Protección de la privacidad, acceso a datos para identificar IP y necesidad de autorización judicial (Corte Suprema de Canadá, caso R. v. Bykovets, sent. del 1/3/2024)
En el caso se analiza la
actuación de la policía canadiense en una investigación sobre compras
fraudulentas en línea a una licorería. Los policías descubrieron que las ventas
en línea de la tienda estaban gestionadas por Moneris, una empresa de
procesamiento de pagos de terceros. La policía se puso en contacto con Moneris
para obtener las direcciones IP utilizadas para las transacciones, y Moneris identificó
dos. Para esto la policía no contó con autorización judicial. Luego, la policía
sí obtuvo una orden del tribunal que obligaba al proveedor de servicios de
Internet de las direcciones a revelar el nombre y la dirección residencial del
cliente para cada dirección IP. Una estaba registrada a nombre del Sr. Bykovets
y la otra a nombre de su padre. La policía utilizó esta información para
obtener y ejecutar órdenes de registro en sus residencias. El Sr. Bykovets fue
arrestado y acusado de delitos relacionados, entre otros, con la posesión y el
uso de tarjetas de crédito y documentos de identificación personal de terceros.
Antes de que comenzara su juicio, el Sr. Bykovets impugnó la solicitud de la
policía de obtener las direcciones IP de Moneris, alegando que violaba su
derecho a no ser objeto de registros e incautaciones irrazonables en virtud del
artículo 8 de la Constitution Act (1982). La juez de primera instancia
consideró que la solicitud de la policía a Moneris no equivalía a una búsqueda
porque no había una expectativa razonable de privacidad en la dirección IP de
un usuario de Internet. Argumentó que, por sí solas, las direcciones IP no
proporcionan un enlace a un usuario de Internet ni ninguna otra información
sobre él. Por tanto, el Sr. Bykovets no tenía una expectativa razonable de
privacidad en su dirección IP y no se había violado su derecho en virtud del
artículo 8. Finalmente fue condenado por 14 delitos. La mayoría de los miembros
del Tribunal de Apelaciones de Alberta coincidieron con la sentencia de primera
instancia y desestimaron la apelación del Sr. Bykovets. En su opinión
discrepante, un juez habría admitido su apelación, sobre la base de que las
direcciones IP sí implicaban una expectativa razonable de privacidad. El Sr.
Bykovets recurrió ante la Corte Suprema del Canadá, dando lugar a la sentencia
de 1 de marzo de 2024 que aquí se reseña.
Entre los fundamentos de la mayoría de la Corte Suprema canadiense he elegido algunos que me han parecido muy interesantes por estar vinculados con temas de privacidad en el contexto tecnológico – digital de la actualidad.
La discusión refiere a lo previsto en la Constitution
Act, 1982 (Canadá): “Search or seizure. 8. “Everyone has the right to be secure
against unreasonable search or seizure”.”; “Búsquedas/registros o
incautaciones. 8 “Toda persona tiene derecho a estar protegida contra registros
o incautaciones injustificados” (traducción no oficial).
En ese sentido, no es sólo un caso de interés procesal penal (sobre la necesidad de obtener la autorización judicial para ciertos registros o solicitudes de información por parte de la policía), es un caso de interés en temas de derechos fundamentales y garantías en el estado de derecho.
Aquí algunos de los párrafos que
me parecieron más relevantes de esta decisión:
[ 1 ] Internet ha trasladado gran
parte de la experiencia humana de los espacios físicos al ciberespacio. Ha
crecido hasta abarcar plazas públicas, bibliotecas, mercados, bancos, teatros y
salas de conciertos, convirtiéndose en el artefacto cultural más amplio que
nuestra especie haya creado jamás. Junto con nuestro centro comercial y nuestro
ayuntamiento, para muchos de nosotros Internet se ha convertido en un compañero
constante, a través del cual confiamos nuestras esperanzas, aspiraciones y
temores. Las personas utilizan Internet no sólo para buscar recetas, pagar
facturas o recibir indicaciones, sino también para explorar su sexualidad,
planificar su futuro y encontrar el amor.
