El Banco Nacional de Perfiles Genéticos y la pregunta pendiente sobre ciberseguridad en la PNP

Crear una base de datos puede parecer, a primera vista, una decisión técnica. Se diseña una plataforma, se define quién la administra, se establecen registros, se fijan reglas de acceso y se empieza a operar. Pero cuando esa base de datos contiene perfiles genéticos, la conversación cambia completamente.

La aprobación de la Ley No. 32595 que crea el Banco Nacional de Datos de Perfiles Genéticos (BNDPG) para la investigación criminal y la búsqueda de personas desaparecidas (Ley que crea el BNDPG) abre una discusión importante sobre el uso de la tecnología y la ciencia en la investigación criminal. La norma crea el BNDPG como una herramienta legal y técnica para facilitar la identificación humana mediante la obtención, procesamiento, almacenamiento, tratamiento, uso y protección de perfiles genéticos derivados del análisis de ADN no codificante.

Desde la perspectiva de la persecución penal, la finalidad es entendible. Un banco de perfiles genéticos puede ayudar a esclarecer delitos, identificar personas desaparecidas, comparar evidencias biológicas, fortalecer investigaciones y dar soporte científico a procesos penales. En un contexto en el que la criminalidad se vuelve cada vez más compleja, el Estado necesita herramientas modernas para investigar mejor.

Pero el problema no está únicamente en crear la herramienta. El verdadero desafío, que a hoy no se resuelve, está en cómo protegerla.

Porque cuando el Estado decide administrar una base nacional de información genética, no solo está incorporando tecnología al sistema de justicia. También está asumiendo la custodia de una de las formas de información más sensibles que puede existir sobre una persona.

El ADN no es un dato más

La Ley que crea el BNDPG intenta delimitar el alcance del banco al señalar que se trabajará con ADN no codificante. Esta precisión es importante, porque la propia norma excluye el análisis del ADN codificante, que puede revelar información fenotípica o médica. En términos simples, la ley busca que el banco utilice perfiles genéticos con fines de identificación, sin entrar en información biológica más amplia sobre la persona.

 

Sin embargo, esa precisión no elimina la sensibilidad del dato. Incluso cuando se trata de ADN no codificante, seguimos hablando de información genética capaz de identificar a una persona con un alto nivel de precisión. No es un dato neutro, ni un simple código técnico sin consecuencias. Es información que puede vincular a una persona con una investigación, una evidencia, una escena del crimen, una relación familiar o un procedimiento de identificación.

Por eso, el tratamiento de perfiles genéticos no puede mirarse solo desde la lógica criminalística. También debe ser observado desde la protección de datos personales, la seguridad de la información y el gobierno de datos.

El Reglamento de la Ley de Protección de Datos Personales (Reglamento LPDP) refuerza esta idea al considerar como datos sensibles aquellos vinculados a datos genéticos o biométricos de la persona natural. Además, vincula la información genética con los datos personales relacionados con la salud. Esto confirma que los perfiles genéticos requieren un nivel de protección reforzado, precisamente porque una afectación sobre ellos puede tener impactos profundos y difíciles de revertir.

A diferencia de una contraseña, el ADN no se puede cambiar. A diferencia de un número de tarjeta, no se puede reemplazar. A diferencia de un correo electrónico, no se puede abandonar y crear otro. La información genética acompaña a la persona durante toda su vida y, además, puede proyectar efectos sobre familiares biológicos. Por eso, una filtración o uso indebido de este tipo de datos no solo compromete privacidad; puede comprometer identidad, vínculos familiares, investigaciones penales y confianza institucional.

Una buena finalidad no elimina los riesgos

La Ley que crea el BNDPG contiene declaraciones importantes. Reconoce principios como la dignidad humana, la intimidad personal, la igualdad, la no discriminación, la gratuidad y la seguridad. También establece que el BNDPG debe contar con medidas técnicas, tecnológicas, administrativas y legales para asegurar la autenticidad, integridad y confidencialidad de la información genética almacenada.

