Dejo como ejercicio para el lector el imaginarse cuántas leyes, normativas, tratados, convenios, documentos y textos de todo tipo que incluyan referencias a documentos Enfopol pululan por ahí. Y premio para los que imaginen cuántos de ellos se molestan en recordar que los documentos Enfopol son no vinculantes.


Inmersión, inmersión

Con la Resolución de 1995 aprobada y con sus hijos Enfopol 98 y 19 gozando de buena salud, las autoridades competentes parecen estar dispuestas a que la familia crezca. No contentos con lo obtenido, han continuado redactando nuevos requisitos ... que seguirán siendo no vinculantes en teoría. En la práctica, ya hemos visto cómo esa denominación no significa nada si se tiene la voluntad política de hacer que sirvan como estándares de facto.

Sin embargo, parece que la batalla por Enfopol 19 dejó huecos abiertos en las filas de nuestros vigilantes. A pesar de que la aprobación por parte del Parlamento Europeo a mediados de 1.999 parecía un espaldarazo a la política granhermanesca del Consejo, la publicación de los documentos Enfopol por arte de Erich Möchel y otros provocó el rechazo de una buena parte de los internautas y proveedores de Internet de toda Europa. Las excusas de "es un requisito no vinculante, seguimos sujetos a nuestra legislación nacional, no es un Gran Hermano de Orwell" funcionaron hasta cierto punto, pero el genio ya estaba fuera de la botella.

A partir de entonces al Consejo de Ministros le costaría mucho más pasar legislación o requisitos similares sin que fuesen examinados con lupa y criticados por los medios de comunicación. Con la revelación de la red de espionaje electrónico anglosajona Echelon y la publicación de diversos textos sobre temas similares (p. ej. Secret Power de Nicky Hager, Puzzle Palace de James Bamford o los documentos STOA Interception Capabilities de Campbell y otros), las correlaciones que algunos hicieron -incorrectamente, a veces- entre los esfuerzos Enfopol y la red Echelon hicieron correr ríos de bits.

Incluso si dejamos el tema Echelon aparte, los esfuerzos tipo Enfopol para regular interceptaciones electrónicas en el continente europeo dejaron de estar en la cresta de la ola. Probablemente el Consejo de la UE (me refiero al de Ministros de Justicia e Interior, o JAI) forzó la mano con la resolución del Parlamento Europeo de 1.999 (Enfopol 19). Ya en Octubre de 1.999, un Informe del Grupo de Trabajo sobre Cooperación Policial para la Comisión Europea reconoce esta falta de apoyo. En el apartado "Interceptación de telecomunicaciones" puede leerse que aunque el Grupo sobre Asistencia Legal Mutua estaba alcanzando resultados en este campo, sería aconsejable obtener apoyo político de las instancias superiores del Consejo. Se hace hincapié en la prensa negativa que este tema ha recibido en los medios informativos y se sugirió la elaboración de un comunicado de prensa que dejase clara la postura del Consejo sobre la intervención de las comunicaciones. La propia Presidencia (finlandesa) de la UE reconocía muy lentos progresos en este asunto.

Como resultado de estas condiciones de publicidad adversa y escaso apoyo político -al menos, públicamente expresado-, los encargados de legislar las interceptaciones de comunicaciones pasaron a un modo de "bajo perfil". Las nuevas iniciativas dejaron de hacerse públicas. En cuanto a la resolución Enfopol 19, que al pasar por el Parlamento Europeo (7 Mayo 1.999) generó el "fantasma de Enfopol", se pensó que era mejor no menealla. No se ha hecho uso de alla, al menos hasta donde yo sé. En palabras de Tony Bunyam, de Statewatch, sigue acumulando polvo.

¿Significa eso que hemos ganado? ¿Que el éxito de Enfopol 19 al ser aprobado, significó, irónicamente, su muerte como texto útil? ¿Que no hemos de temerle? Bueno, no exactamente. En primer lugar, es una Resolución aprobada por el Consejo y el Parlamento Europeo, y puede activarse en cualquier momento. En segundo lugar, ha estado sufriendo una transformación y ha mutado en un nuevo conjunto de requisitos.


