Derecho de Internet

El pasado día 27 de febrero publiqué en estas páginas y en Kriptópolis , el artículo titulado ¿Continente o contenido?, en relación con el robo de ordenadores en algunos ayuntamientos de la Comunidad de Madrid.

Pues parece que la única consecuencia positiva de estos hechos, si es que puede haber alguna, ha sido el incremento de la presencia de la Guardia Civil en los municipios de la Sierra Norte de Madrid. Medida que puede ser poco efectiva, puesto que los últimos robos se han producido en municipios que no se encuentran en este entorno geográfico, como Zarzalejo, Alalpardo y Villaconejos.

Pero lo más grave es que nadie es capaz de escarmentar en cabeza ajena y poner medios para evitar esta ya escandalosa situación, que no sean pedir más presencia policial...

Según puedo leer en varios artículos de prensa recientes parece que se confirma que los asaltantes, lejos de buscar los ordenadores, lo que buscan realmente es la información que contienen. De hecho, en Villaconejos también han desaparecido documentos y expedientes de la Casa Consistorial. ¿Para qué quieren esa información los asaltantes? ¿Qué consecuencias tendrá para los vecinos afectados?. Parece ser que cualquier información les parece buena a estos ladrones, puesto que han llegado a asaltar un Centro de Salud y se han llevado dos ordenadores con información de los pacientes.

Pero no deja de ser especialmente grave que viendo las barbas de otros municipios rasurar, los ahora afectados no hubieran puesto las suyas a remojar, manteniendo sus datos a buen recaudo y lejos de las manos ajenas. Las copias de seguridad, aunque garantizan la continuidad de la gestión administrativa, no garantizan la privacidad de los vecinos. Algo que parecía que no estaba muy clara para algunos de los primeros ediles afectados, que se alegraban de disponer de copias de seguridad actualizadas y no daban importancia al robo de los datos, centrándose solamente en el quebranto económico de los ordenadores desaparecidos. En algunos casos, en vez de proteger los valiosos datos, se “protegieron” los ordenadores mediante pintura plástica, con la intención de dificultar una posible venta posterior, medida que como cabía esperar, no tuvo ningún éxito.

Según manifiesta el Alcalde de Villaconejos, el socialista Lope Benavente de Blas, en la publicación semanal "Información al Día": Era curioso, por ejemplo, que un archivador estuviese descerrajado, y después añade Parece que han estado buscando documentos e informes específicos, ya que hay muchas carpetas esparcidas por el suelo y no me gustaba la sensación que daba..

Aunque parece que hay algo de sensibilidad ante el problema por parte del Ayuntamiento de Villaconejos, es una pena que no se tomasen medidas para evitarlo en su momento. Con ello, el Sr. Alcalde se lamenta amargamente: Como la Comunidad de Madrid no ataje este tipo de hechos habrá un problema serio, los ordenadores se pueden reponer ¿pero qué pasa con esta información?, hoy por hoy, toda la información relativa a los vecinos de Villaconejos está en manos de los ladrones. Quizás es un poco tarde para darse cuenta de la gravedad de la situación y del quebranto para los vecinos.

Como he dicho antes, aunque todos nos podemos imaginar la gran cantidad de información que obra en un ayuntamiento sobre los vecinos del pueblo sería necesario definir con precisión la información que ha sido robada, para poder evaluar los posibles riesgos y consecuencias para los vecinos. Pero desde nombres y DNI, pasando por números de cuenta y propiedades radicadas en el municipio, podemos pensar en datos de todo tipo y además actualizados. ¿Quién los puede querer y necesitar?. Pues desde mafias internacionales dedicadas al tráfico de personas, a estafadores, extorsionadores y secuestradores, todo cabe, con preocupantes consecuencias y connotaciones en cualquier caso. Más preocupante es que parece que son profesionales y con conocimientos técnicos, a la vista de la forma en la que eliminan los teléfonos y alarmas a la hora de cometer sus fechorías.