Ese reconocimiento es positivo. Pero también deja abierta una pregunta central: ¿cómo se van a materializar esas medidas?

En materia de datos sensibles, no basta con declarar que la información será reservada. La reserva puede ser necesaria, pero no garantiza por sí sola que la información esté protegida. Una base puede ser reservada y, aun así, vulnerable. Puede tener acceso restringido y, aun así, permitir consultas indebidas. Puede tener una finalidad legítima y, aun así, terminar siendo utilizada para fines distintos si no existen controles adecuados.

El cumplimiento formal no siempre equivale a una protección real.

Eso es especialmente importante porque la Ley que crea el BNDPG deja varios aspectos críticos para el reglamento y para los protocolos que emita el Consejo de Administración del BNDPG. La ley señala que este consejo será nombrado por la Dirección de Criminalística de la Policía Nacional del Perú y estará presidido por su director, con participación de expertos en genética forense o ciencias afines.

La experiencia en genética forense es indispensable, sin duda. Pero un banco nacional de perfiles genéticos no es solo un proyecto de laboratorio. También es una infraestructura crítica de datos. Por eso, su gobernanza debería incorporar de manera expresa capacidades en ciberseguridad, protección de datos personales, gestión de riesgos, auditoría tecnológica, interoperabilidad segura y respuesta ante incidentes.

Si el banco va a concentrar información genética de víctimas, investigados, procesados, personas privadas de libertad, servidores públicos, personas desaparecidas y familiares, no puede ser diseñado únicamente desde la mirada criminalística. Debe diseñarse también desde la pregunta por el riesgo.

El tamaño del banco importa

Uno de los puntos más delicados de la Ley que crea el BNDPG es la amplitud de registros que integrarán el BNDPG. La norma contempla registros de víctimas, investigados y procesados, evidencias, personas privadas de libertad, servidores públicos con funciones de investigación criminal o criminalística, perfiles interjurisdiccionales, desaparecidos y familiares.

Cada uno de estos registros puede tener una finalidad legítima. El registro de evidencias puede ayudar a comparar muestras biológicas obtenidas en escenas del crimen. El registro de desaparecidos y familiares puede contribuir a procesos de identificación humana. El registro de servidores públicos puede servir para controlar eventuales contaminaciones de evidencia. Pero mientras más amplio es el banco, mayor es también el riesgo.

El riesgo no aparece solo por la existencia de la base. Aparece por la cantidad de datos, por la diversidad de finalidades, por los distintos tipos de titulares, por las entidades que podrían requerir información, por los perfiles de usuarios que accederán al sistema y por la posibilidad de interoperabilidad nacional o internacional.

Especial atención merece el registro de investigados y procesados. La ley establece que para incorporar perfiles genéticos en este registro no se requiere consentimiento, debido a la presunta vinculación de la persona con una actuación penal o criminal. También dispone que las personas privadas de libertad, con o sin sentencia condenatoria, sean incorporadas sin requerir consentimiento.

Este punto exige un desarrollo reglamentario especialmente cuidadoso. No es lo mismo una persona condenada por sentencia firme que una persona investigada. Tampoco es lo mismo una evidencia no identificada que una muestra voluntaria para búsqueda de desaparecidos. La base legal puede justificar ciertos tratamientos, pero eso no elimina la necesidad de controles de proporcionalidad, finalidad, conservación y eliminación.

Si el sistema no distingue adecuadamente entre categorías de personas y finalidades, existe el riesgo de construir una base amplia, permanente y difícil de depurar.

El problema de la conservación permanente

La Ley que crea el BNDPG establece que los perfiles genéticos se registran de manera permanente, salvo mandato judicial expreso que ordene su exclusión o eliminación. Este es uno de los puntos que merece mayor atención.

La conservación permanente puede parecer útil desde la lógica investigativa. Mientras más perfiles existan, mayor podría ser la capacidad de cotejo. Sin embargo, desde la protección de datos personales, la permanencia indefinida siempre debe mirarse con cautela. No todo dato debe conservarse para siempre. No toda finalidad justifica una retención indefinida. No toda persona incorporada a una base penal debería permanecer en ella bajo las mismas condiciones.

