Compra de Pegasus por DIPOL confirma que toca reformar la ley de inteligencia
En una de las escasas alocuciones presidenciales de Gustavo Petro, él es más de Twitter, leyó una comunicación que estaría indicando que la DIPOL -inteligencia de la policía-, fue la que compró en 2021 el software espía Pegasus. Esta tiene que ser la gota que derrame el vaso y anime a discutir la reforma a la ley de inteligencia radicada esta semana en el Senado.
Puede haber preguntas sobre el momento elegido por Petro para contarnos esto, pero lo que cuenta confirma que el Estado es responsable de la ejecución arbitraria de actividades de inteligencia, tal y como lo declaró la Corte Interamericana de Derechos Humanos en el fallo del caso CAJAR vs Colombia. No existe un marco jurídico que autorice a la inteligencia a usar un spyware como Pegasus, al contrario, sin facultad legal para interceptar comunicaciones, Inteligencia no puede asumir que puede usar spyware que es más intrusivo. La DIPOL habría adquirido una herramienta para una actividad para la que no tenía facultades, eso sin hablar de las cuestionables condiciones de transparencia que rodearon la compra.
La Corte ordenó revisar la Ley de Inteligencia para ajustarla a derechos humanos, además recordó que las actividades de inteligencia deben tener sustento legal -descripción clara en la ley-, responder a criterios de necesidad y proporcionalidad, tener responsables identificables y controles independientes y mecanismos de rendición de cuentas.
Karisma, donde trabajo, trabajó junto con CAJAR, la oficina ONU Derechos Humanos y la Dirección Nacional de Inteligencia en ajustar a la sentencia el proyecto del representante Alirio Uribe. Nuestro foco fue vigilancia de las comunicaciones. Buscamos crear un marco de derechos humanos para capacidades que, con la tecnología digital, son desafiantes. Resumo algunos elementos interesantes.
A diferencia de la ley 1621 de 2013, que daba a la inteligencia la facultad vaga y abstracta de “monitorear el espectro”, este proyecto describe expresamente sus facultades, trayendolas al siglo XXI. Esas facultades se acompañan de principios, obligaciones, límites y mecanismos de seguimiento y control que protegen derechos como la intimidad, la libertad de expresión y el derecho de asociación y reunión, todo basado en estándares internacionales del sector.
Las facultades a mencionar relacionadas con tecnología; (i) interceptar comunicaciones entendidas ampliamente, de modo que incluyan actividades como capturar datos de comunicaciones electrónicas, como cuando las autoridades usan antenas tipo stingray, que pueden por ejemplo recoger los mensajes de texto enviados entre celulares en su alcance; (ii) entrar en dispositivos electrónicos -usando herramientas como spyware-, con límites y controles adaptados a estándares internacionales, como los construídos por la relatora ONU antiterrorismo; o (iii) pedir colaboración para entregar datos personales, pero, en adelante las operadoras de telecomunicaciones retendrán datos de sus suscriptores no por cinco años (que hoy es un abrupto internacional) sino por seis meses. Adicionalmente, se exige control judicial previo y posterior y se incluyen otros controles como requisitos especiales para la adquisición de la tecnología.
El escándalo de Snowden, cuando reveló que la NSA en Estados Unidos tenía acceso directo a las redes de los operadores de telecomunicaciones, despertó un debate internacional que concluyó en que la vigilancia masiva no está conforme con los derechos humanos. Así que hay dos prohibiciones para vigilancia masiva: no se permite la captura, copia o almacenamiento de tráfico masivo de datos, metadatos o comunicaciones, tampoco se permite el acceso directo a puntos de conexión o gestores de datos de operadores de redes de telecomunicaciones. En Colombia, el decreto 1704 de 2012 sobre interceptación de las comunicaciones parece facultar de forma irregular a la Fiscalía a desarrollar actividades de este tipo, mientras esto se debate y reforma, este proyecto de ley deja claro que la inteligencia no puede tener acceso directo a estas redes.
Otra prohibición a resaltar es el acceso a dispositivos personales cifrados. En 2016 el FBI consiguió una orden judicial para que Apple ayudara a romper el cifrado del iPhone de uno de los atacantes de San Bernardino, donde murieron 14 personas. En ese momento se discutió que Apple no podía cumplir sin comprometer la seguridad digital de todos los iPhone. Al final, el FBI contrató una firma que logró acceder al dispositivo. Este proyecto de ley prohíbe expresamente presionar a los fabricantes a romper el cifrado o a abrir puertas traseras. Además, para abordar las preocupaciones por efectos nocivos de tecnologías como la inteligencia artificial, se refiere a decisiones completamente automatizadas: las actividades de inteligencia deberán tener supervisión humana suficiente y atribución clara de quién es responsable de la información o predicción que provenga de métodos automatizados.
Finalmente, la transparencia será un principio desarrollado en obligaciones incluso de informes públicos con datos estadísticos y otros detalles. Este proyecto de ley ofrece una oportunidad para avanzar en una reforma a la inteligencia en una sociedad resignada a abusos y anestesiada por los escándalos. Aporta a que la ciudadanía confíe en las instituciones que realizan esta función y da seguridad a quienes hacen labores de inteligencia en la legalidad y legitimidad de sus actividades. No es perfecto, pero confío en que en el Congreso el debate lo mejore.
