UPAD tuvo acceso a datos sensibles, concluye Defensoría de los Habitantes

La defensora de los Habitantes, Catalina Crespo, afirmó la noche de este viernes que la Unidad Presidencial de Análisis de Datos (UPAD) sí tuvo acceso a datos sensibles de los ciudadanos de Costa Rica.

El informe de la Defensoría de los Habitantes a casi una semana de ordenar una investigación sobre la UPAD indica que "a partir del uso del Sistema Nacional de Información y Registro Único de Beneficiarios del Estado (Sinirube), sí se tuvo acceso a datos sensibles, los cuales se obtuvieron a través de convenios que autorizaban conexión directa a las mencionadas bases".

Crespo aseguró además que el artículo 7 del decreto ejecutivo, que permite acceso a información personal y confidencial de los ticos, era improcedente jurídicamente y contrario al ordenamiento jurídico del país.

Ahora le corresponderá a la Fiscalía determinar el uso o no de los datos, explicó la Defensoría al indicar que con los hallazgos de la investigación se determinará la necesidad de conocer qué otra información estaba en la computadora utilizada por el equipo de la UPAD.

Sin embargo, la Defensoría consideró que se deben dejar sin efecto los convenios que se suscribieron entre la Presidencia y las instituciones a las que se solicitó información.

Crespo indicó que en el decreto derogado no se hizo referencia a protocolos apegados a Ley de Protección de Datos que incluyen su identificación, seguridad y custodia de la información obtenida.

El documento de la Defensoría señala que el artículo 8 contempló en la integración de la UPAD a una serie de especialidades profesionales, pero no a una persona experta en protección de datos o ciberseguridad.

Lea: Fiscalía debió actuar rápido en decomisar equipos por caso UPAD, dicen expertos en ciberseguridad

"El equipo de asesores que trabajó en el análisis de datos durante 18 meses en Casa Presidencial realizó sus funciones sin respaldo legal que justificara sus alcances, limitaciones y responsabilidades, ni contaba con los recursos tecnológicos y de infraestructura requeridos para esa labor", señaló Crespo.

Para la Defensoría, este equipo era de hecho y no de derechos, y señalaron la omisión de la Agencia de Protección de Datos en el cumplimiento de sus funciones al no intervenir, ya sea analizando las bases de datos de la UPAD, solicitando la existencia de protocolos o emitiendo medidas cautelares.

"No hubo análisis de riesgos en protección de datos incluyendo protocolos de actuación, de seguridad, custodia de los datos, protocolo de identificación y manejo, los cuales permiten que un habitante, al sentirse afectado por el uso de sus datos personales, ejerza los derechos de acceso, rectificación, cancelación y oposición, conocidos como ARCO", destacó la Defensoría.

Para el órgano defensor se evidenció el debilitamiento del control interno de Casa Presidencial respecto a tecnologías de información, tanto como en la asignación de funciones a otras unidades sin la existencia de un respaldo legal.

Lea: Celular, computadora y documentos del presidente Alvarado fueron secuestrados en allanamiento

La Defensoría resaltó su compromiso de colaborar en todos los extremos con la investigación que realiza el Ministerio Público, que allanó este viernes 10 inmuebles diferentes, incluido Casa Presidencial, relacionados con el caso de la UPAD por los supuestos delitos de violación de datos personales, abuso de autoridad y prevaricato.

La Fiscalía detalló en un comunicado que dentro del expediente se investiga a ocho personas, entre ellas el presidente Carlos Alvarado, el ministro de la Presidencia, Víctor Morales y el viceministro de Planificación, Daniel Soto; así como a los integrantes de la UPAD, Alejandro Madrigal, Andrés Villalobos y Diego Fernández.

También se investiga al exasesor legal de la Presidencia, Luis Salazar y la ayudante personal de Carlos Alvarado, Felly Salas.

Lea: Renuncia Luis Salazar, asesor de Presidencia que trabajó en decreto para crear la UPAD