Una buena razón no es un permiso
El hallazgo
El 20 de octubre de 2026, la Jueza Denise Cote (Distrito Sur de Nueva York) dictó sentencia sumaria en AFGE v. OPM —la Federación Americana de Empleados Públicos en contra de la Oficina de Administración de Personal— y declaró que esa oficina violó la Privacy Act dos veces al darle a agentes DOGE acceso amplio a sistemas de registros con datos de decenas de millones de empleados federales, jubilados y solicitantes.[1][3]
Las dos violaciones no son la misma:[3]
- 5 U.S.C. § 552a(b) — prohíbe divulgar registros a cualquier persona o agencia sin consentimiento escrito del individuo o sin una excepción legal expresa.[4][5] La lista de excepciones es cerrada.
- 5 U.S.C. § 552a(e)(10) — obliga a la agencia a establecer salvaguardias administrativas, técnicas y físicas que aseguren la seguridad y confidencialidad de los registros.[4][5]
Hay una tercera consecuencia: como las viola, la conducta fue “not in accordance with law” bajo 5 U.S.C. § 706(2)(A), así que la reclamación bajo la Administrative Procedure Act también se resolvió a favor de los demandantes.[3]
La parte que importa a tu contrato
La Corte no aceptó la justificación de la modernización. Escribió esto:[3]
“The record also provides no support for a finding that it was the pursuit of a modernization agenda that prompted OPM to grant sweeping and expedited access to a score of DOGE Agents to its systems of records containing PII.”
Traducción: el expediente no sostiene que una agenda de modernización justificara el acceso amplio y acelerado.[3] Es decir, un argumento de “teníamos una buena razón” que se cae solo cuando una corte federal lo mira de cerca.
Hay un detalle estructural que conviene copiar textual: sentencia sumaria no es provisional. Resuelve la cuestión legal sobre el expediente existente en lugar de mandar el caso a juicio, así que lo que se encontró sobre lo que OPM hizo ya no está sujeto a prueba en juicio.[2] El remedio sigue abierto —qué tiene que hacer OPM con esos registros se decide después— pero el hecho ya está resuelto.[2]
La orden fáctica, entonces: decenas de millones de registros personales de empleados federales,[1] revelados a un grupo de agentes de otra Dependencia,[3] con un acceso amplio y acelerado, y sin un propósito documentado que sobreviviera el escrutinio de una Jueza.[3]
Tres cláusulas para tu RFP
El caso OPM/DOGE es directamente analógico a algo que ya tienes o vas a tener: un proveedor, un integrator o un cliente corporativo que tiene acceso legítimo a tus cámaras, tu NVR o tu footage, y que además le pasa datos —o se reserva el derecho a pasarlos— a un tercero que no es tu proveedor. Tres cláusulas lo evitan:
1. Cláusula de divulgación de flujo de datos a terceros. El proveedor declara por escrito cada oficina externa, cliente, sub-integrator o servicio que recibe datos derivados de tus cámaras, con su jurisdicción y la periodicidad con la que esa lista se renueva. No “podemos investigarlo” — una lista nombrada.
2. Cláusula de consentimiento y proceso legal para acceso de terceros. Ningún tercero accede a footage o metadatos tuyos sin tu consentimiento documentado y un disparador de proceso legal verificable, con bitácora de acceso inmutable y sello de tiempo. Sin bitácora, sin acceso.
3. Cláusula de terminación por sentencia. Si cualquier tribunal declara ilegal el flujo de datos subyacente, tienes derecho a terminar el contrato sin penalización y con exportación de tus datos en un plazo corto y fijo.
Lo que esto no es
Esto no significa que compartir datos entre oficinas sea siempre ilegal. La Privacy Act tiene excepciones expresas —incluido el uso rutinario (routine use), definido como el uso de un registro “para un propósito compatible con el propósito para el cual fue coleccionado”,[4] y la divulgación a otra agencia para fines de aplicación de la ley con solicitud escrita del cabeza de la agencia. Lo que este caso elimina es la zona gris donde un tercero con acceso legítimo pero sin propósito declarado se presenta como si su necesidad fuera suficiente. Cuando el acceso es amplio y acelerado y el propósito no está documentado, “teníamos una buena razón” no es una defensa.[3]
P.D. Abre tu contrato de analytics o cámaras y busca el nombre de cada tercero que recibe datos o metadatos. ¿Están todos nombrados por escrito, con su periodicidad de renovación? Si no puedes señalar una lista —o si la lista dice “y otros socios según necesidad”—, tienes exactamente el problema que la Jueza Cote hizo irrelevante hoy.
Fuentes
[1] https://www.eff.org/deeplinks/2026/10/victory-court-rules-opms-disclosure-personal-records-doge-unlawful — Electronic Frontier Foundation, Mario Trujillo: “Victory! Court Rules OPM’s Disclosure of Personal Records to DOGE is Unlawful” (20 de octubre de 2026) [2] https://stateofsurveillance.org/news/daily-surveillance-briefing-october-21-2026/ — State of Surveillance: “Daily Surveillance Briefing, October 21, 2026: OPM Ruled Unlawful” (21 de octubre de 2026) [3] https://www.eff.org/files/2026/10/20/241_opinion_and_order_2026-10-20.pdf — Corte Federal de Distrito Sur de Nueva York, AFGE v. OPM, Caso 1:25-cv-01237-DLC, Documento 241, Opinion and Order (Jueza Denise Cote, 20 de octubre de 2026), 39 pp. [4] https://www.govinfo.gov/content/pkg/USCODE-2018-title5/html/USCODE-2018-title5-partI-chap5-subchapII-sec552a.htm — U.S. Government Publishing Office: USCODE-2018-title5 §552a, Privacy Act of 1974, incisos (b) y (e)(10) [5] https://www.law.cornell.edu/uscode/text/5/552a — Cornell Legal Information Institute: 5 U.S.C. §552a (texto corroborante de los incisos (a)(7), (b) y (e)(10))