Cuando una argentina decide abrir una cuenta en OnlyFans, la plataforma que muchos conocen como la página azul, uno de los primeros pasos que completa es la verificación de identidad.

Sube una foto de su DNI o pasaporte. Saca una selfie. Graba un breve video mirando a la cámara.

En cuestión de minutos, sus datos biométricos están en servidores de una empresa llamada Shufti Pro, con sede en el Reino Unido, que actúa como proveedor externo de verificación para OnlyFans.

Lo que muy pocas de esas mujeres saben es que, según las propias políticas de Shufti Pro, esos datos biométricos pueden conservarse por tiempo indefinido para prevenir fraudes.

Y que la legislación argentina más relevante en la materia, la Ley 25.326 de Protección de Datos Personales, tiene un alcance limitado cuando los datos se procesan fuera del país.

Ese es el vacío legal. Y en 2026, después de la filtración que puso en jaque la privacidad de millones de usuarios de OnlyFans, dejó de ser una preocupación teórica.

Qué dice la Ley 25.326 y por qué importa

Argentina adoptó la Ley 25.326 en el año 2000, estableciendo uno de los primeros marcos de protección de datos de la región y obteniendo el reconocimiento de adecuación por parte de la Unión Europea.

Es una ley pionera para su época, pero su diseño no contempló el escenario actual: plataformas digitales globales que procesan datos biométricos de ciudadanos argentinos a través de cadenas de proveedores externos radicados en múltiples jurisdicciones.

La ley define con claridad que los datos biométricos son un tipo de dato personal obtenido por medio de un tratamiento técnico específico, relacionado con las características físicas, fisiológicas o de conducta de una persona humana que permiten su identificación única.

Los datos biométricos que identifican a una persona son considerados datos sensibles cuando pueden revelar otros datos cuyo uso pueda provocar discriminación.

Bajo ese marco, el tratamiento de datos biométricos en Argentina requiere consentimiento expreso e informado del titular.

El problema es que el consentimiento que da una creadora argentina al aceptar los términos de uso de OnlyFans se rige por el derecho estadounidense o británico, no por la Ley 25.326.

Y aunque la ley argentina sea aplicable en principio, la capacidad real de ejercer los derechos que reconoce frente a una empresa extranjera es limitada sin un mecanismo de cooperación internacional que no existe de forma efectiva para este tipo de casos.

El caso Shufti Pro: datos sin fecha de vencimiento

El conflicto normativo más concreto aparece cuando se examina qué hace el proveedor de verificación con los datos que recopila.

Para cumplir con leyes contra el lavado de dinero y validar la mayoría de edad, OnlyFans exige un control de identidad estricto que delega en Shufti Pro.

La permanencia de esos registros en manos de terceros abre un conflicto normativo grave: Shufti Pro indica en sus políticas que puede conservar los datos biométricos por tiempo indefinido para prevenir fraudes.

Eso contrasta directamente con los principios de la Ley 25.326, que establece que los datos personales deben ser destruidos cuando hayan dejado de ser necesarios para los fines que motivaron su recopilación.

Una retención indefinida de datos biométricos, la selfie, el video de verificación, la imagen del documento no supera ese estándar bajo el derecho argentino. Pero la entidad que retiene esos datos no es argentina y no está sujeta a la autoridad de aplicación local.

El caso de mayo de 2026 reavivó esa discusión. Se detectó la venta de una base de datos con 340 millones de registros supuestamente relacionados con OnlyFans, incluyendo potencialmente información que podría asociar identidades reales con perfiles en la plataforma.

La investigación posterior indicó que muchas entradas estaban incompletas, pero el evento dejó en evidencia que el riesgo de exposición no es hipotético.

El derecho al olvido y sus límites en la práctica

La Ley 25.326 reconoce el derecho de cualquier persona a solicitar la supresión de sus datos personales cuando su tratamiento no tiene base legítima o cuando los datos ya no son necesarios.

Ese derecho, en teoría, se extiende a los datos que OnlyFans retiene de creadoras que cerraron su cuenta.

En la práctica, cuando una creadora argentina cierra su cuenta de OnlyFans, la plataforma conserva su información personal durante seis meses según sus propias políticas.

Determinadas leyes pueden obligar a la plataforma a conservar información específica durante un máximo de siete años. Y los datos biométricos en poder de Shufti Pro tienen su propia política de retención, independiente de la de OnlyFans.

Solicitar la eliminación efectiva de todos esos datos, los que tiene OnlyFans, los que tiene Shufti Pro, los que circularon hacia otros proveedores de pago, es un ejercicio que requiere

gestiones ante entidades en múltiples jurisdicciones, con distintos marcos legales y distintos plazos de respuesta.

Para la mayoría de las creadoras argentinas, ese proceso es en la práctica inaccesible.

La pregunta que los medios no hicieron

La cobertura mediática argentina del ecosistema OnlyFans en 2026 se concentró en dos ángulos: las creadoras famosas que se suman a la plataforma y los casos de abuso o fraude.

Lo que ninguna nota abordó en profundidad es la pregunta que debería anteceder a cualquier decisión de sumarse: ¿qué implicancias legales tiene, bajo el derecho argentino, entregar datos biométricos a una plataforma extranjera como condición de acceso?

La respuesta honesta es que la Ley 25.326, a pesar de ser una norma avanzada para su época, no está equipada para dar protección efectiva en un escenario de datos transfronterizos gestionados por cadenas de proveedores externos.

El proyecto de reforma de la ley que se discutió en el Congreso en años recientes contempla algunos de esos escenarios, pero todavía no tiene sanción.

Mientras esa actualización legislativa no ocurra, la protección real de las creadoras argentinas no viene de la ley. Viene de la información: saber qué datos entregaron, a quién, bajo qué condiciones y qué pueden hacer, dentro de los límites reales del sistema, para minimizar su exposición.

Qué pueden hacer las creadoras argentinas hoy

Sin esperar una reforma legislativa, hay decisiones concretas que reducen la exposición dentro de lo que el sistema permite.

En Aroa Agency acompañamos a las creadoras no solo en el crecimiento de sus cuentas sino también en el entendimiento de los riesgos que implica operar en plataformas digitales internacionales.

Usar una dirección de correo creada específicamente para OnlyFans, sin ninguna conexión con cuentas personales, limita el daño en caso de filtración. Activar el geobloqueo desde el primer día evita que el perfil sea visible desde Argentina.

No vincular el perfil de la plataforma con cuentas personales en redes sociales reduce el riesgo de que una filtración de datos permita identificar a la persona detrás del alias.

Y antes de cerrar una cuenta, vale la pena hacer una solicitud formal de eliminación de datos tanto a OnlyFans como a los proveedores de verificación que la plataforma lista en su política de privacidad.

El resultado no está garantizado, pero es el mecanismo del que dispone el sistema y ejercerlo deja un registro formal de la solicitud.