Alertan por el traspaso silencioso de datos sensibles del Estado argentino a las nubes de Amazon y Google

Expertos en ciberseguridad dudan sobre el uso de distintos organismos del Estado argentino, que estarían ampliando el uso de nubes de Amazon, Google, Microsoft y Oracle para guardar, procesar y respaldar información.

La tendencia comenzó a agravarse en 2024 y se profundizó con el tiempo, sin una política pública clara sobre qué datos estratégicos deben quedar bajo control estatal. Distintos especialistas consultados advirtieron que el problema no es la tecnología, sino la falta de reglas sobre qué información puede salir del Estado y bajo qué condiciones.

— El presidente Javier Milei, durante la reunión con el CEO de Google Sundar Pichai

El vínculo entre el Estado argentino y los hiperescaladores de nube no es nuevo. Ya con anterioridad, en 2017 el gobierno del expresidente Mauricio Macri firmó un memorándum de entendimiento con Amazon Web Services (AWS) para probar durante un año el alojamiento de bases de datos estatales en sus servidores, a cambio de capacitación para startups y docentes.

Ese acuerdo marcó el inicio de una relación que se fue institucionalizando. En 2019 se emitió un “Nuevo lineamiento para la contratación de servicios en Nube IaaS y PaaS” que buscaba ordenar cómo el Estado nacional debía contratar estos servicios a través de la Empresa Argentina de Soluciones Satelitales S.A. (ARSAT). Con los años, licitaciones de organismos como el Gobierno de la Ciudad de Buenos Aires y provincias como Santa Fe fueron adjudicando contratos de “nube pública Amazon” o “bolsas de crédito” intercambiables entre AWS, Azure y Google Cloud según la necesidad operativa.

— Estación Terrena Benavídez y oficinas de ARSAT

Para 2024, ya en la presidencia del actual mandatario Javier Milei, se sumó un capítulo más polémico. Las negociaciones con Google para adoptar su sistema de inteligencia artificial aplicado a la “reforma del Estado”, inspirado explícitamente en el modelo implementado en El Salvador, donde Google terminó gestionando información sensible y procesos críticos de gobierno.

Más recientemente, en el marco de un acuerdo comercial con Estados Unidos, se incorporó la llamada “transferencia transfronteriza de datos”, que habilitaría la circulación de bases de datos comerciales y personales sin las trabas regulatorias actuales, beneficiando a Amazon, Google, Meta y Microsoft.

Según Mariano Goñi, presidente de Integracom y secretario de Tecnología de Asamblea de Pequeños y Medianos Empresarios (APYME), no hay pruebas de que las bases centrales de organismos clave como ARCA (exAFIP), RENAPER o ANSES estén íntegramente alojadas en una nube extranjera. No obstante, sí confirma que distintas dependencias utilizan proveedores privados para infraestructura, software, almacenamiento, biometría, respaldo, conectividad y soporte técnico.

— Milei junto al CEO de Meta, Mark Zuckerberg el 30 de mayo de 2024 en Palo Alto, California

“El problema principal no parece ser la falta de capacidad estatal, sino la ausencia de una política clara y obligatoria que defina qué datos deben permanecer bajo control estatal y en qué condiciones puede contratarse una nube extranjera”, subrayó Goñi, agregando que “sabemos que distintos organismos utilizan proveedores privados para infraestructura, software, almacenamiento, biometría, respaldo, conectividad y soporte”.

Eso abre la puerta a que información sensible circule, en algún tramo, por servidores privados. Entre esos datos figuran registros tributarios y patrimoniales de contribuyentes, información de identidad, fotografías y datos biométricos, domicilios y movimientos migratorios, prestaciones sociales y registros sanitarios, además de datos vinculados con la producción agropecuaria y el comercio exterior del país.

Goñi identifica el núcleo del problema, siendo que hasta el momento no existe un mapa público que indique con precisión qué organismos usan estos servicios, qué información almacenan, en qué país reside físicamente y qué pasa con esos datos frente a un conflicto judicial, una filtración de seguridad o el fin de un contrato.

— Mariano Goñi

Su propuesta alternativa es aprovechar más el datacenter estatal de ARSAT, que ya ofrece servidores, nube privada, redes seguras y centros de contingencia, para que buena parte de los sistemas —portales públicos, expedientes electrónicos, registros administrativos— quede bajo órbita estatal, reservando la migración gradual solo para los sistemas más complejos como las grandes bases tributarias o la biometría de RENAPER.

El marco legal argentino

Margarita Trovato de la Fundación Vía Libre, pone el acento en un punto técnico-legal crucial, ya que cuando los datos se alojan en servidores fuera del país, dejan de regirse exclusivamente por la ley argentina y quedan sujetos a otras jurisdicciones. Esto tiene consecuencias concretas, porque el Estado pierde capacidad de controlar quién accede a esa información, cómo se auditan sus usos y qué mecanismos existen para exigir responsabilidades ante un incidente.

— Margarita Trovato

La Ley 25.326 de Protección de Datos Personales —vigente desde el año 2000, previa a la masificación de internet— establece criterios para las transferencias internacionales de datos, pero contiene excepciones que debilitan esas garantías, y hoy no existen controles activos ni robustos sobre su cumplimiento.

El problema se agrava porque Estados Unidos, donde residen la mayoría de estos proveedores, carece de una ley federal integral de protección de datos personales, lo que suma incertidumbre jurídica cuando la información argentina queda alcanzada por normativa estadounidense. Proyectos de ley presentados en 2017 y 2019 para declarar los datos del Estado como inalienables, inembargables e imprescriptibles nunca lograron aprobarse.

Trovato también señala el riesgo del “vendor lock-in”, que es cuando un organismo concentra buena parte de sus sistemas en un único proveedor, y después resulta muy costoso migrar por razones de precio, compatibilidad técnica y dependencia acumulada. Denuncia además que no toda la información pública tiene el mismo nivel de sensibilidad, con datos biométricos, por ejemplo, no deberían alojarse en jurisdicciones que no ofrezcan garantías de protección equivalentes a las argentinas.

— Milei y su comitiva junto al CEO de Apple, Tim Cook, en las oficinas centrales de la empresa en Cupertino

Lucía Camacho, coordinadora de Políticas Publicas de Derechos Digitales, aportó una mirada geopolítica sobre la infraestructura digital global que está altamente concentrada en un puñado de corporaciones transnacionales, lo que genera pérdida de control estatal sobre la información y expone datos sensibles al posible acceso de terceros, en un contexto donde esas plataformas responden a legislaciones y decisiones políticas de otros países.

“La infraestructura tecnológica necesita una colaboración equilibrada entre actores públicos y privados, pero en nuestra región existe una concentración muy alta en un puñado de empresas transnacionales”, sostuvo Camacho.

Este debate no es exclusivo de Argentina. Informes recientes sobre “nube soberana” en la región muestran que el control real ya no depende solo de dónde están físicamente los servidores, sino de quién administra las llaves de cifrado, quién puede auditar los sistemas y qué capacidad conserva el Estado para migrar o recuperar su información si decide cambiar de proveedor. Empresas como AWS sostienen, en cambio, que “la nube es soberana por diseño” porque el cliente —en este caso el Estado— es quien decide dónde alojar sus datos y cómo gestionar sus claves de seguridad.