OSINT i xarxes socials: el que publiques redueix la teva privacitat, però no l'elimina
«És a internet, així que es pot utilitzar.»
Poques frases resumeixen millor el malentès jurídic de la nostra època.
La investigació en fonts obertes —OSINT— és avui una de les eines més potents de la investigació privada. Registres públics, premsa, llocs web corporatius, xarxes socials, fòrums i altres fonts accessibles poden aportar indicis extraordinàriament valuosos.
Però el que és visible no és automàticament utilitzable sense límits.
La regla és més fina: qui exposa voluntàriament parcel·les de la seva vida redueix la seva expectativa de privacitat respecte d'aquests continguts concrets, però no l'elimina ni converteix tota la seva vida digital en objecte d'investigació.
Font oberta no significa «tot el que puc aconseguir»
Una font oberta és, en termes operatius, aquella a la qual es pot accedir legítimament sense vulnerar credencials, mesures de seguretat ni restriccions d'accés.
Un lloc web públic, un perfil obert o un registre accessible d'acord amb el Dret poden formar part d'una investigació.
Un perfil tancat, un compte privat, un grup restringit o una base de dades protegida no es converteixen en OSINT pel fet que tècnicament hi hagi alguna manera d'entrar-hi.
Si per accedir-hi cal vulnerar una contrasenya, una mesura de seguretat o un sistema d'autenticació, ens trobem davant una altra realitat jurídica.
I l'accés no autoritzat pot generar responsabilitat, fins i tot penal, depenent de la conducta concreta.
El perfil semiprivat exigeix criteri
Sol·licitar accés amb una identitat fictícia a un perfil restringit no és el mateix que consultar una font oberta.
Deixa de ser OSINT pur i exigeix una anàlisi jurídica específica sobre la finalitat, l'interès legítim, les expectatives del titular i el mètode emprat.
No s'ha de confondre el pretext lícit —per exemple, presentar-se com a client en un context comercial obert— amb l'intent de franquejar mitjançant engany una barrera que l'usuari va col·locar precisament per restringir qui podia veure el seu contingut.
La prudència professional consisteix a no convertir la capacitat tècnica d'arribar a una informació en una suposada autorització jurídica per obtenir-la.
La privacitat també és graduada a la pantalla
Un perfil públic i una publicació deliberadament exhibida redueixen l'expectativa de privacitat respecte d'aquest contingut concret.
Un treballador que publica públicament fotografies d'una competició esportiva ha decidit exposar aquest fet a un cercle indeterminat.
Però això no significa que hagi renunciat a la seva intimitat sobre altres aspectes.
El contingut d'accés restringit conserva una expectativa de privacitat reforçada. I l'existència de centenars de seguidors no transforma automàticament una comunitat tancada en un espai equivalent a la via pública.
L'agregació canvia el problema
Hi ha, a més, una qüestió que la investigació digital moderna ha de prendre's molt seriosament.
Cada dada pública pot ser trivial.
Però la compilació massiva i el creuament sistemàtic poden produir un coneixement qualitativament nou sobre una persona.
Una fotografia pública, un càrrec mercantil, una geolocalització històrica, una notícia, una relació professional i deu publicacions antigues, analitzades per separat, poden semblar banals.
Juntes poden reconstruir hàbits, xarxes, patrimoni, desplaçaments o perfils que la persona mai no va exposar com a conjunt.
La disponibilitat pública de cada peça no elimina la necessitat d'analitzar la proporcionalitat, la finalitat i la minimització quan les convertim en un expedient estructurat.
De la troballa a la prova: quatre filtres
1. Base jurídica
Recopilar, creuar i conservar dades personals és tractament de dades.
L'interès legítim de l'article 6.1.f RGPD pot ser una base rellevant en nombroses investigacions privades, però no s'ha d'aplicar de manera automàtica ni com a única resposta possible.
Cal analitzar la finalitat, la necessitat, la ponderació i els drets de la persona afectada.
«Era públic» no és per si sol una base jurídica. És un element del context.
2. Minimització
L'article 49.2 de la Llei 5/2014 exigeix que a l'informe només hi consti la informació directament relacionada amb l'objecte i la finalitat de l'encàrrec.
El rastre digital d'una persona pot revelar salut, ideologia, relacions, creences o vida familiar.
Que aquestes dades apareguin incidentalment no significa que s'hagin d'incorporar.
La investigació professional selecciona.
3. Verificació
L'OSINT és també el territori natural del compte fals, la identitat suplantada, el contingut fora de context i, cada vegada més, la imatge o la veu generades mitjançant intel·ligència artificial.
Una troballa rellevant s'ha de verificar contra la font original quan sigui possible i documentar-se amb data, URL, context i mètode de preservació.
Una captura de pantalla solta no hauria de ser el final de la investigació.
Ha de ser el començament de la verificació.
4. Traçabilitat
El detectiu que signa ha de poder explicar a la sala d'on va sortir cada dada, quan es va consultar, com es va preservar i quina relació té amb l'interès legítim de l'encàrrec.
La informació d'internet canvia. Les pàgines s'editen. Els perfils desapareixen. Les publicacions s'esborren.
Per això la traçabilitat importa.
El que és públic pot continuar sent dada personal
Un altre error habitual és pensar que una dada deixa d'estar protegida pel RGPD quan és pública.
No és així.
Una dada personal pot ser públicament accessible i continuar sent dada personal.
L'accessibilitat influirà en la ponderació, en l'expectativa raonable de la persona afectada i en determinades obligacions, però no esborra automàticament el marc de protecció de dades.
El valor real de l'OSINT: context, no tafaneria
Ben fet, l'OSINT és un multiplicador extraordinari.
Orienta la investigació de camp: on i quan mirar.
Reconstrueix cronologies.
Aporta context societari i patrimonial.
Detecta contradiccions entre allò al·legat en un plet i allò exhibit públicament.
Identifica relacions professionals o empresarials que després es poden verificar per altres vies.
En els nostres expedients patrimonials i laborals, la font oberta assenyala; la investigació professional acredita.
La tecnologia orienta. El mètode prova.
La IA multiplica la potència, i també el risc
Les eines d'intel·ligència artificial permeten resumir grans volums d'informació, trobar connexions i prioritzar hipòtesis.
Però aquesta capacitat pot convertir fàcilment una consulta raonable en una recopilació excessiva.
Per això l'ús de la IA en OSINT necessita una pregunta addicional: quina dada va entrar al sistema, amb quina legitimació i per a quin resultat concret?
L'automatització no redueix la necessitat de proporcionalitat. L'augmenta.
Conclusió
L'OSINT professional no consisteix a rastrejar internet fins a trobar tot el que existeix sobre una persona.
Consisteix a localitzar, verificar i contextualitzar allò que resulta legítimament rellevant per a un encàrrec concret.
Allò que una persona publica voluntàriament redueix la seva expectativa de privacitat respecte d'aquest contingut.
No elimina tots els seus drets.
I la diferència entre font oberta i intromissió no està únicament a la pantalla que veiem.
Està en com hi vam accedir, què vam fer després amb la dada i per què calia fer-ho.
Lectura relacionada: La IA: Asedio a la privacidad — Editorial Tirant Lo Blanch
La veritat té mètode.