CJI - Derecho internacional aplicable al ciberespacio

101 PERÍODO ORDINARIO DE SESIONES OEA/Ser. Q 1 – 10 de agosto de 2022 CJI/doc. 671/22 rev.2 corr.1 Rio de Janeiro, Brasil 25 octubre 2022

Original: español

INFORME DEL COMITÉ JURÍDICO INTERAMERICANO.

SEGUNDO INFORME: EL DERECHO INTERNACIONAL APLICABLE AL

CIBERESPACIO

1. INTRODUCCIÓN Este informe fue originalmente elaborado por la doctora Mariana Salazar Albornoz, en su calidad de relatora. Corresponde a su segundo informe en la materia, documento que en su última revisión ante el pleno del Comité fue aprobado por consenso por todos sus miembros.

En este informe, comenzamos describiendo las nociones de ciberespacio y de ciberoperaciones, para después adentrarnos en un análisis de las implicaciones que pueden tener este tipo de operaciones para el Derecho Internacional a partir de ejemplos de ciberoperaciones estatales que han ocurrido a lo largo de las últimas dos décadas. Posteriormente, examinamos los principales procesos de negociación intergubernamental y académica que han existido y continúan existiendo para contribuir a dilucidar el alcance de la aplicabilidad del derecho internacional existente al ciberespacio, incluyendo, desde luego, la labor que ha realizado el Comité Jurídico Interamericano. Finalmente, presentamos una visión general de los principales temas específicos del derecho internacional que están siendo discutidos en torno a su aplicación al ciberespacio, aclarando en lo posible las posiciones oficiales que han adoptado los pocos Estados de la región americana que a la fecha se han pronunciado en la materia. Con ello, esperamos

que el informe sirva de herramienta útil para los numerosos Estados de la región americana que se encuentran en proceso de preparar sus posiciones nacionales oficiales sobre esta relevante temática del alcance de la aplicación del Derecho Internacional al ciberespacio.

2. CIBERESPACIO Y CIBEROPERACIONES.

El término “ciberespacio” proviene del griego kybernetes, que significa ‘el arte de manejar un navío’ y que alude a la cibernética –el estudio del control remoto a través de dispositivos–. El término se utilizó por primera vez en 1960 en el título ‘Atelier Cyberspace’, utilizado por la artista Susanne Ussing y el arquitecto Carten Hoff para denominar su obra de instalaciones sensoriales e imágenes. La primera asociación del término a lo digital, si bien para fines novelísticos, fue en la década de los ochentas, cuando el escritor canadiense-americano de ciencia ficción, William Gibson, lo utilizó en su cuento “Quemando Cromo” y en su novela ‘Neuromante’. En esta última, lo describió como: “Una alucinación consensual experimentada diariamente por billones de legítimos operadores, en todas las naciones […]… Una representación gráfica de la información abstraída de los bancos de todos los ordenadores del sistema humano. Una complejidad inimaginable. Líneas de luz clasificadas en el no-espacio de la mente, conglomerados y constelaciones de información.”1 La palabra fue retomada con el auge del internet en la década de los noventas. El propósito de referirse al ‘ciberespacio’ vino inicialmente aparejado con la concepción de que el internet era un espacio

1 GIBSON, W., Neuromante, Minotauro, 1996 (traducción al español del original en inglés Neuromancer, Ace Books, 1984), p. 35. 2 o dominio distinto al del ‘mundo real’, y por ende debía ser una jurisdicción separada, exenta de la aplicación del poderío de los Estados y de sus leyes, sino regida por la voluntad de sus usuarios2. La idea generó un doble debate: por un lado, si realmente el ciberespacio se trata de un dominio o espacio distinto, y, por el otro lado y en consecuencia, si debe o no regirse por normas jurídicas. En este debate, diversas voces han dilucidado que el internet y otras partes que constituyen el ciberespacio son redes de comunicación situadas dentro del espacio real, y por tanto no se trata de un espacio distinto: el ciberespacio incluye tanto los componentes físicos (hardware) como los digitales.3 Delerue, por ejemplo, aclara que el ciberespacio no es un quinto dominio o ámbito de aplicación del derecho, sino un medio que puede utilizarse para conducir actividades en cualquiera de los cuatro ámbitos físicos existentes: tierra, mar, espacio aéreo y espacio ultraterrestre.4 Dias y Coco, a su vez, se refieren al ciberespacio no como un espacio virtual o separado, sino como un conjunto de tecnologías digitales multidimensionales –o tecnologías de la información y comunicación (TIC)– que están plenamente integradas con actividades humanas que tienen lugar en diferentes dominios físicos o espacios del 'mundo real’.5 El Manual de Tallin 2.0 (al que nos referiremos con más detalle más adelante) define el ciberespacio como el ambiente formado por componentes físicos y no-físicos, para almacenar,

