y el articulo 224 de la· Constitución Política, presentamos a consideración del Honorable Congreso de la República, el Proyecto de por medio de la cual se aprueba el «Convenía sobre fa Ciberdelincuencía», adoptado el de noviembre de 2001, en Budapest. 1. CONSIDERACIONES PREVIAS A. Contexto Internacional El crecimiento de las amenazas en el ciberespacio, así como la utilización de nuevas tecnologías para generar amenazas informáticas, constituyen una preocupación común, dado que impactan de manera significativa la seguridad la información, en los ámbitos tanto público como privado. Esto lo que pone de manifiesto es la necesidad de desarrollar de forma estricta políticas seguridad ,necesarias para establecer controles que permitan proteger tanto a la ciudadanía sociedad, como al el Estado y sus infraestructuras criticas, ante estas nuevas amenazas. Tales políticas seguridad han de ser respaldadas por un adecuado marco normativo sustancial y procesal de naturaleza penal, para que su implementación sea efectiva. Por esta razón, en noviembre de 2001, producto de una reunión intemacional expertos celebrada en Budapest, Hungría, se creó el único marco existente para aplicar una política penal común para proteger a la sociedad frente a la ciberdelincuencia, mediante la adopción de legislación adecuada y el fortalecimiento de la cooperación intemacional. la actualidad, este documento es considerado como el estándar mundial en esta materia. Varios Estado europeos, junto a otras naciones como Estados Unidos, Japón, Canadá y Sudáfríca, vieron con interés el contenido del Convenio en virtud de que representaba una oportunidad valiosa para contar con un instrumento aplicable en todos los paises del mundo y así lograr consenso internacional en la persecución de las nuevas formas de delincuencia ejecutadas a través los medios telemáticos, considerando que más que cualquier otro fenómeno crirninal, la ciberdelincuencia no tiene fronteras.. la actualidad, el Convenio de Budapest sido firmado por 45 de los 47 Estados rniembros Consejo de Europa. De ese grupo, 3510 han ratificado. Estados no miembros del Consejo Europa, como Australia, Estados Unidos, Japón, la Isla. Mauricio, República Dominicana y Panam~, son Estados Parte del Convenio. Además, más 24 países han sido invitados a adherirse al Convenio, por lo que en el momento se encuentran adelantando el proceso de ratificación interna en este sentido. Por su parte, el11 de septiembre 2013, Colombia fue invitada porel Consejo de Europa a adherirse al Convenio de Budapest, gracias a gestiones del Gobierno Nacional encaminadas a contar con instrumentos jurídicos y cooperación internacional para enfrentar de forma efectiva el delito cibemético. El término establecido para formalizar la adhesión es de 5años por lo que solo hasta el año 2018 Colombia tiene la posibilidad de aceptar dicha invitación. ;.4 B. Contexto Nacional Colombia es el primer país de América Latina con Internet de alta velocidad que ha tenido como finalidad llevar este medio a todos sus ciudadanos a lo largo del territorio nacional. En el mismo sentido, aproximadamente desde el año 2005, Colombia se ha comprometido a fortalecer la seguridad de la información y desde 2010,.cuando se implementó el Plan Vive Digital, el país ha experimentado una revolución digital ~ue ha llevado el uso de las tecnologías de la información y las comunicaciones a ser una herramienta para el desarrollo del país. Esta revolución digital implica que tanto los ciudadanos como el sector privado ylas entidades públicas dependan cada día más de las tecnologías de la información ylas comunicaciones, como lo evidencian las últimas cifras registradas, incluyendo las de conexiones de banda ancha en el país, las cuales se multiplicaron significativamente en los últimos años, pasando de 213 millones en 2010, a 15,130 millones en 2016, tal y como se ilustra en el Gráfico 1. Gráfico 1, Evolución de conexiones de banda ancha en Colombia Millones de conexiones de banda ancha .. ~'-- " . , .. ••.... '" .... Ó o 0'1 '" oci m <D '"... oci 0'1 .... ... '"00 <D~ , '"<DC1>~ <D.oO -i00 ....,mO m-i.... '".... <D ... 00......; N'" N.... .... "'! '" r.: "'l .... C1> <D .... .... .... '" o .... ó.... Ó .... 00 00 00 <D C1> i 00 N N ! N ~~~~~~~~~~~~~ . ~~~~~~~~.~~~~~~~ ",'" (l' C) ' C) ' C)' ",: " ..; ",: ,..; '\.. '\.. '\.' '\.' "J' "J' "J' "J' b<' b<' b<' b<' ",' ",' ",' ",' ~' ~' '\. '\. '\. '\. . '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. '\. ~' .