Privacidad y seguridad en línea – África subsahariana

Ideas clave

Introducción

En la actual era digital, el derecho a la privacidad ha adquirido un reconocimiento cada vez mayor como derecho fundamental, tanto en sí mismo como facilitador de otros derechos. Esto incluye garantizar el derecho a la libertad de expresión, por ejemplo, permitiendo que las personas compartan sus opiniones de forma anónima en situaciones donde puedan temer ser censuradas por ellas; permitiendo que los denunciantes realicen revelaciones protegidas; y permitiendo que los miembros de los medios de comunicación y los activistas se comuniquen de forma segura, fuera del alcance de la interceptación gubernamental ilegal.

La disposición clave del derecho internacional relativa al derecho a la privacidad se encuentra en el artículo 17 del Pacto Internacional de Derechos Civiles y Políticos (ICCPR):

• Subartículo ¹ establece que nadie será objeto de injerencias arbitrarias o ilegales en su privacidad, familia, hogar o correspondencia, ni de ataques ilegales a su honor y reputación.
• Subartículo ² Además, establece que toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques.

A medida que la tecnología evoluciona rápidamente, también lo hacen las consideraciones relativas al derecho a la privacidad, que ha ocupado un lugar prioritario en la agenda del derecho internacional de los derechos humanos en los últimos años. En 2016, la Asamblea General de las Naciones Unidas (ONU) aprobó una resolución que abogaba por la protección del derecho a la privacidad, en particular en el ámbito digital, e instó a los Estados a adoptar medidas para prevenir las violaciones de este derecho.¹ En 2018, el Alto Comisionado de las Naciones Unidas para los Derechos Humanos publicó un informe que hacía hincapié en los desafíos a los que se enfrenta la privacidad en la era digital.² Este informe destacó cuestiones clave como la creciente huella digital, el intercambio de datos y los proyectos biométricos que carecen de las salvaguardias adecuadas. Además, subrayó la preocupación por la vigilancia masiva, los ciberdelitos y los intentos de vulnerar el cifrado y el anonimato. En 2020, el informe del Alto Comisionado sobre el impacto de las nuevas tecnologías en los derechos humanos en las asambleas subrayó la importancia de las comunicaciones seguras para la organización de protestas pacíficas.³ Advirtió sobre la vigilancia mediante tecnología, que plantea riesgos significativos para los derechos humanos durante las asambleas y contribuye a la restricción del espacio cívico en muchos países.

En 2021, el Alto Comisionado de las Naciones Unidas para los Derechos Humanos presentó el informe sobre la privacidad en la era digital, que se basa en informes anteriores pero se centra en la inteligencia artificial (IA) reconociendo que "los sistemas de IA pueden facilitar y agravar las intrusiones en la privacidad".⁴ Dichas intrusiones podrían incluir “aplicaciones totalmente nuevas, así como funciones de los sistemas de IA que amplían, intensifican o incentivan la interferencia con el derecho a la privacidad, sobre todo mediante una mayor recopilación y uso de datos personales”.

El informe de 2022 sobre la privacidad en la era digital se centró en el uso indebido de herramientas de piratería informática intrusivas; el papel fundamental del cifrado para salvaguardar el derecho a la privacidad y otros derechos; y la vigilancia exhaustiva de las zonas públicas.⁵ El informe subraya los peligros potenciales de establecer sistemas generalizados de vigilancia y control, que podrían poner en peligro el desarrollo de sociedades dinámicas y respetuosas de los derechos. Asimismo, en 2022, en respuesta a la rápida y extensa recopilación de datos personales supuestamente destinada a abordar la crisis de la COVID-19 entre 2020 y 2022, el Relator Especial de las Naciones Unidas sobre la Privacidad publicó un documento que detalla la aplicación de principios como la restricción del uso de datos a fines específicos, la eliminación de datos y la demostración o garantía preventiva de la rendición de cuentas en el manejo de la información personal recopilada por los organismos gubernamentales durante la pandemia.⁶

En el contexto africano, la Carta Africana de Derechos Humanos y de los Pueblos (Africuna CartaLa Carta Africana no contiene una disposición expresa sobre el derecho a la privacidad. Sin embargo, se ha argumentado que este derecho puede —y debe— incorporarse a la Carta Africana como parte del derecho al respeto de la vida y la integridad de la persona, el derecho a la dignidad y el derecho a la libertad y la seguridad de la persona.⁷ Este argumento se basa en el enfoque adoptado por la Comisión Africana de Derechos Humanos y de los Pueblos (Comisión Africana) en Centro de Acción por los Derechos Sociales y Económicos y otro contra Nigeria y la jurisprudencia comparada de la Corte Suprema de la India en Juez KS Puttaswamy (jubilado) y otro contra la Unión de la India y otros.⁸

Cabe mencionar que otros instrumentos regionales africanos sí reconocen el derecho a la privacidad.⁹

Por ejemplo, el artículo 10 de la Carta Africana sobre los Derechos y el Bienestar del Niño establece que: 


Ningún niño será objeto de injerencias arbitrarias o ilícitas en su vida privada, domicilio familiar o correspondencia, ni de ataques a su honor o reputación, siempre que los padres o tutores legales tengan derecho a ejercer una supervisión razonable sobre la conducta de sus hijos. El niño tiene derecho a la protección de la ley contra tales injerencias o ataques.

En febrero de 2021, la Comisión Africana de Derechos Humanos y de los Pueblos (CADHP) aprobó la Resolución n.º 473, que subraya la necesidad imperiosa de afrontar las ramificaciones en materia de derechos humanos de la IA, la robótica y otras tecnologías emergentes en África.¹⁰ La resolución subraya la preocupación por el amplio impacto de las tecnologías de IA, la robótica y otras tecnologías emergentes en los derechos humanos, incluido el derecho a la privacidad.

Cabe destacar que la tan esperada Convención de la Unión Africana sobre Ciberseguridad y Protección de Datos Personales (Convención de MalaboLa Convención de las Naciones Unidas sobre el Derecho a la Privacidad (UA) se promulgó en 2023. En su preámbulo, reconoce el compromiso de la UA de construir una sociedad de la información y proteger la privacidad de sus ciudadanos en su vida cotidiana y profesional, garantizando al mismo tiempo la libre circulación de la información. Además, busca establecer un marco jurídico integral para el comercio electrónico, la protección de datos y la regulación de la ciberdelincuencia y la ciberseguridad en todo el continente. La Convención exige a los Estados miembros que adopten legislación nacional en cada uno de estos ámbitos, en consonancia con los diversos estándares y principios establecidos en ella. A nivel nacional, más de 50 constituciones africanas, incluidas las enmiendas y las revisiones recientes, incluyen referencias al derecho a la privacidad.¹¹ De los 55 estados africanos, 36 cuentan con leyes de protección de datos, y 3 estados tienen proyectos de ley en trámite.¹²

Es muy probable que la lucha por el derecho a la privacidad continúe siendo una batalla apremiante, ya que los avances digitales, cada vez más complejos, intentan erosionar este derecho fundamental y todo lo que conlleva. Asimismo, es probable que la regulación de la tecnología tenga implicaciones para el derecho a la privacidad, tanto positivas como negativas.

Protección de Datos

Principios clave para la protección de datos

La protección de datos es una de las principales medidas para garantizar el derecho a la privacidad. Las leyes de protección de datos tienen como objetivo proteger y salvaguardar el tratamiento de la información personal (o datos personales).

Aunque las definiciones y los términos específicos pueden variar, la mayoría de las leyes de protección de datos establecen conceptos básicos similares:

• Informacion Personal o un término equivalente generalmente se refiere a cualquier información relacionada con una persona física identificada o identificable que pueda usarse para identificarla, ya sea directa o indirectamente, como su nombre, datos de contacto, edad, raza, género, orientación sexual, información de salud, información financiera, detalles de empleo, opiniones políticas o religiosas o información biométrica.
• A sujeto de datos es cualquier persona a la que se refiere esta información; en otras palabras, una persona cuyos derechos están en juego.
• El responsable del tratamiento de datos, que normalmente puede ser un organismo público o privado, es la persona o entidad encargada de procesar la información personal del interesado.
• Procesabilidad Por lo general, se refiere a una amplia gama de acciones que se pueden realizar sobre la información personal, incluyendo la recopilación, organización, almacenamiento, modificación, recuperación, envío o eliminación, e incluye tanto medios manuales como automatizados.
• A protección de datos Una autoridad es un organismo público o independiente establecido para supervisar y garantizar el cumplimiento de un marco de protección de datos. Este módulo analiza con mayor detalle las autoridades de protección de datos más adelante, en el apartado «Uso de las autoridades de protección de datos para reivindicar el derecho a la privacidad».

Si bien puede haber diferencias entre jurisdicciones, también existen varios principios rectores que aparecen en la mayoría de los marcos de protección de datos. Directrices de protección de datos personales para África¹³ (Directrices de protección de datos), una iniciativa conjunta de la Internet Society (ISOC) y la UA, establece principios clave de protección de datos que aparecen en la mayoría de los marcos:¹⁴

• Limitación de colecciónLos datos personales deben obtenerse y procesarse de forma lícita, justa y, en la medida de lo posible, transparente.
• Calidad de los DatosLos datos personales deben ser exactos en el momento de su recopilación, y deben adoptarse medidas razonables para garantizar que su exactitud se mantenga durante el período de conservación.
• Especificación de propósitoLos datos personales deben recopilarse únicamente para fines específicos, explícitos y legítimos. Asimismo, deben utilizarse para otros fines compatibles con la legislación vigente, como el archivo de datos de interés público o la investigación científica.
• Limitación de usoLos datos personales no deben divulgarse, ponerse a disposición ni utilizarse para otros fines, salvo con el consentimiento del interesado o cuando esté autorizado por ley.
• Medidas de seguridadLos datos personales deben protegerse mediante medidas de seguridad razonables para mantener su integridad y confidencialidad.
• AperturaDebería existir una política general de transparencia en cuanto a los avances, las prácticas y las políticas relacionadas con los datos personales.
• Participación individualLas personas tienen derecho a obtener información sobre sus datos personales que obren en poder de terceros. Esta información debe facilitarse en un plazo razonable, de forma fácilmente comprensible y a un precio justo. Los titulares de los datos tienen derecho a impugnarlos y a que se corrijan si son inexactos, o a que se eliminen si procede.
• ResponsabilidadQuienes recopilen y procesen datos personales deben poder demostrar que cumplen con estos principios.

