirmarse que datos personales de 3.897 clientes fueron expuestos en la dark web, según informó The Statesman el 21 de octubre de 2025. El banco abrió una pesquisa formal para determinar el origen de la filtración.

    La información comprometida incluye datos personales de clientes del banco estatal más grande de India por activos. Según se informó, los registros circularon en foros de la dark web antes de que el incidente fuera detectado y reportado públicamente. El SBI no precisó en la divulgación inicial qué categorías exactas de datos —nombres, números de cuenta, información de identidad fiscal u otros— forman parte del conjunto expuesto, aunque la naturaleza del banco y el volumen sugieren que se trata de información financiera y de identificación personal.

    Datos confirmados del incidente

    • Registros expuestos: 3.897 clientes del SBI
    • Canal de exposición: dark web, según se informó
    • Estado: investigación interna iniciada por el banco
    • Tipo de entidad afectada: banco estatal, mayor institución financiera de India por activos
    • Regulador sectorial competente: Reserve Bank of India (RBI) y CERT-In, organismo de respuesta a incidentes cibernéticos

    Qué se sabe y qué falta confirmar

    Hasta la fecha de publicación de este artículo, no se confirmó oficialmente el vector de ataque —si fue una brecha en sistemas internos, un proveedor tercero o un error de configuración—, ni si el RBI recibió notificación formal del incidente. Tampoco se determinó si los datos provienen de un único evento o de múltiples extracciones. En India, la Personal Data Protection Act (DPDPA) de 2023 establece obligaciones de notificación a la autoridad de protección de datos ante brechas significativas, aunque los plazos reglamentarios específicos aún están siendo reglamentados. Lo que permanece sin confirmar es si el incidente supera los umbrales que activarían esa obligación bajo la normativa vigente.

    Para los equipos de gobernanza de datos de bancos en América Latina, el caso tiene resonancias directas. En Brasil, el Banco Central exige notificación al BACEN ante incidentes relevantes bajo la Resolução CMN nº 4.893/2021, con plazos de hasta 72 horas para eventos críticos. En Argentina, los bancos supervisados por el BCRA deben reportar incidentes de seguridad conforme a la Comunicación A 7724, que también fija ventanas de notificación estrictas. En México, la CNBV establece requerimientos similares para entidades reguladas. El caso SBI ilustra que incluso instituciones de escala sistémica pueden tener registros de clientes activos en mercados ilegales sin detección inmediata, lo que pone en cuestión la efectividad de los controles de monitoreo de exfiltración en tiempo real.

    El próximo hito crítico es la comunicación oficial del SBI al regulador indio, que definirá si el banco cumplió con los plazos de notificación exigidos bajo la DPDPA 2023 y si proceden sanciones formales.

  • Connecticut multa a Frontier Communications con USD 625.000 por brecha de RansomHub

    Connecticut multa a Frontier Communications con USD 625.000 por brecha de RansomHub

    Connecticut llegó a un acuerdo de USD 625.000 con Frontier Communications Parent Inc. por una brecha de datos ocurrida en abril de 2024 y atribuida al grupo de ransomware RansomHub. El fiscal general William Tong anunció el acuerdo el 20 de octubre de 2026, cerrando la investigación estatal sobre el incidente.

    La brecha afectó información personal sensible de clientes y fue ejecutada, según se informó, por RansomHub, uno de los grupos de extorsión más activos del último ciclo. Frontier Communications, proveedor de servicios de telecomunicaciones con presencia en varios estados de EE.UU., fue investigada por la oficina del fiscal Tong tras detectarse que los controles existentes no impidieron el acceso no autorizado ni la exfiltración de datos. El monto del acuerdo —USD 625.000— refleja tanto la gravedad del incidente como la posición negociadora del regulador estatal, que en los últimos años ha convertido a Connecticut en una jurisdicción activa en litigios de privacidad.

    Datos confirmados del incidente de abril de 2024

    • Fecha del incidente: abril de 2024
    • Actor atribuido: grupo RansomHub
    • Empresa afectada: Frontier Communications Parent Inc.
    • Monto del acuerdo: USD 625.000
    • Autoridad actuante: Fiscal General de Connecticut, William Tong
    • Anuncio del cierre: 20 de octubre de 2026

    Qué se sabe y qué falta confirmar sobre el alcance de la exposición

    La información publicada confirma que datos personales sensibles fueron comprometidos, pero el volumen exacto de registros afectados y los tipos específicos de información expuesta no fueron detallados en el comunicado oficial disponible. Tampoco se precisó si Frontier realizó notificaciones individuales a los titulares afectados dentro de los plazos exigidos por la legislación de Connecticut —el estado cuenta con requisitos de notificación de brechas bajo su ley de protección al consumidor—, ni si el acuerdo incluye compromisos de remediación técnica u organizacional adicionales al pago monetario.

