El 14 de agosto de 2026, un comité de la Cámara de Delegados de West Virginia escribió 19 preguntas a su proveedor de analítica de video y las publicó tal cual, sin editarlas; las tres cartas están indexadas en el repositorio oficial del comité.[3][4] El 12 de octubre, el mismo comité le pidió prepararse a comparecer bajo juramento el 9 de noviembre y dejó por escrito que su respuesta anterior no contenía lo que pedía.[1]

La frase exacta del comité: “Your letters have made no attempt whatsoever to answer this question”.[1] El comité llegó a amenazar con usar sus poderes de citación subpoena; Flock respondió que “Flock has worked in good faith to answer your questions”.[8]

La radio pública estatal resumió el clima: “There are still several pieces of information that we requested that they did not answer.”[9] (El 26 de octubre venció el plazo para que Flock nominara testigos. Al momento de escribir esto no hay cobertura pública de que lo haya hecho, ni de que se haya negado. La audiencia del 9 de noviembre sigue en pie.)

Las 19 preguntas son un pliego de RFP (Request for Proposal)

Lo que el comité no estaba haciendo era montar un caso. Estaba haciendo exactamente lo que un comprador enterprise hace en la fase de procurement (Request for Proposal): enumerar, por escrito, lo que necesita saber antes de firmar. La letra del 14 de agosto venía en cinco bloques — “I. Security Incidents & Unauthorized Access”, “II. Surveillance Scope & Data Sharing”, “III. Accuracy & False Positive Rates”, “IV. Internal Oversight & Employee Access Controls”, “V. Data Governance & Infrastructure” — y cerraba con “Please provide your most recent SOC 2 Type II compliance audit” (auditoría de controls de seguridad y disponibilidad de un tercero independiente).[3]

Las tres preguntas que el comité dice que el vendor no respondió fueron, textualmente: cuántos empleados han sido hallados accediendo a datos de clientes fuera de sus duties técnicas autorizadas; qué “non-U.S. vendor” recibe las imágenes de los clientes; y los datos de falsos positivos anteriores a julio de 2026.[1]

Cuándo la respuesta es “no lo revelamos”

La respuesta de Flock del 9 de octubre fue un documento de ocho páginas, y en su mayor parte es una explicación de por qué la información no es divulgable, no la información misma.[2]

“No corporate division or employee possesses broad, unrestricted access to all customer data”.[2]

“Employee oversight is continuous rather than periodic”.[2]

Sobre los falsos positivos: “approximately nine reported inaccuracies for every one million alerts” — es una cifra del vendor, y el comité pidió la serie histórica por año de 2017 a 2025, que no llegó.[1][2]

Sobre el acceso de empleados, Flock no dijo si su propio personal ha accedido indebidamente a footage; sólo admitió que ha habido una instancia nacional de acceso externo indebido.[10] El punto no es que la respuesta sea falsa. El punto es que “no lo revelamos” y “aquí está” no son la misma calidad de respuesta: sólo una de las dos te deja auditar a tu proveedor. El comité lo dijo en su propia carta del 12 de octubre: “please forgive our strong impression that Flock Safety was avoiding putting this information on the record”.[1]

Y hay un hallazgo independiente que refuerza la pregunta. El 9 de septiembre, WIRED y 404 Media documentaron que unos atacantes copiaron el almacenamiento de una cámara, recuperaron una clave de cifrado almacenada en el propio dispositivo y desbloquearon más de 27,000 videos; la cámara había fotografiado unos 50,200 vehículos y generado cerca de 1.6 millones de imágenes.[6][1] Flock sostiene que su base de datos central “has never been breached or accessed by an unauthorized external party”.[2] Ambas cosas pueden ser ciertas a la vez: el cloud intacto, el dispositivo en la calle, comprometido.

(La letra del comité y el blog del propio vendor también discrepan en un número: la carta dice “six ‘high’ level vulnerabilities” del pentest de Bishop Fox; el blog del vendor dice “7 ‘High’ findings: All 7 were fully remediated and independently verified”. El blog también reporta 36 hallazgos identificados y 24 remediados de forma independiente.[1][7])

El contrapeso: los 3 millones no son 3 millones contra el condado

Un grupo ciudadano llamado DeFlock Monongalia analizó nueve exportaciones CSV (valores separados por comas) de logs de auditoría del Sheriff’s Office, obtenidas por freedom of information act (FOIA) estatal, y publicó los datos crudos junto con sus scripts.[5]

Su hallazgo: 3,049,590 búsquedas sobre los datos de cámaras del condado entre enero y septiembre de 2026, por parte de 3,918 agencias.[5][11]

El 81.38% no llevaba razón de caso, y 362,452 búsquedas estaban categorizadas como infracciones de tránsito — un uso que el portal de transparencia prohíbe.[5]

El 99.8% son barridos de 5,000 o más redes que incluyen las cámaras del condado por defecto.[5]

En contraste, el Sheriff’s Office autorizaba a 35 personas a operar el equipo y había hecho 67 búsquedas propias en 30 días.[12]

Y el contrapeso es real y hay que decirlo: el Sheriff’s Office respondió que no son 3 millones de búsquedas dirigidas al condado. “It’s not like it’s 3 million individual searches just to Mon County”, dijo Mark Ralston, recogido por WV News — “I just searched 5,000 networks, so to speak, with one inquiry”.[13] Los propios registros no establecen que 3 millones de búsquedas devolvieran información sobre vehículos locales.[13]

El punto de fondo para un comprador enterprise no es si el número asusta. Es que el Sheriff’s Office no puede verificarlo: “Ralston emphasized that he had not independently reviewed the records obtained by Lynch and could not verify the reported figures”.[13] Cuando el proveedor, el cliente y el regulador no pueden reconciliar los mismos números, el que pierde es el comprador que no tiene derecho a pedirlos.

