OSINT y RGPD: cómo investigar dentro de la ley

«Es público» es una justificación habitual en OSINT, y engañosa. El Reglamento General de Protección de Datos (RGPD) se aplica a los datos personales sean o no accesibles en internet. Que puedas ver un dato no significa que puedas recogerlo, combinarlo y guardarlo para cualquier fin.

Este artículo repasa los principios del RGPD que más pesan en una investigación con fuentes abiertas y cómo aplicarlos en la práctica.

Aviso: este artículo es divulgativo y no constituye asesoramiento jurídico. Cada caso depende de quién investiga, con qué finalidad y en qué país. Consulta con un abogado o con tu delegado de protección de datos.

Lo público también es un dato personal

Para el RGPD, dato personal es toda información sobre una persona identificada o identificable. Un alias, una foto, una dirección de correo o un cargo en una sociedad lo son si llevan a alguien concreto.

Y tratar no es solo publicar: recoger, consultar, combinar, guardar o borrar también son tratamientos. En OSINT esto importa por una razón: al cruzar fuentes públicas se crea información nueva, un perfil que no existía en ningún sitio. Cada dato suelto puede ser inocuo; reunidos, pueden no serlo.

La excepción doméstica del RGPD cubre las actividades puramente personales. Una investigación profesional, por encargo o dentro de una empresa, no entra en ella.

Una base jurídica para cada tratamiento

El artículo 6 del RGPD enumera seis bases jurídicas. En OSINT, las habituales son tres:

• Interés legítimo. Es la más frecuente en el sector privado, y los considerandos del RGPD citan la prevención del fraude y la seguridad de las redes como ejemplos. Exige una prueba en tres pasos: que el interés sea legítimo, que el tratamiento sea necesario para lograrlo y que no prevalezcan los derechos de la persona investigada, teniendo en cuenta lo que razonablemente puede esperar. Esa ponderación debe quedar por escrito.
• Obligación legal. Por ejemplo, la diligencia debida que la Ley 10/2010 de prevención del blanqueo impone a los sujetos obligados.
• Misión de interés público o ejercicio de poderes públicos, en el caso de las administraciones.

El consentimiento rara vez encaja en una investigación. Y el periodismo tiene un régimen propio: el artículo 85 del RGPD obliga a los Estados a conciliar la protección de datos con la libertad de expresión e información.

Limitación de la finalidad

Los datos se recogen con fines determinados, explícitos y legítimos, y no se reutilizan para otros incompatibles. En la práctica:

• Define la finalidad antes de empezar y escríbela. «Verificar la identidad del administrador de un proveedor antes de firmar» es una finalidad; «investigar a Fulano» no lo es.
• Si la investigación deriva hacia otra cosa, para y valora si la nueva finalidad está cubierta.
• No reutilices lo que encontraste en un caso para otro distinto.

Pandora pide la finalidad antes de investigar y la guarda en el registro de auditoría junto a cada consulta.

Minimización

Los datos deben ser adecuados, pertinentes y limitados a lo necesario. Es el principio que más choca con la inercia del OSINT, que tiende a recogerlo todo «por si acaso».

• Elige las fuentes que responden a tu pregunta, no todas las disponibles.
• Descarta lo que no sirve: homónimos, terceros que aparecen de rebote, datos irrelevantes.
• Fija un plazo de conservación y borra al cerrar el caso.

Los terceros merecen atención aparte. Familiares, compañeros o amigos aparecen a menudo en una investigación, y que estén en el grafo no significa que debas seguir tirando de su hilo.

Exactitud

Los datos deben ser exactos. En OSINT, el riesgo no es tanto el dato erróneo como la atribución errónea: unir a dos personas distintas por un alias o un nombre común. Corrobora con fuentes independientes, registra el nivel de confianza de cada conclusión y corrige cuando aparezca información nueva.

