Match Group opera más de 40 marcas de citas — Tinder, Hinge, OkCupid, Match.com, y decenas más. Cuando la FTC decidió investigar las prácticas de privacidad de OkCupid, no estaba apuntando a una startup de garage. Estaba apuntando a una propiedad dentro del conglomerado de dating más grande del planeta. El universo de LinkedIn interpretó esto en una dirección predecible: "si le pasa a OkCupid, le puede pasar a cualquiera."
La narrativa convencional se escribió sola. Fundadores de startups tech compartieron el artículo con la nota "ojo con esto." Abogados de privacidad publicaron threads ofreciendo sus servicios de compliance. Consultoras de datos lanzaron webinars titulados "Prepara tu startup para la era FTC." Todo el ecosistema de hot takes coincidió en un diagnóstico: la era de la impunidad en datos personales terminó. Si tu app recolecta información sensible — y toda app de citas recolecta información profundamente sensible — necesitas entrar en modo de pánico regulatorio ahora.
Y hay que reconocer algo: esa narrativa no surgió de la nada. La FTC ha incrementado sus acciones de enforcement. Las apps de citas recolectan datos que la mayoría de las personas no compartirían ni con su terapeuta: orientación sexual, preferencias de relación, historial de consumo de sustancias, opiniones políticas, religión. Cuando esa información se filtra, se comparte con terceros sin consentimiento, o se usa para prácticas engañosas, las consecuencias para los usuarios son reales y graves. El argumento para el pánico tiene una base legítima.
Por Qué Esta Alarma Tiene Razón
Empecemos concediendo lo que hay que conceder — y lo digo sin ironía.
Primero: la FTC tiene historial de actuar contra prácticas engañosas en plataformas de dating. La demanda contra Match Group por notificaciones de interés fabricadas — alertas de "alguien te vio" generadas por cuentas que el propio sistema había identificado como fraudulentas — no fue un caso menor ni ambiguo. Fue una acusación directa de que la compañía usaba datos de usuarios falsos para generar conversiones de pago. El mecanismo era técnicamente simple: crear la apariencia de interés romántico donde no existía, para motivar la compra de una suscripción premium. Esto no es paranoia regulatoria. Esto es fraude al consumidor con infraestructura de software.
Segundo: las apps de citas operan en una categoría de sensibilidad que no tiene equivalente real en otras verticales tech. Un e-commerce sabe qué zapatos buscaste. Una app de citas sabe si eres gay, si buscas relaciones abiertas, si consumes marihuana, con qué frecuencia tienes relaciones sexuales, y cuál es tu postura política. Esa información, en el contexto equivocado — una filtración, una venta a data brokers, un gobierno con políticas anti-LGBTQ — puede destruir vidas. No es hipérbole. Es la razón por la que el Norwegian Consumer Council publicó su informe "Out of Control" documentando cómo apps como OkCupid compartían datos de orientación sexual y uso de drogas con empresas de publicidad.
Tercero: si eres una startup que maneja datos sensibles y operas sin políticas claras de retención, consentimiento informado, y control de terceros — sí, tienes un problema regulatorio. No mañana. Ahora. La tendencia de enforcement es clara tanto en Estados Unidos como en la Unión Europea, y las legislaciones latinoamericanas — la Ley Federal de Protección de Datos en México, la ley 25.326 en Argentina, la ley 1581 en Colombia — están convergiendo lentamente en la misma dirección.
Todo esto es verdad. No tengo intención de negarlo.
Pero lo que esa narrativa omite es más importante que lo que dice.
Donde Se Rompe el Argumento
Aquí es donde la conversación de LinkedIn se divorcia de la realidad regulatoria.
La acción de la FTC no fue un pronunciamiento general de que "recolectar datos sensibles es ilegal." No fue una nueva interpretación regulatoria que cambia las reglas del juego para toda startup con un formulario de registro. Lo que la FTC señaló fueron prácticas específicas y demostrablemente engañosas: usar información de usuarios para crear una ilusión de interés romántico que no existía, con el propósito directo de convertir usuarios gratuitos en suscriptores de pago.
La diferencia importa. Y la mayoría de los fundadores la están perdiendo.
Si tu startup de citas genera una notificación que dice "tienes un match" cuando tienes un match — no tienes un problema de FTC. Si tu startup genera una notificación que dice "alguien te envió un mensaje" cuando alguien te envió un mensaje — no tienes un problema de FTC. Si tu startup genera una notificación que dice "alguien mostró interés en ti" cuando la cuenta que "mostró interés" fue flaggeada por tu propio sistema como spam o fraude, y tú lo sabes, y mandas la notificación de todas formas porque convierte bien — ahí sí tienes un problema de FTC.
