El Inspector General del Departamento de Seguridad Nacional de Estados Unidos (DHS OIG) detectó una “debilidad significativa” en el sistema de reconocimiento facial de la Administración de Seguridad en el Transporte (TSA): un proveedor externo accedió y extrajo imágenes de pasaportes y licencias de conducir de pasajeros sin conocimiento de la agencia, y sin que los afectados fueran notificados.
El hallazgo surge de una auditoría al sistema CAT-2 (Credential Authentication Technology 2), la tecnología que la TSA despliega en aeropuertos estadounidenses para verificar identidad mediante comparación facial. Según el resumen público del informe —el texto completo está clasificado—, el proveedor del sistema pudo acceder a información sensible durante tareas de mantenimiento y mejoras, sin que la TSA lo supiera ni lo autorizara formalmente. El OIG publicó sus conclusiones en septiembre de 2026.
Cuatro fallas confirmadas en el contrato con el proveedor
- El proveedor extrajo imágenes de documentos de identidad (pasaportes y licencias) sin autorización explícita de la TSA.
- La agencia no contaba con políticas claras que regularan el acceso de terceros a datos biométricos y biográficos.
- No existía registro de cuándo ni qué información fue extraída.
- La TSA no pudo verificar que los datos extraídos fueran eliminados correctamente, ni notificó a los pasajeros sobre el posible almacenamiento de su información.
Qué se sabe y qué falta confirmar
El OIG emitió una observación formal y tres recomendaciones para fortalecer controles, mejorar la supervisión de proveedores y garantizar transparencia. Según se informó, la TSA aceptó las tres recomendaciones: dos ya están en proceso de implementación y una permanece abierta. Lo que no está confirmado públicamente —por la clasificación del informe completo— es el volumen exacto de registros afectados, la identidad del proveedor y si los datos extraídos fueron efectivamente eliminados. La EFF señaló que las implicancias de privacidad afectan a millones de pasajeros que no optaron por salir del sistema biométrico voluntario.
El caso expone una tensión estructural presente también en América Latina: los programas de verificación biométrica en aeropuertos —que avanzan en México, Brasil, Colombia y Argentina— suelen tercerizarse a proveedores privados bajo contratos que no siempre contemplan restricciones explícitas de acceso a datos durante el soporte técnico. En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica datos biométricos como categoría sensible y exige que el operador —en este caso, la agencia estatal— mantenga control efectivo sobre el tratamiento realizado por suboperadores. En Argentina, la Ley 25.326 requiere medidas de seguridad adecuadas, aunque la AAIP aún no ha emitido lineamientos específicos para biometría en contextos aeroportuarios. En México, el INAI ha señalado que el uso gubernamental de datos biométricos debe cumplir con los principios de la LFPDPPP incluso cuando el tratamiento lo ejecuta un tercero contratado.
La TSA tiene plazo abierto para cerrar la recomendación pendiente; hasta entonces, el mecanismo de supervisión de proveedores con acceso a datos biométricos sigue sin resolverse formalmente.
