Investigar con información pública (OSINT) sin poner en riesgo a las personas

## Escribe por qué está justificada la investigación y a quién podría dañar Defina la pregunta, el beneficio previsto, los grupos afectados y la decisión o el resultado público que la investigación pretende fundamentar. Distinga el verdadero valor público u organizativo de la curiosidad, la atención o la mera capacidad técnica para obtener información. Documente por qué se justifica el trabajo y qué derechos o intereses pueden entrar en conflicto. El hecho de que la información esté disponible públicamente no elimina las obligaciones relativas a la privacidad, la seguridad, la legalidad o la ética. Revise de nuevo la justificación cuando cambien el alcance, el impacto probable o las pruebas. Antes de continuar, confirme: - Quién puede beneficiarse, quién puede resultar perjudicado y de qué manera. - Si el mismo objetivo puede alcanzarse con una intromisión menor. - Qué leyes, deberes profesionales y políticas de la organización son aplicables. - Qué suceso o hallazgo exigiría detener o limitar la investigación. ## Planifica qué fuentes y métodos responden a cada pregunta de investigación Cree un plan dinámico que vincule cada pregunta de investigación con las fuentes, los métodos de recopilación, los pasos de verificación, los métodos de análisis y los resultados previstos. Defina qué está incluido en el alcance, qué queda excluido y cómo pueden afectar esos límites a las conclusiones. Registre las suposiciones, las lagunas de conocimiento, las decisiones de muestreo, las limitaciones de las herramientas y los sesgos previsibles. Establezca puntos de decisión para cambiar el método, en lugar de permitir que la comodidad o una teoría inicial determinen las pruebas recopiladas. El plan debe identificar: - Los objetivos, los entregables, los responsables y los puntos de revisión. - Los campos de datos y las fuentes necesarios para cada objetivo. - Los métodos de conservación, verificación, análisis y documentación. - Los umbrales de calidad, las vías de escalamiento y las condiciones de detención. ## Evalúa los riesgos para las personas y forma un equipo con los conocimientos necesarios Evalúe los riesgos para las personas a las que se refieren los datos, las fuentes, los investigadores, los socios y las audiencias antes de iniciar la recopilación y siempre que cambien las condiciones. Considere la privacidad, la seguridad física, la seguridad en línea, la exposición jurídica, la tensión psicológica y el riesgo de amplificar material dañino. Adecue el equipo al trabajo. Incluya los conocimientos técnicos, lingüísticos, culturales, jurídicos y temáticos necesarios para interpretar las pruebas de forma responsable. Busque perspectivas capaces de revelar puntos ciegos y no asigne la exposición a contenido perturbador sin medidas de protección y apoyo. Para cada riesgo significativo, registre: - La probabilidad, la gravedad, las partes afectadas y la incertidumbre. - Las medidas de prevención, mitigación, supervisión y respuesta. - Un responsable y una fecha de revisión. - Las condiciones que exigen asesoramiento especializado, suspensión o retirada. ## Recoge solo los datos que el objetivo exige y oculta pronto los datos personales No recopile más información de la que requiere el objetivo definido, especialmente cuando intervengan datos personales o sensibles. Prefiera las fuentes y los métodos menos invasivos y vuelva a evaluar la necesidad antes de ampliar el conjunto de datos o vincular registros entre contextos. Cumpla la legislación aplicable y las condiciones de acceso aprobadas. Cuando estén permitidas, las identidades de investigación destinadas a proteger al equipo pueden reducir el riesgo, pero la recopilación no debe basarse en engañar a las personas para que revelen información o concedan acceso. No eluda los controles únicamente porque exista una técnica para hacerlo. Durante la recopilación: - Registre la ubicación de la fuente, el momento de captura, el método y el contexto pertinente. - Separe el material original de los datos depurados, transformados o inferidos. - Corrija los registros dañados o incompletos sin ocultar el cambio. - Seudonimice o anonimice los datos personales tan pronto como sea viable. ## Guarda las pruebas de forma segura y registra de dónde viene cada una Mantenga una ruta rastreable desde cada afirmación hasta el material utilizado para respaldarla. Conserve los originales cuando sea legal y necesario, registre las transformaciones y mantenga suficiente contexto para evitar que un elemento aislado se interprete de forma errónea. Proteja la confidencialidad, la integridad y la disponibilidad durante todo el ciclo de vida de las pruebas. Limite