Vigilancia de periodistas, registros e incautaciones de dispositivos digitales – Europa

Ideas clave

La protección de los derechos de los periodistas en el espacio digital, incluyendo la salvaguarda de sus comunicaciones y otros datos sensibles, se ha convertido en una cuestión cada vez más compleja y relevante en la nueva era de la información. Este módulo analiza diversas medidas adoptadas por los Estados, tribunales e instituciones europeas para abordar cuestiones relacionadas con la privacidad, la seguridad y la libertad de expresión.

Introducción

La protección de los derechos de los periodistas en el espacio digital, incluyendo la salvaguarda de sus comunicaciones y otros datos sensibles, se ha convertido en un tema cada vez más complejo y relevante en la nueva era de la información. A medida que el uso de internet, incluyendo las herramientas de comunicación en línea y las plataformas de intercambio electrónico de datos, se expande rápidamente, se transfiere y almacena digitalmente una cantidad creciente de datos. Además, muchas contribuciones al debate público se difunden y reciben en línea.

Si bien los avances legislativos, judiciales y políticos se esfuerzan por seguir el ritmo acelerado de los desarrollos tecnológicos, los países europeos y las organizaciones regionales, como la Unión Europea (UE) y el Consejo de Europa (CdE), han adoptado medidas que abordan tanto cuestiones ya existentes como nuevas relacionadas con la privacidad, la seguridad y la libertad de expresión. Estas incluyen cuestiones relativas a la vigilancia y la retención de las comunicaciones de los periodistas y otras formas de acceso a sus dispositivos.

Intercepción de datos masivos

La vigilancia de las comunicaciones, incluso mediante la introducción de regímenes de interceptación masiva, ha sido un tema central en los avances legales sobre la vigilancia en los últimos años. No solo el aumento del flujo de datos en línea, sino también la sofisticación técnica de las herramientas de vigilancia incrementa el riesgo de que los ciudadanos, incluidos los periodistas, se conviertan en «personas transparentes».¹ para las autoridades estatales. Según el Relator Especial de la ONU sobre la libertad de expresión:

Los avances tecnológicos implican que la eficacia del Estado en la vigilancia ya no está limitada por la escala ni la duración. […] Por lo tanto, el Estado ahora tiene mayor capacidad que nunca para llevar a cabo una vigilancia simultánea, invasiva, selectiva y a gran escala. ²

¿Qué es la interceptación masiva de datos?

La interceptación masiva de datos se define como "la recopilación de grandes cantidades de tráfico de internet de todo el mundo" en situaciones en las que se desconoce el objetivo y la intención de la medida es descubrir, en lugar de investigar.³ Los datos recogidos pueden incluir, además del contenido de la comunicación, las circunstancias de su transmisión, incluyendo el “quién”, el “cuándo” y el “dónde”.⁴ Está estrechamente vinculado a la vigilancia masiva, que “implica la adquisición, el procesamiento, la generación, el análisis, el uso, la retención o el almacenamiento de información sobre un gran número de personas, sin tener en cuenta si se sospecha que han cometido algún delito”.⁵

Estas prácticas, así como las medidas de vigilancia selectiva, vulneran el derecho a la privacidad (artículo 17 del Pacto Internacional de Derechos Civiles y Políticos, artículo 8 del Convenio Europeo de Derechos Humanos), ya que las autoridades acceden a datos personales y profesionales íntimos. Además, el conocimiento —o incluso la sospecha— de ser vigilado menoscaba el derecho a la libertad de expresión (artículo 19 del Pacto Internacional de Derechos Civiles y Políticos, artículo 10 del Convenio Europeo de Derechos Humanos), puesto que el temor a revelar involuntariamente la actividad en línea o la identidad de las fuentes periodísticas genera un efecto disuasorio y conduce a la autocensura, en particular en entornos represivos.