La saga crece

Cuando un borrador de ley no convence a los ciudadanos, los gobiernos suelen a) desmentirlo y dejar que los periódicos lo califiquen de "globo sonda", b) dejar que pase el tiempo, a ver si la gente se olvida, c) cambiar el nombre de la ley y un poquito de su articulado para que parezca una ley diferente, d) prometerse a sí mismos ser más discretos y mantener la boca cerrada hasta que sea demasiado tarde para protestar. A tenor de cómo marchen los acontecimientos, escógase una opción o varias.

En el caso que nos ocupa, parece que el Consejo de la UE se decidió por todas las opciones, o casi. Ya hemos mencionado cómo se apeló a la expresión "no vinculante" en el caso de Enfopol 19. Mientras tanto, se decidió un cambio cosmético. En la primavera del 2000, el Grupo de Trabajo sobre Cooperación Policial (PCWG) decidió que los temas sobre "interceptación de telecomunicaciones" se discutieran en el futuro bajo el epígrafe de "tecnologías avanzadas" En Julio, el documento ENFOPOL 52 recomendaba que se crease un "enlace entre pilares" para aunar los esfuerzos llevados a cabo por el PCGW con el trabajo llevado a cabo por el "primer pilar" en el campo de la Sociedad de la Información. Es decir, se intenta ligar los esfuerzos de Justicia e Interior con los de Telecomunicaciones, lo que permitiría obtener apoyo técnico por parte de los telecos al mismo tiempo que el trabajo sobre interceptación legal se difuminaría entre ambos grupos de trabajo.

Mientras tanto se prosigue el trabajo de elaboración de textos legales, como el Convenio de Asistencia Mutua en Materia Penal, el Convenio del Consejo de Europa sobre Crimen en el Ciberespacio y legislaciones nacionales: RIP en el Reino Unido ... y tal vez leyes similares basadas más en regulación comercial que policial (LSI en Francia, LSSI en España). Reconozco que aún no sé qué relación hay entre la LSSI y las iniciativas Enfopol. Por un lado, su articulado ambiguo favorece las labores de vigilancia del ciberespacio; por otro, el MCIY (Ministerio de Ciencia y Tecnología) parece más preocupado por regular el comercio electrónico que otra cosa. Ya veremos.

Pero los esfuerzos para actualizar la resolución de 1.999 (actualización a su vez de la de 1.995) continúan. Recientemente, Statewatch hizo público el documento Enfopol 29, titulado "Autoridades competentes: necesidades operativas relativas a las redes y servicios de telecomunicaciones públicas", en las que se amplían todavía más los "requisitos" de las autoridades competentes para la interceptación de comunicaciones. Es decir: Enfopol 29 es a Enfopol 19 (el que armó tanto jaleo) como éste era a la Resolución de 1.995. En ambos casos, se supone que son simples actualizaciones técnicas, aunque una lectura crítica pone de manifiesto que se trata de algo más: una nueva extensión de los poderes policiales para los pinchazos de todo tipo.

Este documento (que ha sido retocado y re-nombrado como ENFOPOL 55) fue presentado ante el Consejo de Justicia e Interior de la UE de 28-29 Mayo de 2001. Aunque iba a ser aprobado como uno de los "puntos A" (que se aprueban sin debate), una reserva por parte del parlamento alemán ha impedido su aprobación. Desafortunadamente, parece que será sólo cuestión de tiempo. A partir de ahí, queda por ver si será utilizado de forma eficas o si la oposición lo obligará a criar polvo, como su antecesor Enfopol 19.

Esto nos pasa por no estar más atentos. Pero sigamos, que hay más.


Tráfico de datos

Cuando parecía que no cabía esperar nada peor, aparece una proposición enfopolesca de tan gigantescas proporciones que todas las propuestas y documentos Enfopol anteriores parecen un juego de niños en comparación.

