Ley de divulgación clave

El artículo 21(5)(c) del Proyecto de Ley sobre el Uso Indebido de Computadoras de 2006, de ser promulgado, permitiría a la policía, con una orden judicial, exigir y utilizar claves de descifrado. El incumplimiento podría acarrear una multa de quince mil dólares [del Caribe Oriental] y/o una pena de prisión de dos años. ^{[ 5 ]}

La Ley de Delitos Cibernéticos de 2001, n.° 161, apartados 12 y 28, otorga a la policía, mediante orden judicial, la amplia facultad de exigir a una persona específica que proporcione cualquier información o asistencia razonable y necesaria para que el agente pueda acceder a datos informáticos que constituyan pruebas; esto incluye el descifrado obligatorio. El incumplimiento conlleva una pena de seis meses de prisión. ^{[ 6 ]} Electronic Frontiers Australia considera esta disposición alarmante y contraria al privilegio de no autoincriminación del derecho consuetudinario . ^{[ 7 ]}

Ley de Delitos de 1914, 3LA(5) "Una persona comete un delito si no cumple con la orden. Pena por contravenir este apartado: Prisión de 2 años." ^{[ 8 ]}

La Loi du 28 novembre 2000 relative à la criminalité informatique (Ley de 28 de noviembre de 2000 relativa a la delincuencia informática), artículo 9, permite a un juez ordenar a las autoridades que registren los sistemas informáticos y a los proveedores de telecomunicaciones para prestar asistencia a las fuerzas del orden, incluyendo el descifrado obligatorio, y que mantengan su asistencia en secreto; pero esta acción no puede tomarse contra los sospechosos ni sus familias. ^{[ 9 ] [ 10 ]} El incumplimiento se castiga con penas de prisión de 6 meses a 1 año y/o una multa de 130 a 100.000 euros.

Camboya promulgó su Ley de Comercio Electrónico el 2 de noviembre de 2019, tras su aprobación legislativa y la obtención del consentimiento del monarca, convirtiéndose en el último de los estados de la ASEAN en adoptar una ley nacional que regule el comercio electrónico. ^{[ 11 ]} El artículo 43 de la ley prohíbe cualquier cifrado de pruebas en forma de datos que puedan conducir a una acusación formal, o cualquier prueba en un sistema electrónico que se relacione con un delito. ^{[ 12 ]} Esta obligación legal puede implicar que las autoridades podrían ordenar el descifrado de cualquier dato implicado en una investigación. ^{[ 13 ]} Si bien aún no se ha puesto a prueba en los tribunales, esta obligación contradice activamente el derecho procesal de la persona acusada a no autoincriminarse, según lo dispuesto en el artículo 143 del Código de Procedimiento Penal. ^{[ 14 ]}

En Canadá, la divulgación de información clave está contemplada en el artículo 11(c) de la Carta Canadiense de Derechos y Libertades, que establece que "toda persona acusada de un delito tiene derecho a no ser obligada a declarar en los procedimientos judiciales en su contra con respecto a dicho delito" ^{[ 15 ]} y protege los derechos de las personas, tanto ciudadanos como no ciudadanos de Canadá, siempre que se encuentren físicamente presentes en el país. ^{[ 16 ]}

En un caso de la Corte de Apelación de Quebec de 2010 , el tribunal declaró que una contraseña obtenida por la fuerza del orden público «es inadmisible y hace que la posterior incautación de los datos sea irrazonable. En resumen, incluso si la incautación hubiera estado precedida por una autorización judicial, la ley no permitirá que se adjunte una orden que obligue al demandado a autoincriminarse». ^{[ 17 ]}

En un caso judicial de Ontario de 2019 ( R v. Shergill ), inicialmente se ordenó al acusado que proporcionara la contraseña para desbloquear su teléfono. Sin embargo, el juez concluyó que proporcionar la contraseña equivaldría a autoincriminarse al testificar contra sí mismo. En consecuencia, el acusado no fue obligado a proporcionar su contraseña. ^{[ 18 ]}