La pregunta que nadie hizo por escrito

Los Términos de Flock separan “Customer Data” —las imágenes crudas, que pertenecen al cliente— de “Flock Property”: el análisis, los derivados, los modelos. Y otorgan al cliente “no rights… to download, extract, export, or otherwise create or retain copies” de la capa analítica.[14]

Ahí está la pregunta que un comité legislativo no hizo pero que cualquier comprador enterprise tiene que hacer por escrito antes de firmar: ¿de quién es la salida analítica? Si el video entra a tu sistema y la capa que lo interpreta es del vendor, el derecho a producir el resultado, conservarlo y auditarlo no viene incluido en el contrato de cámaras.

Cinco preguntas que tienen que tener respuesta por escrito antes de firmar:

  1. ¿Puedo exportar el audit trail completo de las búsquedas de mi propia organización? Sin acceso al log, no hay auditoría posible.
  2. ¿Quién accede a mis imágenes dentro del vendor, con qué nivel de privilegio, y con qué registro? La respuesta “el monitoreo es continuo” no es un log.
  3. ¿Cuántas inexactitudes genera el sistema, por año, no agregadas? El agregado de 2026 no sirve si el modelo cambió.
  4. ¿Quién es el subprocesador fuera de mi país, y qué hace con mis imágenes? Anotación de datos, subcontratación, o ambos.
  5. ¿La capa analítica y sus derivados son míos o son del vendor? Si la respuesta es “del vendor”, necesito derecho de retención y portabilidad en el contrato.

(La letra del comité también preguntó si el cifrado de los dispositivos usa módulos validados FIPS 140 (estándar de cifrado del Gobierno de EE.UU.), cuál es el status exacto de FedRAMP de Flock, qué hace su subsidiaria en Finlandia, y por qué excluye del entrenamiento las imágenes de estados con un periodo legal de retención de datos de lectores de placas.[1][2] La respuesta de Flock: usa vendors no-US exclusivamente para anotación de datos de machine learning, sobre imágenes aisladas y descontextualizadas sin metadata identificable del cliente.[2])

P.D. La próxima vez que un proveedor de analítica te ofrezca su portal de transparencia como prueba de que todo está bien, haz la prueba que nadie hizo: pídele por escrito el log de auditoría de tu propia organización y la serie histórica de falsos positivos por año. Si la respuesta tarda más que la carta, ya sabes qué negociaste.

📰 Fuente: West Virginia House of Delegates, Committee on Government Organization (letters of Aug 14 and Oct 12, 2026; Flock response of Oct 9, 2026), WIRED + 404 Media (Sep 9, 2026), DeFlock Monongalia FOIA analysis (Oct 2026), WV News (Oct 14, 2026).

Fuentes

  1. West Virginia House of Delegates, Committee on Government Organization — 2026-10-12 letter to Flock Safety (Nov. 9 hearing) — documento oficial, consultado 2026-10-24.
  2. West Virginia House of Delegates, Committee on Government Organization — 2026-10-09 response from Flock Safety to WV House — documento oficial del vendor, consultado 2026-10-24.
  3. West Virginia House of Delegates, Committee on Government Organization — 2026-08-14 WV House to Garrett Langley, Flock Safety (19 questions) — documento oficial, consultado 2026-10-24.
  4. West Virginia Legislature — House Committee on Government Organization document index — índice oficial, consultado 2026-10-24.
  5. DeFlock Monongalia — FOIA results: analysis of Monongalia County Sheriff’s Office Flock audit logs (Jan-Sept 2026) — análisis con datos crudos y scripts publicados, consultado 2026-10-24.
  6. WIRED + 404 Media (Dhruv Mehrotra, Joseph Cox) — Hackers Got Inside a Flock Camera. Its Data Shows How the System Really Works — investigación conjunta, 9 sep 2026, consultado 2026-10-24.
  7. Flock Safety — Flock Security Testing 2026: What the Bishop Fox Penetration Test Found — divulgación de seguridad del vendor, 22 sep 2026, consultado 2026-10-24.
  8. The Intermountain (Steven Allen Adams) — Republicans summon Flock Safety to hearings — prensa local, 19 oct 2026, consultado 2026-10-24.
  9. West Virginia Public Broadcasting (Chris Schulz) — Lawmakers Request Surveillance Company Flock Appear At November Committee Meeting — medio público estatal, 13 oct 2026, consultado 2026-10-24.
  10. Just The News (John Solomon) — West Virginia lawmakers press Flock on new privacy concerns — prensa, 18 oct 2026, consultado 2026-10-24.
  11. WV News (Charles Young) — Monongalia County Flock camera data searched 3 million times, group says — prensa local, 14 oct 2026, consultado 2026-10-24.
  12. WBOY (Hannah Heiskell) — More than 3 million searches run by 3,000 agencies hit Mon County Flock cameras — televisión local, 13 oct 2026, consultado 2026-10-24.
  13. WV News (Chase Hughart) — Monongalia County Sheriff’s Office offers context on 3 million Flock camera searches — prensa local, 14 oct 2026, consultado 2026-10-24.
  14. DeFlock Monongalia — analysis of Flock Safety Terms and Conditions: Customer Data vs Flock Property — análisis independiente de los Términos, consultado 2026-10-24.