El Registro Central de Personas de Dinamarca —la base de datos nacional que asigna a cada residente un número CPR de por vida, utilizado para todo, desde operaciones bancarias hasta la asistencia sanitaria— ha sufrido una filtración de los datos personales de aproximadamente 8,8 millones de personas a través de consultas no autorizadas. Se han filtrado nombres, direcciones, números CPR y otros datos identificativos, que abarcan tanto a residentes vivos como a personas que han emigrado y a fallecidos. La administración del CPR detectó actividad irregular la tarde del 2 de octubre, pero para entonces las consultas ya llevaban unos diez días realizándose sin ser detectadas. Se ha bloqueado el acceso al sistema a la empresa responsable de la cuenta que fue objeto de abuso, y la policía danesa ha abierto una investigación.
Lo que hace que este incidente resulte especialmente instructivo es la forma en que se llevó a cabo el ataque. Los intrusos no irrumpieron directamente en el CPR. Actuaron a través de una empresa privada danesa que tenía acceso legítimo y autorizado para consultar el registro, y utilizaron ese canal de confianza para realizar consultas que iban mucho más allá de lo que se suponía que debía hacer la empresa. Ese es el gran problema de los sistemas de identidad centralizados: la seguridad de la base de datos central depende del acceso de terceros más débil vinculado a ella, y en una infraestructura gubernamental moderna hay muchos de esos accesos. El patrón debería resultar familiar a cualquiera que haya leído nuestro artículo sobre la filtración de datos de Canvas, en la que millones de expedientes de estudiantes se filtraron a través de un proveedor de tecnología educativa que ya se encontraba dentro del perímetro de seguridad.
Para los particulares, la conclusión práctica resulta incómoda. No tienes voz ni voto a la hora de decidir si tus datos de identidad figuran en un registro gubernamental, ni puedes examinar a todos los terceros a los que tu país autoriza a consultarlo. Lo que sí puedes controlar es la información que expones en el resto de sitios: las aplicaciones que conocen tu ubicación, el navegador que filtra tus identificadores por toda la web, los rastreadores que, de forma silenciosa, crean un perfil a partir de tu navegación diaria y lo revenden. La reciente prohibición de la FTC sobre la venta de datos de localización precisos por parte de Kochava ponía de manifiesto precisamente este aspecto desde el punto de vista comercial: una vez que tus datos están en circulación, pierdes cualquier control realista sobre dónde acaban.
Minimizar la información que sale de tu dispositivo es la única medida que los usuarios pueden tomar realmente. Incognito Browser, el mejor navegador gratuito que protege la privacidad para Android, se basa precisamente en esa premisa: bloquear los rastreadores que te siguen de un sitio a otro, borrar tu sesión en el instante en que cierras la aplicación y no almacenar nada en tu dispositivo que un tercero pueda recuperar más tarde. No impedirá una consulta externa en un registro gubernamental de Copenhague. Pero reducirá el rastro que dejas en la faceta mucho más expuesta de tu vida: aquella a la que accedes cada vez que abres un navegador. Puedes instalar Incognito Browser de forma gratuita en Google Play Store.
