Carlos Fernández Hernández. La asociación de abogados expertos en la abogacía digital, Enatic, ha celebrado su quinto aniversario con un congreso que ha puesto de manifiesto la madurez tanto de una disciplina científica como la del grupo de profesionales que la están impulsando.
El derecho digital está reclamando con fuerza una formalización científica y académica. Son demasiadas las implicaciones prácticas en juego como para negar esa evidencia. Quizás la amplitud de su alcance lo haga más difícil. Pero como señaló Antonio Garrigues en la apertura del acto, las universidades deberían prestar de una vez su decidido apoyo a esta disciplina cuya presencia social es cada vez más visibles.
Y puede resultar llamativo que en un congreso dedicado a la abogacía tecnológica la declaración más relevante a nuestro juicio proviniese de un técnico. Chema Alonso advirtió que si no somos capaces de introducir en la tecnología los valores y principios que queremos defender como sociedad, nos veremos en serios problemas en un futuro no muy lejano, cuando esa tecnología comience a tomar decisiones por nosotros.
Quizás sea solo una muestra de la necesidad de relación del Derecho con otras ciencias, algo que será indispensable para su desarrollo futuro.
Presentación. Cinco años de evolución y adaptación al cambio
Después de que Rodolfo Tesone presidente de ENATIC, abriese el acto recordando los orígenes de la asociación en el congreso de la abogacía de Cádiz cinco años atrás y los principios que entonces fundamentaron su constitución, tomó la palabra el infatigable Antonio Garrigues Walker, quien a sus 83 años sigue siendo ese motor referencial para la abogacía y sus profesionales, jóvenes o no.
Garrigues recordó que estamos en una época de cambios tecnológicos constantes que no se van a detener. Y que en la misma solo triunfarán aquellos que sepan adaptarse a ese cambio, ya que los que no lo hagan serán sustituidos por otros.
En este marco los juristas, destacó, no deben olvidar que la misión de Derecho es regular la convivencia humana permitiendo que cada cual tenga lo suyo. Y para eso hay que tener en cuenta dos cosas: la primera que los cambios se suceden en lo tecnológico, pero que la condición humana, sus necesidades y anhelos no varían.
Y en segundo lugar que, sin dejarse llevar por un paletismo tecnológico que se deje deslumbrar por cualquier novedad, el Derecho y el jurista no pueden permanecer al margen de lo que está pasando, por lo que es imprescindible conocer el mundo tecnológico y científico en el que vivimos. Y esto afecta tanto a la universidad, los abogados y los jueces.
Es decir, lo jurídico no puede desarrollarse aislado de esas otras ciencias, debe relacionarse y ser interdisciplinar.
Pero, a la vez, los juristas no podemos dejar que ese mundo científico y tecnológico devore los principios jurídicos básicos, como los derechos humanos fundamentales de libertad, intimidad, etc.
Y aunque muchos piensen que el Derecho no ha evolucionado en los últimos años, ello no es así pues constantemente se están generando nuevos derechos, como el laboral, el mercantil, el medioambiental, que han ido surgiendo en los últimos años.
Por ello, concluyó, hay reclamar a las universidades que reconozcan que ya existe un Derecho digital que va a ser una nueva e importante fuente de acción profesional, jurídica y científica.
E igualmente el estamento judicial y las profesiones que con él se relacionan deben estar al día y conocer no solo el Derecho sino también esta nueva realidad, porque de otra manera no podrán resolver adecuadamente los litigios que se planteen.
El poder de la tecnología aumenta la necesidad de valores
Después de la presentación, nada parecía más lógico en un congreso sobre abogados expertos en tecnología que empezar por conocer el estado de esta.
Y para ello Chema Alonso,
Chief Data Officer de Telefónica hizo un repaso del valor y la utilidad que el dato personal, el que recoge información sobre cómo somos, qué hacemos y dónde, cuándo y cómo lo hacemos, está cobrando en el mundo ecónomico.
Y lo hizo comenzando por un ejemplo muy sencillo, por cada pedalada que de un ciclista profesional, los sistemas de medición instalados en su bicicleta permiten recoger 7 variables diferentes que luego son utilizadas para planificar su comportamiento en carreras y campeonatos.
De ahí se puede pasar al hecho de que una empresa como Apple se niegue a colaborar con las autoridades judiciales de un país para facilitarlas la información contenida en el teléfono móvil de un sospechoso de terrorismo. Ello la sitúa por encima del poder de los jueces.