modificar e intercambiar datos usando redes computacionales6. Una “ciberoperación” u operación cibernética es la utilización de capacidades cibernéticas con la finalidad principal de alcanzar sus objetivos en o a través del uso del ciberespacio7. Este término abarca sólo los actos que tienen lugar dentro de una red computacional, con lo cual la conducción de algún acto hostil físico contra una computadora o red computacional –por ejemplo la destrucción del disco duro de una computadora con un arma cinética– no calificaría como una ciberoperación. Las ciberoperaciones forman parte creciente de nuestras vidas cotidianas. Al no tratarse de un ámbito distinto ni exento de jurisdicción, las ciberoperaciones o actividades conducidas a través del ciberespacio deben respetar las normas jurídicas aplicables. El derecho no prohíbe per se las ciberoperaciones: por el contrario, éstas han venido a facilitar nuestras vidas e interacciones significativamente. Sin embargo, un uso malicioso de éstas sí puede llegar a constituir una violación al derecho internacional, como se expone en la siguiente sección.

3. CIBEROPERACIONES MALICIOSAS Y SUS IMPLICACIONES PARA LOS ESTADOS El siglo XXI ha sido el siglo de la digitalización, lo cual ha sido exacerbado aún más a raíz de las medidas de aislamiento que acompañaron la pandemia del COVID-19 que azoró al mundo en los últimos años. A su vez, el uso creciente de las TIC y su interconexión e interdependencia han venido también a exponer los inmensos riesgos que entraña el mal uso de éstas, pudiendo poner al descubierto información

delicada de gobiernos, empresas o particulares o dañar sistemas o infraestructura vital. Las ciberoperaciones maliciosas se dirigen contra sistemas de información, como pueden ser bases de datos o redes computacionales, con el objetivo último de perjudicar a personas, instituciones o empresas. Se pueden clasificar de diversas maneras y pueden causar daños a software, a hardware, a 2 Véase, por ejemplo: BARLOW, J.P., Declaración de Independencia del Ciberespacio, proclamada en 1996, disponible en español en: http://www.uhu.es/ramon.correa/nn_tt_edusocial/documentos/docs/declaracion_independencia.pdf. Para un excelente recuento del origen del término véase, por ejemplo: DIAS, T. & COCO, A., Cyber due diligence in international law, Oxford Institute for Ethics, Law and Armed Conflict, 2022, pp. 39-48. 3 EASTERBROOK, F.H., “Cyberspace and the Law of the Horse”, University of Chicago Legal Forum 207, 1996, p. 207. 4 DELERUE, F., Cyber Operations and International Law, Cambridge University Press, 2020, pp. 11-12. 5 DIAS, T. & COCO, A., Cyber due diligence in international law, Oxford Institute for Ethics, Law and Armed Conflict, 2022, pp. 47-48. 6 SCHMITT, M. (ed.), Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations, Cambridge University Press, 2017, p. 564. 7 Íbidem. 3 datos, así como a personas físicas (individuos) y morales (Estados, empresas y organizaciones no gubernamentales). Una sola ciberoperación puede causar daños a varias de estas categorías. Una de las clasificaciones más comunes para las ciberoperaciones maliciosas que dañan software, hardware y datos

