La Oficina del Comisionado de Información del Reino Unido (ICO) emitió una amonestación formal contra ACRO Criminal Records Office, unidad policial nacional encargada de emitir certificados de antecedentes penales y certificados de protección internacional de menores, tras confirmar infracciones a los artículos 32(1), 32(1)(b) y 32(1)(d) del UK GDPR.
ACRO es una unidad policial de alcance nacional que, entre otras funciones, procesa solicitudes de acceso de titulares (Subject Access Requests) y gestiona documentación sensible vinculada a antecedentes penales y protección infantil. La ICO determinó que la entidad no implementó medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo de los datos que trata, una exigencia explícita del artículo 32 del UK GDPR. La amonestación fue publicada el 15 de agosto de 2026, según se informó en DataBreaches.net.
Artículo 32 UK GDPR: los tres puntos de infracción confirmados
- Artículo 32(1): ausencia de medidas técnicas y organizativas apropiadas para el nivel de riesgo del tratamiento.
- Artículo 32(1)(b): falta de capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia continuas de los sistemas de tratamiento.
- Artículo 32(1)(d): inexistencia de un proceso regular de verificación, evaluación y valoración de la eficacia de las medidas de seguridad aplicadas.
Qué se sabe y qué falta confirmar
La información disponible confirma la amonestación formal de la ICO y los artículos infringidos del UK GDPR. No se han divulgado públicamente detalles sobre el volumen de registros afectados, la naturaleza técnica del incidente —si fue una exfiltración externa, un error de configuración o una exposición interna—, ni el número de personas cuyos datos podrían haberse visto comprometidos. Tampoco se ha informado si ACRO notificó el incidente a los titulares afectados ni en qué plazo. La ICO optó por una amonestación y no por una sanción económica, decisión que en el marco del UK GDPR post-Brexit es una herramienta regulatoria diferenciada de la multa administrativa, aunque igualmente vinculante en cuanto a las medidas correctivas exigidas.
El caso tiene relevancia directa para organismos públicos en América Latina que procesan datos de categorías especiales —como antecedentes penales o datos de menores— sin controles equivalentes al artículo 32. En Argentina, la Ley 25.326 y las disposiciones de la AAIP exigen medidas de seguridad adecuadas al nivel de sensibilidad del dato; en Brasil, el artículo 46 de la LGPD impone obligaciones similares con un estándar de proporcionalidad al riesgo. Entidades públicas que gestionan registros criminales o certificados de conducta en la región operan frecuentemente sin evaluaciones periódicas de la eficacia de sus controles —exactamente el punto que motivó la infracción al artículo 32(1)(d) en este caso.
El próximo hito a seguir es la respuesta formal de ACRO al plan de acción correctivo que la ICO tiene facultad de exigir tras la amonestación, cuyo plazo no fue publicado al cierre de esta nota.