Y el futuro que viene está marcado por un desarrollo masivo de la inteligencia artificial que se va a introducir en todos los sectores. Los sistemas de conocimiento cognitivo están generando una capacidad de aprendizaje muy rápida.
Se puede decir que estamos preparando a Inteligencia Artificial para que asuma responsabilidades.
Algo que está empezando a suceder con una finalidad básicamente de aprovechamiento comercial pero que rápidamente puede alcanzar otros extremos más preocupantes.
Por ejemplos las técnicas de human behavior analytics son capaces de determinar el estado de ánimo o la actitud de una persona ante el trabajo a partir del análisis del modo en que usa el teclado de su ordenador o maneja su teléfono móvil. Con ello se podría saber, por ejemplo, si esa persona está pensando en dejar el trabajo. Y si a esto se añade el cruce con la actividad de esa misma persona cuando realiza búsquedas en los buscadores de internet, o la observación de la actividad en las redes sociales, las deducciones a las que se puede llegar son muy potentes.
Pero la IA va a tomar decisiones en base a criterios que van a programar seres humanos y si no incorporamos a las tecnologías los valores jurídicos y que como sociedad queremos defender, vamos a tener problemas.
El marco regulatorio europeo sobre ciberseguridad
Ricardo Mor, embajador en misión especial para la ciberseguridad del Ministerio de Asuntos Exteriores, presentó a continuación el estado actual de la normativa internacional en esta materia, teniendo en cuenta la relevancia que está cobrando en los últimos tiempos.
Explicó la necesidad de disponer de un Derecho digital internacional que sirva como legislación aplicable a la seguridad de la información, porque la ciberseguridad acaba de llegar a las políticas públicas y es transversal a sociedad.
Por el momento a nivel europeo ya se dispone de la Directiva NIS (Directiva 2016/1148 (LA LEY 11863/2016), de de 6 de julio de 2016, sobre seguridad de las redes y sistemas de información en la Unión), pero esta norma, aunque entró en vigor en agosto de 2016, no obliga a los Estados a trasponer sus contenidos hasta mayo de 2018, lo que deja un amplio margen de tiempo hasta que sea realmente eficaz.
España cuenta con buenos recursos humanos y técnicos en cuanto a ciberseguridad y un marco de acción construido a partir de la Estrategia Nacional de Ciberseguridad, aprobada en 2013 por el Consejo Nacional de Seguridad, que establece un Plan Nacional de Seguridad que a su vez define nueve planes de actuación concretos.
Entre sus objetivos se encuentra objetivos “garantizar un uso seguro de las redes y los sistemas de información a través del fortalecimiento de nuestras capacidades de prevención, defensa, detección, análisis, investigación, recuperación y respuesta a los ciberataques”.
Esta Estrategia va a ser revisada conforme a un acuerdo del Consejo Nacional de Ciberseguridad de 20 de enero de 2017. Y esta decisión coincide con la otra decisión del Consejo y de la Comisión Europeos que igualmente han acordado a comienzos de este año revisar la estrategia de ciberseguridad de la UE, que también es de 2013.
Por otra parte, en el marco del Consejo de Seguridad de la ONU nuestro país ha promovido una reunión bajo la fórmula Arria sobre el ciberespacio y la seguridad internacionales, para reconocer el derecho los estados a intervenir y defenderse de las agresiones que puedan sufrir en este medio.
Esta medida coincide también con la decisión de la OTAN, de junio de 2016 que, de acuerdo con su recientemente revisada Política sobre Ciberdefensa define las ciberamenazas como una posible causa de la defensa colectiva de conformidad con el Artículo 5, designando con ello al ciberespacio como un dominio propio de sus operaciones, además del cielo, la tierra y los mares.
Los retos del futuro en el derecho y la abogacía: adaptarse a la nueva realidad
Sobre este tema Alejandro Sánchez del Campo,
Regulatory Counsel en Telefónica Digital, comenzó subrayando la necesidad del Derecho, y correlativamente de la abogacía, de adaptarse a la realidad del tiempo en que debe ser aplicado.
En concreto se refirió a las nuevas realidades que ya están en funcionamiento a nuestro alrededor, como los robots que intervienen quirúrgicamente (todavía con auxilio humano, pero cada vez más autónomos), los mecanismos de inversión financiera, los sistemas automatizados de recursos de multas, el movimiento de fondos a través de Facebook o los deportes virtuales, así como los que pronto llegarán, como los coches autónomos, los wearables implantables.
