Por: Línea de Participación Cívica
El término ciberpatrullaje apareció por primera vez en el ordenamiento jurídico colombiano en la Resolución 05839/15 de la Policía Nacional. Allí se estableció que una de las funciones del Centro Cibernético Policial o CAI virtual consiste en identificar, a través de acciones de ciberpatrullaje 24/7 en la web, amenazas en contra de la ciberseguridad ciudadana, y detectar factores comunes en los incidentes de ciberseguridad y en eventos en los que se vulnere la disponibilidad, integridad y confidencialidad de la información que circula en el ciberespacio.
De acuerdo con esto, desde Fundación Karisma, entendemos que el ciberpatrullaje consiste, normativamente, en una revisión de internet por parte del CAI virtual para identificar posibles delitos informáticos, ya que son estos últimos los que ponen en riesgo la ciberseguridad ciudadana.
Ahora bien, hay que dejar claro que la resolución tiene varios problemas. En primer lugar, al tratarse de una norma que regula una actividad que pone en riesgo derechos humanos, esta debería ser una ley formal, no una simple resolución. Toda actividad que regule directa o indirectamente vigilancia estatal debe ser discutida democráticamente en una ley. En segundo lugar, la resolución no es lo suficientemente precisa como para establecer los límites del ciberpatrullaje, técnicas permitidas o su procedimiento.
Que se desarrollara en una norma infralegal, que no aclara qué es, cómo se hace y quiénes están autorizados para realizar ciberpatrullaje, y aún así se realice -como explicamos más adelante- hace explícita la necesidad de seguir cuestionando y pensando desde un enfoque técnico y de derechos humanos, qué es a ciencia cierta el ciberpatrullaje y cuáles deben ser sus límites. Desde Fundación Karisma hemos estado trabajando en ello y aquí presentamos tres asuntos que consideramos claves, incluída nuestra propia definición:
1. <<Patrullar internet como en las calles>> Lo que dice el Estado sobre el Ciberpatrullaje
La falta de claridad conceptual y normativa sobre ciberpatrullaje ha dado pie a que en los últimos años la Policía y otras entidades de seguridad realizarán distintas actividades bajo el nombre de ciberpatrullaje. Actuaciones que, en general, ponen en riesgo a la ciudadanía y han servido para articular narrativas que justifican la vigilancia estatal.
Cazar supuestas noticias falsas sobre el Covid-19 (a pesar de que las noticias falsas no son ni un riesgo digital ni un ciberdelito), identificadas mediante ciberpatrullaje en fuentes abiertas; usar herramientas para recolectar información en redes sociales y perfilar a personas en escándalos como el de las Carpetas Secretas del ejército o tachar de falsas denuncias ciudadanas sobre violaciones a derechos humanos durante el Paro Nacional de 2021, por supuesto, identificadas a través actividades de ciberpatrullaje en redes sociales en un monitoreo de 21.000 horas, son algunos ejemplos de las actuaciones que parecen estar justificadas con las actividades de ciberpatrullaje.
Ahora bien, es necesario señalar que los problemas identificados sobre los discursos de ciberpatrullaje parecen remitir a una doctrina militarista y al uso de conceptos de vigilancia e investigación en espacios o contextos físicos que son traspasados sin más al espacio digital. Lo cual es un grave error.
En Diciembre de 2021, Revista Semana realizó un foro virtual sobre ciberpatrullaje. Allí, Jorge Luis Vargas, entonces comandante de la Policía Nacional, afirmó que el ciberpatrullaje es una actividad con los mismos elementos que el patrullaje que normalmente se hace en el espacio físico, con la única diferencia de que es realizado en el ciberespacio. También enfatizó en que la finalidad de dicha actividad es la de garantizar la convivencia e identificar a personas criminales, lo que no se corresponde con los límites que impone el la resolución de ciberpatrullaje respecto a que el monitorear de internet solo está autorizado para buscar ciberdelitos.
