Ilícitos en el entorno digital

Por Julio Conte-Grand (*) –

La creciente actividad que se despliega en el entorno digital, en diversas y novedosas modalidades fruto de una constante incorporación de nuevas herramientas y variantes técnicas y tecnológicas, genera beneficios incuestionables, pero a la vez formas nuevas y complejas de actividades delictivas que obligan a perfeccionar los sistemas de protección, resguardo, investigación y persecución criminal.

En la Procuración General de la Provincia de Buenos Aires se creó en agosto de 2021 el Departamento de Ciberdelitos y Tecnologías Aplicadas, como respuesta a la necesidad de hacer operativo un trabajo coordinado y colaborativo del personal y la optimización de la asignación y uso de los recursos materiales de la provincia en su conjunto.

Los delitos informáticos son una manifestación criminal que trasciende las fronteras de los departamentos judiciales, la provincia, y hasta el territorio nacional, generando exigencias singulares.

Más allá del tipo penal en particular en el que se encuadre la conducta investigada, es cierto que cualquier actividad delictiva puede estar atravesada por componentes digitales, tanto en su modalidad de comisión, como en la prueba de los hechos que puede consistir en evidencia digital, la cual necesita ser colectada bajo determinadas condiciones de seguridad.

Por lo demás, la tecnología tiene una alta incidencia en la vida cotidiana de las personas. Es sabido que los dispositivos móviles y la conectividad a internet van dejando una huella o registro “digital” de cada individuo y cómo esa particularidad de la vida moderna, alcanza también a los hechos delictivos. Por ello es imprescindible estar preparados para hacerse de esa información bajo los resguardos de las ciencias forenses y estar en condiciones de analizarlos adecuadamente para transformar esos datos en evidencia válida para los procesos penales.

En vista de esto, surge la necesidad de adecuar los procesos investigativos a las nuevas tecnologías puestas a disposición de dicha actividad, así como propiciar una correcta metodología de trabajo sobre la evidencia digital, para que pueda incorporarse adecuadamente a los procesos y llegue en tiempo y forma a su producción en juicio.

En este sentido, resulta fundamental que más allá de relevar los recursos con los que se cuente a estos fines, se capacite y se genere una cultura del trabajo colaborativo de todos los agentes al servicio de la investigación, atendiendo al principio de unidad y entendiendo que los delitos, especialmente los que implican el uso de elementos tecnológicos, no conocen fronteras territoriales, que los “ciberdelincuentes” se refugian en el anonimato que proporciona el entorno digital y que la evidencia digital es sumamente volátil, por lo cual, se requiere un tratamiento muy especial.

En este marco se elaboraron en la Procuración General de la provincia de Buenos Aires Guías de Investigación Digital, que son una serie de herramientas destinadas a referentes provinciales en investigación digital y en estafas con componentes tecnológicos, así como a la red de especialistas en dispositivos móviles, la red de peritos informáticos y la red de analistas digitales.

Se aspira de este modo a integrar el trabajo de las áreas con competencia especializada en los distintos departamentos judiciales, y perfeccionar a los agentes mediante procesos de capacitación que perfeccionen el conocimiento y la aptitud para la ejecución de las tareas individuales y colectivas.

Teniendo particularmente en cuenta que los ilícitos en el entorno digital asumen formas diversas y muchas veces no habituales.

En relación a estas consideraciones es de interés rescatar para el análisis la sentencia dictada por el Tribunal de Justicia de la Unión Europea (TJUE) en fecha 14 de diciembre de 2023 en el asunto C-340/21 | Natsionalna agentsia za prihodite.

En ese caso el TJUE determinó que el temor a un potencial uso indebido de datos personales puede constituir por sí solo un daño o perjuicio inmaterial, derivado de hechos diversos y en especial de la ciberdelincuencia.

La cuestión trata centralmente sobre la interpretación del Reglamento General de Protección de Datos (RGPD). El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, regula la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

En Bulgaria la Agencia Nacional de Recaudación búlgara (NAP) depende del Ministro de Hacienda búlgaro, y se encarga, en particular, de la identificación, el aseguramiento y el cobro de los créditos públicos. Es un organismo responsable del tratamiento de datos personales.

El 15 de julio de 2019, los medios de comunicación informaron que se había producido un acceso no autorizado al sistema informático de la NAP y que, a raíz de este ciberataque, se habían publicado en Internet los datos personales de millones de personas. Un gran número de afectados interpusieron acciones contra la NAP reclamando una indemnización por los daños y perjuicios inmateriales (daños morales) que afirman haber sufrido por el temor a un potencial uso indebido de sus datos personales.

Previo a resolver, el Tribunal Supremo de lo Contencioso-Administrativo búlgaro, órgano judicial ante el cual se presentaron los reclamantes, plantea al Tribunal de Justicia una serie de cuestiones prejudiciales en relación con la interpretación del RGPD. Dicho Tribunal solicita al TJUE que se especifiquen cuáles son los requisitos para la indemnización de los daños y perjuicios inmateriales que alega una persona cuyos datos personales, en manos de una agencia pública, han sido publicados en Internet a raíz de un ciberataque.

En su sentencia, el TJUE indicó que:

a) Los jueces no pueden deducir del mero hecho de que se haya producido una comunicación no autorizada de datos personales o un acceso no autorizado a dichos datos, que las medidas de protección adoptadas por el responsable del tratamiento no eran apropiadas. Los jueces deben examinar el carácter apropiado de estas medidas en cada caso concreto;

b) Corresponde al responsable del tratamiento probar que las medidas de protección adoptadas eran apropiadas;

c) En el supuesto de que la comunicación no autorizada de datos personales o el acceso no autorizado a esos datos haya sido cometida por «terceros» (como ciberdelincuentes), puede obligarse al responsable del tratamiento a indemnizar a las personas que hayan sufrido un daño, a menos que dicho responsable logre demostrar que el hecho que provocó el daño de que se trate no le es imputable en modo alguno;

d) El temor que experimenta un interesado a un potencial uso indebido de sus datos personales por terceros a raíz de una infracción del RGPD puede constituir, por sí solo, un «daño o perjuicio inmaterial».


(*) Procurador General de la Suprema Corte de Justicia de la Provincia de Buenos Aires

Fuente: Publicado en Nuevo Mundo, edición 893 del 22 de marzo de 2024