El uso de mecanismos de cifrado y anonimato en la era digital y su compatibilidad con la lucha contra el terrorismo y la seguridad nacional es un debate que se está repitiendo de manera generalizada en multitud de países. Estados Unidos, por ejemplo, se encuentra inmerso en un análisis sobre cómo puede implantarse vías de descifrado de contenidos e imponer su implantación a fabricantes y desarrolladores. Francia recientemente ha modificado su ordenamiento jurídico para establecer obligaciones de colaboración y de conservación de datos. Europa optó por regular la conservación de metadatos para identificar a usuarios infractores de manera generalizada a través de una Directiva europea ya anulada, pero que dio fruto entre otras a una Ley española que a día de hoy continúa en vigor.
Este conflicto de intereses ha propiciado la emisión de informes al respecto, habiéndose hecho público recientemente uno de Naciones Unidas muy interesante por cuanto analiza específicamente si los derechos a la privacidad y la libertad de opinión y expresión alcanzan a garantizar el derecho al uso de comunicaciones en línea seguras a través de mecanismos de cifrado y de garantía de anonimato.
El contenido se basa en una premisa importante de la que ya se había advertido desde multitud de sectores: La privacidad garantizada por las herramientas de cifrado no busca esconder una actuación del sujeto, sino servir como mecanismo de protección de sus derechos. Siempre se ha utilizado la expresión “si no hay nada que ocultar, no hay problema”, pero lo cierto es que la realidad va mucho más allá. Es por ello que el alcance de las medidas que adopten los diversos Gobiernos y organizaciones privadas a la hora de restringir mecanismos de cifrado y anonimato deberían tener en cuenta el alcance que las decisiones tomadas pueden tener para los afectados.
Pensemos en la actividad que un usuario lleva a cabo en Internet. Las opiniones que manifiesta en páginas web, los historiales de búsqueda, su correo electrónico, así como los archivos que sube a la nube pueden quedarse almacenados de manera indefinida, permitiendo así su localización con las potenciales consecuencias que dicho hecho puede tener para quien no ha hecho más que ejercer un derecho que daba por hecho en determinados entornos.
Como se señala en el documento, algunos de los argumentos principales contra el cifrado y el anonimato en Internet utilizados tanto por los Gobiernos como por los responsables de cuerpos de defensa y seguridad se basan en el uso que los terroristas y otros criminales pueden hacer de estas herramientas, impidiendo así que las investigaciones lleguen a buen puerto. Se explica que el cifrado generalizado podría afectar a materias tan sensibles como la lucha contra el crimen organizado, contra la pornografía infantil así como la prevención de ataques contra el mismo gobierno, materias que los ciudadanos conocen y contra las cuales ven importante luchar. De hecho, los diversos Gobiernos utilizan la opinión pública generada en situaciones anómalas, como las existentes tras un atentado terrorista, para aprobar normas de contenido discutible y a través de procedimientos con plazos reducidos que impiden un verdadero debate público de su contenido, como ha sucedido en el caso de Francia.
El problema aquí es que, de inicio, se nos pone ante una falacia de falso dilema: escoger necesariamente entre permitir el cifrado seguro o permitir la lucha contra el terrorismo y otros crímenes. La realidad es que la discusión debe tener en cuenta los aspectos positivos que aporta el cifrado como garantía de derechos fundamentales y no establecer limitaciones generalizadas a estos mecanismos en base a interpretaciones erróneas de la situación.
David Kaye, Relator Especial de la ONU sobre libertad de expresión y responsable del informe, llega a la conclusión de que el uso de conexiones VPN, a través de redes Tor o usando proxies permiten, junto con el uso de cifrado, acceder a información que de otra manera no podrían obtener. El control político de la información continúa siendo un gran poder, y los métodos tecnológicos para impedir el acceso a determinados contenidos que no se adecúan a los criterios aceptables regulados por estos gobiernos pueden llevar a parte de la sociedad a no contar con la información necesaria para que puedan ejercer la libertad de opinión de manera plena. Y decimos esto porque sí, a día de hoy en muchos países existen férreos controles sobre a qué información puede acceder o puede hacer pública un ciudadano.
No, aunque a veces se habla de que Internet ha eliminado las fronteras, éstas siguen existiendo en las redes, y algunos estados realizan filtrados agresivos con tal de detectar determinados contenidos e impedir su propagación, llevando así la censura a Internet. El problema se agrava dado que la transmisión de comunicaciones a través de fronteras se realiza de tal manera que su control no corresponde al usuario, que además es muchas veces desconocedor de que los datos que transmite pasan a través de estos países terceros, pudiendo quedar sujeto por tanto a normas nacionales mucho menos garantistas que aquellas a las que está acostumbrado.
