Ley de Uso Indebido de Computadoras de 1990

La Ley de Uso Indebido de Computadoras de 1990 (c. 18) es una ley del Parlamento del Reino Unido , introducida en parte como respuesta a la decisión en R v Gold & Schifreen (1988) 1 AC 1063. Los críticos del proyecto de ley se quejaron de que se introdujo apresuradamente, estaba mal concebido y que la intención a menudo era difícil de probar, ya que el proyecto de ley no diferenciaba adecuadamente a los hackers "juguetones" como Gold y Schifreen de los delincuentes informáticos graves. No obstante, la Ley se ha convertido en un modelo del que varios otros países, incluidos Canadá y la República de Irlanda , se han inspirado al redactar posteriormente sus propias leyes de seguridad de la información , ya que se considera "una legislación sólida y flexible en lo que respecta al tratamiento del ciberdelito". ^{[ 1 ]} Se han aprobado varias enmiendas para mantener la Ley actualizada.

Robert Schifreen y Stephen Gold , utilizando ordenadores domésticos y módems convencionales a finales de 1984 y principios de 1985, obtuvieron acceso no autorizado al servicio interactivo de visualización de datos Prestel de British Telecom . Durante una feria comercial, Schifreen, mediante lo que posteriormente se conoció como " mirar por encima del hombro" , observó la contraseña de un ingeniero de Prestel. El nombre de usuario del ingeniero era 22222222 y la contraseña utilizada era 1234. ^{[ 2 ] [ 3 ]} Esto dio lugar posteriormente a acusaciones de que British Telecom (BT) no se había tomado la seguridad en serio. Armados con esta información, los dos exploraron el sistema, llegando incluso a acceder al buzón de mensajes personal del príncipe Felipe .

Prestel instaló sistemas de vigilancia en las cuentas sospechosas y entregó la información obtenida a la policía. Ambos fueron acusados, en virtud del artículo 1 de la Ley de Falsificación de 1981, de defraudar a BT mediante la fabricación de un «instrumento falso», concretamente el estado interno del equipo de BT tras haber procesado la contraseña interceptada de Gold. Juzgados en el Tribunal de la Corona de Southwark , fueron declarados culpables de los cargos presentados (cinco contra Schifreen y cuatro contra Gold) y multados con 750 y 600 libras esterlinas, respectivamente.

Aunque las multas impuestas fueron modestas, optaron por apelar ante la División Penal del Tribunal de Apelación . Su abogado alegó la falta de pruebas que demostraran que ambos habían intentado obtener un beneficio material de sus hazañas y afirmó que la Ley de Falsificación y Contrafalsificación se había aplicado erróneamente a su conducta. Fueron absueltos por el Lord Justice Lane, pero la fiscalía apeló ante la Cámara de los Lores . En 1988, los Lores confirmaron la absolución. ^{[ 4 ]} El Lord Justice Brandon dijo:

En consecuencia, hemos llegado a la conclusión de que el lenguaje de la Ley no estaba destinado a aplicarse a la situación que se demostró en este caso. Los argumentos presentados al final de la presentación de pruebas por la fiscalía debieron haber prosperado. Es una conclusión a la que llegamos sin pesar. El intento forzado ^{[ 5 ]} de adaptar estos hechos al lenguaje de una Ley que no fue diseñada para ello generó graves dificultades tanto para el juez como para el jurado, las cuales no deseamos que se repitan. La conducta de los apelantes consistió, esencialmente, como ya se ha dicho, en obtener acceso fraudulento a la base de datos Prestel pertinente mediante un engaño. Esto no constituye un delito. Si se considera conveniente tipificarlo como tal, esa es una cuestión que compete al poder legislativo, no a los tribunales.

La sentencia de la Cámara de los Lores llevó a muchos juristas a creer que el pirateo informático no era ilegal según la legislación vigente en aquel momento. Tanto la Comisión de Derecho inglesa como su homóloga escocesa examinaron el asunto. La Comisión de Derecho escocesa concluyó que la intrusión estaba suficientemente contemplada en Escocia en virtud del derecho consuetudinario relativo al engaño, pero la Comisión de Derecho inglesa consideró necesaria una nueva ley.

