Blog · OSINT y verificación

La ética del OSINT: qué es legal investigar con fuentes abiertas

Abrir el mapa →

Que un dato esté publicado no significa que puedas hacer cualquier cosa con él. Esa frase resume el malentendido más extendido sobre el OSINT legal: mucha gente asume que «fuente abierta» equivale a «barra libre», y no es así. Investigar con fuentes abiertas legalmente exige entender que la licitud no depende solo de dónde estaba la información, sino de cómo la obtienes, qué haces con ella y a quién afecta. Esta guía recorre el marco general, las líneas rojas que nunca se cruzan y las buenas prácticas que separan a un investigador serio de alguien que va a meterse en un problema.

Un aviso antes de empezar: esto es divulgación, no asesoría legal. Si tu caso concreto tiene consecuencias jurídicas, consulta a un profesional.

El principio básico: accesible no significa utilizable para todo

El OSINT se define por trabajar exclusivamente con información deliberadamente pública: webs oficiales, registros abiertos, redes sociales, señales difundidas en abierto como las de aviones y barcos. Hasta ahí, ningún problema: mirar lo que alguien ha decidido publicar es, en esencia, leer.

El matiz llega después. La información puede ser pública y, aun así, su uso posterior estar regulado. Una foto publicada en una red social sigue teniendo derechos de autor. Un nombre que aparece en un boletín oficial sigue siendo un dato personal. Una cámara de tráfico es pública, pero usarla para vigilar a una persona concreta cambia por completo la naturaleza del acto.

La pregunta correcta nunca es solo «¿puedo ver esto?», sino «¿puedo hacer con esto lo que pretendo hacer?». Son dos preguntas distintas con respuestas a menudo distintas.

El marco general: tres capas de reglas

Sin entrar en artículos concretos, conviene tener en la cabeza tres niveles de normas que afectan a casi cualquier investigación con fuentes abiertas en Europa.

La protección de datos. El RGPD regula el tratamiento de datos personales en la UE, y aquí viene la clave que mucha gente ignora: los datos personales siguen protegidos aunque estén publicados. Que alguien haya compartido su ubicación en una red social no te autoriza a recopilarla, cruzarla con otras fuentes y construir un perfil de sus movimientos. El tratamiento necesita una base que lo legitime, y la finalidad importa: no es lo mismo verificar un hecho de interés público que fichar a un particular por curiosidad.

La reutilización de la información pública. La normativa de reutilización de la información del sector público fomenta que los datos de las administraciones puedan aprovecharse, pero con condiciones: citar la fuente, no alterar el sentido de la información y respetar las licencias de cada conjunto de datos. Abierto no significa sin reglas; significa reglas pensadas para permitir el uso, no para impedirlo.

Los términos de cada plataforma. Cada web, red social o servicio fija sus propias condiciones: qué se puede consultar, si se permite la descarga masiva, qué usos están vetados. Incumplirlas no siempre es delito, pero puede acarrear bloqueos, reclamaciones y, en según qué contextos, responsabilidad. Un investigador profesional las lee antes de apoyar su trabajo en una plataforma.

Abrir el mapa →

Las líneas rojas: lo que nunca es OSINT

Hay zonas grises, pero también hay fronteras nítidas. Estas cuatro no se discuten.

Acceder a sistemas sin autorización no es OSINT: es intrusión. Si para llegar a una información necesitas una contraseña que no es tuya, explotar un fallo de seguridad o colarte por una configuración defectuosa, has salido del terreno de las fuentes abiertas. Da igual que «fuera fácil» o que «la puerta estuviera abierta»: el acceso no autorizado a sistemas informáticos puede constituir delito, y la facilidad técnica no lo convierte en lícito.

El doxxing y el acoso. Recopilar y publicar datos de una persona para exponerla, intimidarla o dirigir hostilidad contra ella no es investigación: es un ataque que usa técnicas de investigación. Ninguna causa lo justifica, y las consecuencias (para la víctima y para quien lo hace) pueden ser graves.

Las cámaras privadas expuestas por error. En internet circulan listados de cámaras domésticas y de comercios accesibles porque alguien no cambió la contraseña de fábrica. Que sean alcanzables no las convierte en públicas: su titular nunca decidió difundirlas. Conectarse a ellas es acceder a un sistema ajeno sin permiso, con el agravante de invadir espacios íntimos. La diferencia con una cámara de tráfico publicada por un organismo oficial es abismal: una es una fuente abierta; la otra, una vulneración.

Los menores, siempre fuera. Sin matices ni excepciones. Identificar, rastrear o exponer a menores queda fuera de cualquier investigación legítima con fuentes abiertas, sea cual sea el contexto.

Figuras públicas y personas anónimas: el interés público pesa distinto

No todas las personas merecen el mismo nivel de escrutinio, y el derecho lo reconoce. Quien ocupa un cargo público, dirige una gran empresa o ejerce influencia notable ha asumido un grado de exposición que una persona anónima no ha asumido jamás.

El ejemplo más ilustrativo de los últimos años es el debate sobre los jets privados de los famosos. Los aviones difunden su posición en abierto por diseño del sistema de vigilancia aérea, y agregadores y cuentas en redes han usado esos datos para publicar los vuelos de magnates y celebridades. ¿Es legítimo? El argumento a favor apela al interés público: emisiones, coherencia entre discurso y conducta, uso de recursos. El argumento en contra, a la seguridad y la intimidad. No hay consenso cerrado, y precisamente por eso es un caso de estudio perfecto, que analizamos a fondo en el rastreo de jets privados de famosos.

