[pic] | COMISIÓN DE LAS COMUNIDADES EUROPEAS |

Bruselas, 22.5.2007

SEC(2007) 641

DOCUMENTO DE TRABAJO DE LOS SERVICIOS DE LA COMISIÓN Documento que acompaña a la

COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO, AL CONSEJO Y AL COMITÉ DE LAS REGIONES Hacia una política general de lucha contra la ciberdelincuencia RESUMEN DE LA EVALUACIÓN DE IMPACTO {COM(2007) 267 final}{SEC(2007) 642}

RESUMEN

1. INTRODUCCIÓN

La utilización de internet ha aumentado exponencialmente estos últimos años. En paralelo, la aparición de nuevas técnicas y fenómenos ha generado una situación de mayor inseguridad.

En su programa legislativo y de trabajo para 2007 , la Comisión consideraba que resultaba necesario proceder a una actualización general de la política en materia de ciberdelincuencia, por lo que anunciaba la elaboración de una Comunicación sobre la política europea de lucha contra ese fenómeno.

Durante la fase inicial de consultas quedó patente la insuficiencia de los datos y las estadísticas disponibles, una de las principales razones que llevaron a la Comisión a encargar, en 2006, un estudio externo [1] que constituye la base principal de la presente evaluación de impacto.

Durante los preparativos, la Comisión ha analizado también diversas medidas legislativas y de otro tipo, sobre todo desde el punto de vista de las posibles «lagunas» del marco reglamentario existente. Conviene destacar la especial atención prestada en este proceso al Convenio sobre la ciberdelincuencia del Consejo de Europa [2] y a la Decisión marco relativa a los ataques contra los sistemas de información [3], puesto que ambos son los instrumentos que se consideran más completos en lo tocante a las disposiciones de fondo y de Derecho procesal.

Sobre esta base, la Comisión está preparando una nueva iniciativa de política general, en concreto una Comunicación relativa a la lucha contra la ciberdelincuencia en la UE. Así pues, la presente evaluación de impacto versará esencialmente sobre cuestiones estratégicas.

En este contexto, la Comisión se ha comprometido a garantizar que la definición y la aplicación de la política en materia de lucha contra la ciberdelincuencia y enjuiciamiento de los delitos correspondientes sean plenamente respetuosas con los derechos fundamentales, en particular la libertad de expresión, el derecho al respeto de la vida privada y familiar y la protección de los datos personales. Procederá de acuerdo con la Comunicación por ella aprobada en 2005 con el título «Respeto de la Carta de Derechos Fundamentales en las propuestas legislativas de la Comisión» [COM(2005) 172].

2. PROBLEMAS Y OBJETIVOS

El rápido desarrollo de internet y otros sistemas de información ha propiciado la aparición de un sector económico completamente nuevo y de nuevos flujos de información, productos y servicios que atraviesan velozmente las fronteras interiores y exteriores de la Unión. Esta evolución ha sido muy beneficiosa para ciudadanos y consumidores, pero también abre numerosas posibilidades a los delincuentes. Se está configurando todo un abanico de nuevas actividades delictivas que atacan internet o que se sirven de los sistemas informáticos como herramienta. La evolución de estas actividades delictivas es constante, lo que disminuye manifiestamente la eficacia de la legislación y la actuación policial y judicial. La naturaleza transfronteriza intrínseca de estos delitos de nuevo cuño exige también la mejora de la cooperación transfronteriza de los servicios responsables del cumplimiento de la ley.

En aras de un análisis más pormenorizado, la problemática general se ha dividido en ocho ámbitos estratégicos:

- La vulnerabilidad creciente de la sociedad, las empresas y los ciudadanos a los riesgos de la ciberdelincuencia.

- La mayor frecuencia y sofisticación de los delitos cibernéticos.

- La ausencia de política y legislación coherentes en la UE en materia de lucha contra la ciberdelincuencia.

- Las dificultades específicas de la cooperación policial y judicial operativa en la lucha contra la ciberdelincuencia.

- La necesidad de desarrollar las competencias y las herramientas técnicas: formación e investigación.

- La ausencia de estructuras funcionales de cooperación entre las principales partes interesadas de los sectores público y privado.

- La imprecisión de la definición de las responsabilidades y obligaciones.

- La falta de conocimiento de los riesgos que entraña la ciberdelincuencia.

De las consultas realizadas a efectos de la presente evaluación se desprende la gran convergencia de los puntos de vista de todas las partes interesadas —sean autoridades policiales y judiciales o empresas privadas— por lo que se refiere a los problemas a los que se enfrenta actualmente la UE en este ámbito.