~~~~~~~~~~~~~~~~~~~~~~~~~~~~ V '"~ I I .... -. .. _'_"'._.......' -""_".._._ .__._..._...__.______....._._________ ..__._._.....:..____._........__.__... ..1 Fuente: Ministerio de Tecnologías de la Información y las Comunicaciones, 2016 Así mismo, el número de municipios conectados incrementó hasta llegar a 1.075 en el 2016 y el número de terminales en las instituciones educativas públicas también aumentó. En el pasado había 24 niños por terminal, y en la actualidad solo 4. Esta tendencia en el incremento del uso de las TIC también se ve evidenciada en el número de empresas de dicho sector, el cual pasÓ de 2.657 a 5.404, y las Mipymes se multiplicaron del 7% al 75%. En el mismo sentido, aproximadamente desde el año 2005, Colombia se ha comprometido en la misma medida a fortalecer la seguridad de información, es por esto que a través del Decreto 1078 de 2015 se da obligatoriedad,a las Entidades del Estado pata implementar erModelo de Seguridad y Privacidad de Tr del Ministerio TIC. Si bien este aumento en la conectividad en Colombia ha traído consigo innumerables beneficios para el país, también se han incrementado las amenazas cibernéticas, las vulnerabilidades y los incidentes digitales, afectando la seguridad de los ciudadanos, las organizaciones públicas y privadas, e incluso infraestructura~ que hacen parte de los intereses de la nación, Las técnicas y objetivos de los ataques cibernéticos se' han sofisticado, teniendo como consecuencia una mayor dificultad para su oportuna detección. Durante los últimos 'años, Colombia ha sido foco de interés para distintos ataques cibernéticos, los cuales se han sofisticado trayendo consigo el incremento de la efectividad de los mismos y una mayor .., dificu.lt~d para su oportuna detección. Escenario ql!Jepreocupa al Gobiemo nacional toda vez que las condiciones para desarrollar actividades socioeconómicas en el país cada día se soportan más en el uso de las TIC, y los incidentes digitales en Colombia afectan a varios agentes y sectores (Gráfico 2 y ~. . . Gráfico 2. Sectores afectados en Col~mbia por incidentes digitales 2016. De ión de Servicio 1 101 3 1 1 91 75 235 97 1 18 DNS Openresolvers Multiples Vulnerabilidades 18 S Gráfico 3. Total, incidentes digitales por Entidad 2016. Total de Incidentes por Entidad 2016 120 101 100 -.",.-..- ",-- .,..,. ".....-.........---.-----... 80 60 ~-.......- -- .. - .....91.-.-.....-·...........-·....- -·..·....-........ . 75 ----...- . --......................- ....- -- .- ..- ... 58 . .- - . -...- - -.......- - . -- ---- .- - - - - - -.- -- 1_-~~_·- · _~-_- I_l__~·--5~4_2_ J~L. .-l 2lJ!1 28L-·-- ~ L!:-:_: :' _~ __.. _1:1i 33 :: _ _ .. CERT .. Educación • Defacement ..... 2•. ... Gobierno ...... ISP • Denegación de Servicio' Militar Privada Iil DNS Openresolvers . '. Multi~lesVulnerabilidades. Phishing Fuente: coICERT, 2016. c. Marco Normativo Nacional El país viene desarrollando Instrumentos Normativos que contemplan temáticas relacionadas con la seguridad de la información, la ciberseguridad y la ciberdefensalas cuales se relacionan enésta marco normativo. En el año 2009 se expidió la Ley 1273 "Por medio de la cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado - denominado "de la protección de la información y de los datos" - y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones". Se crearon los siguientes tipos pénales: Capítulo I - "De los atentados contra la confidencialidad, la integridad y'la disponibHidadde los .datos y de los sistemas informáticos". Este capítulo tipifica las siguientes conductas penales: Acceso Abusivo a un sistema informático, obstaculización ilegítima de sistema informático o de red de telecomunicación, interceptación de datos informáticos, daño informático, uso de software malicioso, violación de datos personales, suplantación de sitios web para capturar datos personales. Capítulo 11 - "De los atentados informáticos y otras infracciones", este capítulo tipifica e/: hurto por medios informáticos y semejantes, así como la transferencia no consentida de activos. Por medio la Ley 1273 se adoptan los lineamientos Convenio de Budapest celebrado en el año 2001. La decisión, de proferir las leyes internas en concordancia al Convenio Ciberdelincuencia, . fue tomada por considerarse vital importancia qüe los