El regulador de privacidad del Reino Unido ha sancionado a la Policía Metropolitana de Londres por usar la plataforma Auror sin los controles de protección de datos necesarios. Cientos de agentes subieron información personal de sospechosos ilegalmente, evidenciando fallos en la supervisión de software externo. La policía aceptó los errores y ahora implementa controles más estrictos tras regularizar el uso de la herramienta.





La Oficina del Comisionado de Información (ICO) ha reprendido al Servicio de Policía Metropolitana de Londres (MPS) y ha emitido un aviso de ejecución después de que los agentes utilizaran una plataforma de delitos minoristas sin la aprobación de la fuerza ni los controles de protección de datos requeridos.

Entre marzo de 2023 y septiembre de 2024, los agentes del MPS registraron alrededor de 500 cuentas gratuitas en Auror, una plataforma que los minoristas utilizan para registrar delitos como el hurto en tiendas. La fuerza no había contratado formalmente el servicio ni había completado las comprobaciones de protección de datos obligatorias.

Minoristas como los supermercados animaron a los agentes a utilizar Auror y los dirigieron a la plataforma para acceder a las imágenes de CCTV.

Auror Europe, registrada en Inglaterra y Gales, es una filial de Auror, con sede en Nueva Zelanda.

La plataforma permite a los minoristas compartir informes de incidentes, imágenes y grabaciones de CCTV. Los minoristas pagan por el acceso a través de un navegador o aplicación móvil, mientras que los socios policiales la utilizan de forma gratuita.

La fuerza no había completado una evaluación de impacto de protección de datos (DPIA) ni establecido acuerdos de intercambio de datos con Auror Europe, afirma la ICO.

Entre agosto y septiembre de 2024, se presentaron dos informes de seguridad internos independientes sobre el uso de Auror por parte de los agentes.

El primero se refería a agentes que subían los nombres de sospechosos que reconocieron en imágenes de CCTV, y el segundo se refería a agentes que recopilaban imágenes de CCTV de la plataforma a pesar de que no se habían realizado controles sobre ella.

El acceso a Auror fue bloqueado el 26 de septiembre de 2024.

El delegado de protección de datos (DPO) del MPS informó a la ICO sobre el uso de Auror por parte de la fuerza en diciembre de 2024 durante una discusión sobre un asunto distinto. El organismo de control inició una investigación formal en abril de 2025.

La ICO descubrió que los agentes subieron ilegalmente datos personales relativos a 179 personas, incluidos tres niños, a Auror. Para 128, esto consistió solo en nombres; para 49, nombres y fechas de nacimiento; y para dos, nombres, fechas de nacimiento y direcciones particulares.

La ICO afirmó que el MPS no aseguró que se implementara una supervisión adecuada al decidir qué plataformas de terceros podían utilizar los agentes, fallos que persisten hoy en día.


Sostuvo que el MPS depende excesivamente de controles blandos para evitar que los agentes utilicen software no aprobado, como recordatorios de políticas y formación del personal, que a menudo pasan desapercibidos, en lugar de bloqueos técnicos.

La ICO también señaló que la fuerza no había comprobado si sus controles web funcionaban: los agentes utilizaron Auror durante más de 18 meses sin activar ninguna alerta.

El regulador describió un fallo recurrente, señalando el uso de Clearview AI por parte de los agentes en 2021 sin la supervisión adecuada.

La ICO considera que los fallos continúan porque la fuerza no ha demostrado que sus salvaguardias puedan evitar incidentes similares.

La acción de ejecución obliga al MPS a reforzar sus salvaguardias contra el uso indebido de herramientas de terceros y a proporcionar a la ICO actualizaciones periódicas sobre el progreso.

David Doodson, jefe de investigaciones de la ICO, dijo en este enlace: "Esta acción debe enviar un mensaje a todo el sector policial y más allá: si utiliza nuevas tecnologías para procesar información de las personas, debe hacerlo de forma legal, transparente y con una gobernanza adecuada desde el principio.

"Cuando las organizaciones no protegen la información de las personas, tomaremos medidas. Nuestra función no es solo pedir cuentas a las organizaciones, sino impulsar mejoras y promover los estándares que la gente tiene derecho a esperar".

El MPS dijo que, tras la implementación de controles más estrictos y un plan piloto, los agentes de 14 distritos de Londres están utilizando Auror una vez más.


"Tras la aprobación formal y un piloto, la plataforma se utiliza ahora en 14 distritos de Londres", dijo un portavoz de la Met. "Ayuda a los agentes a identificar a los tenderos más rápidamente, permitiendo que los minoristas compartan pruebas y CCTV directamente en el momento de la denuncia, y ha cuadruplicado los resultados positivos para el hurto en tiendas".

En un anuncio de agosto de 2026, el MPS dijo que la tecnología, que no identificó por nombre, se desplegaría más allá de los 14 distritos y ya estaba implementada en tiendas como Tesco, Boots, Greggs y M&S.

Afirmó que los casos de hurto en tiendas denunciados a través de la plataforma resultan en un desenlace positivo en el 29,4 por ciento de los casos.

Sobre los hallazgos de la ICO, el portavoz dijo: "Aceptamos las conclusiones de la ICO de que nuestros acuerdos de protección de datos en aquel momento eran insuficientes en relación con los agentes individuales que utilizaban la plataforma Auror.

"Si bien los agentes utilizaban la plataforma de buena fe para identificar y arrestar a tenderos, reconocemos que no habíamos completado el trabajo de seguridad y protección de datos pertinente para que se utilizara la plataforma.

"Tan pronto como tuvimos conocimiento de este problema, suspendimos inmediatamente el acceso a la plataforma y realizamos una revisión completa. Posteriormente hemos completado las comprobaciones legales, de seguridad, comerciales y de protección de datos necesarias antes de aprobar la plataforma para su uso".

Esta reprimenda y acción de ejecución siguen a un reproche independiente de la ICO en agosto, relativo a dos casos sensibles.

En uno, un agente de la Met envió documentos legales sin redactar al sujeto de una orden de protección contra el acoso, exponiendo la nueva dirección y los datos de contacto de la víctima. En el otro, un agente cometió el pecado cardinal de usar CC en lugar de CCO, exponiendo las direcciones de correo electrónico de 18 personas vinculadas al Parlamento que fueron blanco de una trampa sexual. ®

Fuente:
TheRegister