Un tribunal federal de apelaciones dictaminó el jueves que una orden de registro estadounidense no puede obligar a Microsoft a entregar los correos electrónicos de sus clientes almacenados en Irlanda, estableciendo así un límite territorial a una ley de privacidad de 30 años de antigüedad en una decisión con amplias repercusiones para la computación en la nube. El panel unánime de tres jueces del Tribunal de Apelaciones del Segundo Circuito de Estados Unidos revocó una orden de un tribunal inferior y anuló la declaración de desacato contra Microsoft.
el tribunal sostuvo que el Congreso no pretendía que las disposiciones sobre órdenes judiciales de la Ley de Comunicaciones Almacenadas se aplicaran fuera de Estados Unidos. Si bien Microsoft podía recuperar los correos electrónicos desde sus oficinas en el país, el tribunal se centró en dónde se almacenaban las comunicaciones privadas y dónde se produciría la invasión de la privacidad del usuario.
Una ley de 1986 se encuentra con un servicio sin fronteras
La disputa comenzó con una investigación de narcotráfico en 2013. Agentes federales obtuvieron una orden judicial, conforme a la Sección 2703 de la Ley de Comunicaciones Almacenadas, para acceder a información relacionada con una cuenta de Microsoft. Microsoft proporcionó los registros que no contenían el contenido, almacenados en Estados Unidos, pero se negó a entregar el contenido de los correos electrónicos almacenados en un centro de datos en Dublín. La empresa asigna las ubicaciones de almacenamiento principalmente según el país que el cliente indica al abrir una cuenta.
Un juez de primera instancia y un juez de distrito concluyeron que una orden emitida en virtud de dicha ley funcionaba más como una citación judicial, la cual puede exigir al destinatario que recopile los registros bajo su control, independientemente de su ubicación. El tribunal de apelaciones rechazó este enfoque. La jueza Susan L. Carney escribió que la ley utiliza el término "orden judicial" y fue promulgada principalmente para proteger la privacidad de las comunicaciones electrónicas almacenadas. Dado que el Congreso no autorizó explícitamente su aplicación en el extranjero, prevaleció la presunción de no extraterritorialidad.
Un análisis reciente de Just Security indicó que la norma inmediata es que la ubicación de los datos ahora determina el alcance de estas órdenes judiciales en el Segundo Circuito. Esta distinción es importante porque los proveedores de servicios en la nube pueden transferir o replicar información a través de las fronteras sin la participación activa del cliente, lo que hace que una norma legal basada en el almacenamiento físico sea trascendental y difícil de administrar.
Victoria en materia de privacidad, obstáculo para la investigación
Microsoft y los defensores de la privacidad celebraron la decisión como una limitación al acceso unilateral del gobierno. La compañía argumentó que si las autoridades estadounidenses pueden incautar comunicaciones en Irlanda con una orden judicial, otros gobiernos podrían reclamar lo mismo sobre los datos almacenados en Estados Unidos. El archivo de casos de Microsoft describe el fallo como una protección para los datos en la nube comparable a la que se ofrece a los registros físicos.
La Electronic Frontier Foundation, que apoyó a Microsoft, ha sostenido que el acceso desde el extranjero debe realizarse a través de los canales intergubernamentales establecidos. En su página de alegaciones y en los documentos presentados como amicus , argumentó que la teoría del gobierno expondría a usuarios de todo el mundo a búsquedas en el extranjero sin las garantías del país donde se almacena la información.
Los fiscales federales han afirmado que este enfoque contradictorio puede obstaculizar las investigaciones legítimas y hacer que el acceso dependa de la infraestructura interna del proveedor. El gobierno obtuvo la orden judicial de un juez imparcial tras demostrar la existencia de causa probable; el problema, según el fallo del jueves, no radicaba en el estándar probatorio, sino en el alcance geográfico de la ley. Los fiscales podrían solicitar una nueva audiencia ante el pleno del Segundo Circuito o una revisión ante la Corte Suprema.
El informe de Wired sobre la decisión puso de relieve las implicaciones operativas para las fuerzas del orden y la industria tecnológica. Las investigaciones criminales dependen cada vez más de las comunicaciones gestionadas por proveedores estadounidenses, mientras que estas empresas han ampliado sus centros de datos en el extranjero para mejorar la velocidad, satisfacer a sus clientes y cumplir con las normativas nacionales de privacidad.
La presión se traslada al Congreso y a los tratados
La decisión no impide el acceso a los datos en el extranjero. Estados Unidos puede solicitar pruebas mediante tratados de asistencia jurídica mutua, incluido el tratado con Irlanda. Sin embargo, estas solicitudes pueden tardar meses, una demora que, según los investigadores, resulta incompatible con la rapidez de los casos que se tramitan. Por consiguiente, el fallo intensifica la presión sobre el Congreso para que modernice la Ley de Privacidad de las Comunicaciones Electrónicas y sobre los gobiernos para que agilicen las solicitudes de pruebas transfronterizas.
En su respuesta del 15 de julio, el Centro Brennan calificó el resultado como una victoria para la privacidad y argumentó que el Congreso, y no los tribunales, debería decidir si se amplía el poder del gobierno sobre las comunicaciones almacenadas en el extranjero y cómo hacerlo. El propio tribunal expresó una idea institucional muy similar: una ley redactada en 1986, antes de que existieran los servicios de computación en la nube para consumidores, no contiene ninguna disposición clara que regule esta situación.
El juez Gerard E. Lynch, en su voto concurrente, afirmó que el resultado era exigido por la ley, pero recalcó que el equilibrio de políticas aún no está definido. Un proveedor puede controlar los datos desde Estados Unidos incluso cuando estos se encuentran en el extranjero, y los usuarios pueden desconocer su ubicación. Sugirió que estas circunstancias podrían justificar una normativa diferente, pero su elaboración requeriría decisiones legislativas en materia de privacidad, soberanía y seguridad pública.
Expertos jurídicos que escribieron en Lawfare el 15 de julio señalaron que la decisión plantea interrogantes complejos sobre qué constituye la ubicación relevante para los sistemas distribuidos y cómo las empresas podrían estructurar el almacenamiento. Además, crea diferentes posibilidades para los investigadores según dónde almacene los datos el proveedor, lo que podría propiciar disputas sobre jurisdicciones y demandas de estándares más claros.
Un mercado en la nube basado en la confianza
El caso surge en un momento en que las empresas tecnológicas estadounidenses buscan tranquilizar a sus clientes europeos tras las revelaciones sobre la vigilancia estadounidense. Irlanda y otros gobiernos han argumentado que el acceso a los datos sobre su territorio afecta su soberanía y los derechos de sus ciudadanos. La sentencia del Segundo Circuito otorga gran importancia a estas preocupaciones sin determinar que la ley irlandesa rija la investigación.
En un informe jurídico presentado por Jones Day el 14 de julio, se hizo hincapié en que la decisión se basó en la interpretación de la ley, no en un derecho constitucional ni en una inmunidad general para los datos extranjeros. El Congreso conserva la facultad de modificar la ley, y otros tribunales federales de apelación no están obligados por la decisión del Segundo Circuito.
Por ahora, Microsoft ha logrado el objetivo principal que se propuso establecer: poseer una red global no implica automáticamente que todos sus servidores estén sujetos a una orden judicial nacional. El fallo otorga a los proveedores de servicios en la nube una defensa territorial más clara, pero también pone de manifiesto hasta qué punto el marco legal para las pruebas electrónicas se ha quedado rezagado con respecto a la infraestructura que rige.