    El caso tiene resonancia directa para América Latina: en Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la Autoridade Nacional de Proteção de Dados (ANPD) dentro de un plazo razonable desde la detección del incidente, con posibilidad de multas de hasta el 2% de la facturación local. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) recibe reportes de brechas bajo la Ley 25.326, aunque el marco sancionatorio sigue siendo más acotado que el estadounidense o el europeo. La resolución de Connecticut ilustra que incluso a nivel subnacional, los reguladores de privacidad están dispuestos a litigar y cerrar acuerdos significativos cuando los controles corporativos fallan ante actores de ransomware.

    El próximo punto de atención es si el acuerdo incluye un plan de remediación con plazos verificables —detalle que, según se informó, no fue publicado en el comunicado inicial del fiscal Tong.

  • México reforma la LFPDPPP: lo que su estrategia de IA no puede ignorar

    México reforma la LFPDPPP: lo que su estrategia de IA no puede ignorar

    México atraviesa su momento regulatorio más crítico en materia de datos personales desde que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) entró en vigor en 2010. Las presiones para modernizar ese marco —impulsadas por la expansión de sistemas de inteligencia artificial en el sector privado— colocan a las empresas ante una disyuntiva concreta: adaptar sus estrategias de IA ahora o arriesgar que sus proyectos queden fuera de cumplimiento en un plazo muy breve.

    La LFPDPPP de 2010 frente a los usos de IA en 2025

    La LFPDPPP fue concebida para regular el tratamiento de datos personales por empresas privadas, con obligaciones centradas en el aviso de privacidad, el consentimiento y los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición). En aquel momento, el procesamiento automatizado de datos a la escala que permite la IA generativa era prácticamente inexistente en el mercado masivo. Quince años después, las empresas utilizan modelos de lenguaje, motores de recomendación y sistemas de scoring crediticio que procesan millones de registros personales con lógicas que el legislador de 2010 no anticipó.

    El INAI —el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, autoridad de control en México— ha emitido criterios interpretativos, pero carece de una regulación específica que aborde el tratamiento automatizado de datos con fines de IA, la portabilidad efectiva o la lógica de los modelos de decisión. Esa laguna normativa es precisamente la que el debate de reforma busca cerrar.

    Tres presiones concretas que empujan la reforma en el Congreso mexicano

    El impulso reformador en México responde a al menos tres vectores identificables. Primero, la adhesión de México al convenio 108+ del Consejo de Europa —el instrumento internacional de protección de datos más antiguo— genera obligaciones de alineación que la LFPDPPP actual no satisface plenamente. Segundo, la proximidad regulatoria con Estados Unidos y Canadá bajo el T-MEC exige demostrar estándares equivalentes de protección para preservar flujos de datos transfronterizos, especialmente relevantes para la industria manufacturera y de servicios que opera en los tres países. Tercero, la proliferación de sistemas de IA en banca, salud y telecomunicaciones ha generado quejas ciudadanas ante el INAI por decisiones automatizadas sin explicación ni recurso efectivo.

    Brasil con la LGPD y el artículo 20 como referencia regional inmediata

    México no parte de cero al mirar la experiencia regional. Brasil ya cuenta con el artículo 20 de la Lei Geral de Proteção de Dados (LGPD), que reconoce expresamente el derecho del titular a solicitar revisión humana de decisiones tomadas exclusivamente por medios automatizados, incluyendo las que afecten intereses en procesos de definición de perfil. La Autoridade Nacional de Proteção de Dados (ANPD) de Brasil publicó en 2023 un documento de referencia sobre el tema y trabaja actualmente en reglamentación específica para IA. Ese camino —ley general más reglamentación sectorial para IA— es el modelo que observan con atención los técnicos del INAI.

    Argentina, por su parte, tiene pendiente la actualización de la Ley 25.326 de Protección de Datos Personales, sancionada en el año 2000. La Agencia de Acceso a la Información Pública (AAIP) presentó en 2023 un anteproyecto de reforma que incorpora disposiciones sobre tratamientos automatizados y elaboración de perfiles, pero al cierre de esta edición el texto no había avanzado en el Congreso. Colombia trabaja con la Ley Estatutaria 1581 de 2012 y resoluciones de la Superintendencia de Industria y Comercio, que tampoco contemplan de manera específica los tratamientos basados en IA. En los tres casos, la brecha entre el texto legal vigente y la práctica tecnológica actual es evidente.

