La Ley de 1990 sobre uso indebido de ordenadores (c. 18) es una ley del Parlamento del Reino Unido , introducida en parte como respuesta a la decisión en R v Gold & Schifreen (1988) 1 AC 1063. Los críticos del proyecto de ley [¿ quiénes? ] se quejaron de que se había introducido apresuradamente, estaba mal pensado y que la intención era a menudo difícil de probar, ya que el proyecto de ley no diferenciaba adecuadamente a los piratas informáticos "que se aprovechan de los demás" como Gold y Schifreen de los delincuentes informáticos graves. No obstante, la Ley se ha convertido en un modelo en el que varios otros países, incluidos Canadá y la República de Irlanda , se han inspirado para redactar posteriormente sus propias leyes de seguridad de la información , ya que se la considera "una pieza legislativa sólida y flexible en términos de abordar el ciberdelito". [1] Se han aprobado varias enmiendas para mantener la Ley actualizada.
Robert Schifreen y Stephen Gold , utilizando ordenadores domésticos convencionales y módems a finales de 1984 y principios de 1985, obtuvieron acceso no autorizado al servicio de visualización de datos interactivos Prestel de British Telecom . Mientras estaban en una feria comercial, Schifreen, al hacer lo que más tarde se conocería como shoulder surfing , había observado la contraseña de un ingeniero de Prestel. [ cita requerida ] El nombre de usuario del ingeniero era 22222222 y la contraseña utilizada era 1234. [2] [3] Esto dio lugar posteriormente a acusaciones de que British Telecom (BT) no se había tomado en serio la seguridad. Armados con esta información, la pareja exploró el sistema, incluso consiguiendo acceso al buzón de mensajes personales del príncipe Felipe .
Prestel instaló monitores en las cuentas sospechosas y pasó la información obtenida a la policía. Ambos fueron acusados en virtud del artículo 1 de la Ley de Falsificación y Contravención de 1981 de defraudar a BT mediante la fabricación de un "instrumento falso", es decir, el estado interno del equipo de BT después de haber procesado la contraseña interceptada de Gold. Juzgados en el Tribunal de la Corona de Southwark , fueron condenados por cargos de muestra (cinco contra Schifreen, cuatro contra Gold) y multados, respectivamente, con 750 y 600 libras esterlinas.
Aunque las multas impuestas fueron modestas, decidieron apelar ante la División Penal del Tribunal de Apelaciones . Su abogado alegó la falta de pruebas que demostraran que los dos habían intentado obtener beneficios materiales de sus hazañas y afirmó que la Ley de Falsificación y Contravención se había aplicado incorrectamente a su conducta. Fueron absueltos por el Lord Justice Lane, pero la fiscalía apeló ante la Cámara de los Lores . En 1988, los Lores confirmaron la absolución. [4] El Lord Justice Brandon dijo:
En consecuencia, hemos llegado a la conclusión de que el lenguaje de la Ley no estaba destinado a aplicarse a la situación que se demostró que existía en este caso. Las alegaciones presentadas al final de la acusación deberían haber tenido éxito. Es una conclusión a la que llegamos sin pesar. El intento procustiano [5] de imponer estos hechos en el lenguaje de una Ley que no estaba diseñada para ajustarse a ellos generó graves dificultades tanto para el juez como para el jurado que no deseamos que se repitan. La conducta de los apelantes equivalió en esencia, como ya se dijo, a obtener acceso deshonestamente al banco de datos Prestel pertinente mediante un truco. Eso no es un delito penal. Si se considera deseable que lo sea, eso es una cuestión que corresponde al legislador y no a los tribunales.
La decisión de los lores llevó a muchos expertos legales a creer que la piratería informática no era ilegal tal como estaba establecida en la legislación vigente en ese momento. La Comisión de Derecho Inglesa y su contraparte en Escocia analizaron el asunto. La Comisión de Derecho Escocesa concluyó que la intrusión estaba adecuadamente contemplada en Escocia en el derecho consuetudinario relacionado con el engaño, pero la Comisión de Derecho Inglesa consideró que era necesaria una nueva ley.
