La reciente revelación de que miembros de la Marina francesa filtraron involuntariamente información sensible mediante el uso de la aplicación deportiva Strava constituye un ejemplo paradigmático de los riesgos asociados a la protección de datos, la ciberseguridad y, especialmente, a la denominada seguridad operacional (OPSEC) en la era digital.

El caso pone de manifiesto cómo el uso cotidiano de dispositivos aparentemente inocuos —como relojes inteligentes— puede derivar en una exposición crítica de información estratégica. En concreto, la publicación de rutas de entrenamiento, horarios y patrones de actividad permitió inferir datos sobre la operativa de submarinos nucleares franceses, lo que plantea interrogantes jurídicos y técnicos de gran calado.

 

La privacidad no es solo individual

Tradicionalmente, el derecho a la protección de datos personales se ha concebido como una garantía individual. Sin embargo, este caso demuestra que la exposición de datos personales —como ubicaciones o rutinas— puede tener consecuencias que trascienden al individuo, afectando incluso a la seguridad nacional.

El uso de perfiles públicos en Strava, con nombres reales y patrones de actividad visibles, permitió identificar a miembros de la tripulación y deducir información crítica. Aquí se produce una colisión entre el principio de minimización de datos y la práctica extendida de compartir información en plataformas digitales sin una adecuada configuración de privacidad.

 

Responsabilidad compartida

Desde una perspectiva jurídica, la responsabilidad en este tipo de incidentes no puede recaer exclusivamente en los usuarios. Nos encontramos ante un escenario de corresponsabilidad donde intervienen múltiples actores.

Por un lado, los usuarios no adoptaron medidas básicas de configuración de privacidad, exponiendo datos sensibles de geolocalización. Por otro, la institución militar no previó adecuadamente los riesgos derivados del uso de dispositivos wearables en entornos especialmente protegidos. Finalmente, la propia plataforma facilita en muchos casos configuraciones públicas por defecto o no advierte de forma suficientemente clara sobre los riesgos asociados al tratamiento de datos de ubicación.

Este último aspecto conecta directamente con las obligaciones impuestas por el Reglamento General de Protección de Datos (RGPD), especialmente en lo relativo al principio de privacidad desde el diseño y por defecto (privacy by design and by default).

 

Como siempre el factor humano es el eslabón más débil

Uno de los aspectos más relevantes del caso es la persistencia del llamado factor humano como principal vulnerabilidad en materia de ciberseguridad. A pesar de los estrictos controles de acceso a la base naval —incluyendo escáneres faciales y restricciones sobre teléfonos móviles—, los smartwatches quedaron fuera del perímetro de seguridad.

Este fallo evidencia una falta de evaluación integral de riesgos tecnológicos, donde no se contemplan todos los vectores posibles de fuga de información. La ciberseguridad no puede limitarse a dispositivos tradicionales; debe extenderse a cualquier tecnología capaz de generar, almacenar o transmitir datos.

Resulta especialmente preocupante que ya en 2018 se hubiera detectado un problema similar en la misma base naval. La reiteración del incidente sugiere una deficiente implementación de medidas correctoras y una posible ausencia de una cultura sólida de cumplimiento normativo (compliance) en materia de seguridad de la información.

Desde el punto de vista jurídico, esto podría implicar una vulneración de los principios de responsabilidad proactiva exigidos por el RGPD, así como una eventual responsabilidad administrativa si se demuestra negligencia en la gestión de riesgos.

Este caso debe servir como advertencia para organizaciones públicas y privadas. La integración de tecnologías digitales en la vida cotidiana exige una revisión constante de las políticas de seguridad y privacidad. La implantación de políticas claras sobre el uso de dispositivos personales en entornos sensibles resulta imprescindible, al igual que la realización de auditorías periódicas de riesgos tecnológicos emergentes.

Asimismo, cobra especial relevancia la formación continua en ciberseguridad y protección de datos, así como la necesidad de exigir a las plataformas digitales un mayor compromiso con la transparencia y la configuración segura por defecto, en línea con las exigencias normativas europeas.