    Qué cambia para una empresa con operaciones en México si la reforma prospera

    Las obligaciones que circulan en los borradores de reforma discutidos en México incluyen, según se informó, requisitos de explicabilidad para decisiones automatizadas con efectos significativos sobre personas, evaluaciones de impacto en privacidad (Privacy Impact Assessments) como condición previa al despliegue de ciertos sistemas de IA, y plazos de notificación de brechas de seguridad más estrictos que los actuales. Para empresas que ya operan con pipelines de datos entrenando modelos, esto implica revisar la base legal de cada tratamiento, verificar si el consentimiento obtenido en los avisos de privacidad actuales cubre usos de IA no especificados, y documentar la lógica de los modelos en términos comprensibles para el titular.

    El impacto no es solo compliance formal. Las empresas que utilizan proveedores de IA en la nube —ya sea para modelos de lenguaje, análisis predictivo o automatización de procesos— deben revisar sus contratos de encargado de tratamiento para asegurarse de que las cláusulas reflejen las nuevas obligaciones que una eventual reforma impondría al responsable del dato. Un aviso de privacidad que no mencione el uso de IA para perfilado no sobrevive un requerimiento del INAI bajo un marco actualizado.

    Qué monitorear en los próximos 90 días

    El calendario legislativo mexicano concentra los meses restantes de 2025 y el primer trimestre de 2026 como la ventana más probable para que un dictamen de reforma tome estado parlamentario. Las empresas con operaciones en México deben seguir de cerca tres hitos: la publicación de eventuales lineamientos del INAI sobre IA (que pueden anticipar obligaciones antes de que haya ley), el avance del convenio 108+ en el Senado mexicano, y la evolución del debate en la ANPD de Brasil, cuyas resoluciones suelen operar como referencia comparada en los trabajos técnicos del INAI.

    Nuestro análisis

    La narrativa de que la LFPDPPP es una ley “blanda” que tolera usos extensivos de datos personales en IA ha sido, hasta ahora, una lectura interesada del silencio normativo. Ese silencio no es permiso: es riesgo acumulado. El INAI tiene facultades sancionatorias bajo el texto vigente —multas de hasta 320.000 días de salario mínimo general, según el artículo 65 de la LFPDPPP— y puede aplicarlas a tratamientos de IA que vulneren los principios de finalidad, proporcionalidad o consentimiento aunque no exista reglamento específico de IA. Las empresas que han diferido la revisión de sus programas de privacidad bajo el argumento de que “la ley no dice nada sobre IA” están apostando a que el INAI tampoco lo hará. Esa apuesta tiene fecha de vencimiento.

    La pregunta que deberían hacerse los equipos legales y de datos en México no es si la reforma llegará, sino si sus proyectos de IA están diseñados para sobrevivirla cuando llegue.

  • Cuando la voz se convierte en dato: qué enseña la litigación sobre huellas de voz

    Cuando la voz se convierte en dato: qué enseña la litigación sobre huellas de voz

    Las huellas de voz —voiceprints— son datos biométricos, y los tribunales ya están dictaminando sobre quién los puede capturar, almacenar y usar. Para los equipos de gobernanza de datos, esa jurisprudencia emergente no es un asunto legal abstracto: es una guía práctica para diseñar controles que soporten el escrutinio judicial.

    Un voiceprint es la representación matemática única de la voz de una persona, derivada de características fisiológicas y de comportamiento que permanecen estables a lo largo del tiempo. En la práctica, cualquier sistema que grabe, analice o compare voces para identificar o autenticar individuos está tratando datos biométricos. Eso cambia radicalmente el régimen de obligaciones aplicable: ya no se trata de datos de contacto o preferencias de usuario, sino de una categoría especial con requisitos de consentimiento, limitación de finalidad, plazos de retención y medidas de seguridad reforzadas.

    Por qué la litigación en EE. UU. sobre voiceprints importa fuera de ese país

    La mayoría de los casos de biometría de voz ventilados en tribunales estadounidenses invocan la Biometric Information Privacy Act (BIPA) de Illinois, vigente desde 2008. Esa ley exige consentimiento explícito previo a la recolección, prohíbe la comercialización de datos biométricos y fija plazos de destrucción. Las demandas colectivas bajo BIPA han resultado en acuerdos millonarios contra operadores de centros de llamadas, plataformas de voz sobre IP y sistemas de autenticación de bancos. Lo que estos fallos revelan no son solo sanciones económicas: revelan qué controles de gobernanza estaban ausentes cuando ocurrió el litigio. Esa información es transferible a cualquier jurisdicción.