es la denominada “tríada de la CIA”8, por sus siglas en inglés. Conforme a ésta, una ciberoperación maliciosa puede dañar: (i) La confidencialidad, a través de un acceso no autorizado a computadoras, sistemas y redes informáticas para obtener cierta información; (ii) La integridad, al alterar, borrar, corromper o denegar el acceso a ciertos datos o software; o (iii) La disponibilidad, al disrumpir parcial o totalmente el funcionamiento de una red o sistema de computación. Los tipos más comunes de ciberoperaciones maliciosas incluyen: (i) El phishing, que consiste en “el envío de mensajes fraudulentos, usualmente a través de correo electrónico, que aparentemente proceden de fuentes fiables y seguras” con el objetivo de “robar datos personales muy sensibles, como información sobre inicios de sesión o datos de tarjetas de crédito, entre otros.”9; (ii) El malware, que es el “software malicioso que incluye virus y gusanos”, que “aprovecha […] las vulnerabilidades para infringir las redes y suele atacar cuando un usuario hace clic en un enlace o en un archivo adjunto a un email”, y cuyo impacto “va desde la instalación de software dañino al bloqueo del acceso a componentes claves de la red (ransomware) o a la obtención furtiva de información (spyware)”10; (iii) La inyección de SQL o lenguaje de consulta estructurado, que “se produce cuando un hacker inserta un código malicioso en un servidor que utiliza SQL, forzándolo a desvelar información protegida o que normalmente no revelaría”11; y (iv) El ataque de denegación de servicio distribuido (o DDoS por sus siglas en inglés), que

“provoca la saturación de los sistemas, los servidores e, incluso, las redes con tráfico con el objetivo de agotar los recursos y el ancho de banda”, generando como consecuencia la incapacidad para completar las solicitudes legítimas12. Las ciberoperaciones maliciosas tienen, a su vez, efectos nocivos sobre personas físicas y morales. Como lo indican Dias y Coco, será raro encontrar instancias en las que las ciberoperaciones que causen daños a software, hardware o datos no causen efectos significantes sobre personas, sean tangibles o intangibles. Como mínimo, se generarán costos de ciberseguridad para identificar las vulnerabilidades y el alcance del daño y, de ser necesario, repararlo.13 Los daños a personas físicas pueden incluir afectaciones al medio ambiente, a su salud, integridad, vida, privacidad, educación o acceso a la información y libertad de expresión, entre otros. En el caso de personas morales, incluyendo Estados, empresa y organizaciones no gubernamentales, una ciberoperación maliciosa puede generarle pérdidas financieras significantes, altos costos legales y daños a su reputación y confiabilidad. Tratándose particularmente de Estados, una ciberoperación maliciosa puede dañar sistemas de gobierno, servicios financieros, y servicios estatales esenciales como la electricidad, el agua, el 8 Véase, por ejemplo: WALKOWSKI, D., ¿Qué es la tríada de la CIA?”, Computer Weekly, 2019, disponible en: https://www.computerweekly.com/es/opinion/Que-es-la-triada-de-la-CIA 9 Iberdrola, Ataques Cibernéticos: ¿cuáles son los principales y cómo protegerse de ellos?, disponible en:

https://www.iberdrola.com/innovacion/ciberataques 10 Íbidem. 11 Íbidem. 12 Íbidem. 13 DIAS, T. & COCO, A., op. cit. supra nota 2, pp. 99-100. 4 suministro de alimentos y medicinas, servicios médicos o sistemas de transportes y de seguridad, entre otros. Tales ciberoperaciones contra Estados pueden provenir no sólo de entes privados sino también de otros Estados que las realizan directamente (a través de sus órganos u agencias) o indirectamente a través de entes o personas que contratan. Las décadas recientes han visto numerosas ciberoperaciones maliciosas que han involucrado o afectado significativamente a Estados14. La atribución es una cuestión delicada, ya que a la fecha ningún Estado ha reconocido directamente su responsabilidad por la realización directa o indirecta de una cibeoperación maliciosa. Sin embargo, la información disponible de varias ciberoperaciones que han afectado a Estados en las últimas décadas ha llevado en ocasiones al país afectado a asumir que se han tratado de operaciones conducidas en su contra por otros Estados. Como lo indican Finnemore y Hollis, entre 2010 y 2020, se calcula que 28 Estados – incluyendo China, Irán, la República Popular Democrática de Corea, Rusia, Reino Unido y Estados Unidos – han sido acusados de realizar o apoyar ciberoperaciones con impactos graves sobre gobiernos, pueblos y recursos15. Describiremos algunos ejemplos de casos a continuación. Uno de los primeros y más representativos casos –debido a los desarrollos que generó16– fue la campaña de ciberoperaciones maliciosas que sufrió Estonia en 2007, que ese país atribuyó a Rusia.

