Convención sobre la Ciberdelincuencia

El Convenio sobre la Ciberdelincuencia, también conocido como el Convenio de Budapest sobre la Ciberdelincuencia o el Convenio de Budapest, es el primer tratado internacional que busca abordar la delincuencia informática y en Internet (ciberdelincuencia), armonizando las leyes nacionales, mejorando las técnicas de investigación y aumentando la cooperación entre las naciones. Fue elaborado por el Consejo de Europa en Estrasburgo, Francia, con la participación activa de los estados observadores del Consejo de Europa: Canadá, Japón, Filipinas, Sudáfrica y los Estados Unidos.

El Convenio y su Informe Explicativo fueron adoptados por el Comité de Ministros del Consejo de Europa en su 109.ª sesión el 8 de noviembre de 2001. Se abrió a la firma en Budapest el 23 de noviembre de 2001 y entró en vigor el 1 de julio de 2004. En abril de 2023, 68 Estados habían ratificado el Convenio, mientras que otros dos Estados (Irlanda y Sudáfrica) habían firmado el Convenio pero no lo habían ratificado.

Desde que entró en vigor, países importantes como la India se han negado a adoptar la Convención con el argumento de que no participaron en su redacción. Rusia se opone a la Convención, afirmando que su adopción violaría la soberanía rusa, y en general se ha negado a cooperar en las investigaciones policiales relacionadas con los delitos cibernéticos. Se trata del primer instrumento multilateral jurídicamente vinculante para regular los delitos cibernéticos. Desde 2018, la India ha estado reconsiderando su postura sobre la Convención tras un aumento de los delitos cibernéticos, aunque persisten las preocupaciones sobre el intercambio de datos con agencias extranjeras.

El 1 de marzo de 2006 entró en vigor el Protocolo adicional al Convenio sobre la Ciberdelincuencia. Los Estados que lo hayan ratificado deberán tipificar como delito la difusión de material racista y xenófobo a través de sistemas informáticos, así como las amenazas e insultos motivados por el racismo o la xenofobia.

El 8 de agosto de 2024, un comité de la ONU aprobó el primer tratado mundial sobre delitos cibernéticos a pesar de la importante oposición de los grupos de derechos humanos y las empresas tecnológicas. El tratado incluía disposiciones para penalizar el acceso no autorizado a los sistemas de información, la explotación infantil en línea y la distribución de contenido explícito no consentido. Sin embargo, los críticos argumentaron que ponía en peligro los derechos humanos y la libertad de prensa, y planteaba preocupaciones sobre la privacidad de los datos y ampliaba las definiciones de delitos cibernéticos.

La Convención es el primer tratado internacional sobre delitos cometidos a través de Internet y otras redes informáticas, y se ocupa en particular de las infracciones de los derechos de autor, los fraudes informáticos, la pornografía infantil, los delitos motivados por el odio y las violaciones de la seguridad de las redes. También contiene una serie de poderes y procedimientos como la búsqueda de redes informáticas y la interceptación legal.

Su objetivo principal, establecido en el preámbulo, es llevar a cabo una política penal común destinada a proteger a la sociedad contra la ciberdelincuencia, en particular mediante la adopción de una legislación adecuada y el fomento de la misma.

La Convención tiene como principales objetivos:

• Armonización de los elementos del derecho penal interno de los delitos y disposiciones conexas en la esfera del delito cibernético
• Proveer las facultades procesales internas necesarias para la investigación y el enjuiciamiento de tales delitos, así como otros delitos cometidos por medio de un sistema informático o pruebas en relación con las cuales se encuentra en forma electrónica
• Establecer un régimen rápido y eficaz de cooperación internacional

La Convención define los delitos siguientes: acceso ilegal, interceptación ilegal, interferencia de datos, interferencia del sistema, uso indebido de dispositivos, falsificación informática, fraude informático, delitos relacionados con la pornografía infantil y delitos relacionados con los derechos de autor y derechos conexos.

También establece cuestiones de derecho procesal como la conservación acelerada de datos almacenados, la conservación acelerada y la divulgación parcial de datos de tráfico, la orden de producción, la búsqueda y confiscación de datos informáticos, la recopilación en tiempo real de datos de tráfico y la interceptación de datos de contenido. Además, el Convenio contiene una disposición sobre un tipo específico de acceso transfronterizo a datos informáticos almacenados que no requiere asistencia mutua (con consentimiento o cuando estén disponibles públicamente) y prevé el establecimiento de una red 24 horas al día, 7 días a la semana para garantizar una asistencia rápida entre las Partes signatarias. Además, como condiciones y salvaguardas, el Convenio exige la provisión de una protección adecuada de los derechos humanos y las libertades, incluidos los derechos que surgen de las obligaciones en virtud del Convenio Europeo de Derechos Humanos, el Pacto Internacional de Derechos Civiles y Políticos y otros instrumentos internacionales de derechos humanos aplicables, y deberá incorporar el principio de proporcionalidad.

El Convenio es el resultado de cuatro años de trabajo de expertos europeos e internacionales. Se ha completado con un Protocolo adicional que tipifica como delito penal, similar a las leyes de difamación, toda publicación de propaganda racista y xenófoba a través de redes informáticas. Actualmente, el ciberterrorismo también se estudia en el marco del Convenio.

