En 2021, uno de los incidentes de seguridad más significativos de la historia digital argentina salió a la luz: el Registro Nacional de las Personas vio comprometidos los datos de millones de ciudadanos. Fotos de DNI, domicilios y números de documento circularon en foros de internet. El Gobierno reconoció el hecho, pero el debate sobre sus consecuencias legales nunca llegó al gran público.
¿Qué pasó exactamente?
La brecha ocurrió a través de credenciales de acceso comprometidas que habrían sido utilizadas desde el sistema del Ministerio de Salud para consultar la API del RENAPER. No fue un hackeo sofisticado de película: fue el resultado de una cadena de fallas humanas y procedimentales. Lo más perturbador no fue la brecha en sí, sino la velocidad con que los datos aparecieron en mercados negros de la dark web.
¿Qué derechos tenés como ciudadano afectado?
La Ley 25.326 de Protección de Datos Personales establece en su artículo 34 la acción de habeas data, que permite a cualquier persona afectada exigir el acceso, corrección o supresión de sus datos. El problema práctico es evidente: ¿cómo ejercés el derecho al olvido cuando tus datos ya están replicados en decenas de servidores anónimos alrededor del mundo?
La Dirección Nacional de Protección de Datos Personales (DNPDP) tiene competencia para investigar y sancionar a los responsables de bases de datos. En el caso del RENAPER, la discusión recae sobre el Estado como titular de esa base — y la pregunta incómoda es si el Estado puede ser su propio juez.
El problema de fondo: seguridad como costo, no como valor
Lo que revela este caso es un problema sistémico. La seguridad de la información en el Estado argentino fue históricamente tratada como un costo a minimizar, no como una inversión estratégica. La falta de auditorías independientes, de planes de respuesta a incidentes y de protocolos de notificación obligatoria a los afectados evidencia la brecha entre lo que dice la ley y lo que ocurre en la práctica.
A diferencia del GDPR europeo, que impone notificación obligatoria dentro de las 72 horas de detectado un incidente, la Ley 25.326 no contempla un plazo específico para avisar a los ciudadanos. Esa diferencia no es menor.
¿Qué cambió desde entonces?
Poco en lo normativo, bastante en el debate público. La filtración del RENAPER aceleró conversaciones sobre la necesidad de reformar la Ley 25.326. Proyectos de ley que buscan incorporar notificación obligatoria de brechas, evaluaciones de impacto en privacidad y sanciones más severas fueron presentados en el Congreso. Sin embargo, al momento de escribir este artículo, ninguno se convirtió en ley. Mientras tanto, los datos de millones de argentinos siguen circulando.