Hasta ahora, todas las resoluciones sobre interceptación de comunicaciones se referían a "pinchazos" efectuados por autoridades policiales como respuesta a peticiones individuales en el transcurso de una investigación. Por poco que nos guste, y aunque existe la posibilidad de abuso, se trata de interceptar e intercambiar datos cuando hay orden judicial de por medio. Suena muy bueno en teoría, si bien el modo en que se ha llevado a la práctica es chapucero y poco respetuoso con la privacidad de los individuos. Pero esencialmente se trata de una práctica legalizada y bajo supervisión judicial.

Sin embargo, lo que se pretendía a continuación era mucho más gordo. Concierne a lo que se denomina datos de comunicación. Se llama así a los datos asociados a la llamada: quién llama a quién, cuándo, por qué línea, durante cuánto tiempo, por qué redes, con cargo a qué cuenta o tarjeta ... pero no a la llamada propiamente dicha. En su análogo postal, sería como sacar información del sobre (destinatario, remitente, matasellos) sin abrir la carta en sí.

En el transcurso de una investigación judicial, una orden puede permitir acceso tanto a la comunicación como a sus datos asociados (en Estados Unidos hay dos tipos de órdenes, con características diferentes). El problema es que a algunos vigilantes europeos se les ha ocurrido una idea brillante: almacenar TODOS los datos de comunicación de TODAS las comunicaciones efectuadas por TODOS los ciudadanos durante un cierto intervalo de tiempo. Esto conllevaría el almacenar todos esos datos y ponernos a disposición de las autoridades policiales.

Hasta ahora, los proveedores guardaban estos datos con los únicos fines de facturación, y en cuanto no eran necesarios dichos datos eran destruidos. Esta destrucción se hace no solamente para preservar nuestra intimidad, sino por necesidad pura y dura. Para hacernos una idea, la cantidad de datos de comunicación generados por una red de telefonía móvil es tan inmensa que estos datos solamente pueden transmitirse a los centros facturadores durante la noche, cuando la red se usa menos.

Bien, pues de repente se pretende que todos esos datos, almacenados en la actualidad con fines de facturación durante un período de entre 24 horas y 30 días, se guarden y pongan a disposición de la policía durante intervalos superiores. Y atiendan bien, porque aquí está el intríngulis. No se trata de que se guarden los datos de comunicación de un sospechoso una vez cursada una orden judicial, sino que se guarden todos los datos de comunicación de antemano, para que después la policía pueda buscar lo que le interese.

Volviendo al análogo postal, es como si Correos anotase de modo habitual todos los remitentes, destinatarios y datos de matasellos de todas las cartas que pasen por sus manos ... por si acaso algún policía o juez decide el año que viene que necesita esos datos. Eso permite no solamente investigar delitos ahora, sino poder hacerlo en el futuro. O hacer un barrido indiscriminado en busca de presuntas actividades ilícitas, sin referirse a personas concretas, lo que algunos denominan "expediciones de pesca."

Aunque no el primero, uno de los gobiernos más activos en favor de estas faenas pesqueras es el británico. En Diciembre de 2000 se filtró un documento redactado por el NCIS (Servicio Nacional de Inteligencia Criminal) del Reino Unido, titulado Mirando hacia el Futuro: Claridad acerca de la Ley sobre Retención de Datos de Comunicación, y fechado en Agosto. Es un borrador de ley que pretende el almacenamiento de todos los datos de comunicaciones de cualquier tipo (llamadas telefónicas, fax, móviles, Internet) durante - atentos todos- siete años. Recomiendo la lectura de ese documento, tanto por lo increíble de sus exigencias como por la imaginación que derrocha intentando convencer de que es por nuestro bien. Lo más increíble del caso es que el documento NCIS fue redactado tanto para las autoridades policiales como para las agencias de inteligencia: MI5, MI6, CGHQ. No creo que se molesten en informar a los espías electrónicos si éstos no fuesen al final a participar en esas "expediciones de pesca", ¿no?