Inhabilitó durante 22 días numerosos sitios web de organizaciones de Estonia, incluyendo el parlamento, bancos, ministerios, periódicos y medios de comunicación. El motivo fue el desacuerdo con Rusia en torno a la reubicación de un monumento de la era soviética en la ciudad de Tallin. En 2010, el malware Stuxnet, que algunos atribuyen a Israel y a Estados Unidos, atacó los sistemas computacionales de cinco instalaciones nucleares en Natanz, en Irán: el gusano tomó el control de 1,000 máquinas que participaban en la producción de materiales nucleares y dio comandos para que las centrifugadoras se destruyeran. Se considera que fue la primera vez que un ataque cibernético logró dañar infraestructura física17. En 2015, la red eléctrica de Ucrania se vio interrumpida por un ataque cibernético a través del malware llamado BlackEnergy, que ese país atribuye a Rusia en el marco de la guerra iniciada en 2014. Se trató del primer ciberataque contra infraestructura crítica que ocasionara un apagón y el primero a una red eléctrica que se realizara de manera enteramente remota.18 Desconectó 30 subestaciones eléctricas y ocasionó que unas 80,000 personas se quedaran sin electricidad durante seis horas. Afectó también a diversas compañías distribuidoras y a un total de 225,000 clientes.19 En 2015 y 2016, un ciberataque infiltró la red computacional del Comité Democrático Nacional de los Estados Unidos, espiando comunicaciones, correos electrónicos y documentos y filtrándolos, para interferir en las elecciones presidenciales estadounidenses de 2016. Este ciberataque fue seguido de una

14 Para un recuento de los principales ciberataques estatales, véase por ejemplo: DELERUE, F., op. cit. supra nota 4, Apéndice, pp. 499-501. 15 FINNEMORE, M. y HOLLIS, D., “Beyond Naming and Shaming: Accusations and International Law in Cybersecurity”, en The European Journal of International Law, Vol. 31 No. 3, 2020, pp. 969-1003, en p. 970. 16 Véase, por ejemplo: CALERO, F.J., “ Heli Tiirmaa-Klaar: «Los ciberataques no caen del cielo, suceden por razones políticas»”, en ABC Internacional, 2019, disponible en: https://www.abc.es/internacional/abci-heli-tiirmaklaar-ciberataques-no-caen-cielo-suceden-razones-politicas-201911050326_noticia.html 17 Véase, en este sentido: “El virus que tomó control de mil máquinas y les ordenó autodestruirse”, en BBC News, 11 octubre 205, disponible en: https://www.bbc.com/mundo/noticias/2015/10/151007_iwonder_finde_tecnologia_virus_stuxnet 18 Véase: BROEDERS, D., DE BUSSER, E., CRISTIANO, F. & TROPINA, T., “Revisiting past cyber operations in light of new cyber norms and interpretations of international law: inching towards lines in the sand?”, Journal of Cyber Policy, 7:1, 2022, pp. 97-135, en pág. 108. 19 Véase, por ejemplo: TIDY, J., “Rusia y Ucrania: los 3 ciberataques rusos que más teme Occidente”, en BBC

News, 24 marzo 2022, disponible en: https://www.bbc.com/mundo/noticias60850173#:~:text=En%202015%2C%20la%20red%20el%C3%A9ctrica,en%20el%20oeste%20de%20Ucrania. &text=Pie%20de%20foto%2C,visto%20afectada%20anteriormente%20por%20ciberataques 5 campaña de “trolls” en redes sociales para influenciar al electorado estadounidense. Estados Unidos atribuye el ataque a las agencias de inteligencia de Rusia. En 2017, el ransomware WannaCry, atribuido por algunos a grupos vinculados a Corea del Norte, afectó alrededor de 230,000 computadoras con sistema operativo Microsoft Windows en más de 150 países alrededor del mundo. Se considera el ataque de ransomware más grande de la historia. Los países más afectados fueron Rusia, Ucrania, India y Taiwán, así como partes del servicio nacional de salud de Reino Unido (NHS), la compañía Telefónica de España, FedEx de Estados Unidos, Deutsche Bahn de Alemania y las aerolíneas LatAm, entre otros. Generó costos globales de alrededor de 7,000 millones de dólares. En el mismo año 2017, el ransomware NotPetya, atribuido por algunos a Rusia, golpeó diversas organizaciones en Ucrania, incluido su banco central, hospitales, aeropuertos y empresas estatales de energía eléctrica, así como empresas privadas, antes de extenderse a sistemas en otros 63 Estados en Europa y a Estados Unidos. Provocó en total daños por más de 10,000 millones de dólares, con lo cual se le ha considerado el ciberataque más devastador en la historia20. También en 2017, el ransomware