En la República Checa no existe ninguna ley que establezca la obligación de emitir claves o contraseñas. ^{[ 19 ]} La ley prevé protección contra la autoincriminación, incluyendo la ausencia de penalización por negarse a responder cualquier pregunta que permita a las fuerzas del orden obtener acceso a posibles pruebas que podrían utilizarse contra la persona que declara. ^{[ 20 ]}

La Ley de Medidas Coercitivas ( Pakkokeinolaki ) 2011/806, artículo 8, párrafo 23 ^{[ 21 ],} exige que el propietario del sistema, su administrador o una persona específica entreguen las contraseñas y demás información necesaria para acceder a la información almacenada en el sistema. El sospechoso y algunas otras personas especificadas en el artículo 7, párrafo 3, que no pueden ser llamadas a declarar como testigos, están exentas de este requisito.

El artículo 30 de la Ley n.º ^2001-1062 del 15 de noviembre de 2001 relativa a la seguridad pública permite a un juez o fiscal obligar a cualquier persona cualificada a descifrar o entregar las claves para facilitar cualquier información obtenida durante una investigación. El incumplimiento conlleva una pena de hasta tres años de prisión y una multa de 45.000 €; si el cumplimiento hubiera evitado o mitigado un delito, la pena aumenta a cinco años de prisión y 75.000 €. ^{[ 22 ]}

El Código de Procedimiento Penal alemán otorga al sospechoso el derecho a negarse a cooperar en una investigación que pueda revelar información incriminatoria sobre él. Para uso privado, no existe fundamento legal que obligue al sospechoso a entregar ningún tipo de clave criptográfica debido a este principio de nemo tenetur . ^{[ 23 ]}

En Hong Kong , la policía puede exigir contraseñas en virtud de la ley de seguridad nacional de Hong Kong de 2020, enmendada . El incumplimiento puede acarrear penas de hasta un año de cárcel y una multa de hasta 100 000 dólares de Hong Kong. ^{[ 24 ]}

En Islandia no existe ninguna ley que establezca la obligación de emitir llaves o contraseñas.

El artículo 69 de la Ley de Tecnologías de la Información , enmendada por la Ley de Enmienda de Tecnologías de la Información de 2008, faculta a los gobiernos central y estatales para exigir la asistencia de cualquier "suscriptor, intermediario o persona a cargo del recurso informático" para descifrar información. ^{[ 25 ] [ 26 ]} El incumplimiento se castiga con hasta siete años de prisión y/o una multa.

El artículo 7(4)(b) de la Ley de Justicia Penal (Delitos Relacionados con los Sistemas de Información) de 2017 permite a un miembro de la Garda Síochána u otras personas que se consideren necesarias (mediante una orden de registro emitida por un juez del Tribunal de Distrito (Artículo 7(1))) exigir la divulgación de una contraseña para operar una computadora y cualquier clave de descifrado necesaria para acceder a la información contenida en ella. ^{[ 27 ]}

7(4) Un miembro que actúe bajo la autoridad de una orden de registro conforme a esta sección podrá:

(a) operar cualquier computadora en el lugar que está siendo registrado o hacer que cualquier persona que acompañe al miembro para tal fin opere dicha computadora, y

b) exigir a cualquier persona en ese lugar que, a juicio del miembro, tenga acceso legal a la información en cualquier computadora de ese tipo—

(i) proporcionar al miembro cualquier contraseña necesaria para su funcionamiento y cualquier clave o código de cifrado necesario para descifrar la información accesible por el ordenador, destrucción inmediata de los datos.

(ii) de otro modo permitir al miembro examinar la información accesible por la computadora en un formato en el que la información sea visible y legible, o

(iii) producir la información de forma que pueda eliminarse y que sea, o pueda hacerse, visible y legible.