El hecho es que la retención de datos de comunicación en los proveedores, o en "almacenes de datos" a cargo del gobierno comienza a ser una posibilidad real. Y para aquellos ciudadanos cumplidores de la ley y amantes del "yo no tengo nada que esconder", les recuerdo que el término "datos de comunicación" es muy amplio. Incluye números de tarjeta o cuenta bancaria con que se pagan las comunicaciones, identificador y contraseña de acceso, y ubicación geográfica.

Sí, ubicación geográfica. Por si no lo sabéis, uno de los datos que filtra nuestro móvil es nuestra ubicación, con un margen de error de unos centenares de metros, y se puede mejorar. Las autoridades norteamericanas están ahora forzando a los operadores de móviles para poder obtener la ubicación de un móvil con un error de 50-100 metros. Un teléfono móvil, aunque no esté siendo usado, puede servir como instrumento de rastreo, y hay planes para incorporarles dispositivos GPS para una localización más precisa.

Así que nos vemos enfrentados a un "almacén de datos" que guardará toda la información sobre nuestras comunicaciones y nuestra posición durante un período de años, datos que podrán ser consultados y rastrillados a placer por las "autoridades competentes" ¿El 1984 de Orwell nos parecía distante? Pues a ver. Si tener almacenada toda la información relevante sobre dónde estamos, a dónde vamos y cómo/cuando/con quién nos comunicamos no es digno de una pesadilla orwelliana, me lo expliquen.

¿Increíble? Pero cierto. Desde hace dos años, tanto el grupo G-8 como el Consejo de Europa (a través de su ya famoso Convenio sobre Cibercrimen) persiguen ese objetivo. Y diversa entidades, como los responsables de protección de datos, se oponen a la medida. Esto ha dado lugar a una encarnizada pero interesante batalla interna en el seno de la propia Unión Europea.


Directiva, sálvanos

Si bien los responsables de redactar documentos Enfopol se mantuvieron en "bajo perfil" tras la aprobación de Enfopol 19, últimamente parecen haber salido a la superficie, listos para la pelea. El motivo puede ser que otras fuerzas están maniobrando en su contra. El 12 de Julio de 2000, el mismo día en que se decidía que las "intervenciones de comunicaciones" se tratasen bajo el nombre de "tecnologías avanzadas", la Comisión Europea hizo pública la propuesta de Directiva COM(2000)385 sobre protección de datos y protección de la privacidad en las comunicaciones electrónicas. Se espera que reemplace a la Directiva 97/66/CE, que aunque de obligado cumplimiento desde Octubre de 1.998 solamente ha sido puesta en práctica por seis países de la UE (España entre ellos).

Se supone que es poco más que una adaptación y actualización de la 97/66/CE, pero incorpora algunas novedades que no han sido del agrado de nuestros vigilantes. Una de ellas se refiere precisamente a los datos de comunicación, también llamados datos de tráfico, que -recuerdo- se refieren no al contenido de la llamada sino a datos complementarios (números de los interlocutores, cuentas corrientes para el pago, ubicación geográfica, tipo de red y servicios empleados, hora y duración de la llamada, etc). La Comisión Europea quiere que esos datos sean preservados con el único fin de facturación, tras lo cual serían destruidos o hechos anónimos.

El Consejo, por su parte, desea hacer excepciones a esta norma para que las autoridades competentes puedan bucear en esas piscinas de datos. En el documento ENFOPOL 71 puede leerse cómo el borrado de datos impediría perseguir delitos como la exaltación al odio racial o la pornografía infantil (a lo que yo me pregunto, ¿cómo se las han arreglado hasta ahora?). Se llega incluso a apelar a la Resolución de 1995 sobre Interceptación Legal de las Comunicaciones (!otra vez nuestra amiga la "no vinculante"!) y al Convenio de Asistencia Mutua en Materia Penal, a pesar de que ninguno de los dos textos cita, explícita o implícitamente, la retención de datos de tráfico. Una actualización (ENFOPOL 71 Rev 1) incluye diversos ejemplos de delitos resueltos gracias a los datos de tráfico. Muy loable, aunque sigo preguntándome si detener un alijo de droga justifica el tener que almacenar la vida y milagros de todos los ciudadanos en discos duros.

