Resumen

  • La guía de septiembre de Ofcom explica cómo los proveedores británicos pueden compartir datos relacionados con el fraude conforme al derecho vigente. No impone una divulgación general ni crea una nueva potestad para acceder a expedientes de clientes.
  • El reto operativo consiste en mantener cada dato exacto, proporcionado y calificado como hecho, indicio o sospecha, además de permitir su corrección si la alerta resulta infundada.

Un fraude puede atravesar varios límites antes de que un proveedor vea el patrón completo. Una llamada entra por un operador mayorista, llega a un servicio minorista, suplanta a un banco y persuade a la víctima para que transfiera dinero a otra entidad. Cada participante conserva solo una pieza: un número, una anomalía de tráfico, una queja o una cuenta receptora. Esa visión fragmentaria dificulta la detección. Pero combinar las piezas también puede hacer que una sospecha sobre una persona o empresa viaje más rápido y más lejos que las pruebas que la originaron.

El anuncio de Ofcom de septiembre de 2026 presenta una guía práctica para los proveedores de comunicaciones del Reino Unido. La elaboraron Comms Council UK, el Home Office y Ofcom, con aportaciones de la Information Commissioner’s Office. Ofcom anima a los proveedores a tenerla en cuenta. Esa cooperación institucional no convierte el documento en una nueva autorización legal ni en una orden de revelar todo registro sospechoso. La guía describe cómo utilizar los marcos existentes y pretende aclarar cuándo, qué y cómo compartir.

La base jurídica cambió a comienzos de año. La Data (Use and Access) Act 2025 incorporó un interés legítimo reconocido para tratar datos cuando sea necesario detectar, investigar o prevenir delitos, incluido el fraude. La disposición entró en vigor el 5 de febrero de 2026. La guía señala que quien se apoye en esa base no necesita realizar una evaluación separada de interés legítimo. Es una simplificación significativa de un trámite. No permite enviar cualquier dato personal a cualquier destinatario: la necesidad sigue siendo una condición legal y el resto del marco de protección de datos continúa aplicándose.

La guía pide que el proveedor concrete la decisión. ¿Qué daño busca prevenir? ¿Es probable que el intercambio ayude? ¿Puede lograr el objetivo con datos menos identificables? ¿Es adecuado el destinatario? ¿Convienen límites de acceso, anonimización, seudonimización o un acuerdo de intercambio? ¿Qué se envió, a quién, por qué y con qué resultado esperado? Estas preguntas convierten «prevenir el fraude» de una etiqueta general en una decisión que puede revisarse después.

El registro debe conservar los matices de la evidencia. La guía pide datos exactos, actualizados y claramente separados entre hechos y sospechas. Un aumento inusual del tráfico, un identificador de llamada inválido o una queja pueden ser indicios útiles. Ninguno demuestra por sí solo quién lo causó, si un cliente actuó deliberadamente o si una empresa es responsable. Una notificación defendible describe qué se observó, cuándo y por quién, y marca las inferencias y la incertidumbre. Si la sospecha resulta infundada, el proveedor debería dejar constancia y actualizar el esquema correspondiente.

También importa distinguir los datos anonimizados de los seudonimizados. Una lista de números telefónicos puede parecer anónima tras eliminar los nombres, pero seguir siendo información personal si el proveedor o el receptor puede vincular cada número con una persona. Los patrones agregados de llamadas también pueden permitir identificar a alguien al cruzarse con otras fuentes. La guía recomienda reducir la posibilidad de identificación cuando sea viable; usar un token, un hash o un agregado no sustituye la pregunta de qué puede deducir el destinatario.

Los esquemas existentes evitan que cada proveedor construya todos los canales desde cero. La guía distingue entre responsables de estrategia, organizaciones que comparten datos y puntos operativos de entrada. Menciona, entre otros, Cifas, Telecommunications UK Fraud Forum, Cyber Defence Alliance y National Trading Standards. El documento complementario describe intercambios de números, registros de llamadas, dominios, palabras clave de mensajes maliciosos y otros datos. Un sistema establecido puede ofrecer un destinatario y un proceso; no valida automáticamente cada denuncia ni decide qué consecuencia comercial debería imponer otra compañía.

Los anexos también muestran por qué la palabra «impacto» exige cautela. Un ejemplo declara que retiró 1.275 números en el cuarto trimestre de 2025 y otros 300–400 al mes, mientras la actividad seguía creciendo. Un caso de Cyber Defence Alliance afirma que se remitieron a bancos 491 empresas llamadas por un número asociado con vishing para que las vigilaran o investigaran; el propio documento dice que no sabía cuántas sufrieron fraude ni cuántas pérdidas se evitaron. Cifas informa de dos millones de casos activos en su National Fraud Database, 444.000 registros en 2025 y 2.100 millones de libras en ahorros comunicados por sus miembros.

Estas cifras pueden describir actividad, alcance y escala operativa. No comparten un denominador ni constituyen una estimación causal auditada de pérdidas evitadas. Retirar un número es un resultado de proceso; la cantidad de personas protegidas es una estimación; remitir un caso no confirma que haya una víctima; y el ahorro declarado por los miembros no equivale a un estudio contrafactual. Los anexos sirven como inventario de mecanismos que ya funcionan, no como prueba de que todos rindan igual.

La guía reconoce límites que el análisis de protección de datos no resuelve por sí solo. El derecho de la competencia y los derechos de defensa quedan fuera de su alcance. El intercambio antifraude no debe convertirse en excusa para que competidores coordinen exclusiones comerciales. Los proveedores deben separar la inteligencia compartida para prevenir fraude de una decisión colectiva de negar interconexión o negocio. Si se acusa a un operador, debe poder comprender y cuestionar la información; si se identifica erróneamente a un cliente, la corrección debe llegar a la misma red de receptores que recibió la alerta original.

El documento de septiembre añade, por tanto, conexiones prácticas a un sistema que ya incluye leyes, reguladores, operadores, bancos, organismos antifraude y fuerzas de investigación. Su aportación es hacer más comprensible el recorrido jurídico y operativo, sobre todo para los proveedores pequeños. Su éxito dependerá de la calidad de las decisiones y correcciones posteriores, no de que se haya publicado una guía, del número bruto de registros intercambiados ni de una cifra sin matices sobre el fraude supuestamente evitado.

Fuentes: anuncio y guía de Ofcom; casos de apoyo; Data (Use and Access) Act 2025, anexo 4; reglamento de entrada en vigor.; guía del ICO sobre seudonimización; guía del ICO sobre intercambio de datos personales contra estafas y fraudes; carta británica del sector de telecomunicaciones contra el fraude; estrategia británica contra el fraude 2026–2029; guía PDF de Ofcom para proveedores de telecomunicaciones