Le contaste tus miedos a una app. La app los vendió.

Por Osvaldo Hernández Olivera.
Abogado en Derecho Informático | Opinión Legal sobre Tecnología y Futuro.

Hubo un momento —quizás en pandemia, quizás después— en que descargaste una app para meditar, para dormir mejor, para hablar con un acompañante emocional digital, para registrar cómo se sentía cada día. Era privado, era tuyo. Lo que probablemente no leíste —nadie lo lee— es la sección de la política de privacidad donde la aplicación explicaba con qué terceros podía compartir esa información: corredores de datos, redes de publicidad, socios comerciales no especificados. Tus estados de ánimo, notas de voz, patrones de sueño, historial de crisis, todo eso, disponible para quien la empresa decidiera.

El dato sensible que la ley no trata como sensible.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares clasifica como datos sensibles aquellos que revelan origen racial, estado de salud, vida sexual, creencias religiosas y opiniones políticas. En esa categoría, los datos de salud merecen, en teoría, el nivel más alto de protección: requieren consentimiento expreso, no pueden tratarse sin una finalidad claramente justificada y su divulgación está sujeta a restricciones específicas.

El problema es que los datos que generan las apps de bienestar mental rara vez se llaman, en sus propias interfaces, «datos de salud». Se llaman «registros de estado de ánimo», «notas personales», «métricas de bienestar», «conversaciones con el asistente». Ese lenguaje no es accidental; es una arquitectura semántica diseñada para que esos datos queden fuera de la categoría sensible y puedan tratarse con los estándares más flexibles que la LFPDPPP aplica a los datos ordinarios. El resultado es que la información más íntima que tu podrías compartir —la que revela cómo se siente en sus peores momentos— queda protegida con las mismas reglas que tu nombre y tu correo electrónico.

El consentimiento que nadie dio pero todos firmaron.
La LFPDPPP exige que el tratamiento de datos sensibles esté sustentado en consentimiento expreso; las apps de bienestar tienen ese consentimiento: está en los términos de servicio que tu aceptaste cuando se creó tu cuenta. Lo que la ley no exige es que ese consentimiento sea informado de manera que una persona sin formación jurídica pueda entender qué está autorizando exactamente.

Investigaciones realizadas en otros países sobre las principales apps de salud mental en 2023, encontraron que la gran mayoría comparte datos con terceros publicitarios, que varias no cifran adecuadamente la información en tránsito y que los mecanismos para ejercer el derecho de cancelación o supresión son deliberadamente difíciles de encontrar y esas mismas apps estan operando en México. El extinto INAI o lo que queda de él después de su reciente debilitamiento institucional, no tiene capacidad de auditoría técnica para verificar que sus prácticas de tratamiento correspondan a lo que declaran en sus avisos de privacidad.

Lo que debería cambiar antes de que el daño sea irreversible.
La reforma que la LFPDPPP necesita no es cosmética: requiere, al menos, tres modificaciones concretas: primero, extender explícitamente la categoría de dato sensible a cualquier información que revele estados emocionales, condición psicológica o patrones conductuales vinculados a salud mental, independientemente de cómo la empresa elija llamarla. Segundo, prohibir el uso de datos de salud mental con fines publicitarios sin consentimiento específico, separado e inequívoco para ese uso en particular —no encerrado en los términos generales. Tercero, exigir a las apps que operan en este espacio una auditoría de seguridad independiente como condición de operación en el mercado mexicano.

Le confiaste a una app lo que quizás no le dijiste a nadie; la app no era un terapeuta: era un producto. Y tus miedos, insomnio y tus peores días formaron parte de un modelo de negocio que la LFPDPPP todavía no sabe cómo regular.