El Estado puede monitorear perfiles públicos en redes sociales sin orden judicial en varios países de América Latina, mientras que las filtraciones de bases de datos oficiales siguen sin tener consecuencias legales claras para los responsables. La pregunta no es si existe vigilancia digital, sino bajo qué reglas opera y quién controla a quienes controlan.
El ciberpatrullaje —la práctica por la cual agencias estatales rastrean actividad en plataformas digitales, foros y redes sociales con fines de inteligencia, investigación penal o seguridad pública— existe en prácticamente todos los países de la región. Lo que varía dramáticamente entre jurisdicciones es si esa actividad tiene base legal expresa, control judicial previo y algún mecanismo de rendición de cuentas. En la mayoría de los casos, ninguna de las tres condiciones se cumple de forma completa.
Tres actores con acceso a datos personales, tres lógicas distintas
Cuando hablamos de quién tiene acceso a nuestros datos, hay que separar al menos tres tipos de actores con lógicas radicalmente diferentes. Primero, las plataformas privadas —Meta, Google, X, TikTok— que recolectan datos de comportamiento para fines publicitarios y los entregan a gobiernos cuando reciben una orden legal válida, o incluso antes si sus políticas internas lo permiten. Segundo, los Estados, que acceden a datos tanto mediante requerimientos formales a plataformas como a través de sistemas propios de vigilancia: scrapers de redes, software de análisis de contenido público, o herramientas de inteligencia de fuentes abiertas (OSINT). Tercero, actores no autorizados —desde grupos criminales hasta ex empleados con acceso residual— que obtienen datos mediante filtraciones, vulneración de sistemas o compra en mercados ilegales.
La combinación de los tres flujos crea un ecosistema donde los datos de una persona pueden circular entre sistemas privados, estatales e ilegales sin que esa persona tenga forma práctica de saberlo, ni mucho menos de impedirlo.
Ciberpatrullaje en Argentina, México y Brasil: distinto encuadre legal, misma opacidad
En Argentina, la Ley 25.326 de Protección de Datos Personales establece que el tratamiento de datos por parte del Estado debe tener finalidad explícita y base legal, pero no contempla de forma específica el ciberpatrullaje como actividad regulada. La Agencia de Acceso a la Información Pública (AAIP) tiene competencia para fiscalizar archivos estatales, pero su capacidad de auditar operaciones de inteligencia digital es, en la práctica, muy limitada. El debate se agudizó con el uso de herramientas de monitoreo de redes durante protestas sociales, sin que exista un marco normativo que defina qué puede observarse, por cuánto tiempo y con qué autorización.
En México, la LFPDPPP rige para el sector privado; el sector público se regula por la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO), sancionada en 2017. Esta ley obliga a las dependencias a publicar avisos de privacidad y a designar un responsable, pero las áreas de seguridad nacional quedan expresamente fuera de su ámbito. El Instituto Nacional de Transparencia (INAI) puede investigar a entidades públicas, pero no a las fuerzas de seguridad cuando actúan bajo la lógica de inteligencia. En Brasil, la Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018) tiene excepciones similares: el artículo 4 excluye del régimen general el tratamiento de datos para seguridad pública, defensa nacional e investigación penal, delegando esa regulación a legislación específica que aún no existe en forma completa.
Cuándo aplica la ley de protección de datos y cuándo no
Esta es la delimitación que más frecuentemente se omite en el debate público. Las leyes de protección de datos personales de la región —Ley 25.326 en Argentina, LGPD en Brasil, Ley 19.628 y su reforma en Chile, Ley 1581 en Colombia, Ley 29733 en Perú— protegen al individuo frente al tratamiento de sus datos por parte de empresas y, en distintos grados, frente al Estado actuando en su función administrativa ordinaria. No aplican, o aplican con excepciones amplias, cuando el Estado actúa en funciones de seguridad, inteligencia o investigación penal. Esa brecha es sistémica y reconocida: el Convenio 108+ del Consejo de Europa, que varios países de la región toman como referencia, exige que incluso esas excepciones sean proporcionadas, necesarias y sujetas a control independiente —condiciones que rara vez se verifican en la práctica regional.
Las filtraciones de bases de datos estatales —padrones electorales, registros de salud, sistemas de beneficios sociales— caen en una zona gris adicional: técnicamente el Estado es “víctima” de la brecha, pero también es responsable de no haber implementado medidas de seguridad adecuadas. Las leyes de protección de datos de la región imponen esa obligación de seguridad, pero las sanciones por incumplimiento son bajas y los procesos de fiscalización, lentos.
El dato que falta: registros de acceso y auditoría sobre bases estatales
Lo que distingue a los sistemas de mayor madurez regulatoria no es solo la existencia de una ley, sino la existencia de controles técnicos auditables: logs de acceso a bases de datos sensibles, políticas de retención documentadas, auditorías periódicas por organismos independientes y mecanismos de notificación al titular cuando sus datos fueron consultados o comprometidos. En la región, esos controles son la excepción. Los marcos de referencia como el NIST Privacy Framework o el estándar ISO/IEC 29101 proveen arquitecturas concretas para implementarlos, pero su adopción en el sector público latinoamericano es incipiente y voluntaria.
Mientras ese déficit persista, el debate sobre ciberpatrullaje y filtraciones seguirá siendo político antes que técnico-jurídico: quién tiene acceso a nuestros datos dependerá menos del marco legal vigente y más de quién gobierna y con qué criterio decide usar esa capacidad.
Para profundizar en el marco regional, el texto del Convenio 108+ y los informes de adecuación de la Comisión Europea sobre países de América Latina son el punto de partida más riguroso disponible públicamente.
