En octubre de 2018, una investigación del diario israelí Haaretz, construida sobre un centenar de fuentes y quince países, documentó algo que conviene mirar de frente desde Costa Rica: empresas privadas de tecnología habían vendido sistemas de espionaje y recolección de inteligencia a gobiernos que los usaron para localizar y detener a activistas de derechos humanos, perseguir a personas por su orientación sexual y silenciar a ciudadanos críticos. Entre los compradores identificados aparecía el régimen de Daniel Ortega, junto a una veintena larga de gobiernos de África, Asia y América Latina. La compra ocurrió, además, en el año de la represión de las protestas cívicas nicaragüenses.
El detalle técnico de esos sistemas explica por qué la denuncia importa. No se trata de interceptar una llamada: los programas de esta familia se apropian de la actividad completa de un teléfono —ubicación, contactos, mensajes, navegación— y pueden convertir el aparato en un dispositivo de grabación ambiental. El objetivo deja de tener un lugar donde la vida privada exista. Y todo ocurre sin que la persona lo sepa, sin orden que se le notifique nunca, sin registro al que pueda acceder.
La frase que define a la industria
Lo más revelador de aquella investigación no fue el catálogo de abusos, sino una admisión. Altos funcionarios de las propias compañías reconocieron que, una vez vendidos los sistemas, no existe forma de impedir su uso indebido. Es decir: la industria sabe que vende una capacidad que no puede controlar después de la transacción y la vende igual. La investigación encontró, además, que algunas empresas siguieron comercializando sus productos incluso después de que se revelara públicamente que estaban siendo empleados con fines maliciosos.
El argumento comercial habitual es que solo se vende a Estados, con el compromiso de usar las herramientas contra el crimen organizado y el terrorismo. Pero ese compromiso no es auditable: nadie del lado del vendedor revisa contra quién se ejecutó el software, no hay registro público de objetivos y las cláusulas contractuales no tienen quien las verifique en el país comprador. En términos prácticos, el control termina cuando se firma la factura.
Y hay negocio. Un informe de la organización Privacy International contabilizó 246 empresas de vigilancia en el mundo en 2012 y más del doble cuatro años después. Las propuestas comerciales de estas firmas manejan tarifas de instalación de cientos de miles de dólares y precios escalonados según la cantidad de personas a vigilar, con un mantenimiento anual proporcional. Existe, literalmente, una lista de precios para espiar gente.
El problema de probarlo
Aquí conviene ser preciso, porque en esta materia la precisión es lo único que separa la denuncia del rumor. En el caso del gobierno de Ortega, especialistas nicaragüenses consultados en aquel momento señalaron que la situación permanecía en el terreno de la sospecha fundada: se sabía del uso de capacidades de vigilancia contra activistas y periodistas, pero no con certeza cuál producto específico se empleaba. La propia investigación periodística aclaró que la información disponible no apuntaba a un proveedor determinado.
Esa dificultad probatoria no es un detalle: es el rasgo central del problema. Un programa de este tipo está diseñado para operar sin dejar rastro visible al usuario. La víctima que sospecha suele carecer de los medios para verificarlo y, cuando intenta hacerlo, muchas veces destruye la evidencia sin saberlo —un teléfono reformateado o roto por frustración se lleva consigo la prueba—. A eso se suma que casi nadie denuncia: quien teme estar vigilado por el aparato estatal rara vez acude a ese mismo aparato a poner la denuncia. El resultado es un tipo de violación de derechos que puede ocurrir a gran escala y, aun así, no producir un solo expediente.
Como perito informático, esa es la parte que más me inquieta profesionalmente. En cualquier otro delito, la evidencia sobrevive a la víctima. Aquí, la evidencia vive dentro del dispositivo del vigilado, es volátil y su preservación exige conocimiento técnico que la mayoría de la gente no tiene ni tiene por qué tener.
Lo que este caso enseña a un país comprador
La lección que deja el caso del gobierno de Ortega no es sobre Nicaragua. Es sobre la naturaleza del mercado en el que se mueve toda la región.
Primero: estas herramientas son de doble uso por diseño. La misma capacidad que rastrea una red de contrabando puede mapear una red de opositores; el mismo motor que cruza información financiera puede cruzar afiliaciones y contactos. La diferencia entre un uso legítimo y uno abusivo no está en el software, sino en quién lo opera, bajo qué norma y con qué control externo.
Segundo: la ética del proveedor no es un mecanismo de protección. Aunque existiera —y los propios ejecutivos citados admiten sus límites—, sería una promesa privada sin exigibilidad pública. Ningún ciudadano puede reclamarle a una empresa extranjera el uso que su gobierno le dio a un sistema.
Tercero, y es lo único que de verdad funciona: los límites los pone el ordenamiento jurídico del país que compra, y los pone antes de comprar. Una norma que habilite expresamente el tratamiento de datos que hará la herramienta; una evaluación de impacto previa a la implementación; reglas escritas sobre quién accede, con qué registro de auditoría y por cuánto tiempo se conservan los datos; claridad sobre si la información sale del país y bajo qué jurisdicción queda; y transparencia en la adquisición, aun cuando el detalle operativo se reserve legítimamente.
Nada de eso limita la capacidad del Estado para perseguir el delito. Lo que hace es dejar constancia de las reglas mientras todavía se puede discutir cuáles son, en lugar de descubrirlas cuando ya hay alguien vigilado que no debía estarlo.
La ruta no se decide: se recorre por omisión
Conviene decir algo que suele perderse en estas discusiones. Ningún país llega a un escenario de vigilancia abusiva porque alguien lo haya decidido en una reunión. Se llega por acumulación de omisiones y todas parecen razonables en el momento en que se cometen: se adquiere una herramienta sin una norma que habilite expresamente lo que hará, porque urgía; se omite la evaluación de impacto, porque el proveedor asegura que el sistema es seguro; no se define por escrito quién accede ni queda registro de auditoría, porque se confía en el equipo a cargo; no se aclara dónde residen los datos, porque técnicamente es un detalle; y no se responde a quien pregunta, porque la consulta parece inoportuna.
Cada una de esas omisiones es reversible por separado. Juntas construyen una capacidad instalada que opera sin control y sin memoria de quién la usó y para qué. Y lo determinante es que ese resultado no depende de las intenciones de nadie: una vez que existe una herramienta capaz de perfilar personas y no existe registro de cómo se usa, el abuso se vuelve posible sin que haga falta que alguien lo ordene. Basta un funcionario con acceso, un cambio de administración, una instrucción informal que nadie documenta.
Por eso, la fiscalización no es un gesto de desconfianza hacia quien gobierna hoy. Es el mecanismo que impide que ese camino se recorra por descuido. Los países que terminaron en los informes de las organizaciones internacionales no tenían tecnología distinta a la que usan democracias con controles: tenían las mismas herramientas y menos preguntas hechas a tiempo.
Los gobiernos cambian; las capacidades instaladas se quedan. Un sistema comprado hoy va a seguir funcionando bajo administraciones que nadie puede prever, operado por funcionarios que nadie ha elegido todavía. Por eso, las reglas que lo gobiernan no deberían diseñarse pensando en quien manda hoy, sino en el escenario que nadie quiere: aquel en que quien opere la herramienta no merezca la confianza que hoy damos por descontada.
En Centroamérica sabemos, por experiencia ajena y reciente, cómo se ve ese escenario: un gobierno que compró capacidad de vigilancia y la usó contra quienes lo criticaban. Conviene aprender de él antes y no después.