El Comisionado de Privacidad de Canadá, Philippe Dufresne, abrió una investigación formal contra Navigate360, la empresa comercial que administra la plataforma de gestión de denuncias anónimas utilizada por los capítulos canadienses de Crime Stoppers. El incidente comprometió información compartida a través de ese sistema en todo el país.
La investigación fue anunciada el 27 de octubre de 2026 desde Gatineau, Quebec. Navigate360 provee y gestiona el sistema de gestión de tips que emplean las filiales de Crime Stoppers en Canadá —un canal que permite a ciudadanos reportar delitos de forma anónima. La naturaleza sensible de esa información, que puede incluir datos de denunciantes que operan bajo expectativa de anonimato, eleva el riesgo potencial de exposición más allá de un incidente corporativo estándar.
Datos confirmados al cierre de esta edición
- Investigador: Comisionado de Privacidad de Canadá (OPC), Philippe Dufresne.
- Empresa investigada: Navigate360, proveedor comercial del sistema de gestión de denuncias.
- Afectados potenciales: capítulos de Crime Stoppers en todo Canadá.
- Tipo de datos comprometidos: tips o denuncias ciudadanas compartidas a través de la plataforma.
- Fecha de apertura de investigación: 27 de octubre de 2026.
Qué se sabe y qué falta confirmar
La investigación del OPC está en curso. Según se informó, el Comisionado tomó la iniciativa de abrir el expediente a partir del incidente de ciberseguridad, aunque no se han divulgado públicamente el vector de ataque, el volumen de registros afectados ni si se produjo exfiltración confirmada de datos. Tampoco se ha precisado si Navigate360 notificó de forma proactiva a la autoridad o si el OPC actuó a partir de reportes de terceros. El alcance geográfico exacto dentro de Canadá —cuántos capítulos de Crime Stoppers resultaron afectados— permanece sin confirmar al cierre de esta edición.
El caso pone en foco la responsabilidad de proveedores tecnológicos terceros que procesan datos especialmente sensibles por cuenta de organismos de interés público. En América Latina, marcos como la Ley 25.326 de Argentina, la LGPD de Brasil o la Ley 19.628 de Chile —actualmente en proceso de reforma— contemplan la figura del encargado de tratamiento o operador, estableciendo obligaciones que recaen tanto sobre el responsable original como sobre el proveedor. Un incidente de esta naturaleza, protagonizado por un vendor, sería materia directa de supervisión de autoridades como la AAIP en Argentina o la ANPD en Brasil.
El próximo hito será la determinación del OPC sobre si Navigate360 cumplió con las obligaciones de notificación y salvaguarda establecidas en la PIPEDA y las regulaciones de reporte de brechas vigentes en Canadá, cuyo plazo de notificación a la autoridad es tan pronto como sea razonablemente posible.