Desde el caso, ambos acusados ​​han escrito extensamente sobre temas de TI. Gold, quien detalló todo el caso con bastante extensión en The Hacker's Handbook , ha presentado ponencias en conferencias junto con los agentes que realizaron el arresto. ^{[ 6 ]}

Con base en las recomendaciones del ELC, el diputado conservador Michael Colvin presentó un proyecto de ley de iniciativa privada . El proyecto de ley, apoyado por el gobierno, entró en vigor en 1990. Las secciones 1 a 3 de la Ley introdujeron tres delitos penales: ^{[ 7 ]}

1. acceso no autorizado a material informático, castigado con doce meses de prisión (o seis meses en Escocia) y/o una multa "que no exceda el nivel 5 en la escala estándar " (desde 2015, ilimitada); ^{[ 8 ]}
2. acceso no autorizado con la intención de cometer o facilitar la comisión de otros delitos, punible con doce meses/multa máxima (o seis meses en Escocia) en caso de condena sumaria y/o cinco años/multa en caso de acusación formal ; ^{[ 9 ]}
3. Modificación no autorizada de material informático, punible con doce meses/multa máxima (o seis meses en Escocia) en caso de condena sumaria y/o diez años/multa en caso de acusación formal; ^{[ 10 ]}

(Para otros delitos, véase el apartado § Las modificaciones que figuran a continuación)

Los delitos tipificados en las secciones 2 y 3 tienen como objetivo disuadir a los delincuentes más peligrosos de utilizar un ordenador para facilitar la comisión de un delito o de obstaculizar o impedir el acceso a los datos almacenados en él. El delito básico de la sección 1 consiste en intentar o conseguir acceso a un ordenador o a los datos que almacena, induciéndolo a realizar cualquier función con la intención de obtener acceso seguro. Por lo tanto, los piratas informáticos que programan sus ordenadores para buscar entre diferentes combinaciones de contraseñas son responsables, incluso si sus intentos de acceso son rechazados por el ordenador objetivo. El único requisito previo para la responsabilidad es que el pirata informático sea consciente de que el acceso intentado no está autorizado. Así pues, utilizar el nombre de usuario o identificador (ID) y la contraseña de otra persona sin la debida autorización para acceder a datos o a un programa, o para alterar, eliminar, copiar o mover un programa o datos, o simplemente para imprimir un programa o datos en una pantalla o impresora, o para suplantar la identidad de esa persona mediante correo electrónico , chat en línea , web u otros servicios, constituye el delito. Aunque el acceso inicial esté autorizado, si existe una jerarquía de privilegios en el sistema, la exploración posterior podría conducir al acceso a partes del sistema para las que no se poseen los privilegios necesarios, lo que constituiría un delito. Observar por encima del hombro de un usuario o utilizar equipos electrónicos sofisticados para monitorizar la radiación electromagnética emitida por las pantallas de visualización («espionaje electrónico») queda fuera del alcance de este delito.

Los delitos de los §§2–3 son delitos agravados, que requieren una intención específica de cometer otro delito (a estos efectos, los otros delitos deben ser punibles con arresto , e incluyen todos los delitos graves de fraude y deshonestidad , tanto del derecho común como de la legislación vigente ). Así, un pirata informático que obtiene acceso a un sistema con la intención de transferir dinero o acciones, tiene la intención de cometer un robo u obtener información confidencial para chantajear o extorsionar . Por lo tanto, el delito del §1 se comete en cuanto se intenta el acceso no autorizado, y el delito del §2 adquiere responsabilidad en cuanto se realiza el acceso específico con fines delictivos. El delito del §3 está dirigido específicamente a quienes escriben y distribuyen un virus o gusano informático , ya sea en una LAN o a través de redes . De manera similar, usar técnicas de phishing o un caballo de Troya para obtener datos de identidad o adquirir cualquier otro dato de una fuente no autorizada, o modificar los archivos del sistema operativo o algún aspecto de las funciones de la computadora para interferir con su funcionamiento o impedir el acceso a cualquier dato, incluida la destrucción de archivos, o generar deliberadamente código para causar un mal funcionamiento completo del sistema, son todas "modificaciones" criminales. En 2004, John Thornley se declaró culpable de cuatro delitos según el §3, ^{[ 11 ] [ 12 ]} habiendo lanzado un ataque a un sitio rival, e introducido un caballo de Troya para derribarlo en varias ocasiones, pero se reconoció que la redacción del delito necesitaba ser aclarada para confirmar que todas las formas de ataque de denegación de servicio están incluidas.