    En América Latina, el marco legal para datos biométricos está fragmentado pero es exigente. La Ley General de Protección de Datos Personales de Brasil (LGPD) clasifica los datos biométricos como datos sensibles en su artículo 5, inciso II, y exige base legal específica para su tratamiento. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) ha emitido criterios que equiparan la biometría a datos sensibles bajo la Ley 25.326. México, a través del INAI, ha sancionado a organizaciones por capturar huellas vocales sin consentimiento expreso en servicios de atención telefónica. Chile, con su nueva Ley 21.719 de protección de datos personales, en vigor desde 2026, incluye disposiciones explícitas para datos biométricos con estándares próximos al GDPR.

    Qué falla en gobernanza cuando llega un litigio por voz

    El análisis de casos bajo BIPA y de resoluciones de autoridades latinoamericanas muestra un patrón recurrente de fallas de gobernanza, no de fallas tecnológicas. Los problemas más frecuentes son:

    • Ausencia de clasificación: los voiceprints no estaban identificados como datos biométricos en el catálogo o inventario de datos de la organización, y por tanto no recibían los controles de categoría especial.
    • Ownership difuso: el data steward responsable del activo no estaba asignado, lo que generó confusión sobre quién debía gestionar el consentimiento y los plazos de retención.
    • Ausencia de data lineage: no existía trazabilidad sobre dónde se almacenaban las grabaciones, qué sistemas las procesaban ni a qué terceros se transferían.
    • Políticas de retención sin cumplimiento efectivo: muchas organizaciones tenían políticas escritas pero carecían de controles automatizados para eliminar grabaciones al vencer el plazo.
    • Consentimiento genérico: los avisos de privacidad mencionaban “grabación de llamadas” sin distinguir entre grabación de audio para control de calidad y creación de un modelo biométrico de identificación.

    Cuándo aplica el régimen biométrico y cuándo no

    No toda grabación de voz genera un voiceprint. Una llamada grabada para control de calidad que se almacena como archivo de audio y no se analiza con algoritmos de identificación biométrica no es, en principio, un dato biométrico en el sentido jurídico. El umbral se cruza cuando el sistema extrae un template matemático de características vocales con el propósito de identificar o autenticar a la persona. Esa distinción técnica debe estar reflejada en el catálogo de datos con metadatos de clasificación precisos: “grabación de audio” y “voiceprint” son activos distintos con regímenes distintos. En términos del DAMA-DMBOK, esto corresponde a la función de Data Classification dentro del dominio de Data Security, y su correcta aplicación depende de que el data steward tenga visibilidad sobre qué hace el sistema con el audio una vez capturado.

    Tampoco aplica el régimen biométrico cuando el tratamiento del audio es puramente para transcripción automática sin extracción de características de identidad. Sin embargo, si esa transcripción luego alimenta un modelo que aprende a reconocer al hablante, el régimen biométrico se activa en esa segunda capa. Muchos incidentes de gobernanza ocurren exactamente ahí: el tratamiento inicial parecía inocuo, pero un componente de inteligencia artificial incorporó la función de identificación sin que los equipos de datos lo advirtieran.

    Controles concretos que la jurisprudencia exige tener documentados

    Los patrones de litigación permiten inferir qué controles deben estar en pie y poder demostrarse ante un tribunal o una autoridad de control. En el marco del EDM Council (CDMC), esto corresponde a las capabilities de Data Protection y Data Risk Management. Los controles mínimos que los casos judiciales han identificado como ausentes incluyen: un registro de actividades de tratamiento que diferencie explícitamente la captura de audio de la generación de voiceprints; cláusulas contractuales con proveedores de telefonía e IA que establezcan prohibiciones de uso secundario; procedimientos de eliminación verificable de templates biométricos con logs auditables; y mecanismos de consentimiento granular que distingan entre “grabación de llamada” y “creación de perfil biométrico de voz”. Un CDO que opera centros de atención al cliente o sistemas de autenticación por voz debería revisar esta semana si esos controles existen, están asignados a un owner y tienen evidencia de ejecución.

