Después de la verificación de identidad: qué pasa con el documento, y quién responde si se filtra

Cuando la verificación de identidad ya funciona en tu directorio, da la sensación de que lo difícil ya pasó. El widget de carga funciona, las tasas de aprobación y rechazo parecen razonables, y los anunciantes que importan logran pasar el filtro. Lo que nadie te entrega en ese momento es un plan para la pila de documentos que la verificación acaba de generar, porque un sistema de verificación no consume un documento de identidad y lo hace desaparecer. Produce una fotografía de un rostro y una fotografía de un documento oficial, y ambas existen ahora en algún lugar, en los servidores de alguien, durante un período que en realidad nadie decidió a propósito.

Esto no es un argumento en contra de verificar. La ley ya zanjó esa cuestión, y saltarse la verificación es, por mucho, el error más caro. Es un argumento sobre lo que ocurre justo después del visto verde, que es precisamente lo que perjudicó gravemente a varias empresas en 2025 y 2026, ninguna de las cuales se había saltado la verificación. La habían hecho correctamente, y luego dejaron que el archivo resultante quedara guardado en algún lugar donde, tarde o temprano, la persona equivocada lo encontró.

El documento no desaparece cuando la verificación se aprueba

Desde el lado del anunciante, el proceso de verificación parece simple: tomarse una selfie, fotografiar un documento, esperar unos segundos y quedar aprobado. Por debajo, esa transacción genera un artefacto (las imágenes propiamente dichas) que viaja desde un formulario de carga hasta un motor de comparación y vuelve con un resultado. Que ese artefacto se elimine en el instante en que termina la comparación, o que se conserve un día, un mes o indefinidamente, es una decisión de diseño, y la mayoría de los sistemas tienden por defecto a conservar los datos, porque borrar según un calendario es una función que alguien tiene que construir y mantener, mientras que no hacer nada sale gratis.

El costo de ese comportamiento por defecto se hizo público en julio de 2025, cuando una filtración en Tea, una aplicación de seguridad para citas, expuso aproximadamente 72.000 imágenes, entre ellas unas 13.000 fotografías de documentos de identidad oficiales y selfies de verificación enviadas antes de febrero de 2024. La propia política de privacidad de Tea afirmaba que las fotos de verificación se eliminaban inmediatamente después de su uso. No era así: las imágenes habían permanecido en un depósito de almacenamiento en la nube sin proteger, un sistema heredado que nadie había vuelto a vaciar después de que el producto pasara a uno más nuevo.

La lección no tiene nada que ver específicamente con las aplicaciones de citas y todo que ver con el mecanismo, que es genérico para cualquier negocio que terceriza una verificación detrás de un widget. Una política de privacidad es una promesa, no un hecho sobre tu infraestructura. Si no puedes indicar el número exacto de días que transcurren entre que un anunciante sube un documento y que ese documento desaparece de todos los sistemas que lo tocaron, incluidas las copias de seguridad, en realidad no sabes cuál es tu política, solo sabes qué dice.

Un segundo incidente ese mismo año mostró la otra forma habitual en que esto falla: hacer pasar algo sensible por un sistema de uso general en lugar de uno dedicado. La filtración de Discord en octubre de 2025 se remontó a un proveedor externo de atención al cliente que había sido comprometido, porque las apelaciones de verificación de edad, incluidas las fotos de documentos de identidad oficiales, se canalizaban a través del mismo sistema de tickets usado para las quejas comunes. Discord confirmó que se expusieron alrededor de 70.000 imágenes de documentos y selfies, junto con nombres, nombres de usuario, correos electrónicos y datos limitados de facturación, y desde entonces dejó de enrutar documentos a través del soporte general por completo.

Por qué perder un documento vinculado a tu directorio vale más que perder el documento por sí solo

Un documento de identidad filtrado por sí solo ya es un problema real para la persona de la foto, pero un documento filtrado que además un conjunto de datos etiqueta como perteneciente a un anunciante verificado en un sitio de clasificados para adultos es un problema de otro orden, porque la etiqueta es el daño. La etiqueta adjunta un hecho sobre la vida de esa persona que ella no eligió hacer público, y esa combinación es lo que convierte una notificación de filtración rutinaria en una demanda o, en algunos casos documentados, en extorsión dirigida contra la persona cuyos datos se filtraron, en lugar de contra la empresa que los perdió.

