La Iniciativa de Ley Federal de Ciberseguridad pone en riesgo derechos humanos e incumple obligaciones internacionales en la materia

Los organismos empresariales que suscribimos el presente documento, estamos comprometidos con la construcción de marcos legales que garanticen el Estado de Derecho, la certidumbre jurídica y la protección de los derechos humanos. Impulsamos el desarrollo del entorno global, brindando servicios de alta calidad para la ciudadanía y a todos los sectores productivos de México, incluyendo gobierno y academia; promoviendo la seguridad digital, la innovación, el respeto irrestricto a los derechos humanos como la privacidad, la protección de datos personales, la promoción de la libertad de expresión, así como la libre asociación, por mencionar algunos.

• Manifestamos nuestro compromiso por cuidar la seguridad de todas y todos, por lo que hacemos un llamado a no poner en riesgo los derechos humanos fundamentales.
• La Iniciativa de Ley Federal de Ciberseguridad pone en riesgo derechos como la libertad de expresión, la privacidad, el incumplimiento por parte del Estado a la protección de datos personales reconocidos internacional y nacionalmente los cuales son fundamentales en cualquier entorno digital.
• Como sectores esenciales afectados por esta propuesta de regulación, abogamos por respetar los compromisos internacionales en materia de derechos humanos de los que México es parte, así como garantizar los ya mencionados.
• El respeto a las obligaciones asumidas en los tratados internacionales son la base para el impulso y la promoción de inversiones económicas.

La discusión de una ley federal de ciberseguridad debe realizarse de manera colaborativa entre el sector público, academia, sociedad civil e iniciativa privada cuando nos une el objetivo de un México Hiper-Conectado, reduciendo la brecha digital en todo el país, incrementando la competitividad y productividad; mejorando la calidad de vida y las condiciones de bienestar de los mexicanos sin ser ajenos a las obligaciones asumidas en los tratados internacionales, como base para el impulso y promoción de inversión económica La Ley que actualmente se discute en el Congreso, pone en riesgo la libertad de expresión, la privacidad y el incumplimiento por parte del Estado a la protección de datos personales reconocidos internacional y nacionalmente, los cuales son fundamentales en cualquier entorno digital.  Es por lo que, identificamos las principales preocupaciones que tenemos empresas y asociaciones en torno a la Iniciativa de Ley Federal de Ciberseguridad.

La exposición de México a los ciberataques va en aumento

• El país se mantiene en el primer lugar de intentos en ciberataques en Latinoamérica, con 187,000 millones de intentos en 2022, un crecimiento del 20% según datos de Fortinet .
• De acuerdo con el Índice de Ciberseguridad Global (Global Cybersecurity Index) México se encuentra en el lugar 52 y en la región ha caído hasta la posición 4, después de Estados Unidos, Canadá y Brasil.
• El Banco Mundial establece que, México se encuentra en el puesto 15 de las mejores economías en el mundo en relación con la generación del PIB, para el INEGI, las PyMEs generan el 52% del PIB y 72% del empleo en el país, sin embargo, las PyMEs que sufren un ciberataque pueden llegar a pagar hasta dos millones de pesos por un rescate, aumentado los factores por los cuales las PyMEs pueden desaparecer y afectar la economía del país .

Reconocemos que la Iniciativa de Ley Federal de Ciberseguridad tiene aspectos positivos y recupera diversos planteamientos del sector privado

• Celebramos que la Iniciativa considere la creación de una política, una estrategia y una Agencia nacionales de Ciberseguridad, con la participación de un Consejo Consultivo Ciudadano.  Se fomenta así una cultura de ciberseguridad entre la población, contribuyendo a la seguridad de los usuarios digitales, sin embargo, es importante enfatizar la importancia de la prevención como herramienta de mitigación frente a los posibles riesgos asociados al uso de la tecnología en la que la voz de los expertos de la industria pueda formar parte.
• Se resalta en la exposición de motivos el establecer bases de colaboración entre el gobierno y la iniciativa privada a través de las diferentes cámaras industriales, empresas y la población, aspecto fundamental para combatir los delitos cibernéticos.
• Si bien la Agencia Nacional tendría un rol relevante en la ejecución de acciones relacionadas con la ciberseguridad, el Transitorio Tercero establece de facto que la Coordinación de Estrategia Digital Nacional adscrita a la Oficina de la Presidencia, tendría igualmente facultades otorgadas de manera discrecional al Titular del Ejecutivo (de manera temporal hasta por 36 meses posteriores a la entrada en vigor del decreto).
• Reconocer el derecho a la intimidad, en sus diversas manifestaciones, ha ampliado su ámbito de protección, donde además de rechazar invasiones en el ámbito privado, ahora supone el uso y control sobre los datos concernientes a cada individuo; por lo cual debe serle reconocido como un derecho fundamental protegido y garantizado.

