Un correo para 18 personas, visible para las 18
La Metropolitan Police Service (MPS) envió un correo para avisar a 18 personas vinculadas al Parlamento británico sobre un cambio en la fecha de fianza de un sospechoso, y con ello reveló a cada una quiénes eran las otras 17.
Los destinatarios habían sido blanco en 2024 y 2025 de alguien que usaba mensajes de WhatsApp para reunir material comprometedor sobre ellos, un caso que la Information Commissioner's Office (ICO), la autoridad británica de protección de datos, llama el "asunto Honeytrap". Un agente de la MPS puso cada dirección de correo en el campo "Para" en lugar de un campo oculto, de modo que cada persona podía ver el nombre y la dirección de todas las demás. El cuerpo del correo no explicaba el motivo del contacto, pero el contexto por sí solo permitía inferir información muy sensible sobre cada uno de los afectados.
La segunda brecha fue peor: la nueva dirección de una víctima de acoso
Un segundo fallo de la MPS, investigado en el mismo expediente, volvió a poner en peligro a una víctima de acoso frente a la persona de la que había huido.
Un agente que notificaba documentos en un caso de Stalking Protection Order no tachó información confidencial de terceros antes de entregarlos al acusado. Los papeles revelaban la nueva dirección y el teléfono de la víctima, además del nombre y los datos de contacto de tres testigos. La víctima había cambiado ambos datos precisamente por el riesgo que representaba el acusado. Este la contactó después en el nuevo número y le dijo que había recibido sus nuevos datos de la propia MPS.
No fueron errores aislados: lo que encontró la ICO detrás
La investigación de la ICO encontró que ambas brechas compartían una misma causa: formación deficiente, poca supervisión y gobernanza débil, no dos fallos aislados de mala suerte.
El agente que envió el correo masivo no había completado la formación obligatoria en protección de datos en más de cuatro años, y el supervisor que debía haberlo detectado llevaba casi el mismo tiempo sin formarse. La propia MPS reconoció que las tasas de finalización de su formación obligatoria Managing Information eran demasiado bajas en todo el cuerpo. En el caso de acoso, la ICO también halló que los agentes implicados no habían recibido la formación especializada exigida para documentos de Stalking Protection Order, y que el proceso de preparación y revisión de esos documentos era inadecuado.
La solución que cualquier empresa puede copiar hoy
La ICO ordenó a la MPS corregir su formación, supervisión y gobernanza en un plazo de tres y doce meses, y la lección más útil para cualquier otra organización está en lo que no hizo: no aceptó un documento de política como prueba de que el problema estaba resuelto.
La MPS ya había introducido una herramienta de alerta que avisa al personal cuando un correo está a punto de salir hacia varios destinatarios externos, exactamente el tipo de salvaguarda que la mayoría de las plataformas de correo empresarial ya ofrece a sus administradores y que simplemente no se activa. Cualquier empresa que envíe correos conjuntos a grupos de clientes, pacientes o contactos de un caso, en recursos humanos, sanidad, servicios legales o profesionales, corre el mismo riesgo que la MPS acaba de demostrar: una persona que olvida usar un campo oculto y un responsable que nunca lo comprobó. Vale la pena un matiz para el sector privado, no para organismos públicos: la ICO impuso aquí un apercibimiento y una orden, no una multa, coherente con su postura declarada de sancionar rara vez con multas a organismos públicos, ya que una multa solo mueve dinero entre partes del mismo Estado. Una empresa privada con el mismo fallo no recibiría el mismo trato. En España, la Agencia Española de Protección de Datos exige el mismo principio de confidencialidad del artículo 5.1.f del RGPD, sea el responsable un organismo público o una empresa privada.
Leer a continuación: La UE está reescribiendo el RGPD | Si Su Empresa Quiebra, Sus Correos Se Venden