A partir de 2016La Aduana de Nueva Zelanda buscaba la facultad de obligar a revelar las llaves. ^{[ 28 ]} Si bien Nueva Zelanda no cuenta con una ley que exija la revelación de llaves, desde entonces ha aplicado sanciones a los viajeros que se niegan a desbloquear sus dispositivos móviles cuando los funcionarios los obligan a hacerlo. ^{[ 29 ]}

En los relativamente pocos casos conocidos en los que la policía o el fiscal solicitaron claves criptográficas a los acusados ​​formalmente y estas solicitudes no fueron atendidas, no se impusieron consecuencias adicionales al acusado. No existe una ley específica al respecto, como por ejemplo en el Reino Unido. Generalmente se asume que el Código de Procedimiento Penal polaco (Kodeks Postępowania Karnego Dz.U. 1997 nr 89 poz. 555.) proporciona mecanismos de protección contra la autoincriminación, incluyendo la ausencia de penalización por negarse a responder cualquier pregunta que permita a las fuerzas del orden obtener acceso a posibles pruebas que podrían utilizarse contra la persona que declara. ^{[ 30 ]}

Según la Ley RICA de 2002 , negarse a revelar una clave criptográfica en posesión de una persona podía acarrear una multa de hasta 2 millones de rands sudafricanos o hasta 10 años de prisión. Esto requería que un juez emitiera una orden de descifrado a la persona que se creía poseedora de la clave. El Tribunal Constitucional declaró inconstitucional la Ley RICA en 2021.

La Ley de Enjuiciamiento Penal española garantiza a los sospechosos el derecho a no autoincriminarse, ^{[ 31 ]} lo que impediría que se les obligara a revelar contraseñas. ^{[ 32 ]} Sin embargo, un juez puede ordenar a terceros que colaboren con cualquier investigación penal, incluyendo la revelación de claves de descifrado, cuando sea posible. ^{[ 33 ]}

Actualmente no existen leyes que obliguen a revelar las claves criptográficas. Sin embargo, se ha propuesto una legislación basada en el convenio sobre ciberdelincuencia que el Consejo de Europa ya ha adoptado al respecto. La legislación propuesta permitiría a la policía exigir a una persona que revele información, como contraseñas y claves criptográficas, durante los registros. La propuesta se ha presentado para facilitar el trabajo de la policía y la fiscalía. La Autoridad Sueca de Protección de Datos ha criticado la propuesta . ^{[ 34 ] [ 35 ]}

En Suiza no existe ninguna ley que especifique la obligación de emitir claves o contraseñas. ^{[ 36 ]}

El artículo 125k del Wetboek van Strafvordering permite a los investigadores, con una orden judicial, acceder a soportes de información y sistemas en red. El mismo artículo permite al fiscal y a otros funcionarios judiciales ordenar a las personas que sepan cómo acceder a dichos sistemas que compartan sus conocimientos en la investigación, incluyendo cualquier conocimiento sobre el cifrado de datos en soportes de información. Sin embargo, dicha orden no puede dirigirse al sospechoso investigado. ^{[ 37 ]}

La Parte III de la Ley de Regulación de Poderes de Investigación de 2000 (RIPA), activada por decreto ministerial en octubre de 2007, ^{[ 38 ]} exige que las personas descifren información y/o proporcionen claves a representantes del gobierno para descifrarla sin una orden judicial. La negativa a revelar la información conlleva una pena máxima de dos años de prisión, o cinco años en casos de seguridad nacional o indecencia infantil. Esta disposición se utilizó por primera vez contra activistas por los derechos de los animales en noviembre de 2007, ^{[ 39 ]} y al menos tres personas han sido procesadas y condenadas por negarse a entregar sus claves de cifrado, ^{[ 40 ]} una de las cuales fue sentenciada a 13 meses de prisión. ^{[ 41 ]} Incluso los políticos responsables de la ley han expresado su preocupación de que su amplia aplicación pueda ser problemática. ^{[ 42 ]}

