Un tribunal federal declaró ilegal que la Oficina de Gestión de Personal (OPM) de Estados Unidos compartiera expedientes confidenciales de empleados federales con DOGE, la entidad impulsada por el gobierno de Trump. La Electronic Frontier Foundation (EFF), que litiga el caso, lo califica como una victoria concreta contra la acumulación masiva de datos personales por parte del Estado.
El fallo apunta a una práctica que la EFF viene denunciando desde que DOGE comenzó a operar: la consolidación de bases de datos gubernamentales con información personal de ciudadanos —recopilada originalmente para fines específicos como el pago de impuestos, solicitudes de empleo o el registro electoral— y su reutilización para propósitos que las personas nunca autorizaron. El tribunal encontró que el traspaso de esos archivos de personal a DOGE violó las protecciones legales aplicables a los registros federales.
Qué contienen los archivos y por qué su acceso por DOGE es problemático
Los expedientes de personal de la OPM incluyen datos altamente sensibles: historiales laborales, evaluaciones de desempeño, información financiera, y en muchos casos datos biométricos o de antecedentes utilizados para autorizaciones de seguridad. Su divulgación a una entidad con mandato difuso y sin los controles institucionales habituales representa, según la EFF, una ruptura del vínculo de confianza entre el ciudadano y el Estado. Cuando una persona entrega información al gobierno para acceder a un servicio o cumplir una obligación legal, existe una expectativa implícita —y en muchos sistemas jurídicos, explícita— de que esos datos solo serán usados para el fin declarado.
El principio de limitación de finalidad es precisamente uno de los pilares del derecho moderno de protección de datos. Está consagrado en el artículo 5 del Reglamento General de Protección de Datos (GDPR) de la Unión Europea, en el artículo 6 de la Ley General de Protección de Datos (LGPD) de Brasil, y en el artículo 11 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de México. En Argentina, la Ley 25.326 establece que los datos recolectados con un fin determinado no pueden ser utilizados para finalidades incompatibles sin el consentimiento del titular.
Cuándo aplica el principio de finalidad — y cuándo no
El principio de limitación de finalidad aplica siempre que existe una relación entre un responsable del tratamiento —público o privado— y un titular que proporcionó sus datos en un contexto específico. En el caso que nos ocupa, los empleados federales entregaron su información a la OPM en el marco de una relación laboral con el Estado; no consintieron su transferencia a una entidad tercera con funciones distintas. El principio no opera de forma absoluta: la mayoría de los marcos jurídicos admiten excepciones para investigaciones de interés público, estadísticas o seguridad nacional, pero esas excepciones deben estar previstas en la ley, ser necesarias y proporcionales. Un traspaso discrecional a un organismo sin base legal clara no cumple ninguno de esos requisitos.
El principio no aplica, en cambio, cuando el uso secundario es compatible con la finalidad original, cuando existe una habilitación legal expresa o cuando el titular otorgó consentimiento informado para ese uso adicional. Ninguna de estas condiciones estaba presente en el traspaso de archivos de la OPM a DOGE, según lo establecido por el tribunal.
La vigilancia estatal de datos y el espejo latinoamericano
El caso DOGE no es ajeno a los debates regulatorios en América Latina. En la región, los Estados también concentran volúmenes crecientes de datos personales a través de registros civiles, sistemas tributarios, bases de salud y plataformas de beneficios sociales. Colombia, cuya Ley 1581 de 2012 es administrada por la Superintendencia de Industria y Comercio (SIC), prohíbe expresamente el tratamiento de datos para finalidades distintas a las informadas al titular. Chile, en proceso de implementación plena de su Ley 21.719, incorpora el principio de finalidad como eje de su nuevo marco. Perú, bajo la Ley 29733, sigue la misma lógica. Sin embargo, los mecanismos de control sobre el uso interno de datos por parte del propio Estado —a diferencia del sector privado— siguen siendo una asignatura pendiente en la mayoría de los países de la región.
La EFF también anunció en este contexto el lanzamiento de Privacy Badger para Safari en macOS, su herramienta gratuita de bloqueo de rastreadores web, y mantiene activa una campaña por la neutralidad de red en California. F. Mario Trujillo, abogado de la organización, participa en el episodio de su podcast EFFector explicando los riesgos concretos de la concentración de datos estatales y las estrategias legales para contenerla.
Para profundizar en el marco jurídico aplicable, la resolución completa del tribunal puede consultarse a través del portal de litigios de la EFF en eff.org. El texto de la Ley 25.326 de Argentina, la LGPD brasileña y la LFPDPPP mexicana ofrecen los parámetros regionales con los que comparar el estándar exigido por el fallo.