Contra el Consejo están tanto la Comisión Europea como el Parlamento Europeo. Y esto presenta un reto interesante. Al contrario que el ya mencionado Convenio de Asistencia Penal (donde el Parlamento Europeo emitía un dictamen obligatorio pero no vinculante, con lo que a la postre el Consejo era quien decidía), la Directiva COM(2000)385 está siendo desarrollada mediante el llamado procedimiento de codecisión. Esto significa que intervienen todos en pie de igualdad: Consejo, Comisión y Parlamento. Nada de que uno decide y los otros hacen de meros comparsas. Ahora la voz del Parlamento Europeo (PE) ha de ser oída y tenida en cuenta.

Y menuda voz es esa. La Directiva ha pasado por dos comisiones, la de Libertades y Derechos de los ciudadanos (LIBE) y la de Industria y Comercio Exterior. Y no sé si por casualidad o deliberadamente, el PE ha escogido a dos de sus miembros más combativos para redactar los informes. En la comisión LIBE -que lleva la voz cantante en este asunto dentro del PE- el encargado ha sido Marco Cappato, un parlamentario radical de la Lista Bonino. ¿Recordáis el Convenio sobre Asistencia Mutua en Materia Penal? Pues él fue uno de los que propuso la eliminación del Título III (Intervención de Comunicaciones) entero.

En cuanto a la comisión de Industria, la encargada es la eurodiputada Ilka Schroeder. Tuve la ocasión de conocerla recientemente: militante por los Verdes, 23 añitos y pinta de okupa en Berlín más que de parlamentaria en Bruselas. Fue miembro de la comisión de estudio sobre Echelon, así que es la persona adecuada para vigilar el desarrollo de una directiva sobre protección de la privacidad de los ciudadanos. Entre ambos, están machacando las aspiraciones del Consejo de "enfopolizar" nuestro continente.

Pero no crean que la batalla está ganada. El Consejo no está dispuesto a dar su brazo a torcer. En el documento ENFOPOL 23 (30 Marzo 2001), insta a la Comisión para que permita el acceso de las autoridades policiales a los datos de comunicación (nuevamente bajo la excusa de combatir la pornografía infantil en Internet) impidiendo su borrado. O dicho en cristiano: vuestros esfuerzos son loables, chicos del PE y la Comisión, pero ya estáis cambiando la directiva al toque de ya.

Y en eso andamos. El PE no parece dispuesto a dejar que el Consejo vuelva a tomarles por el pito del sereno. Aunque la elección de europarlamentarios radicales como ponentes haya sido fruto del azar, sus informes han sido ya aprobados por las comisiones del PE y serán presentadas en el pleno del Parlamento Europeo en septiembre. Pero el pasado 27 de Junio, el Consejo de Ministros sobre Telecomunicaciones se adelantó aprobando las conclusiones de Enfopol 23, afirmándose con ello en su insistencia de dar puerta abierta a las "autoridades competentes" a todos nuestros datos de comunicaciones (curiosamente, no pudieron ponerse de acuerdo en la reformulación del artículo 6.1, que les daría acceso a dichos datos). La Comisión Europea, por su parte, respalda la actuación del Parlamento y no parece querer dar marcha atrás.

Y, por pura casualidad, la polémica Ley sobre Servicios de la Sociedad de la Información (LSSI) será aprobada por el Consejo de Ministros español y enviada al Parlamento en Septiembre. Puede que no haya relación entre ambas iniciativas (acceso a datos de tráfico en Europa, regulación de Internet en España) ... pero caray, qué coindicencia.

En cualquier caso, vivan los veranos animados. !Booooom-ba!