Su ratificación por el Senado de los Estados Unidos por consentimiento unánime en agosto de 2006 fue objeto de elogios y de condenas. Estados Unidos se convirtió en el decimosexto país en ratificar la Convención. La Convención entró en vigor en los Estados Unidos el 1 de enero de 2007.

El líder de la mayoría del Senado, Bill Frist, dijo: "Si bien equilibra las libertades civiles y las preocupaciones sobre la privacidad, este tratado fomenta el intercambio de evidencia electrónica crítica entre países extranjeros para que las fuerzas de seguridad puedan investigar y combatir estos delitos de manera más efectiva".

El Centro de Información sobre Privacidad Electrónica dijo:

La Convención incluye una lista de crímenes que cada Estado signatario debe transponer a su propia ley. Requiere la penalización de actividades como la piratería (incluida la producción, venta o distribución de herramientas de piratería) y delitos relacionados con la pornografía infantil, y amplía la responsabilidad penal por las violaciones de la propiedad intelectual. También requiere que cada Estado signatario aplique ciertos mecanismos de procedimiento dentro de sus leyes. Por ejemplo, se debe conceder a las autoridades encargadas de hacer cumplir la ley la facultad de obligar a un proveedor de servicios de Internet a supervisar las actividades de una persona en línea en tiempo real. Por último, la Convención exige a los Estados signatarios que presten cooperación internacional en la mayor medida posible para las investigaciones y procedimientos relativos a delitos relacionados con sistemas informáticos y datos, o para la reunión de pruebas en forma electrónica de un delito penal. Los organismos encargados de hacer cumplir la ley tendrán que ayudar a la policía de otros países participantes a cooperar con sus solicitudes de asistencia mutua.

Aunque un marco jurídico común eliminaría los obstáculos jurisdiccionales para facilitar la aplicación de la ley contra los delitos cibernéticos sin fronteras, puede que no sea posible la realización completa de un marco jurídico común. La transposición de las disposiciones de la Convención al derecho interno es difícil, especialmente si requiere la incorporación de ampliaciones sustanciales que contradigan los principios constitucionales. Por ejemplo, Estados Unidos puede no ser capaz de penalizar todos los delitos relacionados con la pornografía infantil que se establecen en la Convención, en particular la prohibición de la pornografía infantil virtual, debido a los principios de libertad de expresión de su Primera Enmienda. Según el artículo 9(2)(c) de la Convención, la prohibición de la pornografía infantil incluye cualquier "imagen realista que represente a un menor participando en una conducta sexual explícita". Según la Convención, Estados Unidos también tendría que adoptar esta prohibición de la pornografía infantil virtual; sin embargo, la Corte Suprema de Estados Unidos, en el caso Ashcroft v. Free Speech Coalition, anuló por inconstitucional una disposición de la CPPA que prohibía "cualquier representación visual" que "sea, o parezca, de un menor de edad participando en una conducta sexualmente explícita". En respuesta al rechazo, el Congreso de Estados Unidos promulgó la Ley PROTECT para modificar la disposición, limitando la prohibición a cualquier representación visual "que sea, o sea indistinguible de, la de un menor de edad participando en una conducta sexualmente explícita" (18 U.S.C. § 2252(B)(b)).

La Convención fue firmada por Canadá, Japón, Estados Unidos y Sudáfrica el 23 de noviembre de 2001, en Budapest. A fecha de agosto de 2024, los Estados no miembros del Consejo de Europa que han ratificado el tratado son Argentina, Australia, Benín, Brasil, Cabo Verde, Camerún, Canadá, Chile, Colombia, Costa Rica, Côte d'Ivoire, Estados Unidos, Filipinas, Ghana, Granada, Israel, Japón, Kiribati, Marruecos, Mauricio, Nigeria, Panamá, Paraguay, Perú, República Dominicana, Senegal, Sierra Leona, Sri Lanka, Tonga y Túnez.

Aunque Egipto no ha firmado la Convención, el gobierno del presidente egipcio el-Sisi ha promulgado en 2018 dos importantes leyes relacionadas con los delitos informáticos. La legislación, dirigida a servicios de redes sociales como Facebook y Twitter, penaliza las noticias falsas y el terrorismo, y establece una bandera en las cuentas que tengan más de 5.000 suscriptores o seguidores. La legislación inicial había sido criticada por Amnistía Internacional, por lo que los sitios web pueden apelar ante los tribunales en un plazo de siete días desde su inclusión en la lista negra.

De hecho, la India también "estaba reconsiderando su posición sobre convertirse en miembro de la Convención de Budapest debido al aumento de los delitos cibernéticos, especialmente después de un impulso a la India digital".

• Legislación de ciberseparación
• Lista de tratados del Consejo de Europa
• 2015 U.S. China Cybersecurity Agreement

• Dennis Jlussi: Maneja con cuidado, pero no entren en pánico - Criminalización de herramientas de hacker en el derecho penal alemán y su efecto en los profesionales de seguridad TI, Hanover 2007. Ver en línea o Descargar como archivo pdf.
• Center for Democracy and Technology
• United States Department of Justice - Computer Crime & Intellectual Convenio del Consejo de Europa sobre el delito cibernético

• Convención sobre el delito cibernético del Consejo de Europa