desarrollos normativos incluyeran esas . directrices de la legislación europea que se habían empezado a introducir en los ordenamientos jurídicos de diferentes países; aun cuando Colombia no es parte del Consejo de Europa y aún no había sido invitada a adherirse al mismo. Colombia cuenta con una legislación procesal penal integral y efectiva para abordar los delitos cibernéticos, reconoce los tratados internacionales con INTERPOL y EUROPOL y, esp~cíficamente, la Ley 1581 de 2012 establece un marco básico la protección de datos, divulgación y denuncia de las violaciones seguridad. Por su parte, dentro las leyes de carácter ordinario se encuentran unas que regulan diversos temas asociados con la seguridad digital, .el comercio· electrónico, la pornografía y la explotación sexual de menores en el ciberespacio, la racionalización de trámites y derechos .autor y conexos, entre otros. Política Pública En el año 2011, el Gobierno NaCional aprobó el CON PES 3701 en el cual establecieron los lineamientos poJítica ciberseguridad yciberdefensa. documento establece las medidas que deben adoptar entidades que tengan acceso al manejo de la información para contrarrestar el incremento de amenazas informáticas: dentro de las cuales se establecieron normas técnicas y estándares e internacionales, como iniciativas internacionales sobre protección de infraestructura crítica y ciberseguridad. abril del 2016 se aprobó el CONPES 3854 de Seguridad Digital Integral, en el que se estableció la implementación en cinco : i) Establecer un marco institucional claro én tomo a la seguridad ~igital, basado en la gestión de riesgos; ii) Crear las condiciones para que las múltiples partes interesadas gestionen el de seguridad digital en sus actividades socioeconómicas y se genere confianza en el uso del entorno digital; iii) Fortalecer la seguridad los individuos y del Estado en el entorno digital, a nacional y trasnacional, con un enfoque de gestión riesgos; iv) la y nacional en el entorno digital con un enfoque gestión de riesgos; y, v) Impulsar la cooperación, colaboración y asistencia en maleria seguridad digital, a nivel nacional e internacional. Dentro del CON PES 3854, se manifestó que la política de Ciberseguridad y Ciberdefensa adoptada por Colombia, debe ser complementada para responder adecuadamente a los nuevos tipos de incertidumbres e incidentes digitales y, adicional a lo anterior, se puso en evidencia que Colombia dispone de un marco normativo nacional disperso en tomo a la seguridad digital que comprende leyes, decretos y otros actos expedidos bajo condiciones diferentes a las actuales, por lo cual se creó la política nacional seguridad digital. Para cumplir con los objetivos establecidos en los frentes expuestos en la Política Nacional de Seguridad Digital se establecieron diferentes estrategias. En concreto, para impulsar la cooperación, colaboración X en materia de seguridad digitaL a nivel e internacional se planteó la búsqueda de la adhesión Colombia a convenios internacionales, dentro del cual se resaltó el Convenio de Budapest 11. DESCRIPCION DEL ACUERDO A. Objeto del Acuerdo Convenio del Consejo tiene por objeto la materialización de una política criminal común en materia de ciberdelincuencia mediante la adopción siguientes • • Intensificaclón de la cooperación entre y su relación con el sector privado con el fin de prevenir la comisión de ilícitos en las, informáticas. Adopción de la intema pertinente, que permita combatir las amenazas a bienes jurídicos como la confidencialidad, IJlI integridad y la disponibilidad los datos y de los sistemas prategiendoen general los intereses vinculados al desarrollo de las tecnologías la información. B. Explicación del Articulado El articulado del "Convenio i. ( Budapest" está separado en las siguientes secciones: Legislación sustantiva Con el objeto de construir una Política Criminal común, encaminada a sancionar la criminalidad en el ciberespacio, el ·Convenio Budapesf estipula en los artículos 2 a 12 tipos pertinentes. para enfrentar este fenómeno. Los Estados Parte adquieren la obligación de su legislación intema a las exigencias estipuladas en dichos instrumentos, relativas a los acceso ilícito, interceptación ilícita, a la integridad de los datos, ataques a la integridad sistema, abuso los dispositivos. falsificación informática, fraude informático, delitos relacionados con la