Filtración masiva de datos: “Alimentan una economía basada en perfiles y puntajes”

Más allá del impacto inmediato, la última filtración masiva expuso un problema estructural: el valor económico de la información personal. Desde Fundación Vía Libre, Margarita Trovato explicó cómo estos datos permiten construir perfiles, tomar decisiones crediticias, laborales y de consumo, y por qué su uso indebido vulnera derechos básicos.

PREGUNTA: ¿La última filtración fue la mayor de la historia argentina?

RESPUESTA: La verdad es que no sé, no lo podría afirmar. Sí, fue sin duda una filtración. Tampoco sabemos si fue un hackeo o qué tipo de incidente de seguridad fue. Pero sí fue, en todo caso, una filtración, un incidente muy grande, con un volumen muy grande de datos, muchos de ellos provenientes de organismos del Estado. Eso le agrega un nivel más de gravedad.

P: ¿Qué tipo de información estaría expuesta?

R: A priori, las bases están en la dark web. Ahí hay algunas cosas circulando en Twitter, nada de información oficial, eso es parte del problema. Pero a priori parecerían datos sí sensibles y datos personales que claramente fueron cedidos a otras dependencias del Estado o a otras empresas que no son Sudamericana Data. Ahí hay como un eslabón que estamos intentando desde la Fundación Vía Libre reconstruir, que tiene que ver con también cómo les llegan esos datos personales tan sensibles a esta empresa, además de cómo es que se les filtran a la empresa. Pero en primer lugar, cómo les llegan. Está difícil porque tampoco se sabe exactamente cuál es el conjunto de datos sin comprarlo y descargarlo de la dark web. Pero a priori sí son bases de datos de la exAFIP, ARCA, de la ANSES, o sea, imaginate el nivel de sensibilidad. De la Dirección del Registro Automotor también. O sea, hay de entidades, de organismos del Estado que de alguna forma llegaron a manos de esta empresa privada y que ahora no sabemos bien cómo, si es una interna entre ellos, un hackeo o qué, algún incidente, se filtran.

P: ¿Hay responsabilidades legales y administrativas?

R: Todo responsable de una base de datos tiene obligaciones según la Ley 25.326, especialmente dos: confidencialidad y seguridad. La información debe preservarse de manera íntegra y solo puede ser utilizada por quien corresponde y para la finalidad para la cual el titular dio su consentimiento.Si una persona cede sus datos a un organismo como la AFIP, es únicamente para ese fin, no para que se compartan con terceros. En este caso hubo incumplimientos del Estado, porque la información terminó en manos de una empresa privada a la que nadie autorizó a acceder a esos datos. La empresa involucrada —Sudamérica Data, que habría operado luego con otro nombre— también tenía la obligación de garantizar la confidencialidad y la seguridad de los datos, cosa que tampoco ocurrió. Por lo tanto, hay un incumplimiento de la Ley de Protección de Datos Personales. La autoridad encargada de controlar esto es la Agencia de Acceso a la Información Pública, a la que se le pidió información para saber si inició investigaciones. Además, más allá de la responsabilidad administrativa por la ley de datos, podría haber responsabilidades penales de los funcionarios públicos que incumplieron sus deberes.

P: ¿Para qué podrían usarse esos datos?

R: Los datos personales son toda información que permite identificarnos y hoy son la base de los perfiles que se construyen sobre las personas, especialmente a partir de lo que consumimos y de cómo usamos internet. Cuantos más datos tiene una empresa o una plataforma, mejor puede saber quién es cada persona, qué le gusta, dónde vive y qué ofrecerle, lo que se traduce en mayor direccionamiento de contenidos y mayores ganancias. Existe un modelo económico que se apoya en los datos personales porque permiten alimentar sistemas que mejoran la previsibilidad de los comportamientos humanos y facilitan decisiones de marketing, políticas públicas, crédito o trabajo, a través de mecanismos como los puntajes o scoring. En ese marco, los datos filtrados tienen un valor económico para las empresas privadas: vulneran la privacidad, pero al mismo tiempo alimentan un sistema que se basa precisamente en ese uso de la información.

P: ¿Qué debería hacer el Estado y qué pueden hacer las personas si creen que fueron afectadas?

R: Desde el Estado, lo primero que debería haberse hecho —y no ocurrió— es notificar a los usuarios que sus datos podían haber sido parte de una filtración. En otros lugares, como la Unión Europea, ese aviso es obligatorio e incluye medidas básicas de mitigación, como advertir a las personas y recomendar cambios de contraseñas. También deberían haberse tomado acciones para investigar qué pasó, mejorar la seguridad, prevenir nuevos incidentes y establecer controles de daños. Nada de eso se está viendo. Desde Vía Libre se hicieron pedidos de información a los organismos estatales involucrados para saber cómo llegaron los datos a la empresa y qué medidas adoptaron, y también a la Agencia de Acceso a la Información Pública para conocer si está exigiendo el cumplimiento de la ley, si tiene planes de contingencia o si está monitoreando la situación. Como ciudadanos, no queda mucho más que informarse y tomar conciencia de que hay datos personales en juego, muchos de los cuales se entregan de manera obligatoria al Estado. En la medida de lo posible, la recomendación es ser más cautelosos y decidir con cuidado qué información se comparte y cuál no.

—
* Margarita Trovato es integrante de la Fundación Vía Libre, una organización civil sin fines de lucro que promueve y defiende los derechos humanos en entornos digitales. La institución pidió explicaciones a las autoridades sobre la última filtración masiva de datos.