Además, durante su declaración, el comandante no ahondó en las diferencias fundamentales que existen entre el espacio físico y el ciberespacio.
La primera diferencia importante es que la infraestructura que habilita Internet es mayoritariamente privada. La red de infraestructura y servicios prestados que hacen posible internet pertenece la mayoría de las veces a empresas privadas y, por lo tanto, está sujeta a las normas y limitaciones técnicas de los privados.
Si bien desde Karisma defendemos el concepto de espacio público digital, como el conjunto de aplicaciones que corren sobre internet y que permiten a las personas hacer ejercicio de sus derechos de forma pública, entendemos que en la web hay que considerar muy diversos matices y que la ciudadanía no solo debe acatar las leyes nacionales, sino que muchas veces se enfrenta a limitaciones técnicas o a las impuestas en las normas de las empresas privadas.
Tanto los límites impuestos por las empresas privadas, como los estándares de derechos humanos, impiden que el patrullaje sea igual en internet que en las calles. El patrullaje físico se hace en un lugar público, esto quiere decir que las competentes son entidades públicas, que vigilan la única finalidad de proteger a la ciudadanía y garantizar un espacio que permita el ejercicio de derechos. Algo que no sucede en espacios privados, como un conjunto residencial o un centro comercial.
La segunda diferencia, que hace que las normativa que regula el patrullaje no pueda extenderse al ciberpatrullaje, es que, de acuerdo con la Resolución 00911/2011 de la Policía Nacional, el patrullaje es una forma de prestar el servicio de vigilancia con la finalidad de neutralizar la comisión de delitos e incrementar la percepción de seguridad. Sin embargo, el ciberpatrullaje puede generar un efecto chilling, o inhibitorio, es decir, que la respuesta agresiva del Estado persuada a las personas de manifestarse libremente para evitar represalias, lo que sin duda representa un riesgo inminente de vulneración a la libertad de expresión en línea.
Mientras que el patrullaje físico puede disuadir a las personas de cometer delitos en espacios públicos, como el hurto, el ciberpatrullaje interfiere sobre la voluntad de todas las personas para usar libremente internet, incluso los usuarios y usuarias cuyas conductas no tienen carácter delictivo, como lo es expresar su opinión o hacer una denuncia pública en redes sociales.
Por último, pero no menos importante, pretender que el ciberpatrullaje es el mismo patrullaje pero en espacios virtuales, es erróneo debido a la capacidad y el alcance que tienen las tecnologías que se utilizan. Solo si al vigilar las calles la policía retuviera y procesara toda la información sobre nuestras entradas, salidas, dirección, opiniones que damos en la calle o en centros comerciales, las personas con las que interactuamos, cosas que compartimos, tomara foto de nuestras forma de vestir y actividades, etc., se podría hacer la comparación entre patrullar la calle y el ciberpatrullaje, pero esto es imposible pues algo así no es tolerable en una sociedad democrática.
Las tecnologías para la vigilancia tienen posibilidades de acceder y recolectar información sensible, que sobrepasan en un nivel sustancial las limitaciones humanas de quiénes realizan patrullaje en espacios físicos. Como el ciberpatrullaje utiliza herramientas OSINT, que se trata de una serie de técnicas para recolectar y analizar datos que se encuentren alojados en fuentes de información de libre acceso, como propósito obtener una ventaja en términos ofensivos o defensivos, o de scraping, la cantidad de información personal, de trabajo, opiniones, hábitos o personas con las que se relaciona que se pueden obtener en internet es mucho mayor, y sobre muchas más personas que en las calles.
Así mismo, la transparencia de las actuaciones públicas están sujetas a un control más estricto en los espacios físicos, pues son policías uniformados, debidamente identificados y delimitados por regulaciones establecidas quienes patrullan. De tal forma que, cuando la policía está patrullando el lugar en que te encuentras es imposible no darse cuenta. Mientras que, el ciberpatrullaje se puede realizar de manera anónima fácilmente, a través de cuentas personales o anónimas de personas funcionarias o con programas especializados, lo que se parece más a la vigilancia masiva que a cualquier otra cosa. Ya que en últimas, la ciudadanía no sabe cuándo y qué funcionario está monitoreando su uso de la web.
