Europol deberá borrar los datos que almacena sobre ciudadanos que no han delinquido

Europol tiene una gran base de datos con información sobre centenares de miles de personas. Entre ellas se cuentan sospechosos de terrorismo y de delitos graves o ciudadanos que hayan podido mantener algún contacto con estos. El Supervisor Europeo de Protección de Datos (EDPS por sus siglas inglesas) lleva tiempo cuestionando la legalidad de mantener almacenada de forma indefinida información sensible sobre gente inocente, ya sea porque no se demuestre su culpabilidad o porque queden registrados en el archivo por haber coincidido con algún sospechoso. En 2019 inició una investigación cuya conclusión se acaba de dar a conocer: la orden del EDPS establece que el organismo europeo de cooperación policial no podrá mantener durante más de seis meses datos sobre individuos que no estén directamente vinculados a un crimen.

La medida no afecta a la información almacenada sobre los ya condenados, investigados o testigos protegidos. El supervisor concede a Europol un año para limpiar sus bases de datos; transcurrido este plazo, tendrá que borrar todos los archivos relativos a quienes no estén implicados en actos delictivos.

La decisión no ha sentado bien en Europol. “Afectará a la capacidad para analizar conjuntos de datos grandes y complejos a petición de las fuerzas del orden de la UE”, dijo la agencia en un comunicado, “en relación con las investigaciones apoyadas dentro de su mandato”, lo que incluye terrorismo, ciberdelincuencia, tráfico internacional de drogas y abuso infantil, entre otros. Para el supervisor, sin embargo, la política de alojar grandes cantidades de datos de ciudadanos europeos “pone en peligro los derechos fundamentales de los individuos”.

Parece que el supervisor tenía motivos para preocuparse. O eso es al menos lo que se desprende de una investigación del consorcio de periodistas Lighthouse Reports publicada por The Guardian, que arroja serias dudas sobre el contenido del gran archivo de Europol y, sobre todo, sobre el uso que se le quería dar. La base de datos en cuestión, asegura el rotativo británico, contiene al menos cuatro petabytes de información (el equivalente a tres millones de CD-Roms) acumulados durante seis años a partir de informes policiales y del hackeo de servicios telefónicos encriptados o de solicitudes de asilo político de personas que nunca delinquieron.

El tremendo volumen de información amasado por Europol se puede interpretar como un paso hacia la implantación de un sistema de vigilancia masiva equiparable al puesto en marcha por los servicios de inteligencia estadounidenses (NSA), cuyo sistema de espionaje clandestino masivo fue sacado a la luz por Edward Snowden. El propio Wojciech Wiewiórowski, quien dirige el EDPS, comparó en 2021 en un comité del Parlamento Europeo las prácticas de Europol con las de la NSA, en tanto que el organismo policial europeo usaba argumentos parecidos a los de la agencia estadounidense para defender la necesidad de acumular sin restricciones tantos datos.

De acuerdo con una serie de documentos a los que ha tenido acceso The Guardian, Europol estaba desarrollando en 2020, cuando el EDPS ya le investigaba, su propio programa de inteligencia artificial y aprendizaje automático para poder estructurar el torrente de datos que amasaba. Entre la información que se manejaba en esos programas se podía encontrar datos tan sensibles como historial médico, origen étnico, orientación sexual o tendencias políticas de las personas escrutadas. Según este medio, pese a no contar con la luz verde del EDPS, Europol decidió seguir adelante con el desarrollo de su herramienta.

Quién vigila al vigilante

La orden emitida por el supervisor es el resultado de un largo estira y afloja dentro de la propia UE. Al EDPS, entre cuyas atribuciones se cuenta velar por que las instituciones y organismos europeos respeten el derecho a la privacidad y la protección de datos, le chirriaba la idea de que Europol pudiera retener información privada de ciudadanos durante un periodo de tiempo indefinido.

Tras iniciar una primera investigación al respecto en 2019, el EDPS amonestó a Europol en septiembre de 2020 por “acumular de forma continuada grandes cantidades de información sobre personas sin vínculo alguno demostrado con actividades criminales”. Si bien el regulador admite que el organismo policial ha puesto en marcha “algunas medidas” para mejorar el tratamiento de esos datos, ninguna de ellas limita el tiempo que puede retenerlos.

Quienes aparecen en el fichero “corren el riesgo de ser relacionados erróneamente con una actividad criminal en la UE, con el potencial daño para su vida personal y familiar, para la libertad de movimiento y de trabajo que ello comporta”, advirtió el SEPD ya en 2020.

“Un periodo de seis meses para el preanálisis y el filtrado de las grandes bases de datos debería permitir a Europol cumplir con las demandas operacionales de los Estados miembros (...) y al mismo tiempo minimizar los riesgos para los derechos y libertades de los individuos”, concluye Wiewiórowski en un comunicado.

Puedes seguir a EL PAÍS TECNOLOGÍA en Facebook y Twitter o apuntarte aquí para recibir nuestra newsletter semanal.