    En Argentina, la AAIP puede requerir esa evidencia en el marco de una inspección de oficio. En Brasil, la ANPD tiene competencia para iniciar procedimientos sancionatorios con multas de hasta el 2% de la facturación en Brasil, con un tope de 50 millones de reales por infracción. En México, el INAI ha precedentes de resoluciones contra empresas de telecomunicaciones por exactamente este tipo de tratamiento.

    El texto completo de la BIPA de Illinois, referencia central en la jurisprudencia analizada, está disponible en el sitio oficial de la Asamblea General del Estado de Illinois (ilga.gov), y el artículo 5 de la LGPD brasileña en la plataforma de legislación federal de Brasil (planalto.gov.br); ambos son puntos de partida obligados para cualquier equipo que esté revisando su inventario de datos biométricos.

  • Lectores de placas y vigilancia masiva: por qué se necesita orden judicial

    Lectores de placas y vigilancia masiva: por qué se necesita orden judicial

    Los lectores automáticos de placas vehiculares (ALPR, por sus siglas en inglés) registran cada auto que pasa, construyendo un historial detallado de movimientos de personas que nunca fueron sospechosas de nada. La Electronic Frontier Foundation (EFF) sostiene que, mientras estos sistemas sigan operando, los tribunales y legislaturas deben exigir una orden judicial antes de que la policía pueda consultar esa base de datos.

    Un ALPR es una cámara instalada en postes, patrullas o edificios que fotografía automáticamente las placas de todos los vehículos que pasan, registrando la matrícula, la ubicación y la hora exacta. Esos datos se almacenan en bases de datos consultables durante meses o años. No se trata de vigilancia focalizada sobre un sospechoso: es captura masiva de información sobre cualquier persona que conduzca por una vía pública, independientemente de si tiene algún vínculo con una investigación penal.

    Qué hace falta para que una orden judicial sea válida en EE. UU.

    En el sistema estadounidense, la Cuarta Enmienda exige que antes de registrar a una persona o sus propiedades, un juez neutral determine que existe causa probable, es decir, una probabilidad razonable de que la búsqueda revelará evidencia de un delito. Además, la orden debe describir con precisión qué se buscará, lo que impide las llamadas “expediciones de pesca” donde la policía explora registros sin un objetivo definido. El principio clave es que quien quiere buscar no es quien decide si la búsqueda está justificada.

    Esa lógica ya aplica a otras formas de vigilancia: en general se requiere orden judicial para intervenir llamadas telefónicas, para revisar el contenido de un celular y para acceder a datos de ubicación de torres de telefonía. La EFF argumenta que el acceso a bases de datos de ALPR debería seguir el mismo estándar, dado que revelan patrones de movimiento igualmente sensibles.

    Usos documentados sin orden judicial: perfilación, deportaciones y acoso

    La EFF documentó casos concretos en los que agentes de policía accedieron a datos de ALPR sin orden judicial para fines que van mucho más allá de la investigación criminal legítima. Entre los usos relevados figuran:

    • Perfilación étnica de comunidades romaní.
    • Monitoreo de manifestantes y activistas.
    • Investigación de casos relacionados con el acceso al aborto.
    • Localización de personas migrantes para su deportación.
    • Seguimiento de un ciudadano que había presentado una queja contra un agente.
    • Acoso a ex parejas románticas por parte de efectivos policiales.
    • Consultas sin justificación declarada.

    Sin un control judicial previo, estos abusos solo salen a la luz después de que el daño ya ocurrió, y la persona afectada debe recorrer un camino largo y costoso para impugnarlos. Una exigencia de orden judicial invertiría esa carga: la justificación vendría antes del acceso, no después.

    Cuándo aplica la exigencia de orden judicial — y cuándo no

    La EFF aclara que un requisito de orden judicial no convierte la vigilancia masiva en aceptable; solo introduce un control mínimo sobre su uso. Las ciudades que ya tienen sistemas ALPR instalados necesitarían legislación estadual o doctrina judicial que establezca explícitamente ese estándar, dado que actualmente no existe una norma federal uniforme en Estados Unidos que lo exija. El requisito tampoco elimina el problema de la captura indiscriminada de datos: el registro sigue ocurriendo para todos, sospechosos o no. La posición de la EFF es más amplia: las ciudades no deberían adquirir estos sistemas, y las que ya los tienen deberían desmantelarlos.

