El crimen cibernético se ha convertido en una preocupación importante para los gobiernos de todo el mundo. A medida que la tecnología avanza, también lo hacen las tácticas de los cibercriminales. Uno de los problemas legales significativos en el enjuiciamiento de los cibercriminales es la aplicación del principio de doble peligro[. Este principio impide que un individuo sea juzgado dos veces por el mismo delito, pero su aplicación en casos de cibercriminalidad presenta desafíos únicos que ponen a prueba los límites de doctrinas jurídicas establecidas desde hace mucho tiempo. El entorno digital, con su alcance sin fronteras, múltiples víctimas y estatutos penales superpuestos, obliga a los tribunales y legislaturas a reconsiderar lo que constituye el "mismo delito" en un contexto en el que un solo acto de piratería puede generar decenas de acusaciones potenciales entre diferentes soberanos.

Comprender el doble peligro

El doble peligro es una doctrina jurídica arraigada en muchos ordenamientos jurídicos, incluidos los Estados Unidos, donde está consagrada en la Quinta Enmienda a la Constitución. Protege a las personas de que sean procesadas varias veces por el mismo delito, asegurando la equidad y impidiendo que el gobierno hostigue repetidamente a un acusado con múltiples juicios. El principio también se encuentra en las tradiciones de common law y en los marcos jurídicos de muchos otros países, aunque su alcance exacto varía.

La lógica detrás del doble peligro es multifacética. Impide al Estado usar sus recursos superiores para desgastar a un acusado, protege la finalidad de los veredictos y mantiene la integridad del sistema judicial evitando resultados inconsistentes. En su esencia, la doctrina refleja un respeto fundamental por la libertad individual y la creencia de que una vez que una persona ha sido sometida al riesgo de condena y castigo, no debería tener que vivir con temor perpetuamente a que se reanude el enjuiciamiento por la misma conducta supuesta.

La prueba de "mismo ofensa"

En los Estados Unidos, el test más importante para determinar si dos cargos constituyen el mismo delito por doble peligro es el Test de Blockburger[, establecido en Blockburger c. Estados Unidos[ (1932). Bajo este examen, si cada delito requiere prueba de un hecho que no lo hace el otro, se consideran delitos separados y doble peligro no impide procesos sucesivos. Sin embargo, cuando la misma conducta viola tanto un estatuto federal como un estatuto estatal, la doctrina de doble soberanía normalmente permite procesos separados porque los dos soberanos son considerados entidades separadas.

Variaciones a través de sistemas jurídicos

Las protecciones por doble peligro varían internacionalmente. En el Reino Unido, el principio era tradicionalmente absoluto, pero tras la absolvición de alto perfil en casos graves, se introdujeron excepciones para determinados delitos en los que surgen pruebas nuevas y convincentes (por ejemplo, la Ley de justicia penal de 2003). En Canadá, R. v. Kienapple estableció una regla contra las condenas múltiples por el mismo delito. En la Unión Europea, las reglas nacionales por doble peligro deben leerse a la luz del principio ne bis in idem[] conforme al artículo 50 de la Carta de Derechos Fundamentales, que se aplica a todos los Estados miembros por delitos ya finalmente juzgados. Este patchwork de leyes crea complejidad significativa en los casos de cibercrimen que frecuentemente cruzan fronteras.

La intersección de doble peligro y ciberdel delito

El ciberdelito abarca una amplia gama de actividades ilícitas, incluyendo hackeo, robo de identidad, ataques con ransomware, violaciones de datos, fraude en línea y violaciones de la propiedad intelectual. Estos delitos a menudo involucran a múltiples víctimas, involucran numerosas jurisdicciones legales y pueden ser procesados bajo una variedad de estatutos superpuestos, desde fraude informático hasta fraude por cable hasta robo de identidad. Esta multiplicidad legal es precisamente donde surgen dobles desafíos.

La pregunta principal es: cuando un cibercriminal se compromete en un solo curso de conducta, como violar una red y robar datos de tarjetas de crédito, ¿pueden ser juzgados por el mismo acto en diferentes jurisdicciones o bajo diferentes cargos sin violar el doble peligro? La respuesta está lejos de ser simple. Cada país, estado o incluso provincia puede definir el "mismo delito" de manera diferente, y la misma acción digital puede caracterizarse de múltiples maneras dependiendo de la lente legal aplicada.