Además de garantizar el derecho a la privacidad, las leyes de protección de datos también suelen facilitar el derecho de acceso a la información. La mayoría de estas leyes prevén que los interesados ​​puedan solicitar y obtener acceso a la información que un responsable del tratamiento posee sobre ellos. Este mecanismo permite a los interesados ​​determinar si su información personal se está tratando de conformidad con la legislación aplicable en materia de protección de datos y si se están respetando sus derechos.

Otro principio clave de los marcos de protección de datos es que los datos personales no deben transferirse a un país que no garantice un nivel adecuado de protección de los derechos y libertades de los interesados ​​en lo que respecta al tratamiento de la información personal.¹⁵

Marcos de protección de datos en África

Un número creciente de estados africanos ha promulgado leyes de protección de datos, y otros más están en proceso de hacerlo. Además de garantizar el derecho a la privacidad, la legislación de protección de datos desempeña un papel fundamental al facilitar el comercio entre estados, ya que muchas leyes de protección de datos restringen las transferencias transfronterizas de datos cuando el estado receptor no ofrece un nivel adecuado de protección de datos.

Como se señala en las Directrices de Protección de Datos, al considerar el marco de protección de datos pertinente, es necesario comprender el contexto africano y las características particulares que surgen:¹⁸

• Existe una importante diversidad cultural y jurídica en todo el continente, con diferentes expectativas en materia de privacidad.
• Variaciones en el acceso a la tecnología y a los servicios en línea entre los Estados miembros.
• Sensibilidad en lo que respecta a la etnia y la elaboración de perfiles de ciudadanos sin su consentimiento.
• Diferentes niveles de competencia en áreas como la tecnología y el derecho y la gobernanza relacionados con la tecnología.
• Riesgos derivados de la alta dependencia de fabricantes y proveedores de servicios no africanos, incluida la limitada capacidad de los estados africanos para influir en el comportamiento de los proveedores de servicios externos, y el riesgo potencialmente mayor de uso indebido de datos cuando el contenido y los servicios son proporcionados exclusivamente por empresas extranjeras.

Según las Directrices de Protección de Datos, este contexto presenta desafíos únicos para la aplicación de las leyes locales de protección de datos, lo que puede dificultar dicha aplicación.

El Convención de Malabo Proporciona orientación útil a nivel regional a los Estados que buscan implementar marcos de protección de datos a nivel nacional. El Capítulo II del Convenio de Malabo establece los principios relevantes para la protección de datos. Como se establece en el artículo 8¹El objetivo del Convenio es que cada Estado parte se comprometa a establecer un marco jurídico “orientado a fortalecer los derechos fundamentales y las libertades públicas, en particular la protección de los datos físicos, y a sancionar cualquier violación de la privacidad que menoscabe el principio de la libre circulación de datos personales”.

Artículo 13 de la Convenio de la Unión Africana sobre la Protección de Datos¹⁹ Establece los siguientes principios básicos que rigen el tratamiento de datos personales:

• Principio 1: Principio de consentimiento y legitimidad del tratamiento de datos personales.
• Principio 2: Principio de legalidad y equidad en el tratamiento de datos personales.
• Principio 3: Principio de finalidad, relevancia y almacenamiento de los datos personales tratados.
• Principio 4: Principio de exactitud de los datos personales.
• Principio 5: Principio de transparencia en el tratamiento de datos personales.
• Principio 6: Principio de confidencialidad y seguridad del tratamiento de datos personales.

Los artículos 16 a 19 del Convenio de Malabo establecen los derechos de los interesados, a saber: el derecho a la información, el derecho de acceso, el derecho de oposición y el derecho de rectificación o supresión. Los artículos 20 a 23 establecen las obligaciones de los responsables del tratamiento de datos personales, a saber: las obligaciones de confidencialidad, las obligaciones de seguridad, las obligaciones de conservación y las obligaciones de sostenibilidad.

En lo que respecta a las transferencias transfronterizas de datos, artículo 14⁶El apartado (a) establece que: «El responsable del tratamiento no transferirá datos personales a un Estado que no sea miembro de la Unión Africana, a menos que dicho Estado garantice un nivel adecuado de protección de la privacidad, las libertades y los derechos fundamentales de las personas cuyos datos se estén tratando o puedan tratarse». El apartado (b) dispone además que la prohibición no se aplica si el responsable del tratamiento ha solicitado autorización a la autoridad de protección de datos competente antes de que se hayan transferido los datos.

Aplicación extraterritorial de los marcos de protección de datos en Europa

Existen dos instrumentos europeos clave en materia de protección de datos que tienen aplicación extraterritorial para los estados africanos: Convención 108 y conectar GDPR.

El Convenio para la protección de las personas físicas en lo que respecta al tratamiento de datos personales.²⁰ – comúnmente conocido como Convenio 108 – es un instrumento del Consejo de Europa (COEEl Convenio 108 se abrió a la firma en 1981 y fue el primer instrumento jurídicamente vinculante en el ámbito de la protección de datos.²¹ El objetivo del Convenio 108 es “proteger a toda persona, cualquiera que sea su nacionalidad o residencia, en lo que respecta al tratamiento de sus datos personales, contribuyendo así al respeto de sus derechos humanos y libertades fundamentales, y en particular del derecho a la privacidad”.²² El Convenio 108 prevé la libre circulación de datos personales entre los Estados partes en el Convenio.

Una característica clave del Convenio 108 es que, además de los miembros del Consejo de Europa, permite la adhesión de Estados no europeos. Por ejemplo, en África, Cabo Verde, Mauricio y Senegal se han adherido. Esto es relevante por varias razones: reconoce la idoneidad de sus marcos de protección de datos; proporciona una capa adicional de protección para las personas dentro de esos Estados; y facilita la transferencia transfronteriza de datos entre dichos Estados africanos y Europa. El Convenio 108 permanece abierto a la adhesión de otros Estados africanos que cumplan con los requisitos necesarios.

El segundo instrumento clave, el Reglamento General de Protección de Datos de la Unión Europea 2016/679²³ (GDPR), es un esfuerzo por armonizar todas las leyes de protección de datos en la Unión Europea y es aplicable a todos los Estados miembros de la UE desde el 25 de mayo de 2018. Como se explica en el artículo 1 del RGPD, su propósito es establecer normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales, así como normas relativas a la libre circulación de datos personales. En particular, el artículo 1² Deja claro que el RGPD tiene por objeto proteger “los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de datos personales”.

El capítulo II del RGPD establece los siguientes principios:

• Artículo 5: Principios relativos al tratamiento de datos personales.
• Artículo 6: Licitud del tratamiento.
• Artículo 7: Condiciones para el consentimiento.
• Artículo 8: Condiciones aplicables al consentimiento del menor en relación con los servicios de la sociedad de la información.
• Artículo 9: Tratamiento de categorías especiales de datos personales.
• Artículo 10: Tratamiento de datos personales relativos a condenas y delitos penales.
• Artículo 11: Tratamiento que no requiere identificación.

Las condiciones para el consentimiento merecen especial atención. Es importante destacar que el responsable del tratamiento de datos tiene la obligación de demostrar que el interesado ha consentido el tratamiento de sus datos personales.²⁴ Cuando se solicita el consentimiento por escrito, el RGPD establece que esta solicitud de consentimiento “deberá presentarse de forma claramente distinguible de los demás asuntos, de manera inteligible y fácilmente accesible, utilizando un lenguaje claro y sencillo” para que sea vinculante.²⁵ El interesado tiene derecho a retirar su consentimiento en cualquier momento, y es necesario que retirar el consentimiento sea tan fácil como otorgarlo.²⁶ Además, el RGPD establece que, al evaluar si el consentimiento se otorga libremente, se debe tener muy en cuenta si la ejecución de un contrato o la prestación de un servicio "está condicionada al consentimiento para el tratamiento de datos personales que no son necesarios para la ejecución de ese contrato".²⁷

Una característica única y destacable del RGPD es que, según el artículo 3, pretende aplicarse extraterritorialmente a los responsables del tratamiento de datos que no estén establecidos en la UE, independientemente de si el tratamiento se lleva a cabo en la UE o no.

El incumplimiento del RGPD conlleva sanciones importantes, incluidas multas administrativas de hasta 20 000 euros o el 4 % de la facturación mundial total del infractor del año anterior, la cantidad que sea mayor.²⁸

Utilización de las autoridades de protección de datos para reivindicar el derecho a la privacidad.

Los marcos de protección de datos suelen prever el establecimiento de una autoridad de protección de datos (DPA) para supervisar y hacer cumplir el marco pertinente. Estas autoridades de protección de datos suelen contar con diversas facultades, entre ellas, la de ser notificadas en caso de una violación de datos, la de resolver reclamaciones y la de imponer sanciones cuando se determine que un responsable del tratamiento de datos no cumple con el marco de protección de datos.

En los estados con autoridades de protección de datos (APD) establecidas, esta puede ser una vía para reivindicar el derecho a la privacidad. En caso de una violación de datos u otra infracción del marco de protección de datos, los interesados ​​pueden recibir asistencia para presentar reclamaciones ante la APD correspondiente. Este foro cuasi judicial puede ofrecer una solución relativamente rápida y económica para el interesado.

En 2023, Tools for Humanity puso en marcha una prueba de una nueva iniciativa de criptomoneda conocida como Worldcoin.³⁰ Esta campaña ofrecía a los usuarios una pequeña cantidad de criptomoneda a cambio de permitir la recopilación de sus datos biométricos. Miles de personas participaron en esta iniciativa, a pesar de tener información limitada sobre el uso que se daría a sus datos. En mayo, la Oficina del Comisionado de Protección de Datos de Kenia (OPDC) ordenó a la empresa que cesara el procesamiento de datos, una directiva que, según se alega, fue ignorada. No fue hasta agosto, cuando el Ministerio del Interior intervino y ordenó la suspensión de las actividades de Worldcoin en el país debido a preocupaciones sobre la protección de datos, que la empresa finalmente dejó de recopilar datos. Posteriormente, la OPDC inició acciones legales contra Tools for Humanity ante el Tribunal Superior.³¹

Retención de datos

La retención de datos se describe normalmente como “el proceso mediante el cual los gobiernos y las empresas (especialmente los proveedores de telecomunicaciones e internet) registran y almacenan diversos datos (generalmente relacionados con personas)”.³⁴ Tal como lo explica Privacy International:(35)

La práctica de retención de datos implica la recopilación y el almacenamiento de datos de comunicaciones durante períodos prolongados con el fin de acceder a ellos posteriormente. Los metadatos cuentan la historia de sus datos y responden a las preguntas quién, cuándo, qué y cómo se produjo una comunicación específica.

