Hace apenas unos meses, en un trámite legislativo que pasó casi inadvertido para el debate público, la Asamblea Legislativa aprobó en segundo debate la ratificación del Segundo Protocolo Adicional al Convenio de Budapest sobre Ciberdelincuencia. El nombre es árido, burocrático, propio de esos textos que solo leen los especialistas. Pero su contenido constituye, sin exagerar, uno de los cambios más relevantes que ha experimentado Costa Rica en materia de cooperación e investigación criminal frente a la delincuencia digital en los últimos años.
Y, sin embargo, casi nadie lo ha explicado en términos que el país pueda entender.
Vale la pena detenerse en el problema que este protocolo intenta resolver, porque es un problema conceptual antes que técnico.
Pensemos en un caso típico de estafa informática. El sospechoso puede operar desde otro país centroamericano. La víctima está en Costa Rica. El servidor donde se alojan los mensajes, las transacciones o parte de la evidencia de la maniobra está en una nube administrada por una empresa con sede en Estados Unidos, Irlanda o cualquier otra jurisdicción. Los registros de conexión pueden encontrarse en un tercer país y los datos necesarios para identificar al responsable pueden estar distribuidos entre varios proveedores.
¿Dónde ocurrió el delito?
Pero, sobre todo: ¿cómo obtiene el Estado la evidencia cuando esa evidencia no está físicamente dentro de sus fronteras?
El derecho procesal penal costarricense, como el de la mayoría de los países, fue construido sobre una realidad en la que territorio, autoridad y evidencia guardaban una relación mucho más estrecha. La criminalidad digital rompió ese supuesto hace tiempo.
La evidencia electrónica no espera a que termine un trámite de asistencia judicial internacional. Se genera, se replica, se desplaza y, en determinados casos, desaparece con una velocidad que los mecanismos tradicionales de cooperación difícilmente pueden igualar.
Ese es precisamente uno de los problemas que el Segundo Protocolo Adicional intenta enfrentar.
Lo que realmente cambia con el nuevo protocolo
El Convenio de Budapest ya ofrecía un marco de cooperación entre los Estados parte. Pero buena parte de esa cooperación descansaba en mecanismos tradicionales de asistencia judicial mutua: solicitudes formales entre autoridades, intervención de autoridades centrales y procedimientos que, por su propia naturaleza, pueden resultar incompatibles con la velocidad con la que hoy se mueve la evidencia digital.
El Segundo Protocolo Adicional introduce mecanismos destinados a hacer esa cooperación más rápida y directa.
Entre ellos se encuentran herramientas para obtener información de determinados proveedores de servicios ubicados en otras jurisdicciones, mecanismos de cooperación para situaciones de emergencia y fórmulas de cooperación más estrecha entre autoridades investigadoras, incluidos equipos conjuntos de investigación.
La lógica es comprensible.
Si un investigador necesita preservar o conseguir información que se encuentra en un proveedor extranjero, esperar meses para completar una cadena burocrática de solicitudes puede significar, sencillamente, que cuando llegue la respuesta ya no exista evidencia útil que recuperar.
Pero precisamente aquí aparece el verdadero desafío jurídico.
Cada vez que el Estado gana velocidad para acceder a información digital, debemos preguntarnos qué controles acompañan esa velocidad.
Porque la eficacia investigativa es necesaria. Pero la eficacia, por sí sola, no constituye una garantía de legalidad.
¿Qué controles judiciales acompañarán las solicitudes de información?
¿Qué autoridad determinará cuándo estamos realmente ante una situación de emergencia?
¿Qué estándares deberán observarse cuando la información solicitada pueda revelar comunicaciones, relaciones, ubicaciones, hábitos o datos de personas que ni siquiera son investigadas?
¿Quién controlará posteriormente el uso que se haga de esa información?
Y una pregunta todavía más importante: ¿qué ocurre cuando una herramienta diseñada como excepcional comienza, por razones de eficiencia, a convertirse en la vía ordinaria de investigación?
Esas no son preguntas accesorias.
Son precisamente las preguntas que deberían ocupar el centro del debate nacional.
La velocidad de la evidencia no puede convertirse en la velocidad del Estado sin controles
No se trata de oponerse a la cooperación internacional ni de mirar con sospecha cada avance normativo en la lucha contra el cibercrimen.
Sería una posición cómoda, pero poco honesta.
La delincuencia digital es real, sofisticada y creciente. Las estafas, los fraudes, el robo de credenciales, las intrusiones a sistemas y las distintas modalidades de criminalidad cometidas mediante tecnologías de información han transformado la forma en que se investiga el delito.
El Estado necesita herramientas acordes con esa realidad.
Pero precisamente porque necesita herramientas más poderosas, necesita también controles más claros.
La libertad de expresión, la privacidad de las comunicaciones, la protección de los datos personales, la inviolabilidad de las comunicaciones y el debido proceso no son obstáculos artificiales colocados en el camino de la investigación digital.
Son las condiciones que permiten que esa investigación sea legítima.
No existe una verdadera eficacia del sistema penal cuando para perseguir un delito se destruyen las garantías que justifican el poder de investigar.
Y aquí hay un riesgo que no debería minimizarse: que la extraordinaria capacidad tecnológica para obtener información termine produciendo una cultura investigativa en la que la pregunta deje de ser “¿qué información podemos obtener legítimamente?” para convertirse simplemente en “¿qué información podemos obtener?”
La diferencia entre ambas preguntas es enorme.
La primera pertenece a un Estado de derecho.
La segunda puede conducir a un Estado de vigilancia.
El verdadero reto comienza ahora
Costa Rica ya dio el paso legislativo y posteriormente formalizó la ratificación del Segundo Protocolo Adicional. Por eso, el debate ya no debería concentrarse exclusivamente en si el país debía adherirse a este instrumento internacional.
La discusión verdaderamente importante comienza ahora.
¿Cómo vamos a implementarlo?
La incorporación de mecanismos de cooperación transfronteriza más ágiles obliga a revisar nuestros procedimientos internos, nuestras capacidades institucionales y, especialmente, la arquitectura de controles que debe acompañar el acceso a evidencia digital ubicada fuera del territorio nacional.
No basta con tener fiscales capacitados en ciberdelincuencia.
No basta con contar con investigadores especializados.
No basta con firmar convenios internacionales.
Se necesita claridad sobre las competencias, protocolos de actuación, criterios de urgencia, documentación de las solicitudes, mecanismos de trazabilidad y controles judiciales posteriores y, cuando corresponda, previos.
Porque la cooperación internacional puede ser extraordinariamente eficaz y, precisamente por eso, requiere reglas extraordinariamente claras.
El problema tampoco es exclusivamente tecnológico.
Es constitucional.
Es procesal.
Es institucional.
Y, en última instancia, es una discusión sobre los límites del poder del Estado frente a una evidencia que ya no reconoce fronteras.
La prueba digital nació sin fronteras.
Nuestro derecho procesal todavía piensa en territorio.
El desafío para Costa Rica consiste en cerrar esa brecha sin sacrificar en el camino las garantías que hacen legítima la persecución penal.
Ese debate no puede comenzar cuando aparezca el primer caso mediático que ponga a prueba el nuevo sistema.
Debe comenzar ahora.
