Mientras un comité de expertos gubernamentales de todo el mundo, convocado por la ONU, se prepara para iniciar las negociaciones para redactar un Tratado sobre Ciberdelincuencia, existe una pronunciada falta de consenso entre los Estados miembros de la ONU sobre lo que constituye un "ciberdelito" y la amplitud del tratado. Tras años de debate, la Asamblea General de la ONU voted ha comenzado a negociar un Tratado sobre la Ciberdelincuencia que tiene el potencial de remodelar la actividad policial a escala mundial, con graves implicaciones para los derechos humanos. La Resolución 74/247 de la ONU creó el Ad Hoc intergovernmental committee que redactará el tratado propuesto. Está previsto que el comité celebre su primera sesión de negociación del 28 de febrero al 11 de marzo de 2022.

Hay una pronunciada falta de consenso entre los Estados miembros de la ONU sobre lo que constituye un "ciberdelito" y sobre la amplitud del tratado.

La mayoría de los Estados están de acuerdo en incluir los llamados ciberdelitos "puros", como la intrusión en la red o la interferencia en el funcionamiento de un sistema informático. Pero también está sobre la mesa un abanico más amplio de delitos "cibernéticos", como el fraude o el tráfico de drogas, que no tienen como objetivo inherente las tecnologías de la información y la comunicación, pero en los que las tecnologías de la información y la comunicación (TIC) desempeñan ocasionalmente un papel importante. Otros Estados advierten que el tratado debe seguir centrándose en la ciberdelincuencia y evitar ahondar en cuestiones más amplias de seguridad nacional, ciberseguridad o ciberguerra.

Nuestro análisis de las primeras presentaciones al comité ad hoc de la ONU de los Estados miembros interesados empieza a dibujar una imagen de lo que este tratado podría incluir finalmente.

¿Se trata sólo de la delincuencia?

Varios Estados han expresado su preocupación por la posibilidad de que el tratado incluya en última instancia desde la ciberguerra hasta la seguridad nacional, pasando por un nuevo conjunto de normas para la gobernanza de Internet. Estas preocupaciones han suscitado comentarios en el sentido de que el tratado debería seguir centrándose en la delincuencia y la aplicación de la ley.

Varios Estados, entre ellos Brazil, la República Dominicana, la Unión Europea (UE), Liechtenstein, Noruega, Suiza, UK y USA abogan, especialmente, por un enfoque más estrecho relacionado con la delincuencia, y advierten del uso de este tratado para imponer controles más amplios en Internet. A nivel mundial, la coordinación técnica y política de Internet se lleva a cabo actualmente a través de una serie de organismos de múltiples partes interesadas, como el IETF, la ICANN y el Foro de Gobernanza de Internet. En el pasado intentos de "hacerse" con el control de estos organismos multisectoriales han probado ser cismáticos, y parece que estas divisiones siguen vivas.

Muchos de los mismos Estados también advierten contra la inclusión de la ciberseguridad, la seguridad nacional o la ciberguerra en el ámbito de este tratado. Por ejemplo, la UE y sus Estados miembros hacen hincapié en la necesidad de excluir la "seguridad nacional" o los "asuntos relacionados con el comportamiento del Estado", mientras que Brasil excluiría la "paz y seguridad internacionales" y la "ciberdefensa". En cambio, algunos Estados (por ejemplo, Turquía) incluirían los delitos "relacionados con la seguridad de las instalaciones de infraestructuras críticas", lo que puede indicar la adopción de competencias más abiertas en materia de ciberseguridad. La línea divisoria entre la ciberdelincuencia, por un lado, y la seguridad nacional, la ciberseguridad y la ciberguerra, por otro, se ha ido difuminando, y los organismos militares y de seguridad participan cada vez más en la lucha contra la delincuencia en línea. Pero estos organismos ejercen sus amplios poderes con una supervisión y un control mínimos que no deberían constituir la base de las obligaciones de los tratados.

El consenso sobre lo que constituye un acto de guerra en el ciberespacio también ha sido esquivo y difícil de definir, lo que hace que el tema no se adapte a un tratado internacional. Otro Comité de la ONU (Grupo de Trabajo de Composición Abierta y Grupo de Expertos Gubernamentales sobre el comportamiento responsable de los Estados en el ciberespacio) está tratando de crear un consenso entre los gobiernos sobre cómo deben comportarse responsablemente cuando se trata de conflictos internacionales en el ciberespacio.

¿Un crimen (cibernético) con otro nombre?