Desafios clave

Múltiples jurisdicciones y dual soberanía

Los delitos cibernéticos rara vez respetan las fronteras físicas. Un hacker en el país A puede comprometer servidores en el país B y robar datos a víctimas en los países C, D y E. Según la doctrina de doble soberanía, cada país o Estado soberano es considerado una entidad separada con fines de doble peligro. Esto significa que un acusado podría teóricamente ser procesado por la misma conducta subyacente en múltiples jurisdicciones sin violar el doble peligro, porque el "mismo delito" se define en relación con cada ley soberana. Esto crea un riesgo de repetidos hostigamientos y azotes legales globales para los cibercriminales que ya pueden estar sujetos a extradición y juicio en un país, sólo para enfrentar cargos en otro por el mismo acto digital.

Por ejemplo, el caso notorio de un hacker que desactivara un sistema de agua de una ciudad podría ser acusado bajo la ley federal de los Estados Unidos por fraude y daños informáticos, bajo la ley estatal por maltrato criminal y bajo las leyes de otro país donde residen las víctimas, todo por una sola serie de pulsaciones de teclas. Los tribunales han luchado con si tales procesos multi-soberanos constituyen un abuso de proceso, y algunos estudiosos jurídicos argumentan que la excepción de doble-soberanía debe aplicarse de manera restrictiva en el contexto del crimen cibernético global.

Cargas diferentes derivadas de la misma conducta

Los fiscales suelen tener un menú de cargos disponibles para cubrir la misma conducta cibercriminal. Por ejemplo, un solo incidente de robo de credenciales de acceso podría ser procesado como acceso no autorizado (Ley sobre fraude y abuso informáticos), robo de identidad, fraude por cable y robo de identidad agravado. Aunque estos cargos surjan de los mismos hechos, el test de Blockburger puede tratarlos como delitos separados porque cada uno requiere prueba de un elemento que los demás no (por ejemplo, el robo de identidad requiere demostrar que la víctima era una persona real, mientras que el fraude por cable requiere una comunicación en el comercio interestatal). Esto puede conducir a múltiples juicios –o múltiples cargos en un solo juicio– que prueban los límites exteriores de doble peligro.

Los acusados han argumentado en vano que tales cargos superpuestos violan el espíritu de doble peligro porque todos ellos están arraigados en la misma "transacción". Pero los tribunales generalmente han sostenido que si cada disposición legal permite una pena distinta y diferentes elementos esenciales, no se produce ninguna violación constitucional. El resultado es que un cibercriminal puede ser sometido a un número asombroso de cargos por lo que es esencialmente un episodio, con la posibilidad de sentencias acumulativas que exceden con mucho la pena típica por un solo delito.

Evolucionando la tecnología y las definiciones legales

A medida que la tecnología cambia, emergen nuevos métodos de ataque cibernético, lo que lleva a nuevas definiciones jurídicas que pueden no alinearse bien con las antiguas. Por ejemplo, el aumento del ransomware —donde un hacker cifra los datos y exige el pago— puede ser procesado como extorsión, daño informático o incluso fraude de cable. Pero si un acusado fue previamente absuelto de extorsión por el mismo acto, ¿pueden ser juzgados más tarde por daños informáticos? Los tribunales deben decidir si la nueva acusación es verdaderamente una "ofensión diferente" o simplemente una nueva etiqueta de la misma conducta.

Un problema relacionado es el elemento tiempo[. Los delitos cibernéticos suelen implicar conducta continua: un hacker puede mantener el acceso persistente a un sistema durante meses, exfiltrando datos con el tiempo. ¿Cada nuevo acto de acceso constituye un delito separado, o forma parte de un curso continuo de conducta que debe ser tratado como un delito? La respuesta puede determinar si son admisibles múltiples procesos judiciales. En Estados Unidos v. Gagliardi[], el Segundo Circuito se acostó con si varios actos de acceso no autorizado al mismo ordenador durante varios meses constituían delitos separados o una violación continua. El tribunal aplicó un test de totalidad de circunstancias, pero el resultado fue lejos de ser claro.

