Resumen

  • La plataforma volvió en enero de 2026 con salvaguardas propias, pero la ICO aún exige controles tecnológicos para todo el cuerpo policial.
  • Otra medida de agosto trató divulgaciones y formación; no hay constancia pública de que el MPS incumpliera aquella orden.

El 14 de octubre, la Information Commissioner’s Office (ICO) anunció una reprimenda y una orden de cumplimiento contra el Metropolitan Police Service (MPS) por el uso de una plataforma externa de inteligencia sobre hurtos en comercios que la fuerza no había aprobado. La orden está fechada el 23 de septiembre. La cuestión de gobernanza es más amplia que una herramienta concreta: se añadieron salvaguardas antes de reactivarla, pero el regulador todavía exige que el cuerpo demuestre que sus controles sobre tecnología de terceros funcionan en toda la organización.

El MPS utilizó la plataforma entre marzo de 2023 y septiembre de 2024, pese a no haberla autorizado formalmente. Se crearon unos 500 usuarios y 375 se emplearon activamente en tareas policiales. Entre enero y septiembre de 2024 se cargaron datos relativos a 179 personas, tres de ellas menores de 18 años. Incluían nombres y fechas de nacimiento y, en algunos casos, domicilios. Las cifras indican que el canal alcanzó escala operativa; no demuestran que cada cuenta cargara datos ni que todas las personas fueran acusadas.

La ICO señala que el MPS suspendió el servicio en septiembre de 2024 y lo reintrodujo en enero de 2026 después de reforzar la gobernanza, formar a su personal, añadir controles contractuales y completar una evaluación de impacto. Aun así, el regulador consideró insuficientes las medidas generales para asegurar que solo se usen tecnologías externas autorizadas. La orden pide mejorar la identificación, evaluación y aprobación de servicios, revisar controles, reforzar la formación, comprobar periódicamente que las medidas funcionan y enviar actualizaciones al regulador.

Los documentos públicos citados no nombran al proveedor ni establecen una prohibición general.

Los hallazgos afectan tres obligaciones distintas de la Data Protection Act 2018: el artículo 35(1), que exige un tratamiento lícito y leal para fines policiales; el artículo 40, sobre medidas técnicas u organizativas de seguridad; y el artículo 64(1), que exige una evaluación previa si el tratamiento probablemente entraña un riesgo elevado. La ICO dice que en este caso faltaban el consentimiento y la necesidad para fines policiales, además de una evaluación de impacto anterior al tratamiento de alto riesgo. Añadir un contrato o una evaluación después no corrige retroactivamente el tratamiento ya realizado.

En agosto, la ICO había publicado otra actuación separada contra el MPS por la entrega de un documento sin ocultar datos de una víctima y por un correo masivo que reveló identidades sensibles. En ese caso detectó fallos de formación, seguimiento y gobernanza. Son procesos diferentes; las fuentes públicas no dicen que el MPS incumpliera la primera orden. Su proximidad, sin embargo, hace que la capacidad de comprobar controles entre distintas operaciones sea más relevante que la reparación de un solo producto.

El MPS también ha defendido el valor operativo de las herramientas para combatir los hurtos. En un comunicado de agosto, dijo que el 29,4 % de los casos reportados mediante nueva tecnología acabó en un resultado positivo, frente al promedio anterior del 7,3 %. Son datos publicados por el propio cuerpo: la página no acredita causalidad ni confirma que se trate de la plataforma investigada por la ICO. Una respuesta de la Asamblea de Londres dice que el despliegue es una decisión operativa del MPS y que el Mayor’s Office for Policing and Crime se reúne periódicamente con el responsable policial de delitos minoristas. No explica qué controles se revisan ni cómo se prueban.

La prueba pendiente es operativa: cuando un agente recibe acceso, ¿puede el MPS demostrar que el servicio está aprobado, que su finalidad y base jurídica están definidas, que se evaluó todo tratamiento de alto riesgo y que las salvaguardas siguen funcionando? La decisión de la ICO mantiene el regreso de la plataforma en enero y centra el examen en el sistema general que rige qué tecnología puede usar el personal.

Fuentes