El Reglamento LPDP reconoce la posibilidad de supresión o cancelación cuando los datos hayan dejado de ser necesarios o pertinentes para la finalidad para la cual fueron recopilados, cuando haya vencido el plazo establecido para su tratamiento o cuando no estén siendo tratados conforme a la ley. Si bien el BNDPG tendrá una regulación especial, su diseño debería dialogar con estos principios.

El reglamento del BNDPG debería establecer reglas diferenciadas de revisión, bloqueo, exclusión o eliminación según el tipo de registro. No debería tener el mismo tratamiento una víctima que prestó consentimiento, un familiar que se incorporó voluntariamente para buscar a una persona desaparecida, una persona investigada que luego fue desvinculada del proceso, un interno condenado o una evidencia biológica no identificada.

Cuando se trata de datos genéticos, conservar por conservar no debería ser la regla. La pregunta debería ser siempre si la permanencia sigue siendo necesaria, proporcional y compatible con la finalidad que justificó la incorporación del perfil.

La seguridad debe poder demostrarse

El Reglamento LPDP establece obligaciones concretas de seguridad para plataformas, aplicaciones, servicios digitales y sistemas informáticos que tratan datos personales. Exige controles de acceso, procedimientos de identificación y autenticación, gestión de privilegios, verificación periódica de permisos y mecanismos de trazabilidad. También exige registros que permitan conocer qué usuario accedió, cuándo lo hizo y qué acciones realizó sobre los datos.

En un banco genético, estas obligaciones no son detalles técnicos. Son condiciones mínimas de legitimidad.

Si una persona autorizada consulta un perfil, realiza un cotejo, descarga información, modifica un registro o exporta datos, el sistema debe poder registrar esa acción. Y no solo debe registrarla, debe conservar evidencia suficiente para auditarla, investigarla y, si corresponde, sancionarla.

La trazabilidad es clave porque uno de los mayores riesgos en una base de esta naturaleza no proviene necesariamente de un atacante externo; también puede provenir del uso indebido de accesos legítimos. En ciberseguridad, esto se conoce como amenaza interna o insider threat. Es decir, el riesgo de que una persona con acceso autorizado utilice sus privilegios para fines no permitidos.

En el caso del BNDPG, ese riesgo podría traducirse en consultas sin justificación, búsquedas indebidas, extracción de información, cruces no autorizados con otras bases estatales o revelación de datos a terceros. Por ello, el control de accesos no debería depender únicamente del cargo del usuario, sino de la necesidad concreta, la finalidad autorizada y el caso específico que justifica la consulta.

Aquí la seguridad debe ir más allá del usuario y contraseña. Un sistema de esta sensibilidad debería considerar autenticación multifactor, accesos bajo el principio de mínimo privilegio, administración y revisión de accesos, sobre todo los privilegiados, monitoreo de comportamiento anómalo, segregación de funciones, registros inalterables y auditorías periódicas.

La seguridad no debería presumirse. Debería poder demostrarse.

El antecedente que no podemos ignorar

Hay un antecedente reciente que no debería pasar desapercibido. En 2025, el caso conocido como “DIRIN Leaks” expuso información sensible vinculada a la Dirección de Inteligencia (DIRIN) de la Policía Nacional del Perú. Es importante precisar que dicho caso no ocurrió en la Dirección de Criminalística (DIRCRI), que será el órgano vinculado al BNDPG, ni permite afirmar automáticamente que ambas dependencias compartan los mismos sistemas, procesos o niveles de seguridad.

Pero esa precisión no debería cerrar la reflexión.

Aunque se trate de órganos distintos dentro de la PNP, el caso plantea una pregunta institucional relevante ¿existen capacidades transversales suficientemente maduras para proteger información altamente sensible dentro de la PNP?

