Cuando consumidores ejercieron su derecho de acceso ante un importante data broker estadounidense, los archivos que recibieron revelaron algo incómodo: empresas como Disney, General Motors, aseguradoras y bancos compraban datos sobre su peso, consumo de alcohol y probabilidad de hacerse una mamografía. La investigación, publicada por The Markup, expone el mercado de perfiles personales con un nivel de detalle que excede cualquier noción razonable de “dato de marketing”.
Los data brokers —empresas que recopilan, combinan y venden perfiles de personas a terceros— operan desde hace décadas en un vacío regulatorio relativo. Lo que hace novedoso este caso es el método: los propios consumidores solicitaron sus archivos, y lo que obtuvieron permitió rastrear quién había comprado esos datos y qué categorías específicas incluían. El resultado es una radiografía del mercado secundario de datos personales que normalmente permanece opaco.
Qué tipos de datos circulan entre compradores corporativos
Los perfiles revelados incluían variables de salud inferidas —como indicadores de peso corporal y hábitos de consumo de alcohol— junto con predicciones de comportamiento médico, entre ellas la probabilidad de que una persona se realice ciertos estudios de detección temprana. Que una empresa automotriz como GM o un estudio de entretenimiento como Disney accedan a esa clase de información plantea preguntas que van más allá del marketing: ¿para qué sirve saber si alguien es probable que se haga una mamografía al momento de venderle un auto o una suscripción de streaming? La respuesta más probable involucra segmentación actuarial, modelos de riesgo crediticio o perfilado psicográfico de precisión.
Las aseguradoras y los bancos identificados como compradores representan el caso de uso más preocupante desde el punto de vista regulatorio. En jurisdicciones donde el uso de datos de salud para decisiones de crédito o seguro está restringido, adquirir esa información de un tercero bajo el rótulo de “datos de comportamiento” puede constituir una evasión de facto de esas restricciones.
Por qué el derecho de acceso funcionó como herramienta de auditoría ciudadana
El mecanismo que permitió esta investigación es el mismo que leyes de privacidad de todo el mundo reconocen como derecho de acceso o derecho de acceso a datos personales —equivalente al derecho de acceso del RGPD europeo, al acesso previsto en la LGPD brasileña (art. 18), al derecho de acceso de la Ley 25.326 argentina (art. 14) y al acceso regulado por la LFPDPPP mexicana (art. 22). En todos esos marcos, la persona titular puede solicitar qué datos tiene una organización sobre ella. Lo que esta investigación demuestra es que esa solicitud, cuando se dirige a un data broker, puede revelar no solo los datos propios sino también el ecosistema de compradores que los adquirió.
Ese uso del derecho de acceso como herramienta de investigación y auditoría ciudadana no es nuevo —organizaciones como Privacy International lo han empleado sistemáticamente en Europa— pero sigue siendo subutilizado en América Latina, donde las autoridades de control como la AAIP en Argentina, la ANPD en Brasil o el INAI en México tienen competencia para recibir denuncias derivadas de respuestas incompletas o insatisfactorias a esas solicitudes.
Cuándo aplica este riesgo en LATAM / cuándo no
El mercado de data brokers en América Latina es menos maduro que el estadounidense, pero existe y crece. Empresas de enriquecimiento de datos operan en Brasil, México, Colombia y Argentina, y venden perfiles combinados a anunciantes, aseguradoras y entidades financieras. La diferencia relevante es que en Brasil, la LGPD establece que datos de salud son datos sensibles (art. 11) y su tratamiento requiere base legal específica y consentimiento explícito; en Argentina, la Ley 25.326 también clasifica los datos relativos a la salud como datos sensibles con protección reforzada. En México, la LFPDPPP y su reglamento exigen consentimiento expreso para datos sensibles. Eso significa que un data broker que comercialice inferencias de salud —aunque las llame “propensity scores” o “behavioral data”— podría estar violando esas normas si el titular no consintió expresamente ese tratamiento. El riesgo regulatorio es real, pero depende de que las autoridades tengan la capacidad técnica de auditar qué variables se esconden detrás de las etiquetas comerciales que usan los brokers.
El escenario donde este riesgo no aplica directamente es el de datos estrictamente agregados y no reidentificables. Si un broker vende únicamente estadísticas de segmento sin posibilidad de asociarlas a individuos, los marcos de protección de datos personales no se activan. El problema, ampliamente documentado, es que la reidentificación de conjuntos supuestamente anónimos es técnicamente posible en la mayoría de los casos cuando se cruzan con otras fuentes.
El circuito que une al broker con el comprador corporativo
Lo que esta investigación hace visible es el circuito completo: una persona interactúa con servicios digitales, aplicaciones de salud, programas de fidelidad o simplemente navega la web. Ese rastro es recopilado, procesado e inferido por el broker, que construye un perfil comercializable. Ese perfil llega a compradores corporativos —una automotriz, un banco, una aseguradora— que lo integran a sus modelos de decisión. El titular del dato raramente sabe que ese circuito existe, y cuando lo descubre —como en este caso, a través de una solicitud de acceso— la información obtenida puede ser incompleta o técnicamente inaccesible para quien no tenga formación específica.
Ese déficit de transparencia es precisamente lo que los regímenes de privacidad modernos intentan corregir con obligaciones de información al momento de la recolección, registros de actividades de tratamiento y —en el caso del AI Act europeo— requisitos de explicabilidad para decisiones automatizadas. En LATAM, el eslabón más débil sigue siendo la aplicación efectiva: tener el derecho en la ley y poder ejercerlo con resultado útil son dos cosas distintas.
Para quienes trabajan en privacidad en la región, el caso refuerza una pregunta pendiente: si los titulares latinoamericanos ejercieran masivamente su derecho de acceso ante los brokers que operan localmente, ¿qué empresas aparecerían en la lista de compradores?