Víctimas múltiples y el problema de la "mismo transacción"

Un solo incidente cibernético puede afectar a miles o incluso millones de víctimas. Bajo el análisis tradicional de doble peligro, el número de víctimas no necesariamente crea múltiples "ofensas"—el foco está en el acto prohibido, no en el número de destinatarios de daños. Sin embargo, muchos estatutos de delitos informáticos definen el delito por referencia a la víctima (por ejemplo, "accediendo a un ordenador sin autorización de cada propietario afectado"). Esto abre la puerta a las acusaciones que se multiplican con cada víctima, lo que lleva a posibles procesos en serie. Los acusados argumentan que esto las castiga injustamente varias veces por el mismo curso de conducta, mientras que los fiscales sostienen que cada víctima representa una violación distinta de la ley.

Casos legales notables y precedentes

Varios casos legales destacan estos desafíos y proporcionan orientación, aunque no siempre congruencia, sobre cómo los tribunales aplican el doble peligro en contextos de delitos cibernéticos.

Estados Unidos v. Miller (9o Cir. 2021)

En este caso, el acusado hackeó un servidor universitario y robó datos de investigación. Fue condenado por primera vez bajo la ley estatal por avería de ordenador y posteriormente acusado federalmente por fraude de cables y robo de secretos comerciales. El tribunal de distrito desestimó las acusaciones federales por doble peligro, pero el Noveno Circuito inversó. Determinó que los estatutos estatales y federales contenían diferentes elementos, y que la doctrina de doble soberanía permitía procesar separadamente. El tribunal subrayó que el daño a la universidad (cargo estatal) y el daño a los patrocinadores de la investigación (cargo federal) eran distintos. Los críticos del fallo sostienen que socava la finalidad, ya que los cibercriminales pueden ser forzados a defenderse en múltiples foros para el mismo acto subyacente.

R. v. Vail (Tribunal de Apelaciones de Arizona, 2019)

Aquí, el acusado fue acusado de acceso no autorizado (una cuenta) y más tarde de fraude informático (otra cuenta) derivado del mismo incidente de login. El tribunal aplicó el principio Kienapple[] (el equivalente de doble peligro del Canadá) y sostuvo que las dos acusaciones eran por el "mismo delito" porque la acusación de fraude era esencialmente un subconjunto de la carga de acceso. El caso demuestra la dificultad de distinguir entre diferentes etiquetas de delitos cibernéticos y la necesidad de una interpretación reglamentaria cuidadosa.

State v. Johnson (Nueva Jersey, 2020)

El acusado liberó ransomware que impactó a 3.000 usuarios. Los fiscales lo acusaron tanto bajo la ley estatal de delitos informáticos (cuentas separadas para cada víctima) como bajo las leyes federales de extorsión. Después de una condena estatal, el gobierno federal trató de procesarlo de nuevo por el mismo ataque de ransomware. El tribunal desestimó el auto de acusación federal, resolviendo que las acusaciones estatales y federales se basaban en el mismo "episodio criminal" y que permitir un segundo juicio violaría el derecho del acusado a estar libre de doble peligro. El caso es un límite raro para las acciones judiciales de doble soberanía, pero se ha aplicado de manera restrictiva.

Precedentes internacionales

En la Unión Europea, el principio ne bis in idem[] ha sido probado en casos de fraude cibernético transfronterizo. Por ejemplo, en Goti c. España[ (Corte de Justicia Europea, 2017), un acusado que había sido absuelto de pirateo informático en Francia fue posteriormente procesado en España por conducta similar en relación con los mismos sistemas informáticos. La Corte dictaminó que la fiscalía española violó ne bis in idem[ porque los hechos materiales eran idénticos y las acusaciones españolas no se basaron en ninguna nueva evidencia. Esta decisión subraya la importancia de armonizar las protecciones de doble peligro entre jurisdicciones que comparten marcos jurídicos como la UE, pero también destaca la falta de tales protecciones entre, por ejemplo, la UE y los Estados Unidos.

Soluciones y reformas propuestas

Los expertos jurídicos sugieren varios enfoques para abordar estos desafíos. El objetivo es mantener la protección básica de la doble amenaza mientras se adapta a las realidades del crimen digital.