Preocupado con la situación, con fecha 26 de Febrero, puse en conocimiento de la APD la posibilidad de que lo que se buscase realmente no fueran sistemas informáticos, sino los datos de los vecinos. Para ello, envié un correo con firma de la FNMT que contenía un escrito casi igual al artículo publicado en estas páginas y en Kriptopolis. Posteriormente, el día 04 de marzo, y tras confirmarse por varios medios de comunicación mis sospechas iniciales, hice lo mismo con la APD de la Comunidad de Madrid. Hasta la fecha, solamente me ha contestado la APD de la Comunidad de Madrid y lo ha hecho en los siguientes términos:

En contestación al escrito recibido en esta Agencia de Protección de Datos de la Comunidad de Madrid, con fecha 4 de marzo del corriente se le indica lo siguiente:

La substracción de material informático en diferentes Ayuntamientos pertenecientes a la Comunidad de Madrid no conlleva, por el momento, vulneración alguna a la normativa vigente sobre protección de datos de carácter personal.

Asunto diferente será que se compruebe, por parte de la Agencia, si se tenían establecidas las medidas de seguridad contempladas en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal. Actividad que, por otro lado, ya se venía realizando sin que este reciente acontecimiento sea el desencadenante de esta función de control.

Yo no pongo en duda de que se cumpla con la legislación en los ayuntamientos afectados, pero puede que esa legislación no establezca cautelas y medidas suficientes para estos casos. Incluso cabe pensar que no estuvieran declaradas y por lo tanto protegidas y controladas todas las bases de datos afectadas por los robos.

Si vemos lo que dice el Real Decreto 994/1999, podemos ver carencias graves para el caso que nos ocupa, ya que no se contemplan medidas encaminadas a proteger los datos ante incidencias como el robo en dependencias municipales.

En el RD, que considero muy pobre para los fines que en teoría debería perseguir, solamente se habla del cifrado de datos para el tránsito y distribución de soportes, aplicable a ficheros de alta seguridad y de medidas de control de acceso, que se aplican de forma casi exclusiva al personal legitimado para acceder.

Desgraciadamente en el RD, poco se habla de la seguridad física del local, u otras medidas orientadas a evitar el robo, o el acceso por la fuerza a los datos, como es el caso que nos ocupa. Se habla de copias de seguridad y de su custodia, pero no dice nada o casi nada lo que se queda en los ordenadores. Para los lectores de Kritópolis unas preguntas simples: ¿Son suficientes estas medidas? ¿Ante qué circunstancias protegen los datos? ¿Habría que mejorarlas?.

La triste realidad es que el bien jurídico protegido hasta en la Constitución, (en este caso, la intimidad de los vecinos) está siendo atacado una y otra vez y parece que la única solución es cazar a los culpables, sin que nadie tome otra acción activa o pasiva. Que no nos quepa la menor duda: este hecho tendrá consecuencias y aunque no las podamos determinar en este momento con precisión, pueden llegar a ser muy graves para los vecinos. Sería necesario por lo tanto, que la Ley de Protección de Datos tuviera previstos estos casos y evitase de forma efectiva situaciones como la que nos ocupa.

El caso es que algo falla en la Ley cuando se ataca de forma sistemática algo que se considera un bien jurídico protegido hasta en la Constitución y parece que no se puede hacer nada para evitarlo y si se puede hacer y no se hace, tampoco hay responsabilidades para nadie.

Está claro que algo tiene que cambiar en esta legislación y pronto, puesto que no sería de recibo, que visto lo visto, desaparecieran datos de otro Ayuntamiento y no se hubieran puesto medios técnicos asequibles, simples y efectivos, como el cifrado en los archivos o el uso de soportes removibles. Creo que si los ayuntamientos no tienen la capacidad necesaria, debería ser la Agencia de Protección de Datos de la Comunidad de Madrid, la que colaborase con ellos, proporcionando medios y formación para lograr estos objetivos en el menor tiempo posible.

¿Son la solución al problema las medidas meramente policiales? Creo que no y el que evita la ocasión evita el peligro, además, en el siglo XXI hay pocas excusas para no hacerlo y menos, en la Administración.

"Copyleft 2006 Fernando Acero Martín. Verbatim copying, translation and distribution of this entire article is permitted in any digital medium, provided this notice is preserved".