En 2017, el Anexo 7 de la Ley Antiterrorista de 2000 se utilizó para acusar a Muhammad Rabbani de "obstruir deliberadamente o intentar frustrar un examen de registro" tras supuestamente negarse a revelar contraseñas. ^{[ 43 ]} Posteriormente fue condenado. ^{[ 44 ]}

En 2018, Stephen-Alan Nicholson, el principal sospechoso en un caso de asesinato, fue acusado de negarse a proporcionar su contraseña de Facebook a la policía. ^{[ 45 ]}

La Quinta Enmienda de la Constitución de los Estados Unidos protege a los testigos de ser obligados a incriminarse, y actualmente no existe ninguna ley en los Estados Unidos sobre la divulgación de claves. ^{[ 46 ]} Sin embargo, el caso federal In re Boucher podría ser influyente como jurisprudencia . En este caso, agentes de aduanas inspeccionaron la computadora portátil de un hombre y descubrieron pornografía infantil. El dispositivo fue incautado y apagado, momento en el que la tecnología de cifrado de disco hizo que la evidencia fuera inaccesible. El juez sostuvo que era una conclusión inevitable que el contenido existía, ya que los agentes de aduanas ya lo habían visto, y que la contraseña de cifrado de Boucher "añade poco o nada al conjunto de la información del Gobierno sobre la existencia y ubicación de archivos que puedan contener información incriminatoria". ^{[ 47 ] [ 48 ]}

En otro caso , un juez de distrito ordenó a una mujer de Colorado que descifrara su computadora portátil para que los fiscales pudieran usar los archivos en su contra en un caso penal: "Concluyo que la Quinta Enmienda no se ve afectada al exigir la producción del contenido sin cifrar de la computadora portátil Toshiba Satellite M305", dictaminó el juez de distrito de los Estados Unidos de Colorado, Robert Blackburn, el 23 de enero de 2012. ^{[ 49 ]} En Commonwealth v. Gelfgatt , ^{[ 50 ]} el tribunal ordenó a un sospechoso que descifrara su computadora, citando que la excepción a la Quinta Enmienda puede invocarse porque " un acto de producción no implica comunicación testimonial cuando los hechos transmitidos ya son conocidos por el gobierno... ". ^{[ 51 ]}

Sin embargo, en el caso Estados Unidos contra Doe , el Tribunal de Apelaciones del Undécimo Circuito de los Estados Unidos dictaminó el 24 de febrero de 2012 que obligar al descifrado del ordenador portátil de una persona viola la Quinta Enmienda. ^{[ 52 ] [ 53 ]}

El FBI también puede emitir cartas de seguridad nacional que requieran la divulgación de claves con fines de investigación. ^{[ 54 ]} Una empresa, Lavabit , optó por cerrar en lugar de entregar sus claves privadas maestras debido a que el gobierno quería espiar los correos electrónicos de Edward Snowden .

Desde el verano de 2015, se han producido litigios entre importantes empresas tecnológicas, como Apple, sobre la regulación del cifrado, con agencias gubernamentales que solicitan acceso a información privada cifrada con fines policiales. El Laboratorio de Ciencias de la Computación e Inteligencia Artificial del MIT elaboró ​​y publicó un informe técnico en el que Ronald Rivest , inventor de RSA , y Harold Abelson , profesor de ciencias de la computación del MIT, junto con otros, explican las dificultades técnicas, incluidos los problemas de seguridad que surgen de la regulación del cifrado o de poner una clave a disposición de terceros para descifrar cualquier información cifrada. El informe enumera escenarios y plantea interrogantes a los responsables políticos. También solicita más detalles técnicos si se pretende seguir adelante con la solicitud de regulación del cifrado. ^{[ 55 ]}

En 2019, la Corte Suprema de Pensilvania , en un fallo que solo aplica a la ley de ese estado, sostuvo que un sospechoso en un caso de pornografía infantil no podía ser obligado a revelar su contraseña, a pesar de haberle dicho a la policía: "Ambos sabemos lo que hay ahí". ^{[ 56 ]}