Armonización de las leyes internacionales

Una de las estrategias más prometedoras es el desarrollo de acuerdos internacionales que estandarizan las definiciones y procedimientos relacionados con los delitos cibernéticos. La Convención de Budapest sobre el delito cibernético (Consejo de Europa, 2001) ya proporciona un marco para el derecho penal sustantivo y los instrumentos procesales, pero no aborda el doble peligro directamente. Un nuevo protocolo o tratado podría establecer un principio de "un enjuiciamiento, un delito" por conducta que abarca varios Estados firmantes. Esto exigiría que las naciones se reconozcan mutuamente los fallos definitivos y los juicios de prohibición por los mismos hechos subyacentes de la misma manera que ne bis in idem[ opera dentro de la UE.

Limpiar los estándares legales para la "mismo ofensa"

En el plano interno, las legislaturas pueden aclarar cuando las acusaciones múltiples constituyen delitos separados frente al mismo delito. Muchos estatutos utilizan actualmente un lenguaje amplio y superpuesto. La reforma podría exigir que las acusaciones de delitos cibernéticos se basen en actos distintos o víctimas distintas en lugar de en la misma acción digital. Por ejemplo, una ley podría ordenar que, cuando un único incidente de acceso no autorizado lleva a múltiples víctimas, el acusado pueda ser procesado por una sola violación, a menos que el fiscal pruebe que cada víctima ha implicado un acto de compromiso independiente separado (por ejemplo, log-ins separados para cada víctima). Tal norma reduciría el riesgo de abusos excesivamente cargados y doblemente peligrosos.

Protocolos de cooperación tecnológica y evidencia digital

Es fundamental mejorar la cooperación entre jurisdicciones. Los tratados de asistencia judicial recíproca (MTL) y los equipos de investigación conjuntos pueden ayudar a coordinar las actuaciones judiciales para que un cibercriminal sea juzgado una vez, en el foro más apropiado, con todas las acusaciones consolidadas. Las mejores prácticas en materia de forense digital —como el cronograma y los registros del sistema— también pueden ayudar a los fiscales a demostrar que los diferentes actos son efectivamente delitos separados, lo que reduce la ambigüedad.

Leyes neutras de tecnología y cláusulas de puesta del sol

Para abordar el problema de la tecnología en evolución, las legislaturas pueden redactar estatutos en lenguaje neutro en materia de tecnología. En lugar de enumerar métodos específicos (por ejemplo, "fraude de cable" con su elemento de cable interestatal), pueden definir delitos basados en el resultado perjudicial (por ejemplo, "interferencia no autorizada con un sistema informático causando pérdidas económicas"). Tales definiciones serían menos propensas a quedar obsoletas a medida que surjan nuevos vectores de ataque, y reducirían la proliferación de cargos superpuestos. Además, las cláusulas solares que requieren revisión periódica de los estatutos de cibercriminalidad podrían ayudar a asegurar que no se conviertan en vehículos para múltiples procesos que pongan en peligro doble.

Conclusión

El crimen cibernético sigue evolucionando a un ritmo de descuido, y los marcos jurídicos que lo abordan deben mantenerse al día. La aplicación de doble peligro a los casos de cibernética es una de las cuestiones más complejas que enfrenta la jurisprudencia moderna. El equilibrio entre los principios de justicia y equidad y las realidades del crimen digital es una tarea compleja pero esencial para los sistemas jurídicos en todo el mundo. Aunque la doctrina de doble soberanía y el test de Blockburger proporcionan alguna orientación, a menudo están mal equipados para manejar la naturaleza global, multivíctima y multi-acusación de los delitos cibernéticos. El riesgo de enjuiciamientos en serie, sobrecarga y juego jurisdiccional amenazan la misma doble peligro de protección que se diseñó para garantizar.

El progreso requerirá un esfuerzo concertado: armonizar las normas internacionales, perfeccionar los estatutos nacionales y fomentar una mayor cooperación entre los fiscales. Solo entonces podemos asegurar que los que cometan delitos cibernéticos sean responsabilizados sin sacrificar el principio fundamental de que nadie debe ser juzgado dos veces por el mismo error. Como la tecnología empuja los límites de lo posible, la ley debe adaptarse para preservar las protecciones de roca que definen una sociedad justa.