Los reguladores ya tratan este tipo de asociación como sensible en sí misma, independientemente de cualquier foto o mensaje concreto. Según el RGPD, los datos que revelan la vida sexual o la orientación sexual de una persona forman parte del pequeño grupo de categorías especiales que exigen un umbral legal mucho más alto para poder tratarse. La autoridad de protección de datos de Noruega multó a la aplicación de citas Grindr con aproximadamente seis millones y medio de euros en diciembre de 2021, sanción confirmada en apelación en 2025, específicamente porque se determinó que compartir con socios publicitarios el simple hecho de que alguien era usuario de Grindr era en sí mismo capaz de revelar su orientación sexual. No hizo falta que se filtrara ningún mensaje ni ninguna foto para que se aplicara la multa; la propia pertenencia a la plataforma era el dato sensible.

El mismo razonamiento se traslada casi sin cambios a un directorio de clasificados. Un documento de identidad que, dentro de un conjunto de datos filtrado, también aparece marcado como perteneciente a un anunciante verificado en tu plataforma es un dato personal más un hecho de vida inferido que el titular nunca aceptó hacer público, y todo marco de responsabilidad construido en torno a las filtraciones de datos trata esa combinación como más grave que una fuga habitual de números de tarjeta en un comercio minorista. Eso explica en buena parte por qué las multas y las demandas en este rincón de internet resultan más altas de lo que la mayoría de los negocios, al leer titulares sobre filtraciones, suponen que nunca les aplicará a ellos.

En la práctica, esto debería cambiar lo que consideras una seguridad adecuada de tu lado, aunque sea el proveedor quien conserve el archivo. Una base de datos de contraseñas y una base de datos que vincula un documento de identidad con la pertenencia a una plataforma no tienen el mismo deber de cuidado, y ni un regulador ni un periodista las tratarán igual después de un incidente. Vale la pena decidir, antes de que ocurra nada, que esa segunda categoría reciba un estándar más alto que el que hoy aplica tu política general para los datos de clientes, porque después de un incidente no es el momento en que esa decisión se toma bien.

La trampa de la retención: multados por lo que guardaron, se haya filtrado o no

Los casos de Tea y Discord involucran ambos una filtración, es decir, un atacante externo tuvo que hacer algo. La autoridad de protección de datos de España mostró la otra vía hacia el mismo resultado en marzo de 2026, cuando multó a Yoti, uno de los proveedores especializados en verificación de identidad y edad, con novecientos cincuenta mil euros sin que hubiera existido ninguna filtración. A Yoti se la multó simplemente por lo que había estado guardando, archivado, a la espera de que nadie lo pidiera.

Vale la pena leer el desglose con atención, porque cada partida describe un hábito de negocio corriente y bien intencionado, no una mala conducta evidente. Quinientos mil euros correspondían a cómo se trataban los datos biométricos bajo las reglas de categorías especiales del RGPD. Doscientos mil euros correspondían al diseño del consentimiento: los usuarios podían avanzar más allá de la pantalla de la política de privacidad sin llegar a abrirla nunca, y quedaban inscritos por defecto para que sus datos biométricos se reutilizaran en investigación interna, a menos que encontraran y desmarcaran una casilla. Los doscientos cincuenta mil euros restantes correspondían a una retención considerada excesiva, incluidos datos de geolocalización conservados durante cinco años después de haber cumplido su única función, que era establecer qué norma de edad aplicaba en el registro, y plantillas biométricas conservadas durante todo el tiempo que la cuenta permanecía activa más tres años adicionales desde el último uso.

Cada una de esas decisiones de retención tenía una razón que sonaba defendible: la geolocalización por si hacía falta volver a comprobar una norma, las plantillas biométricas por si un anunciante recurrente necesitaba reverificarse, el acceso para investigación con el fin de mejorar el producto. Que una razón suene defendible no es lo mismo que un plazo de retención vinculado a un propósito concreto y declarado, y el regulador multó a una empresa construida en torno a hacer bien la verificación precisamente por confundir ambas cosas. Yoti está apelando, y según se informó la ejecución de la sanción quedó suspendida en abril de 2026 mientras se resuelve esa apelación, así que conviene tratar el caso como una advertencia vigente y no como un expediente cerrado, pero el razonamiento de que el reloj de la retención debe seguir un propósito, no una comodidad, no es la parte que está en apelación.

La lectura operativa es fácil de enunciar y fácil de pasar por alto: el contrato con tu proveedor debería fijar un plazo de retención en días, vinculado a un propósito declarado, para cada categoría de datos que produce la verificación. Si un proveedor no puede darte esa cifra por escrito, es porque tampoco la ha decidido él, y ninguno de los dos podrá defenderla después, ni ante un regulador ni ante un anunciante que pregunte adónde fue a parar su documento.