    El debate llega a América Latina, donde la expansión de ALPR avanza sin marcos claros

    En la región, el despliegue de ALPR creció sostenidamente durante la última década sin que la legislación de protección de datos haya acompañado ese ritmo. En Argentina, la Ley 25.326 de Protección de los Datos Personales reconoce que los datos de ubicación pueden ser datos sensibles según su contexto de uso, pero no establece estándares específicos para la recolección masiva por organismos de seguridad. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) contempla excepciones amplias para el tratamiento de datos con fines de seguridad pública que han sido objeto de crítica por parte de especialistas en privacidad. En México, la LFPDPPP protege datos en el sector privado, pero el tratamiento por autoridades gubernamentales queda fuera de su alcance directo, regulado en cambio por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados, cuya aplicación efectiva es irregular según distintos informes de organizaciones civiles.

    En ninguno de esos marcos existe hoy una obligación expresa equivalente a la orden judicial para que fuerzas de seguridad accedan a bases de datos de matrículas vehiculares acumuladas. Esa brecha normativa importa: si la discusión estadounidense gira en torno a requerir una autorización judicial previa para un sistema que ya opera con ciertos controles institucionales, en la región el punto de partida es más básico aún. La mayoría de los despliegues de ALPR en ciudades latinoamericanas carecen de registros públicos sobre quién accede a los datos, con qué frecuencia y bajo qué criterio.

    Para profundizar en el marco legal aplicable, la posición completa de la EFF sobre sistemas ALPR y sus recomendaciones de política pública están disponibles en eff.org. En América Latina, el Relator Especial de la ONU para la Libertad de Expresión ha señalado la vigilancia de espacios públicos como área prioritaria de análisis en sus informes regionales.

  • DAMA llega a Kenia: qué significa para la gobernanza de datos en el Sur Global

    DAMA llega a Kenia: qué significa para la gobernanza de datos en el Sur Global

    El lanzamiento oficial de DAMA Kenya extiende la red global de gobernanza de datos al África Oriental, sumando una nueva comunidad de práctica a un framework que ya tiene presencia en más de 50 países. Para la región latinoamericana, el movimiento confirma una tendencia que los CDOs locales deberían leer con atención: los marcos de referencia como el DAMA-DMBOK dejan de ser patrimonio de economías avanzadas y se convierten en infraestructura profesional de mercados emergentes.

    DAMA International —la asociación global dedicada a la gestión y gobernanza de datos— formalizó su capítulo en Kenia según informó CIO Africa. El nuevo capítulo se incorpora a una red que incluye nodos activos en Europa, América del Norte, India, Australia y varios países de América Latina. La iniciativa apunta a profesionalizar el ejercicio de la gestión de datos en un mercado que combina expansión acelerada de infraestructura digital con marcos regulatorios todavía en consolidación.

    Qué es DAMA y qué ofrece el DMBOK a una comunidad que recién se organiza

    DAMA International publica el Data Management Body of Knowledge (DMBOK), el estándar de facto para la disciplina de gestión de datos a nivel global. El DMBOK estructura el campo en once áreas de conocimiento —entre ellas gobernanza de datos, arquitectura, calidad, seguridad, metadatos y master data management (MDM)— y sirve de base para certificaciones profesionales como el CDMP (Certified Data Management Professional). Un capítulo local no solo difunde el framework: organiza exámenes, genera comunidad de práctica y conecta a los profesionales del país con el ecosistema global. Para mercados donde la disciplina de datos no cuenta con una comunidad articulada, ese efecto de red es frecuentemente más valioso que el contenido técnico en sí mismo.

    El patrón de expansión de DAMA y lo que indica para América Latina

    La expansión de DAMA hacia África Oriental sigue un patrón ya visible en América Latina: capítulos que nacen impulsados por consultores y ejecutivos que buscan un lenguaje común con sus pares globales, y que terminan funcionando como catalizadores de demanda de gobernanza formal en sus mercados. En la región, DAMA tiene presencia documentada en Brasil, Argentina, México y Colombia. El capítulo brasileño es el más maduro, con comunidad activa en São Paulo y Rio de Janeiro, y suele articularse con las exigencias que la LGPD (Lei Geral de Proteção de Dados) impone sobre ciclo de vida del dato, lineage y ownership. En Argentina, donde la Ley 25.326 de Protección de los Datos Personales está en proceso de actualización legislativa, los data stewards y CDOs que operan bajo marcos DAMA tienen una ventaja concreta al momento de mapear flujos de datos personales y demostrar accountability ante la Agencia de Acceso a la Información Pública (AAIP).

