Una investigación internacional publicada por Computer Weekly junto a Solomon y Correctiv y firmada por los periodistas Apostolis Fotiadis, Gaicomo Zandonini, Luděk Stavinoha, Frida Thurm, Lydia Emmanouilidou, Bill Goodwin y Sebastián Klovig Skelton ha destapado la existencia de un sistema informático paralelo dentro de Europol que habría operado durante años con grandes volúmenes de datos personales sin las salvaguardas legales y técnicas exigidas por la legislación de la Unión Europea.
Según esta investigación, la agencia policial europea habría desarrollado y utilizado una infraestructura interna denominada Computer Forensic Network (CFN), concebida inicialmente como un entorno para el análisis de datos forenses complejos. Sin embargo, documentos internos, correos electrónicos filtrados y testimonios de antiguos funcionarios apuntan a que este sistema acabó convirtiéndose en la principal plataforma de análisis de datos de Europol, almacenando información altamente sensible y operando al margen de los controles habituales.
El sistema habría llegado a contener en 2019 al menos 2 petabytes de datos, incluyendo registros telefónicos, documentos de identidad e información de geolocalización. Parte de esta información correspondería incluso a personas no sospechosas de haber cometido delitos, lo que plantea serias dudas sobre su adecuación al marco del Reglamento General de Protección de Datos (RGPD).
Los antiguos responsables citados en la investigación describen el CFN como un “entorno informático paralelo” que carecía de medidas básicas de seguridad, como controles efectivos de acceso, registro de actividad o supervisión sobre la modificación de los datos. En la práctica, esto habría permitido que grandes volúmenes de información fueran consultados y reutilizados en investigaciones sin garantías suficientes.
Uno de los testimonios más contundentes recogidos en la investigación resume la situación con una frase atribuida a un ex alto funcionario de la agencia: “Protegen la ley mientras la infringen”.
El origen del sistema se remonta a 2012, cuando Europol lo creó para dar soporte al análisis de datos complejos en investigaciones criminales. Sin embargo, su uso se habría expandido significativamente tras los atentados de París de 2015, cuando la agencia recibió una presión creciente para mejorar su capacidad de análisis de grandes volúmenes de información en investigaciones antiterroristas.
En ese contexto se creó el Grupo de Trabajo Fraternité, al que los Estados miembros comenzaron a enviar grandes cantidades de datos, incluidos registros telefónicos y material de inteligencia. Parte de esa información acabó siendo procesada en el CFN, que según la investigación evolucionó hasta convertirse en un sistema central para el análisis operativo de la agencia.
Ojo al dato
Los documentos internos revelan además la existencia de un segundo entorno conocido como la “olla a presión”, utilizado por la unidad antiterrorista de Europol para analizar datos de fuentes abiertas en Internet al margen de los sistemas oficiales de la agencia.
La investigación sostiene que ambos sistemas operaban con niveles de supervisión limitados y en ocasiones fuera del conocimiento del principal organismo de control de la privacidad de la Unión Europea hasta 2019.
Un informe interno del responsable de protección de datos de Europol, Daniel Drewer, alertó ese mismo año de que hasta el 99% de los datos de la agencia podrían estar almacenados en el CFN sin las garantías exigidas por la normativa europea. El documento advertía además de que el sistema presentaba fallos estructurales de seguridad y que su uso podría derivar en una intervención del Supervisor Europeo de Protección de Datos (SEPD), con el riesgo extremo de paralizar la actividad de Europol.
Entre los problemas detectados figuraban la ausencia de controles adecuados de acceso, la falta de registros de auditoría, la instalación no restringida de software y la proliferación de cuentas con privilegios de administrador, lo que, según expertos citados, aumentaba el riesgo de abusos internos y ataques externos.
El catedrático de ingeniería de seguridad Steven Murdoch, del University College de Londres, advirtió de que la falta de controles podía comprometer tanto la integridad de las investigaciones como el valor probatorio de los datos en procesos judiciales. En la misma línea, el experto en informática forense Peter Sommer señaló que la concentración de privilegios administrativos constituye una vulnerabilidad crítica tanto desde el punto de vista de la seguridad como de la integridad de los sistemas.
La investigación también apunta a que, ante la imposibilidad de abandonar el sistema por su integración en las operaciones diarias, Europol optó por intentar adaptarlo a la normativa europea, lo que dio lugar a años de negociación con el SEPD.
En respuesta, un portavoz de la agencia ha negado que esta ocultara información a las autoridades de supervisión y ha defendido que la CFN era un entorno regulado y conocido por el regulador europeo desde 2019. La agencia sostiene que ha actuado con transparencia y que trabaja en la sustitución del sistema por una nueva infraestructura alineada con los requisitos de protección de datos.
El caso llega en un momento especialmente sensible, ya que la Comisión Europea estudia ampliar el mandato y el presupuesto de Europol en el marco de su estrategia para reforzar la capacidad operativa de las agencias policiales europeas. Paralelamente, la dimisión de su directora ejecutiva, Catherine De Bolle, el pasado 1 de mayo, añade un nuevo elemento de incertidumbre institucional.
El exdiputado británico David Davis ha calificado los hallazgos como indicativos de “graves fallos de supervisión, legalidad y protección de datos”, y ha pedido aclaraciones sobre el posible uso de datos de ciudadanos inocentes en sistemas utilizados por fuerzas de seguridad del Reino Unido en colaboración con Europol.
Por su parte, organizaciones de derechos digitales han reclamado una revisión urgente de los mecanismos de control de la agencia, alertando de que la fiabilidad de las pruebas y la protección de derechos fundamentales podrían verse comprometidas si no se refuerzan los sistemas de supervisión.