Categorías especiales y datos penales

El artículo 9 prohíbe, salvo excepciones, tratar datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como datos genéticos, datos biométricos que identifiquen a una persona, datos de salud y datos sobre la vida o la orientación sexual. El artículo 10 limita además el tratamiento de datos sobre condenas e infracciones penales.

En OSINT, el riesgo suele venir de la inferencia: una cuenta en una web de citas, en un foro de salud o en una comunidad religiosa revela una categoría especial aunque nadie lo haya escrito.

Por eso Pandora deja fuera los sitios de contenido adulto, citas, salud, religión y política, no usa reconocimiento facial y no consulta los buscadores de logs de infostealers.

Transparencia y derechos

Cuando los datos no se obtienen del propio interesado, el artículo 14 obliga, en principio, a informarle. Hay excepciones, como que informar sea imposible, exija un esfuerzo desproporcionado o pueda frustrar los objetivos del tratamiento, pero hay que valorarlas, documentarlas y adoptar medidas para proteger los derechos de la persona.

Además, la persona investigada conserva sus derechos de acceso, rectificación, supresión y oposición. Para poder atenderlos, tienes que saber qué datos tienes y de quién.

Evaluación de impacto

El artículo 35 exige una evaluación de impacto cuando un tratamiento entraña un alto riesgo, y las autoridades publican listas de tratamientos que la requieren. La de la Agencia Española de Protección de Datos (AEPD) incluye, entre otros, los que combinan o enlazan bases de datos con finalidades distintas o de responsables distintos, los que observan o monitorizan a personas de forma sistemática y los que tratan categorías especiales. Como regla general, cumplir dos o más criterios exige evaluación de impacto. Una práctica profesional de OSINT sobre personas puede caer de lleno ahí.

Registro de auditoría y responsabilidad proactiva

El RGPD no solo pide cumplir: pide poder demostrarlo. En una investigación, eso significa poder responder a qué se consultó, cuándo, por quién, con qué finalidad y qué se obtuvo.

En Pandora, cada caso lleva su finalidad, cada consulta queda en el registro de auditoría (fecha, caso, finalidad, transform, entidad y número de resultados) y cada dato conserva el transform y la fuente que lo dieron. El caso se exporta para incorporarlo al expediente.

A eso se suman las medidas de seguridad de siempre: acceso restringido, cifrado y borrado al final del plazo.

La perspectiva de la AEPD

La AEPD es la autoridad de control en España. Atiende reclamaciones, investiga y sanciona; las multas del RGPD pueden llegar a 20 millones de euros o al 4 % del volumen de negocio anual mundial, si esta cifra es mayor. Para la AEPD, como para el resto de autoridades europeas, el punto de partida es el RGPD, que en España completa la Ley Orgánica 3/2018 de protección de datos y garantía de los derechos digitales (LOPDGDD).

Dos ideas de ese marco son útiles para quien investiga:

• Las presunciones son estrechas. La LOPDGDD presume el interés legítimo para tratar los datos de contacto profesionales de quien trabaja en una empresa, pero solo para mantener relaciones con esa empresa. No es una licencia para investigar a sus empleados.
• La documentación cuenta. La AEPD ha publicado guías sobre gestión del riesgo y evaluación de impacto, además de la lista de tratamientos que la requieren. Seguir esos materiales y dejar rastro de las decisiones es lo que permite demostrar el cumplimiento si llega una reclamación.

Lista de comprobación antes de empezar

• La finalidad está escrita y es concreta.
• Sabes qué base jurídica aplicas y, si es el interés legítimo, has hecho la ponderación.
• Las fuentes se limitan a la pregunta.
• No tratas categorías especiales ni secretos, como contraseñas.
• Hay un plazo de conservación.
• Sabes quién accede a los datos.
• Puedes atender una solicitud de acceso o de supresión.
• El registro de auditoría está activo.

Aviso final

Este artículo es divulgativo y no es asesoramiento jurídico. La normativa y su interpretación cambian, y cada caso tiene matices. Ante cualquier duda, consulta con un profesional del derecho o con tu delegado de protección de datos.