Qué preguntarle en realidad a un proveedor de verificación antes de firmar

En la mayoría de los casos, no eres tú quien opera el software de verificación, sino un proveedor especializado, y esa es la división del trabajo correcta: las verificaciones de identidad que realmente detectan anuncios falsos son una disciplina estrecha y con mucha responsabilidad legal que un equipo pequeño no debería construir desde cero. Pero bajo la legislación de protección de datos, el operador que decidió que la verificación debía hacerse suele seguir siendo el responsable del tratamiento, mientras que el proveedor es el encargado del tratamiento, y un error del encargado sigue recayendo sobre la responsabilidad del responsable frente a la persona cuyo documento se filtró. Eso hace que el contrato con el proveedor, y no un ticket de soporte enviado después de que algo salga mal, sea el lugar donde corresponde plantear estas preguntas.

Pregunta primero si la verificación devuelve solo un resultado de aprobado o rechazado más una puntuación de confianza, o si la imagen real pasa en algún momento por tu propia infraestructura y queda ahí. Un proveedor construido sobre un diseño de verificar y descartar, que compara el documento y lo elimina dentro de la misma transacción en lugar de guardarlo para después, elimina la mayor parte de este riesgo mediante la arquitectura misma, en lugar de depender de una promesa de política que hay que confiar y volver a comprobar.

Pide el plazo exacto de eliminación en días, escrito en el contrato y no citado de una página de marketing, y pregunta qué pasa con las copias de seguridad. Un sistema que borra la copia activa según lo previsto pero conserva una copia de seguridad de noventa días tiene, en la práctica, un plazo de retención de noventa días, sin importar lo que diga la cifra destacada, y esa es exactamente la brecha por la que las imágenes de Tea sobrevivieron más allá de su supuesta eliminación.

Pregunta quién notifica a quién, y en cuántas horas, si el propio proveedor sufre una filtración. Es posible que seas tú, y no el proveedor, quien deba presentar un informe ante un regulador, y un plazo de notificación de setenta y dos horas no se puede cumplir sobre una filtración de la que te enteras en la tercera semana. Ten la respuesta lista antes de necesitarla: es casi el mismo expediente que un proveedor de pagos ya exige antes de aprobar tu cuenta, así que ponerlo por escrito una vez sirve para ambos fines. Fija en el contrato un plazo más corto para el proveedor que el que tú le debes a tu propio regulador, para que quede tiempo de actuar antes de que venza el tuyo.

Pregunta, por último, qué hace el proveedor con la imagen para fines que van más allá de la propia verificación: entrenamiento de modelos, bases de datos de fraude compartidas con sus otros clientes, investigación interna. Exige un sí o un no claro y por escrito, en lugar de aceptar el silencio como respuesta, porque un silencio disfrazado de inscripción automática por defecto es exactamente lo que permitió que el diseño de consentimiento para investigación de Yoti se sostuviera tanto tiempo antes de que un regulador lo examinara de cerca.

Qué hacer en concreto este trimestre

Nada de esto es una razón para verificar con menos cuidado. Es una razón para ser tan deliberado respecto a cómo salen los datos de tus sistemas, y de los de tu proveedor, como ya tuviste que serlo respecto a cómo entran. Los operadores perjudicados en la próxima ronda de multas y titulares de filtraciones no serán los que nunca verificaron un documento; serán los que verificaron correctamente y nunca preguntaron qué pasaba después.

Empieza este mes pidiendo por escrito el calendario de retención de tu proveedor actual, en días, para cada categoría de datos que produce la verificación, y no en adjetivos como brevemente o según sea necesario. Si no puede darte esa cifra, la incapacidad de responder es en sí misma el hallazgo, y te dice más sobre el riesgo que estás asumiendo que cualquier folleto.

Cierra cualquier flujo de trabajo en el que un agente de soporte, un revisor de apelaciones, o tú mismo, terminen recibiendo una foto de un documento por correo electrónico o a través de un sistema de tickets general en lugar del canal dedicado de verificación. Si existe un flujo así en cualquier parte de tu operación, es casi con certeza tu mayor exposición individual, y a diferencia de la mayoría de las correcciones en este negocio, cerrarlo no cuesta nada más que la decisión de hacerlo.

Incluye un plazo máximo de retención y un límite de tiempo para la notificación de filtraciones en la próxima renovación del contrato, por escrito, y agenda una revisión de la práctica real del proveedor, no solo de su página de políticas, cada dos trimestres. Que una promesa fuera cierta el día que firmaste no garantiza que siga siéndolo un año después, y la mayoría de los negocios multados o afectados por filtraciones en 2025 y 2026 se enteraron de eso por un regulador o por un hacker, en lugar de por su propia revisión.