2. La evolución de la definición
La segunda definición de ciberpatrullaje de la que tenemos conocimiento la obtuvimos en septiembre de 2022, en respuesta a un derecho de petición que radicamos desde Fundación Karisma con la intención de saber qué conceptos o definiciones usaba el Estado cuando patrullaba internet.
Esta definición también presenta problemas similares a la ya analizada. La policía describió que el ciberpatrullaje es la actividad que adelantan los funcionarios y las funcionarias de Policía Judicial de la policía con el fin de recolectar información de fuentes públicas en internet, y que permita orientar procesos judiciales y disciplinarios por parte de las autoridades de control competentes.
La respuesta a la petición es enfática en aclarar que la actividad es desarrollada en la web desde el enfoque judicial y que los elementos materiales probatorios y/o evidencia física recolectada, será puesta a disposición de las autoridades de control disciplinario y judicial.
Lo primero que tenemos que decir, es que los elementos que fueron descritos como parte de la actividad de ciberpatrullaje, en respuesta a nuestra solicitud de información pública, son diferentes y más amplios que los antes mencionados en la Resolución 05398 de 2015:
Para empezar, la resolución faculta únicamente al Centro Cibernético Policial, que es una dependencia de la DIJIN encargada de adelantar las investigaciones judiciales relacionadas con conductas delictivas en Internet. Mientras que, en la respuesta del derecho de petición, se menciona que la actividad es realizada por la policía judicial, que, de acuerdo con el artículo 200 del Código Penal, es todo funcionario que apoya una investigación penal y que dependen funcionalmente del Fiscal General de la Nación. Es decir, en la definición la policía incluye a más personas que en la resolución.
Como segunda diferencia está que la norma dispone que el ciberpatrullaje es realizado en la web; por su lado, en la respuesta a nuestro derecho de petición, se especifica que el ciberpatrullaje se realiza en fuentes públicas (o abiertas) de internet. Debido a que la web no está conformada únicamente por fuentes abiertas, hay una diferencia sustancialmente, respecto al alcance, entre las definiciones, y, por ello, representa una complejidad mucho mayor. Por ejemplo, que la ciberpatrulla vigila redes sociales, páginas web.
Finalmente, la Resolución limita la actividad a la ciberseguridad ciudadana a través de la búsqueda de delitos cibernéticos, a diferencia de la reciente respuesta en la que se amplía a la recolección de material probatorio de conductas que afecten la seguridad ciudadana, esto quiere decir que el ciberpatrullaje también puede ser usado con el fin de investigar delitos de cualquier naturaleza, no solo los que la ley colombiana considera ciberdelitos e incluso faltas disciplinarias.
Un ejemplo de esto último es el ciberpatrullaje que se realizó durante el paro nacional. En el Oficio DSC-20300-20/08/2021 de la Fiscalía General de la Nación, que respondió una solicitud de información de Karisma, la Fiscalía señaló que a pesar de que no considera las noticias falsas como un riesgo cyber, estás si podrían configurar el delito de calumnia, y, que, conforme con su deber constitucional de investigar, de llegar al conocimiento de la entidad, a través de redes sociales, una situación relacionada con la comisión de una conducta punible, se adelantarán las acciones judiciales y penales que considere correspondientes. Esto a pesar de que la calumnia es un delito querellable, es decir, que solo se puede iniciar una investigación cuando un persona pone una querella, no cuando un fiscal ve algo que considere calumnia en sus redes sociales.
Como puede verse las definiciones públicas que usa la policía sobre que es el ciberpatrullaje que practican, no solo no concuerdan con la norma que aplica, sino que son mucho más amplias y ponen en riesgo los derechos de las personas.