pornografía infantil, delitos con infracciones de la propiedad intelectual, y responsabilidad de las personas jurídicas. el 1, se establece un cuadro comparativo con los tipos penales establecidos en el Convenio y con legislación al respecto. este tipo de conductas el sujeto pasivo, es decir la víctima del ilícito, puede ser natural o jurídica que sea dueña de un sistema de procesamiento de información. ii. ( persona legislación procesal artículos 16 a 21 se estipulan procedimientos y poderes para las autoridades pl:lblícas, que también deben ser adoptados por los parte en su legislación procesal interna. el anexo II·se establece~un cuadro comparativo que la fecha tiene Colombia con lo establecido en el Convenio. Las obligaciones impuestas por la normatividad en mención, se resumen en los 4 puntos: a) Adoptar para garantizar la inmediata de "datos informáticos almacenados" y la divulgación de los "datos de tráfico b) Otorgar facultades a las autoridades para que puedan solicitar a los proveedores y demás particulares la de datos en su poder. c) Disponer de medios idóneos para interceptar y compendiar en tiempo real "datos de tráfico" asociados con una comunicación particular. d} Expedir la regulación pertinente, que habilite a sus aut?ridades a y decomisar, cualquier o de almacenamiento informático. ff • iii. Cooperación internacional El Convenio estipula la aplicación instrumentos 'paraluchar de forma efectiva contra dichos delitos 1, facílitando su investigación y sanción, tanto a nivel nacional como internacional, y estableciendo disposiciones que permitan una cooperación internacional rápida y fiable". tomando como los acuerdos de legislación uniforme orecíproca los Estados, yel propio derecho intemo de las partes a efectos investigar o procedimientos conjuntos relativos a los delitos .relacionados con sistemas y datos informáticos o para obtener pruebas en formato electrónico de delitos. busca entonces, instar a los Estados Parte acooperar la man·era más amplia posible, por lo que Colombia se comprometería a dar trámite a solicitudes de asistencia para la investigación y recolección materia probatoria. Asimismo. adquiriría las obligaciones conservar y comunicar datos informáticos almacenados de interés para los partes, prestar asistencia concerniente al acceso trasfronterizo los mismos y a un punto contacto localizable las 24 horas del dia, los dias de la semana. 111. RESERVAS formulará una reserva al artículo 14 tratado. con miras aprotegerlos derechos constitucionales del habeas data y la intimidad personal. En postulado normativo se faculta a Estados a reservarse el derecho de aplicar medidas establecidas en el artículo 20 del Convenio relativo a "Obtención en tiempo de datos relativos al tráfico", pero únicamente para ciertas categorías de delitos especificados en la ) También se plantea la posibilidad de la aplicación del artículo 21, concemiente a la "Interceptación datos relativos al contenido" en los casos en que un sistema informático: .. .. haya puesto en funcionamiento para un grupo restringido de usuarios No. emplee redes püblicas de telecomunicación y no conectado a otro sistema informático. ya sea público o privado. Estas reservas protegerían posibles vulneraciones a establecidos como fundamentales·en la Constitución Política de Colombia ampliamente desarrollados por la Constitucional. ) Al respecto del derecho a la Intimidad Personal, la Corte ha dispuesto lo siguiente: trata de un derecho "general, absoluto, extrapatrímonial, inalienable e imprescriptible y que se pueda hacer valer "erga omnes", vale tanto frente al Estado como a los particulares. consecuencia. toda persona, por el hecho de serlo, es titular a priori de este derecho y el único legitimado para permitir la divulgación datos concemientes a su vida -privada. Su finalidad es la de la protección intereses morales; su titular no puede renunciar total o definitivamente a la intimidad pues dicho acto estaría viciado de nulidad absoluta. derecho, que se deduce de la dignidad humana y de la natural tendencia toda persona a la libertad. a la autonomía y a la auto conservación, protege el ámbito privado del individuo y de su familia como el núcleo humano más próximo"2 "Actos dirigidos contra la confidencialidad, la V la disponibilidad de los sistemas informáticos, re.des y datos informáticos, así como el abuso de'dichos sistemas; redes V datos, mediante la tipificación de esos actos" . . 