La inteligencia artificial ya es capaz de ganar a los humanos jugando al ajedrez, al Go o al póker y nuevas aplicaciones de reconocimiento facial parecen capaces de predecir el carácter delincuencial de una persona.
Ante este escenario los abogados deben ser capaces de adaptarse y estar al día, hasta el punto de que en EEUU ya hay numerosos estados que exigen un nivel de competencia tecnológica a los abogados.
En este contexto, la actitud de adaptación al cambio del abogado es esencial.
Y ello implica también la dificultad de dotarnos de una normativa apropiada pues la velocidad de los cambios hace difícil saber en qué momento estos habrán adquirido una estabilidad suficiente que permita regularlos con un mínimo de certeza.
Sin embargo, como señaló en respuesta a una pregunta lanzada por la moderadora de la mesa, Maitane Valdecantos, tampoco se debe caer en la trampa de una normativa demasiado restrictiva que impida o limite la innovación, pues esta es necesaria. Por ello, propuso como más conveniente la fijación de unos principios.
Además, apuntó, hay que tener en cuenta que la sociedad todavía no está preparada para avances como el reconocimiento de personalidad jurídica a los robots cuando estos posean un nivel de autonomía tal que les permita tomar sus propias decisiones.
A este contexto de incertidumbre se refirió también en su intervención Ramsés Gallego,
Security Strategist en Symantec, al señalar que hay que considerar el riesgo como una disciplina que hay que manejar teniendo en cuenta esa serie de principios esenciales o precious goods que hay que proteger.
De manera casi inmediata hay que tener en cuenta los riesgos de privacidad y seguridad que implica la cada vez más presente Internet de las cosas
Pero además, advirtió de la llegada, no inmediata pero sí cierta, de la computación cuántica sustancialmente diferente de la actual computación basada en bits binarios. Esta computación va a aportar una enorme capacidad de proceso (virtud que, por ejemplo, le va a hacer capaz de romper cualquier contraseña o cifrado de seguridad, por muy complejo que sea). Pero también, en virtud de su funcionamiento sobre el conocido como principio de superposición (que básicamente permite que un bit, en lugar de tener el valor 1 o el valor 0 como actualmente, pueda tenerlos ambos simultáneamente), puede plantear en su momento incertidumbres probatorias hoy inimaginables.
El derecho penal y los ciberdelitos: nuevas conductas, nuevos delitos y nuevas técnicas de investigación
Las múltiples posibilidades de actuación en internet han dado lugar a una proliferación de la actividades, unas lícitas y otras ilícitas, cuya más reciente interpretación por los tribunales nacionales e internacionales fue presentada por el magistrado de la Audiencia Nacional Eloy Velasco.
Del amplio repaso que realizó sobre la jurisprudencia de todos los órdenes, destacamos estas ideas en cuanto a los ciberdelitos:
La principal figura delictiva son las nuevas modalidades de estafa, destacando últimamente la estafa inmobiliaria a través de internet.
También se está apreciando alguna diferencia jurisprudencial entre los conocidos como “muleros” que pasan de ser considerados autores a cooperadores necesarios.
También la diferenciación entre los conceptos de grupo criminal y organización criminal.
En cuanto al delito de acoso por medio de las redes sociales, destacó que quien no ve los problemas que este plantea es porque aun no los ha sufrido.
Y por último, en cuanto al delito de cibersexo, que se está identificando una modalidad delictiva que se produce mitad en la red, mitad en el mundo real (lo que se conocen como delitos centauro).
Por su parte, la fiscal Elvira Tejada, coordinadora de la fiscalía especial contra la cibercriminalidad informática, destacó la figura de la suplantación de identidad en la red como una figura delictiva que ha aumentado mucho.
Esta modalidad delictiva se utiliza con dos finalidades: usar la identidad de otro para cometer un delito o garantizarse la impunidad y para atribuir al suplantado acciones, expresiones u opiniones que pueden dañar su fama personal o profesionalmente.
En el primer caso las principales finalidades son el acceso irregular a sistemas informáticos ajenos, para obtener información o causar un daño o, en los delitos sexuales contra menores, el hacerse pasar por otro menor o persona de su confianza.