BadRabbit afectó medios de comunicación en Rusia y organizaciones de infraestructura crítica en el sector de transportes en Ucrania. En 2020 y 2021, el ciberataque contra la empresa estadounidense de software SolarWinds, que algunos atribuyen a los servicios de inteligencia de Rusia, se extendió a los clientes de la compañía afectando la base de datos de más de 18,000 empresas a nivel mundial (incluyendo Microsoft, Cisco, Intel y Deloitte) y de agencias federales clave del gobierno de los Estados Unidos (incluyendo los Ministerios de Seguridad Interior, de Estado, de Energía, de Finanzas y la Administración Nacional de Seguridad Nuclear). El ataque generó a la empresa Solarwinds costos de 40 millones de dólares en los primeros nueve meses de 2021, y un promedio de 12 millones de dólares a cada cliente afectado. La guerra que actualmente tiene lugar entre Rusia y Ucrania no ha estado exenta del uso de ciberataques para acompañar las actividades cinéticas21. Desde la anexión ilegal de Crimea en 2014, Ucrania ha sido objeto de continuos ciberataques atribuidos a Rusia. Un día antes de la invasión del 24 de febrero de 2022, se lanzó el ciberataque Foxblade, que buscó eliminar los datos de las redes computacionales de 19 entidades gubernamentales y entidades de infraestructura crítica del gobierno ucraniano. Desde la invasión y hasta finales de junio de 2022, Microsoft calcula que han existido ciberataques dirigidos a redes computacionales de 48 agencias y empresas dentro de Ucrania, así como intentos de penetración de redes y ciberespionaje a 128 organizaciones en 42 Estados aliados a Ucrania22.

El efecto ha sido limitado, debido a que Ucrania ha recibido gran refuerzo en sus capacidades de ciberdefensa por parte de diversos Estados, empresas y organizaciones de la sociedad civil. Por ejemplo, la información y operaciones digitales ucranianas se han protegido a través de su traslado a la nube pública, almacenada en centros de datos en otros lugares de Europa. Algunos expertos no descartan la posibilidad de que Rusia esté esperando el momento oportuno para lanzar un ciberataque masivo con efectos mucho más destructores.23 20 Véase, por ejemplo: BROEDERS, D., DE BUSSER, E., CRISTIANO, F. & TROPINA, T., op. cit. supra nota 18, en pág. 117; TIDY, J., op. cit. supra nota 19. 21 Véase, a este respecto: ORENSTEIN, M., “Russia’s Use of Cyberattacks: Lessons from the Second Ukraine War”, en Foreign Policy Research Institute, June 7, 2022. Disponible en: https://www.fpri.org/article/2022/06/russias-use-of-cyberattacks-lessons-from-the-second-ukraine-war/ 22 Microsoft, Defending Ukraine: Early Lessons from the Cyber War, 22 de junio, 2022, págs. 2-3, disponible en: https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE50KOK . Véase también: Microsoft, Special Report: Ukraine. An overview of Russia’s cyberattack activity in Ukraine, abril 2022, disponible en: https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE4Vwwd 23 Véase: European Parliament, Russia’s War on Ukraine: Timeline of cyber-attacks, Briefing, June 2022, Unión

Europea, disponible en: https://www.europarl.europa.eu/RegData/etudes/BRIE/2022/733549/EPRS_BRI(2022)733549_EN.pdf 6

4. LA APLICABILIDAD DEL DERECHO INTERNACIONAL AL CIBERESPACIO: PROCESOS MULTILATERALES Y ACADÉMICOS Cuando comenzaron los ciberataques inter-estatales como los antes descritos, académicos y gobiernos tornaron su atención a determinar si es que el derecho internacional resulta aplicable o no al ciberespacio y, en caso afirmativo, en qué medida o aspectos. La cuestión es de relevancia ya que, con muy contadas excepciones, el derecho internacional no tiene reglas específicamente redactadas para regular el ciberespacio, y las principales normas del derecho internacional surgieron mucho antes de que la tecnología cibernética fuera una realidad y, por tanto, no la contemplan. Los únicos dos tratados internacionales existentes relacionados con el ciberespacio son, por un lado, la Convención de Budapest sobre el Cibercrimen, del Consejo de Europa24, y, por el otro, la Convención de la Unión Africana sobre la Seguridad Cibernética y la Protección de Datos Personales25 que aún no está en vigor. Ninguno de estos, sin embargo, se refiere específicamente a la cuestión sobre las ciberoperaciones realizadas por, o en contra de, Estados. Los desarrollos para dilucidar esta cuestión se han dado tanto en el ámbito académico como en el intergubernamental. 4.1 Los Manuales de Tallin En el año 2009, el Centro de Excelencia en Ciberdefensa Cooperativa de la Organización del Tratado del Atlántico Norte (CCDCOE, por sus siglas en inglés), una organización militar internacional basada en Tallin, reunió a un grupo de expertos internacionales independientes para producir un manual,

