Hace un año, el Congreso aprobó un nuevo Código Electoral que pasó a revisión de la Corte Constitucional. Este fallo, que deberá darse en cualquier momento, definirá cómo será en el futuro el proceso electoral colombiano.
Desde Karisma, donde ahora soy asesora, seguimos los aspectos de identidad, escrutinio y auditorías, y se envió a la Corte una intervención ciudadana colectiva con otras organizaciones. El texto del código es interesante, sin embargo, hay espacio para mejorar. Por ejemplo, este fallo podría aclarar el confuso tema de las auditorías.
Una auditoría es un proceso de revisión por terceros expertos. Auditar un sistema informático requiere experticia técnica e importantes recursos, exige también tener acceso a profundidad a los diferentes componentes del sistema y tiempo suficiente para adelantar la tarea. Aunque en Colombia se insista en decir que los partidos políticos y los grupos significativos de ciudadanos hacen auditorías -las semanas antes de que vayamos a las urnas-, esto no es así. Lo que se hace son importantes ejercicios de observación electoral que dan transparencia y confianza, pero la observación técnica no es una auditoría. Hasta hoy la tecnología que se usa en las elecciones colombianas no se ha auditado de manera independiente y eso puede cambiar con el nuevo Código.
El texto que analiza la Corte no soluciona la confusión, la mantiene. Hay un artículo nuevo (así dice la versión del informe de conciliación) en el código titulado “Auditorías técnicas” que exige realizar un plan de auditorías de tres tipos: de funcionalidad, de seguridad digital y de revisión del código fuente. Hay que ver esta norma como un intento por señalar que hay diferentes mecanismos de control ciudadano y por terceros al sistema informático, sin embargo, mantiene la confusión de la observación técnica electoral y la auditoría.
La “auditoría” que el código desarrolla con más detalle es la de funcionalidad (artículo 249), que es la observación electoral que se hace desde hace años. exigiendo por ejemplo la entrega del calendario siete meses antes de una votación.
De otra parte, el artículo 248 incorpora un nuevo término: “la auditoría informática electoral”. De su definición hay que entender que recoge las otras dos mencionadas en el artículo nuevo: auditoría de seguridad digital y de código fuente.
Como la de funcionalidad se desarrolla en el artículo 249, incluyendo un plan con un plazo diferente, hay que interpretar que el plan del artículo nuevo es para las de seguridad digital y código fuente que son modalidades de la auditoría informática.
Por tanto, la Corte puede aclarar la confusión declarando la exequibilidad (constitucionalidad) condicionada del artículo nuevo y del 249 con el fin de separar los dos ejercicios: las auditorías de la observación electoral. De una parte, diría que el plan del artículo nuevo es sobre la auditoría del 248, que es la informática electoral compuesta por las auditorías de seguridad digital y de código fuente, porque el 249 describe concretamente el plan de la denominada “auditoría” de funcionalidad. Sobre el 249 aclararía que es un ejercicio de observación electoral, por los tiempos y alcance, indicando que los “auditores” del artículo nuevo en el ejercicio de funcionalidad son por tanto observadores electorales “técnicos”. De esta forma la regulación posterior podrá desarrollar las particularidades de los dos ejercicios.
El otro tema importante de las auditorías es el del parágrafo 2 del artículo 249, que faculta al Consejo Nacional Electoral y a la Registraduría Nacional del Estado Civil a diseñar el acuerdo de confidencialidad que “deberán suscribir los auditores para garantizar la seguridad y reserva de la información del proceso electoral”. Esta norma puede ser una aberración si la Corte no impone garantías para quienes ejecutan estos ejercicios.
En las últimas elecciones a estas personas se les exige acuerdos donde les advierten que pueden recibir acciones legales si divulgan información que conozcan durante la observación al código fuente -ahora será a todo el proceso-. Sí, el ejercicio requiere un nivel de cuidado en la divulgación de la información, pero deben ser restricciones proporcionales que permitan la divulgación de hallazgos. Existen buenas prácticas para hacer y divulgar los resultados de la investigación en seguridad digital que no han sido consideradas hasta ahora, silenciarlos no puede ser la respuesta. Las prohibiciones generales se justifican en la propiedad intelectual de los contratistas de la Registraduría, otra irregularidad, pues el fallo del Consejo de Estado de 2018 a favor el partido MIRA ordenó al Estado adquirir el software de escrutinios porque la propiedad intelectual no podía ser obstáculo para controlar el software electoral.
Quienes revisan sistemas informáticos, auditores u observadores, deben poder hablar responsablemente de sus hallazgos para contribuir a la transparencia, reducir la posibilidad de fraude y de prácticas electorales deshonestas para aumentar la confianza. Este parágrafo debe ser inexequible o, en su defecto, con exequibilidad condicionada a que la protección de la información no evite la divulgación responsable, especialmente no por propiedad intelectual.
Cuando salga el fallo les cuento.