La regla práctica que se decanta de ese debate: cuanto más poder e influencia tiene alguien, más escrutinio admite sobre su actividad pública; cuanto más anónima es una persona, más protección merece. Aplicar a un particular las técnicas que se discuten para un multimillonario no es equivalente: es desproporción.

Abrir el mapa →

Buenas prácticas: cómo trabajan los profesionales

La ética OSINT no es una lista de prohibiciones, sino un método de trabajo. Cuatro hábitos lo resumen.

Define el propósito antes de empezar. ¿Qué pregunta legítima intentas responder? Si no puedes formularla en una frase, detente. El propósito delimita qué datos necesitas y cuáles no, y es tu mejor defensa si alguien cuestiona tu trabajo después.

Minimiza los datos. Recoge solo lo necesario para tu pregunta, conserva solo lo imprescindible y descarta lo demás. Acumular información personal «por si acaso» es exactamente el patrón que la protección de datos quiere evitar.

Verifica antes de publicar. Un hallazgo sin contrastar es una hipótesis, y publicar hipótesis como hechos destruye reputaciones, incluida la tuya. Triangula con fuentes independientes, fecha cada evidencia, archiva las pruebas. Las herramientas OSINT gratuitas cubren todo el ciclo de verificación sin coste; no hay excusa para saltárselo.

En periodismo, ofrece el derecho de réplica. Si tu investigación señala a alguien, esa persona merece la oportunidad de responder antes de la publicación. No es solo deontología: las respuestas a menudo corrigen errores que habrían sido tuyos.

La prueba del titular: si no te sentirías cómodo explicando en público cómo obtuviste un dato y para qué lo usaste, probablemente no deberías haberlo hecho.

Cómo aplica esto un agregador de fuentes abiertas

Estos principios no son teoría: se pueden ver funcionando en el diseño de las plataformas serias. Argos Atlas, que agrega en un mapa miles de cámaras públicas de tráfico junto a capas de vuelos y barcos, es un ejemplo de cómo se traducen en criterios concretos:

• Solo fuentes oficiales deliberadamente públicas: cámaras que organismos como la DGT publican en sus propias webs, nunca dispositivos privados ni accesos dudosos.
• Sin reconocimiento facial ni de matrículas: la plataforma muestra el contexto del tráfico, no identifica personas ni vehículos.
• Sin histórico de imágenes: se conserva únicamente el último fotograma publicado por la fuente, en baja resolución, lo que impide reconstruir movimientos pasados.
• Cita de la fuente y canal de retirada: cada cámara enlaza a su organismo de origen, y existe una vía de contacto para solicitar la retirada de contenido.

Son decisiones de minimización aplicadas a escala: agregar lo público sin crear, por acumulación, una capacidad de vigilancia que ninguna fuente individual ofrecía. El detalle completo está en la página de fuentes y metodología.

Preguntas frecuentes

¿Es legal investigar con fuentes abiertas?

Con carácter general, sí: consultar información que su titular ha publicado deliberadamente es lícito. Las complicaciones llegan con el tratamiento posterior. Si manejas datos personales, el RGPD se aplica aunque los datos estuvieran publicados; si reutilizas información del sector público, hay condiciones de cita y licencia; y si tu finalidad es ilícita (acosar, discriminar, vigilar a alguien), la legalidad de la fuente no blanquea el uso.

¿Dónde está la línea entre OSINT e intrusión?

En la autorización del acceso. OSINT es trabajar con lo que está deliberadamente publicado: si llegas a la información por la puerta que su titular abrió al público, estás dentro del marco. Si necesitas credenciales ajenas, explotar vulnerabilidades o aprovechar configuraciones erróneas, estás accediendo sin autorización a un sistema, lo que puede constituir delito con independencia de lo fácil que resultara técnicamente.

¿Puedo publicar lo que encuentro?

No automáticamente. Encontrar legalmente y publicar legalmente son evaluaciones separadas. Antes de difundir, pregúntate: ¿hay interés público real o solo curiosidad? ¿Afecta a datos personales de personas sin proyección pública? ¿He verificado cada afirmación con fuentes independientes? ¿El daño que puede causar la publicación es proporcionado al interés que sirve? En contextos periodísticos, añade el derecho de réplica: quien va a ser señalado debe poder responder antes.

¿Qué pasa con los datos de personas anónimas?

Son el terreno más protegido y donde más cuidado debes tener. Una persona anónima no ha asumido ningún nivel de escrutinio público, y agregarle datos dispersos (cada uno inocuo por separado) puede construir un perfil invasivo que vulnere el RGPD y cause daños reales. La regla práctica: el escrutinio se gradúa con el poder. Lo que puede ser debatible respecto a un cargo público o un multimillonario es, aplicado a un particular, simplemente desproporcionado.

Conclusión

El OSINT legal y ético cabe en tres ideas: trabaja solo con lo deliberadamente público, trata los datos personales como lo que son aunque estén a la vista, y mide cada publicación por el interés que sirve y el daño que puede causar. Las líneas rojas (intrusión, doxxing, cámaras privadas, menores) no admiten debate; el resto exige criterio, propósito definido y verificación constante.

Si quieres ver cómo se concretan estos principios en una plataforma real (qué fuentes se aceptan, qué se descarta y por qué), puedes leer nuestra metodología: es la versión aplicada de todo lo que acabas de leer.