2.1. ¿Quién se ve afectado?

La ciberdelincuencia afecta a todos los sectores de la sociedad, y la política de lucha contra este fenómeno será también visible prácticamente en todas partes. Dado el gran número de usuarios de ordenadores personales, las iniciativas adoptadas en el ámbito de la lucha contra la ciberdelincuencia interesarán a la mayoría de los ciudadanos, en tanto víctimas potenciales.

No obstante, indicios claros apuntan al aumento de las actividades delictivas contra grupos de víctimas específicos. Así pues, una política eficaz de lucha contra la ciberdelincuencia podría presentar ventajas manifiestas para estos grupos. La industria vinculada a la sociedad de la información y la sociedad de la información en general podrían también desempeñar un papel destacado en este marco, vistos los importantes efectos económicos positivos que cabría esperar de la intensificación de la seguridad o del establecimiento de un clima de mayor seguridad.

2.2. ¿Está la UE habilitada para adoptar medidas?

Vistos el alcance y la amplitud de las amenazas para la seguridad que entraña la ciberdelincuencia, sigue siendo necesario afrontarlas (y cada vez lo será más). Las cuestiones de seguridad vinculadas a este fenómeno tienen una dimensión mundial, por lo que no pueden abordarse únicamente a escala nacional. Como se trata de una amenaza internacional, idéntica ha de ser la dimensión de la respuesta, al menos en parte. Indiscutiblemente, la lucha contra la ciberdelincuencia seguirá siendo más intensa y eficaz a escala nacional, pero es claramente necesario vincular (y en su caso completar) los esfuerzos nacionales a escala europea.

2.3. Objetivos

Habida cuenta de l a problemática expuesta, el objetivo estratégico global de la política que se propone puede resumirse del siguiente modo:

Intensificar y coordinar mejor la lucha contra la ciberdelincuencia a escala nacional, europea e internacional

Este objetivo estratégico global puede a su vez subdividirse en otros cinco objetivos estratégicos, presentados a continuación según un orden de prioridad provisional:

- Mejorar las operaciones policiales y judiciales transfronterizas de lucha contra la ciberdelincuencia en general y contra algunos ciberdelitos graves en particular, y perfeccionar los intercambios de información, datos confidenciales y buenas prácticas entre los servicios policiales y judiciales de los Estados miembros y también con terceros países.

- Definir y crear instrumentos operativos que permitan a los sectores público y privado cooperar y fijar objetivos comunes, y mejorar los intercambios de información, datos confidenciales y buenas prácticas entre ambos sectores, a efectos de la lucha contra la ciberdelincuencia en la UE.

- Establecer una plataforma política y estructuras estratégicas para la elaboración de una política coherente de la UE en materia de lucha contra la ciberdelincuencia, en colaboración con los Estados miembros y las organizaciones comunitarias e internacionales competentes, y aumentar la eficacia de los marcos jurídicos e institucionales existentes, en particular aclarando las responsabilidades y obligaciones de todas las partes interesadas.

- Hacer frente a la amenaza creciente que representan algunas formas graves de ciberdelincuencia fomentando los instrumentos técnicos y la adquisición de competencias y conocimientos, en particular a través de acciones destinadas a reforzar la formación y la investigación pertinentes.

- Aumentar la sensibilización general sobre la amenaza que representa la ciberdelincuencia, en particular entre los consumidores y otros grupos vulnerables de víctimas potenciales.

3. OPCIONES ESTRATÉGICAS

Visto el objetivo perseguido, toda política de lucha contra la ciberdelincuencia debe presentar múltiples facetas. Para ser verdaderamente eficaz debe combinar medidas coercitivas tradicionales con otros instrumentos, como elementos de regulación autónoma, y contemplar el establecimiento de estructuras de cooperación entre las distintas partes interesadas. En el apartado anterior se han expuesto diversos aspectos de la problemática y los objetivos estratégicos de la presente iniciativa. Para alcanzar estos objetivos procede combinar distintas medidas. Sobre la base de las amplias consultas efectuadas, la Comisión ha formulado cuatro opciones estratégicas generales, cada una de las cuales conlleva diversas acciones específicas.

3.1. Opción estratégica general n° 1: Statu quo (ninguna iniciativa nueva importante)

Con arreglo a esta opción, la Comisión no adoptaría ninguna medida horizontal general en este ámbito. Así pues, la Comisión:

- evaluaría permanentemente la necesidad de legislación específica o intervención estratégica y adoptaría en su caso las medidas adecuadas;

- seguiría atentamente los proyectos actuales de la UE y las estructuras internacionales en materia de lucha contra la ciberdelincuencia;

- seguiría poniendo en marcha nuevos proyectos en ámbitos específicos de interés desde el punto de vista de la lucha contra la ciberdelincuencia, pero sin adoptar ninguna iniciativa horizontal.

