Un bufete de abogados estadounidense ha presentado una demanda colectiva en la que alega que la infraestructura de seguimiento y publicidad del sitio web de Lenovo permitió transferencias "masivas" de identificadores sensibles y datos de navegación de ciudadanos estadounidenses a entidades vinculadas con China, violando así las normas del Programa de Seguridad de Datos del Departamento de Justicia. La demanda, presentada por el Almeida Law Group en nombre de un residente de San Francisco.

Un bufete de abogados estadounidense ha presentado una demanda colectiva propuesta en la que alega que la infraestructura de seguimiento y publicidad del sitio web de Lenovo permitió transferencias "masivas" de identificadores sensibles y datos de navegación de estadounidenses a entidades vinculadas a China, violando las normas del Programa de Seguridad de Datos del Departamento de Justicia. La demanda, presentada por Almeida Law Group en nombre del residente de San Francisco Spencer Christy, enmarca la conducta alegada como un daño a la privacidad y un riesgo para la seguridad nacional según la Regla de Transferencia Masiva de Datos Sensibles del DOJ (28 C.F.R. Parte 202). La demanda fue presentada en el Tribunal de Distrito de EE. UU. para el Distrito Norte de California (División de San Francisco) contra Lenovo United States Inc. y busca proceder en nombre de una clase nacional de usuarios estadounidenses cuyas comunicaciones electrónicas con el sitio web de Lenovo fueron presuntamente interceptadas y utilizadas a partir del 8 de abril de 2025. 

 Según la presentación, el DOJ implementó el "Programa de Seguridad de Datos" en abril de 2025, codificado en 28 C.F.R. Parte 202, para restringir o prohibir transacciones de datos cubiertas que proporcionen a países de preocupación o "personas cubiertas" vinculadas a ellos acceso a datos personales sensibles masivos de estadounidenses. La demanda enumera como "países de preocupación" a China, Cuba, Irán, Corea del Norte, Rusia y Venezuela, y señala que la regla se centra en evitar que adversarios adquieran grandes cantidades de datos de comportamiento que podrían usarse para vigilancia o explotación. 

En el centro del caso están las alegaciones de que Lenovo incorporó numerosas tecnologías de seguimiento en Lenovo.com, como píxeles, scripts, cookies y componentes de pujas en tiempo real que recopilan identificadores persistentes (incluyendo direcciones IP, IDs de publicidad y datos de cookies) junto con "URLs completas" que revelan las páginas y productos visitados. La presentación afirma que Lenovo integró seguimiento de importantes proveedores de tecnología publicitaria y análisis (incluyendo TikTok, Meta/Facebook, Microsoft, Google, Adobe, Index Exchange, Snap y otros) y que estos componentes facilitaron la recopilación a gran escala. 

El demandante alega que Lenovo recopiló o mantuvo datos relacionados con más de 100.000 personas estadounidenses, cumpliendo con el umbral de "masivo" de la regulación para identificadores personales cubiertos, y luego transmitió o hizo accesibles esos datos a "personas cubiertas", incluyendo entidades del Grupo Lenovo vinculadas a China. La demanda argumenta además que Lenovo es una "persona estadounidense" según la regla, mientras que el Grupo Lenovo califica como "persona cubierta" debido a su nexo organizativo y/o operativo con un país de preocupación, por lo que ciertas transferencias estarían prohibidas o restringidas a menos que se cumplieran requisitos de seguridad específicos. También cita la declaración de privacidad de Lenovo, que reconoce transferencias de información personal dentro del Grupo Lenovo y a la República Popular China, y afirma que las cláusulas contractuales por sí solas no satisfarían los controles requeridos por la regla del DOJ para transacciones restringidas. 

Aunque las alegaciones no están probadas y serán impugnadas, el caso destaca cómo los flujos de datos estándar de tecnología publicitaria, los identificadores persistentes y el contexto a nivel de URL pueden enmarcarse como "datos personales sensibles masivos" cuando se agregan y vinculan a personas cubiertas en países de preocupación.

 La demanda conecta explícitamente estas transferencias alegadas con el marco de implementación de la Orden Ejecutiva 14117, argumentando que el acceso transfronterizo a datos de comportamiento puede permitir la elaboración de perfiles de individuos en roles sensibles y aumentar el riesgo de coerción o chantaje. 

Más allá de la teoría de la regla del DOJ, la demanda también afirma reclamaciones de privacidad federales y de California, incluyendo presuntas violaciones de la Ley de Privacidad de las Comunicaciones Electrónicas (ECPA) y estatutos de privacidad de California, basadas en la interceptación y uso/divulgación de comunicaciones web sin consentimiento válido. 

Fuentes:
https://cybersecuritynews.com/us-law-firm-accuses-lenovo/