[ 2 ] Estas nuevas realidades han
obligado a los tribunales a lidiar con “una serie de nuevas y desafiantes
cuestiones sobre la privacidad” (R. v. Spencer , 2014 SCC 43, [2014] 2 SCR 212,
en el párrafo 1). En Spencer, este Tribunal determinó que una expectativa
razonable de privacidad se vincula a la información del suscriptor (el nombre,
la dirección y la información de contacto) asociada con una dirección de
Protocolo de Internet (IP) individual. Una solicitud de esta información por
parte del estado es una “búsqueda” según el artículo 8 de la Carta Canadiense
de Derechos y Libertades.
[ 3 ] Esta apelación pregunta
si una dirección IP en sí misma genera una expectativa razonable de privacidad.
La respuesta debe ser sí.
[ 4 ] Una dirección IP es un
número de identificación único. Las direcciones IP identifican la actividad
conectada a Internet y permiten la transferencia de información de una fuente a
otra. Son necesarias para acceder a Internet. Una dirección IP identifica la
fuente de cada actividad en línea y conecta esa actividad (a través de un
módem) a una ubicación específica. Y un proveedor de servicios de Internet
(ISP) realiza un seguimiento de la información del suscriptor que se adjunta a
cada dirección IP.
[ 34 ] La consideración del
objeto del supuesto registro permite al tribunal identificar los intereses de
privacidad en cuestión ( Spencer , en el párrafo 22). Una pregunta orientadora
para definir el objeto del supuesto registro es “¿qué buscaba realmente la
policía?” (Marakah , en el párrafo 15, citando a R. v. Ward , 2012 ONCA 660,
112 OR (3d) 321, en el párrafo 67). Un tribunal debe adoptar una visión
holística del objeto del registro. El enfoque no debe ser mecánico y debe
reflejar la realidad tecnológica (Spencer , en los párrafos 26 y 31;
Marakah , en el párrafo 17).
[ 47 ] Nuestro enfoque es distinto al de los Estados Unidos, donde la llamada “doctrina de terceros” niega una expectativa razonable de privacidad “si la información es poseída o conocida por terceros” (T. Panneck, “Incognito Mode Is in the Constitution” (2019), 104 Minn. L. Rev. 511, pág. 520, citando a D. J. Solove, “A Taxonomy of Privacy” (2006), 154 U. Pa. L. Rev. 477, pág. 528). Este Tribunal rechazó el enfoque estadounidense en una etapa temprana de nuestra jurisprudencia del art. 8 ( R. v. Dyment , [1988] 2 SCR 417, págs. 429-30, por La Forest J.). [Aquí me permito agregar que me parece interesantísimo el "diálogo" y crítica que realiza la Corte canadiense a la jurisprudencia de su país vecino]
[ 48 ] La naturaleza no
determinante del control en nuestro análisis es particularmente relevante para
Internet, que requiere que los usuarios revelen información de abonado a su ISP
para participar en este nuevo espacio público. Como dijimos en Jones , “la
única manera de conservar el control sobre el tema de la búsqueda frente al
proveedor de servicios era no hacer uso alguno de sus servicios. Esa elección
no es significativa... Los canadienses no están obligados a convertirse en
reclusos digitales para mantener cierta apariencia de privacidad en sus vidas”
(párrafo 45).
[ 54 ] Este principio es
especialmente claro cuando se busca información digital. Las computadoras son
diferentes. Estos dispositivos almacenan inmensas cantidades de información
—parte de la cual se genera y retiene automáticamente sin que el usuario lo
sepa— que pueden tocar el núcleo biográfico de la información personal (Vu , en
el párrafo 41). Estos intereses de privacidad pueden ser aún más palpables si
el dispositivo se utiliza para conectarse a Internet (Cole , en el párrafo 47).