Si bien los términos y definiciones específicos varían, la mayoría de los marcos legales sobre retención de datos relacionados con las comunicaciones prevén dos categorías de información: el "contenido" de la comunicación en sí y la información ¡Hola!  La comunicación. Esta segunda categoría, a menudo denominada datos de comunicación o metadatos de comunicación, incluye una amplia gama de información que suele ser muy reveladora, como las identidades o identificadores de los participantes, la duración y la hora de sus interacciones, información de ubicación y cualquier tecnología o servicio utilizado. Si bien la retención de datos puede ser importante para las investigaciones criminales, también otorga a los gobiernos mayor poder para vigilar a la población y menoscaba su derecho a la privacidad en línea.³⁶ La práctica de exigir la retención de datos de comunicaciones plantea importantes preocupaciones en materia de privacidad, transparencia y seguridad. A su vez, esto puede afectar la forma en que las personas ejercen sus derechos en línea y supone el riesgo de que se produzca la autocensura.

Se ha señalado que: “Las leyes de retención de datos varían de un país a otro, pero en última instancia tienen el mismo objetivo: un mayor control del mundo digital a expensas de la privacidad y la libertad de expresión”.³⁷ Privacy International explica que la retención masiva de los registros de comunicaciones de las personas, fuera del contexto de cualquier investigación criminal o propósito comercial, “equivale a la compilación de expedientes sobre cada uno de nosotros, nuestros amigos, familiares y colegas”.38) Privacy International continúa explicando que:

Los posibles perjuicios asociados a la retención y el acceso a los datos son significativos. En un contexto donde la recopilación y explotación de datos por parte de empresas privadas se vuelve cada vez más intrusiva y generalizada, la retención de datos plantea graves riesgos para la privacidad individual y la seguridad de los datos. Estos datos permiten a gobiernos y terceros realizar inferencias íntimas sobre las personas, elaborar perfiles y, en general, invadir la privacidad ajena. Si la información no se protege adecuadamente, existe la posibilidad de que terceros, incluidos los ciberdelincuentes, accedan sin autorización a grandes cantidades de datos.

La mayoría de los marcos de protección de datos establecen que los datos solo deben recopilarse para fines específicos, explícitos y legítimos, y que dichos datos deben, en el curso normal, eliminarse cuando esto ya no sea el caso. Además, los datos no deben conservarse durante más tiempo del necesario. Por ejemplo, el artículo 5¹(e) del RGPD establece que los datos personales serán:

Conservados de forma que permitan la identificación de los interesados ​​durante no más tiempo del necesario para los fines para los que se tratan los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo de interés público, fines de investigación científica o histórica o fines estadísticos… con sujeción a la aplicación de las medidas técnicas y organizativas adecuadas exigidas por el presente Reglamento para salvaguardar los derechos y libertades del interesado («limitación del plazo de conservación»).

En general, existen dos factores clave que determinan un período de retención de datos adecuado: (i) la finalidad del tratamiento de los datos; y (ii) cualquier requisito legal o reglamentario para su conservación. En cuanto a este último aspecto, diversos países cuentan con leyes de retención de datos obligatorias que exigen a los proveedores de servicios de telecomunicaciones e internet conservar ciertos tipos de datos, como los metadatos, durante períodos de tiempo determinados.

Es importante destacar que ha habido al menos dos sentencias significativas del TJUE: Derechos digitales Irlanda³⁹ y Tele2 Suecia AB⁴⁰ — que han reafirmado el requisito de que todos los regímenes de retención de datos deben cumplir con los principios de legalidad, necesidad y proporcionalidad.⁴¹ También se necesitan medidas de seguridad adecuadas para proteger los datos que se han conservado.

Vigilancia

Vigilancia digital dirigida por el gobierno

La vigilancia de las comunicaciones abarca el monitoreo, la interceptación, la recopilación, el análisis, la retención o acciones similares de las comunicaciones de una persona en el pasado, el presente o el futuro.⁴³ La vigilancia en línea ha sido un tema central para los activistas de derechos humanos durante años, pero la revelaciones de Snowden Las investigaciones sobre la extensión y el alcance de la vigilancia masiva a nivel mundial aportaron una nueva urgencia y concienciación al tema, y ​​desencadenaron una ola de cambios en las políticas y la jurisprudencia en muchas jurisdicciones.

La vigilancia constituye una clara injerencia en el derecho a la privacidad. Además, infringe el derecho a tener opiniones sin injerencias y el derecho a la libertad de expresión. En particular, con respecto al derecho a tener opiniones sin injerencias, los sistemas de vigilancia, tanto selectivos como masivos, pueden menoscabar el derecho a formarse una opinión, ya que el temor a la divulgación involuntaria de la actividad en línea, como las búsquedas y la navegación, puede generar un efecto disuasorio al impedir que una persona acceda a la información, especialmente cuando dicha vigilancia conlleva consecuencias represivas. El conocimiento, o incluso la percepción, de estar siendo vigilado puede conducir a la autocensura. Por consiguiente, la jurisprudencia emergente sobre la vigilancia de las comunicaciones también ha prestado especial atención a las consideraciones relativas a la libertad de prensa.

• Reino Unido: En el  Big Brother Watch y otros contra el Reino Unido La Gran Sala del TEDH encontró Entre otros que el régimen de vigilancia masiva del Reino Unido contravenía el artículo 10 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales porque no protegía adecuadamente el material periodístico confidencial de la recopilación y la inspección en el curso del monitoreo masivo de datos de comunicaciones llevado a cabo por las agencias de inteligencia del Reino Unido.
• Sudáfrica: En el  Centro amaBhungane para el Periodismo de Investigación NPC y otro contra el Ministro de Justicia y Servicios Penitenciarios y otros (como se analiza con más detalle a continuación), el Tribunal Superior de Sudáfrica determinó que la necesidad de los periodistas y sus fuentes de comunicaciones confidenciales requería protecciones especiales contra los abusos de vigilancia, señalando que:

En un país tan asolado por la corrupción, tanto en las instituciones públicas como en las privadas, como el nuestro, y donde el descubrimiento de irregularidades es en gran medida obra de periodistas de investigación, en un ámbito que, por lo demás, parece estar vacío, resulta hipócrita alabar a la prensa e ignorar su necesidad especial de ser un apoyo eficaz del proceso democrático.

• India: En el  Sharma contra la Unión de la India El Tribunal Supremo de la India, al ordenar una investigación independiente sobre las acusaciones de que el gobierno desplegó el software espía Pegasus contra varios periodistas, políticos y disidentes, concluyó igualmente que la función democrática de la prensa libre estaba en juego y que “tal efecto disuasorio sobre la libertad de expresión constituye un ataque al papel vital de la prensa como garante de la transparencia pública, lo que puede socavar la capacidad de la prensa para proporcionar información precisa y fiable”.44Aunque las conclusiones de la investigación del Tribunal no se han hecho públicas, desde entonces han salido a la luz pruebas del uso continuado del software Pegasus para vigilar a periodistas.45)

Se ha observado que muchos marcos crean una distinción legal entre la información de comunicaciones que se considera "contenido" y la información que es ¡Hola!  La comunicación (datos de comunicación o metadatos). Esta segunda categoría suele estar sujeta a menos protecciones legales y sociales que la información considerada como «contenido». Sin embargo, los datos de comunicación pueden ofrecer información detallada sobre el comportamiento, las relaciones sociales, las preferencias privadas y la identidad de una persona, ya sea al analizarlos en conjunto o, en algunos casos, de forma individual.⁴⁶ Además, las dos distinciones legales son arbitrarias e inadecuadas para muchos tipos de información comunicativa en el contexto de la era digital moderna, donde ciertos tipos de datos podrían encajar en cualquiera de las dos categorías legales.⁴⁷

La Observación General Nº 16 al Pacto Internacional de Derechos Civiles y Políticos establece que «deberían prohibirse la vigilancia, ya sea electrónica o de otro tipo, las interceptaciones de comunicaciones telefónicas, telegráficas y de cualquier otra índole, las escuchas telefónicas y la grabación de conversaciones».⁵¹ En la era digital, las Tecnologías de la Información y la Comunicación (TIC) han mejorado la capacidad de gobiernos, corporaciones e individuos para llevar a cabo vigilancia, interceptación y recopilación de datos, lo que ha significado que la eficacia de dicha vigilancia ya no esté limitada por la escala o la duración. La vigilancia —tanto la recopilación masiva de datos como la recopilación selectiva de datos— interfiere directamente con la privacidad y la seguridad necesarias para la libertad de opinión y expresión. Por lo tanto, en todas sus formas, la vigilancia debe considerarse conforme a la prueba de tres partes establecida en el derecho internacional para evaluar la permisibilidad de una restricción de los derechos humanos, a saber, que la limitación sea:

• Lo dispuesto por ley.
• Persigue un objetivo legítimo.
• Necesario y proporcional para lograr el objetivo.

Para cumplir con la condición de legalidad, muchos estados han tomado medidas para reformar sus leyes de vigilancia a fin de permitir los poderes necesarios para llevar a cabo actividades de vigilancia. Por ejemplo, en el juicio de Centro amaBhungane para el Periodismo de Investigación NPC y otro contra el Ministro de Justicia y Servicios Penitenciarios y otrosEl Tribunal Constitucional de Sudáfrica ratificó un fallo del Tribunal Superior que declaraba ilegal el ejercicio de la vigilancia masiva en Sudáfrica debido a la ausencia de un marco legal que autorizara dicha vigilancia.⁵²

Necesario y proporcionado

Los Principios Necesarios y Proporcionales son un conjunto de 13 principios internacionales sobre la aplicación de los derechos humanos a la vigilancia de las comunicaciones, especialmente en el contexto de las capacidades de vigilancia masiva cada vez mayores que demuestran los Estados y los operadores del sector privado en la era digital moderna.⁵³ Entre otras cosas, los principios aconsejan que todas las facultades de vigilancia de las comunicaciones estén prescritas y reguladas por ley, sean necesarias y proporcionadas, persigan un objetivo legítimo y estén sujetas a ciertas salvaguardias, incluyendo que dichas facultades estén sujetas a una autoridad judicial competente y a las necesarias medidas de transparencia y supervisión pública.

