El “Yo” Digital: Protegiendo Nuestra Identidad
en el Espacio Digital
Desafíos Legales y Soluciones Innovadoras*

Lcdo. Andrew Mercado Vázquez**

I. Introducción

La pregunta sobre quiénes somos ya no puede responderse exclusivamente desde el plano físico. Desde mediados de la década de 1990, con la proliferación masiva del Internet, nuestras transacciones económicas, relaciones sociales y hasta el ejercicio de nuestros derechos más básicos han migrado, de forma sostenida e irreversible, hacia el espacio digital. Este proceso de digitalización ha generado una consecuencia jurídica sin precedentes: la bifurcación de la existencia humana. Hoy coexistimos en un plano físico y en un plano digital, y ese segundo plano produce, con o sin nuestro consentimiento, una extensión de nuestra identidad que las plataformas tecnológicas llevan tiempo identificando, cuantificando y explotando económicamente.

Este escrito examina la figura jurídica emergente del “yo digital”: su concepto, sus características, el marco normativo vigente a nivel federal y en Puerto Rico, la jurisprudencia reciente que revela las limitaciones del derecho actual, y los argumentos jurídicos que podrían fundamentar su protección. El propósito es abrir una discusión informada sobre dónde se queda corto el derecho y cómo podría adaptarse para proteger una dimensión de la persona que, aunque intangible, tiene efectos concretos y medibles sobre su vida cotidiana.

II. El concepto del yo digital: la bifurcación de nuestra existencia

Los investigadores Simone Belli y Guillermo De Eugenio describieron con precisión este fenómeno al señalar que la vida offline proyecta una sombra digital que toma vida propia y constituye una segunda vida, un cuarto conectado donde el mundo físico y el digital se entremezclan, dando lugar a encuentros que producen y reproducen las relaciones del individuo consigo mismo y con los demás.[1] En ese espacio, el “yo”—o los “yoes”—dejan rastros y huellas en lenguaje binario que crecen y se multiplican independientemente de la voluntad de la persona.[2]

El yo digital puede definirse como la representación virtual de nuestra identidad, integrada por cuatro componentes principales: (1) la representación digital de la identidad, que son los datos, comportamientos y actividades que conforman una versión virtual de nosotros mismos; (2) los datos personales y comportamientos en línea, que incluyen información como el nombre, la dirección, el número de seguro social, el historial de navegación, las compras y las interacciones; (3) las decisiones y preferencias digitales, que son las configuraciones, elecciones y selecciones que reflejan la identidad en el mundo virtual; y (4) la huella digital y el rastro de actividades, que es el conjunto de acciones y evidencias que dejamos a lo largo de nuestras interacciones en línea.

Lo que resulta jurídicamente significativo es la forma en que estas plataformas utilizan esos componentes. Cuando una persona busca un libro en Amazon o escucha música en Spotify, los algoritmos no identifican a la persona como integrante de un grupo demográfico; la identifican a ella particularmente, generando un perfil único y detallado de sus preferencias, patrones de consumo y disposición conductual. De esta forma, la plataforma termina conociendo a la persona mejor de lo que ella misma se conoce, lo que le permite anticipar sus decisiones y motivarlas hacia comportamientos determinados. Esto es precisamente lo que las empresas han denominado el “excedente conductual”, noción central en la crítica del capitalismo de vigilancia.

III. Características del mundo digital y sus implicaciones jurídicas

El mundo digital presenta características únicas que determinan los desafíos normativos que enfrenta el derecho. En primer lugar, las interacciones en línea son prácticamente ilimitadas y persistentes: las plataformas retienen la información que nos define y nos asigna una identidad incluso después de que el usuario desactive su cuenta. En segundo lugar, los datos son almacenados y procesados de forma continua: cada acción, búsqueda y transacción genera información que se asigna al usuario como individuo. En tercer lugar, existen vacíos legales y regulatorios significativos: la tecnología avanza a un ritmo que el derecho no puede igualar, y las lagunas legales resultantes amenazan con convertirse en océanos de desregulación. En cuarto lugar, la información digital es dinámica: puede ser manipulada, alterada o eliminada, lo que plantea desafíos serios para su preservación y validación.

Esta última característica es especialmente relevante si aceptamos que el yo digital está compuesto por datos que pueden ser alterados o manipulados. La tecnología blockchain ofrece una alternativa técnica prometedora para mitigar este riesgo, dada su característica de inmutabilidad: resulta prácticamente inviable alterar el contenido de un sistema blockchain una vez registrado. Esta posibilidad no es exclusivamente una solución tecnológica; podría ser también el fundamento de un régimen jurídico de protección de la identidad digital.

IV. Marco normativo federal: CFAA y ECPA

A nivel federal, dos estatutos abordan parcialmente la protección de la identidad digital: la Computer Fraud and Abuse Act (CFAA) y la Electronic Communications Privacy Act (ECPA).