Aunque la Ley aparentemente se dirige a quienes desean obtener acceso no autorizado a sistemas informáticos para diversos fines, sus implicaciones en prácticas industriales previamente relativamente extendidas o bien conocidas, como el "bloqueo temporal" de software, se han descrito en varias publicaciones del sector informático. El bloqueo temporal consiste en deshabilitar funcionalidades o programas completos para garantizar que el software, potencialmente entregado a cambio de un pago adicional, "caduque" y, por lo tanto, deje de funcionar. En un caso destacado, un "desarrollador de sistemas a medida en Midlands" activó un bloqueo temporal en un programa informático debido a una disputa con un cliente por una factura impagada. El cliente denunció el hecho a la policía, que acusó al programador en virtud del artículo 3 de la Ley. El resultado fue una condena por parte de un tribunal de primera instancia, con una absolución condicional impuesta por el juez, lo que significaba que no se le impuso ninguna pena con la condición de que no volviera a delinquir. ^{[ 13 ]}

El Anexo 1, Parte II de la Ley de Justicia Penal (Terrorismo y Conspiración) de 1998 («Conspiración») modificó el artículo 8 (relevancia del derecho externo), el artículo 9(2)(b) (la ciudadanía británica es irrelevante: conspiración) y el artículo 16 (aplicación a Irlanda del Norte). ^{[ 14 ]}

En 2004, el Grupo Multipartidista de Internet publicó su revisión de la ley y destacó áreas de desarrollo. Sus recomendaciones llevaron a la redacción del Proyecto de Ley de Enmienda de la Ley de Uso Indebido de Computadoras de 1990, que buscaba enmendar la CMA para cumplir con el Convenio Europeo sobre Delitos Cibernéticos. ^{[ 15 ]} Según sus términos, la pena máxima de prisión por infringir la Ley cambió de seis meses a dos años. También buscaba criminalizar explícitamente los ataques de denegación de servicio y otros delitos facilitados por la denegación de servicio. El Proyecto de Ley no recibió la Sanción Real porque el Parlamento estaba prorrogado .

Los artículos 35 a 38 de la Ley de Policía y Justicia de 2006 contienen modificaciones a la Ley de Uso Indebido de Ordenadores de 1990.

El artículo 37 ("Fabricación, suministro u obtención de artículos para su uso en delitos informáticos") introduce un nuevo artículo 3A en la Ley de 1990 y ha suscitado considerables críticas por parte de los profesionales de TI, ya que muchas de sus herramientas pueden ser utilizadas por delincuentes además de para sus fines legítimos, y por lo tanto quedan comprendidas en el artículo 3A.

Tras el escándalo de piratería telefónica de News International en 2011, se debatió la posibilidad de modificar la ley para definir los teléfonos "inteligentes" (es decir, aquellos con navegadores web y otras funciones de conectividad) como ordenadores según la Ley. Dicha modificación también podría introducir un nuevo delito: "poner información a disposición con intención", es decir, revelar públicamente la contraseña del teléfono o el ordenador de alguien para que otros puedan acceder a él ilegalmente. ^{[ 16 ]}

En 2015, la Ley fue modificada nuevamente por las secciones 41 a 44 (y otras) de la Parte 2 de la Ley de Delitos Graves de 2015. ^{[ 17 ]}

En abril de 2020, Matt Hancock emitió instrucciones que otorgaban al GCHQ poderes temporales sobre los sistemas de información del Servicio Nacional de Salud hasta finales de 2020 a los efectos de la Ley para apoyar y mantener la seguridad de cualquier red y sistema de información que apoye, directa o indirectamente, la prestación de servicios del NHS o servicios de salud pública destinados a abordar la COVID-19 . ^{[ 31 ]}

En mayo de 2021, la ministra del Interior del Reino Unido , Priti Patel, anunció la revisión formal de la Ley de Abuso Informático. ^{[ 32 ]} También lanzó una convocatoria de información sobre la Ley para recabar opiniones sobre si existe alguna actividad perjudicial en el ámbito que abarca la Ley que no esté adecuadamente contemplada en los delitos, incluyendo si la legislación es adecuada para su uso tras los avances tecnológicos desde la introducción de la CMA, y cualquier otra sugerencia sobre cómo podría reforzarse la respuesta legislativa al delito cibernético. ^{[ 33 ]}

La revisión de la Ley se produce tras las crecientes peticiones, en los últimos años, de que el gobierno realice una revisión completa de la Ley de Uso Indebido de Ordenadores, con el fin de introducir nuevas reformas.

En noviembre de 2019, Dame Lynne Owens , Directora General de la Agencia Nacional contra el Crimen (NCA), advirtió que "la Ley de Abuso Informático se aprobó en el Parlamento en un momento en que el ciberespacio no era la herramienta que es ahora para facilitar todo tipo de delitos como el fraude" y habló de planes para introducir reformas que garanticen que la ley sea "adecuada para su propósito en la era moderna".