La preocupación no parte de asumir que la Dirección de Criminalística haya sufrido una vulneración. Parte de reconocer que el manejo de datos críticos exige una cultura institucional de ciberseguridad que va más allá de una sola dependencia. Si dentro de la misma institución ya se han evidenciado riesgos asociados a gestión de accesos, segmentación de información, monitoreo, administración de credenciales y exposición de datos sensibles, resulta razonable preguntarse si la PNP, como organización, está preparada para custodiar una base genética nacional.

La reflexión no consiste en equiparar a la DIRIN con la DIRCRI. Tampoco en afirmar que el BNDPG será inseguro por defecto. El punto es más profundo, antes de operar una base de datos de esta sensibilidad, el Estado debería demostrar que existen controles técnicos, organizacionales y humanos suficientemente robustos para prevenir accesos indebidos, detectar incidentes, responder oportunamente y garantizar trazabilidad.

Tratándose de perfiles genéticos, no basta con confiar en la reserva legal o en la especialidad criminalística del órgano administrador. La seguridad debe acreditarse con evidencia concreta de madurez institucional.

Ciberseguridad también es valor probatorio

En una base genética, la ciberseguridad no protege únicamente la privacidad. También protege el valor probatorio.

La Ley que crea el BNDPG define la cadena de custodia como el procedimiento destinado a garantizar la individualización, seguridad y preservación de la muestra biológica y de la información del perfil genético. También establece que los perfiles deben conservarse de forma inviolable, inalterable y bajo condiciones de estricta confidencialidad y seguridad.

Esto es fundamental. Si no existe trazabilidad sobre quién tomó la muestra, quién la procesó, quién generó el perfil, quién lo incorporó al banco, quién realizó el cotejo, quién visualizó el resultado y quién autorizó una transferencia, el sistema puede quedar expuesto a cuestionamientos

Una brecha de seguridad en el BNDPG no solo podría exponer datos personales. También podría afectar investigaciones penales, generar dudas sobre la integridad de evidencias, comprometer derechos de defensa o incidir indebidamente en condenas o absoluciones. La propia ley reconoce esta gravedad al incorporar delitos vinculados a la falsificación, sustitución, ocultamiento o alteración de material genético, así como a la obtención ilegítima o divulgación de información genética.

Esos delitos son importantes. Pero llegan después del daño. El verdadero desafío está antes para prevenir que el daño ocurra.

Por eso, el reglamento no debería limitarse a protocolos de laboratorio. También debería desarrollar una cadena de custodia digital, con registros inalterables, sellado temporal, control de versiones, segregación de funciones, firmas digitales, trazabilidad de cotejos y auditoría técnica.

Intercambiar información también implica riesgo

La Ley que crea el BNDPG permite el intercambio de información genética a nivel nacional e internacional. La DIRCRI podría gestionar el acceso, envío y recepción de perfiles genéticos con organismos homólogos extranjeros o plataformas internacionales especializadas, incluyendo mecanismos como INTERPOL, EUROPOL u otros equivalentes.

Esta posibilidad puede ser útil para investigaciones transnacionales, búsqueda de desaparecidos, crimen organizado o identificación de cadáveres. Sin embargo, también abre una dimensión adicional de riesgo.

Cuando un perfil genético sale del entorno nacional o se comparte con otra entidad, la pregunta ya no es solo quién lo recibió. También importa para qué lo recibió, bajo qué garantías, por cuánto tiempo lo conservará, qué medidas de seguridad aplicará, si podrá reutilizarlo, si podrá compartirlo con terceros y cómo se auditará ese intercambio.

El Reglamento LPDP regula el flujo transfronterizo de datos y exige garantías cuando la información se transfiere fuera del país. En el caso del BNDPG, el reglamento especial debería desarrollar procedimientos estrictos para que cualquier intercambio internacional sea excepcional, necesario, documentado, seguro y sujeto a controles de auditoría.

Una solicitud formal no debería bastar. Tratándose de información genética, debería existir trazabilidad completa de cada intercambio.

Financiar seguridad también es proteger derechos

Un punto que merece especial atención es el financiamiento. La Ley que crea el BNDPG establece que la implementación, operación y mantenimiento del BNDPG se financia con cargo al presupuesto institucional del Ministerio del Interior, sin demandar recursos adicionales al tesoro público.

Esto puede sonar administrativamente razonable, pero abre una alerta práctica. Un banco genético nacional no es una plataforma ordinaria. Requiere software especializado, infraestructura segura, personal capacitado, controles de ciberseguridad, laboratorios acreditados, monitoreo continuo, auditorías, respaldo, continuidad operativa, gestión de identidades, cifrado, respuesta ante incidentes y mantenimiento permanente.

La propia ley exige que el software cumpla con estándares internacionales de interoperabilidad, seguridad de la información y protección de datos personales. Pero esos estándares no se cumplen solo con una declaración normativa. Requieren inversión, capacidades técnicas y mejora continua.

Si el banco nace sin recursos suficientes, existe el riesgo de que la seguridad se diseñe como un mínimo operativo y no como una garantía estructural. Y cuando hablamos de datos genéticos, ese riesgo es demasiado alto.

La rendición de cuentas no debe ser decorativa

La Ley que crea el BNDPG prevé que el Consejo de Administración elabore anualmente un informe público de desempeño, con información estadística, operativa y de cumplimiento normativo. Esta es una disposición positiva, porque reconoce que la reserva no debe eliminar toda forma de rendición de cuentas.

Pero para que ese informe sea realmente útil, el reglamento debería precisar su contenido mínimo. No debería limitarse a cifras generales sobre perfiles incorporados o cotejos realizados. También debería incluir indicadores agregados sobre auditorías, incidentes, revisiones de accesos, medidas de seguridad implementadas, solicitudes de exclusión, capacitaciones, interoperabilidad y mejoras realizadas.

La transparencia no significa revelar perfiles genéticos ni comprometer investigaciones. Significa permitir que la ciudadanía y los órganos de control puedan evaluar si el sistema opera bajo estándares adecuados.

En una base genética nacional, la confianza pública no se construye con declaraciones generales. Se construye con evidencia.

El verdadero reto no es crear el banco

La discusión no debería plantearse como una oposición entre seguridad ciudadana y protección de datos personales. El Estado puede incorporar herramientas modernas para investigar delitos, identificar personas desaparecidas y fortalecer la criminalística. Pero cuando esas herramientas implican tratar datos genéticos, la exigencia institucional debe ser mucho mayor.

La Ley que crea el BNDPG contiene elementos positivos. Limita el análisis al ADN no codificante, excluye el ADN codificante, reconoce principios de dignidad, intimidad, no discriminación y seguridad, prohíbe usos indebidos, exige software especializado, prevé informes anuales y crea delitos específicos vinculados a la identificación genética.

Pero también deja preguntas abiertas. La amplitud de registros, la incorporación obligatoria de investigados e internos, la conservación permanente, el intercambio internacional, la suficiencia presupuestal y la gobernanza de ciberseguridad requieren un desarrollo reglamentario especialmente cuidadoso.

Porque el verdadero reto no está solo en crear el Banco Nacional de Datos de Perfiles Genéticos. El reto está en demostrar que el Estado cuenta con la madurez técnica, organizacional y normativa suficiente para custodiarlo.

Una base genética mal protegida no solo puede afectar la privacidad de las personas. También puede comprometer investigaciones penales, debilitar la cadena de custodia, abrir espacios para abusos internos, erosionar la confianza pública y generar riesgos de seguridad nacional.

Por eso, la pregunta de fondo no es si el Estado puede crear un banco de perfiles genéticos. La pregunta es si está preparado para protegerlo.

Y frente a datos tan sensibles como el ADN, esa respuesta no debería basarse en confianza institucional abstracta, sino en evidencia concreta de controles, auditoría, trazabilidad, presupuesto y responsabilidad.

 

Elaborado por: Luca Palomino Vale