Poder Ejecutivo propone un nuevo Proyecto de Ley sobre delitos informáticos

Hace más de un año, la Comisión de Justicia del Congreso aprobó el polémico dictamen de la Ley de Delitos Informáticos también conocido como Ley Beingolea. Desde entonces, el Proyecto ha estado esperando su debate y hace pocos meses fue incluido en la agenda del pleno luego de sendas solicitudes de premura de los congresistas Juan Carlos Eguren y Tomás Zamudio. Sin embargo, a fines de julio, el Poder Ejecutivo ha enviado un nuevo Proyecto de Ley sobre delitos informáticos al Congreso con al aparente intención de reemplazar a la Ley Beingolea.

El proyecto se llama Ley de Represión de la Cibercriminalidad y propone incluir una serie de nuevos delitos y agravantes en nuestro Código Penal, para casos en los que se afecte la integridad de los sistemas informáticos o se use un sistema informático para cometer un delito. La primera mitad del proyecto se inspira en la controvertida Convención de Budapest sobre Delitos Informáticos, mientras la otra mitad del Proyecto va más allá del marco internacional y agrega delitos completamente novedosos. En el balance, aunque el Proyecto del Ejecutivo resulta muy superior a la Ley Beingolea en tratamiento legislativo, también contiene propuestas que merecen un debate más detenido.

Antecedentes

El Proyecto presentado por el Ejecutivo no nace de un espontáneo intento nacional por terminar con la criminalidad informática. Por el contrario, viene precedido de una serie de elementos que han obligado al Ejecutivo a presentarlo y creo que importarán mucho al momento de su debate.

Por un lado, se presenta luego del accidentado trámite del Dictamen de la Ley de Delitos Informáticos, emitido el año pasado por la Comisión de Justicia que presidía Alberto Beingolea. Aquel dictamen fue duramente criticado porque su redacción demasiado amplia criminalizaba al usuario común y proponía entregarle a la policía acceso directo a las bases de datos de usuarios de Internet, prescindiendo de la autorización judicial. La Ley Beingolea no se llegó a archivar ni retirar y hasta hace unas semanas seguía esperando su debate en el pleno.

El otro antecedente directo de la propuesta del Ejecutivo es la reunión de técnicos de la Conferencia de Ministros de Justicia de Iberoamérica (COMJIB) que se llevó a cabo en Lima a fines de junio. Este grupo de trabajo lleva discutiendo hace varios meses la necesidad de adoptar un marco común a los países de Iberoamérica para la persecución de delitos informáticos, inspirado en la Convención de Budapest. Se sabe que en la última reunión de Lima se avanzó sobre la redacción de un Convenio sobre Ciberdelincuencia para la región, que ha pasado a evaluación y espera ser firmado por todos los países en octubre.

Adicionalmente, durante el último año se han acumulado en el Congreso varios proyectos de ley que tratan delitos informáticos en específico o que están relacionados con el uso de la tecnología. A la fecha, existen varios proyectos de ley pendientes de ser revisados en distintas comisiones sobre grooming, acceso a datos personales por parte de la policía, colaboración para la investigación penal e interceptación telefónica. En este escenario, resulta lógico pensar que el proyecto del Ejecutivo intente regular estos temas en forma ordenada antes de que se aprueben los otros proyectos.

La parte de los delitos informáticos

La primera mitad del Proyecto propone penalizar ocho delitos informáticos partiendo del texto de la Convención de Budapest, aunque añadiendo agravantes especiales en algunos casos. Así, se listan en esta parte los delitos de (1) acceso ilícito, (2) atentados a la integridad de datos informáticos, (3) atentados contra la integridad de sistemas informáticos, (4) abuso de mecanismos y dispositivos informáticos, (5) interceptación de datos y sistemas informáticos, (6) fraude informático, (7) suplantación de identidad, y, (8) pornografía infantil. Es decir, se incluyen ocho de los nueve delitos que propone Budapest. ((Solo quedan fuera los delitos contra la propiedad intelectual, que ya están regulados en nuestro Código Penal y se actualizaron recientemente a propósito de la implementación del Acuerdo de Libre Comercio con Estados Unidos.))