Desde que se produjo el caso, ambos acusados han escrito extensamente sobre cuestiones de TI. Gold, que detalló todo el caso con cierta extensión en The Hacker's Handbook , ha dado conferencias junto a los agentes que realizaron los arrestos en el caso. [6]
Basándose en las recomendaciones de la ELC, el diputado conservador Michael Colvin presentó un proyecto de ley de iniciativa parlamentaria . El proyecto de ley, apoyado por el gobierno, entró en vigor en 1990. Las secciones 1 a 3 de la Ley introdujeron tres delitos penales: [7] [ cita completa necesaria ]
(Para otros delitos véase el § Enmiendas más abajo)
Los delitos tipificados en los artículos 2 y 3 tienen por objeto disuadir a los delincuentes más graves de utilizar un ordenador para ayudar a la comisión de un delito o de perjudicar o dificultar el acceso a los datos almacenados en un ordenador. El delito básico tipificado en el artículo 1 es intentar o conseguir acceder a un ordenador o a los datos que almacena, induciendo al ordenador a realizar cualquier función con la intención de asegurar el acceso. Por tanto, los piratas informáticos que programan sus ordenadores para que busquen entre permutaciones de contraseñas son responsables, incluso si sus intentos de iniciar sesión son rechazados por el ordenador de destino. La única condición previa para la responsabilidad es que el pirata informático sea consciente de que el acceso intentado no está autorizado. Por tanto, el uso del nombre de usuario o identificador (ID) y la contraseña de otra persona sin la debida autorización para acceder a los datos o a un programa, o para alterar, eliminar, copiar o mover un programa o datos, o simplemente para mostrar un programa o datos en una pantalla o impresora, o para hacerse pasar por esa otra persona mediante el correo electrónico , el chat en línea , la web u otros servicios, constituye el delito. Incluso si el acceso inicial está autorizado, la exploración posterior, si existe una jerarquía de privilegios en el sistema, puede dar lugar al acceso a partes del sistema para las que no se tienen los privilegios necesarios y se cometerá el delito. Mirar por encima del hombro de un usuario o utilizar equipos electrónicos sofisticados para controlar la radiación electromagnética emitida por las pantallas de visualización ("espionaje electrónico") queda fuera del ámbito de este delito.
Los delitos tipificados en los §§2 y §3 son delitos agravados, que requieren una intención específica de cometer otro delito (para estos efectos, los demás delitos deben ser motivo de arresto , por lo que incluyen todos los delitos principales de fraude y deshonestidad tipificados en el derecho consuetudinario y en la legislación ). Por lo tanto, un pirata informático que obtiene acceso a un sistema con la intención de transferir dinero o acciones, tiene la intención de cometer un robo u obtener información confidencial para chantaje o extorsión . Por lo tanto, el delito tipificado en el §1 se comete tan pronto como se intenta el acceso no autorizado, y el delito tipificado en el §2 asume la responsabilidad tan pronto como se realiza el acceso específico con el propósito delictivo. El delito tipificado en el §3 está dirigido específicamente a quienes escriben y hacen circular un virus o gusano informático , ya sea en una LAN o a través de redes . De manera similar, el uso de técnicas de phishing o de un caballo de Troya para obtener datos de identidad o adquirir cualquier otro dato de una fuente no autorizada, o modificar los archivos del sistema operativo o algún aspecto de las funciones del ordenador para interferir en su funcionamiento o impedir el acceso a cualquier dato, incluida la destrucción de archivos, o generar deliberadamente código para provocar un mal funcionamiento completo del sistema, son todas ellas "modificaciones" delictivas. En 2004, John Thornley se declaró culpable de cuatro delitos en virtud del §3 [11] [12], por haber organizado un ataque contra un sitio rival e introducido un caballo de Troya para derribarlo en varias ocasiones, pero se reconoció que era necesario aclarar la redacción del delito para confirmar que se incluían todas las formas de ataque de denegación de servicio . [ cita requerida ]