1 Sentehcía agosto 18 de 2010, Por otro lado, en relación al Habeas la Corte considerado que en la jurisprudencia constitucional, interpretado: en sentencia derecho al habeas de 2014 ha fue primero "como una garantía del derecho a la intimidad, de allí que se hablara de la protección de los datos ala vida privada y familiar, entendida como la individual impenetrable en la que cual puede proyecto de vida y en la que ni el ni otros particulares pueden interferir. [... ] [D]esde los primeros .años la nueva Carta, inferior de launa "ci~ta 'una'manifestación \ segunda línea interpretativa que consideraba el del libre desarrollo de la personalidad. Según línea, el habeas data su fundamento último "(. ..) en el ámbito de autodeterminación y libertad que el ordenamiento jurídico reconoce al sujeto como condición indispensable para el libre d~ la personalidad y en homenaje justiciero a su dignidad. "" (, A partir de 1995, una tercera línea interpretativa es la que ha desde entonces yque apunta al habeas data como un derecho autónomo, en que el núcleo del al habeas está compuesto por la autodeterminación ínformáticay la libertad -incluida la libertad económica. derecho como fundamental autónomo, requiere para su efectiva protección de mecanismos que lo garanticen, no sólo deben pender de los jueces, una institucionalidad administrativa que además del control y vigilancia tanto los sujetos derecho público como privado, aseguren la observancia de la protección de datos y, en su carácter la capacidad de fijar política púbHca en la materia, sin injerencias políticas el cumplimiento Tomando en cuenta los postulados precitados, al realizar la reserva del articulo 14, también se una posible de inexequibilídad por parte de la Corte ConstitucionaL en el marco del control previo, automático e integral. IV. IMPORTANCIA DEL CONVENIO DE BUDAPEST PARA COLOMBIA (' expansión amenazas en el cíberespacio, así como la utilización de nuevas tecnologías generar amenazas informáticas, constituyen una preocupación común a todos los países, dado que impactan manera significativa la seguridad de la información, en los ámbitos tanto público como privado. Los fenómenos criminalidad que afectan la Ciberseguridad son generados, en muchas OCéISIO!neS por actores se encuentran en una jurisdicción geográfica diferente en la que se comenten los delitos, por lo que pruebas un delictivo no son accesibles sin la colaboración judicial y técnica de las legítimas autoridades públicas que rigen ese territorio. Por lo tanto', en marco yen los casos que suponen la utilización de redes de comunicación, la internacional es esehcial para prevenir y enfrentar cualquier acto delictivo en materia cibernética, por ello . debe adherirse al Convenio sobre la ciberdelincuencia del Consejo de es el único Instrumento que cubre áreás relevantes de la legislación ciberdelincuencia -derecho penal, procesal y cooperación internacional- y trata con carácter prioritario una política penal contra la cíberdelincuencia en· cada uno países miembros, El Convenio de Budapest, permite no avanzar en cooperación internacional contra informáticos, sino también fortalecer las leyes y regulaciones nacionales contra el ciberdelito de todo nivel. Por las anteriores consideraciones, el Gobierno Nacional, a través de la Ministra de Relaciones Exteriores, el 'Ministro de Justicia y del Derecho, el Ministro de Defensa Nacional y el Ministro de Tecnologías de la Información y las Comunicaciones, solicitan al Honorable Congreso de la República aprobar el Proyecto de Ley "Por medio de la cual se aprueba el «Convenio sobre la Ciberdelincuencia» , adoptado el 23 de noviembre de 2001, en Budapest. n De los Honorables Congresistas, inistro de Defensa Nacional ~ ) nistro de Tecnóloglas de Información y las Comunicacio es -- ... . u se rau..J .j {-.~ ("e'~' ~ •...J c,ar-'j-;.--· '..1' J \.... (...1 .. S ¡:; (' o F', : , .' . , l-- -..11 '\ _ .. ~ ••• " . _ _ ,'" .:~: ~ j r' t' ,' " . '-. .~! .•.. :) ..... : / :..:: v t ~_. .. _ .... _ ..... _ C·'. ,', '-' ' JJ. ) RAMA EJECUTIVA DEL PODER PÚBLICO PRESIDENCIA Q:€ LA REPÚBLICA BOGOTÁ D.C., ~u AUTORIZADO. SOMÉTASE A LA CONSIDERACiÓN REPÚBLICA PARA lOS EFECTOS CONSTITUCIONALES (Fdo.) JUAN MANUEL SANTOS CAlDERON MINISTRA RELACIONES EXTERIORES (Fdo.) MARiA ÁNGELA HOlGUIN CUÉlLAR 8 JUN 2017 HONORABLE CONGRESO LA DECRETA: