Los límites legales del OSINT:

qué puedes investigar y qué no en España

OSINT  |  unfantasmaenelsistema.com

«Es información pública» es la frase que más se repite para justificar cualquier cosa en OSINT, y la que más rápido se cae en cuanto se examina con algo de rigor. Que un dato esté al alcance de cualquiera con un navegador no significa que tratarlo, cruzarlo con otros datos y sacar conclusiones sobre una persona esté fuera del RGPD: significa exactamente lo contrario. La accesibilidad de la fuente y la licitud del tratamiento son dos preguntas distintas, y la segunda es la que de verdad importa.

Este artículo cierra el bloque de OSINT de la web por el lado jurídico: qué convierte una búsqueda en internet en un tratamiento de datos personales, qué base legal la sostiene, qué pasa con el scraping, cómo se comporta el deber de informar al interesado cuando ni siquiera sabe que le están investigando, y qué valor tiene lo encontrado si algún día hay que presentarlo ante un juez, un comité de ética o una autoridad de control. No es asesoramiento jurídico para un caso concreto: es el mapa que permite saber cuándo hace falta pedirlo.

1. «Público» no es lo mismo que «sin dueño»

El RGPD no distingue entre datos «privados» y «públicos» como categorías jurídicas separadas: distingue entre lo que es un dato personal (cualquier información que identifique o haga identificable a una persona) y lo que no lo es. Un perfil de LinkedIn abierto, una sentencia publicada en el CENDOJ, un anuncio en un portal de segunda mano con un número de teléfono o una foto con geolocalización en una red social son accesibles sin restricción técnica, y todos contienen datos personales sujetos al reglamento en cuanto alguien los recopila, los ordena o los cruza con otra fuente.

La consecuencia práctica es que una investigación OSINT genera, casi desde la primera búsqueda, un tratamiento de datos personales del que el investigador es responsable. Preguntarse «¿puedo acceder a esto?» es la pregunta equivocada; la correcta es «¿tengo una base legal para usar esto con esta finalidad?».

2. La base de licitud habitual: interés legítimo y su ponderación

Casi ninguna investigación OSINT cuenta con el consentimiento del investigado —tendría poco sentido pedirlo— ni responde a una obligación legal expresa. La base que suele sostenerla es el interés legítimo del artículo 6.1.f) del RGPD, que a diferencia de las demás no se aplica en automático: exige una ponderación documentada, el llamado test de tres pasos que recomienda el Comité Europeo de Protección de Datos.

Este análisis debe quedar por escrito antes de empezar la investigación, no redactarse a posteriori si alguien reclama. Un expediente de OSINT profesional —due diligence, prevención de fraude, ciberseguridad defensiva— incluye casi siempre un documento breve de ponderación de interés legítimo (LIA, legitimate interest assessment) como parte del propio proceso, del mismo modo que un tratamiento de riesgo alto exige una EIPD.

3. Scraping: el problema no es solo el RGPD

Extraer de forma automatizada datos de una web o una API (scraping) plantea dos capas de riesgo distintas que conviene no confundir. La primera es de protección de datos: recolectar de forma masiva y sistemática datos personales sin base de licitud ni información al interesado incumple el RGPD con independencia de si la plataforma lo permite técnicamente. La segunda es contractual y de propiedad intelectual: los términos de servicio de casi cualquier plataforma prohíben expresamente el scraping automatizado, y su incumplimiento puede acarrear responsabilidad civil por incumplimiento contractual o, si hay elusión de medidas técnicas de protección, entrar en el terreno del artículo 197 bis del Código Penal (acceso ilícito a sistemas de información).

4. Minimización y conservación en un expediente de investigación

Los principios del artículo 5 del RGPD se aplican a una carpeta de investigación exactamente igual que a una base de datos de clientes. Minimización: recopilar solo lo relevante para la finalidad declarada —si el objetivo es verificar una identidad, no hace falta guardar capturas de todas las fotos de vacaciones que aparecen en el camino—. Limitación del plazo: un expediente de verificación puntual no debería conservarse indefinidamente «por si acaso»; hay que fijar de antemano cuánto dura la utilidad de esa información y cuándo se purga.

• Documentar en el propio expediente qué se buscaba y por qué, no solo lo que se encontró: eso delimita qué es relevante y qué es ruido a descartar
• Separar los hallazgos que sustentan la conclusión de la investigación de la información colateral recopilada por el camino, y no conservar esta última más allá de lo imprescindible
• Si la investigación no llega a ninguna conclusión de interés (la persona resulta ser irrelevante para el caso), eliminar el material recopilado en vez de archivarlo indefinidamente
• Registrar el acceso al expediente igual que a cualquier otro dato personal sensible: quién lo abrió, cuándo y para qué

5. Informar al interesado cuando no sabe que le investigan

Los artículos 13 y 14 del RGPD obligan a informar a la persona sobre el tratamiento de sus datos. Cuando el dato no se recoge directamente de ella —que es la norma en OSINT— se aplica el artículo 14, y ahí aparece la excepción que más se invoca en este terreno: el artículo 14.5.b), que exime del deber de informar cuando exige un esfuerzo desproporcionado, en particular en el tratamiento con fines de investigación.

6. OSINT en investigaciones laborales y de fraude

Dos escenarios concentran la mayoría de la casuística real en España. El primero es la investigación laboral: un empleador que revisa las redes sociales de un trabajador de baja médica, o que usa capturas de una publicación pública para sustentar un despido disciplinario. Los tribunales españoles han admitido en varios casos que el contenido publicado en abierto por el propio trabajador puede usarse como prueba, precisamente porque no hubo intromisión en su esfera privada: la empresa no accedió a nada oculto, se limitó a observar lo que el propio interesado hizo público. La clave que marca la diferencia es siempre esa: acceso a contenido genuinamente público frente a vulneración de un perfil privado, contraseña o configuración de privacidad activa.

El segundo es la investigación de fraude, típica en el sector asegurador: verificar si una persona que cobra una baja por incapacidad aparece practicando una actividad incompatible con su lesión. Aquí el interés legítimo del asegurador para proteger sus propios recursos frente a un fraude está generalmente reconocido, pero con matices importantes: la investigación debe ser proporcionada al indicio previo de fraude (no una vigilancia sistemática sin motivo), limitada en el tiempo y en el alcance, y normalmente encargada a un detective privado colegiado, cuya actividad está regulada por su propia normativa sectorial y sujeta a un informe que puede ser requerido judicialmente.

7. Cadena de custodia y valor probatorio

Un hallazgo de OSINT solo sirve como prueba —en un expediente disciplinario, un procedimiento civil o una denuncia— si se puede acreditar que es auténtico, que no se ha manipulado y que sigue existiendo tal y como se encontró, porque el contenido en internet puede borrarse o editarse en cualquier momento después de la captura.

• Capturar con contexto, no solo el fragmento relevante: la URL completa, la fecha y hora del sistema, y si es posible una captura de pantalla completa del navegador con la barra de dirección visible
• Calcular el hash (SHA-256) de cada fichero capturado en el momento de la captura, y conservarlo junto al fichero: permite demostrar después que no se ha alterado
• Usar, cuando la relevancia lo justifique, un acta notarial de constatación de hechos en internet o un servicio de captura con sello de tiempo cualificado, que dan fecha cierta frente a terceros
• Guardar también el contenido no relevante alrededor del hallazgo (el resto del perfil o del hilo), porque descontextualizar una captura es el argumento de defensa más habitual frente a este tipo de prueba
• Documentar quién hizo la captura, con qué herramienta y en qué momento: la cadena de custodia importa tanto como el propio hallazgo

8. Cuándo hace falta un perito o la autoridad

Hay un punto en el que la investigación deja de ser un ejercicio interno y necesita intervención profesional o institucional. Un perito informático judicial aporta la garantía técnica y de imparcialidad que un informe interno no tiene si el material va a presentarse en un procedimiento judicial: valida la cadena de custodia, certifica los hashes y puede declarar sobre el método usado. Un detective privado colegiado es obligatorio, en la práctica, cuando la investigación implica seguimiento o vigilancia activa de una persona (el escenario del fraude por incapacidad del apartado anterior), porque esa actividad está reservada por ley a esa profesión regulada.

Y hay un límite que no depende de la pericia técnica sino de la propia naturaleza de lo encontrado: si una investigación OSINT tropieza con indicios de un delito —contenido de abuso, amenazas creíbles, una brecha de seguridad activa, evidencia de un fraude ya consumado de cierta entidad— la vía correcta es trasladarlo a la Policía Nacional, la Guardia Civil o el juzgado competente, preservando la cadena de custodia intacta, y no seguir investigando ni difundiendo el hallazgo por cuenta propia.

Conclusión

El OSINT no tiene una zona franca legal solo porque las fuentes sean abiertas. Cada búsqueda que recopila, cruza o conserva datos de una persona identificable es un tratamiento sujeto al RGPD y a la LOPDGDD, necesita una base de licitud sostenible —casi siempre interés legítimo, con su ponderación documentada—, respeta minimización y plazos de conservación, y tiene que resolver el deber de informar al interesado aunque sea invocando una excepción justificada, no ignorada.

La frontera práctica que marca casi toda la jurisprudencia es la misma en todos los escenarios: observar lo que alguien ha hecho genuinamente público es un terreno razonablemente seguro; sortear una restricción de privacidad, seguir a una persona más allá de lo proporcionado al indicio que motivó la investigación, o tratar los datos de todo su entorno sin justificación propia, no lo es. Y si el resultado va a usarse como prueba, la investigación vale lo que valga su cadena de custodia.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)