La CFAA, codificada en 18 U.S.C. § 1030,[3] fue promulgada en 1986 en respuesta a una serie de hackeos que pusieron de manifiesto que los estatutos tradicionales sobre robo y allanamiento eran inadecuados para atender los ciberdelitos. La ley impone responsabilidad penal y civil a quienes obtengan información de sistemas informáticos accediendo a ellos sin autorización o excediendo el acceso autorizado. Sin embargo, su alcance se limita al dispositivo: protege la computadora como objeto físico, pero no la identidad digital que reside en ella. Esta distinción es importante porque la CFAA no puede utilizarse para impugnar la recopilación consentida—aunque sea mediante términos y condiciones incomprensibles—de datos personales por parte de las plataformas.

La ECPA,[4] por su parte, actualizó la ley federal de intercepción de comunicaciones de 1968, que solo protegía conversaciones telefónicas por cable, para extender su alcance a las comunicaciones electrónicas y digitales. La ECPA regula la intercepción, el acceso y la divulgación de correos electrónicos y mensajes, y limita la capacidad de los proveedores de servicios para revelar el contenido de las comunicaciones de sus usuarios. En conjunto, la CFAA protege el acceso al dispositivo y la ECPA impide que terceros intercepten las comunicaciones en tránsito. Sin embargo, ninguna de las dos leyes fue diseñada para atender el fenómeno del yo digital como una extensión jurídicamente protegida de la persona, lo que evidencia la necesidad de un marco normativo más robusto.

V. Marco jurídico de Puerto Rico

En el ámbito local, tres leyes constituyen el andamiaje normativo sobre la protección de datos en Puerto Rico. La primera es la Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información, Ley Núm. 111-2005,[5] que impone a toda entidad pública o privada que posea bancos de datos con información personal de residentes de Puerto Rico la obligación de notificar al ciudadano ante cualquier violación de seguridad dentro de un plazo de veinticuatro horas. Esta ley también mandata la adopción de medidas técnicas y organizativas para salvaguardar los datos personales, y prevé sanciones económicas para las entidades incumplidoras.

La segunda es la Ley para Prohibir que se Recopile Información Personal de un Consumidor al Momento de Realizar una Compra como Requisito para Culminar la Transacción Comercial, Ley Núm. 38-2016,[6] cuya simple lectura del título revela su propósito: prohibir que los establecimientos comerciales exijan al consumidor datos personales—como número de seguro social, dirección o teléfono—como condición para completar una compra, salvo cuando el consumidor los provea voluntariamente o cuando sean necesarios para efectuar una entrega. Su fiscalización recae en el Departamento de Asuntos del Consumidor (DACO), con facultad para imponer multas administrativas.

La tercera es la Ley de Ciberseguridad del Estado Libre Asociado de Puerto Rico, Ley Núm. 40-2024,[7] la más reciente y la única que aborda específicamente la seguridad del sector gubernamental. Esta ley establece un marco legal para proteger los sistemas y datos gubernamentales, crea el cargo de Principal Oficial de Seguridad Cibernética bajo la Oficina de Puerto Rico Innovation and Technology Service (PRITS), prohíbe expresamente el pago de rescates en casos de ataques de ransomware, e impone a las agencias y contratistas la obligación de reportar incidentes cibernéticos dentro de las cuarenta y ocho horas iniciales. Además, contempla la posibilidad de inhabilitación contractual por cinco años para proveedores negligentes, lo que introduce un mecanismo de desincentivo significativo.

Un diagnóstico honesto de estas tres leyes revela que todas comparten una limitación común: las dos primeras abordan el asunto exclusivamente desde una perspectiva de consumidor, y la tercera desde la protección del Estado. Ninguna de ellas le atribuye valor jurídico a la identidad digital como tal, ni reconoce al yo digital como una extensión de la persona titular de derechos automáticos. Esta es la brecha central que el derecho puertorriqueño aún no ha atendido.

VI. Jones v. Bloomingdales.com, LLC: el límite del derecho actual

El caso Jones v. Bloomingdales.com, LLC,[8] decidido por el Tribunal de Apelaciones del Octavo Circuito el 24 de diciembre de 2024, ilustra con claridad los límites del andamiaje jurídico vigente para proteger el yo digital. La demandante, Anne Jones, presentó demandas contra Bloomingdale’s y Papa John’s alegando que sus sitios web utilizaban tecnología de session replay para grabar toda su interacción con las páginas web—incluyendo cada movimiento del cursor, cada clic, el tiempo de permanencia en cada sección, y la manera de navegar—sin su conocimiento ni consentimiento. Sostuvo que ello constituía una violación de su privacidad bajo la ECPA, entre otras leyes federales.