Aunque la Ley apunta ostensiblemente a quienes desean obtener acceso no autorizado a sistemas informáticos con diversos fines, sus implicaciones sobre prácticas industriales previamente relativamente extendidas o bien conocidas, como el "bloqueo temporal" del software, se han descrito en varias publicaciones de la industria informática. El bloqueo temporal es la práctica de desactivar la funcionalidad o programas enteros para garantizar que el software, potencialmente entregado a condición de un pago posterior, "caduque" y, por lo tanto, deje de funcionar. En un caso destacado, un "desarrollador de sistemas a medida en las Midlands" activó un bloqueo temporal en un software debido a una disputa con un cliente sobre una factura impaga. El cliente informó de esto a la policía, que acusó al programador en virtud del artículo 3 de la Ley, y el resultado fue una condena por parte de un tribunal de magistrados, con una absolución condicional otorgada por el magistrado, lo que significa que no se aplicó ningún castigo con la condición de que el programador no reincidiera. [13]
El Anexo 1 Parte II de la Ley de Justicia Penal (Terrorismo y Conspiración) de 1998 ('Conspiración') modificó la Sección 8 (relevancia del derecho externo), la Sección 9(2)(b) (la ciudadanía británica es irrelevante: conspiración) y la Sección 16 (aplicación a Irlanda del Norte). [14]
En 2004, el Grupo de Internet de todos los partidos publicó su análisis de la ley y destacó las áreas que debían mejorarse. Sus recomendaciones condujeron a la redacción del proyecto de ley de 1990 (modificación) de la Ley sobre uso indebido de ordenadores, que pretendía modificar la Ley de uso indebido de ordenadores para cumplir con la Convención Europea sobre delitos cibernéticos. [15] Según sus términos, la pena máxima de prisión por infringir la Ley pasó de seis meses a dos años. También pretendía penalizar explícitamente los ataques de denegación de servicio y otros delitos facilitados por la denegación de servicio. El proyecto de ley no recibió la sanción real porque el Parlamento estaba prorrogado .
Las secciones 35 a 38 de la Ley de Policía y Justicia de 2006 contienen modificaciones a la Ley de Uso Indebido de Computadoras de 1990.
La sección 37 ("Fabricación, suministro u obtención de artículos para su uso en delitos de uso indebido de computadoras") inserta una nueva sección 3A en la Ley de 1990 y ha generado considerables críticas de los profesionales de TI, ya que muchos de sus herramientas pueden ser utilizadas por delincuentes además de sus propósitos legítimos y, por lo tanto, caen bajo la sección 3A.
Después del escándalo de piratería telefónica de News International en 2011, hubo discusiones sobre la posibilidad de modificar la ley para definir los teléfonos "inteligentes" (es decir, aquellos con navegadores de Internet y otras funciones de conectividad) como computadoras según la Ley. [ cita requerida ] Tal modificación también podría introducir un nuevo delito de "hacer disponible información con intención", es decir, revelar públicamente una contraseña para el teléfono o la computadora de alguien para que otros puedan acceder a ella ilegalmente. [ 16 ] [ verificación fallida ]
En 2015, la Ley fue modificada nuevamente por la Parte 2, artículos 41 a 44 (y otros) de la Ley de Delitos Graves de 2015. [ 17]
Las modificaciones a la Ley de Uso Indebido de Computadoras de 1990 por la Parte 5 de la Ley de Policía y Justicia de 2006 [18] son
Las modificaciones a la Ley de Uso Indebido de Computadoras de 1990 por la Parte 2 de la Ley de Delitos Graves de 2015. [17] son
En abril de 2020, Matt Hancock emitió instrucciones que otorgaban al GCHQ poderes temporales sobre los sistemas de información del Servicio Nacional de Salud hasta fines de 2020 a los efectos de la Ley para apoyar y mantener la seguridad de cualquier red y sistema de información que respalde, directa o indirectamente, la prestación de servicios del NHS o servicios de salud pública destinados a abordar el COVID-19 . [31]
En mayo de 2021, la Secretaria del Interior del Reino Unido, Priti Patel, anunció la revisión formal de la Ley de Uso Indebido de Computadoras. [32] También lanzó una Convocatoria de Información sobre la Ley que busca opiniones sobre si existe actividad que cause daño en el área cubierta por la Ley que no esté adecuadamente cubierta por los delitos, incluso si la legislación es adecuada para su uso después de los avances tecnológicos desde que se introdujo la Ley de Uso Indebido de Computadoras, y cualquier otra sugerencia sobre cómo se podría fortalecer la respuesta legislativa a los delitos cibernéticos. [33]
La revisión de la Ley surge a raíz de los crecientes pedidos, en los últimos años, de una revisión gubernamental completa de la Ley sobre Uso Indebido de Computadoras, con el fin de introducir nuevas reformas.
