- Canadá, que antes se oponía por temor a una ampliación de las facultades de vigilancia estatal, firmó la Convención de la ONU sobre Ciberdelincuencia sin una consulta pública aparte ni resolver las preocupaciones planteadas; como aún no ha sido ratificada, no tiene fuerza legal vinculante
- Las facultades procesales de investigación se aplican a la evidencia electrónica de todos los delitos, y la cooperación internacional abarca incluso los delitos graves castigados con 4 años o más de prisión según la ley nacional, por lo que países que penalizan la prensa, la crítica al gobierno o las relaciones entre personas del mismo sexo también podrían exigir recolección de pruebas
- Exige que cada país establezca facultades de interceptación en tiempo real y recopilación de datos, deja la aprobación judicial previa al derecho interno, permite órdenes de confidencialidad sobre solicitudes de cooperación y no contempla excepción para delitos políticos
- Organizaciones y expertos canadienses advierten que este sistema podría derivar en represión transnacional contra la diáspora dentro de Canadá, complicidad con spyware comercial y criminalización de la investigación de seguridad de buena fe
- Dado que ya existen el Convenio de Budapest y tratados bilaterales, el valor adicional del nuevo convenio está principalmente en la cooperación con países de alto riesgo como Rusia, China e Irán; para ratificarlo haría falta legislación de ampliación de facultades como Bill C-22
Canadá pasa de oponerse a firmar
- El gobierno canadiense, al firmar la Convención de la ONU sobre Ciberdelincuencia, destacó que sus disposiciones de protección infantil y sus salvaguardas de derechos humanos están entre las más sólidas de los tratados internacionales de justicia penal
- La firma por sí sola no crea obligaciones legales; para que el tratado sea vinculante, se requiere ratificación
- Aunque no participó en la ceremonia oficial de firma en Hanói nueve meses antes, firmó la convención a mediados de julio sin explicar qué había cambiado
- No hubo consulta pública previa al anuncio del gobierno, ni respuesta a las preocupaciones planteadas por la sociedad civil
Una negociación impulsada por Rusia
- La convención surgió de una iniciativa de 2017 con la que Rusia buscaba reemplazar el Convenio de Budapest del Consejo de Europa, al que se ha negado a adherirse
- Cuando la Asamblea General de la ONU votó en 2019 para iniciar las negociaciones, Canadá, Estados Unidos y la Unión Europea se opusieron al considerar que podía convertirse en una herramienta para ampliar las facultades de vigilancia estatal
- Tras perder la votación, los países democráticos enfrentaron dos opciones: rechazar la negociación y dejar que Rusia, China e Irán fijaran las reglas, o participar para limitar los daños; eligieron lo segundo
- Canadá fue una de las delegaciones más activas en exigir salvaguardas de derechos humanos, y logró excluir del texto final los delitos de expresión y contenido que querían los regímenes autoritarios
- La convención fue adoptada por consenso en diciembre de 2024
Países divididos en la ceremonia de firma en Hanói
- Canadá no asistió a la ceremonia de firma en Hanói en octubre de 2025, al igual que Estados Unidos, Nueva Zelanda, Japón, Países Bajos, Italia, Noruega, Dinamarca y Finlandia
- Rusia, China, Irán, Corea del Norte, Bielorrusia, Cuba, Venezuela y Arabia Saudita sí firmaron, y también participaron Reino Unido, Australia, Francia, Alemania y la Unión Europea
- En ese momento, Canadá afirmó que el éxito del tratado dependía de la aplicación plena de las salvaguardas de derechos humanos incluidas en el texto
- Sin embargo, nueve meses después cambió de postura, sin que se hiciera pública evidencia de que el tratado o sus riesgos hubieran cambiado en ese lapso
Cooperación sobre evidencia electrónica más allá de la ciberdelincuencia
- La convención incluye una lista de ciberdelitos, pero las facultades procesales de investigación se aplican a la evidencia electrónica de todos los delitos penales