En enero de 2020, la Red para la Reforma del Derecho Penal Ahora (CLRNN) publicó un informe exhaustivo que destacaba las deficiencias de la Ley y formulaba recomendaciones detalladas para su reforma. ^{[ 34 ]}

En el mismo mes, se creó la Campaña CyberUp con la intención de presionar al gobierno del Reino Unido para que "actualizara y mejorara" la Ley. El lanzamiento de la Campaña fue cubierto por The Guardian en un artículo que se hizo eco del llamado a una "reforma urgente". ^{[ 35 ]} La Campaña CyberUp está compuesta por una amplia coalición de entidades de apoyo dentro de la industria de la ciberseguridad, incluidas las grandes consultoras de ciberseguridad NCC Group y F-Secure y la asociación comercial de la industria de la ciberseguridad TechUK . En noviembre de 2020, la campaña obtuvo el respaldo de la Confederación de la Industria Británica .

La coalición se formó a partir de la opinión compartida de que es necesaria una actualización de la legislación británica sobre ciberdelincuencia para proteger la seguridad nacional e impulsar el crecimiento económico del sector británico de la ciberseguridad. La campaña se refiere al artículo 1 de la ley, que prohíbe el acceso no autorizado a los ordenadores, y afirma que, de forma involuntaria, criminaliza gran parte de la investigación y el análisis de amenazas y ciberseguridad que realizan con frecuencia los profesionales británicos del sector.

La campaña ha solicitado dos enmiendas clave:

1. Modificar la ley para permitir que los investigadores de ciberseguridad e inteligencia sobre amenazas que actúan en interés público expliquen y justifiquen sus acciones, y para permitir la detección o prevención de delitos.
2. Crear un conjunto de definiciones legales claras para garantizar que los investigadores de ciberseguridad e inteligencia sobre amenazas que razonablemente crean tener autorización para actuar puedan hacerlo legítimamente.

El 29 de junio de 2020, para celebrar el 30.º aniversario de la Ley, la campaña CyberUp escribió una carta abierta al primer ministro en nombre de varias figuras de la industria de la ciberseguridad para destacar la obsolescencia de la Ley en una época de rápido avance digital. Esta carta se publicó en The Daily Telegraph con el titular «Los expertos en ciberseguridad afirman que se les impide detener el fraude informático». ^{[ 36 ]}

En julio de 2020, el Comité de Inteligencia y Seguridad del Parlamento , responsable de la supervisión de los servicios de inteligencia del Reino Unido, publicó el informe del Comité de Inteligencia y Seguridad sobre Rusia y recomendó que «la Ley de Uso Indebido de Ordenadores se actualice para reflejar el uso moderno de los dispositivos electrónicos personales». Si bien la respuesta del gobierno al informe indicó que la Ley se revisaba periódicamente para determinar los beneficios de los cambios legislativos, la portavoz de Asuntos Exteriores de la oposición , Lisa Nandy , destacó en enero de 2021 que no se había avanzado en la implementación de la recomendación.

En noviembre de 2020, la campaña CyberUp y TechUK publicaron un nuevo informe ^{[ 37 ]} sobre la Ley de Uso Indebido de Computadoras, el primer trabajo que cuantificó y analizó las opiniones de la comunidad de seguridad del Reino Unido. El informe reveló que el 80 % de los profesionales de la ciberseguridad se han preocupado por infringir la ley al investigar vulnerabilidades o ciberamenazas. Además, el 91 % de las empresas que respondieron a la encuesta del informe indicaron que la Ley las había puesto en desventaja competitiva y que una reforma les permitiría obtener mejoras significativas en productividad, crecimiento y resiliencia. El informe recomendó que el gobierno considerara la implementación de las dos enmiendas mencionadas.

• Delitos informáticos
• fraude por internet
• Ley de Protección de Datos de 1998

• Neil MacEwan, "La Ley de Abuso Informático de 1990: lecciones de su pasado y predicciones para su futuro" (2008), Criminal Law Review 955 .
• Stefan Fafinski, Mal uso de la informática: respuesta, regulación y derecho (Cullomption, Willan 2009)
• Yaman Akdeniz, Artículo 3 de la Ley de Uso Indebido de Computadoras de 1990: ¡un antídoto contra los virus informáticos! (1996) 3 Web JCLIincluyendo una referencia al caso de Christopher Pile (alias 'el Barón Negro') en noviembre de 1995.
• Discurso de Derek Wyatt sobre la Ley de Uso Indebido de Computadoras (enmienda)
• El fallo de la Cámara de los Lores

• Texto de la Ley de Uso Indebido de Ordenadores de 1990, vigente en la actualidad (incluidas sus modificaciones) en el Reino Unido, procedente de legislation.gov.uk .
• Texto de la Ley de Uso Indebido de Ordenadores de 1990, tal como fue promulgada o elaborada originalmente en el Reino Unido, procedente de legislation.gov.uk .
• El Foro sobre Delitos en Internet
• Redacción del proyecto de ley de enmienda fallido de 2004
• Modificaciones a la Ley de Abuso Informático de 1990 cubiertas por el Open Rights Group