Mejorar el fundamento legal de la Iniciativa

• Es necesario definir el fundamento constitucional conforme al cual el Congreso de la Unión pueda legislar en materia de ciberseguridad, lo cual idealmente debe realizarse a través de la reforma constitucional que le confiera la facultad exclusiva para legislar en la materia; o, si el Congreso decide que existan facultades concurrentes, se señale que tendrá facultad para expedir la Ley General correspondiente.
• La redacción es confusa para delimitar atribuciones relacionadas con asuntos vinculados a la seguridad pública y a la seguridad nacional. Es necesario distinguir la ciberseguridad a nivel civil y proteger la seguridad pública de las fuerzas del orden y las actividades relacionadas con la ciberdefensa, las cuales, deben ser debidamente acotadas conforme a las facultades de los diferentes cuerpos de seguridad involucrados en la atención de estos casos, considerando sus áreas de responsabilidad.

Definir claramente los aspectos relacionados con la ciberseguridad, garantizar los derechos humanos y los derechos digitales

Las restricciones a los derechos humanos, en particular los de privacidad, libertad de expresión y protección de datos personales, deben ser sometidas a un escrutinio estricto y pasar por la prueba de proporcionalidad. Presentamos los señalamientos específicos siguientes al texto de la Iniciativa:

Limitaciones a la libertad de expresión

• El artículo 78 castiga con una pena de tres a seis años de prisión y una multa de quinientas a mil unidades de medida y actualización “al que describa, diseñe o grabe cualquier tipo de material digital, auditivo, fotográfico o video gráfico con el propósito de que sea exhibido, publicado o compartido a través de redes de sistemas informáticos, electrónicos, telemáticos, programas o aplicaciones que sean producto de la evolución tecnológica mediante los cuales se incite, facilite, induzca u obligue a personas a ocasionar un daño físico, psicológico o material, a sí mismas o a terceros”.
• Si bien el propio artículo señala que no se sancionarán expresiones que se realicen en apego a la libertad de expresión, la amplitud de conductas que pueden estar incluidas en la definición ocasionarán graves problemas en su aplicación práctica. En este mismo tenor, el artículo tiene concepciones que pueden resultar subjetivas al momento de su valoración.
• Cualquier iniciativa y/o lineamientos en materia de ciberseguridad, deben contener y detallar sólidas salvaguardas procesales y de derechos humanos, además de cumplir estándares y prácticas internacionales como son legalidad, necesidad y proporcionalidad.
• El derecho a la privacidad y la seguridad de la información en el entorno digital debe ser garantizado por todos los agentes de la cadena de valor en la prestación de los servicios; estableciendo y delimitando claramente las responsabilidades de cada agente que participa. El artículo 13 en su fracción V no establece una limitante que garantice que la colaboración con autoridades extranjeras preserve la privacidad de los ciudadanos mexicanos.
• Las intromisiones a los derechos humanos en los términos planteados por la Iniciativa no son aceptables. En particular, las restricciones a los derechos de privacidad y protección de datos personales al ordenar la entrega de información personal a un catálogo indefinido de autoridades competentes, mismas que no resultan necesarias ni son proporcionales puesto que ya existen disposiciones legales para atender requerimientos de autoridades con fines de investigación y persecución de delitos. Toda restricción a los derechos humanos debe ser mínima y limitada, máxime cuando en la práctica ya existen figuras jurídicas similares para cumplir propósitos similares (artículos 189 y 190 de la Ley Federal de Telecomunicaciones y Radiodifusión; y artículos 301 y 303 del Código Nacional de Procedimientos Penales).
• Reconocemos el interés de contar con un control sobre los eventos que se consideren como un delito cibernético, analizando información y asegurando procesos a través de controles y su implementación; sin embargo, una eficaz estrategia de ciberseguridad a través de la integración de un Registro Nacional de Incidentes, como se propone, requiere de esfuerzos que deberían enfocarse únicamente cuando se comprometa infraestructura con información esencial o estratégica para la provisión de bienes o la prestación de servicios públicos básicos; y, por ende, pudiera afectarse o ponerse en riesgo la Seguridad Pública o la Seguridad Nacional.
• En suma, obtener información de una forma desproporcionada y excesiva bajo el argumento de un incidente cibernético, término que resulta sumamente genérico al no definir qué se entiende o qué parámetros se emplearán para así determinarlo,

resulta violatorio de los derechos de las personas a la libertad y a la privacidad.  Por lo anterior, un Registro como el propuesto llevará a un control excesivo del Estado en detrimento de estos derechos fundamentales.