el acceso a las personas que tengan una necesidad legítima, utilice métodos seguros de almacenamiento y transferencia, y defina reglas de conservación y eliminación que tengan en cuenta tanto la reproducibilidad como el riesgo de exposición. Mantenga: - Un registro de investigación con las acciones, las decisiones, los dilemas y los cambios de alcance. - Registros de procedencia para el material recopilado, derivado y corroborante. - Versiones de los métodos, los scripts, los filtros y la configuración de las herramientas cuando corresponda. - Copias de seguridad y archivos con recuperación probada y acceso controlado. ## Contrasta las conclusiones con todas las pruebas e indica tu grado de certeza Contraste las explicaciones con el conjunto completo de datos pertinentes, en vez de seleccionar únicamente elementos que las respalden. Busque pruebas contradictorias, alternativas plausibles, poblaciones ausentes y artefactos introducidos por la recopilación o el procesamiento. Corrobore los hallazgos con consecuencias importantes mediante fuentes independientes siempre que sea viable. Evalúe la fiabilidad de una fuente por separado de si respalda la teoría de trabajo. Exprese el grado de confianza según la solidez, la independencia, la coherencia y la integridad de las pruebas. Para cada hallazgo importante: - Identifique las pruebas que lo respaldan y las que lo debilitan. - Explique las lagunas significativas, la incertidumbre y las limitaciones de las herramientas o del conjunto de datos. - Separe la observación, la inferencia, la atribución y la predicción. - Busque pruebas adicionales cuando la confianza esté por debajo del umbral exigido. ## Pide a otros que cuestionen los hallazgos antes de publicarlos Utilice un proceso de revisión real que pueda modificar o rechazar una conclusión. Los revisores deben examinar las pruebas, los métodos, los cálculos y el razonamiento; después, deben buscar saltos sin respaldo, explicaciones alternativas, suposiciones culturales y daños evitables. Elija revisores con conocimientos pertinentes pero diversos y revele los conflictos que puedan afectar a su independencia. Resuelva las objeciones importantes o documente por qué siguen sin resolverse. La aprobación nunca debe reducirse a una firma ceremonial. El registro de la revisión debe mostrar: - Qué se revisó y quién lo hizo. - Qué debilidades o desacuerdos se encontraron. - Cómo cambiaron el análisis o la publicación en respuesta. - Qué limitaciones sin resolver deben acompañar al resultado. ## Publica los hallazgos con claridad y protege los datos personales y las fuentes Escriba para la audiencia prevista con un lenguaje preciso, accesible y no sensacionalista. Ajuste la firmeza de cada conclusión al grado de confianza de las pruebas. Proporcione suficiente información sobre la metodología y material de apoyo para que los lectores comprendan cómo se llegó a la conclusión. Antes de publicar, equilibre la transparencia con la privacidad, la seguridad, la protección de las fuentes y el riesgo de amplificación. Incluya únicamente los datos personales y el material dañino necesarios para respaldar el propósito legítimo. Cuando las pruebas no puedan mostrarse de forma segura, explique el fundamento de la conclusión y el motivo por el que se retienen. El resultado debe: - Distinguir entre hechos, análisis, suposiciones y alegaciones. - Presentar las contrapruebas pertinentes, las lagunas de datos y las fechas límite. - Reconocer a las fuentes y a los colaboradores cuando resulte exacto y seguro hacerlo. - Explicar las modificaciones significativas de imágenes, datos u otras representaciones. ## Corrige los errores tras publicar y convierte lo aprendido en mejores métodos La responsabilidad continúa después de la publicación. Supervise los efectos previsibles, proporcione un canal accesible para impugnaciones de buena fe y corrija los errores significativos con rapidez y transparencia. Utilice el historial de versiones para que los lectores posteriores puedan distinguir el contexto original de los cambios subsiguientes. Revise si el trabajo logró el beneficio previsto y causó daños inesperados. Evalúe el método, los controles de riesgos, el bienestar del equipo y las decisiones de publicación; después, convierta las lecciones en mejoras concretas para futuras investigaciones. Cuando sea legal y seguro: - Conserve un archivo exacto conforme a una política de conservación definida. - Comparta métodos, herramientas y lecciones reutilizables sin exponer a las personas protegidas. - Informe de las vulnerabilidades o amenazas de seguridad a las partes capaces de abordarlas. - Contribuya con conocimientos y formación respetando el reconocimiento y el consentimiento.