Al caer la tarde, la estación se llena de trayectos que no se parecen entre sí. Alguien vuelve de trabajar, una adolescente espera a su hermana, un hombre mayor busca el andén correcto y una persona que duerme en un albergue intenta no perder el último tren. Tras varios robos en los alrededores, el ayuntamiento propone medir la seguridad captando identificadores de móviles alrededor de las entradas. La presentación promete mapas de afluencia, rutas “sospechosas” y una respuesta más rápida. El planteamiento parece prudente porque invoca una preocupación real. Pero una preocupación legítima no convierte en necesario seguir la señal de todas las personas que pasan por un espacio público.
La pregunta importante no es si una ciudad debe cuidar sus estaciones. Debe hacerlo. La pregunta es qué información necesita para resolver qué problema concreto, durante cuánto tiempo y con qué límites. Un identificador técnico puede parecer una cifra impersonal; sin embargo, cuando se recoge de forma repetida permite inferir rutinas, horarios, barrios, turnos de trabajo, visitas sanitarias o relaciones cotidianas. No hace falta conocer el nombre de una persona para afectar su libertad de moverse sin dejar una huella administrada. La seguridad pública pierde legitimidad cuando trata a la población entera como material de observación antes de demostrar que no existe una medida menos intrusiva.
Describir el daño antes de encender el sistema#
“Hay inseguridad” no es todavía una finalidad operativa. El ayuntamiento tiene que describir qué está ocurriendo: ¿hurtos en una salida determinada?, ¿agresiones en un tramo sin iluminación?, ¿esperas prolongadas en un transbordo?, ¿conflictos a una hora concreta?, ¿miedo percibido que no coincide con denuncias? Cada respuesta exige herramientas distintas. Un mapa de calor de dispositivos puede contar presencia aproximada, pero no aclara por sí mismo por qué ocurre un hecho ni quién necesita ayuda. Si se usa una tecnología de rastreo para responder a una causa que no se ha investigado, el resultado puede ser una capa de datos costosa que desplaza recursos de medidas sencillas y eficaces.
Conviene empezar con una ficha pública de necesidad. Debe incluir el lugar preciso, el periodo analizado, los incidentes que se pretenden reducir, las fuentes utilizadas y el daño que se espera evitar. También debe distinguir hechos de interpretaciones. Que muchas personas pasen por una boca de metro a las 22:30 es un hecho de movilidad; concluir que ese flujo revela una conducta de riesgo es una inferencia que necesita pruebas. Convertir una inferencia débil en una señal policial o administrativa puede perjudicar a quienes trabajan de noche, viajan con frecuencia o simplemente viven cerca.
La ficha tiene que contener una línea de base. Antes de instalar sensores, la ciudad debería saber cuántos incidentes se producen, cómo se registran, qué parte queda sin denunciar y cómo varía la experiencia por edad, género, discapacidad y horario. Las estadísticas son necesarias, pero no bastan. Un recorrido acompañado con trabajadoras de limpieza, personal de estación, conductores y usuarios habituales puede mostrar puntos ciegos que un panel no registra: una salida mal iluminada, un ascensor averiado, un aviso que nadie escucha o una patrulla que llega tarde porque no conoce el acceso. Escuchar esos relatos no convierte toda percepción en dato concluyente; evita que el dato incompleto se convierta en explicación total.
Necesidad significa comparar, no elegir el sistema más visible#
El ayuntamiento debería obligarse a comparar alternativas antes de recopilar identificadores. Puede reforzar iluminación y mantenimiento, ajustar horarios de personal, mejorar la presencia de mediación, rediseñar señalización, crear puntos de ayuda accesibles, coordinar llegada de transporte nocturno o estudiar flujos con recuentos agregados no persistentes. Puede usar observaciones temporales realizadas por equipos humanos, encuestas voluntarias y datos de incidencias ya existentes. Ninguna alternativa es perfecta, pero la comparación obliga a explicar qué aporta exactamente el rastreo que no aportan las demás.
Una prueba de necesidad también debe preguntar qué pasa si el sistema falla. Los teléfonos no representan a todas las personas por igual. Quien no lleva dispositivo, lo comparte, lo apaga para ahorrar batería o utiliza una tarjeta distinta desaparece del mapa. Si los responsables interpretan la ausencia de señal como ausencia de necesidad, la medida reproducirá sesgos de acceso y de renta. Si, por el contrario, confunden repetición de una señal con sospecha, castigarán formas ordinarias de movilidad. Un sistema que ve fragmentos no debería presentarse como un retrato completo de la estación.
La carga de la prueba recae en quien propone la intrusión. No corresponde a cada viajero demostrar por qué no quiere ser observado. Corresponde a la institución demostrar que existe un riesgo delimitado, que la medida tiene una posibilidad razonable de reducirlo y que una alternativa menos invasiva no alcanza el objetivo. Esa inversión es decisiva: transforma la tecnología de una promesa comercial en una decisión pública que debe poder justificarse ante quienes reciben sus efectos.
Límites de lugar, tiempo y finalidad#
Si tras la comparación se considera indispensable recoger alguna señal, los límites deben estar escritos como condiciones técnicas, no como buenos deseos. El límite de lugar debe identificar los puntos exactos donde existe el problema probado; no puede expandirse automáticamente a plazas, comercios, calles de acceso o estaciones vecinas “por si acaso”. Una zona delimitada permite revisar si la captura se mueve con el problema o se convierte en vigilancia normalizada del entorno.