Normas jurídicas internacionales

Diversos organismos de la ONU han manifestado su preocupación por el impacto de las medidas de vigilancia en los derechos humanos. Por ejemplo, el Comité de Derechos Humanos de la ONU ha declarado que «la vigilancia, ya sea electrónica o de otro tipo, las interceptaciones de comunicaciones telefónicas, telegráficas y de cualquier otra índole, las escuchas telefónicas y la grabación de conversaciones deben estar prohibidas».⁶ Asimismo, se afirmó que, para cumplir con los requisitos del artículo 17 del Pacto Internacional de Derechos Civiles y Políticos, relativo al derecho a la privacidad, “debe garantizarse de jure y de facto la integridad y la confidencialidad de la correspondencia”.⁷

La vigilancia de las comunicaciones ha sido descrita como un “acto altamente intrusivo” que solo puede justificarse en las circunstancias más excepcionales y debe ir acompañado de suficientes medidas de seguridad.⁸ Más allá de esto, como criticó el Relator Especial de la ONU sobre la lucha contra el terrorismo en 2014, “[l]a tecnología de acceso masivo corroe indiscriminadamente la privacidad en línea y atenta contra la esencia misma del derecho garantizado por el artículo 17 [del Pacto Internacional de Derechos Civiles y Políticos]”.⁹ ya que “elimina la posibilidad de cualquier análisis de proporcionalidad individualizado”.¹⁰ En consonancia con esta evaluación, la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos (ACNUDH) también ha subrayado que la vigilancia masiva indiscriminada y la interceptación, recopilación, almacenamiento y análisis de las comunicaciones de todos los usuarios "no están permitidas por el derecho internacional de los derechos humanos, ya que no sería posible un análisis individualizado de necesidad y proporcionalidad en el contexto de tales medidas".¹¹ Según la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos (ACNUDH), "la mera posibilidad de que se intercepte información de comunicaciones" y, por lo tanto, la existencia misma de un programa de vigilancia masiva, atenta contra el derecho a la privacidad.¹²

Normas regionales: UE

Durante casi una década, las medidas de vigilancia masiva han sido objeto de interpretación por parte de los tribunales europeos. El Tribunal de Justicia de la Unión Europea (TJUE), en particular, ha abordado ampliamente el tema de las medidas de retención de datos en varias sentencias históricas, suscitando preocupación, entre otras cosas, por el hecho de que los datos retenidos permiten a las autoridades extraer conclusiones muy precisas sobre la vida privada de las personas afectadas.¹³

• En su sentencia sobre el caso Derechos Digitales Irlanda/Seitlinger y otros En 2014, el Tribunal de Justicia de la Unión Europea (TJUE) invalidó la Directiva sobre retención de datos (Directiva UE 2006/24/CE), que, entre otras cosas, obligaba a los proveedores de telecomunicaciones a conservar durante largos periodos los datos de tráfico y localización de todos los usuarios. El TJUE invalidó la Directiva por considerar que vulneraba de forma «particularmente grave» y desproporcionada el derecho al respeto de la vida privada y familiar y la protección de datos personales.¹⁴
• Dos años después, en Tele2 Sverige AB/Watson y otros En 2016, el TJUE se basó en estas conclusiones y sostuvo que el derecho de la UE impedía que la legislación nacional impusiera a los servicios de comunicaciones electrónicas la obligación de conservar de forma general e indiscriminada los datos de tráfico y de ubicación con el fin de combatir la delincuencia.¹⁵ Al mismo tiempo, el TJUE aclaró que la retención selectiva de datos, limitada a lo estrictamente necesario e impuesta por una legislación clara y precisa que contenga garantías suficientes, no está prohibida por el Derecho de la UE.¹⁶
• En el caso de los Privacidad internacional En 2020, el TJUE reiteró la prohibición de la retención general e indiscriminada de datos. El caso le obligó a considerar la aplicación del Derecho de la UE a la legislación nacional que obliga a los proveedores de servicios de comunicaciones a conservar datos o a transmitirlos a los servicios nacionales de seguridad e inteligencia.¹⁷ El TJUE amplió sus conclusiones en el caso Tele2, sosteniendo que el derecho de la UE impide la legislación nacional que exige a los proveedores de servicios de comunicaciones electrónicas transmitir de forma general e indiscriminada datos de tráfico y ubicación a agencias de seguridad e inteligencia con el fin de salvaguardar la seguridad nacional.¹⁸ En el caso conjunto de La cuadratura de la red y otros En 2020, el TJUE sostuvo que una orden que exige la retención general e indiscriminada de datos de ubicación y tráfico puede justificarse cuando el Estado se enfrenta a una amenaza grave, genuina y presente o previsible para la seguridad nacional.¹⁹ Si bien esta orden debe limitarse en el tiempo a lo estrictamente necesario, podrá prorrogarse si la amenaza persiste.²⁰

