La sentencia de spyware en el Reino Unido despeja el camino para demandar a Baréin por espiar a disidentes. El Supremo británico cerró el 27 de julio una discusión de seis años con una doctrina clara: infectar a distancia un dispositivo situado en el Reino Unido equivale a actuar dentro de sus fronteras.
Le pongo en contexto. Saeed Shehabi y Moosa Mohammad, dos disidentes bareiníes residentes en el Reino Unido, presentaron su demanda en 2020. Alegaron que desde 2011 sus equipos fueron intervenidos con FinSpy, un spyware desarrollado por la británica Gamma International y comercializado después por la alemana FinFisher. El malware permitía volcar comunicaciones, archivos, cámara y micrófono sin que la víctima lo detectara.
El Supremo desmonta el escudo de la inmunidad soberana
Baréin opuso la inmunidad soberana. Fue el nudo del pleito. La State Immunity Act británica de 1978 incluye una excepción en su Sección 5: no hay inmunidad cuando una muerte, lesión personal o daño a bienes tangibles haya sido causada por un acto u omisión dentro del Reino Unido. La cuestión era si un hackeo lanzado desde Manama encajaba en esa letra.
El tribunal de primera instancia ya lo vio así en 2023 y la Court of Appeal lo confirmó. Ahora el Supremo ha avalado esa lectura. En palabras de la mayoría, la redacción de la Sección 5 es ‘clara e inequívoca’. Instalar FinSpy a distancia equivale a un acto en territorio británico. No hace falta que un agente de Baréin ponga un pie en Londres.
La lista de actos causales que el Supremo considera cometidos en el Reino Unido es demoledora: la transmisión de los archivos para instalar el spyware, su ejecución, la exfiltración de datos y la activación de micrófonos y cámaras. No se trata de un disparo en una calle londinense, sino de una intrusión telemática que el derecho británico ya trata como interferencia en su soberanía territorial.
Tres jurisdicciones, tres lecturas del hackeo remoto
Esta decisión del Supremo británico abre una fractura en el derecho comparado. En Estados Unidos, la Foreign Sovereign Immunities Act (FSIA) se ha interpretado de forma restrictiva: todo el ilícito civil debe ocurrir en suelo estadounidense. El Tribunal Europeo de Derechos Humanos, por su parte, fijó en una sentencia anterior que un hackeo se produce en el país de origen, no donde se encuentra la víctima. Londres se aparta de Washington y de Estrasburgo a la vez. Elige la vida de la víctima, no la geografía del servidor.
El espionaje digital represivo ya no podrá escudarse en la inmunidad soberana en los tribunales británicos.
El precedente inmediato es Al-Masarir. En 2026, la High Court dictó la primera sentencia de fondo contra un Estado extranjero por usar Pegasus contra un activista en el Reino Unido: Ghanem Al-Masarir, disidente saudí. Arabia Saudí dejó de defenderse y el tribunal le condenó en juicio sumario. Ese fallo demuestra que la barrera jurisdiccional era el verdadero muro. Ahora se abre la misma puerta para Baréin, Arabia Saudí, Emiratos Árabes Unidos y Ruanda.
Los expedientes se amontonan. Yusuf Al-Jamri bloguero bareiní, demandó a Baréin por Pegasus en 2024 y su caso estaba suspendido a la espera de la sentencia Shehabi. Yahya Assiri, defensor saudí de derechos humanos, denunció a Riad por ataques entre 2018 y 2020. Rania Dridi, periodista británica, demandó a Emiratos en septiembre de 2023. Faustin Rukundo, opositor ruandés, ha hecho lo propio contra Kigali. Con la inmunidad despejada, todos pueden avanzar.
Aun así, el camino no es una autopista. La Sección 5 cubre daños personales y daños a bienes tangibles. Lord George Leggatt, en su voto discrepante, advirtió de que una reclamación por mera exposición de información privada o por pérdida económica no superaría el filtro. La Sección 5 exige lesión personal o daño tangible, no solo pérdida económica. Los demandantes necesitarán pericial psiquiátrica que conecte el descubrimiento del spyware con una lesión real.
De hecho, los costes procesales han sido la primera arma de los Estados. El caso Shehabi se presentó en 2020 y ha tardado seis años en resolver únicamente la cuestión de la inmunidad. La sentencia reduce ese peaje. Los litigantes podrán ir al fondo sin quedar atrapados durante años en una cuestión previa.
No va a ser barato.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es claro: ciberataque estatal mediante spyware comercial. FinSpy y Pegasus no son herramientas de un hacker solitario, sino productos de vigilancia vendidos a gobiernos por empresas con licencia de exportación. Aquí no hay HUMINT clásico: no hay un agente en territorio británico, no hay un muerto en un restaurante de Piccadilly. Hay una intrusión telemática que un tribunal británico equipara a una violación de la soberanía.
Agencias implicadas. Atacante: el aparato de inteligencia de Baréin, sea cual sea su nombre oficial; la sentencia no individualiza al servicio concreto. Defensora: la jurisdicción británica y, en la sombra, el trabajo de grupos civiles como Citizen Lab, que durante años ha documentado el abuso de Pegasus y FinSpy. Terceros: Arabia Saudí, Emiratos Árabes Unidos y Ruanda, con casos similares ya en trámite. No hay constancia de que el CNI o el CCN-CERT estén directamente implicados, pero la doctrina afecta de lleno al espacio europeo de inteligencia.
El nivel de clasificación estimado de los datos extraídos con FinSpy es Reservado o Secreto: comunicaciones personales de disidentes, agendas y contactos sensibles. No es material nuclear, pero su valor de contrainteligencia es alto. Activar micrófonos y cámaras convierte el dispositivo en un micrófono ambiental. Ese es el daño.
Mi lectura. Si usted ha seguido estos litigios, convendrá conmigo en que la sentencia es un punto de inflexión. En El quinto elemento escribí que ‘el próximo 11S empezará con un clic’. Esta decisión es el primer clic de respuesta judicial: un Estado que espía a distancia ya no podrá esconderse detrás de la soberanía cuando elige un foro que no es el suyo. Reconozco que la atribución del ataque sigue siendo el punto débil. Probar que fue Baréin, no un intermediario privado, requerirá pericia técnica distinta de la usada por la defensa.
El hito concreto que yo seguiré es el siguiente pronunciamiento de la High Court sobre el fondo del caso Shehabi. Si los demandantes logran acreditar causalidad entre FinSpy y sus lesiones psiquiátricas, se sentará un precedente que el resto de jurisdicciones tendrá que mirarse.
Empieza el juego de la rendición de cuentas digital.
