Imagen generada con IA.
Un fallo de configuración en el buscador de participantes de una carrera popular ha costado a su organizador una sanción de la Agencia Española de Protección de Datos (AEPD). El caso, instruido bajo el expediente EXP202402402, recuerda a clubes deportivos, ayuntamientos y empresas de eventos que publicar «solo unos datos» en una web no es garantía de nada si el diseño del sistema permite acceder a los de cualquier otra persona con un simple cambio en la URL.
El caso: datos de participantes accesibles por un fallo de configuración
La empresa gallega Multisports Galicia, dedicada a la organización de carreras populares y eventos deportivos, ofrecía en su web un buscador pensado para que cada corredor pudiera comprobar su dorsal y sus datos de inscripción introduciendo su nombre o su DNI. Hasta ahí, un servicio habitual y razonable.
El problema surgió por cómo estaba construida esa funcionalidad. La AEPD, a raíz de una reclamación presentada en diciembre de 2023, constató que bastaba con modificar manualmente el valor del DNI en la propia dirección web de la búsqueda para que el sistema devolviera el nombre y los apellidos asociados a ese número, sin pedir ninguna otra credencial ni confirmación. En la práctica, cualquier persona con conocimientos mínimos de navegación web podía «barrer» números de DNI y obtener, uno a uno, la identidad de decenas o cientos de participantes sin su consentimiento y sin que el sistema lo impidiera de ninguna forma.
No se trataba de una fuga masiva de datos provocada por un ciberataque, sino de algo más prosaico y, por eso mismo, más habitual de lo que parece: un diseño técnico que no contempló que el buscador pudiera usarse para fines distintos a los previstos por sus creadores.
Un riesgo habitual y poco conocido: la gestión de datos en eventos deportivos
Carreras populares, torneos de fútbol base, maratones solidarios, marchas cicloturistas… Este tipo de eventos maneja, casi siempre sin que sus organizadores sean plenamente conscientes de ello, un volumen considerable de datos personales: nombre, apellidos, DNI, fecha de nacimiento, teléfono, correo electrónico y, en ocasiones, datos de salud básicos (alergias, condiciones médicas relevantes para emergencias). Muchos clubes y asociaciones deportivas recurren a plataformas de inscripción de terceros o a desarrollos propios de bajo coste, en los que la protección de datos rara vez ocupa un lugar destacado en las prioridades técnicas. El resultado es un ecosistema de webs de inscripción, buscadores de dorsales y listados de clasificaciones que, con demasiada frecuencia, no incorporan controles básicos de seguridad.
La AEPD consideró que el organizador había incumplido el artículo 32 del RGPD, que obliga a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Es importante subrayar que se trata de una obligación de medios, no de resultado: no basta con no haber sufrido (todavía) un incidente grave, sino que hay que poder demostrar que el sistema se diseñó e implementó con la diligencia debida desde el principio.
Qué deben revisar los organizadores de carreras, torneos y eventos populares
La resolución calificó la infracción como grave e impuso una sanción de 6.000 euros, reducida a 3.600 euros tras el reconocimiento de responsabilidad y el pago voluntario por parte de la empresa, además de imponer medidas correctoras para subsanar el fallo detectado. Más allá del importe, lo relevante es el tipo de error: no un ataque sofisticado, sino un descuido de diseño que cualquier revisión mínima de seguridad habría detectado.
Antes de publicar cualquier buscador, listado de clasificaciones o consulta de dorsales en una web de inscripciones, conviene preguntarse si un usuario podría, cambiando manualmente parámetros en la URL o en el formulario, acceder a datos que no le corresponden. Esta comprobación, conocida como control de acceso a nivel de registro, es una de las verificaciones más básicas —y más frecuentemente olvidadas— en el desarrollo de aplicaciones web que manejan datos de terceros.
Checklist de protección de datos para clubes y organizadores de eventos
- Exigir siempre dos factores de verificación combinados (por ejemplo, dorsal y apellidos, no un único dato) para mostrar información personal en cualquier buscador público.
- Comprobar que no se puede acceder a los datos de otro participante simplemente modificando un identificador en la URL o en los parámetros de la petición.
- Limitar los datos mostrados en listados públicos al mínimo imprescindible (nombre y dorsal, evitando DNI completo, teléfono o correo).
- Revisar los contratos con las plataformas de inscripción externas y confirmar que actúan como encargadas del tratamiento conforme al RGPD.
- Establecer un plazo de conservación de los datos de inscripción y eliminarlos una vez cumplida su finalidad.
- Realizar una revisión de seguridad básica antes de cada evento, especialmente si se reutiliza o adapta una web de ediciones anteriores.
Este tipo de sanciones demuestra que el cumplimiento normativo no depende del tamaño de la organización ni de la sofisticación de su tecnología, sino de aplicar principios de seguridad elementales desde el diseño. En Dataibérica ayudamos a clubes deportivos, ayuntamientos y empresas organizadoras de eventos a revisar sus plataformas de inscripción y a implantar las medidas de seguridad exigidas por el RGPD antes de que un fallo evitable se convierta en un expediente sancionador. Si organizas eventos que recogen datos de participantes, consulta nuestros servicios de protección de datos o contacta con nosotros para una revisión previa a tu próxima inscripción.
Fuente principal: Confilegal.