no vinculante, sobre el derecho internacional existente aplicable a la ciberguerra. Como resultado del ejercicio, en 2013 el grupo produjo el Manual de Tallin sobre el Derecho Internacional Aplicable a la Ciberguerra26, que, además de reafirmar que los principios generales del derecho internacional aplican al ciberespacio, identificó 95 reglas y desarrolló sus respectivos comentarios en temas de soberanía, responsabilidad de los Estados, jus ad bellum, derecho internacional humanitario y las leyes de neutralidad en lo concerniente a la guerra cibernética. Tras su publicación, CCDCOE convocó a un nuevo grupo de expertos independientes internacionales para realizar una investigación y ampliación de la cobertura del manual, a fin de abarcar también el derecho internacional aplicable a las actividades cibernéticas ocurridas en tiempos de paz. Como resultado, en 2017 se publicó el Manual de Tallin 2.0 sobre el Derecho Internacional Aplicable a las Ciberoperaciones27, que identifica 154 reglas que rigen las ciberoperaciones y desarrolla sus respectivos comentarios. Dados los avances recientes en la práctica y posicionamiento de los Estados, en 2021 la CCDCOE lanzó el proyecto, que tendrá una duración de cinco años, para la realización del Manual de Tallin 3.0, para revisar capítulos existentes y explorar nuevos temas de importancia para los Estados28. 24 Council of Europe, Budapest Convention on Cybercrime, ETS No. 185, en vigor desde el 7 de enero de 2004. 25 African Union Convention on Cyber Security and Personal Data Protection, adoptada el 27 de junio de 2014, aún no en vigor. Ha sido ratificada por 13 Estados (se requieren 15 para su entrada en vigor).

26 SCHMITT, M. (ed.), Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013. 27 SCHMITT, M. (ed.), Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations, op. cit. supra nota 6. 28 Véase, en este sentido: https://ccdcoe.org/research/tallinn-manual/ 7 4.2 Procesos intergubernamentales en las Naciones Unidas y posicionamientos de los Estados El tema de la seguridad de la información ha formado parte del programa de las Naciones Unidas desde 1998, tras una propuesta presentada por Rusia29. Desde 2004, la Asamblea General de las Naciones Unidas ha creado grupos de expertos gubernamentales (GGE, por sus siglas en inglés) en seis ocasiones para examinar las amenazas reales y potenciales en esa esfera y recomendar medidas para abordarlas. Los GGE adoptaron inicialmente informes de consenso en 201030, 201331 y 201532. Desde el informe de 2013 se reconoció expresamente que “[e]l derecho internacional, en particular la Carta de las Naciones Unidas, es aplicable y fundamental para mantener la paz y la estabilidad y fomentar un entorno abierto, seguro, pacífico y accesible en la esfera de esas tecnologías.”33 Además, el informe de 2015 incluyó 11 normas voluntarias, no vinculantes, sobre el comportamiento responsable de los Estados en el ciberespacio, con recomendaciones sobre medidas de construcción de confianza, capacidad y cooperación34. El GGE que sesionó entre 2016 y 2017 no logró producir un informe de consenso debido a