En esta parte se han traducido directamente el texto original de la Convención de Budapest, sin limitar los supuestos ni hacer otras precisiones, aunque de forma selectiva. Lo único que se ha hecho es añadir agravantes que aumentan las penas o elegir las descripciones de las conductas típicas más amplias. Hay casos en los que Budapest deja a consideración de los estados circunscribir las conductas típicas a casos más particulares y que el Proyecto no ha tomado en cuenta. Por ejemplo, el artículo 5 de la Convención de Budapest, sobre atentados a la integridad de datos informáticos, señala que el Estado puede elegir penalizarlo solo cuando se genera un daño serio al sistema. El Proyecto del Ejecutivo no establece esa precisión y deja abierta la posibilidad de que el delito se configure frente a cualquier tipo de daño.

Resulta interesante que en la exposición de motivos se mencione la posibilidad de que el delito de atentado a la integridad de sistemas informáticos se use para castigar a quienes “saturan un sistema virtual de alguna entidad a través de accesos o requerimientos múltiples, impidiendo así su funcionamiento normal”. Efectivamente, una opinión similar ha ensayado el propio Consejo de Europa al analizar la aplicabilidad de la Convención de Budapest a los ataques de DDoS señalando que más de un artículo de la Convención puede servir. El problema en estos ataques, sin embargo, es identificar al agente que comete el delito porque precisamente un DDoS se genera mediante la intervención concordada de muchas personas.

Agravantes para la interceptación

Otro caso interesante de traducción selectiva es el de los delitos de interceptación de datos y de comunicaciones telefónicas. Actualmente, existe en nuestro Código Penal un delito de interceptación telefónica. La Convención de Budapest propone tipificar también la interceptación de todo tipo de datos informáticos, con la finalidad de abarcar aquello que no necesariamente es considerado una comunicación telefónica (ej. los sistemas de comunicación electrónicos de un banco). Por ello, al tiempo que el Proyecto del Ejecutivo propone regular la interceptación de datos también se incluye una modificación al artículo vigente de interceptación telefónica con la finalidad de que la redacción y agravantes de ambas disposiciones sea similar.

Sin embargo, el Proyecto del Ejecutivo aprovecha la oportunidad para introducir dos grupos de agravantes que no estaban presentes en el artículo original sobre interceptación y que merecen analizarse. Las dos agravantes que no pertenecen al texto mismo de la Convención de Budapest se dan cuando: (i) cuando el delito recae sobre información clasificada como secreta, reservada o confidencial, y (ii) cuando compromete la defensa, seguridad o soberanía nacional.

Sobre el primer caso, ya existen en nuestro Código Penal sanciones para quien consigue y/o difunde al público información que comprometa la defensa nacional o secretos nacionales, con penas de hasta quince años. ((El artículo 331 del Código Penal condena a quien espía para comunicar o comunica o hace accesibles a un Estado extranjero o al público, hechos, disposiciones u objetos mantenidos en secreto por interesar a la defensa nacional con pena privativa de libertad no menor de quince años.)) Actualmente, un juez puede condenar penalmente con hasta quince años de cárcel a quien usando medios tecnológicos acceder o difunde información que compromete la defensa o soberanía nacional. En este punto, el Proyecto de Ley propuesto no añade nada nuevo, salvo una ligera variación en las penas.

Lo que no existe en nuestro Código Penal y se quiere agregar es una pena para quien intercepte o difunda información clasificada como secreta, reservada o confidencial en los términos de la Ley de Transparencia y Acceso a la Información Pública. Esta información no solo comprende a la información relacionada con la defensa nacional, inteligencia o policía, sino también elementos de las negociaciones internacionales que de revelarse perjudicarían los procesos negociadores (ej. el texto del un acuerdo comercial como el TPP), información que contenga consejos, recomendaciones u opiniones producidas como parte del proceso deliberativo y consultivo previo a la toma de una decisión de gobierno (como una llamada telefónica del Ministro de Defensa).