La distinción es entre prácticas engañosas de conversión y prácticas de recolección de datos. Son problemas diferentes, con marcos regulatorios diferentes, y con soluciones diferentes.
Pensemos en la progresión real del enforcement. Antes de 2020, el grueso de las acciones FTC en el sector dating se centraban en spam y violaciones de CAN-SPAM — un enforcement relativamente estrecho. Después de 2020, el foco migró a dark patterns en flujos de suscripción y notificaciones engañosas de engagement. Delta en alcance técnico de lo que la FTC persigue: significativo. Delta en quién está realmente en riesgo: mínimo. El perfil del target de enforcement sigue siendo el mismo: plataformas que fabrican engagement artificialmente, no plataformas que simplemente recolectan datos sensibles con consentimiento deficiente. El enforcement creció en profundidad contra un tipo específico de práctica. No se amplió en categoría.
El problema con la narrativa del pánico es que trata la acción contra OkCupid como precedente universal cuando en realidad es precedente específico. Y cuando tratas un precedente específico como universal, terminas gastando recursos de compliance en problemas que no tienes, mientras ignoras los que sí tienes.
La Regla Que Uso En Su Lugar
En lugar de "la FTC viene por todos, prepárate para todo," la regla operativa es más simple y más útil. Tres niveles de riesgo. Tres respuestas diferentes.
Nivel 1 — engagement fabricado. Si tu producto genera notificaciones, matches, o señales de interés usando datos que tu propio sistema sabe que son falsos o fraudulentos, tienes un riesgo regulatorio alto. La solución no es un compliance audit ni una política de privacidad mejor redactada. Es dejar de fabricar engagement. Ningún aviso de privacidad, por bien escrito que esté, te protege si tu producto envía notificaciones diseñadas para crear la ilusión de interés cuando tu sistema sabe que ese interés no es genuino. Esto es lo que le pasó a Match Group y es exactamente el tipo de práctica que la FTC ha demostrado que persigue con recursos reales.
Nivel 2 — recolección sin transparencia adecuada. Si recolectas datos sensibles pero tu política de privacidad no explica en lenguaje legible — no en legalese de 8.000 palabras — qué datos recolectas, con quién los compartes, y por qué, ese es tu punto de vulnerabilidad real. El problema no es la recolección en sí. Es la falta de transparencia sobre el destino de los datos. Si compartís orientación sexual con redes publicitarias — como documentó el Norwegian Consumer Council sobre OkCupid — y tu aviso de privacidad no lo dice explícitamente, ahí está tu riesgo. Este nivel se resuelve con trabajo legal específico, no con pánico existencial.
Nivel 3 — recolección con consentimiento informado real. Tu riesgo no es cero, pero es manejable con prácticas estándar: políticas de retención de datos razonables, controles de acceso internos, y un proceso real de respuesta a solicitudes de eliminación. La mayoría de startups que conozco tienen problemas del segundo nivel pretendiendo que tienen problemas del primero. Y los fundadores que más comparten artículos sobre la FTC en LinkedIn frecuentemente son los que menos han leído su propia política de privacidad.
Cuando El Pánico Sí Tiene Sentido
Mi regla de tres niveles no es universal, y sería deshonesto pretender que lo es.
Si tu startup maneja datos de menores de edad — y varias apps de citas operan en una zona gris porque verifican edad por autodeclaración — el cálculo regulatorio cambia completamente. COPPA en Estados Unidos y sus equivalentes en otros mercados tratan los datos de menores con un estándar diferente, y la tolerancia de la FTC en esta categoría es cercana a cero.
Si operas simultáneamente en mercados con marcos regulatorios divergentes — usuarios en México, España y Estados Unidos, por ejemplo — la complejidad de compliance se multiplica de forma no lineal. Lo que es perfectamente legal bajo la normativa mexicana puede violar el GDPR europeo, y lo que cumple GDPR puede no satisfacer las interpretaciones recientes de la FTC.
Si tu modelo de negocio depende estructuralmente de la monetización de datos personales con terceros — no como complemento, sino como ingreso primario — entonces sí, la tendencia regulatoria global debería preocuparte, porque el enforcement se mueve en una dirección clara contra ese modelo.
Este artículo no cubre las implicaciones de multas regulatorias en diferentes jurisdicciones fiscales — cada una tiene tratamiento contable propio. No cubre la intersección entre regulación de privacidad y leyes antimonopolio que aplican a Match Group como conglomerado dominante del sector. Y no cubre el marco regulatorio específico de cada país latinoamericano, que varía lo suficiente como para requerir análisis dedicado por mercado.