Además, el TJUE aclaró los requisitos para la retención selectiva, así como la retención de direcciones IP y otros datos que permitan la identificación de los usuarios, clasificando algunos tipos de datos como "menos sensibles".²¹

• Su reciente decisión en el caso SpaceNet/Telecom Alemania En 2022, el TJUE confirmó una vez más que el Derecho de la UE excluye la exigencia de retención preventiva, general e indiscriminada de datos para combatir delitos graves y prevenir amenazas graves a la seguridad pública.²² Además, se detalló una serie de medidas que, en la medida en que estén establecidas mediante normas claras y precisas que contengan salvaguardias suficientes, no están excluidas, entre ellas:²³

• Instrucciones para conservar de forma general e indiscriminada los datos de tráfico y ubicación con el fin de salvaguardar la seguridad nacional cuando exista una amenaza grave, real, presente y previsible para la seguridad nacional, siempre que exista un proceso de revisión eficaz y la instrucción se limite en el tiempo a lo estrictamente necesario;
• Retención selectiva de datos de tráfico y ubicación, limitada en tiempo y alcance, con el fin de salvaguardar la seguridad nacional, combatir la delincuencia grave y prevenir amenazas graves a la seguridad pública;
• Además, el TJUE profundiza en las circunstancias en las que la retención indiscriminada y generalizada de direcciones IP, datos relativos a la identidad civil de los usuarios y la retención acelerada de datos de tráfico y de ubicación en posesión de los proveedores de servicios pueden justificarse en virtud del Derecho de la UE.

Normas regionales: CoE

El Tribunal Europeo de Derechos Humanos (TEDH) también ha evaluado la legalidad de diferentes sistemas nacionales de interceptación masiva en varios casos emblemáticos.

Inicialmente, en la sentencia de 2006 en el caso Weber y Saravia contra AlemaniaEl Tribunal Europeo de Derechos Humanos sostuvo que los Estados generalmente gozan de un “margen de apreciación bastante amplio” con respecto a las medidas relativas a la seguridad nacional y la prevención de delitos.²⁴

Unos años más tarde, el TEDH tuvo que examinar el régimen ruso de telecomunicaciones secretas a la luz del CEDH. Zakharov contra RusiaLa Gran Sala constató una violación del artículo 8 del CEDH, argumentando que las disposiciones nacionales carecían de “garantías adecuadas y efectivas contra la arbitrariedad y el riesgo de abuso inherente a cualquier sistema de vigilancia secreta”.²⁵ Del mismo modo, el TEDH consideró que la legislación antiterrorista húngara no contenía suficientes garantías y expresó su preocupación por el hecho de que prácticamente cualquier persona en Hungría pudiera ser objeto de vigilancia.²⁶

En una sentencia trascendental sobre la vigilancia masiva, la Primera Sección del TEDH dictaminó en Gran Hermano contra Reino Unido En 2018 se afirmó que la interceptación masiva por parte de las agencias de inteligencia no es, en sí misma, incompatible con el derecho a la privacidad.²⁷

Esta conclusión fue confirmada posteriormente por la Gran Sala, que dictaminó que las medidas de interceptación masiva pueden justificarse en determinadas circunstancias, como por ejemplo para recabar datos de inteligencia y para combatir el terrorismo y el espionaje.²⁸ El TEDH sostuvo que, si bien los regímenes de interceptación masiva no per se Si se violan los derechos contemplados en la Convención, deben contener salvaguardias integrales, así como una protección suficiente para las fuentes periodísticas.²⁹

En el caso de los Centrum för Rättvosa c. SueciaEn una decisión tomada el mismo día, la Gran Sala del TEDH dictaminó que el régimen sueco de interceptación masiva violaba el artículo 8 del CEDH, pero también sostuvo explícitamente que "la interceptación masiva es de vital importancia para los Estados Contratantes a la hora de identificar amenazas a su seguridad nacional" y que "ninguna alternativa o combinación de alternativas sería suficiente para sustituir la facultad de interceptación masiva".³⁰