    Cuándo aplica el modelo de capítulo DAMA / cuándo NO

    Un capítulo DAMA agrega valor real cuando existe una masa crítica de profesionales que ya trabajan con datos de manera sistemática y necesitan certificación, red de pares y actualización continua. No reemplaza una estrategia de gobernanza corporativa ni equivale a adoptar el DMBOK como política interna: son planos distintos. Una organización puede certificar a su equipo en CDMP y operar con una gobernanza de datos deficiente si no hay patrocinio ejecutivo, ownership de dominios definido y procesos de calidad activos. Del mismo modo, un mercado puede tener un capítulo DAMA vibrante y carecer de regulación de datos que exija estándares mínimos. El capítulo es condición necesaria para elevar la madurez del mercado, no condición suficiente.

    Lo que los CDOs de LATAM pueden extraer del caso Kenia

    El lanzamiento de DAMA Kenya es un recordatorio de que la gobernanza de datos se está profesionalizando de forma simultánea en múltiples mercados emergentes. Para un CDO en Ciudad de México, Buenos Aires o Bogotá, eso implica al menos tres lecturas concretas. Primero, la escasez de talento certificado en DMBOK no es exclusiva de LATAM: es un problema global con soluciones locales, y los capítulos son uno de los mecanismos para atacarla. Segundo, los marcos como el CDMC (Cloud Data Management Capabilities) del EDM Council —que comparte terreno con el DMBOK en áreas de calidad y lineage— están siendo adoptados por reguladores financieros de mercados emergentes como referencia de madurez; en Brasil, el Banco Central ya utiliza vocabulario de governance alineado con estos estándares en sus exigencias de open finance. Tercero, la consolidación de comunidades DAMA regionales genera benchmarks comparables: un CDO que participa activamente en su capítulo local puede medir la madurez de su organización contra peers reales, no solo contra cuestionarios genéricos de autoevaluación.

    Para organizaciones que aún no tienen representación formal en DAMA, el momento de evaluar la afiliación corporativa o individual es antes de que la demanda de certificación provenga de un requisito regulatorio o contractual, no después. Los capítulos de Argentina, Brasil, México y Colombia cuentan con información de membresía en el sitio de DAMA International.

    La referencia completa del DAMA-DMBOK v2 está disponible en dama.org; el EDM Council publica el framework CDMC —que incluye los niveles de madurez de cloud data management— en edmcouncil.org.

  • Colombia supera la OCDE en gobierno digital, pero la integración de datos públicos es su talón de Aquiles

    Colombia supera la OCDE en gobierno digital, pero la integración de datos públicos es su talón de Aquiles

    Colombia logró posicionarse por encima del promedio de la OCDE en madurez de gobierno digital, según se informó a partir de la edición más reciente del índice de la organización. El dato es relevante en una región donde Brasil, México y Argentina aún consolidan sus marcos de interoperabilidad. Sin embargo, el diagnóstico también expone una brecha estructural: superar métricas de adopción tecnológica no equivale a tener datos públicos integrados, interoperables y gobernados de manera coherente.

    Qué mide la OCDE y dónde quedó Colombia en el índice 2025

    El índice de Gobierno Digital de la OCDE evalúa seis dimensiones: digital by design, gobierno impulsado por datos, gobierno como plataforma, gobierno abierto, proactividad y fiabilidad. Colombia habría obtenido una puntuación agregada que supera el promedio de los 38 miembros plenos de la organización, según se informó desde Portafolio.co. El logro no es menor: el país no es miembro pleno de la OCDE —aunque se encuentra en proceso de adhesión— y compite en el índice junto a naciones con infraestructuras digitales consolidadas desde hace más de una década.

    La dimensión donde Colombia acusa mayor rezago, según la misma fuente, es la integración de servicios: la capacidad de que distintas entidades del Estado compartan datos entre sí para ofrecer trámites sin fricción al ciudadano. Esa brecha no es técnica en su origen —es de gobernanza: quién es el responsable del dato, bajo qué condiciones se comparte, quién resuelve conflictos de calidad o clasificación entre entidades.

    La Ley 1581 de 2012 y el Decreto 1413 de 2023 como marco de fondo

    Colombia opera su ecosistema de datos públicos bajo un doble marco normativo. Por un lado, la Ley Estatutaria 1581 de 2012 regula la protección de datos personales y establece restricciones al intercambio de información entre entidades públicas cuando ese intercambio involucra datos de ciudadanos. Por otro, el Decreto 1413 de 2023 —que adopta la Política de Gobierno Digital— obliga a las entidades del orden nacional a implementar estándares de interoperabilidad a través de la plataforma X-Road Colombia, adaptación local del sistema estonio. La tensión entre ambos marcos es real: los equipos jurídicos de muchas entidades interpretan la Ley 1581 como un freno al intercambio de datos, cuando en rigor la norma permite el tratamiento con base legal distinta al consentimiento si existe una función pública legítima.