desacuerdos que giraron en torno, principalmente, a la forma en que el derecho internacional aplica al ciberespacio y a cuáles elementos de derecho internacional se debían considerar primero. La prevalencia de esos desacuerdos impidió que en 2018 la Asamblea General de Naciones Unidas alcanzara un acuerdo de consenso sobre el formato que se debía seguir para reanudar las discusiones. Ante ello, se determinó la adopción, por votación dividida, de dos resoluciones distintas: por un lado, se adoptó una resolución patrocinada por Rusia que creó un Grupo de Trabajo de Composición Abierta35 (OEWG, por sus siglas en inglés), y por el otro se adoptó una resolución patrocinada por Estados Unidos que creó un nuevo GGE36. Ambos procesos del OEWG y del GGE se condujeron en paralelo entre 2019 y 2021, con mandatos muy similares pero composiciones muy distintas. El OEWG, que fue presidido por el Embajador Jurg Lauber, de Suiza, estuvo abierto a la participación de todo Estado interesado e incluyó consultas con otros actores (industria, sociedad civil y academia). Adoptó su informe final por consenso 29 Véase, en este sentido: https://www.un.org/disarmament/es/los-avances-en-la-informatizacion-y-lastelecomunicaciones-en-el-contexto-de-la-seguridad-internacional/ Asamblea General de las Naciones Unidas, Resolución A/RES/53/70, “Los avances de la informatización y las telecomunicaciones en el contexto de la seguridad internacional”, 4 enero 1999. 30 Secretario General de las Naciones Unidas, Informe del Grupo de Expertos Gubernamentales sobre los Avances

en la Información y las Telecomunicaciones en el Contexto de la Seguridad Internacional, U.N. Doc. A/65/201 (30 de julio de 2010). El Grupo sesionó entre 2009 y 2010 y estuvo compuesto por expertos de 15 Estados (dos de la región de las Américas: Brasil y Estados Unidos). 31 Secretario General de las Naciones Unidas, Informe del Grupo de Expertos Gubernamentales sobre los Avances en la Información y las Telecomunicaciones en el Contexto de la Seguridad Internacional, 19, U.N. Doc. A/68/98 (24 de junio de 2013) (“Informe GGE 2013”). El Grupo sesionó entre 2012 y 2013 y estuvo compuesto por expertos de 15 Estados (tres de la región de las Américas: Argentina, Canadá y Estados Unidos). 32 Secretario General de las Naciones Unidas, Informe del Grupo de Expertos Gubernamentales sobre los Avances en la Información y las Telecomunicaciones en el Contexto de la Seguridad Internacional, 10, U.N. Doc. A/70/174 (22 de julio de 2015) (“Informe GGE 2015”). El Grupo sesionó entre 2014 y 2015 y estuvo compuesto por 20 expertos gubernamentales (cuatro de la región de las Américas: Brasil (quien presidió), Colombia, Estados Unidos y México). 33 Informe GGE 2013, op. cit. supra nota 31, párr. 19. 34 Informe GGE 2015, op. cit. supra nota 32. 35 Asamblea General de las Naciones Unidas, Resolución A/RES/73/27, “Avances en la esfera de la información y las telecomunicaciones en el contexto de la seguridad internacional”, 5 de diciembre de 2018.

36 Asamblea General de las Naciones Unidas, Resolución A/RES/73/266, “Promoción del comportamiento responsable de los Estados en el ciberespacio en el contexto de la seguridad internacional”, 22 de diciembre de

2018. 8 en marzo de 202137, y produjo además un Resumen del Presidente38 que describe algunas propuestas estatales que no alcanzaron consenso, así como un compendio de los pronunciamientos oficiales de los Estados en torno a la adopción del informe final39. El informe final reafirmó que el derecho internacional aplica a las TIC pero que se requieren mayores intercambios de ideas entre Estados así como construcción de capacidades para desarrollar mayores entendimientos comunes sobre la forma en que resulta aplicable el derecho internacional al uso de TIC por Estados.

El GGE, por su parte, fue presidido por el Embajador Guilherme de Aguiar Patriota, de Brasil, y estuvo compuesto por expertos de 25 Estados (cuatro de la región de las Américas: Brasil México, Estados Unidos y Uruguay). El GGE adoptó su informe final también por consenso40 en julio de 2021, en el que reafirmó nuevamente que el derecho internacional es aplicable a las TIC, y reconoció la necesidad de continuar los debates e intercambios de opiniones por parte de los Estados de forma colectiva en las Naciones Unidas sobre el modo en que las normas y principios específicos se aplican al uso de las TIC por Estados. El GGE produjo, además, un compendio oficial de contribuciones nacionales voluntarias de los expertos estatales participantes en el GGE enfocado específicamente a la cuestión de

cómo aplica el derecho internacional al uso de las TIC41. Con el fin de “asegurar el carácter ininterrumpido y continuo del proceso” antes citado –y, de paso, subsanar la complicación de la duplicación de foros–, en 2020 la Asamblea General de las Naciones Unidas decidió42 estab