- La obligación de cooperación internacional se extiende a todos los delitos graves castigados con 4 años o más de prisión según la ley nacional
- Algunos países imponen penas de ese nivel por criticar al gobierno, ejercer el periodismo, blasfemia o relaciones entre personas del mismo sexo
- Esas leyes nacionales podrían servir de base para solicitudes transfronterizas de recolección de evidencia electrónica
- La Electronic Frontier Foundation y una coalición de Human Rights Watch con grupos de derechos digitales advirtieron que la convención podría funcionar como un acuerdo global de vigilancia
- Exige que cada país establezca facultades de interceptación en tiempo real y recopilación de datos
- Deja a la legislación interna de cada país la adopción o no de salvaguardas como la aprobación judicial previa
- Permite órdenes de confidencialidad sobre solicitudes de cooperación
- No prevé una excepción para delitos políticos
Advertencias de la sociedad civil canadiense
- En diciembre de 2024, 20 organizaciones y expertos canadienses —incluidos Amnesty International Canada, Criminal Lawyers’ Association, PEN Canada y OpenMedia— pidieron al gobierno que se negara a firmar
- Ron Deibert y Kate Robertson, de Citizen Lab, también se sumaron a esa petición
- La convención podría convertirse en un canal permanente de represión transnacional dirigido contra comunidades de la diáspora en Canadá y eludir las salvaguardas de los sistemas existentes de asistencia jurídica mutua
- Robertson también advirtió por separado que la convención podría servir para facilitar la complicidad en el comercio de spyware comercial
- Más de 120 investigadores de seguridad expresaron preocupación porque las disposiciones penales de la convención podrían criminalizar incluso la investigación de seguridad de buena fe
Política de lawful access y Bill C-22
- No se ha hecho pública la razón de la firma, y siguen intactas las preocupaciones que llevaron a la decisión de no asistir nueve meses antes
- Una posible relación que se menciona es la política canadiense de lawful access
- La ratificación de la convención requeriría legislación para implementar facultades ampliadas de órdenes de entrega y de intercambio transfronterizo de datos, como las incluidas en Bill C-22
- El tratado y la legislación de lawful access se refuerzan mutuamente en la ampliación de facultades
- Canadá ya cuenta con el Convenio de Budapest y con tratados bilaterales que cubren a los países con los que desea cooperar
- El valor adicional del nuevo convenio surge principalmente de la cooperación con países como Rusia, China e Irán, pero esos mismos países representan a la vez el mayor riesgo del tratado
- El gobierno necesita responder preguntas clave sobre vigilancia, derechos humanos e intercambio de evidencia electrónica, más allá de la firma discreta de mediados de verano y del optimista comunicado de prensa
1 comentarios
Opiniones de Hacker News
En la política nacional e internacional hay una capa extraña: se envía una señal fuerte a una audiencia mientras se le guiña el ojo a otra para decirle que no va en serio. Es muy difícil saber quién está recibiendo ese guiño.
La mayoría querría una política WYSIWYG, tal como se ve, pero en la práctica es muy probable que no funcione. Es parecido a cómo el recto y honesto Ned Stark termina ejecutado rápidamente, superado por la teoría de juegos y las tácticas de llevar las cosas al límite de los demás.
Hoy, los políticos se reúnen sucesivamente con votantes, lobbistas, expertos del sector e integrantes de coaliciones; en algún momento presentan proyectos de ley coordinados informalmente durante mucho tiempo, y muchas veces las votaciones también ya están acordadas de antemano.
Para volverlo transparente habría que hacer públicas todas las reuniones y garantizar que no hubo contactos informales. En la práctica, todos los participantes tendrían que estar en un mismo lugar, en reuniones continuas grabadas, y la carrera del político tendría que empezar y terminar junto con esa sesión.