El principio 3 establece una necesidad, explicando que las leyes, reglamentos, actividades, poderes o autoridades de vigilancia deben limitarse a aquellos que sean estrictamente y demostrablemente necesarios para lograr un objetivo legítimo. Por lo tanto, la vigilancia solo debe llevarse a cabo cuando sea el único medio para lograr un objetivo legítimo o, cuando existan múltiples medios, cuando sea el medio con menor probabilidad de infringir los derechos humanos. La carga de la prueba para establecer esta justificación recae en el Estado. El Principio 5 establece: proporcionalidad: la vigilancia debe considerarse un acto altamente intrusivo y, para cumplir con el umbral de proporcionalidad, el Estado debería estar obligado, como mínimo, a proporcionar la siguiente información a una autoridad judicial competente antes de llevar a cabo cualquier vigilancia de las comunicaciones:(54)

• Existe un alto grado de probabilidad de que se haya cometido o se vaya a cometer un delito grave o una amenaza específica contra un objetivo legítimo.
• Existe un alto grado de probabilidad de que, al acceder a la información protegida solicitada, se obtengan pruebas relevantes y pertinentes para un delito tan grave o una amenaza específica a un objetivo legítimo.
• Se han agotado otras técnicas menos invasivas o serían inútiles, por lo que la técnica utilizada es la opción menos invasiva.
• La información a la que se acceda se limitará a aquella que sea relevante y pertinente para el delito grave o la amenaza específica a un objetivo legítimo alegado.
• Cualquier información sobrante que se recoja no se conservará, sino que se destruirá o devolverá de inmediato.
• La información solo será accesible por la autoridad designada y se utilizará únicamente para el propósito y durante el tiempo para el que se otorgó la autorización.
• Las actividades de vigilancia solicitadas y las técnicas propuestas no menoscaban la esencia del derecho a la privacidad ni de las libertades fundamentales.

Salvaguardias y supervisión

Privacy International establece las siguientes diez medidas de seguridad que deberían implementarse para cualquier régimen gubernamental de piratería informática o vigilancia: (55)

• LegalidadLas facultades de pirateo informático del gobierno deben estar explícitamente reguladas por ley y limitarse a aquellas estrictamente necesarias para lograr un objetivo legítimo. Dicha ley debe ser accesible al público y suficientemente clara y precisa para que las personas puedan prever su aplicación y el alcance de la injerencia. Asimismo, debe estar sujeta a revisión periódica mediante un proceso legislativo participativo.
• Seguridad e integridad de los sistemasAntes de llevar a cabo una acción de pirateo informático, las autoridades gubernamentales deben evaluar los riesgos potenciales y los daños a la seguridad e integridad del sistema objetivo y de los sistemas en general, así como a los datos que contiene, y cómo se mitigarán o corregirán dichos riesgos y/o daños. Las autoridades gubernamentales deben incluir esta evaluación en cualquier solicitud que justifique una acción de pirateo informático propuesta. Las autoridades gubernamentales no deben obligar a los fabricantes de hardware o software ni a los proveedores de servicios a facilitar el pirateo informático gubernamental, incluso comprometiendo la seguridad e integridad de sus productos y servicios.
• Necesidad y proporcionalidad: Antes de llevar a cabo una medida de pirateo informático, las autoridades gubernamentales deben, como mínimo, establecer un alto grado de probabilidad de que: (i) se haya cometido o se vaya a cometer un delito grave o acto(s) que constituyan una amenaza específica y grave para la seguridad nacional; (ii) el sistema utilizado por la persona sospechosa de cometer el delito grave o acto(s) que constituyan una amenaza específica y grave para la seguridad nacional contenga pruebas pertinentes y materiales para el delito grave o acto(s) que constituyan una amenaza específica y grave para el interés de la seguridad nacional alegado; y (iii) se obtendrán pruebas pertinentes y materiales para el delito grave o acto(s) que constituyan una amenaza específica y grave para la seguridad nacional alegado mediante el pirateo del sistema objetivo.
• autorización judicialAntes de llevar a cabo una acción de piratería informática, las autoridades gubernamentales deben presentar una solicitud ante una autoridad judicial imparcial e independiente, en la que expongan la necesidad y la proporcionalidad de la medida propuesta. Dicha autoridad judicial determinará si aprueba la medida y supervisará su implementación. La autoridad judicial deberá poder consultar a expertos técnicos en las tecnologías pertinentes, quienes podrán ayudarla a comprender cómo la medida propuesta afectará al sistema objetivo y a los sistemas en general, así como a los datos que contiene. Asimismo, la autoridad judicial deberá poder consultar a expertos en privacidad y derechos humanos, quienes podrán ayudarla a comprender cómo la medida propuesta interferirá con los derechos de la persona objetivo y de otras personas.
• Integridad de la informaciónLas autoridades gubernamentales no deben añadir, alterar ni eliminar datos del sistema objetivo, salvo en la medida técnicamente necesaria para llevar a cabo la medida de pirateo autorizada. Deben mantener un registro de auditoría verificable de forma independiente para documentar sus actividades de pirateo, incluidas las adiciones, alteraciones o eliminaciones necesarias. Cuando las autoridades gubernamentales se basen en datos obtenidos mediante una medida de pirateo autorizada, deben revelar el método, el alcance y la duración de dicha medida, así como su registro de auditoría, para que la persona objetivo pueda comprender la naturaleza de los datos obtenidos e investigar las adiciones, alteraciones o eliminaciones de información o las violaciones de la cadena de custodia, según corresponda.
• NotificaciónLas autoridades gubernamentales deben notificar a la(s) persona(s) cuyos sistemas hayan sido objeto de interferencia en virtud de una medida de piratería informática autorizada, independientemente de su lugar de residencia, que las autoridades han interferido en dichos sistemas. Las autoridades gubernamentales también deben notificar a los fabricantes de software y hardware y a los proveedores de servicios afectados, proporcionando detalles sobre el método, el alcance y la duración de la medida de piratería informática, incluidas las configuraciones específicas del sistema objetivo. La demora en la notificación solo se justifica cuando esta pudiera poner en grave peligro el propósito para el que se autorizó la medida de piratería informática o cuando exista un riesgo inminente para la vida humana y la autorización para demorar la notificación sea otorgada por una autoridad judicial imparcial e independiente.
• Destrucción y devolución de datosLas autoridades gubernamentales deben destruir de inmediato cualquier dato irrelevante o inmaterial obtenido mediante una medida de piratería informática autorizada. Dicha destrucción debe quedar registrada en el registro de auditoría de actividades de piratería informática, que debe ser verificable de forma independiente. Una vez que las autoridades gubernamentales hayan utilizado los datos obtenidos mediante una medida de piratería informática autorizada para el fin para el que se otorgó la autorización, deben devolverlos a la persona objetivo y destruir cualquier otra copia de los mismos.
• Supervisión y transparenciaLas autoridades gubernamentales deben ser transparentes sobre el alcance y el uso de sus facultades y actividades de piratería informática, y someterlas a una supervisión independiente. Deben publicar periódicamente, como mínimo, información sobre el número de solicitudes de autorización de piratería informática aprobadas y rechazadas; la identidad de las autoridades gubernamentales solicitantes; los delitos especificados en las solicitudes; y el método, el alcance y la duración de las medidas de piratería informática autorizadas, incluidas las configuraciones específicas de los sistemas objetivo.
• ExtraterritorialidadAl realizar una operación de piratería informática extraterritorial, las autoridades gubernamentales deben cumplir siempre con sus obligaciones legales internacionales, incluidos los principios de soberanía y no intervención, que establecen limitaciones al ejercicio de la jurisdicción extraterritorial. Las autoridades gubernamentales no deben utilizar la piratería informática para eludir otros mecanismos legales —como los tratados de asistencia jurídica mutua u otros mecanismos basados ​​en el consentimiento— para obtener datos ubicados fuera de su territorio. Estos mecanismos deben estar claramente documentados, ser de acceso público y estar sujetos a garantías de equidad procesal y sustantiva.
• Remedio eficaz: Las personas que hayan sido víctimas de piratería informática gubernamental ilegal, independientemente de su lugar de residencia, deben tener acceso a una reparación efectiva.

Grabaciones encubiertas

Existen diversas leyes nacionales y normas internacionales que exigen que se notifique a las personas sobre las grabaciones encubiertas, incluida la videovigilancia.58Sin embargo, no existe una postura coherente sobre este tema. Hay dos decisiones recientes clave de la Gran Sala del TEDH que son relevantes a este respecto:59)