En una de las escasas alocuciones presidenciales de Gustavo Petro, él es más de Twitter, leyó una comunicación que estaría indicando que la DIPOL -inteligencia de la policía-, fue la que compró en 2021 el software espía Pegasus. Esta tiene que ser la gota que derrame el vaso y anime a discutir la reforma a la ley de inteligencia radicada esta semana en el Senado.
Puede haber preguntas sobre el momento elegido por Petro para contarnos esto, pero lo que cuenta confirma que el Estado es responsable de la ejecución arbitraria de actividades de inteligencia, tal y como lo declaró la Corte Interamericana de Derechos Humanos en el fallo del caso CAJAR vs Colombia. No existe un marco jurídico que autorice a la inteligencia a usar un spyware como Pegasus, al contrario, sin facultad legal para interceptar comunicaciones, Inteligencia no puede asumir que puede usar spyware que es más intrusivo. La DIPOL habría adquirido una herramienta para una actividad para la que no tenía facultades, eso sin hablar de las cuestionables condiciones de transparencia que rodearon la compra.
La Corte ordenó revisar la Ley de Inteligencia para ajustarla a derechos humanos, además recordó que las actividades de inteligencia deben tener sustento legal -descripción clara en la ley-, responder a criterios de necesidad y proporcionalidad, tener responsables identificables y controles independientes y mecanismos de rendición de cuentas.
Karisma, donde trabajo, trabajó junto con CAJAR, la oficina ONU Derechos Humanos y la Dirección Nacional de Inteligencia en ajustar a la sentencia el proyecto del representante Alirio Uribe. Nuestro foco fue vigilancia de las comunicaciones. Buscamos crear un marco de derechos humanos para capacidades que, con la tecnología digital, son desafiantes. Resumo algunos elementos interesantes.
A diferencia de la ley 1621 de 2013, que daba a la inteligencia la facultad vaga y abstracta de “monitorear el espectro”, este proyecto describe expresamente sus facultades, trayendolas al siglo XXI. Esas facultades se acompañan de principios, obligaciones, límites y mecanismos de seguimiento y control que protegen derechos como la intimidad, la libertad de expresión y el derecho de asociación y reunión, todo basado en estándares internacionales del sector.
Las facultades a mencionar relacionadas con tecnología; (i) interceptar comunicaciones entendidas ampliamente, de modo que incluyan actividades como capturar datos de comunicaciones electrónicas, como cuando las autoridades usan antenas tipo stingray, que pueden por ejemplo recoger los mensajes de texto enviados entre celulares en su alcance; (ii) entrar en dispositivos electrónicos -usando herramientas como spyware-, con límites y controles adaptados a estándares internacionales, como los construídos por la relatora ONU antiterrorismo; o (iii) pedir colaboración para entregar datos personales, pero, en adelante las operadoras de telecomunicaciones retendrán datos de sus suscriptores no por cinco años (que hoy es un abrupto internacional) sino por seis meses. Adicionalmente, se exige control judicial previo y posterior y se incluyen otros controles como requisitos especiales para la adquisición de la tecnología.
El escándalo de Snowden, cuando reveló que la NSA en Estados Unidos tenía acceso directo a las redes de los operadores de telecomunicaciones, despertó un debate internacional que concluyó en que la vigilancia masiva no está conforme con los derechos humanos. Así que hay dos prohibiciones para vigilancia masiva: no se permite la captura, copia o almacenamiento de tráfico masivo de datos, metadatos o comunicaciones, tampoco se permite el acceso directo a puntos de conexión o gestores de datos de operadores de redes de telecomunicaciones. En Colombia, el decreto 1704 de 2012 sobre interceptación de las comunicaciones parece facultar de forma irregular a la Fiscalía a desarrollar actividades de este tipo, mientras esto se debate y reforma, este proyecto de ley deja claro que la inteligencia no puede tener acceso directo a estas redes.
Otra prohibición a resaltar es el acceso a dispositivos personales cifrados. En 2016 el FBI consiguió una orden judicial para que Apple ayudara a romper el cifrado del iPhone de uno de los atacantes de San Bernardino, donde murieron 14 personas. En ese momento se discutió que Apple no podía cumplir sin comprometer la seguridad digital de todos los iPhone. Al final, el FBI contrató una firma que logró acceder al dispositivo. Este proyecto de ley prohíbe expresamente presionar a los fabricantes a romper el cifrado o a abrir puertas traseras. Además, para abordar las preocupaciones por efectos nocivos de tecnologías como la inteligencia artificial, se refiere a decisiones completamente automatizadas: las actividades de inteligencia deberán tener supervisión humana suficiente y atribución clara de quién es responsable de la información o predicción que provenga de métodos automatizados.
Finalmente, la transparencia será un principio desarrollado en obligaciones incluso de informes públicos con datos estadísticos y otros detalles. Este proyecto de ley ofrece una oportunidad para avanzar en una reforma a la inteligencia en una sociedad resignada a abusos y anestesiada por los escándalos. Aporta a que la ciudadanía confíe en las instituciones que realizan esta función y da seguridad a quienes hacen labores de inteligencia en la legalidad y legitimidad de sus actividades. No es perfecto, pero confío en que en el Congreso el debate lo mejore.