El tribunal de distrito desestimó ambas demandas por ausencia de jurisdicción. El Octavo Circuito consolidó los casos y confirmó las desestimaciones, concluyendo que Jones carecía de legitimación activa bajo el Artículo III de la Constitución federal porque no allegó de manera plausible haber sufrido una lesión concreta. El tribunal puntualizó que las alegaciones de Jones no sugerían que la tecnología hubiera capturado información sensible o privada, como números de seguro social, historiales médicos o detalles financieros.[9]

De particular interés es el argumento comparativo utilizado por el Tribunal: igualar la observación por session replay en un sitio web a la vigilancia de una cámara de seguridad en una tienda física, donde, a juicio del Tribunal, el cliente no tiene una expectativa razonable de privacidad respecto a sus movimientos generales. Este razonamiento, sin embargo, pierde de vista una distinción fundamental: la cámara de seguridad en una tienda física tiene como propósito principal documentar actos delictivos; el session replay en un sitio web tiene como propósito principal estudiar al individuo para identificar su yo digital, mercadear productos específicamente dirigidos a él y maximizar el valor económico extraíble de su comportamiento. El objeto de observación y el fin de esa observación son radicalmente distintos.

La decisión revela que el derecho actual no reconoce el valor jurídico del comportamiento de navegación como componente de la identidad digital. Sin esa conceptualización, los tribunales no pueden encontrar la lesión concreta que requiere la legitimación activa y los demandantes se quedan sin remedio. La solución a esta laguna no puede provenir únicamente de la interpretación judicial; requiere desarrollo legislativo.

VII. El precio de entrada a las plataformas digitales: fundamentos para una protección jurídica del yo digital

El análisis precedente lleva a una pregunta inevitable: ¿cuál es el precio de entrada a las plataformas digitales? Dos líneas argumentales sugieren que ese precio no puede ser la explotación económica irrestricta del yo digital.

La primera línea argumental se fundamenta en la doctrina de los foros públicos y el precedente de Puerto Rico en Empresas Puertorriqueñas de Desarrollo, Inc. v. Hermandad Independiente de Empleados Telefónicos.[10] En ese caso, el Tribunal Supremo de Puerto Rico reconoció que un centro comercial que sustituye funcionalmente a una plaza pública no puede prohibir de forma absoluta el ejercicio de la libertad de expresión, pese a ser propiedad privada. La lógica subyacente es que cuando un espacio privado asume las funciones de un foro público tradicional, el derecho constitucional a la libre expresión debe tener cabida en él. Las plataformas digitales han sustituido a los foros públicos tradicionales como espacio de expresión, debate y organización cívica. Si se adopta esta lógica, el yo digital—como vehículo del ejercicio de la libertad de expresión—tendría derecho a acceder a esas plataformas sin que el precio de entrada sea la renuncia total a su privacidad e identidad.

La segunda línea argumental descansa en la doctrina del enriquecimiento injusto. Autores como Shoshana Zuboff[11] y Yanis Varoufakis[12] han documentado cómo las plataformas digitales extraen valor masivo del comportamiento de sus usuarios, a quienes mantienen como usuarios cautivos mediante algoritmos diseñados para maximizar el tiempo de permanencia en la plataforma. Zuboff llama a esto el “excedente conductual”; Varoufakis lo describe bajo el concepto de “renta de nube” como mecanismo de extracción explotativa en un sistema que recuerda al feudalismo: el dueño de la plataforma se apropia de los frutos del trabajo del usuario, quien labora en su tierra digital sin compensación. Si el comportamiento del usuario genera valor económico para la plataforma, hay base para argumentar que ese usuario tiene derecho a participar de ese valor o, al menos, a que su yo digital no sea explotado sin su consentimiento informado y genuino.

Ambas líneas argumentales convergen en la misma conclusión: el precio de entrada a las plataformas digitales no puede ser la explotación económica de nuestra identidad digital, de la misma manera que el precio de entrada a un centro comercial que sustituye una plaza pública no puede ser la renuncia a la libertad de expresión.

VIII. Hacia la protección del yo digital: soluciones jurídicas y educativas

Proteger el yo digital requiere una estrategia que opere simultáneamente en tres dimensiones. En primer lugar, es necesario reconocer jurídicamente que la identidad virtual refleja quiénes somos y nuestras actividades en el mundo digital, y que esa representación es susceptible de usos indebidos y manipulaciones algorítmicas que el derecho debe atender. Este reconocimiento implica, entre otras cosas, que la navegación en Internet como comportamiento capturado por herramientas de session replay debe ser tratada como parte de la esfera privada del individuo, no como un espacio público asimilable a la visita a una tienda física.