Es decir, como en la elección de un papa o el aislamiento de un jurado, encerrar en un edificio a políticos, líderes de comités de acción política, lobbistas y demás hasta que produzcan las leyes de un año, grabando todo y sin permitir que dos personas estén a solas en la misma habitación sin cámaras.
Canadá tiene suerte de contar con gente como Michael Geist. Ha cubierto e investigado a fondo violaciones a la privacidad durante unos 20 años.
También vale la pena ver su texto de 2024, “Holy CRAP the UN Cybercrime Treaty is a nightmare”: https://doctorow.medium.com/https-pluralistic-net-2024-07-23...
Entre los países firmantes a mayo de 2026 figuran también North Korea, Saudi Arabia y China. Estados Unidos no firmó, y como se considera por encima del derecho internacional, es probable que tampoco lo haga en el futuro.
En particular, Qatar incluyó una reserva indicando que no queda vinculado por los artículos 14 a 16 de la convención porque entrarían en conflicto con la sharía islámica, el derecho interno y los valores socioculturales. Esos artículos tratan sobre material de abuso sexual infantil en línea, grooming de menores y difusión no consentida de imágenes íntimas.
Es difícil entender exactamente qué significa esto. Sé lo de la historia de que el profeta se casó con una niña de 9 años, pero la edad mínima para casarse en Qatar es de 16 años con consentimiento de los padres y, según se dice, el matrimonio infantil real es poco común; además, tenía entendido que el islam también es estricto respecto de las imágenes en sí.
Australia, la UE y el Reino Unido también firmaron. Aun así, el impacto de una firma sin ratificación es limitado.
Canadá suele firmar la mayoría de las convenciones relacionadas con la ONU.
Parece que los ciberdelincuentes y los Estados mantienen una especie de statu quo tácito del tipo “si no tumban nuestra economía, nosotros tampoco los perseguimos”.
He visto de primera mano casos en los que ni siquiera las instituciones más poderosas logran arrestar y encarcelar a grupos relativamente poco sofisticados. La idea de que se necesita una convención internacional para empezar a actuar es ridícula.
Me pregunto cuándo saldrá una ley que amplíe de verdad los derechos digitales, en vez de seguir recortándolos.
Estados Unidos necesita una Carta de Derechos Digitales. Deberían garantizarse constitucionalmente el derecho a reparar, el derecho a obtener acceso root en los propios dispositivos, el derecho a estar libre de vigilancia indiscriminada, el derecho a la computación de propósito general y el derecho a acceder a expresiones sin verificación de edad o identidad impuesta por el gobierno.
No entiendo por qué no se ha logrado, pese a que Silicon Valley y el sector de capital de riesgo están llenos de millonarios y multimillonarios de tendencia libertaria.
Según la presentación del proyecto, el gobierno necesitaría una orden judicial para acceder a metadatos, ubicación y registros financieros; no podría evadir el proceso de orden judicial comprando información a corredores de datos; se prohibiría el reconocimiento facial sin orden judicial y la vigilancia biométrica con IA en espacios públicos; y las personas podrían demandar al gobierno si se vulneran sus derechos. También está disponible el texto completo del proyecto.
Pero en el terreno legal se topa con contradicciones internas. Si una empresa fabrica dispositivos de vigilancia que no pueden repararse ni rootearse, y el público acepta usarlos, un libertario que cree que no tiene derecho a controlar a otros no puede intervenir. En cambio, debe crear mejores dispositivos reparables y rooteables, y de ahí salen GCC, Linux, Ubuntu, Firefox, Graphene, etc.
Para hacer verificación internacional de edad se necesita un tratado que permita compartir digitalmente información ciudadana, y esa cooperación tiene todas las señales de acabar llevando a un Internet con verificación de identidad.
Para procesar a delincuentes hay que verificar a los actores reales, así que intentarán bloquear el acceso anónimo a Internet y hacer posible verificar la identidad en cualquier momento. Si alguien del Reino Unido comete un delito en Canadá a través de Internet, rastrearlo es mucho más difícil, por lo que también es natural que un esquema de cooperación internacional termine exigiendo verificación de identidad en el backend.