3.2. Opción estratégica general n° 2: Legislación general

Esta opción conllevaría la adopción de una estrategia de establecimiento gradual de un marco reglamentario general de lucha contra la ciberdelincuencia. Así pues:

- la Comisión propondría sistemáticamente definiciones armonizadas o unificadas de los delitos, en particular para la UE pero también a escala internacional;

- la Comisión propondría normas comunes mínimas en materia de penalización y sanciones en la UE;

- se crearían algunas plataformas oficiales de cooperación entre los sectores público y privado y en el ámbito de la formación y la investigación;

- se crearía una red oficial a efectos de la aplicación de la ley.

3.3. Opción estratégica general n° 3: Creación de redes informales en los sectores público y privado y en el ámbito de la ciberdelincuencia

Con arreglo a esta opción, la Comisión, sola o con otras instituciones, establecería oficialmente redes o grupos de expertos en materia de ciberdelincuencia, y combinaría esta medida con la instauración de un régimen voluntario de certificación de la seguridad para los operadores, productores y consumidores. Así pues:

- se crearía un organismo informal que agruparía a expertos en ciberdelincuencia procedentes de los servicios responsables del cumplimiento de la ley;

- se establecería una plataforma o una red informal de expertos en ciberdelincuencia procedentes de los sectores público y privado.

3.4. Opción estratégica general n° 4: Un enfoque estratégico coherente

Con arreglo a esta opción, la UE adoptaría una estrategia coherente de lucha contra la ciberdelincuencia. Su elemento principal sería la instauración de un marco estratégico para una política comunitaria de lucha contra la ciberdelincuencia, con el objetivo principal de perfeccionar la formulación de orientaciones sobre medidas concretas y optimizar los recursos existentes. Otros aspectos operativos importantes de esta estrategia serían los siguientes:

- mejora de la cooperación de los servicios responsables del cumplimiento de la ley en la UE;

- establecimiento de una estructura estratégica de cooperación entre los sectores público y privado en materia de lucha contra la ciberdelincuencia;

- fomento del establecimiento de un marco de cooperación internacional global en el ámbito pertinente;

- adopción, cuando proceda, de medidas legislativas específicas.

4. EVALUACIÓN DE LAS OPCIONES Y SELECCIÓN DE LA ESTRATEGIA

4.1. Evaluación

Las opciones estratégicas generales se evaluaron con arreglo a los siguientes criterios:

- repercusiones sociales;

- repercusiones económicas;

- costes para las administraciones públicas;

- grado de coherencia con los objetivos estratégicos;

- valor añadido y respeto del principio de subsidiariedad;

- viabilidad.

Las conclusiones de la evaluación se resumen a continuación.

4.1.1. Opción estratégica general n° 1

Esta opción se consideró manifiestamente insuficiente con relación a los retos existentes. En principio, las repercusiones de no adoptar «ninguna iniciativa nueva» son limitadas, pero determinar cuál podría ser su incidencia real resulta difícil, ya que, por definición, los tipos de delitos futuros son desconocidos. A largo plazo, la incidencia negativa de esta opción podría ser muy elevada, vista la dimensión actual de este tipo de delincuencia, cuya importancia no deja de aumentar.

4.1.2. Opción estratégica general n° 2

Se concluyó que esta estrategia sólo podría impulsarse con gran cuidado y a largo plazo. Sería necesario efectuar estudios pormenorizados de viabilidad jurídica y desarrollar negociaciones políticas prolijas. Esta opción estratégica podría tener una incidencia muy importante, pero a corto plazo resultaría aleatoria, vista la escasa probabilidad que lograr avances reales con rapidez. Cabría también preguntarse si los objetivos de la política general se alcanzarían con la misma eficacia en la fase de aplicación concreta de las medidas que a los niveles político y teórico. En caso de seleccionar esta opción, se correría el riesgo de que no se tuviese suficientemente en cuenta la dimensión operativa de la lucha contra la ciberdelincuencia en las opciones y decisiones políticas estratégicas. Vista la importancia de las repercusiones conexas, convendría también clarificar el papel de la Comisión a este respecto. También cabría afirmar que podrían obtenerse resultados similares con medidas menos intervencionistas.

