El regulador de protección de datos del Reino Unido ha emitido una reprimenda y una notificación de cumplimiento al Servicio de Policía Metropolitana. La reprimenda del ICO a la Policía Metropolitana por Auror se produce tras fallos de privacidad vinculados a Auror, una plataforma utilizada en la denuncia de delitos minoristas. Es una reprensión formal a la mayor fuerza policial del país, y plantea una pregunta que aplica mucho más allá de Londres: ¿qué ocurre con los datos personales una vez que salen de un sistema policial y pasan por una herramienta de terceros?
Este artículo cubre lo que se ha reportado, por qué las plataformas de terceros son un punto débil recurrente, y cómo puedes averiguar qué tienen sobre ti los organismos públicos.
Qué encontró el ICO en el caso de la Met y Auror
Según Infosecurity Magazine, la Oficina del Comisionado de Información (ICO) ha entregado a la Met tanto una reprimenda como una notificación de cumplimiento por fallos de privacidad relacionados con la plataforma Auror. El propio anuncio del ICO describe la acción como relacionada con fallos de gobernanza de la información en la fuerza.
Las dos medidas son diferentes. Una reprimenda es una censura formal que registra las conclusiones del regulador. Una notificación de cumplimiento va más allá: es una instrucción legalmente vinculante que exige a la organización tomar medidas específicas para corregir los problemas. El incumplimiento de una puede llevar a más acciones regulatorias.
El breve resumen disponible hasta ahora no expone todos los detalles de los fallos, y hemos evitado especular sobre ellos. Los lectores que quieran conocer las conclusiones completas deben consultar la reprimenda y la notificación de cumplimiento publicadas por el ICO para conocer las infracciones exactas, las disposiciones legales citadas y los pasos correctivos que la Met debe tomar.
Cómo las plataformas de terceros ponen en riesgo los datos en poder de la policía
La propia publicidad de Auror dice que la plataforma se ha desplegado en todo Londres para ayudar a abordar a los reincidentes y el crimen minorista organizado. Herramientas como esta se sitúan entre organizaciones privadas, como los minoristas, y la policía. Eso es útil para unir informes, pero también crea una cadena de custodia más difícil de controlar.
Cuando los datos personales pasan por un sistema de terceros, varias cosas pueden salir mal:
- Responsabilidad poco clara. Si un minorista, un proveedor y una fuerza policial tocan el mismo registro, puede ser difícil decir quién decide cómo se usa, se comparte o se elimina.
- Acceso más amplio de lo previsto. El personal o los usuarios que no deberían ver cierta información pueden acceder a ella si los permisos están configurados de forma laxa.
- Supervisión débil de los proveedores. Una organización sigue siendo responsable de los datos personales incluso cuando un proveedor los gestiona.
Esto no es exclusivo de la actividad policial. El mismo patrón de datos concentrados y amplia exposición es visible en el hackeo del Biobanco del Reino Unido, donde datos de 500.000 voluntarios se pusieron a la venta. El denominador común es que los datos centralizados solo son tan seguros como la conexión más débil hacia ellos.
Qué significa la notificación de cumplimiento para tus derechos sobre los datos
Las fuerzas policiales procesan datos personales bajo una parte específica de la Ley de Protección de Datos de 2018, que cubre el tratamiento para la aplicación de la ley. Conlleva obligaciones en materia de seguridad, exactitud y limitación de quién puede ver los datos. Una notificación de cumplimiento indica que el regulador cree que esas obligaciones no se cumplieron y quiere cambios verificados, no solo una disculpa.
Para las personas, el significado práctico es doble. Primero, los reguladores sí responsabilizan a los organismos públicos, incluso si el resultado aquí es una reprimenda y una notificación en lugar de una multa. Segundo, no tienes que esperar a que actúe un regulador. Tienes derecho a preguntar qué tiene sobre ti una organización.
El ICO ha estado examinando el manejo de datos policiales en varios frentes. Nuestra cobertura de las auditorías del ICO sobre el reconocimiento facial policial muestra el mismo tema: se están adoptando rápidamente herramientas poderosas, y la supervisión va a la zaga. Para ver lo costosas e inciertas que pueden ser esas herramientas en la práctica, consulta nuestro informe sobre el piloto de reconocimiento facial de la Policía de Transporte Británica.
Cómo presentar una solicitud de acceso del interesado ante un organismo público
Una solicitud de acceso del interesado (SAR, por sus siglas en inglés) es una petición para ver los datos personales que una organización tiene sobre ti. Presentarla es gratuita en la mayoría de los casos y no requiere un abogado.
- Encuentra el contacto correcto. La mayoría de las fuerzas policiales y organismos públicos tienen un equipo de protección de datos o derechos de información. Su sitio web suele incluir un formulario de SAR o una dirección de correo electrónico.
- Sé específico. Di quién eres, incluye prueba de identidad y describe los registros que quieres, como informes, registros de incidentes o correspondencia, con fechas aproximadas.
- Pregunta sobre el intercambio. También puedes preguntar con quién se han compartido tus datos, lo que puede revelar plataformas de terceros involucradas.
- Guarda un registro. Anota la fecha en que enviaste la solicitud. Las organizaciones generalmente tienen un mes para responder, aunque esto puede ampliarse para solicitudes complejas.
- Espera algunos límites. La policía puede retener información si divulgarla perjudicaría una investigación u otros fines policiales. Aun así, deberían decirte si tienen datos cuando puedan.
- Escala si es necesario. Si no recibes respuesta o recibes una insatisfactoria, puedes presentar una queja ante el ICO.
Qué significa esto para ti
La reprimenda del ICO a la Policía Metropolitana por Auror es un recordatorio de que los datos entregados a la policía no se quedan en un solo lugar. Si has denunciado un delito, has sido testigo o has sido nombrado en un informe, tus datos pueden pasar por sistemas gestionados por proveedores externos. La acción del regulador sugiere que las salvaguardas en torno a esos sistemas merecen más atención.
No puedes controlar cómo una fuerza configura sus herramientas, pero sí puedes hacer preguntas y ejercer tus derechos.
Conclusiones clave
- Lee la reprimenda y la notificación de cumplimiento publicadas por el ICO para conocer todos los detalles de los fallos de la Met.
- Recuerda que una reprimenda registra conclusiones, mientras que una notificación de cumplimiento es legalmente vinculante.
- Presenta una solicitud de acceso del interesado a tu fuerza policial local o a cualquier organismo público que sospeches que tiene datos sobre ti, y pregunta con quién se han compartido.
- Guarda copias de tu solicitud y de cualquier respuesta, y presenta una queja ante el ICO si no quedas satisfecho.
- Para un contexto más amplio sobre cómo los reguladores examinan el manejo de datos policiales, lee nuestro artículo sobre las auditorías del ICO sobre el reconocimiento facial policial.
La reprimenda del ICO a la Policía Metropolitana por Auror es un caso, pero el derecho al que apunta está disponible para todos. Una sola solicitud de acceso del interesado es la forma más sencilla de averiguar qué se tiene sobre ti.