Incluso en los casos en los que los Estados acuerdan mantener un enfoque de aplicación de la ley (Chile, EE.UU., Reino Unido, Canadá, la UE y sus Estados miembros, Colombia, Nueva Zelanda, Australia, Noruega, Suiza, Nigeria, Indonesia), surgen preguntas sobre qué delitos deben codificarse específicamente en el tratado. Muchos, si no la mayoría, de los delitos pueden tener ahora una dimensión tecnológica, lo que hace que el alcance sustantivo de este tratado sea potencialmente amplio. De hecho, un tratado regional sobre ciberdelincuencia (el Convenio de Budapest del Consejo de Europa) incluye incluso la infracción de los derechos de autor como una de sus principales prohibiciones penales.

Algunos delitos implican intrínsecamente a las tecnologías de la información, y la mayoría de los Estados parecen estar de acuerdo en que estos delitos cibernéticos "puros" deberían estar incluidos en la convención. Entre ellos se incluyen, por ejemplo, los delitos en los que los datos o un sistema informático son el objetivo del delito (Nigeria, Estados Unidos y, en cierta medida, la UE).

La mayoría de los demás Estados irían más allá. Australia, la UE, Nueva Zelanda, Nigeria, Suiza y EE.UU., por ejemplo, destacan la necesidad de incluir en el tratado los delitos que se cometen por medios informáticos. Pero definir lo que es "ciberhabilitado" puede ser complicado. Muchos delitos (corrupción, tráfico de drogas, terrorismo) ya están prohibidos a nivel internacional y varios instrumentos internacionales ya han creado marcos de cooperación policial (por ejemplo, la Convención de las Naciones Unidas contra la Delincuencia Organizada Transnacional (UNTOC) y la Convención de las Naciones Unidas contra la Corrupción (UNCAC)). Duplicar estos instrumentos tratando de captar el componente exclusivamente "cibernético" de cada delito constitutivo puede llevar a la duplicación (como señalan Japón, Liechtenstein, Nueva Zelanda y Suiza) o incluso a la interrupción de los esfuerzos internacionales existentes (como advierte Nueva Zelanda).

Por lo tanto, algunos Estados han sugerido que sólo deberían incluirse legítimamente los delitos cuyo alcance, velocidad y escala se ven incrementados por el uso de las tecnologías de la información y las comunicaciones (Nueva Zelanda, Australia, Reino Unido y EE.UU.), al menos en la medida en que las tecnologías de la información sean un factor. EE.UU. y Australia también señalan que un delito en línea cometido de forma anónima puede desempeñar un papel a la hora de enmarcar qué delitos derivados entran legítimamente en el ámbito de aplicación del tratado. Australia, por ejemplo, ha sugerido que el tratado propuesto debería abordar "estos delitos con criterio, desarrollando un marco claro para identificar por qué ciertos delitos se ven tan significativamente alterados por un 'elemento cibernético' como para requerir una nueva norma internacional armonizada que eleve esta conducta por encima de los delitos 'tradicionales'".

Algunos Estados también han pedido que se incluyan los delitos relacionados con el contenido, como la incitación al terror (China, Rusia), la desinformación (China, Indonesia) y la violación de los derechos de autor (Indonesia, Liechtenstein, México, Noruega, Rusia, EE.UU.). La Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos (OACDH), por el contrario, ha argumentado que cualquier inclusión de los delitos facilitados por la tecnología (en contraposición a los delitos cibernéticos "básicos") debe ser limitada.

En cuanto a los delitos específicos, los más propuestos para su mención explícita en el tratado incluyen acceso ilegal a un ordenador o sistema informático (China, UE, Indonesia, Liechtenstein, Noruega, México, Rusia, EE.UU.), interceptación ilegal de comunicaciones o datos de tráfico (Indonesia, Liechtenstein, Noruega, Rusia, EE.UU.), interferencia de datos o sistemas (Chile, UE, Indonesia, Liechtenstein, Noruega, Panamá, Rusia, EE.UU.), uso indebido de dispositivos (Liechtenstein, Noruega, Rusia, EE.UU.), ciberfraude (Australia, China, Indonesia, México, Nueva Zelanda, Noruega, Rusia, EE.UU.), delitos relacionados con la violación de los derechos de autor y derechos conexos (Indonesia, Liechtenstein, México, Noruega, Rusia, EE.UU.) y delitos relacionados con la pornografía infantil (Australia, UE, Indonesia, China, Rusia, Nueva Zelanda, Noruega, México, Reino Unido, EE.UU.).

