Un juez federal de Utah emitió una medida cautelar que suspende la aplicación de la SB 73, la ley estatal que exigía a sitios web adultos bloquear a usuarios de VPN o identificar su ubicación física. La decisión, que la Electronic Frontier Foundation (EFF) celebró como un triunfo para los derechos digitales, establece que la norma probablemente viola la Constitución estadounidense al imponer una obligación técnicamente imposible de cumplir. El fallo tiene implicancias directas para el debate latinoamericano sobre verificación de edad y regulación de plataformas.
Qué ordenaba la SB 73 de Utah y por qué era inviable
Sancionada a principios de 2026 y firmada por el gobernador de Utah, la SB 73 convirtió a ese estado en el primero del país —según el propio registro de la EFF— en apuntar directamente al uso de VPN como mecanismo para eludir controles de verificación de edad en plataformas de contenido adulto. La ley exigía a los sitios web dos alternativas igualmente problemáticas: bloquear completamente a cualquier usuario que accediera mediante una VPN, o bien identificar la ubicación física real de ese usuario a pesar del enmascaramiento de tráfico que la herramienta provee. Para cerrar el círculo, la norma también prohibía a las plataformas publicar instrucciones sobre cómo usar una VPN para eludir esos controles.
El tribunal federal suspendió la aplicación de las disposiciones sobre VPN con un argumento central: la ley probablemente viola la cláusula constitucional que impide al gobierno imponer cargas significativas sobre actividades comerciales interestatales. Pero el argumento técnico fue igualmente contundente. Detectar con certeza si un usuario está detrás de una VPN —y más aún identificar su ubicación real— no es un problema de recursos o de voluntad regulatoria: es una imposibilidad técnica en el estado actual de la infraestructura de internet, tal como argumentó la EFF en sus comentarios ante el Departamento de Comercio de Utah.
La EFF ante el Departamento de Comercio de Utah: privacidad como argumento técnico y de derechos
Simultáneamente al fallo judicial, la EFF presentó comentarios formales en el proceso de elaboración de reglas del Departamento de Comercio de Utah, donde detalló cómo forzar a las plataformas a detectar y bloquear herramientas de privacidad no solo es técnicamente inviable, sino que compromete la seguridad de usuarios en todo el mundo. Las VPN son utilizadas por periodistas, activistas, trabajadores remotos y ciudadanos en regímenes autoritarios, y cualquier infraestructura diseñada para identificar a sus usuarios crea un vector de vulnerabilidad que va mucho más allá del contexto regulatorio de Utah.
Verificación de edad en plataformas: el mapa regulatorio en Brasil, Argentina y México
El caso de Utah no es un fenómeno aislado. La regulación de contenidos digitales para menores y la verificación de edad en plataformas es un debate activo en América Latina, con distintos niveles de avance según el país. En Brasil, la Lei 14.811/2024 refuerza la protección de niñas, niños y adolescentes en entornos digitales y habilita a la Autoridade Nacional de Proteção de Dados (ANPD) para intervenir en casos de tratamiento indebido de datos de menores, aunque la regulación específica sobre verificación de edad en plataformas de contenido adulto aún está en desarrollo. El Marco Legal da IA, aprobado en 2024, también incorpora principios que impactarán en cómo las plataformas gestionan el acceso diferenciado por edad.
En Argentina, la Ley 25.326 de Protección de Datos Personales no contempla explícitamente mecanismos de verificación de edad en plataformas digitales, y el proyecto de reforma que tramita en el Congreso tampoco ha incorporado ese eje de manera específica. La Agencia de Acceso a la Información Pública (AAIP) tiene competencia sobre el tratamiento de datos de menores, pero carece de un mandato claro sobre verificación de acceso a contenidos. En México, la LFPDPPP tampoco cubre este escenario, aunque el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) ha emitido criterios sobre el tratamiento de datos de menores que podrían ser relevantes si una regulación similar a la SB 73 intentara replicarse a nivel federal o estatal.
El patrón regional es claro: ningún país latinoamericano ha legislado todavía sobre la obligación de bloquear VPN como mecanismo de verificación de edad, pero la presión regulatoria sobre plataformas de contenido adulto es creciente en varios congresos. El fallo de Utah provee un antecedente jurisprudencial relevante sobre los límites técnicos y constitucionales de ese enfoque.
Qué cambia para plataformas que operan en la región si este modelo regulatorio avanza
Para una empresa de tecnología o una plataforma de contenidos con usuarios en América Latina, el escenario regulatorio emergente plantea tres desafíos concretos. Primero, cualquier obligación de verificación de edad que implique identificar o bloquear usuarios de VPN requeriría infraestructura de detección de tráfico que, según el argumento técnico validado por el tribunal de Utah, no existe de forma confiable. Segundo, implementar esa infraestructura —aunque fuera posible— crearía riesgos de privacidad para todos los usuarios, no solo para quienes intentan evadir controles, en directa tensión con las obligaciones de las leyes de protección de datos personales vigentes en la región. Tercero, las plataformas que operen en múltiples jurisdicciones se enfrentan a estándares contradictorios: una regulación en un estado o país puede exigir lo que otra prohíbe.
Próximos hitos: el litigio sigue y los congresos de la región observan
La medida cautelar es preliminar: el litigio sobre la SB 73 continuará en los tribunales federales de Utah. Una decisión definitiva sobre la inconstitucionalidad de la norma —o su eventual reformulación— marcará el terreno para regulaciones similares en otros estados de EE.UU. y, por efecto de influencia regulatoria, en países de América Latina que suelen mirar los debates legislativos norteamericanos como referencia. Vale monitorear también la evolución del Marco Legal da IA en Brasil y las discusiones en el Congreso argentino sobre reforma de la ley de datos personales, ambos espacios donde la regulación de acceso por edad podría aparecer como enmienda o artículo separado.
Nuestro análisis
El fallo de Utah pone en evidencia una tensión estructural que los legisladores latinoamericanos deberían leer con atención: la presión política por regular el acceso de menores a contenido adulto es legítima, pero el instrumento técnico importa tanto como la intención normativa. Obligar a las plataformas a detectar VPN no es una exigencia de compliance riguroso, es pedirle al derecho que derogue la criptografía. El mismo error conceptual reaparece en debates regionales sobre retención de datos, acceso gubernamental a comunicaciones cifradas y geolocalización forzada. El antecedente judicial estadounidense no es vinculante para los tribunales de la región, pero sí es un argumento técnico documentado y respaldado por un órgano jurisdiccional, lo que le otorga peso en cualquier proceso de elaboración de normas. Las autoridades de protección de datos de la región —ANPD, AAIP, INAI— tienen aquí una oportunidad concreta de emitir criterios preventivos antes de que algún legislador intente replicar la SB 73 en español.
Cuando una ley exige lo técnicamente imposible, el problema no lo resuelve el cumplimiento: lo resuelve el control judicial. ¿Están las autoridades regulatorias de América Latina equipadas para hacer ese análisis técnico antes de que una norma inviable entre en vigor?
