CRA gasta millones, pero no evita que trabajadores de impuestos espien a contribuyentes

CRA gasta millones, pero no evita que trabajadores de impuestos espien a contribuyentes

Los registros obtenidos bajo acceso a la información muestran que al menos nueve trabajadores de la Agencia de Rentas de
Canadá (CRA) violaron la privacidad de unos 500 canadienses en lo que va del año.

OTTAWA.- Los trabajadores de la Agencia de Ingresos de Canadá (CRA) siguen fisgoneando ilegalmente los archivos de impuestos confidenciales de negocios, conocidos, amistades y otros, a pesar de que por lo menos $10.5 millones gastaron para tratar de detener tal actividad.

CBC News ha descubierto nueve casos significativos reportados desde el 1 de enero, en los que los trabajadores de impuestos recorrieron indebidamente los registros electrónicos del gobierno para extraer información confidencial y sensitive sobre ingresos, deducciones, beneficios, pagos y empleo.

Es un problema crónico a largo plazo en la agencia, (CRA) expuesto en 2009 y de nuevo en 2013 por el comisionado de privacidad de Canadá, quien se aseguró de que los gerentes estaban tomando medidas duras para prevenir las violaciones.

Pero más de tres años después, los archivos confidenciales de impuestos siguen siendo susceptibles a los trabajadores curiosos, armados con contraseñas y computadoras suministradas por CRA.

El 18 de febrero, por ejemplo, la agencia informó que un “empleado de la CRA hizo acceso no autorizado a las cuentas de 90 conocidos y miembros de la familia, una empresa y su propia cuenta”.

En otro caso informado el 22 de febrero, un empleado accedió indebidamente a las cuentas de 227 negocios e individuos.

CBC News obtuvo récords detallando la última cosecha de violaciones de privacidad, afectando a cerca de 500 canadienses, bajo la Ley de Acceso a la Información.

Esfuerzo deliberado

Los departamentos del gobierno federal son responsables de cientos de violaciones significativas de la privacidad cada año, pero la mayoría pasan inadvertidas, como el correo enviado con la dirección incorrecta o los memorias electrónicas extraviados.

La mayoría de los casos en la CRA, por otra parte, son el resultado del espionaje deliberado por los mismos empleados.

La agencia ha gastado 10,5 millones de dólares desde 2013 para hacer sus computadoras más seguras contra sus propios trabajadores, y más dinero está destinado para el próximo año para cumplir con las recomendaciones de la oficina federal de privacidad, incluyendo la mejora de los controles del sistema para que los empleados sólo tengan acceso a la información que necesitan para hacer su trabajo.

El último informe anual del Comisionado de Privacidad, Daniel Therrien, emitido en septiembre, dijo que su oficina estaba segura de que la CRA implementó casi todas las salvaguardas recomendadas en la auditoría de 2013.

“La agencia informa que ha hecho varias mejoras importantes en su gestión de información personal, incluyendo la introducción de nuevas políticas, el aumento de la supervisión corporativa y asegurar una evaluación más oportuna de los riesgos de privacidad y seguridad”, escribió.

Desde mayo de 2014, la política del gobierno federal ha requerido que todos los departamentos y agencias denuncien violaciones materiales tanto al comisionado de privacidad como a la Secretaría del Consejo del Tesoro.

El gobierno define las violaciones “materiales” como “aquellas que involucran información personal sensible y se podría razonablemente esperar que causen lesiones o daños al individuo”.

El número de infracciones subió de siete en 2011 a 30 en 2015, pero los expertos dicen que es probable que el resultado de una mayor vigilancia en la detección de los empleados deshonestos en lugar de más espionaje. El total para el 2016 aún no está disponible, pero CRA dice que está por debajo del año pasado.

CRA administra una de las mayores bases de datos confidenciales en Canadá, y cerca de dos tercios de unos 40.000 trabajadores tienen acceso electrónico. La agencia (CRA) es el cuarto peor delincuente por violaciones materiales de privacidad entre unas 240 instituciones federales que están sujetas a la Ley de Privacidad, detrás solamente de Veterans Affairs Canada, Inmigración y Correcciones Canadá.

La agencia generalmente notifica a los contribuyentes cuando su información ha sido comprometida, aunque las víctimas de este año incluyen a varios canadienses fallecidos.

CRA dice que ha despedido a ocho de los nueve trabajadores atrapados hasta ahora este año.

“Los sistemas de CRA son fuertes, controles estrictos están en su lugar, y seguimos evaluando y mejorando nuestros controles de manera continua”, dijo la portavoz Lisa Damien en un correo electrónico.

Casos de alto perfil

CRA ha visto al menos otras tres controversias de privacidad de alto perfil en los últimos tres años.

En abril de 2014, un hacker logró explotar la denominada vulnerabilidad informática “Heartbleed” para acceder a unos 900 números de seguro social.

Una confusión de correos en CRA más tarde ese año envió a CBC News un CD lleno de información confidencial de los contribuyentes.

Y a principios de este año, un organismo federal de supervisión informó que la CRA había entregado información confidencial de los contribuyentes al Servicio de Inteligencia de Seguridad de Canadá, a pesar de que la agencia de espionaje no había obtenido la orden judicial necesaria.