LATAM Airlines confirmó una intrusión en sus sistemas informáticos y advirtió sobre la posible exposición de datos de pasajeros, según se informó el 20 de agosto de 2025. La aerolínea, con operaciones en al menos diez países de América Latina, no precisó públicamente el número de registros afectados ni los tipos de datos comprometidos.
La notificación fue reportada por el portal uruguayo Montevideo Portal y circuló por medios regionales el mismo día. Hasta el momento de esta publicación, LATAM Airlines no había emitido un comunicado oficial con detalle técnico del vector de ataque ni confirmado si la exfiltración de datos ya se produjo o si el riesgo permanece bajo evaluación. La aerolínea opera programas de fidelización y almacena datos de viajeros frecuentes —incluyendo documentos de identidad, métodos de pago y datos de contacto— que podrían estar entre la información expuesta, según se informó.
Datos confirmados y lo que aún falta saber
- Hecho confirmado: LATAM informó una intrusión en sus sistemas.
- Hecho confirmado: existe posibilidad de exposición de datos de pasajeros.
- Sin confirmar: número de registros afectados.
- Sin confirmar: tipos específicos de datos personales comprometidos.
- Sin confirmar: si hubo exfiltración efectiva o solo acceso no autorizado.
- Sin confirmar: países donde residirían los titulares afectados.
Obligaciones de notificación en Argentina, Brasil, Chile y Uruguay
La incidencia tiene implicancias regulatorias directas en múltiples jurisdicciones latinoamericanas. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 la obligación de notificar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en un plazo que la ANPD precisó en 72 horas para incidentes de alto riesgo mediante la Resolução CD/ANPD nº 15/2024. En Argentina, la Ley 25.326 y las disposiciones de la AAIP también contemplan la notificación ante brechas que afecten datos sensibles. Chile, con la Ley 21.719 de protección de datos personales ya promulgada, y Uruguay, bajo la Ley 18.331, tienen marcos que obligan a las empresas que tratan datos de sus residentes a reportar incidentes de seguridad a sus autoridades de control. Dado que LATAM vende pasajes y opera vuelos en todos estos países, los reguladores de cada jurisdicción podrían exigir notificaciones paralelas e independientes.
El incidente también expone un riesgo típico del sector aeronáutico: la concentración de datos de alta sensibilidad —pasaportes, tarjetas de crédito, historial de viaje, direcciones— en sistemas centralizados que atienden millones de usuarios regionales. El programa de fidelización LATAM Pass, activo en múltiples países, representa un inventario de datos personales especialmente valioso y, por tanto, especialmente atractivo como objetivo.
El próximo hito crítico es la confirmación —o descarte— de exfiltración efectiva: de ese dato depende si las autoridades de protección de datos de Brasil, Argentina, Chile y Uruguay activarán procesos formales de investigación y si los pasajeros deberán ser notificados individualmente.
