Resumen

  • La decisión final de Ofcom sobre el fallo del 25 de junio de 2023 concluye que British Telecommunications PLC contravino la sección 105A(1)(c) de la Communications Act 2003 y la Regulation 9 de las Electronic Communications (Security Measures) Regulations 2022, e impone una multa de 17 500 000 £.
  • La condición de acceso de emergencia, la General Condition A3.2, estaba dentro del alcance inicial de la investigación, pero el expediente de Ofcom indica que el regulador no se proponía perseguir una conclusión sobre ella.

La secuencia importa más que la cifra. El informe de BT, publicado el 29 de junio de 2023 a las 14:30 hora de Londres, describe un problema de software complejo y no visto antes que producía un fallo de «caching»: las llamadas afectadas no se encaminaban correctamente y la comunicación del usuario se cortaba (revisión del grupo BT). Ese mismo documento sitúa el inicio del problema a las 06:24 y registra que a las 16:56 todas las llamadas de emergencia ya se gestionaban por el sistema principal del 999 —diez horas y treinta y dos minutos—, con confirmación a las 22:14 de que el servicio estaba restablecido y ya no dependía del sistema de respaldo. BT identificó provisionalmente 11 470 llamadas que no llegaron a conectarse con el 999.

Ofcom abrió su investigación el 28 de junio de 2023, tres días después del incidente, y describió las obligaciones en juego como acceso ininterrumpido, la máxima disponibilidad posible y medidas adecuadas y proporcionadas para prepararse ante compromisos de red, prevenirlos, remediarlos o mitigar sus efectos. Esa descripción ya contenía dos animales distintos: un deber sobre el servicio y un deber sobre la preparación.

El expediente del propio regulador muestra cuál de los dos sostuvo la decisión. El alcance inicial cubría la General Condition A3.2 y las secciones 105A y 105C de la Communications Act 2003; una actualización del alcance el 13 de julio de 2023 añadió las perturbaciones del relay de texto, el relay de vídeo de emergencia y el acceso por SMS móvil, además de las General Conditions C5.8 a C5.12. La conclusión final, el 22 de julio de 2024, fue que «BT has contravened section 105A(1)(c) of the Act and Regulation 9». Y en ese mismo expediente, sobre la sección 105C, la General Condition A3.2 y las condiciones C5, Ofcom escribe: «At this time, we do not propose to pursue making a finding» (expediente de actuación de Ofcom).

Hay que leer esa frase tal como está escrita. No dice que la condición de acceso de emergencia quedara fuera de las competencias de Ofcom ni fuera del razonamiento de la decisión. Dice qué decidió perseguir el regulador, y esa elección es la historia.

Qué dice en realidad la norma del 999. En la versión consolidada no oficial de las General Conditions of Entitlement fechada el 15 de diciembre de 2022 —la que resultaba aplicable en torno al incidente de junio de 2023—, la General Condition A3.2 establece que «Regulated Providers must take all necessary measures to ensure: (b) uninterrupted access to Emergency Organisations as part of any Voice Communications Services offered» (condiciones generales consolidadas). Una condición A3.4 separada regula el acceso gratuito de los usuarios finales a los servicios de emergencia mediante los números 112 y 999.

Esa es la frase que casi todo el mundo supone detrás de la multa. No lo es. El comunicado de sanción del 22 de julio de 2024 da la cifra sin rodeos —«As a result of BT’s failures, Ofcom has decided to fine the company £17,500,000»— y las disposiciones concretas que la sostienen, la sección 105A(1)(c) y la Regulation 9, son deberes de preparación, no la condición de llamadas de emergencia.

¿Y qué es la Regulation 9? Las Electronic Communications (Security Measures) Regulations 2022 son la SI 2022/933, aprobada el 1 de septiembre de 2022, presentada al Parlamento el 5 de septiembre de 2022 y en vigor desde el 1 de octubre de 2022. La Regulation 9(1) dice: «A network provider or service provider must take such measures as are appropriate and proportionate to prepare for the occurrence of security compromises». La Regulation 9(2) añade deberes sobre las copias en línea y fuera de línea conservadas en el Reino Unido, sobre su sustitución y sobre los medios y procedimientos para identificar, evaluar, mitigar, responder y recuperarse de compromisos de seguridad.

Nueve meses antes del incidente, el instrumento que acabaría poniéndole precio ya estaba en vigor, y trataba sobre estar preparado.

Por qué la distinción no es bizantina. Un deber de mantener el acceso de emergencia sin interrupciones plantea una pregunta simple después de los hechos: ¿falló el acceso? Un deber de preparación plantea otra más exigente: ¿estaba preparado el operador y puede demostrarlo? La segunda resiste el desorden de un incidente real, porque un fallo puede ocurrir con una preparación adecuada, y una preparación deficiente puede convivir con un servicio que apenas se mueve.

Para quien quiera someter a un operador del 999 a una norma verificable, la consecuencia es práctica. El hecho jurídico que deja este caso no es una conclusión de incumplimiento de la condición de acceso de emergencia. Es una conclusión sobre la preparación, y costó 17 500 000 £. Si usted es un competidor, un forense judicial, un cliente o un consejero que busca el documento que demuestre que un operador debía haber hecho algo en una fecha concreta, mire el deber de preparación y la prueba que lo sostiene.

La condición de llamadas de emergencia dio a esta investigación su alcance y buena parte de su lenguaje; el deber de preparación le dio el veredicto.

Una precisión de alcance: la redacción citada sobre el acceso de emergencia procede de la consolidación del 15 de diciembre de 2022. Ofcom mantiene consolidaciones posteriores, cuya numeración o redacción no se consultó para este artículo, de modo que nada aquí describe el texto vigente hoy. Tampoco se leyó el documento completo de la decisión de Ofcom: cada afirmación del regulador citada arriba procede del comunicado, de la página de sanción y del expediente de actuación efectivamente consultados.

Ficha de British Telecommunications PLC para el registro del operador que sostiene este expediente.