De hecho, “es difícil imaginar una invasión más intrusiva de la privacidad” que
las búsquedas relacionadas con el uso de Internet por parte de un individuo (
R. v. Morelli , 2010 SCC 8, [2010] 1 SCR 253, en el párrafo 105).
[ 55 ] Los intereses de
privacidad únicos y elevados en los datos de las computadoras personales surgen
de su potencial para exponer información profundamente reveladora. En Vu, este
Tribunal determinó que la búsqueda de una computadora requiere una
autorización previa específica porque las computadoras son un depósito de un
universo casi ilimitado de información (párrafo 41); y la información
relacionada con la actividad de Internet del usuario “también puede permitir a
los investigadores acceder a detalles íntimos sobre los intereses, los hábitos
y la identidad de un usuario” (párrafo 42). Aunque en ese caso la policía
simplemente estaba tratando de determinar quién vivía en la casa, el Tribunal
concluyó que la búsqueda involucraba intereses de privacidad serios.
[ 56 ] De manera similar, en
Reeves , la gravedad de las preocupaciones sobre la privacidad derivadas de la
incautación de una computadora no se vio afectada por la intención específica
de la policía de buscar pornografía infantil en la computadora.
[ 85 ] ….exigir que la policía
obtenga autorización judicial previa antes de obtener una dirección IP no es un
paso de investigación oneroso y no interferiría indebidamente con la capacidad
de las fuerzas del orden para hacer frente a este delito. Cuando la dirección
IP, o la información del suscriptor, está suficientemente vinculada a la
comisión de un delito, la autorización judicial está fácilmente disponible y
añade poco a la información que la policía ya debe proporcionar para una orden
(…) La policía a menudo solicita y obtiene múltiples autorizaciones para
proteger diferentes intereses de privacidad territorial. Lo mismo es cierto
para proteger la privacidad de la información.
[ 86 ] En general, la carga
que se impone al Estado al reconocer una expectativa razonable de privacidad en
las direcciones IP es insignificante en comparación con las importantes
preocupaciones en materia de privacidad que se plantean en este caso. Las
autoridades policiales tendrán que demostrar que existen motivos suficientes
para inmiscuirse en la privacidad de un individuo, pero en la era de las
órdenes judiciales telemáticas y del acceso permanente a los jueces de paz,
esta carga no es onerosa. La policía que realiza actividades de investigación
legítimas puede establecer fácilmente los fundamentos constitucionales
necesarios. Reconocer que una dirección IP goza de la protección del artículo 8
no impedirá las investigaciones policiales que involucren direcciones IP; más
bien, tiene como objetivo garantizar que las investigaciones policiales
reflejen mejor lo que cada canadiense razonable espera desde una perspectiva de
privacidad y desde una perspectiva de control del delito.
En suma y a partir de insumos obtenidos a partir de la lectura de este fallo:
Ø
Internet ha aumentado exponencialmente tanto la
calidad como la cantidad de información almacenada sobre los usuarios,
abarcando el comportamiento humano más público y el más privado. Incluso,
afecta información de los usuarios que nunca supieron que estaban revelando.
Internet ha alterado la topografía de la privacidad bajo la Carta. Ha agregado
terceros [empresas vinculadas a Internet] al ecosistema constitucional de
garantías, haciendo que la relación entre el individuo y el estado sea
tripartita.
Ø
Se debe contemplar el interés legítimo de la
sociedad en la necesidad de protección y seguridad. La policía debería contar
con las herramientas de investigación necesarias para hacer frente a los
delitos cometidos y facilitados en línea. Sin embargo, exigir que la policía
obtenga autorización judicial previa antes de obtener una dirección IP no es un
paso de investigación oneroso. Cuando la dirección IP, o la información del
suscriptor, está suficientemente vinculada a la comisión de un delito, la
autorización judicial está fácilmente disponible.
Ø Reconocer que una dirección IP atrae la protección del art. 8 de la Constitution Act (1982) tiene como objetivo garantizar que las investigaciones policiales reflejen mejor lo que cada canadiense razonable espera desde una perspectiva de privacidad y desde una perspectiva de control del delito. La supervisión judicial limita el alcance de la injerencia online del estado y elimina la decisión de divulgar información -y cuánto divulgar- de las corporaciones privadas y la devuelve al ámbito de la Carta.
* Foto protocolar de los Jueces de la Corte Suprema de Canadá en Ottawa el 4 de noviembre 2019 (THE CANADIAN PRESSAdrian Wyld, disponible en Radio Canadá internacional).