En el segundo caso se están detectando diversos casos destinados a perjudicar a la expareja en casos de ruptura.
La respuesta legal a estas acciones no siempre es la más adecuada. Por ejemplo, destacó que en los casos de sustitución de personalidad con la mera intención de perjudicar la fama o reputación de la otra persona, la tipificación conforme al art. 405 CP (LA LEY 3996/1995) presenta dificultades, pues este precepto requiere el ejercicio de derechos propios de la persona sustituida, algo que no se suele producir.
Pero hay que terminar con el sentimiento de impunidad que se esconde en la red, por lo que se deben encontrar las respuestas legislativas adecuadas para estas conductas.
Y en cuanto a las dificultades con que se encuentra la policía para investigar estos delitos, la inspectora de la UIT de la Policía Nacional Silvia Barrera comenzó destacando el hecho de que los ciberdelincuentes se encuentren fuera de España.
Esta circunstancia, junto con la reciente reforma de la LECrim (LA LEY 1/1882) que determina que los atestados policiales sin autor conocido no pasen a conocimiento judicial, está provocando que el porcentaje de delitos cometidos en internet que concluyen con un pronunciamiento judicial sea muy bajo, del entorno del 1,2%.
Además Silvia Barrera expresó su convencimiento de que existe una amplia cifra negra de delitos cometidos que no se denuncian, en ocasiones porque, como ha comprobado la policía, las víctimas no salen ni qué deben hacer (y denunciar simplemente no es suficiente si no se aporta en ese momento algún principio de prueba).
También subrayó la importancia de la falta de colaboración de muchas empresas titulares de redes sociales, incluida la no información sobre fugas masivas de datos de los usuarios, como ha sucedido recientemente.
A estas dificultades se unen las habituales de la insuficiencia de medios técnicos y humanos que sufren los cuerpos y fuerzas de seguridad.
La persecución del ciberdelito en España
Para hablar sobre la actual situación de la legislación española en materia de prevención de la delincuencia en internet, intervino el Fiscal General del Estado, José Manuel Maza, quien comenzó destacando que venimos de una tradición de poca regulación de los delitos cometidos por medios electrónicos o sobre las comunicaciones en nuestro ordenamiento.
Sin embargo, destacó, la fragilidad del ciudadano ante estos ataques requiere de una regulación exhaustiva de estas conductas.
Por ello alabó la regulación disponible como consecuencia de las últimas reformas tanto del Código Penal como de la LECrim. (LA LEY 1/1882) En particular esta última, recogida en las múltiples variantes del artículo 588, es muy amplia, pues cubre todas las opciones de prueba técnica, de gran nivel técnico y, sobre todo muy garantista (como lo acredita que haya que investigar a la persona que ha sido investigada incluso cuando la investigación no ha dado resultados).
El proceso de adaptación de la Justicia a las novedades tecnológicas
El ministro de Justicia, Rafael Catalá, también participó en el congreso para valorar tanto la situación de la abogacía como de la Justicia ante este amplio conjunto de novedades.
Comenzó afirmando que la abogacía española ya ha sido reconocida como una de las más creativas e innovativas de Europa, pero, advirtió, los hechos avanzarán sin pedir permiso, por lo que los abogados deben están pendientes de los cambios que se están produciendo.
En cuanto a los retos que la abogacía deberá afrontar durante los próximos años señaló: la necesidad de ser capaces de responder a las controversias en lo digital (ya que a través de la web se ejercen cada vez más derechos por los ciudadanos y se realizan más negocios, pero también se cometen más delitos); la necesidad de promover la innovación y la competitividad (el hecho de que las tecnologías ayuden a crear nuevos modelos de negocio impacta también en la actividad de los abogados, jueces y fiscales), por último, propugnó también la necesidad de renovar la profesión para que el nuevo ciberabogado combine los conocimientos jurídicos con los técnicos y científicos, pues cada vez se entiende menos el derecho sin la tecnología.
Pero también destacó que un 80% de los ciudadanos piensa que la justicia no funciona como debiera en una sociedad moderna, por ello hizo referencia a la estrategia de su ministerio, que pasa por una transformación digital que es más que simplemente poner más ordenadores en los juzgados sino que pretende afectar a los procesos, a la organización del trabajo y a la relación con los ciudadanos.