En noviembre de 2019, Dame Lynne Owens , directora general de la Agencia Nacional contra el Crimen (NCA), advirtió que "la Ley de uso indebido de computadoras pasó por el Parlamento en un momento en que el ciberespacio no era la herramienta que es ahora para permitir todo tipo de delitos como el fraude" y habló sobre planes para introducir reformas para asegurarse de que la ley fuera "apta para su propósito en la era moderna". [ cita requerida ]
En enero de 2020, la Red para la Reforma del Derecho Penal Ahora (CLRNN) publicó un informe exhaustivo que destaca las deficiencias de la Ley y formula recomendaciones detalladas para su reforma. [34]
Ese mismo mes, se creó la campaña CyberUp con la intención de presionar al gobierno del Reino Unido para que "actualizara y mejorara" la ley. El lanzamiento de la campaña fue cubierto por The Guardian en un artículo que se hizo eco del llamado a una "reforma urgente". [35] La campaña CyberUp está formada por una amplia coalición de organismos de apoyo dentro de la industria de la ciberseguridad, incluidas las grandes consultoras cibernéticas NCC Group y F-Secure y el organismo comercial de la industria cibernética TechUK . En noviembre de 2020, la campaña obtuvo el respaldo de la Confederación de la Industria Británica .
La coalición se formó sobre la base de la opinión compartida de que es necesaria una actualización de la legislación sobre delitos cibernéticos del Reino Unido para proteger la seguridad nacional y aumentar el crecimiento económico de la industria de la ciberseguridad del Reino Unido. La Campaña hace referencia a la Sección 1 de la Ley, que "prohíbe el acceso no autorizado a las computadoras", y afirma que criminaliza inadvertidamente una gran cantidad de investigaciones e investigaciones sobre ciberseguridad e inteligencia sobre amenazas que suelen realizar los profesionales de la ciberseguridad del Reino Unido.
La campaña ha pedido dos enmiendas clave:
El 29 de junio de 2020, para celebrar el 30.º aniversario de la Ley, la Campaña CyberUp escribió una carta abierta al primer ministro en nombre de varias figuras de la industria de la ciberseguridad para destacar la obsolescencia de la Ley en una época de rápidos avances digitales. La carta se publicó en The Daily Telegraph con el titular "Los expertos en ciberseguridad dicen que se les impide detener el fraude informático". [36] [ verificación necesaria ]
En julio de 2020, el Comité de Inteligencia y Seguridad del Parlamento , responsable de la supervisión de los servicios de inteligencia del Reino Unido, publicó el informe del Comité de Inteligencia y Seguridad sobre Rusia y recomendó que "la Ley de Uso Indebido de Computadoras debería actualizarse para reflejar el uso moderno de los dispositivos electrónicos personales". Si bien la respuesta del gobierno al informe decía que la Ley se revisaba periódicamente para determinar los beneficios del cambio legislativo, la ministra de Asuntos Exteriores en la sombra , Lisa Nandy , destacó en enero de 2021 que no se había logrado ningún progreso en la implementación de la recomendación.
En noviembre de 2020, la campaña CyberUp y TechUK publicaron un nuevo informe [37] [ ¿fuente poco fiable? ] sobre la Ley de uso indebido de equipos informáticos, que fue el primer trabajo que cuantificó y analizó las opiniones de la comunidad de seguridad del Reino Unido en general. El informe concluyó que el 80 por ciento de los profesionales de la ciberseguridad se han preocupado por infringir la ley al investigar vulnerabilidades o a los actores de las ciberamenazas. Además, el 91 por ciento de las empresas que respondieron a la encuesta del informe sugirieron que la Ley las había puesto en desventaja competitiva y que la reforma permitiría a su organización obtener importantes mejoras de productividad, crecimiento y beneficios de resiliencia. El informe recomendó que el gobierno considerara la posibilidad de implementar las dos enmiendas mencionadas anteriormente.