Algunos estados cada vez toman más parte activa en la limitación de estos derechos, y es precisamente gracias a las garantías con que contamos actualmente, los medios han podido hacerse eco. Basta con ver cómo Rusia ha bloqueado diversas páginas web en que se explicaba cómo usar redes Tor y VPNs para navegar, y las recompensas que ofrece a quien encuentre una vulnerabilidad en estas tecnologías, o la evolución en el Gran Cortafuegos utilizado por China, país en el que los usuarios muestran gran interés por acceder a contenidos a través de la búsqueda de cuentas en VPN no bloqueadas en los grandes mercados disponibles del país. Las redes en malla y el apoyo de prestadores de servicios han permitido que informaciones que han intentado ser controladas por los Gobiernos sean finalmente conocidas fuera del territorio en que se producen. En caso contrario, el resto del mundo seguiría desconociendo cómo se limitan los derechos de los ciudadanos de estos países.
Si damos por cierto todo lo anterior, ¿no deberían los estados garantizar la privacidad de estas comunicaciones digitales promoviendo el cifrado a nivel general y minimizando las injerencias que la ley permite a supuestos concretos determinados caso por caso? La conclusión del informe es afirmativa, los derechos a libertad de expresión y de opinión engloban el derecho a usar cifrado y mecanismos de anonimizado como parte integral de los mismos.
El problema entonces surge en si las restricciones impuestas a nivel general de mecanismos de cifrado pueden justificarse o, sin embargo, deben rechazarse tanto desde el punto de vista técnico como jurídico.
Menciono el aspecto técnico porque en el debate se habla reiteradamente de mecanismos destinados a debilitar el cifrado final utilizado por el usuario, bien sea directamente a través de la prohibición de determinados algoritmos, de la existencia de una llave en poder del gobierno que les permita acceder a dichos contenidos, o simplemente a través de la implementación de puertas traseras destinadas únicamente al acceso por parte de órganos gubernamentales. La realidad es que en este aspecto coincido con el contenido del documento, al indicar claramente que estos esfuerzos van en el camino equivocado. Programar intencionadamente un punto vulnerable en los mecanismos de cifrado supone que éste pueda ser aprovechado no solo por aquellos autorizados por la Ley, sino que los criminales que tengan la habilidad suficiente podrán centrar sus esfuerzos en encontrar este punto de ataque. Al final, con lo que nos encontramos es con una reducción del alcance de los derechos a la privacidad que puede llegar a poner en riesgo a los ciudadanos que utilizan estos mecanismos bajo una falsa apariencia de seguridad. Si hablamos además de los casos que se han dado a conocer de espionaje masivo llevados a cabo por instituciones gubernamentales, está claro que no podemos subestimar la capacidad que pueden tener algunos estados de realizar este tipo de actuaciones.
Desde el punto de vista jurídico, el informe reconoce el importante papel que tiene la garantía de anonimato para garantizar el derecho a la privacidad, a la libertad de expresión, a exigir responsabilidades políticas, así como a la participación en asuntos públicos. Asimismo, ¿cómo pueden los medios garantizar el secreto de sus fuentes si los medios de comunicación pueden ser controlados desde las instituciones impidiendo el uso de cualquier mecanismo de ofuscación? Al final existen multitud de derechos que se ven afectados y que no son tenidos en cuenta en la discusión.
Y no hablamos solo de proteger contenidos generados intencionadamente por el usuario. Pensemos en la cantidad de metadatos que muchas veces el sujeto hace públicos, y que permitirían determinar su identidad, su entorno así como sus preferencias y relaciones. Garantizar que no se tenga acceso a los mismos es necesario para asegurar el anonimato (y por tanto, seguridad personal) de las personas afectadas.
Puede que para algunos sectores resulte atractivo justificar estas injerencias en la lucha contra los delitos realizados en línea, pero en verdad no se tiene en cuenta que muchos de los conflictos a que se hace referencia no se podrían haber evitado con las medidas que proponen. Además, el informe deja claro que el cifrado es necesario para garantizar comunicaciones privadas en ambientes hostiles, ya lo sean desde el punto de vista político, social, religioso o legal. El uso de generalizaciones, sin casos concretos en que dicha justificación estaría realmente motivada, está creando una falsa imagen de cuáles son los derechos en juego de cara a los ciudadanos.
Ahora, con este informe en la mano y las conclusiones a las que ha llegado, hay que ver si se le acaba dando la importancia que le corresponde al cifrado, promocionando su uso y garantizando su implementación a todos los niveles, en vez de acudir a falsos debates para justificar otra nueva limitación de derechos.
