¿Qué debe evaluar Colombia antes de adherirse a la Convención de Ciberdelitos?

El fin de semana pasado, sesenta y nueve países firmaron en Hanói la Convención de Ciberdelitos de la ONU. Con más de cuarenta Estados suscriptores, este instrumento internacional entró oficialmente en vigor.

Frente a este escenario, diversas organizaciones de la sociedad civil internacional publicaron una declaración conjunta en la que advierten sobre los riesgos del tratado y exhortan a los Estados a no firmarlo o, en su defecto, a adoptar medidas que mitiguen sus impactos sobre los derechos humanos.

De los sesenta y nueve países firmantes, diez son latinoamericanos: Brasil, Chile, Argentina, Costa Rica, Cuba, Ecuador, Nicaragua, Perú, Uruguay y Venezuela. Colombia aún no firmó, pero probablemente lo hará.

La carta de la sociedad civil señala que el tratado impone a los Estados la obligación de establecer amplios poderes de vigilancia electrónica, cooperar internacionalmente y el deber de compartir evidencia en delitos “serios”, definidos como aquellos sancionables con al menos cuatro años de prisión según la legislación nacional. Esta definición amplia podría abarcar conductas legítimas protegidas por el derecho internacional de los derechos humanos, como la protesta pacífica, el periodismo de investigación, las revelaciones de denunciantes (whistleblowers) o las relaciones entre personas del mismo sexo.

Además, el tratado carece de salvaguardas suficientes: no refuerza adecuadamente los principios de legalidad, no discriminación, finalidad legítima, necesidad y proporcionalidad, ni exige autorización judicial independiente, supervisión ni transparencia. Pese a sus posibles efectos graves, tampoco prevé mecanismos para suspender la participación de Estados que violen sistemáticamente los derechos humanos o el Estado de Derecho.

Colombia, como cualquier otro país que aún no ha firmado, debe analizar cuidadosamente su eventual adhesión. Se justifica que abra consultas con la sociedad civil, academia, comunidad técnica, autoridades de protección de datos y otros actores relevantes, para que sus acciones tengan como prioridad garantizar el cumplimiento de los estándares internacionales en materia de privacidad, vigilancia y cooperación judicial.

Si Colombia decide avanzar hacia la firma y ratificación del tratado, hay unos aspectos mínimos que deben guiar su implementación:

En primer lugar debe evaluarse la adopción de reservas formales o declaraciones interpretativas que aseguren la aplicación del tratado conforme a los principios de legalidad, necesidad, proporcionalidad, supervisión independiente y no discriminación.

Por otra parte, uno de los mayores incentivos del tratado para los países de la región son los mecanismos de cooperación internacional que ofrece (entre ellos la extradición). No obstante, dada la sensibilidad de la materia, es imprescindible que su implementación respete garantías básicas. Por ejemplo, la asistencia legal mutua debe supeditarse al principio de doble incriminación (que el delito sea reconocido en ambas jurisdicciones) y los Estados deben reservarse el derecho a rechazar solicitudes que puedan derivar en violaciones de derechos humanos. Asimismo, el respeto a estos derechos debe ser condición para toda asistencia técnica, financiación o capacitación derivada del tratado.

También se debe considerar que la implementación nacional incluya mecanismos de transparencia, como la publicación de estadísticas sobre solicitudes de cooperación recibidas y respondidas, y la participación de múltiples actores -incluida la sociedad civil- en los procesos de supervisión.

Este debate no es teórico. Coincidencialmente esta semana el Congreso aprobó en primer debate, y sin muchas modificaciones, la necesaria reforma a la ley de protección de datos y la Superintendencia de Industria y Comercio abrió a comentarios la circular sobre la transferencia internacional de datos. En una sociedad datificada, la transferencia internacional de datos es una necesidad que debe estar acompañada de garantías.

Si este tratado es ratificado en Colombia se evidenciará el preocupante vacío que quedará en nuestra ley de protección de datos frente a la transferencia internacional de datos. En línea con el estándar internacional, la reforma que está en el Congreso autoriza transferencias de datos sensibles solo a países con niveles adecuados de protección o garantías adicionales. Sin embargo, también introduce una excepción para transferencias cuando “se ajusten a las bases legales previstas”.

El texto del tratado crea amplios regímenes de recolección, almacenamiento y compartición transfronteriza de datos. Si no se toman medidas corremos el riesgo de que la regla garantista de la ley de protección de datos colombiana sea un simple saludo a la bandera, porque se aplica la excepción. ¿Qué medidas se pueden adoptar para evitarlo? Como mínimo amerita un análisis de derecho comparado y/o una revisión académica para proponer ajustes al proyecto de ley y salvaguardas a los derechos humanos para el tratado.

Cualquier país que avance en la implementación del tratado, ya sea decidiendo si firma o pasando a la ratificación, desarrollando legislación interna o los protocolos de cooperación, debe incorporar de forma explícita salvaguardas de derechos humanos, mecanismos de rendición de cuentas, participación ciudadana y control independiente. Solo así podrá evitar que la cooperación internacional en materia de ciberdelitos se convierta en un instrumento de vigilancia masiva o de restricción de libertades fundamentales.