Una lista indicativa de otros delitos específicos que han sido planteados por algunos estados incluye uso de Internet para incitar y cometer actos de terrorismo (China, Rusia); desinformación, conspiración, bromas (China, Indonesia) material que contenga hostilidad por motivos raciales, de nacionalidad, de religión o políticos (Indonesia), delitos relacionados con el tráfico de armas (México, Rusia), uso de criptomonedas y activos de doble uso con fines delictivos (México), acceso no autorizado a datos personales (Rusia, EE.UU.), delitos relacionados con la distribución de estupefacientes y sustancias psicotrópicas (Rusia) y distribución ilícita de medicamentos y productos médicos falsificados (Rusia).

Más allá de la lista de delitos específicos, también se cuestiona el alcance de la culpabilidad. Muchos Estados tipifican como delito la tentativa de cometer los delitos contemplados, así como la complicidad y la conspiración, o incluso la tipificación del blanqueo del producto de la ciberdelincuencia (Chile, China, Nigeria, Noruega, Rusia, Estados Unidos). Por último, pero no por ello menos importante, la responsabilidad penal de las personas jurídicas (en contraposición a las naturales) parece estar también sobre la mesa, lo que significa que las empresas pueden ser culpables de un delito (México, Rusia, EE.UU.).

Por último, muchos Estados miembros destacan que el tratado debe estar preparado para el futuro para sobrevivir al rápido desarrollo de las tecnologías y al despliegue de nuevas formas creativas de cometer delitos en el ciberespacio, Australia, Japón, Liechtenstein, Nigeria, el Reino Unido y EE.UU. abogan por un lenguaje claro y tecnológicamente neutro para evitar la necesidad de modificar el tratado con frecuencia a medida que la tecnología evoluciona.

¿Adónde van a parar los derechos humanos?

Tanto la OACDH como la sociedad civil han manifestado que cualquier nuevo tratado sobre ciberdelincuencia debería incluir salvaguardias explícitas para el interés público, ya que las leyes sobre ciberdelincuencia se han utilizado para reprimir actividades legítimas.

La OACDH advierte contra la inclusión de cualquier delito de contenido, señalando el peligro de que este tipo de delitos se aplique de forma desproporcionada a nivel nacional. Por ejemplo, las leyes que pretenden combatir desinformación y el apoyo en línea al terrorismo y al extremismo o su glorificación se han utilizado indebidamente para encarcelarblogueros obloquear plataformas enteras en algunos estados.
una carta firmada por más de 130 grupos de la sociedad civil (que ayudamos a encabezar) se hace eco de las preocupaciones de la OACDH con respecto a los delitos basados en el contenido, y ambos señalan también la necesidad de incluir salvaguardias explícitas para proteger al público, porque las leyes de ciberdelincuencia se han utilizado para reprimir conductas lícitas. La utilización de los ciberdelitos para atacar a periodistas, denunciantes, disidentes políticos, investigadores de seguridad, comunidades LGBTQ y defensores de los derechos humanos es, en palabras de la OACDH, una práctica "bien documentada". La definición precisa de la conducta que se criminaliza también será esencial para que los derechos humanos no se queden en el camino cuando este tratado sea aplicado en última instancia por varios estados del mundo a nivel nacional. Leyes de ciberdelincuencia redactadas de forma imprecisa, como las que penalizan el acceso no autorizado a sistemas informáticos, se han utilizado para atacar a investigadores de seguridad digital, denunciantes, activistas y periodistas, y algunos gobiernos argumentan que any disclosure of information la violación de una política corporativa o gubernamental podría ser tratada como "ciberdelincuencia". Como señala la OACDH, el principio de legalidad exige que las disposiciones penales sean "accesibles al público, claras y precisas en su alcance, de modo que las personas puedan determinar razonablemente qué conductas están prohibidas y ajustar su comportamiento en consecuencia". Las definiciones vagas e imprecisas de los delitos dejan lugar a interpretaciones arbitrarias y corren el riesgo de infringir los derechos humanos".

Muchas de las propuestas iniciales de los Estados incluyen también llamamientos para garantizar el cumplimiento de las normas de derechos humanos y prestar especial atención a las posibles repercusiones negativas sobre la libertad de expresión y otros derechos humanos. Debido a la naturaleza global del tratado, es imperativo que los derechos humanos ocupen un lugar destacado en las negociaciones del tratado.

Conclusión:

La ciberdelincuencia no es un fenómeno nuevo, y ya hemos sido testigos de demasiados ejemplos de leyes contra la ciberdelincuencia que se han utilizado para perseguir, enfriar los derechos humanos y presentar cargos espurios y desproporcionados contra investigadores, activistas y denunciantes.