    El Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) y el Departamento Nacional de Planeación (DNP) comparten responsabilidad en este ecosistema, pero la línea de ownership sobre los datos sectoriales —salud, tributario, registral— sigue siendo difusa. Esa difusión de responsabilidad es exactamente lo que los marcos de gobernanza de datos describen como ausencia de data stewardship efectivo a nivel organizacional.

    Brasil, México y Chile: tres modelos de integración con distinto grado de madurez

    La comparación regional permite calibrar dónde está parada Colombia. Brasil avanzó con la Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) y, en paralelo, con el programa Conecta Gov, que articula APIs entre ministerios bajo supervisión de la Secretaria de Governo Digital (SGD). La ANPD brasileña ha emitido resoluciones específicas sobre el tratamiento de datos en contexto de gobierno digital, lo que da certeza jurídica al intercambio intersectorial. México, por su parte, opera la Plataforma Nacional de Transparencia bajo el INAI, pero la fragmentación entre poderes federales y estados hace que la interoperabilidad sea más aspiracional que efectiva; la LFPDPPP aplica al sector privado y la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (2017) regula el sector público, aunque su enforcement sigue siendo inconsistente. Chile presenta el caso más avanzado en términos de diseño institucional: la Ley 21.719 de Protección de Datos Personales —promulgada en 2024— contempla disposiciones específicas para el tratamiento por parte de órganos del Estado y establece la futura Agencia de Protección de Datos con competencia sobre el sector público, algo que Colombia todavía no tiene de manera plena con la Superintendencia de Industria y Comercio (SIC).

    Por qué el dato de integración importa más que el ranking agregado

    Un índice agregado puede enmascarar desequilibrios internos. Que Colombia puntúe bien en dimensiones como gobierno abierto o proactividad —donde la publicación de datasets y la comunicación proactiva al ciudadano suman puntos— no resuelve el problema operativo de que un trámite de subsidio habitacional requiera que el ciudadano aporte documentación que el Estado ya posee en otro sistema. Esa fricción tiene un costo medible: según estimaciones del Banco Mundial para países de ingreso medio-alto, la falta de interoperabilidad en servicios públicos puede representar hasta un 2% del PIB en ineficiencia administrativa acumulada. Colombia no ha publicado una estimación propia de ese costo.

    Para los equipos de gobernanza de datos en el sector público colombiano, el diagnóstico de la OCDE es una palanca de gestión concreta. El Modelo de Gestión de Datos del sector público colombiano —articulado en la Guía para la Gestión de Datos del MinTIC— tiene correspondencia con el marco DAMA-DMBOK en sus componentes de calidad, integración y metadatos, pero su adopción efectiva por entidad varía de manera significativa. La ausencia de un catálogo de datos centralizado con ownership asignado por dominio es el punto de mayor fricción.

    Nuestro análisis: el riesgo de confundir madurez digital con gobernanza de datos

    El resultado de Colombia en el índice OCDE es genuinamente positivo y merece reconocimiento. Pero el riesgo político de un ranking favorable es que desvía la atención de las brechas que el propio índice señala. La dimensión de integración de servicios no es un detalle técnico: es el test de si el Estado puede operar como una plataforma de datos coherente o si sigue siendo un archipiélago de silos. La OCDE, en sus recomendaciones de Gobierno Digital de 2022 (OECD Recommendation on Digital Government Strategies), es explícita al señalar que la interoperabilidad requiere acuerdos de gobernanza antes que infraestructura tecnológica. Colombia tiene la infraestructura —X-Road funciona— pero los acuerdos de gobernanza intersectorial siguen siendo ad hoc, bilaterales y frágiles ante cambios de gobierno.

    El punto de acción más urgente no es técnico: es definir quién tiene autoridad para resolver desacuerdos de datos entre entidades. Esa figura —equivalente a un data steward ejecutivo con mandato transversal— no existe formalmente en el organigrama del Estado colombiano. Mientras no exista, cada integración de servicios será una negociación política, no un proceso gobernado.

    Superar a la OCDE en el promedio agrega un logro al historial; resolver la integración de datos públicos sería el argumento real para la adhesión plena.