En estos momentos, apunto, ya no podemos esperar a ver cómo lo hacemos. La transformación ha de ser cultural y afectar a todos los profesionales que se relacionan con ella.
Destacó también su convencimiento que la actual administración está haciendo lo necesario para impulsar este proceso. Pero a la vez se mostró también consciente de las necesidades que están surgiendo a lo largo del mismo y por ello anunció que en breve se va a ampliar la capacidad del buzón de LexNet a 15 megas, que los expedientes judiciales se podrán consultar las 24 horas del día, 7 días a la semana y que antes de que concluya la legislatura, todos los sistemas de gestión procesal existentes en el ámbito de competencia de su ministerio estarán unificados en uno único.
Las buenas prácticas en la abogacía del futuro
En esta mesa, moderada por Carmen Pérez Andujar, José Luis Palma, abogado y socio de Gómez Acebo y Pombo, presentó el estado actual de la situación desde los colegios de abogados, indicando que sigue pendiente la regulación consecuencia de la Directiva de servicios.
Entre tanto se sigue trabajando en planes de prevención en el ámbito de los colegios, porque estos están destinados a prestar cada vez más servicios a sus colegiados y ello implica un mayor riesgo por el desempeño de su actividad, en particular por los riesgos informáticos.
Por ello está prevista también la creación de canales de denuncia para los compliance officer o responsables de cumplimiento
En este contexto, sin embargo, el Consejo de la Abogacía no reconoce la existencia de una posible responsabilidad penal de las personas jurídicas de los colegios profesionales.
En cuanto al ámbito más particular del ejercicio de la abogacía, Eduardo Torres-Dulce,
Of Counsel en Garrigues, comenzó sosteniendo que no deberíamos estar hablando del Código Penal sino de buen gobierno corporativo, en el que es primario el valor de la reputación basada en el buen nombre y en la ejemplaridad propia de un concepto tan poco frecuentemente citado hoy pero tan necesario como la gestión del honrado padre de familia.
En este contexto destacó la importancia de la cultura ética y de la existencia de planes de cumplimiento, para los que es necesario crear las estructuras y los órganos de control necesarios, así como revisar continuamente esos planes para asegurar su cumplimiento.
No debe olvidarse que después de las recientes sentencias de la Sala de lo penal del TS (en particular la 154 y la 221), la existencia de planes de cumplimiento se convierten en excusas absolutorias frente a la pretensión del inicio de acciones penales.
Es decir, deberá ser el ministerio fiscal quien demuestre la inexistencia o insuficiencia de estos planes para iniciar el proceso.
La protección de la privacidad: la gestión de riesgos y el DPO
Para comentar las nuevas perspectivas en materia de protección de datos, la mesa sobre privacidad, moderada por José Leandro Núñez, contó de entrada con Iñaki Vicuña, Director del Centro de Documentación Judicial (CENDOJ) quien comenzó informando de que próximamente se va a firmar un convenio de colaboración entre la AEPD y el CGPJ sobre los ficheros que gestiona el Consejo.
A este respecto llamó la atención también sobre la trascendencia de la reforma introducida en la LOPJ (LA LEY 1694/1985) por la LO 7/2015, de 21 de julio (LA LEY 12048/2015), que por primera vez introduce los principios de la protección datos en el ámbito de los Tribunales, que, como señala, carecían hasta entonces de una regulación completa y actualizada.
El modelo introducido distingue entre ficheros jurisdiccionales y los no jurisdiccionales. El responsable de los ficheros jurisdiccionales, que se rigen por las leyes procesales en cuanto a los derechos ARCO, es el órgano jurisdiccional y la autoridad de control de tales ficheros será el Consejo General del Poder Judicial. En cuanto a los ficheros no jurisdiccionales, su responsable es la Oficina judicial, al frente de la cual está un Letrado de la Administración de Justicia. Este tipo de ficheros se rigen por la normativa existente en materia de protección de datos de carácter personal y la autoridad de control de los mismos es la Agencia Española de Protección de Datos.
Vicuña destacó también que la información que hay en las sentencias afecta mucho a las derechos personales, pues a través de su analítica podría alcanzarse una justicia predictiva, lo que está llevando a que en algunos países como en Francia, se esté planteando anonimizar el nombre de los jueces en las sentencias a fin de evitar la posibilidad de realizar ese tipo de análisis.