Es parecido a la expansión del KYC. Hace 50 años, el gobierno de Canadá sabía muy poco sobre saldos bancarios, transacciones, inversiones y propiedades de sus ciudadanos, pero ahora entiendo que la información y los saldos de los RRSP y TFSA se entregan anualmente al gobierno, e incluso se recopila información de transacciones de cuentas no registradas. Algunas obligaciones provienen de tratados internacionales ratificados, y el nivel de vigilancia financiera es sorprendente.
Hace una generación, el simple hecho de que se exigiera el SIN para abrir una cuenta bancaria ya era una gran polémica, pero ahora llegamos hasta aquí.
Bots, actores extranjeros y agentes maliciosos están difundiendo desinformación a gran escala por lucro u objetivos estatales, y los LLM lo empeorarán mucho más. No se ve claramente otro camino para frenar esto manteniendo el anonimato, y si no existe una solución de base que aumente mucho la tasa de éxito en el enjuiciamiento de delitos en Internet, es muy probable que acabemos con un Internet gestionado por identidad.
Aunque se obligue a las empresas a filtrar, es difícil aplicarlo a todos los foros y torrents, y las empresas privadas terminarán decidiendo qué se puede publicar. Para impedir que alguien cree una cuenta nueva después de una sanción, las empresas también exigirán identificación, y será difícil ejercer derechos como la presunción de inocencia, enfrentar al acusador o tener un juicio por jurado frente a una decisión de bloqueo. Si Google o Facebook te bloquean, es difícil siquiera averiguar el motivo.
Si necesariamente debe haber guardianes de acceso, es mejor que sea el gobierno, obligado a seguir procedimientos de tribunales penales, antes que empresas privadas con fines de lucro; pero cualquiera de las dos vías es muy desagradable.
Llevamos 30 años comunicándonos por Internet con cualquier persona del mundo, 20 años desde que el fraude en línea maduró y al menos unos 15 años desde que empezó la propaganda a escala estatal. La IA sí es una gran variable, pero, como en otros ámbitos, tendrá rendimientos decrecientes y no podrá escalar infinitamente. Si Internet se llena demasiado de basura, la gente se replegará a comunidades privadas y construirá su propia confianza; al final podría masificarse una actitud de desconfianza básica hacia Internet. Es probable que se fragmente entre grandes redes sociales con verificación fuerte de identidad y pequeñas comunidades que gestionen su propia confianza.
Que las empresas sean las verificadoras puede ser incluso menos malo. Deja espacio para que sobrevivan pequeñas comunidades privadas y, como las empresas no pueden compartir información perfectamente entre sí ni con el gobierno, ayuda a impedir el rastreo universal.
El verdadero peligro es que la IA le dé al gobierno la capacidad de investigar permanentemente a todos los ciudadanos. Antes había que sospechar de una persona concreta y luego investigarla, pero en adelante se podrá examinar primero toda conducta y registrar automáticamente las acciones sospechosas. La verificación de identidad en línea no es como el SIN o la licencia de conducir, que se usan en contextos limitados. Internet se usa para casi toda comunicación, así que el rastreo automático implica vigilar todo lo que decimos y hacemos.
No es mostrarle una vez la licencia a un policía en un lugar determinado; es como un mundo donde la identidad está grabada en la piel y miles de millones de cámaras registran y analizan cada movimiento antes de que llegue la policía. No quiero vivir en un mundo sin secretos, donde solo queden conocimiento total y aplicación implacable de la ley; prefiero el mundo actual.
Si toda la sociedad debe aceptar las restricciones de autonomía y la gestión de registros comunes entre miembros de organizaciones militares y policiales es una cuestión aparte. Las sociedades occidentales, en general, han respondido que no, pero estamos entrando otra vez en el mismo camino.