• Antović y Mirković contra Montenegro:⁶⁰ Este caso se refería a una denuncia por invasión de la privacidad presentada por dos profesores de la Facultad de Matemáticas de la Universidad de Montenegro tras la instalación de sistemas de videovigilancia en las áreas donde impartían clases. Alegaron no tener control efectivo sobre la información recopilada y que la vigilancia era ilegal. Los tribunales nacionales desestimaron la demanda de indemnización, al considerar que no se trataba de una cuestión de vida privada, ya que los auditorios donde impartían clases los demandantes eran espacios públicos. El Tribunal Europeo de Derechos Humanos (TEDH) emitió las siguientes conclusiones:
  • El tribunal dictaminó que se había producido una violación del artículo 8 del Convenio Europeo, al considerar que la videovigilancia no se había ajustado a la ley.
  • El Tribunal Europeo de Derechos Humanos rechazó el argumento del gobierno de que el caso era inadmisible porque no se había puesto en juego ningún asunto de privacidad, ya que la zona vigilada era un espacio público de trabajo. El Tribunal señaló que ya había dictaminado que la vida privada podía incluir actividades profesionales y consideró que esto se aplicaba a la situación de los demandantes. Por lo tanto, el artículo 8 del Convenio Europeo era aplicable.
  • En cuanto al fondo del asunto, el TEDH dictaminó que la videovigilancia había constituido una injerencia en el derecho a la privacidad de los demandantes y que las pruebas demostraban que dicha vigilancia había infringido la legislación nacional. Según el TEDH, los tribunales nacionales no habían considerado ninguna justificación jurídica para la vigilancia, ya que habían concluido desde el principio que no se había producido ninguna invasión de la privacidad.
• Ribalda y otros contra España:(61Este caso se refería a la videovigilancia encubierta de un grupo de empleados de un supermercado, que derivó en su despido. Los demandantes se quejaron de la videovigilancia encubierta y del uso que los tribunales españoles hicieron de las grabaciones para determinar la legitimidad de sus despidos. Varios demandantes que habían firmado acuerdos de conciliación también alegaron que dichos acuerdos se habían celebrado bajo coacción debido al material de vídeo y que no debían haberse aceptado como prueba de la legitimidad de sus despidos. La Gran Sala emitió las siguientes conclusiones:
  • El tribunal dictaminó que no se había producido ninguna violación del artículo 8 del Convenio Europeo de Derechos Humanos en lo que respecta a los cinco demandantes. En particular, consideró que los tribunales españoles habían ponderado cuidadosamente los derechos de los demandantes —sospechosos de robo por su empleador— y los del empleador, y que habían examinado exhaustivamente la justificación de la videovigilancia.
  • Uno de los principales argumentos de los demandantes fue que no se les había notificado previamente la vigilancia, a pesar de ser un requisito legal en ese sentido, pero el TEDH consideró que la medida estaba justificada debido a la sospecha razonable de una conducta indebida grave y a las pérdidas que conllevaba, teniendo en cuenta el alcance y las consecuencias de la medida.
  • El TEDH concluyó que, en el presente caso, los tribunales nacionales no habían excedido su poder discrecional ni su margen de apreciación al considerar que la videovigilancia encubierta era proporcionada y legítima.

En lo que respecta a los medios de comunicación, las consideraciones de interés público y la condición pública de los individuos son clave para determinar si la información debe publicarse. Esto se afirmó, por ejemplo, en Radio Twist contra Eslovaquia,(62) donde el TEDH tuvo motivos para examinar la grabación ilícita de una llamada telefónica que había sido transmitida por radio. La grabación correspondía a una conversación entre varios altos funcionarios del gobierno sobre la privatización de una compañía de seguros. La grabación se había compartido de forma anónima con la emisora ​​de radio. El TEDH tuvo especialmente en cuenta que el contexto y el contenido de la conversación eran claramente de naturaleza política, y que el tema tratado era de interés general.63En cuanto a si la grabación fue ilegal, el TEDH declaró que no estaba convencido de que el mero hecho de que la grabación hubiera sido obtenida por un tercero en contra de la ley justificara que el demandante fuera privado de su derecho a la libertad de expresión.⁶⁴ Por consiguiente, el TEDH dictaminó que la emisora ​​de radio no había violado los derechos de las personas que fueron grabadas.

El principio 12(a) de los Principios Globales enumera los siguientes factores a considerar para equilibrar los derechos a la libertad de expresión y a la privacidad en situaciones relativas a la publicación de información personal:

• El grado en que la publicación contribuye a un debate de interés público; el grado de notoriedad o vulnerabilidad de la persona afectada;
• El tema tratado en la publicación y el grado de carácter privado de la información en cuestión;
• La conducta previa de la persona en cuestión;
• El contenido, la forma y las consecuencias de la publicación;
• La forma en que se obtuvo la información;
• La intención del individuo o entidad que difundió la información en cuestión, y en particular si fue maliciosa; y
• Hasta qué punto la persona cuya privacidad está en juego es una figura pública.68)

Además, el Principio 12 establece que, al tratar la publicación de fotografías, vídeos o grabaciones de audio, debe considerarse si la grabación se realizó de forma voluntaria y con consentimiento. El uso de técnicas que invaden la privacidad, como cámaras ocultas o reportajes encubiertos, solo debe permitirse cuando exista un interés público superior en la difusión de la información buscada o descubierta que no podría haberse obtenido por medios menos invasivos, y cuando se hayan realizado esfuerzos para abordar o minimizar cualquier implicación en materia de privacidad.⁶⁹

Recopilación de datos biométricos y reconocimiento facial.

A pesar del uso incipiente de la biometría, incluida la tecnología de reconocimiento facial (TRF), muchos estados africanos carecen de medidas regulatorias suficientes.⁷⁰ En cambio, en varios casos las autoridades están avanzando hacia la integración de la vigilancia biométrica en los sistemas de registro de tarjetas SIM, una preocupación de larga data para los defensores de los derechos digitales. Por ejemplo:

• In MalauiEl Sistema Nacional de Registro e Identificación está operativo desde 2017 y vincula los datos biométricos con el registro de votantes, la recaudación de ingresos, los registros de inmigración y el registro de tarjetas SIM, así como con programas bancarios y de inclusión financiera.⁷¹ Este sistema, criticado por su recopilación masiva de datos sin legislación que proteja los mismos, permite una vigilancia generalizada.
• De manera similar, los Tanzania Establece la obligatoriedad del registro de tarjetas SIM conforme al Reglamento de Comunicaciones Electrónicas y Postales (Registro de Tarjetas SIM) de 2020, que exige la verificación con la base de datos de la Autoridad Nacional de Identificación (NIDA).⁷²

Registro obligatorio de tarjeta SIM

El registro obligatorio de la tarjeta SIM es una política generalizada que exige el registro con nombre real para la actividad en línea.⁷³ Las leyes de registro obligatorio de tarjetas SIM suelen exigir que las personas vinculen su identidad a su tarjeta SIM para activarla, proporcionando información personal como un documento de identidad válido, un comprobante de domicilio o datos biométricos, al comprar una tarjeta SIM para un dispositivo móvil.⁷⁴ Como señala Privacy International, «el uso de tarjetas SIM prepago y las leyes de registro obligatorio de tarjetas SIM están especialmente extendidos en los países africanos: estos dos factores pueden propiciar un sistema más generalizado de vigilancia masiva de las personas que pueden acceder a tarjetas SIM prepago, así como la exclusión de importantes espacios cívicos, redes sociales, educación y atención médica para las personas que no pueden».⁷⁵

El registro obligatorio de la tarjeta SIM socava gravemente la posibilidad de mantener el anonimato en línea. Se ha explicado que: «Si casi todos los dispositivos móviles tienen su tarjeta SIM registrada a nombre de una persona en particular, y el gobierno puede acceder a la información de ese abonado, quienes poseen y utilizan dichos dispositivos pueden ser rastreados y monitoreados con mayor facilidad. No todas las personas con dispositivos móviles estarán igualmente sujetas a la vigilancia de estos sistemas: quienes abogan por el cambio, quienes discrepan de las políticas gubernamentales, las minorías religiosas o étnicas, los periodistas y los defensores de los derechos humanos son particularmente vulnerables».⁷⁶

A partir de 2022, al menos 51 países de África habían introducido leyes o reglamentos que obligaban al registro de tarjetas SIM.⁷⁷ con  Lesoto y Namibia Los despliegues comenzarán en 2022.78) Entre los estados africanos, Cabo Verde y Comoras Se informó que no estaban considerando las políticas de registro de SIM, mientras que la situación en Yibuti El resultado fue inconcluso.79)

El reconocimiento facial es una forma de sistema biométrico que suscita especial preocupación por su uso en la vigilancia.80La tecnología de reconocimiento facial se refiere a una amplia gama de software que puede conectarse a redes de cámaras; el software analiza imágenes y grabaciones en directo o registradas de personas procedentes de una red de cámaras y las compara con imágenes de una base de datos preexistente para identificar a personas específicas a partir de las grabaciones.81Como señala Privacy International, las cámaras de reconocimiento facial son mucho más intrusivas que las cámaras de videovigilancia convencionales: escanean características distintivas y específicas de tu rostro, como la forma de la cara, para crear un mapa detallado del mismo, "lo que significa que ser capturado por estas cámaras es como tomarte las huellas dactilares, sin tu conocimiento ni consentimiento".82)

En este sentido, a diferencia de muchos otros sistemas biométricos, el reconocimiento facial puede utilizarse para la vigilancia general en combinación con cámaras de vídeo públicas, y puede emplearse de forma pasiva, sin requerir el conocimiento, el consentimiento ni la participación del sujeto.84Como señala la Unión Estadounidense por las Libertades Civiles (ACLU), esto conlleva el riesgo de que la tecnología se utilice para la vigilancia general de una población que no es sospechosa de ningún delito específico. Por ejemplo, la mayoría de las agencias de vehículos motorizados cuentan con fotografías de alta calidad de un gran número de personas, lo que puede ser una fuente natural para los programas de reconocimiento facial y podría combinarse fácilmente con redes de cámaras de vigilancia públicas o privadas para crear un sistema integral de identificación y seguimiento. Las fuerzas del orden también utilizan habitualmente fotografías extraídas de las redes sociales.

Interpol ha señalado que el reconocimiento facial computarizado es una tecnología relativamente nueva que fue introducida por las fuerzas del orden de todo el mundo para identificar a personas de interés, incluidos delincuentes, fugitivos y personas desaparecidas.85El Sistema de Reconocimiento Facial de Interpol contiene imágenes faciales recibidas de más de 160 países y, junto con una aplicación de software biométrico automático, el sistema es capaz de identificar o verificar a una persona comparando y analizando patrones, formas y proporciones de sus rasgos y contornos faciales.⁸⁶ A diferencia de las huellas dactilares y el ADN, que no cambian durante la vida de una persona, el reconocimiento facial debe tener en cuenta diferentes factores, como el envejecimiento, la cirugía plástica, los cosméticos, los efectos del consumo de drogas o el tabaquismo, y la postura del sujeto.⁸⁷

Sin embargo, la tecnología de reconocimiento facial también se ha relacionado con imprecisiones y sesgos que generan serias preocupaciones sobre discriminación. Un estudio encargado por una agencia pública de los Estados Unidos encontró "evidencia empírica" ​​de que la mayoría de los algoritmos de reconocimiento facial más utilizados presentan "diferenciales demográficos que pueden empeorar su precisión según la edad, el género o la raza de la persona".⁸⁸ Algunos de los hallazgos específicos incluyeron los siguientes:

• Los sistemas de reconocimiento facial identificaron erróneamente a personas de color con más frecuencia que a personas blancas. Las personas asiáticas y afroamericanas tenían hasta 100 veces más probabilidades de ser identificadas erróneamente que los hombres blancos, dependiendo del algoritmo específico y del tipo de búsqueda.
• Los rostros de las mujeres afroamericanas fueron identificados erróneamente con mayor frecuencia en los tipos de búsquedas utilizadas por los investigadores policiales, donde una imagen se compara con miles o millones de otras con la esperanza de identificar a un sospechoso.
• Las mujeres tenían más probabilidades de ser identificadas erróneamente que los hombres, y los ancianos y los niños tenían más probabilidades de ser identificados erróneamente que las personas de otros grupos de edad.

