PARÍS — Tres filtraciones de datos en pocas semanas en la Dirección General de Finanzas Públicas (DGFiP) y una creciente polémica política sobre la seguridad informática del Estado. Tras descubrirse un tercer acceso fraudulento, esta vez relacionado con las sucesiones vacantes, el problema supera ya el incidente técnico: ¿protegió suficientemente la administración la información personal que recopila de los ciudadanos franceses?
La última intrusión afectó al servicio encargado de las sucesiones vacantes, utilizado cuando nadie reclama una herencia o no existe un heredero conocido. La DGFiP asegura que detectó el acceso y lo interrumpió rápidamente. El episodio llega, sin embargo, después de otras dos fugas que han afectado a la administración fiscal durante las últimas semanas.
Es precisamente esta repetición la que cambia la dimensión del caso.
«El Estado ha fallado», acusa Patrick Kanner
El presidente del grupo socialista en el Senado, Patrick Kanner, responsabilizó directamente al Estado durante una entrevista este miércoles 19 de agosto en RTL. El senador calificó de «patéticas» las disculpas del Gobierno y reclamó una comisión parlamentaria de investigación tras un pirateo que considera «catastrófico».
Se trata de una acusación política y no, por ahora, de la conclusión de una investigación técnica o de una resolución de la CNIL. Para establecer si el Estado incumplió efectivamente sus obligaciones será necesario conocer cómo obtuvieron acceso los atacantes, qué sistemas de protección existían, si había vulnerabilidades conocidas y, sobre todo, qué información fue realmente comprometida.
La sensibilidad de los sistemas afectados aumenta el alcance del problema. La DGFiP concentra información fiscal, patrimonial y personal de millones de contribuyentes. También gestiona las sucesiones vacantes y sin herederos, una actividad que implica necesariamente el tratamiento de numerosos datos.
La protección de los datos es una obligación
La legislación obliga tanto a organismos públicos como privados a aplicar medidas de seguridad adaptadas al riesgo. La CNIL recuerda que los sistemas de información están sometidos permanentemente a ataques y que sus responsables deben adoptar previamente las medidas técnicas y organizativas necesarias para proteger los datos personales.
La autoridad francesa ya ha sancionado a organismos públicos cuando ha considerado insuficientes esas medidas. En enero, France Travail recibió una multa de cinco millones de euros después de una brecha que permitió acceder a datos de personas inscritas durante los veinte años anteriores.
Sufrir un ciberataque no demuestra automáticamente una negligencia: ningún sistema conectado puede garantizar un riesgo cero. La acumulación de incidentes dentro de una misma administración obliga, sin embargo, a determinar si los mecanismos de prevención, detección y respuesta estaban a la altura de la sensibilidad de la información almacenada.
Ahí se encuentra ahora la cuestión central. La tercera filtración no permite afirmar por sí sola que el Estado francés haya fracasado en la protección de los datos de su población. Sí convierte una sucesión de incidentes informáticos en un problema de confianza pública. Determinar la responsabilidad exigirá conocer las vulnerabilidades explotadas, el alcance real de los datos comprometidos y las medidas de seguridad existentes antes de los ataques.
