Un millón de documentos de identidad expuestos en internet desde clubes sociales de cannabis en España
Hace unas semanas conocimos, a través de un artículo publicado por elDiario.es, la exposición en internet de un gran volumen de documentos de identidad y otros datos personales vinculados a usuarias de clubes sociales de cannabis. La noticia puso sobre la mesa una cuestión importante: la digitalización puede facilitar mucho la gestión de una asociación, pero también exige una responsabilidad cada vez mayor en la protección de los datos.
Tras conocerse el caso, la empresa responsable del sistema afectado suspendió temporalmente la aplicación PuffPal y sus servicios asociados, anunció una revisión técnica y aseguró haber corregido las vulnerabilidades detectadas. Según las últimas informaciones disponibles, los documentos y perfiles que podían consultarse de forma indebida ya no son accesibles públicamente, aunque no consta todavía una resolución pública definitiva sobre las posibles responsabilidades derivadas del incidente.
El origen de la investigación se encuentra en el trabajo del investigador independiente de ciberseguridad Sammy Azdoufal, que al analizar el funcionamiento de la plataforma detectó que determinadas partes del sistema permitían acceder a información de usuarios que debería haber estado protegida. A partir de ahí, sus hallazgos llegaron a los medios y el caso adquirió relevancia pública. El sistema afectado estaba vinculado a PuffPal, una aplicación desarrollada para conectar a las personas socias con los clubes de cannabis y gestionar distintos servicios, integrada en el ecosistema de software de Cannabis Club Systems (CCS). Tras conocerse la vulnerabilidad, la empresa suspendió temporalmente PuffPal y sus servicios asociados mientras realizaba una revisión de seguridad.
Más allá de la magnitud de la filtración, el caso debería servir para recordar algo sencillo: los datos de las personas socias merecen ser tratados con la misma seriedad que cualquier otro aspecto de la actividad asociativa. Identificar correctamente a una persona puede ser necesario, pero también lo es preguntarse qué información se guarda, dónde se almacena, quién puede acceder a ella y durante cuánto tiempo.
Las asociaciones cannábicas trabajan cada vez más con herramientas digitales para gestionar a personas y accesos. Es una evolución lógica, pero la comodidad tecnológica no puede ir por delante de la privacidad. Cuantos más datos se almacenan, mayor debe ser la responsabilidad en su protección.
Este caso puede ser una oportunidad para revisar procedimientos y reforzar buenas prácticas. Proteger la privacidad de las personas socias no debería ser una obligación secundaria: también forma parte de cuidar el proyecto asociativo y de construir un modelo más responsable y seguro para todas.