Desde entonces, el Tribunal ha examinado otros sistemas nacionales de vigilancia masiva y retención de datos, y ha constatado violaciones del Convenio Europeo de Derechos Humanos.³¹

Litigios en casos de interceptación masiva de datos: Condición de víctima

El término «legitimación procesal» se entiende generalmente como la capacidad de una persona u organización para presentar una demanda ante un tribunal determinado. Si bien los requisitos varían según la jurisdicción, normalmente se le pide al solicitante que justifique por qué le afecta el asunto o qué interés representa. Con frecuencia, se le exigirá que demuestre una conexión suficiente entre el tema y su interés en él.

El TEDH, conforme a lo dispuesto en el artículo 34 del CEDH, acepta solicitudes de quienes “alegan ser víctimas de una violación por parte de una de las Altas Partes Contratantes de los derechos enunciados en el Convenio o en sus Protocolos”. Si bien esto incluye no solo a las víctimas directas, sino también a quienes sufrirían daños o tienen un interés legítimo en el caso,³² El TEDH ha dejado claro que:

El Convenio no prevé la interposición de una acción popular y su función no es, normalmente, revisar la legislación y la práctica pertinentes en abstracto, sino determinar si la forma en que se aplicaron o afectaron al demandante dio lugar a una violación del Convenio. ³³

Por lo tanto, el TEDH generalmente exige a los solicitantes que expliquen cómo fueron víctimas de un acto específico que, según alegan, violó sus derechos. Sin embargo, en determinadas circunstancias, las "víctimas potenciales" pueden presentar una solicitud ante el TEDH. Esto incluye a las personas que sospechan haber sido objeto de medidas encubiertas (de vigilancia). Dado que estas personas no pueden saber si se utilizó tal medida, el TEDH acepta que "la mera existencia de medidas secretas o de legislación que las permita" puede ser suficiente.³⁴ Este es el caso en el que el solicitante posiblemente se haya visto afectado por la legislación en cuestión y no existen recursos internos suficientes y efectivos a su disposición.³⁵

Algunos tribunales nacionales adoptan enfoques similares. Por ejemplo, el Tribunal Constitucional Federal de Alemania aceptó el argumento de que los demandantes, que se habían quejado de las obligaciones de retención de la Ley de Telecomunicaciones de 2007, utilizaban los servicios de telecomunicaciones en su capacidad privada y profesional, reconociendo su legitimación procesal en función de la "probabilidad razonable" de verse afectados por dichas medidas.³⁶ El Tribunal Constitucional siguió esta línea argumental en casos posteriores, donde existía una probabilidad suficiente de que los demandantes hubieran sido objeto de medidas en virtud de las disposiciones impugnadas cuando no existían suficientes obligaciones de divulgación retroactiva.³⁷

Spyware

La vigilancia selectiva se refiere a aquella que se centra en obtener información sobre las comunicaciones de un individuo específico, como por ejemplo una persona que ya es sospechosa en un caso penal.³⁸ Un ejemplo destacado es el uso de software espía, un tipo de programa malicioso que "interfiere con el funcionamiento normal de un dispositivo para recopilar información sin alertar al usuario".³⁹

El tipo de software espía más intrusivo conocido hasta la fecha es Pegasus, fabricado por la empresa israelí de ciberseguridad NSO Group y vendido exclusivamente a gobiernos. En 2021, el Proyecto contra el Crimen Organizado y la Corrupción (OCCPR) publicó un informe que detallaba el uso de Pegasus contra, entre otros, periodistas, defensores de los derechos humanos, activistas y figuras políticas de todo el mundo.

El software espía Pegasus puede instalarse de forma encubierta en el dispositivo de una persona, generalmente su teléfono móvil. Una vez instalado, convierte el dispositivo en una herramienta de vigilancia permanente, otorgando acceso ilimitado a los datos almacenados, así como a la cámara, el micrófono, los mensajes, las fotos, las contraseñas, las llamadas y la geolocalización.

Los métodos de implantación en un dispositivo incluyen que el usuario haga clic en un enlace malicioso o el uso de un transmisor inalámbrico cerca del teléfono. Sin embargo, una de las revelaciones más preocupantes sobre el software espía Pegasus es su capacidad para infectar un dispositivo mediante el método denominado "cero clics", que no requiere ninguna acción por parte del usuario ni ningún tipo de "jailbreaking" del sistema.

Una vez que un dispositivo está infectado, es extremadamente difícil detectar el software espía, así como sus acciones, por ejemplo, si se ha producido una extracción de datos.

1. Estándares internacionales

Diversos organismos internacionales han expresado su seria preocupación por el uso de software espía, incluido el Comité de Derechos Humanos de la ONU.⁴⁰ Como ha señalado la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos (ACNUDH), el desarrollo y el uso de herramientas de vigilancia generalizadas son "profundamente alarmantes", ya que amenazan el estado de derecho y erosionan las democracias pluralistas.⁴¹

El uso de esta herramienta de software espía contra periodistas, defensores de los derechos humanos y otras personas constituye una grave injerencia en el derecho a la privacidad (Artículo 17 del Pacto Internacional de Derechos Civiles y Políticos).⁴²lo cual, en particular cuando se lleva a cabo por razones políticas, nunca puede justificarse.⁴³

Además, el uso del software espía Pegasus viola la libertad de expresión, protegida a nivel internacional por el artículo 19 del Pacto Internacional de Derechos Civiles y Políticos. Infectar un dispositivo de comunicación personal con software espía permite “obtener información sobre los procesos mentales de las personas afectadas por el ataque informático, así como sobre sus opiniones y creencias políticas y religiosas”.⁴⁴ Esto es especialmente cierto en el contexto periodístico, ya que se elude la protección de las fuentes periodísticas y la mera existencia de software espía crea un efecto disuasorio.⁴⁵

2. Normas regionales: UE

En la UE, las medidas de vigilancia selectiva, con la excepción de las medidas de seguridad nacional excluidas de su ámbito de aplicación por el artículo 4² TUE: debe cumplir con el Derecho primario y secundario aplicable de la Unión, en particular la Carta de los Derechos Fundamentales de la Unión Europea, la Directiva sobre privacidad electrónica y la Directiva sobre la aplicación de la ley.⁴⁶ Artículo 52¹ La Carta de los Derechos Fundamentales de la Unión Europea exige que todos los actos que limiten los derechos fundamentales se ajusten a los principios de proporcionalidad y necesidad. ⁴⁷

Debido a la calidad y cantidad de datos almacenados en los teléfonos inteligentes, el Supervisor de Protección de Datos de la UE considera "altamente improbable que el software espía como Pegasus, que de facto otorga acceso completo e ilimitado a datos personales, incluidos datos sensibles, pueda cumplir con los requisitos de proporcionalidad", ya que "la injerencia en el derecho a la privacidad es tan grave que el individuo se ve privado de ella" y que no se garantiza la protección de terceros ni de aquellos a quienes se les otorga una protección especial, como los abogados.⁴⁸

En un enfoque similar, el Parlamento Europeo ha condenado «el uso de software espía por parte de los gobiernos de los Estados miembros y de miembros de las autoridades gubernamentales o instituciones estatales con el fin de vigilar, chantajear, intimidar, manipular y desacreditar a miembros de la oposición, críticos y la sociedad civil, eliminando el control democrático y la libertad de prensa, manipulando elecciones y socavando el estado de derecho al atacar a jueces, fiscales y abogados con fines políticos».⁴⁹

3. Normas regionales: CoE

El 23 de octubre de 2023, la Asamblea Parlamentaria del Consejo de Europa emitió una resolución en la que expresaba su profunda preocupación por las crecientes pruebas de que Pegasus y otros programas espía similares han sido utilizados ilegalmente o con fines ilegítimos por varios Estados miembros, incluso contra periodistas, opositores políticos, defensores de los derechos humanos y abogados, y condenaba su uso con fines políticos.⁵⁰

Incluso antes de las revelaciones sobre la intrusión del software espía Pegasus, la Gran Sala del TEDH reconoció que, en el contexto del rápido avance técnico, el derecho interno debe ser suficientemente claro "para dar a los ciudadanos una indicación adecuada sobre las circunstancias y las condiciones en las que las autoridades públicas están facultadas para recurrir a tales medidas".⁵¹

El Tribunal Europeo de Derechos Humanos aún no ha emitido su primera sentencia sobre un caso relacionado con el uso del software espía Pegasus. Sin embargo, su jurisprudencia ofrece algunas pistas sobre cómo aborda estos asuntos.

