El Reglamento General de Protección de Datos de la Unión Europea —el marco de referencia que inspiró leyes en toda América Latina— tiene un punto ciego estructural: no reconoce la naturaleza colectiva de los datos indígenas. Académicos del pueblo Sámi publicaron una propuesta concreta para corregirlo, y el debate que abrieron tiene implicancias directas para la gobernanza de datos en países como Bolivia, Guatemala, México y Colombia, donde la dimensión colectiva del dato sigue ausente de los marcos legales vigentes.
Por qué el modelo GDPR falla cuando el dato es colectivo, no individual
El GDPR está construido sobre una premisa liberal: el dato pertenece a un individuo identificable, y ese individuo ejerce derechos —acceso, rectificación, supresión— de manera autónoma. Para los pueblos indígenas, esa arquitectura no funciona. Los datos sobre lenguas, territorios, prácticas medicinales o genealogías no son atributos de personas individuales: son patrimonio comunitario. El daño de su extracción o mal uso no recae sobre un ciudadano; recae sobre un pueblo.
Los académicos Sámi —cuya comunidad está repartida entre Noruega, Suecia, Finlandia y Rusia— señalan que incluso cuando un individuo Sámi ejerce sus derechos bajo el GDPR, no puede representar ni proteger los intereses colectivos del grupo. El consentimiento individual, pilar del GDPR, no equivale al consentimiento comunitario libre, previo e informado que exigen instrumentos como el Convenio 169 de la OIT o la Declaración de las Naciones Unidas sobre los Derechos de los Pueblos Indígenas (DNUDPI).
La propuesta Sámi: soberanía de datos y protocolos comunitarios de gobernanza
Según se informó, la propuesta elaborada por los investigadores Sámi gira en torno al concepto de soberanía de datos indígenas: el derecho colectivo a determinar cómo se recopilan, almacenan, usan y comparten los datos que conciernen a una comunidad. Este enfoque, desarrollado en paralelo por iniciativas como la Global Indigenous Data Alliance y su marco CARE (Collective Authority, Responsibility, Ethics, uso de IA incluido), propone que las comunidades sean reconocidas como entidades con derechos propios sobre sus datos, no solo como agregados de individuos con derechos individuales.
La corrección técnica que ofrecen los académicos incluye la habilitación de protocolos comunitarios de gobernanza —mecanismos formales mediante los cuales una comunidad define sus propias reglas de acceso, compartición y uso de datos que le conciernen— y su reconocimiento legal explícito dentro de los marcos regulatorios. El modelo propone que los data stewards en contextos indígenas sean designados comunitariamente, no individualmente, un giro fundamental respecto a cómo el DAMA-DMBOK define el rol de stewardship en organizaciones corporativas.
México, Colombia y Bolivia: tres marcos que ya enfrentan esta tensión sin resolverla
América Latina concentra más de 50 millones de personas pertenecientes a pueblos indígenas, según datos de la CEPAL, distribuidas en países con marcos de datos personales que replican —en distintos grados— la lógica individualista del GDPR. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares de México (LFPDPPP) no contempla titularidad colectiva. Colombia, cuya Ley 1581 de 2012 sigue el mismo paradigma, tampoco. Bolivia, pese a su Constitución Política del Estado que reconoce derechos colectivos de las naciones originarias, carece de una ley de protección de datos personales que articule esa dimensión con el tratamiento de datos.
El caso más avanzado en la región es Brasil. La Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) incluye una base legal específica para la protección de la salud y el interés público que podría interpretarse extensivamente, pero no establece titularidad colectiva de datos. La Autoridade Nacional de Proteção de Dados (ANPD) aún no ha emitido regulación específica sobre datos de comunidades indígenas o quilombolas, grupos con los que la tensión entre dato individual y patrimonio colectivo es igualmente relevante.
En Chile, la Ley 21.719 —nueva ley de protección de datos personales publicada en 2024— tampoco incorpora una categoría de dato colectivo indígena, pese a que el proceso constituyente previo había abierto ese debate con fuerza en relación al pueblo Mapuche y sus datos territoriales.
Qué cambia en la práctica para organizaciones que operan con datos de comunidades
Para un CDO o un Data Governance Manager en una empresa con operaciones en territorios con presencia indígena —sector extractivo, salud, telecomunicaciones, agro-tecnología, investigación académica— el debate Sámi no es teórico. Las preguntas concretas son: ¿quién puede dar consentimiento por datos que conciernen a una comunidad? ¿qué ocurre si ese consentimiento es individual pero el impacto es colectivo? ¿cómo se documenta el linaje de un dato cuya fuente es una práctica comunitaria y no un formulario individual?
Los pasos accionables arrancan con la clasificación. Si en el inventario de datos de la organización existen activos que derivan de comunidades indígenas —encuestas etnográficas, datos de salud en territorios, registros lingüísticos, cartografía de uso del suelo— esos activos requieren una categoría de sensibilidad diferenciada en el catálogo de datos, con metadata de origen comunitario y restricciones de uso más estrictas que las que aplicaría el GDPR o la LGPD por defecto. El marco CARE de la Global Indigenous Data Alliance ofrece un punto de partida operativo para definir esas reglas de acceso.
Hitos a monitorear: ANPD, Convenio 169 OIT y la revisión del GDPR en 2026
La Comisión Europea tiene en agenda una revisión del GDPR cuyo alcance aún no está definido públicamente; la propuesta Sámi llega en un momento en que esa conversación sobre actualizaciones del reglamento está abierta. En América Latina, el hito más próximo es la agenda regulatoria de la ANPD de Brasil, que en 2025 inició un proceso de consulta sobre categorías especiales de datos —y donde organizaciones de la sociedad civil ligadas a derechos indígenas han presentado insumos. El Convenio 169 de la OIT, ratificado por 14 países de la región, ya establece la obligación de consulta previa; traducirlo a obligaciones concretas de data governance es el paso que ningún regulador latinoamericano ha dado formalmente todavía.
Nuestro análisis: el eslabón perdido entre derechos colectivos y marcos de gobernanza de datos
El aporte de los académicos Sámi no es solo normativo: es un recordatorio de que los marcos de gobernanza de datos —incluyendo el DAMA-DMBOK, el CDMC del EDM Council y los frameworks regulatorios que los acompañan— fueron diseñados pensando en organizaciones, no en comunidades. La figura del data owner en esos frameworks asume una entidad legal singular con capacidad de decisión centralizada. Esa suposición no sobrevive al contacto con la realidad de un pueblo cuya autoridad es distribuida, oral y comunitaria.
Para DataTrends LATAM, la pregunta no es si el GDPR debe cambiar —eso lo decidirá Bruselas. La pregunta es si los países latinoamericanos que están actualizando sus leyes de protección de datos (Chile ya lo hizo, Colombia lo está evaluando, Argentina discute la reforma de la Ley 25.326) van a incorporar esta dimensión antes o después de que un litigio o un escándalo los obligue a hacerlo. La experiencia Sámi sugiere que esperar el incidente tiene un costo cultural, político y reputacional que ningún DPO querrá gestionar a posteriori.
Los datos indígenas son el caso de prueba más exigente para cualquier framework de gobernanza: si el modelo no puede manejar la titularidad colectiva, ¿qué otras formas de propiedad compartida —datos empresariales en joint ventures, datos de salud familiar, datos sindicales— está fallando en proteger?