A continuación les presentamos nuestra definición sobre ciberpatrullaje y algunas consideraciones técnicas importantes que pueden ser útiles para construir un nuevo relato garantista con los derechos humanos sobre esta práctica.
3. ¿A qué nos referimos cuando hablamos de ciberpatrullaje?
Si el ciberpatrullaje estuviera consagrado en una ley con las debidas garantías, cosa que no sucede en Colombia, este se debería referir únicamente a: las actividades de investigación actuales, que permitan a la fuerza pública detectar posibles amenazas de ciberseguridad, cibercrímenes y delitos comunes previamente delimitados en la ley, usando herramientas de búsqueda, análisis, tratamiento y presentación de la información procedente de fuentes abiertas (OSINT, Open Source Intelligence– investigación en fuentes abiertas).
Vamos por partes.
En primer lugar, debemos decir que siempre se debe tener en cuenta que dado su alcance, el ciberpatrullaje puede constituir una forma de vigilancia masiva, es decir, una práctica ilegal de los organismos de seguridad de los Estados mediante la cual recogen, almacenan y analizan en secreto, y de forma indiscriminada, grandes cantidades de información de la ciudadanía y sobre sus comunicaciones sin que existan indicios suficientes de conducta delictiva.
Además, al realizarse a través de herramientas de OSINT que permiten scrapping, existe la capacidad de obtener y recolectar información sensible de millones de personas. El scrapping, a su vez, es una técnica automatizada e indiscriminada de extracción de datos de un sitio web mediante software, el cual permite bajar toda la información de un sitio web o de una red social usando los vínculos que las mismas proveen y, muchas veces, sin sus permisos.
En segundo lugar, para saber cómo se hace el ciberpatrullaje, es importante entender varias definiciones técnicas. La primera es la de inteligencia en fuentes abiertas de información, OSINT, que por su sigla en inglés significa Open Source INTelligence, que como se mencionó anteriormente consiste en una serie de técnicas para recolectar y analizar datos que se encuentren alojados en fuentes de información de libre acceso con fines ofensivos o defensivos. Con frecuencia el OSINT se realiza mediante el uso de software especializado. Y, a pesar de que la información se extrae de fuentes públicas (redes sociales por ejemplo), suele incluir datos protegidos por el derecho a la intimidad.
El OSINT es una forma del llamado Open source research , que es una investigación basada en una búsqueda de información disponible de forma pública en internet, bases de datos o medios de comunicación, que se realiza con fines académicos o periodísticos. Regularmente, las tecnologías adquiridas por los Estados para actividades de ciberpatrullaje no son más que herramientas de OSINT.
En últimas, para Karisma, el ciberpatrullaje deben ser las actividades de investigación de la Policía para investigar cibercrímenes, detectar ciberamenazas y recolectar pruebas sobre delitos comunes previamente definidos usando herramientas OSINT en internet. Y dichas actividades de investigación deben limitarse por un análisis de impacto en derechos humanos, estableciendo controles claros dentro del gobierno y con una política de transparencia respecto de la finalidad y los métodos usados. En ausencia de estas condiciones, el ciberpatrullaje es simplemente una actividad ilegal realizada por el Estado o un término vacío que sirve como un eufemismo para la vigilancia masiva.
Si por algún motivo esta entrada no es accesible para tí, por favor escríbenos a comunicaciones@karisma.org.co y haremos los ajustes que estén a nuestro alcance para que puedas acceder al contenido.
Indícanos el título del contenido en el asunto del correo, por ejemplo: El Estado monitorea Internet: implicaciones en los derechos humanos del ciberpatrullaje
Es fundamental poner el tema en la agenda y nutrir la conversación. ¿Trabajas en un medio de comunicación? Escríbenos a comunicaciones@karisma.org.co
Acompáñanos en @Karisma en Twitter, Fundación Karisma en Facebook y YouTube, y @karismacol en Instagram y Tik Tok
Relacionados
