OSINT y redes sociales: lo que publicas reduce tu privacidad, pero no la elimina
«Está en internet, así que se puede usar.»
Pocas frases resumen mejor el malentendido jurídico de nuestra época.
La investigación en fuentes abiertas —OSINT— es hoy una de las herramientas más potentes de la investigación privada. Registros públicos, prensa, webs corporativas, redes sociales, foros y otras fuentes accesibles pueden aportar indicios extraordinariamente valiosos.
Pero lo visible no es automáticamente utilizable sin límites.
La regla es más fina: quien expone voluntariamente parcelas de su vida reduce su expectativa de privacidad respecto de esos concretos contenidos, pero no la elimina ni convierte toda su vida digital en objeto de investigación.
Fuente abierta no significa «todo lo que puedo conseguir»
Una fuente abierta es, en términos operativos, aquella a la que puede accederse legítimamente sin vulnerar credenciales, medidas de seguridad ni restricciones de acceso.
Una web pública, un perfil abierto o un registro accesible conforme a Derecho pueden formar parte de una investigación.
Un perfil cerrado, una cuenta privada, un grupo restringido o una base de datos protegida no se convierten en OSINT porque técnicamente exista alguna forma de entrar.
Si para acceder hay que vulnerar una contraseña, una medida de seguridad o un sistema de autenticación, estamos ante otra realidad jurídica.
Y el acceso no autorizado puede generar responsabilidad, incluso penal, dependiendo de la conducta concreta.
El perfil semiprivado exige criterio
Solicitar acceso con una identidad ficticia a un perfil restringido no es lo mismo que consultar una fuente abierta.
Deja de ser OSINT puro y exige un análisis jurídico específico sobre finalidad, interés legítimo, expectativas del titular y método empleado.
No debe confundirse el pretexto lícito —por ejemplo, presentarse como cliente en un contexto comercial abierto— con el intento de franquear mediante engaño una barrera que el usuario colocó precisamente para restringir quién podía ver su contenido.
La prudencia profesional consiste en no convertir la capacidad técnica de alcanzar una información en una supuesta autorización jurídica para obtenerla.
La privacidad también es graduada en la pantalla
Un perfil público y una publicación deliberadamente exhibida reducen la expectativa de privacidad respecto de ese concreto contenido.
Un trabajador que publica públicamente fotografías de una competición deportiva ha decidido exponer ese hecho a un círculo indeterminado.
Pero eso no significa que haya renunciado a su intimidad sobre otros aspectos.
El contenido de acceso restringido conserva una expectativa de privacidad reforzada. Y la existencia de cientos de seguidores no transforma automáticamente una comunidad cerrada en un espacio equivalente a la vía pública.
La agregación cambia el problema
Existe además una cuestión que la investigación digital moderna debe tomarse muy en serio.
Cada dato público puede ser trivial.
Pero la compilación masiva y el cruce sistemático pueden producir un conocimiento cualitativamente nuevo sobre una persona.
Una fotografía pública, un cargo mercantil, una geolocalización histórica, una noticia, una relación profesional y diez publicaciones antiguas, analizadas por separado, pueden parecer banales.
Juntas pueden reconstruir hábitos, redes, patrimonio, desplazamientos o perfiles que la persona nunca expuso como conjunto.
La disponibilidad pública de cada pieza no elimina la necesidad de analizar proporcionalidad, finalidad y minimización cuando las convertimos en un expediente estructurado.
Del hallazgo a la prueba: cuatro filtros
1. Base jurídica
Recopilar, cruzar y conservar datos personales es tratamiento de datos.
El interés legítimo del artículo 6.1.f RGPD puede ser una base relevante en numerosas investigaciones privadas, pero no debe aplicarse de forma automática ni como única respuesta posible.
Hay que analizar finalidad, necesidad, ponderación y derechos del afectado.
«Era público» no es por sí solo una base jurídica. Es un elemento del contexto.
2. Minimización
El artículo 49.2 de la Ley 5/2014 exige que al informe vaya sólo la información directamente relacionada con el objeto y finalidad del encargo.
El rastro digital de una persona puede revelar salud, ideología, relaciones, creencias o vida familiar.
Que esos datos aparezcan incidentalmente no significa que deban incorporarse.
La investigación profesional selecciona.
3. Verificación
OSINT es también el territorio natural de la cuenta falsa, la identidad suplantada, el contenido fuera de contexto y, cada vez más, la imagen o voz generada mediante inteligencia artificial.
Un hallazgo relevante debe verificarse contra la fuente original cuando sea posible y documentarse con fecha, URL, contexto y método de preservación.
Un pantallazo suelto no debería ser el final de la investigación.
Debe ser el comienzo de la verificación.
4. Trazabilidad
El detective que firma debe poder explicar en sala de dónde salió cada dato, cuándo se consultó, cómo se preservó y qué relación tiene con el interés legítimo del encargo.
La información de internet cambia. Las páginas se editan. Los perfiles desaparecen. Las publicaciones se borran.
Por eso la trazabilidad importa.
Lo público puede seguir siendo dato personal
Otro error habitual es pensar que un dato deja de estar protegido por el RGPD cuando es público.
No es así.
Un dato personal puede ser públicamente accesible y seguir siendo dato personal.
La accesibilidad influirá en la ponderación, en la expectativa razonable del afectado y en determinadas obligaciones, pero no borra automáticamente el marco de protección de datos.
El valor real del OSINT: contexto, no fisgoneo
Bien hecho, el OSINT es un multiplicador extraordinario.
Orienta la investigación de campo: dónde y cuándo mirar.
Reconstruye cronologías.
Aporta contexto societario y patrimonial.
Detecta contradicciones entre lo alegado en un pleito y lo exhibido públicamente.
Identifica relaciones profesionales o empresariales que después pueden verificarse por otras vías.
En nuestros expedientes patrimoniales y laborales la fuente abierta señala; la investigación profesional acredita.
La tecnología orienta. El método prueba.
La IA multiplica la potencia y también el riesgo
Las herramientas de inteligencia artificial permiten resumir grandes volúmenes de información, encontrar conexiones y priorizar hipótesis.
Pero esa capacidad puede convertir fácilmente una consulta razonable en una recopilación excesiva.
Por eso el uso de IA en OSINT necesita una pregunta adicional: ¿qué dato entró en el sistema, con qué legitimación y para qué resultado concreto?
La automatización no reduce la necesidad de proporcionalidad. La aumenta.
Conclusión
El OSINT profesional no consiste en rastrear internet hasta encontrar todo lo que existe sobre una persona.
Consiste en localizar, verificar y contextualizar aquello que resulta legítimamente relevante para un encargo concreto.
Lo que una persona publica voluntariamente reduce su expectativa de privacidad respecto de ese contenido.
No elimina todos sus derechos.
Y la diferencia entre fuente abierta e intromisión no está únicamente en la pantalla que vemos.
Está en cómo accedimos, qué hicimos después con el dato y por qué era necesario hacerlo.
Lectura relacionada: La IA: Asedio a la privacidad — Editorial Tirant Lo Blanch
La verdad tiene método.