El pulso judicial por las órdenes de geolocalización masiva ya está recalculando el precio de los datos de ubicación
Un dato recogido para un fin nunca fue suyo para revenderlo libremente en otro. Tribunales y legisladores están apretando a la vez el consentimiento, la finalidad y las transferencias, y ese pasivo se mueve antes de que llegue la sanción.
Todo corredor de datos funciona sobre un supuesto más frágil que la propiedad: que un dato recogido para un fin puede venderse para cualquier otro. Las coordenadas de localización captadas para que funcione un mapa, la cesta de la compra de un programa de fidelización, el número de móvil que se entregó para activar la verificación en dos pasos, todo ello se reclasifica como inventario vendible en cuanto entra en un almacén de datos. Esa reutilización es el pasivo peor tasado del sector, y la orden de geolocalización masiva es donde empieza el recálculo.
¿Qué es una orden de geolocalización masiva y por qué debería importarle a la cuenta de resultados?
Una orden de geolocalización masiva («geofence warrant») obliga a una empresa a entregar todos los dispositivos que estuvieron dentro de un perímetro trazado durante una ventana de tiempo determinada. El litigio obliga a los tribunales a responder una pregunta que el sector adtech preferiría dejar enterrada: ¿conserva alguien una expectativa razonable de privacidad sobre dónde ha estado su teléfono, incluso en la vía pública? La privacidad de los datos de ubicación depende de esa respuesta, y también el valor en libros de todo conjunto de datos construido sobre movimiento.
Dos tribunales federales de apelación en Estados Unidos se han dividido. En agosto de 2024, el Quinto Circuito, en United States v. Smith, sostuvo que estas órdenes equivalen a un registro general digital y vulneran la Cuarta Enmienda, aunque dejó en pie la prueba obtenida por la excepción de buena fe. El Cuarto Circuito, ante la misma tecnología en United States v. Chatrie, trató el historial de ubicación como un registro en manos de un tercero y no apreció injerencia alguna. El Tribunal Supremo aún no se ha pronunciado. El estado real de la cuestión es incierto, inclinándose, y dependiente de cada jurisdicción.
Leídas las sentencias, el litigio no versa sobre quién es dueño del dato. Versa sobre las condiciones en que una empresa puede conservarlo y moverlo. La pregunta de la Cuarta Enmienda es si el Estado necesita una orden para acceder a los movimientos de alguien; el marco europeo de protección de datos pregunta si la empresa tenía una base jurídica para recogerlos y otra, nueva, para reutilizarlos o venderlos. La limitación de la finalidad es la idea que sostiene todo el edificio. Un dato recogido para un motivo declarado no se convierte en insumo libre para otro solo porque ya resida en un servidor.
¿Pueden las empresas seguir vendiendo los datos personales?
En Estados Unidos, la respuesta se estrecha por vía legislativa. La Health and Location Data Protection Act, impulsada por la senadora Elizabeth Warren y la representante Mary Gay Scanlon, prohibiría a los corredores de datos vender o ceder datos de salud y de ubicación, obligaría a la Federal Trade Commission (FTC) a desarrollar el reglamento en 180 días, permitiría que particulares y fiscales generales estatales la hicieran cumplir, y dotaría a la FTC con mil millones de dólares en diez años. La ley no se ha aprobado y puede que no lo haga. Lo que importa es su mecanismo: un derecho de acción privado permitiría a cualquier persona demandar por cada registro cedido de forma ilícita, con la indemnización tasada que fije el Congreso.
Eso no es una cifra hipotética. Illinois ya opera un derecho de acción privado exactamente de ese tipo. Con la Biometric Information Privacy Act (BIPA), cualquier persona puede reclamar daños tasados de 1.000 dólares por cada infracción negligente y 5.000 por cada infracción temeraria o intencionada, sin necesidad de probar ningún perjuicio adicional. Una indemnización tasada de ese orden es lo que convirtió la BIPA en una máquina de acuerdos extrajudiciales. Añada una cifra por infracción comparable a un régimen de corredores de datos basado en transferencias, y el negocio sobrevive pero su economía no. El conjunto de datos no cambia. Lo que lo repricia es la norma que rige cada fila.
Esto ya está ocurriendo con datos de ubicación en concreto. En diciembre de 2021, la autoridad noruega de protección de datos sancionó a Grindr con unas 65 millones de coronas noruegas, unos 5 millones de libras esterlinas de entonces, por compartir datos de usuarios, incluida su ubicación precisa, con socios publicitarios. El fallo giró sobre el consentimiento: la aplicación no pudo acreditar que los usuarios hubieran autorizado libremente esa cesión posterior. Un solo expediente, una sola aplicación, un solo regulador, y la teoría de fondo es la misma que la ley estadounidense trasladaría a los particulares.