4.1.3. Opción estratégica general n° 3

Esta opción se consideró muy interesante desde el punto de vista estratégico, aunque su valor añadido y sus repercusiones concretas son difíciles de prever. El riesgo reside en que las nuevas redes logren pocos resultados tangibles. La Comisión ocuparía la mejor posición para coordinar las medidas de regulación autónoma en el ámbito pertinente pero, en el marco de esta opción, desempeñaría más un papel de coordinación y mediación que de dirección estratégica.

4.1.4. Opción estratégica general n° 4

Se consideró que esta opción comprendía varias medidas estratégicas muy pertinentes, sin que pudieran discernirse muchas repercusiones negativas u obstáculos de gran dimensión. Entre los inconvenientes, cabría alegar que sus repercusiones directas son más bien modestas. Pero esto sólo es cierto a corto plazo, pues si se aprobaran medidas de aplicación adecuadas la incidencia podría ser muy elevada. No obstante, las repercusiones concretas siguen siendo difíciles de prever con detalle, ya que el aspecto estratégico sólo será objeto de aplicación operativa posteriormente. En ese momento se podrán evaluar todas las repercusiones.

Conviene una vez más destacar que los efectos directos de las estrategias propuestas son limitados, y que las medidas específicas adoptadas más tarde en el marco de una de estas estrategias se evaluarán independientemente en ese momento. Esto significa que la presente evaluación reviste un carácter preliminar.

4.2. Selección de la opción estratégica

Del análisis se desprende claramente que la opción n° 4 es la alternativa óptima. También es la que mejor responde a los objetivos generales descritos en la sección 2.4.

La opción de no adoptar ninguna iniciativa en este ámbito no parece viable. Es muy probable que una actitud pasiva se saldase con el mantenimiento de numerosos proyectos de cooperación bilateral de lucha contra la ciberdelincuencia, sin que fuera posible sacar provecho de efectos de sinergia o del intercambio horizontal de buenas prácticas. Adoptar legislación general para crear nuevos órganos de la UE, armonizar las definiciones de los delitos y clarificar las responsabilidades de todas las partes interesadas podría resultar interesante, pero el análisis de la situación política pone claramente de manifiesto las escasas posibilidades de lograr la aprobación de cualquier propuesta de normativa general y horizontal. Además, son muy pocas las partes consultadas que consideran que tal proceder constituya la principal prioridad en estos momentos. No obstante, la legislación general sí puede presentar interés a largo plazo. La creación de nuevas estructuras informales a efectos de la cooperación de los servicios policiales y judiciales o de los sectores público y privado en la UE podría ser también una buena idea a largo plazo, pero todas las partes interesadas parecen considerar suficientes las estructuras actuales, aunque sea urgente aumentar su eficacia. A raíz de este análisis se dio preferencia a la opción n° 4 « una estrategia coherente », que no excluye la creación de una estructura oficial (opción 3) ni la aprobación posterior de legislación general (opción 2). En la práctica, con la opción seleccionada se mantiene abierta la posibilidad de adoptar nuevas medidas.

El análisis preparatorio y los debates organizados indican claramente que la «estrategia coherente» es la opción más pertinente si se desean alcanzar los objetivos estratégicos atribuidos a la política. Con toda probabilidad, esta estrategia tendrá repercusiones positivas importantes para la lucha contra la ciberdelincuencia transfronteriza, ya que se clarificarán y se reforzarán las funciones y las competencias de todas las partes que participan en dicha labor. También contribuiría a la mejora del diálogo entre los sectores público y privado y a su mejor comprensión mutua, lo que podría tener numerosos efectos conexos positivos. Desde el punto de vista económico, la opción seleccionada podría propiciar sinergias importantes, una reducción de los daños causados por las actividades delictivas y una disminución de los costes de los distintos programas de seguridad.

No obstante, quizá tengan que pasar algunos años antes de que se materialicen los efectos esperados de la opción elegida. Es pues difícil apreciar en esta fase todas sus repercusiones posibles, sobre todo teniendo en cuenta que aún no se han decidido los aspectos específicos de la política, cuya incidencia concreta se habrá de evaluar con posterioridad.

[1] Study to Assess the Impact of a Communication on Cyber Crime , elaborado por Yellow Window Management Consulting (contrato n° DG 2006/JLS D 2/03).

[2] Convenio sobre la ciberdelincuencia del Consejo de Europa (2001):https://www.gdt.guardiacivil.es/media/Convenio_Ciberdelincuencia.pdf

[3] Decisión marco relativa a los ataques contra los sistemas de información (2005/222/JAI).