La regla general es que cualquier interceptación telefónica o de datos es ilegal en cuanto compromete la privacidad de una persona o la integridad de un sistema informático. En el caso de afectaciones a la privacidad, no solo está prohibida la interceptación sino también la difusión de las comunicaciones interceptadas. Sin embargo, a menudo terminan publicándose en medios de comunicación audios o comunicaciones electrónicas obtenidas ilegalmente porque que son considerados de interés público. En esos casos, no deja de ser ilegal la interceptación aunque se considera aceptable la difusión de lo interceptado. De aprobarse el Proyecto del Ejecutivo, no se prohibirá que se comuniquen comunicaciones telefónicas o electrónicas interferidas. Sin embargo, sí habrá una pena especial aumentada quien obtenga información que el Estado no desea hacer pública. Esta es una categoría amplia dentro de la cual, naturalmente, puede entrar información considerada de interés público. Esta regla puede tener consecuencias no deseadas para la investigación periodística y el acceso a la información pública en general.

Imaginemos, por ejemplo, que una investigación periodística pone al descubierto un sistema de vigilancia de comunicaciones llevado a cabo por el Estado sin autorización judicial. La pieza clave de la investigación fueron unos correos electrónicos interceptados. Los periodistas no habrían cometido ningún delito al revelar la información, por resultar de evidente interés público. Sin embargo, quien accedió a dicha información podría afrontar una pena de hasta ocho años de cárcel. Bajo este mismo artículo, a casos como el del periodista Rudy Palma se les aplicaría también ese agravante.

Grooming

Otra propuesta polémica del Proyecto del Ejecutivo es la introducción del nuevo tipo penal de proposiciones a menores con fines sexuales a través de medios tecnológicos. En virtud de este artículo, se penalizaría a quien contacta a un menor de catorce años para: (i) solicitar u obtener de él material pornográfico, o (ii) llevar acabo actividades sexuales con él. Esta práctica (también denominada grooming) está regulada en muy pocos países en el mundo y su tipificación y aplicación ha sido muy polémica.

La principal objeción a esta figura es que penaliza el mero contacto con un menor, sin necesidad de que se lleve a cabo ninguna acción posterior. Esto, en principio, plantea el problema de penalizar un acto preparatorio en sí mismo. Además, también resulta muy difícil de fiscalizar y probar ya que para acreditar el “contacto“ tendría que recurrirse a la interceptación de las comunicaciones del presunto infractor. Sobre el punto, la Convención sobre Explotación Infantil del Consejo de Europa exige que para penalizar el grooming la propuesta esté seguida de actos materiales que conduzca a concretar el encuentro.

Hace unos meses, en Argentina se debatió un proyecto de ley muy similar que fue duramente criticado por organizaciones como la Asociación por los Derechos Civiles porque consideraban que tenía “numerosos problemas de compatibilidad con los principios esenciales que deben regir una legislación penal respetuosa de las garantías constitucionales”.

Creo que en este caso lo mejor sería adaptar los tipos penales existentes de pornografía infantil, seducción o violación para comprender a menores de catorce años y los casos en los que se solicita o chantajea a un menor para obtener de él fotos o vídeos considerados pornografía infantil.

Discriminación ¿por Internet?

Completando el catálogo de temas aleatorios que se incluyen en el Proyecto, el Ejecutivo plantea también introducir modificaciones en el delito de discriminación cuando se comete a través de medios tecnológicos. Actualmente, constituye delito: (i) la discriminación contra uno o un grupo de personas por motivo racial, religioso, sexual, de factor genético, filiación, edad, discapacidad, idioma, identidad étnica y cultural, indumentaria, opinión política o de cualquier índole, o condición económica, y (ii) la incitación o promoción pública de actos discriminatorios. A quienes cometan este delito se les aplica una pena privativa de la libertad de entre dos y tres años. También hay una agravante que aumenta la pena a dos a cuatro años cuando el agente es un funcionario o servidor público o cuando la discriminación se materializa a través de actos de violencia física o mental. Sin embargo, el Proyecto del Ejecutivo propone que equiparar los actos de violencia física o mental por discriminación a “la discriminación a través de tecnologías de la información y de la comunicación.”

