Ley de Ciberseguridad: un aparato de represión, censura y persecución política

El Decreto 26-2026 deja al gobierno de turno facultades para castigar operadores, controlar protocolos e intervenir la infraestructura por la que circula la información. Su uso político puede convertir una denuncia de corrupción en el comienzo de una persecución.

Un gobierno puede silenciar una denuncia persiguiendo a quien la revela, castigando a quien la transmite o cortando el servicio que permite publicarla. El Decreto 26-2026 reúne facultades que pueden utilizarse para ejecutar esas tres formas de represión. El Congreso dejó esa maquinaria al alcance del gobierno de turno bajo el nombre de Ley Marco de Ciberseguridad.

Los responsables tienen nombre. José Pablo Mendoza Franco, Cristian Rodolfo Álvarez y Álvarez y Gustavo Adolfo Cruz Montoya presentaron la iniciativa 6347 en 2024. La comisión presidida por Jorge Mario Villagrán Álvarez emitió el nuevo dictamen favorable. La diputada oficialista Mirna Victoria Godoy Palala presentó la moción de urgencia nacional, respaldada por 109 votos. El 3 de noviembre de 2026, el Congreso aprobó el decreto con 121 votos a favor y 10 en contra, incorporando 20 enmiendas y sustituciones en esa misma sesión.

El mando queda en la Presidencia. Los artículos 7 y 8 colocan al presidente de la República al frente del Consejo Nacional de Ciberseguridad y le atribuyen la toma de decisiones. Ese consejo aprueba los protocolos que orientarán la actuación del aparato estatal. El artículo 33 encarga a Defensa elaborar el catálogo de infraestructura crítica digital y un protocolo de acciones defensivas y ofensivas. El consejo presidencial lo aprueba, mientras la disposición deja sin definir qué pueden comprender esas acciones ofensivas y sin una revisión externa específica del protocolo.

El artículo 37 entrega al Ejecutivo otra facultad decisiva. Su reglamento definirá las conductas que constituyen infracciones y las sanciones correspondientes. Quien gobierna podrá completar las reglas con las que se castigará a los operadores sujetos a la ley.

El artículo 38 da apenas dos días para responder a los cargos y cinco para presentar pruebas. Una acusación técnica puede exigir peritajes que toman mucho más tiempo. Es un procedimiento que facilita sancionar antes de que el acusado haya podido preparar una defensa efectiva, protegida por el artículo 12 constitucional.

El artículo 41 agrava el problema. El dinero de las multas irá a los fondos privativos de la Dirección Nacional de Ciberseguridad, encargada de aplicar ese régimen. La institución que castiga se financia también con lo que cobra a los sancionados.

La amenaza contra la prensa aparece al combinar esas facultades con el artículo 64, que permite interceptar comunicaciones e interrumpir transmisiones de datos en determinadas investigaciones. Debe pedirlo el Ministerio Público y autorizarlo un juez mediante resolución motivada. La disposición exige medidas menos invasivas cuando sean suficientes y revisión cada 24 horas de las interrupciones que afecten servicios esenciales.

Una investigación penal utilizada como represalia puede exponer a una fuente y bloquear la difusión de información legítima. El daño a la denuncia y a quienes la hicieron posible puede producirse durante la intervención. Así opera la censura indirecta que prohíbe el artículo 13.3 de la Convención Americana. El artículo 35 de la Constitución protege expresamente las denuncias y críticas sobre los actos de funcionarios públicos.

El artículo 9 ofrece además un mecanismo susceptible de usarse para encubrir fallas del Estado. Aunque protege la información amparada por el artículo 24 constitucional y exige entregarla de forma agregada o anonimizada, dispone tratarla como confidencial o reservada conforme a la Ley de Acceso a la Información Pública. Convertir esa cláusula en secreto automático para informes completos chocaría con el artículo 30 constitucional y con la prueba de daño exigida por el artículo 26 del Decreto 57-2008.

Los artículos 42 y 55 dejan expuesto al investigador independiente. Para acogerse a las exclusiones de responsabilidad previstas para pruebas de seguridad y determinadas actividades académicas, debe existir un acuerdo previo. Quien descubre y reporta una falla de buena fe sin convenio queda fuera de esa protección expresa. La entidad responsable de un sistema vulnerable puede ser, precisamente, aquella cuyo consentimiento necesita para obtenerla.

Este diseño constituye una herramienta de represión y persecución política. Permite que la amenaza de una sanción, la exposición de una fuente o la interrupción de un servicio impongan silencio. Cada funcionario que pretenda utilizar esas facultades contra una denuncia deberá responder por ese abuso.

Los diputados que aprobaron el decreto ya asumieron su responsabilidad política. Si Bernardo Arévalo lo sanciona, asumirá la de poner este aparato en funcionamiento desde la Presidencia.