Forma de pensar el anonimato que necesitan las personas denunciantes

El anonimato en una denuncia de irregularidades tiene un peso distinto al de una publicación anónima común.

La otra parte puede ser una organización que no quiere perder información. Puede tener logs internos, derechos de acceso, historial de distribución de documentos, cámaras de vigilancia, registros de entrada y salida, administración de dispositivos e historial de correo.

Lo que hay que proteger en una denuncia de irregularidades no es solo el nombre.

Quién tocó el material. Quién conocía ese hecho. Quién podía moverse a esa hora. Quién podía sacar ese documento. A partir de estas condiciones, la persona denunciante se va acotando.

En una denuncia de irregularidades, el origen de la información se vuelve el problema

En una denuncia de irregularidades, el propio contenido es una pista fuerte.

Por ejemplo, materiales visibles solo para un departamento específico, actas de una reunión limitada, correos distribuidos a pocas personas, fotos que solo podrían tomarse en el lugar. Aunque esa información se envíe de forma anónima, la pregunta pasa a ser "quién podía tenerla".

En una denuncia de irregularidades, aunque ocultes la ruta de comunicación, el origen de la información reduce el grupo de personas candidatas.

Esta es una gran diferencia respecto de una publicación anónima común. En una publicación en un foro anónimo, el problema principal puede ser la IP o la cuenta de quien publica. Sin embargo, en una denuncia de irregularidades, los materiales y los hechos contienen información sobre "quién podía saberlo".

Por ejemplo, si solo cinco personas podían ver un material, aunque ocultes la ruta de comunicación, las candidatas son cinco. Si además coinciden el momento de publicación, la versión del material, el estilo de escritura y la hora de envío, el grupo se reduce más. En una denuncia de irregularidades, es importante no pensar el anonimato solo desde la comunicación.

La organización tiene logs internos

La organización que está del otro lado de una denuncia de irregularidades tiene más información que una tercera parte externa.

Historial de acceso del servidor de archivos, historial de visualización en la nube, logs de impresora, registros de entrada y salida, logs de correo, cámaras de vigilancia y registros de operación de dispositivos de trabajo.

Por eso, en una denuncia de irregularidades no basta con proteger solo "el momento de enviar al exterior".

Hay que pensar desde antes de tocar el material, antes de copiarlo, antes de enviarlo y hasta después de que se publique.

Un log interno de la organización no siempre es una prueba decisiva por sí solo. Pero cuando se combinan varios, se vuelven fuertes. La persona que abrió el archivo, la que lo imprimió, la que entró en la sala a esa hora, la que recibió el correo, el dispositivo donde se insertó un USB. Si todo eso apunta en la misma dirección, las candidaturas se reducen.

Lo importante en una denuncia de irregularidades no es solo el instante de pulsar el botón de envío. Ver el material, tomar notas, sacar fotos, imprimir, copiar, consultar, reaccionar después de la publicación. Las acciones de antes y después también se observan en una línea temporal.

Pensar en seguridad y consulta antes que en anonimato

En una denuncia de irregularidades no solo hay riesgos de anonimato, sino también riesgos legales y de seguridad.

Pueden intervenir contrato laboral, deber de confidencialidad, sistemas de denuncia de interés público, preservación de pruebas, represalias, difamación, protección de datos personales y otros factores.

Los artículos de este sitio no son asesoría legal.

En denuncias de alto riesgo, primero considera puntos de consulta adecuados, como abogados de confianza, ventanillas de asesoría laboral, medios de comunicación u organizaciones especializadas en denuncias de interés público.

En una denuncia de irregularidades, cuanto más se actúa por impulso, más peligro hay.

El tiempo dedicado a pensar primero se convierte en una medida de protección.

En una denuncia de irregularidades no puede decirse simplemente "como estoy haciendo lo correcto, está bien". Incluso con información de interés público, el riesgo cambia según el manejo de los materiales, los datos personales, el deber de confidencialidad, la preservación de pruebas y la elección del destino de entrega. Los artículos de este sitio son una entrada para el juicio, no asesoría legal.

En casos de alto riesgo, antes de publicar de inmediato, busca un punto de consulta de confianza. Elige una parte adecuada a la situación: abogados, ventanillas familiarizadas con denuncias de interés público, medios de comunicación que entiendan la protección de fuentes u organizaciones de apoyo. Elegir a quién consultar también forma parte del anonimato.

Las herramientas solas no protegen

Herramientas como Tor, SecureDrop, GlobaLeaks, OnionShare y VPN son útiles.

Sin embargo, en una denuncia de irregularidades, las herramientas por sí solas no completan el anonimato.

Las herramientas son una parte del conjunto.

En una denuncia de irregularidades, hay que pensar incluyendo modelo de amenaza, puntos de consulta, elección de materiales, destino de entrega y contenido de publicación.

Mecanismos como SecureDrop y GlobaLeaks son importantes como canales de recepción y envío de información. Sin embargo, si se accedió desde un dispositivo del trabajo, se envió un material con metadatos o se publicó información que solo tú podías conocer, el grupo de personas candidatas se reduce por otra ruta. Lo mismo ocurre con Tor y VPN. Aunque se proteja una parte de la ruta de comunicación, permanecen archivos, contenido, horarios y logs internos de la organización.

Antes de usar una herramienta, decide qué debe proteger. Quieres dificultar que se vea el origen de conexión. Quieres hacer seguro el canal de entrega. Quieres separar esa actividad de tu entorno con nombre real. Si el objetivo es ambiguo, puedes estar usando una herramienta mientras una parte importante sigue sin protección.

Separar la información que se publica de la información que se consulta

En una denuncia de irregularidades, no es necesario incluir todo en el texto público. Separa la información que se publica, la información que solo se entrega a un punto de consulta y la información que se conserva como prueba.

Publicar es una acción fuerte. Una vez que la información sale, queda en capturas de pantalla, republicaciones y archivos. En una denuncia de irregularidades, diseña no solo qué sacar, sino también qué no sacar.

Resumen

El anonimato que necesita una persona denunciante no consiste solo en ocultar el nombre.

Hay que pensar quién pudo ver el material, quién conocía esa información y quién podía moverse a esa hora.

La organización puede tener logs de acceso a archivos, historial de nube, impresión, entrada y salida, correo y administración de dispositivos.

En una denuncia de irregularidades, antes de usar herramientas de anonimización, organiza el modelo de amenaza, la seguridad, el riesgo legal y el destino de entrega.

Antes de enviar por impulso, detenerse es la primera defensa.

Herramientas relacionadas

Artículos relacionados