En otras palabras, el Ejecutivo plantea que cualquier expresión, decisión o conducta llevada a cabo a través de medios tecnológicos (como una red social) que pueda ser considerada discriminatoria por raza, género, identidad étnica, opinión política, entre otras, tenga una pena de hasta cuatro años. Una pena, además, equivalente a la que le correspondería a quien ejerce violencia sobre alguien por motivos raciales, religiosos, entre otros.

Veo dos problemas con esta propuesta. El primero es que el tipo penal es demasiado amplio y puede terminar penalizando la libertad de opinión y amenazando la libertad de expresión en línea. Bajo ese criterio, cualquier comentario difundido a través de una red social puede potencialmente poner a su autor tras las rejas solo porque alguien más lo encuentra discriminatorio.

Por otro lado, la discriminación es un problema endémico en nuestra sociedad, pero su tipificación como delito ha hecho muy poco por solucionarlo. ((Me refiero al tratamiento de la discriminación como ilícito penal. La discriminación también es ilegal en el plano del derecho del consumidor e incluso a nivel de normativas municipales. En estos espacios, la aplicación de estas normas han demostrado ser mucho más exitosas y efectivas.)) Su investigación y sanción ha sido realmente escasa, con muy pocas sentencias penales relevantes. Un informe reciente de la Defensoría del Pueblo señala que entre el 2009 y el 2012 solo se han conocido diecinueve (19) procesos por discriminación en el Poder Judicial, de los cuales doce siguen en proceso, cuatro se archivaron y tres tuvieron sentencia. ((De entre los tres que tuvieron sentencia, la más grande fue aplicada a un chofer y un cobrador en Paucarpata que no dejaron subir a su unidad a una persona en silla de ruedas. A ambos los condenaron a dos años de prisión suspendida y a pagar una reparación de 500 soles.)) En este escenario, cabe preguntarse para qué queremos sumar un nuevo supuesto a este delito si en la práctica casi nunca se usa.

***

Como señalé al inicio, me queda una impresión mixta de este proyecto de ley. Por un lado, creo que resulta mucho mejor que la infame Ley Beingolea. Sin embargo, parece más una propuesta que responde a motivos externos que internos. No se menciona nada sobre porqué la regulación vigente de los delitos informáticos resulta inapropiada, ni tampoco se señala cuántos casos y de qué tipo se han conocido en el Ministerio Público o el Poder Judicial desde que tenemos artículos sobre delitos informáticos en el Código Penal. Tampoco se señalan casos en los que se haya terminado archivando o declarando infundadas denuncias penales contra criminales informáticos por ausencia de una tipificación necesaria. Por otro lado, las propuestas sobre grooming, discriminación y el agravante para la información pública son auténticas leyes de contrabando que creo que deberían de ser mejor sustentadas o plasmadas por sus proponentes antes de ser sometidas a debate. El principal apuro parece ser aprobar esta ley antes de que se apruebe la anterior o que COMJIB termine por obligarnos a hacerlo de todas maneras. ¿Será que estamos obligados a aprobarla?

Al ser un proyecto presentado por el propio Poder Ejecutivo, sí creo que tiene muchas posibilidades de convertirse en ley. Espero que la Comisión de Justicia y Derechos Humanos que preside Juan Carlos Eguren, donde el Proyecto ya es parte de la orden del díá, sepa evaluar las implicancias que el proyecto tiene para los derechos fundamentales y pueda enfocar el debate sobre los asuntos más relevantes.

Descarga | Texto completo del Proyecto de Ley 2520/2012-PE, Ley de Represión de la Cibercriminalidad