Por su parte Cecilia Alvarez, presidenta de la APEP, asociación a la que, como destacó el moderador, pertenecen numerosos miembros de ENATIC, se refirió para empezar a que la privacidad no es una materia que se enseñe en la universidad, sin embargo, en la actualidad ya no se puede ir por la vida sin saber nada de privacidad.
Por ello, y ya en el ámbito de la empresa, subrayó la importancia del DPO que no es solo una figura propia del compliance, sino que es una figura esencial y estratégica que por ello no puede asumir cualquiera.
El DPO sirve para que una empresa o entidad pueda saber cómo explotar los datos que gestiona conforme a la norma. Por ello va a tener que saber tanto Derecho como tecnología y también comunicar y seducir, pues las políticas de privacidad frecuentemente chocan con el trabajo diario de muchos departamentos.
Es un gestor del riesgo de incumplir la norma. Por ello para desempeñar el cargo se necesita mucha formación. En este sentido considera que los juristas españoles están muy bien preparados para competir en esta materia a nivel internacional ya que previamente se han tenido que curtir internamente con una ley tan exigente como la LOPD (LA LEY 4633/1999) y un órgano de control tan riguroso como la AEPD.
Esta figura, según afirmó, puede ser mutualizada a nivel de grupo o colectivo profesional, como ya se está haciendo en Francia.
Y en cuanto a su responsabilidad, recordó que esta, en caso de incumplimiento, corresponde a la organización, no al individuo.
Finalmente, se refirió al principio de portabilidad de los datos, recientemente objeto de unas directrices del Grupo de Trabajo del artículo 29, al igual que el GPO, para subrayar que da la impresión que el proceso de la portabilidad es sencillo pero que no lo es en absoluto, pues implica la dedicación de personas, tecnologías y tiempo. Además, destacó, adecuar los sistemas a un sistema de portabilidad gratuito es bastante complejo si se tienen en cuenta que se incluyen también los datos deducidos.
Cerró esta mesa Ofelia Tejerina, abogada de la Asociación de internautas, quien efectuó un repaso los demás más candentes a la luz del nuevo Reglamento europeo de protección de datos.
Entre ellos destacó que el Reglamento está orientado a la prevención de riesgos, lo que obliga a tener un sistema de gestión de crisis. Hizo referencia también a la necesidad de proteger y amparar a los ciudadanos frente a la recogida de datos consecuencia de la observación de su comportamiento; el uso de las redes sociales en el entorno doméstico y familiar; la recogida de datos anonimizados; a la fotografía como elemento que debe ser protegido; a la protección de los menores; al derecho a la portabilidad de datos, al que el responsable no puede negarse; al derecho al olvido y a la necesidad de consentimiento expreso para cada supuesto.
En cuanto al ejercicio del derecho al olvido recordó el deber de especial diligencia de los medios cuando se relaciona con la libertad de expresión y destacó la conveniencia de dirigirse directamente al medio, en vez de a Google, para ejercerlo.
Mencionó también la anunciada reforma de la Directiva 2002/58 (LA LEY 9590/2002) sobre e-privacy por medio de una Propuesta de Reglamento sobre Privacidad y comunicaciones electrónicas (Reglamento ePrivacy). Esta norma va a ser complementaria del RGPD y de la Directiva de 2002, en un contexto en el que la observación del comportamiento es masivo.
La identidad digital y los derechos humanos digitales
Esta mesa, moderada por Noemí Brito, presentó en primer lugar a Borja Adsuara, abogado, profesor y asesor en nuevas tecnologías, quien reflexionó sobre el alcance que en la actualidad tiene el derecho a la libertad de expresión en un contexto en el que fomentar el odio al que piensa o actúa diferente parece dar muchos clics en las redes sociales.
El discurso del odio es un concepto hoy muy extendido pero cuyo alcance real discutió, pues en su opinión, parece que cualquier tontería dicha en las redes lo es. La libertad de expresión, recordó, se refiere al qué, y todos podemos decir lo que nos parece correcto, pero no al cómo. La realidad es que se debe poder decir cualquier cosa, pero no de cualquier manera, lo cual no se resuelve con más derecho sancionador, sino con más educación.
Por ello destacó la importancia de los mecanismos sectoriales de autorregulación
El notario Francisco Rosales, señaló cómo los notarios están modificando el concepto de persona entendida como ente dotada de conciencia y responsabilidad.