En segundo lugar, son necesarias soluciones legales innovadoras: marcos normativos adaptados a las características únicas del entorno digital que garanticen la protección de los derechos de los individuos. El modelo europeo ofrece orientación: el Reglamento General de Protección de Datos (GDPR) reconoce un conjunto de derechos sobre los datos personales, incluyendo el derecho al olvido, que equivale a la posibilidad de ser eliminado del universo digital de una plataforma. Estos derechos no tienen equivalente sustancial a nivel federal en los Estados Unidos. Puerto Rico, que ocupa una posición constitucional peculiar, podría ser un laboratorio jurídico para el desarrollo de un régimen de protección de la identidad digital más robusto.

En tercer lugar, la educación y la concientización son fundamentales. La paradoja del consentimiento—el hecho de que las plataformas presenten términos y condiciones diseñados para ser incomprensibles, que luego invocan como autorización de sus prácticas de recopilación de datos—solo puede romperse si las personas comprenden el alcance real de lo que están concediendo. Un consentimiento genuinamente informado requiere usuarios que comprendan qué es el yo digital, cómo se construye y qué valor tiene. Fomentar ese conocimiento es tan urgente como desarrollar el marco normativo que lo proteja.

IX. Conclusión

La exploración de nuevas fronteras jurídicas es la mejor manera de prevenir el anquilosamiento del derecho. El yo digital no es una abstracción académica: es el conjunto de datos, comportamientos y rastros que cada persona genera en su interacción cotidiana con el espacio digital, y que plataformas tecnológicas han valorado y monetizado desde hace décadas mientras el derecho permanecía indiferente a su existencia.

El marco jurídico vigente—tanto federal como en Puerto Rico—fue diseñado para atender problemas distintos: el “hackeo” de computadoras, la intercepción de comunicaciones, la protección del consumidor en transacciones comerciales y la ciberseguridad gubernamental. Ninguno de esos instrumentos fue concebido para reconocer ni proteger la identidad digital como una extensión jurídicamente relevante de la persona. La decisión en Jones v. Bloomingdales.com confirmó esa laguna: sin un reconocimiento legal del valor de la identidad digital, los tribunales no pueden encontrar lesión concreta, y sin lesión, no hay acceso a la justicia.

Las líneas argumentales examinadas—foros públicos digitales, enriquecimiento injusto, excedente conductual y tecnofeudalismo—ofrecen fundamentos jurídicos y teóricos para ese desarrollo normativo. Independientemente de las diferencias de opinión sobre el alcance de esas propuestas, la discusión es necesaria e ineludible. Nuestra existencia ha llegado a un plano distinto al físico; el derecho tiene la responsabilidad de seguirla hasta allí.

* Este artículo se presentó originalmente como curso de educación continua en la Segunda Convención de Tecnología del Colegio de Abogados y Abogadas de Puerto Rico, el 24 de octubre de 2025. Se utilizaron herramientas de inteligencia artificial para asistir en la organización del material en forma de artículo.

** Andrew Mercado Vázquez, es abogado con práctica en Derecho Civil, Propiedad Intelectual y tecnologías emergentes. Es Asesor Jurídico Corporativo y Coordinador de Investigación Jurídica en LegalNature LLC y Abogado Voluntario en Pro Bono, Inc. Actualmente se desempeña como vicepresidente de la Comisión de Tecnología del Colegio de Abogados y Abogadas de Puerto Rico y presidente de la Comisión Especial sobre el Derecho a la Propia Imagen.

[1] Véase Simone Belli y Guillermo De Eugenio, Prácticas emocionales y procesos subjetivadores en la sociedad digital: el caso de los suicidios online, 16 Quaderns De Psicologia 57 (2014).
[2] Id.
[3]Computer Fraud and Abuse Act, 18 U.S.C. § 1030.
[4] Electronic Communications Privacy Act, 18 U.S.C. §§ 2510–2522 (1986).
[5] Ley de Información al Ciudadano sobre la Seguridad de Bancos de Información, Ley Núm. 111-2005, 10 LPRA §§ 4051-4055.
[6] Ley para Prohibir que se Recopile Información Personal de un Consumidor al Momento de Realizar una Compra como Requisito para Culminar la Transacción Comercial, Ley Núm. 38-2016, 10 LPRA §§ 4231-4236.
[7] Ley de Ciberseguridad del Estado Libre Asociado de Puerto Rico, Ley Núm. 40-2024, 3 LPRA §§ 10121-10135.
[8]Véase Jones v. Bloomingdales.com, LLC, 124 F.4th 535 (8vo Cir. 2024).
[9] Id.
[10] Véase Emp. Pur. Des., Inc. v. H.I.E.Tel., 150 DPR 924 (2000).
[11] Véase Shoshana Zuboff, The Age of Surveillance Capitalism: The Fight for a Human Future at the New Frontier of Power (2019).
[12] Véase Yanis Varoufakis, Technofeudalism: What Killed Capitalism (2024).