Privacy International señala que el uso de la tecnología de reconocimiento facial afecta al ejercicio de al menos los siguientes derechos:⁸⁹

• PrivacidadSegún Privacy International, «el uso del reconocimiento facial en espacios públicos vulnera nuestro derecho a la privacidad». Se trata de una técnica desproporcionada para combatir el crimen, ya que escanea el rostro de toda persona que pasa frente a la cámara, independientemente de si se sospecha que ha cometido algún delito. Los datos biométricos que recopila pueden ser tan inequívocos como el ADN o una huella dactilar, y generalmente se obtienen sin el consentimiento ni el conocimiento del titular de los datos.
• Libertad de expresiónSer observados e identificados en espacios públicos probablemente nos lleve a modificar nuestro comportamiento, limitando a dónde vamos, qué hacemos y con quién nos relacionamos. Por ejemplo, es posible que algunas personas se muestren reacias a participar en una protesta si se utiliza el reconocimiento facial en la zona.
• Igualdad y no discriminaciónSe ha comprobado que el software de reconocimiento facial tiene más probabilidades de identificar erróneamente a mujeres y personas negras. También existe preocupación por el uso que la policía le dé al reconocimiento facial para atacar a comunidades específicas.

La implementación de la tecnología de reconocimiento facial a menudo se realiza sin un marco legal que la autorice y constituye, sin duda, una limitación desproporcionada al derecho a la privacidad y otros derechos conexos. En este sentido, un posible litigio para impugnar el uso de la tecnología de reconocimiento facial podría intentar demostrar que no cumple con los requisitos de la prueba de tres partes para una limitación justificable, incluso cuando se utiliza con fines de seguridad.

Cifrado y anonimato en Internet

La interacción entre el cifrado y el anonimato

El cifrado y el anonimato son herramientas necesarias para el pleno disfrute de los derechos digitales y gozan de protección en virtud de su papel fundamental en la garantía de los derechos a la libertad de expresión y a la privacidad. Como lo describe el Relator Especial de las Naciones Unidas (Representante Especial de las Naciones Unidas) sobre la libertad de expresión:⁹⁰

El cifrado y el anonimato, por separado o en conjunto, crean un espacio de privacidad para proteger la opinión y las creencias. Por ejemplo, permiten comunicaciones privadas y pueden proteger una opinión del escrutinio externo, algo especialmente importante en entornos políticos, sociales, religiosos y legales hostiles. Cuando los Estados imponen censura ilegal mediante filtros y otras tecnologías, el uso del cifrado y el anonimato puede empoderar a las personas para sortear barreras y acceder a información e ideas sin la intrusión de las autoridades. Periodistas, investigadores, abogados y la sociedad civil confían en el cifrado y el anonimato para protegerse (a sí mismos y a sus fuentes, clientes y socios) de la vigilancia y el acoso. La capacidad de buscar en la web, desarrollar ideas y comunicarse de forma segura puede ser la única manera en que muchos pueden explorar aspectos básicos de la identidad, como el género, la religión, la etnia, el origen nacional o la sexualidad. Los artistas confían en el cifrado y el anonimato para salvaguardar y proteger su derecho a la expresión, especialmente en situaciones donde no solo el Estado impone limitaciones, sino también la sociedad, que no tolera opiniones o expresiones no convencionales.

El cifrado y el anonimato son especialmente útiles para el desarrollo y la difusión de opiniones en línea, particularmente cuando una persona teme que sus comunicaciones puedan ser objeto de interferencia o ataque por parte de actores estatales o no estatales. Por lo tanto, constituyen herramientas específicas mediante las cuales las personas pueden ejercer sus derechos. En consecuencia, las restricciones al cifrado y al anonimato deben cumplir con una prueba de tres partes para justificar dicha restricción.

Según el Representante Especial de las Naciones Unidas sobre la Libertad de Expresión, si bien el cifrado y el anonimato pueden frustrar a las fuerzas del orden y a los funcionarios antiterroristas, y complicar la vigilancia, las autoridades estatales generalmente no han proporcionado una justificación pública adecuada para respaldar las restricciones pertinentes ni han identificado situaciones en las que la restricción haya sido necesaria para lograr un objetivo legítimo.⁹¹ Por consiguiente, el Representante Especial de las Naciones Unidas sobre la Libertad de Expresión ha instado a los Estados a promover un cifrado robusto y el anonimato, y ha señalado que las órdenes de descifrado solo deberían ser permisibles cuando resulten de leyes transparentes y de acceso público, aplicadas exclusivamente de forma selectiva y caso por caso a individuos (no a una masa de personas), y sujetas a una orden judicial y a la protección de los derechos al debido proceso.92)

Cifrado

El cifrado se refiere a un proceso matemático que convierte mensajes, información o datos en un formato ilegible para cualquier persona excepto el destinatario previsto, protegiendo así la confidencialidad e integridad del contenido frente al acceso o la manipulación por parte de terceros.93Con el "cifrado de clave pública" —la forma dominante de seguridad de extremo a extremo para los datos en tránsito— el remitente utiliza la clave pública del destinatario para cifrar el mensaje y sus archivos adjuntos, y el destinatario utiliza su propia clave privada para descifrarlos.⁹⁴ También es posible cifrar los datos en reposo que se almacenan en el dispositivo del usuario, como un ordenador portátil o un disco duro.⁹⁵

Las prohibiciones absolutas del uso individual de la tecnología de cifrado restringen desproporcionadamente el derecho a la libertad de expresión, ya que privan a todos los usuarios en línea de una jurisdicción determinada del derecho a crear un espacio seguro para la opinión y la expresión.⁹⁶ Asimismo, la regulación estatal del cifrado puede equivaler a una prohibición, por ejemplo, mediante la exigencia de licencias para su uso, el establecimiento de estándares técnicos débiles para el cifrado o el control de la importación y exportación de herramientas de cifrado.97)

Cabe señalar, además, que algunos Estados han implementado —o propuesto implementar— el llamado «acceso por puerta trasera» en productos comerciales, obligando a los desarrolladores a instalar vulnerabilidades que permiten a las autoridades gubernamentales acceder a las comunicaciones cifradas. Si bien los Estados que apoyan estas medidas suelen alegar que dicho marco es necesario para interceptar el contenido de las comunicaciones cifradas, el Representante Especial de las Naciones Unidas sobre la Libertad de Expresión señala que estos Estados no han logrado demostrar que el uso delictivo o terrorista del cifrado constituya una barrera insuperable para los objetivos de las fuerzas del orden.⁹⁸ Crear un mecanismo intencional que permita a un Estado eludir las medidas de seguridad socavaría inevitablemente la seguridad de todos los usuarios en línea, tanto frente a actores estatales como no estatales.99)

Además, el cifrado desempeña un papel fundamental en la protección de datos. Se ha observado que las empresas pueden reducir tanto la probabilidad como el daño de una violación de datos, y por lo tanto reducir el riesgo de multas en el futuro si optan por cifrar cualquier dato personal en su poder.100)

El cifrado de datos personales ofrece ventajas adicionales para los responsables o encargados del tratamiento; por ejemplo, la pérdida de un soporte de almacenamiento móvil cifrado de última generación que contiene datos personales no necesariamente se considera una violación de datos que deba notificarse a la autoridad de protección de datos.101) Además, si se produce una violación de datos, las autoridades deben considerar positivamente el uso del cifrado en su decisión sobre si se impone una multa y de qué cuantía, de conformidad con el artículo 83.²(c) del RGPD.(102)

En 2018, las Autoridades de Protección de Datos de la UE, representadas en el Grupo de Trabajo del Artículo 29 (WP29), publicó una declaración que presenta el cifrado fuerte y eficiente como una herramienta vital para defender la protección de datos y los derechos de privacidad (103) señalando tres puntos clave:

• Un cifrado robusto garantiza un flujo de datos seguro y libre entre ciudadanos, empresas y gobiernos: El Grupo de Trabajo del Artículo 29 (GT29) señaló que existe un gran interés público en la implementación del cifrado, ya que es crucial garantizar que las actividades cotidianas —como comprar en línea, presentar declaraciones de impuestos, usar servicios bancarios, enviar o recibir correos electrónicos o concertar una cita con un médico— se realicen de forma segura. El GT29 describió el cifrado como «absolutamente necesario e insustituible para garantizar una sólida confidencialidad e integridad cuando los datos se transfieren a través de redes abiertas como Internet o se almacenan en dispositivos móviles como los teléfonos inteligentes». Según el GT29, idealmente, el cifrado debería abarcar siempre toda la comunicación, desde el dispositivo del remitente hasta el del destinatario, lo que se conoce comúnmente como cifrado de extremo a extremo.
• Las puertas traseras y las claves maestras privan al cifrado de su utilidad: El Grupo de Trabajo del Artículo 29 (GT29) rebatió el argumento de que las fuerzas del orden deberían poder acceder a los datos cifrados de presuntos delincuentes exigiendo a los proveedores de tecnología que implementen «puertas traseras» (es decir, vulnerabilidades de seguridad integradas deliberadamente en un software específico) o «claves maestras» (es decir, características de diseño que permitan el descifrado centralizado de todos los datos cifrados con un software específico) en el software de cifrado. El GT29 argumentó que existen pruebas históricas significativas de que las claves maestras y las puertas traseras no pueden mantenerse seguras y que no hay forma de implementar estas características tecnológicas a gran escala sin riesgos significativos de comprometer la seguridad de las personas. El GT29 también expresó su preocupación de que imponer puertas traseras y claves maestras a la población general no sería una medida eficaz contra los delincuentes, ya que estos utilizarían o se adaptarían al cifrado de última generación para proteger sus datos, lo que a su vez perjudicaría al «ciudadano honesto» al hacer que sus datos fueran vulnerables.
• Los organismos encargados de hacer cumplir la ley ya cuentan con facultades legales y herramientas específicas para abordar el desafío del cifrado: Según el Grupo de Trabajo del Artículo 29 (GT29), las fuerzas del orden pueden estar legalmente facultadas para acceder, por otros medios, a datos que de otro modo estarían cifrados, incluidos los datos personales, para investigaciones en circunstancias específicas. Si bien estas facultades pueden suscitar serias preocupaciones en materia de privacidad, el GT29 argumenta que parecen más proporcionadas y menos peligrosas que las puertas traseras o las claves maestras.