Destacó la diferencia entre identidad (el conjunto de rasgos y circunstancias que diferencian a una persona frente a otra) de la personalidad, que es la capacidad de ser titular de derechos y obligaciones. Por ello indicó que no existe una identidad digital, aunque sí puede existir la virtual (que es la que cada uno de nosotros tenemos en la web y que viene a ser casi como una marca o nombre comercial individual).
Finalmente, el abogado Javier de la Cueva planteó el hecho de que internet permite la creación de perfiles a través de los datos recogidos, según su semántica, que es el sentido que se les atribuye. E internet está lleno de capas semánticas. Esta captura y tratamiento puede invadir la intimidad de las personas.
Sin embargo a este respecto Borja Adsuara destacó que lo que se protege en internet no es el dato como tal, sino la relación entre una persona y un dato, la vinculación ente ambos.
La responsabilidad de empresarios y directivos ante la ciberseguridad
La última mesa de la sesión fue moderada por Susana González y se dedicó al tema de la responsabilidad en la que incurren los administradores de las sociedades por las quiebras de seguridad que pueden producirse en sus empresas, un tema de la máxima actualidad a la luz de los recientes incidentes de ciberseguridad en los que se han producido importantes fugas de información.
Rafael Asón, abogado y socio en el bufete Mas Calvet realizó una sintética pero muy precisa presentación de los presupuestos legales de esta responsabilidad, que requieren de una conducta antijurídica por ser contraria a la ley o a los estatutos sociales (dolosa o culposa), la causación de un daño por acción u omisión y de una relación de causalidad entre uno y otro.
Analizó también los deberes de los administradores, acotados por los principios de diligencia del ordenado empresario (que en el caso de las star ups incluye la disposición de la información suficiente para la toma de determinadas decisiones) y de lealtad.
Los supuestos de exoneración de responsabilidad (que excluyen los de convalidación de la acción del administrador por la junta general; de carga de la prueba y de prescripción de la acción.
Por ello, concluyó, los administradores son responsables de la ciberseguridad de su empresa, que implica un deber de gestión adecuada, no de competencia tecnológica, teniendo en cuenta que la seguridad depende de cada tipo de actividad. Esto reconduce a la conveniencia de contar con un cybersecurity officer, que vele por esta tarea, siempre bajo la premisa de la necesidad de implantar una cultura de seguridad en las empresas.
Francisco Bonatti, también abogado y socio director de Bonatti penal, abundó en el sentido de que el compliance officer no tiene responsabilidad penal, salvo en los casos expresamente previstos en la norma, pues su papel, como ha señalado la jurisprudencia alemana, es de garante de la supervisión ejercida, no de su ejecución.
La responsabilidad será de la persona jurídica por los actos de sus administradores. Pero hay diferentes formas de asumir esa responsabilidad en función de la cadena de personas que dependen del administrador.
Esto implica un deber de garantía por la delegación, que se traduce en la necesidad de una selección adecuada, la formación de una cultura de empresa y la capacidad para dirigir.
Finalmente Carlos Sáiz, abogado socio de Écix y presidente de la asociación de profesionales de cumplimiento normativo Cumplen, planteó la diferencia entre los ciberincidentes, que son aquellos que suponen una interrupción del negocio, de los riesgos de ciberseguridad.
Destacó también la importancia de los modelos de prevención que deben estar basados en un análisis de riesgos que debe estar hecho con el rigor necesario; unas políticas de control adecuadas a la empresa de que se trate y que no por ser más complejas van a ser más adecuadas; un plan de ejecución de esas políticas y, lo más importante, un cultura de prevención.
No es imprescindible disponer del responsable de cumplimiento, pero sí de ese plan de ejecución y medir la importancia de lo que se hace.
Refiriéndose concretamente a la situación de seguridad en los despachos de abogados, señaló que todavía falta mucha concienciación. Todavía existen muchos pequeños despachos con sistemas muy limitados, pero para ello el CGAE está empezando a dotar las pautas y herramientas adecuadas.
El papel de la abogacía hacia el futuro
En la clausura del acto, Victoria Ortega, presidenta del CGAE destacó que no se pueden solucionar los problemas digitales con jurisdicciones nacionales, por lo que hace falta un nuevo derecho.
Y la abogacía tiene un importante papel que jugar en su diseño, por lo que debe prepararse una estrategia para ello. Y para ello la abogacía trabaja para tener los mejores abogados, también en lo digital.