El límite temporal tiene dos dimensiones. La primera es cuándo se activa la recogida: por ejemplo, en franjas concretas durante una intervención limitada, no de manera continua durante todos los días del año. La segunda es cuánto sobrevive cada registro. Los datos de ocupación agregada pueden necesitar minutos u horas para orientar recursos; conservar identificadores durante meses para una finalidad de prevención general cambia por completo la naturaleza de la medida. Cada plazo debe estar asociado a una decisión concreta y a una razón verificable.
La finalidad también debe cerrarse. Un dato reunido para evaluar la iluminación de un acceso no puede reaparecer en un análisis comercial, una campaña de transporte, una investigación migratoria o una lista de personas “frecuentes”. La prohibición de usos secundarios debe incluir mecanismos de control: separación de bases, accesos mínimos, registros de consulta, alertas ante exportaciones y sanciones contractuales si el proveedor reutiliza información. Decir que el uso estará “protegido” no responde quién abre la base, qué puede hacer con ella ni cómo se descubre un incumplimiento.
La minimización puede diseñarse desde el inicio. A veces la pregunta de seguridad se resuelve con conteos instantáneos que no retienen identificadores. En otros casos, una transformación local y una agregación inmediata reducen la exposición, aunque no eliminan por sí solas la obligación de justificar el sistema. Lo importante es que la solución técnica siga al límite público: primero se decide qué mínimo se necesita; después se comprueba que la herramienta no recoge más de lo autorizado.
La caducidad debe ocurrir de verdad#
Prometer borrado no equivale a borrar. Los proyectos digitales dejan copias en registros de depuración, copias de seguridad, cuentas de soporte, paneles de proveedores y hojas exportadas para reuniones. Una caducidad real necesita un inventario de esos lugares, una regla de eliminación automática, responsables que la verifiquen y evidencia de que se cumplió. No sirve una fecha escondida en un contrato si nadie puede comprobar qué información desapareció y cuál permaneció.
La ciudad puede publicar un calendario de vida del dato: captura, transformación, uso operativo, agregación, borrado y verificación. La publicación no debe revelar detalles que faciliten delitos, pero sí permitir que cualquier persona sepa si la medida conserva minutos, días o meses. Un auditor independiente debería revisar muestras de borrado, accesos excepcionales y las cuentas del proveedor. Si encuentra copias no autorizadas, la consecuencia no puede ser solo una recomendación: debe existir capacidad de suspender la captura y corregir el contrato.
También hace falta una fecha de expiración del propio programa. Una medida creada por una serie de incidentes no debe renovarse por inercia. Al terminar el piloto, el ayuntamiento debe decidir públicamente entre retirarlo, modificarlo o justificar una continuidad acotada. Esa decisión requiere datos sobre incidentes, experiencias de uso, quejas, diferencias entre zonas y resultados de las alternativas menos intrusivas. Mantener un sistema porque ya se compró convierte el gasto pasado en argumento para normalizar una vigilancia que nunca demostró su necesidad.
Supervisión que pueda cambiar una decisión#
La supervisión ciudadana no es una encuesta al final del proceso. Debe ocurrir antes de contratar, durante el piloto y antes de renovar. Un grupo de seguimiento puede incluir asociaciones vecinales, personal de transporte, organizaciones de derechos digitales, entidades de apoyo a jóvenes, personas con discapacidad y representantes de comerciantes y trabajadores nocturnos. Su composición importa: si solo participan quienes diseñan la medida, la supervisión se convierte en una explicación de lo ya decidido.
Ese grupo necesita materiales comprensibles y capacidad real de respuesta. Debe recibir la ficha de necesidad, las alternativas comparadas, el mapa de datos, los límites técnicos, los informes de incidentes y los resultados de auditoría. Debe poder preguntar qué se ha descartado, pedir pruebas adicionales y activar una revisión cuando aparezca un daño inesperado. La institución no tiene que aceptar automáticamente todas las propuestas, pero sí responder por escrito qué adopta, qué rechaza y por qué.
También se necesita un canal individual sencillo. Una persona no debería tener que dominar jerga informática para preguntar si una estación participa, pedir información sobre el tratamiento o denunciar una expansión de la captura. El canal debe ser accesible fuera de horario laboral, admitir formatos no digitales y ofrecer respuesta con plazos. La protección de derechos se mide en la capacidad práctica de usarla, no en la existencia de una dirección de correo perdida al final de una política de privacidad.
Medir seguridad sin medir obediencia#
El éxito no puede definirse como la cantidad de señales recogidas, el número de alertas generadas o la rapidez con que una pantalla produce un mapa. Esas métricas premian la actividad del sistema, no la mejora de la vida cotidiana. Una evaluación honesta pregunta si disminuyeron incidentes verificables, si aumentó la sensación de seguridad sin desplazar el daño a otra zona, si las personas vulnerables acceden mejor a ayuda y si las medidas alternativas resultaron suficientes. Debe incluir efectos adversos: errores, quejas, exclusiones, usos fuera de finalidad y costos de mantenimiento.
El próximo paso responsable no es instalar sensores para demostrar que se actúa. Es publicar una prueba de necesidad para cada estación, abrir la comparación de alternativas y fijar desde el primer día una caducidad auditable. Si el ayuntamiento no puede explicar qué mínimo dato requiere, cuándo lo borra y quién puede detener la medida, todavía no ha diseñado seguridad: ha diseñado una capacidad de vigilancia. Una estación más segura es aquella donde las personas encuentran luz, ayuda y rutas claras sin tener que entregar su movilidad cotidiana como precio silencioso.