El uso de software espía intrusivo contra periodistas atenta contra su derecho a la vida privada y familiar (artículo 8 del CEDH), así como contra su libertad de expresión (artículo 10 del CEDH), ya que permite el acceso a información y correspondencia sensibles y genera un efecto disuasorio en quienes participan en el debate público. Su uso no cumple con las condiciones de la denominada prueba de tres partes, en particular con los requisitos de necesidad y proporcionalidad. Por último, el software espía Pegasus elude la protección de las fuentes periodísticas, sin la cual, como ha subrayado el TEDH, estas pueden verse disuadidas de hablar con la prensa, la cual, a su vez, no puede cumplir con su función de vigilancia pública.⁵²

Registros e incautaciones de dispositivos

Los dispositivos digitales, como teléfonos, cámaras, computadoras portátiles y dispositivos de almacenamiento, se han convertido en herramientas esenciales para que los periodistas realicen su trabajo. Se utilizan, por ejemplo, para investigar, grabar, comunicarse con fuentes confidenciales y otros periodistas, y para publicar contenido. Sin embargo, estos dispositivos suelen ser objeto de incautaciones y registros por parte de las autoridades, en particular en situaciones consideradas delicadas, como al cubrir protestas.⁵³ o en las fronteras nacionales⁵⁴. A medida que las organizaciones de la sociedad civil documentan un número creciente de incautaciones y registros (forenses) de equipos digitales de periodistas,⁵⁵ La protección de la seguridad digital sigue siendo un factor importante para garantizar el buen funcionamiento de la prensa. Aquí encontrará consejos prácticos para periodistas que cubren protestas.

Mediante registros e incautaciones, las autoridades acceden a material protegido, incluida la identidad de fuentes periodísticas, poniendo en peligro su seguridad y generando un efecto disuasorio. El registro de dispositivos móviles resulta particularmente intrusivo debido a la cantidad y la sensibilidad de los datos a los que se accede. Estas medidas vulneran el derecho a la privacidad (artículo 8 del CEDH) y la libertad de expresión (artículo 10 del CEDH), y solo se justifican si cumplen con los criterios acumulativos de la denominada prueba de tres partes. Además, el registro del domicilio y lugar de trabajo de los periodistas, así como la incautación de su material, deben ir acompañados de garantías procesales adecuadas y efectivas.⁵⁶

El TEDH ha aclarado que:

Los periodistas deben gozar de un amplio margen de protección, que incluya una serie de libertades de relevancia funcional para el ejercicio de su actividad, tales como: la protección de las fuentes confidenciales; la protección contra los registros de los lugares de trabajo profesionales y los domicilios privados y la incautación de materiales; la protección de los procesos de recopilación de noticias e información […] ⁵⁷

Se debe prestar especial atención a la protección de las fuentes periodísticas,⁵⁸ un principio que, en palabras del TEDH, es “uno de los pilares” de la libertad de prensa y esencial para que la prensa pueda cumplir su función de vigilancia pública.⁵⁹

El TEDH ha aplicado estos numerosos precedentes, confirmando, por ejemplo, que el registro del ordenador portátil de un periodista en un paso fronterizo violó el artículo 8 del CEDH debido a la falta de garantías efectivas y adecuadas en la legislación y la práctica internas rusas.⁶⁰ In Sorokin contra RusiaEl Tribunal Europeo de Derechos Humanos (TEDH) constató una violación del artículo 10 del Convenio Europeo de Derechos Humanos (CEDH) después de que se registrara el piso de un periodista y sus dispositivos electrónicos, que contenían información relacionada con su trabajo, sin ninguna garantía procesal para proteger la confidencialidad de sus fuentes.⁶¹ In Nagla contra Letoniaa) El TEDH subrayó que:

El derecho de los periodistas a no revelar sus fuentes no puede considerarse un mero privilegio que se concede o se retira en función de la legalidad o ilegalidad de dichas fuentes, sino que forma parte integrante del derecho a la información, que debe tratarse con la máxima cautela.⁶²