Sobre la base de lo anterior, el Grupo de Trabajo del Artículo 29 concluyó que el cifrado debe seguir estandarizado, ser robusto y eficiente, y que los proveedores de cifrado nunca deberían verse obligados a incluir claves maestras y puertas traseras en su software.

anonimato

En contextos digitales, el anonimato puede definirse como actuar o comunicarse sin usar o presentar el propio nombre o identidad, como actuar o comunicarse de una manera que proteja la determinación del propio nombre o identidad, o como usar un nombre inventado o supuesto que no necesariamente esté asociado con la identidad legal o habitual de uno.104) El anonimato puede distinguirse del pseudoanonimato: el primero se refiere a no usar ningún nombre, mientras que el segundo se refiere a usar un nombre falso.105)

El anonimato ha sido reconocido por el importante papel que desempeña en la protección y el fomento de la privacidad, la libertad de expresión, la rendición de cuentas política, la participación pública y el debate. Como explica la Unión Estadounidense por las Libertades Civiles (ACLU) :(106)

El derecho a permanecer en el anonimato es un componente fundamental de nuestro derecho a la libertad de expresión, y se aplica tanto en el mundo digital como en el físico. En palabras de la Corte Suprema de los Estados Unidos en McIntyre contra la Comisión Electoral de Ohio“El anonimato es un escudo contra la tiranía de la mayoría.”

Lamentablemente, el derecho al anonimato ha sido objeto de constantes ataques en el mundo digital. Gobiernos y corporaciones han intentado desenmascarar a oradores impopulares mediante citaciones judiciales dirigidas a los sitios web que visitan.

El anonimato es especialmente crucial en entornos represivos donde ciertos tipos de expresión protegida están prohibidos, y la falta de anonimato podría acarrear cargos penales u otras consecuencias.107Los intentos de prohibir la libertad de expresión anónima se han visto particularmente durante épocas de protesta como una medida dirigida a manifestantes y activistas.108)

La responsabilidad de los intermediarios vuelve a ser motivo de preocupación en relación con los usuarios anónimos, ya que algunos estados han avanzado hacia la imposición de responsabilidades a los proveedores de servicios de Internet (ISP) y a las plataformas de medios para regular los comentarios en línea de los usuarios anónimos. Por ejemplo, en Delfi contra EstoniaEl Tribunal Europeo de Derechos Humanos confirmó una ley estonia que impone responsabilidad a una plataforma de medios por declaraciones difamatorias anónimas publicadas en su sitio.109Sin embargo, el TEDH también ha sostenido que, si bien no existe una garantía absoluta de anonimato en línea, el derecho a la libertad de expresión debe tenerse en cuenta en las decisiones de revocar el anonimato. Esto sirvió de base para la conclusión del TEDH de 2021 de que un sitio web de noticias austriaco no debería haber sido obligado a revelar la identidad de los comentaristas en línea que habían publicado mensajes ofensivos y de odio en la plataforma.110) En sus alegaciones como tercero en ese caso, Media Defence había argumentado previamente que un tribunal solo debería ordenar a un ISP que divulgue datos de usuarios cuando: (111)

• El solicitante puede demostrar en grado suficiente que se ha cometido un acto ilícito en su contra y que la información se solicita para que pueda obtener una reparación por dicho acto ilícito;
• El usuario anónimo ha sido notificado y ha tenido la oportunidad de responder a la solicitud;
• No existe ningún medio menos restrictivo para obtener la información solicitada; y
• El interés del solicitante en la divulgación de la información se ha sopesado suficientemente frente a los derechos a la libertad de expresión y a la privacidad.

Protección de las fuentes y protección de los materiales periodísticos

La confidencialidad de las fuentes periodísticas es fundamental para que los periodistas puedan investigar adecuadamente las historias y para la protección de las personas y los denunciantes que les proporcionan información.112) Los esfuerzos por obligar a revelar las fuentes tienen un efecto disuasorio sobre la libertad de expresión y la libertad de prensa, y obstaculizan el libre flujo de información.(113)

En este sentido, la Observación General n.º 34 del Pacto Internacional de Derechos Civiles y Políticos establece que los Estados partes “deben reconocer y respetar aquel elemento del derecho a la libertad de expresión que comprende el privilegio periodístico limitado de no revelar las fuentes”. Además, la Comisión Africana de Derechos Humanos y de los Pueblos emitió la Declaración de Principios sobre la Libertad de Expresión en África en 2019, que aborda la cuestión de la protección de las fuentes y dispone lo siguiente:

Los periodistas y otros profesionales de los medios de comunicación no estarán obligados a revelar fuentes de información confidenciales ni a divulgar otro material que posean con fines periodísticos, salvo que un tribunal ordene su divulgación tras una audiencia pública completa e imparcial.(114).

La Declaración subraya que esto solo debería ocurrir cuando la identidad de la fuente sea necesaria para la investigación o el enjuiciamiento de un delito grave, cuando la información no pueda obtenerse de otra fuente y si el interés público en la divulgación supera el daño a la libertad de expresión.

Es importante señalar que la protección de las fuentes ha adquirido una nueva importancia en la era digital en el contexto del derecho a la privacidad de las comunicaciones, ya que las tecnologías de vigilancia, cuyo desarrollo se justifica en términos de seguridad nacional, pueden utilizarse para atacar a periodistas y sus fuentes confidenciales.115El Secretario General de la ONU ha señalado que las actividades de vigilancia pueden tener un efecto disuasorio sobre la libertad de prensa y dificultan que los periodistas se comuniquen con sus fuentes y compartan y desarrollen ideas, lo que puede conducir a la autocensura.116) De manera similar, una resolución de la Asamblea General de la ONU sobre la seguridad de los periodistas enfatizó que los periodistas en la era digital son particularmente vulnerables a convertirse en blanco de vigilancia ilegal o arbitraria, en violación de sus derechos a la privacidad y la libertad de expresión.(117) La resolución señaló además que las herramientas de cifrado y anonimato se han vuelto vitales para que los periodistas aseguren sus comunicaciones y protejan la confidencialidad de sus fuentes.

Las actividades de vigilancia llevadas a cabo contra periodistas conllevan el riesgo de socavar fundamentalmente la protección de las fuentes a la que tienen derecho. El principio 9 de los Principios Globales sobre la Protección de la Libertad de Expresión y la Privacidad establece lo siguiente sobre la protección de las fuentes:

“9.1. El derecho a la libertad de expresión implica que toda persona que obtenga información de fuentes confidenciales con el fin de ejercer una actividad periodística tiene, con sujeción a los Principios 9.2 (a) y (b), el deber de no revelar la identidad de sus fuentes confidenciales y el derecho a no ser obligada a hacerlo.

9.2. Los Estados deben prever en su legislación la protección de la confidencialidad de las fuentes y garantizar que:

(a) Toda restricción al derecho a la protección de las fuentes cumple con la prueba de tres partes establecida en el derecho internacional de los derechos humanos…;

b) La confidencialidad de las fuentes solo se levantará en circunstancias excepcionales y únicamente por orden judicial, que cumpla con los requisitos de un objetivo legítimo, necesidad y proporcionalidad. Las mismas protecciones se aplicarán al acceso al material periodístico;

c) El derecho a no revelar la identidad de las fuentes y la protección del material periodístico exige que se proteja la privacidad y la seguridad de las comunicaciones de toda persona que realice actividades periodísticas, incluido el acceso a sus datos de comunicación y metadatos. No deben utilizarse subterfugios, como la vigilancia secreta o el análisis de datos de comunicación no autorizados por las autoridades judiciales de conformidad con normas jurídicas claras y precisas, para menoscabar la confidencialidad de las fuentes; y

(d) Cualquier orden judicial dictada en virtud de los apartados 9.2 (b) y (c) solo podrá concederse tras una audiencia justa en la que se haya notificado debidamente al periodista en cuestión, salvo en casos de auténtica emergencia.

Además de esto, la Organización de las Naciones Unidas para la Educación, la Ciencia y la Cultura (UNESCO) ha establecido que un marco de protección de fuentes sólido y completo abarcaría la necesidad de: (120)

• Reconocer el valor para el interés público de la protección de las fuentes, fundamentada en el derecho a la libertad de expresión (incluida la libertad de prensa) y a la privacidad. Estas protecciones también deben estar consagradas en la constitución y/o la legislación nacional de cada país.
• Reconocer que la protección de las fuentes debe extenderse a todos los actos periodísticos y a todas las plataformas, servicios y medios (de almacenamiento y publicación de datos), e incluir los datos digitales y los metadatos.
• Hay que tener en cuenta que la protección de las fuentes no implica el registro ni la concesión de licencias a los profesionales del periodismo.
• Reconocer el impacto potencialmente perjudicial que puede tener para el periodismo de interés público y para la sociedad el hecho de que la información relacionada con las fuentes quede atrapada en el registro, seguimiento, almacenamiento y recopilación masiva de datos.
• Afirmar que los agentes estatales y corporativos (incluidos los intermediarios de terceros) que capturan datos digitales periodísticos deben tratarlos de forma confidencial (reconociendo también la conveniencia de que el almacenamiento y uso de dichos datos sea compatible con el derecho general a la privacidad).
• Proteger el periodismo de la vigilancia selectiva, la retención de datos y la entrega de material relacionado con fuentes confidenciales.
• Defina las excepciones a todo lo anterior de forma muy restrictiva, a fin de preservar el principio de protección de la fuente como norma y estándar efectivos.
• Defina las excepciones como aquellas que deben ajustarse a una disposición de "necesidad" y "proporcionalidad"; en otras palabras, cuando no sea posible ninguna alternativa a la divulgación, cuando exista un mayor interés público en la divulgación que en la protección, y cuando los términos y el alcance de la divulgación preserven la confidencialidad en la mayor medida posible.
• Definir un proceso judicial transparente e independiente, con posibilidad de apelación para las excepciones autorizadas, y garantizar que los agentes del orden y los actores judiciales estén informados sobre los principios que conlleva.
• Criminalizar las violaciones arbitrarias, no autorizadas e intencionadas de la confidencialidad de las fuentes por parte de terceros.
• Hay que reconocer que las leyes de protección de las fuentes de información pueden reforzarse con una legislación complementaria sobre la protección de los denunciantes.