El regulador estadounidense presiona el mismo nervio en casa. X Corp ha pedido a la FTC que deje sin efecto la orden de 2022 heredada de Twitter, la que vigila su conducta en materia de privacidad. El hallazgo que sostiene esa orden es revelador: números de teléfono que los usuarios habían facilitado para la seguridad de su cuenta acabaron alimentando publicidad. Un dato recogido para un fin declarado, desviado en silencio hacia otro. Eso es, en la práctica, un incumplimiento de la limitación de finalidad, y que una empresa presione para librarse de esa vigilancia dice mucho de lo que le cuesta soportarla.
¿Puede una empresa española vender los datos personales de sus clientes?
Los consejos de administración españoles no deberían archivar esto como un asunto puramente estadounidense. Bajo el RGPD, con la Agencia Española de Protección de Datos (AEPD) como autoridad de control y con la nueva Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) vigilando cada vez más de cerca los sistemas que procesan estos datos, todo tratamiento necesita una base jurídica, la limitación de la finalidad restringe la reutilización, y las personas conservan derechos exigibles sobre sus propios registros. El corretaje de datos existe en España, pero se sostiene sobre un consentimiento revocable y una base que puede impugnarse, y ceder o vender un conjunto de datos es en sí mismo un tratamiento que exige su propia justificación. Es un terreno más débil que el que nunca ofreció una reclamación de propiedad, y es hacia ese terreno hacia donde deriva ahora también el derecho estadounidense. Cuando dos grandes economías se mueven en la misma dirección, la probabilidad razonable para el resto del mundo se mueve con ellas. Para cualquier empresa que conserve historiales clínicos, financieros o de clientes, tratar ese dato como un pasivo regulado, y construir sistemas que asuman que ese dato puede tener que revocarse, sale más barato que descubrirlo en un procedimiento sancionador.
El argumento en contra merece decirse sin rodeos. Si la ley Warren-Scanlon muere en comisión, la FTC relaja sus órdenes en lugar de endurecerlas, y los tribunales terminan asentándose en la tesis del dato en manos de un tercero, los hábitos de siempre se sostienen y el negocio dependiente de datos conserva su múltiplo. Ese desenlace es plenamente posible y nadie debería descartarlo del precio.
Lo que el mercado no ha incorporado es la asimetría. Si el modelo de transferencia y reutilización sobrevive, los corredores de datos siguen sin sobresaltos. Si no sobrevive, la exposición ya está en el balance: reside en los registros que se están vendiendo ahora mismo, los mismos que un regulador o un tribunal pueden alcanzar hoy. Conservar un dato es un acto continuado, y el marco europeo lo trata como tal, así que no hay una línea limpia entre lo recogido el año pasado y el pasivo de este año. Las empresas que se apoyan en un único proveedor voraz de datos, o que contabilizan los datos de comportamiento como un activo que se revaloriza, están cortas en un riesgo que se paga de golpe. Calcular esa exposición es una cuestión de estrategia técnica tanto como de asesoría jurídica, y este trimestre es el momento de plantearla.
Preguntas frecuentes
¿Una orden de geolocalización masiva significa que pueden incautarse los datos de ubicación de mi empresa?
Significa que un tribunal puede obligarla a entregar todos los dispositivos registrados dentro de una zona y un periodo determinados. Si esos datos gozaban de alguna protección constitucional sigue sin resolverse en Estados Unidos: el Quinto Circuito calificó estas órdenes de inconstitucionales en 2024, el Cuarto Circuito llegó a la conclusión contraria en el caso Chatrie, y el Tribunal Supremo no se ha pronunciado. La pregunta comercial real es si usted tenía base jurídica para conservar y comerciar con esos registros, y el litigio sobre las órdenes no refuerza esa base en absoluto.
¿Quién es el propietario de un dato personal una vez que una empresa lo recoge?
La propiedad es la pregunta equivocada. Bajo el RGPD, quien recoge el dato necesita una base jurídica para tratarlo con un fin declarado, la limitación de la finalidad restringe su reutilización, y la persona conserva derechos exigibles, incluida la retirada del consentimiento. El derecho estadounidense avanza en la misma dirección a través de proyectos de ley que prohibirían directamente la venta de datos de ubicación y de salud. Lo que importa es el permiso para tratar y ceder el dato, y ese permiso puede caducar.
¿Cómo usan los corredores de datos la información de ubicación, y cuál es el riesgo nuevo?
Agregan registros de movimiento procedentes de aplicaciones, redes publicitarias y hardware, y después licencian los perfiles resultantes. El riesgo emergente está en el consentimiento y la cesión: un derecho de acción privado, de aprobarse, permitiría a cada persona demandar por cada registro cedido ilícitamente, y ya hay regulador que ha sancionado la cesión de datos de ubicación sin consentimiento válido, como hizo Noruega con Grindr en 2021. Eso convierte un conjunto de datos masivo en un pasivo contingente tasado registro a registro.
Relacionado
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Washington ha puesto a su propio laboratorio de IA en una lista de riesgos. Así cambia el concepto de dependencia de un proveedor de IA
- Por qué los pilotos de IA empresarial no escalan: es un problema de confianza, no de capacidad
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.