La UNESCO ha señalado además que existe una dimensión de género particular que surge en lo que respecta a la protección de las fuentes en la era digital. Las mujeres periodistas se enfrentan a riesgos adicionales en el ejercicio de su trabajo, tanto en línea como fuera de línea: en el ámbito físico, estos riesgos incluyen el acoso sexual, la agresión física y la violación, que pueden limitar su movilidad física; y en la esfera digital, los actos de acoso y las amenazas de violencia son generalizados.121) Del mismo modo, las mujeres que proporcionan información se enfrentan a mayores riesgos cuando actúan como denunciantes o informantes confidenciales.122Por ello, las mujeres periodistas necesitan poder contar con formas de comunicación seguras y no físicas con sus fuentes, en particular comunicaciones digitales seguras, para poder interactuar con ellas.123)

Acoso en línea

El acoso, las amenazas y la violencia en línea restringen gravemente el disfrute de los derechos que las personas tienen en internet, en particular los grupos vulnerables y marginados, incluidas las mujeres y los miembros de las minorías sexuales.

Las plataformas de redes sociales son un terreno especialmente fértil para el acoso en línea, pero estos comportamientos se producen en una amplia gama de entornos en línea.126Para quienes sufren acoso en línea directamente, estos encuentros pueden tener profundas consecuencias en la vida real, desde estrés mental o emocional hasta daños a la reputación o incluso temor por la seguridad personal. Además, tanto si la persona se ve afectada directa como indirectamente, esto puede llevar a una importante autocensura para evitar ser víctima de dicho acoso.

Si bien internet proporciona un foro para que las personas busquen información sobre sus identidades y orientación sexual, y se expresen sobre estos temas, muchas sufren una amplia gama de ataques al hacerlo, incluyendo ataques a la sexualidad, exposición de información personal y manipulación de imágenes que luego se utilizan para chantajear y destruir la credibilidad. Además, una tendencia común entre los niños que usan internet es el llamado "ciberacoso". Las investigaciones han demostrado que el acoso en línea a menudo se centra en características personales o físicas, siendo las opiniones políticas, el género, la apariencia física y la raza algunas de las más comunes.127Además, las mujeres sufren acoso sexual en línea con mucha mayor frecuencia que los hombres.128)

Una forma particular de acoso en línea, generalmente dirigida a mujeres, es la publicación no consentida de fotografías o videos íntimos o sexualmente explícitos de una persona. Esto constituye una grave violación de la privacidad de la persona, a menudo con fines de extorsión, chantaje y/o humillación. Varias leyes de ciberdelincuencia recientemente promulgadas en el sur de África penalizan la distribución no consentida de fotografías y videos sexuales privados, especialmente en Botsuana y Sudáfrica.129)

El acoso y los ataques continuos contra los miembros de los medios de comunicación se han convertido en una tendencia particularmente preocupante. Tal como se indica en el preámbulo de la Resolución de la Comisión Africana de 2011 sobre la seguridad de los periodistas y profesionales de los medios de comunicación en África.130La libertad de expresión, la libertad de prensa y el acceso a la información solo pueden disfrutarse cuando los periodistas y los profesionales de los medios de comunicación están libres de intimidación, presión y coacción.

Podría decirse que uno de los principales desafíos radica en lograr que los legisladores y las fuerzas del orden reconozcan la gravedad de este acoso y amenazas, y que les den la importancia que merecen, reconociendo que el daño real y persistente se produce tanto en línea como fuera de línea. Otros dos desafíos que surgen y que se agravan en el ámbito digital se relacionan con el volumen de amenazas que se pueden recibir, dada la relativa facilidad con la que esto se puede hacer a través de las plataformas de redes sociales, por ejemplo; y las dificultades concurrentes para identificar a los perpetradores, quienes a veces logran ocultar su identidad en línea.

Esto se relaciona con el tema del anonimato en línea. Esto se debe a que uno de los desafíos particulares del acoso en línea es que los perpetradores pueden ocultar sus identidades, lo que dificulta que las autoridades policiales los detengan. Sin embargo, esto no debe considerarse una base suficiente para permitir una prohibición generalizada del anonimato o el cifrado en línea. El Representante Especial de la ONU sobre la Libertad de Expresión ha respondido a esta preocupación y ha declarado que:131)

El lado oscuro del cifrado y el anonimato refleja que los delitos cometidos fuera de línea también se cometen en línea. Las fuerzas del orden y los funcionarios antiterroristas expresan su preocupación por el hecho de que terroristas y delincuentes comunes utilicen el cifrado y el anonimato para ocultar sus actividades, lo que dificulta a los gobiernos la prevención y la investigación del terrorismo, el narcotráfico, el crimen organizado y la pornografía infantil, entre otros objetivos gubernamentales. El acoso y el ciberacoso pueden ampararse en el anonimato como una cobarde máscara para la discriminación, especialmente contra miembros de grupos vulnerables. Sin embargo, al mismo tiempo, las fuerzas del orden suelen utilizar estas mismas herramientas para garantizar su propia seguridad operativa en operaciones encubiertas, mientras que los miembros de grupos vulnerables pueden utilizarlas para proteger su privacidad frente al acoso. Además, los gobiernos disponen de un amplio conjunto de herramientas alternativas, como la interceptación de comunicaciones, la geolocalización y el rastreo, la minería de datos, la vigilancia física tradicional y muchas otras, que fortalecen la aplicación de la ley y la lucha antiterrorista contemporáneas.

Cuando los periodistas alegan amenazas inminentes a su seguridad, los tribunales están facultados para otorgar medidas cautelares en las circunstancias apropiadas y con sujeción a los requisitos legales pertinentes. Por ejemplo, en el caso de Foro Nacional de Editores de Sudáfrica y otros contra Black Land First y otros,(132El Tribunal Superior de Sudáfrica dictó una orden judicial a favor de los medios de comunicación en términos generales, en virtud de la cual se prohibió a los demandados “participar en cualquiera de los siguientes actos dirigidos a los demandantes: intimidación; acoso; agresiones; amenazas; presentarse en sus domicilios; o actuar de cualquier manera que constituya una infracción de su libertad personal”, y “realizar gestos amenazantes o intimidatorios en las redes sociales… que hagan referencia a cualquier tipo de violencia, daño o amenaza”.133)

Tal como se indica en la Resolución de la ONU de 2016 sobre la seguridad de los periodistas, la impunidad de los ataques contra periodistas constituye uno de los mayores desafíos para la seguridad de los periodistas, y garantizar la rendición de cuentas por los delitos cometidos contra ellos es un elemento clave para prevenir futuros ataques.

El principio 20 de la Declaración de Principios sobre la Libertad de Expresión en África establece que los Estados deben garantizar la seguridad de los periodistas y adoptar medidas para prevenir los ataques contra ellos, así como adoptar medidas legales efectivas para investigar y enjuiciar los ataques contra periodistas. Asimismo, insta a los Estados a adoptar medidas específicas para garantizar la seguridad de las periodistas, abordando las preocupaciones de seguridad específicas de género, incluida la violencia sexual y de género, la intimidación y el acoso.134)

La Observación General n.º 34 establece que un ataque contra cualquier persona por el ejercicio de su derecho a la libertad de expresión, incluidas formas de ataque como la detención arbitraria, la tortura, las amenazas de muerte y el asesinato, no puede justificarse en virtud del artículo 19 del Pacto Internacional de Derechos Civiles y Políticos.135) Además, afirma que los periodistas, así como otras personas involucradas en la recopilación y el análisis de información sobre situaciones de derechos humanos, como abogados y jueces, son frecuentemente objeto de amenazas, intimidación y ataques debido a sus actividades.136)

Si bien es evidente que lo que se requiere ante los ataques cibernéticos es una justicia rápida y firme, la realidad es que muchos perpetradores cometen tales actos con impunidad.137La impunidad perpetúa un ciclo de violencia: suscita seria preocupación que el hecho de que tales ataques queden impunes envíe una señal pública de que el Estado y las autoridades públicas no se toman en serio dichos ataques.138)

Por lo tanto, el derecho internacional establece claramente que los Estados deben adoptar medidas para proteger a las personas, incluidos los miembros de los medios de comunicación, contra este tipo de acoso y ataques. Esto aplica tanto si el acoso se produce fuera de línea como en línea.

Conclusión

El derecho a la privacidad se enfrenta a numerosos desafíos en la era digital. La rápida y generalizada adopción del procesamiento de datos ha suscitado preocupación por la protección de la información personal, lo que ha dado lugar a la aprobación de numerosas leyes de protección de datos en todo el mundo y a esfuerzos por exigir responsabilidades a los gobiernos y al sector privado en materia de vigilancia basada en nuevas tecnologías invasivas, como el reconocimiento facial.

Esto también ha generado la necesidad de encontrar el equilibrio adecuado entre la protección de la libertad de expresión, mediante el anonimato y el cifrado en línea, y la garantía de la rendición de cuentas por los delitos cometidos en el ámbito digital. En general, las prohibiciones generalizadas del anonimato y el cifrado se consideran infracciones desproporcionadas al derecho a la libertad de expresión, y en los últimos años la orientación del derecho internacional para los Estados y los actores privados sobre estas cuestiones se ha fortalecido.

Estos desafíos en materia de derechos digitales tienen especial relevancia para los periodistas que trabajan en línea y que a menudo sufren las consecuencias de los intentos de vigilancia o intrusión en sus comunicaciones privadas, incluyendo altos niveles de acoso y abuso en línea. Las mujeres periodistas son particularmente vulnerables en este sentido. Es fundamental que los Estados adopten medidas para proteger a los periodistas en el ámbito digital y que armonicen sus marcos legislativos con las directrices internacionales vigentes para garantizar la protección de la libertad de expresión en la era moderna.