Artículo 702 de la FISA

La sección 702 de la Ley de Vigilancia de Inteligencia Extranjera (FISA) es una disposición de dicha ley que autoriza la recopilación selectiva de información de inteligencia extranjera sobre personas no estadounidenses que se encuentren fuera de Estados Unidos. La recopilación se centra en direcciones de correo electrónico o identificadores de usuario específicos, en lugar de en una captura masiva e indiscriminada. El programa funciona al amparo de certificaciones anuales revisadas por el Tribunal de Vigilancia de Inteligencia Extranjera (FISC). El Tribunal evalúa los procedimientos de selección de objetivos, minimización y consulta, en lugar de emitir órdenes judiciales individuales. 

La sección 702 de la FISA exige que se determine que la recopilación de datos proporcionará información de inteligencia exterior relacionada con temas certificados, como la lucha contra el terrorismo y las amenazas a la ciberseguridad. La ley no se basa en la existencia de causa probable de un delito. 

Los procedimientos de selección dirigen la recopilación de datos hacia personas no estadounidenses que se encuentran en el extranjero. Estos procedimientos incluyen medidas de protección para evitar la obtención intencionada de comunicaciones de personas estadounidenses. La Oficina del Director de Inteligencia Nacional (ODNI) se encarga de la supervisión y la presentación de informes. El Departamento de Justicia (DOJ) garantiza el cumplimiento de la legislación. Organismos como la Agencia de Seguridad Nacional (NSA) y la Oficina Federal de Investigación (FBI) son los principales usuarios de los datos recabados en virtud del artículo 702. Los proveedores de servicios estadounidenses están obligados a colaborar en estas actividades. 

Las amenazas se propagan rápidamente a través de las fronteras y las redes. El artículo 702 de la FISA permite una recopilación de información urgente que puede revelar datos de inteligencia sobre adversarios extranjeros antes de que los riesgos se materialicen en el país. Para los responsables de la seguridad pública, la resiliencia nacional y los servicios esenciales, el valor es práctico: información útil que sirve de base para la toma de decisiones. 

Al mismo tiempo, el sistema moderno de enrutamiento de Internet hace que las comunicaciones puedan atravesar la infraestructura de EE. UU. incluso cuando los participantes se encuentran en el extranjero. Esta realidad plantea la posibilidad de que se recopilen datos de personas estadounidenses de forma incidental. Unos controles rigurosos de minimización, auditoría y consulta —exigidos en virtud del artículo 702 de la FISA— ayudan a mantener ese riesgo bajo control. Cuando estos controles son claros, se aplican de forma coherente y se someten a revisión independiente, favorecen tanto la agilidad operativa como la protección de las libertades civiles. 

La sección 702 de la FISA se basa en cinco elementos interrelacionados que, en conjunto, permiten la recopilación de información de inteligencia legal y específica, al tiempo que limitan los excesos:

1. La selección basada en criterios de selección vincula la recopilación de datos a identificadores específicos, lo que reduce el alcance excesivo y centra la actividad en información de inteligencia exterior de valor conocido. 

2. La supervisión judicial programática exige certificaciones anuales y procedimientos de selección de objetivos, minimización y consulta aprobados por el FISC para todas las operaciones en virtud del artículo 702. 

3. Los controles de minimización y consulta establecen normas relativas al enmascaramiento, la conservación, la difusión y las consultas documentadas de los analistas, con pasos procedimentales adicionales exigidos en el caso de los identificadores de personas estadounidenses. 

4. La rendición de cuentas en múltiples ramas distribuye la responsabilidad entre el poder ejecutivo —en lo que respecta a la aplicación y las revisiones de cumplimiento—, el Congreso —en materia de supervisión— y el poder judicial —a través del FISC y el Tribunal de Revisión—. 

5. Entre los mecanismos de transparencia se incluyen los informes públicos de la ODNI, los dictámenes desclasificados y los informes de transparencia de los proveedores, que proporcionan indicadores agregados y tendencias. 

Lucha contra el terrorismo y la proliferación:  La recopilación centrada en criterios de selección revela indicadores de planificación extranjera y vínculos logísticos que sirven de base para las medidas de interceptación y las sanciones. 

Información sobre amenazas a la ciberseguridad:  La recopilación en virtud de la sección 702 de la FISA permite detectar infraestructuras de mando y control o conjuntos de herramientas de adversarios extranjeros dirigidos contra las redes estadounidenses, lo que mejora la postura defensiva y la respuesta coordinada. 

Actividad delictiva transnacional:  Las comunicaciones entre actores extranjeros implicados en operaciones de ransomware, fraude o financiación ilícita pueden identificarse y compartirse en el marco de procesos legales definidos. 

Protección de infraestructuras críticas:  Se pueden detectar indicadores de actos de perturbación planificados contra los sistemas energéticos, de transporte, sanitarios o de abastecimiento de agua para facilitar una mitigación rápida. 

En cada uno de los escenarios, el uso riguroso de las facultades previstas en el artículo 702 de la FISA, junto con unas medidas estrictas de minimización y supervisión, contribuye a garantizar el valor de la información de inteligencia sin socavar la confianza de la ciudadanía. 

Las empresas que puedan recibir órdenes legales —incluidas aquellas potencialmente relacionadas con el artículo 702— deben contar con procesos documentados de recepción, validación y respuesta, con el respaldo de asesores jurídicos, responsables de privacidad y equipos de operaciones de seguridad. El objetivo es claro: cumplir con las obligaciones legales al tiempo que se protege a los usuarios y se mantiene un registro de auditoría defendible. 

Buenas prácticas operativas 

Validación de la competencia y el alcance:  Verificar la jurisdicción, el fundamento jurídico y la especificidad. Exigir órdenes con un alcance adecuado que identifiquen selectores o cuentas. 

Princípio del privilegio mínimo y control dual:  Restringir el acceso al mínimo necesario y exigir la aprobación de dos personas para las acciones sensibles. 

Registro inmutable:  Mantener registros de auditoría a prueba de manipulaciones que recojan quién accedió a qué, cuándo y por qué, para demostrar el cumplimiento. 

Minimización de datos:  Reducir los datos conservados a lo estrictamente necesario para las operaciones y la seguridad, limitando su exposición durante la fase de producción. 

Medidas técnicas 

Inventarios y clasificación de datos:  Asignar los flujos de datos y los niveles de sensibilidad para definir con precisión el alcance de la producción y agilizar las evaluaciones. 

Calendarios de conservación:  Aplicar una retención con plazos definidos, acorde con las necesidades legales, normativas y operativas. 

Tokenización y seudonimización:  Reducir el riesgo de los campos sensibles sin mermar su utilidad operativa. 

Pautas de seguridad:  Ajustarse a los marcos del NIST en materia de identidad, acceso, supervisión y respuesta ante incidentes. Emplear el acceso basado en roles, los privilegios «justo a tiempo» y la supervisión continua. 

Preparación para el acceso legal 

Trate las anomalías en los flujos de trabajo de las solicitudes legales como posibles incidentes de seguridad. Realice simulacros periódicos que abarquen la recepción de órdenes relacionadas con la seguridad nacional, la remisión a los asesores jurídicos, las comunicaciones dentro de los límites legales y las revisiones posteriores a la acción. Los manuales de actuación documentados reducen la incertidumbre y facilitan la toma de decisiones oportunas y defendibles en situaciones de presión. 

Proteger a los usuarios y garantizar el cumplimiento normativo 

Un diseño seguro de la plataforma puede limitar la exposición al tiempo que se cumplen las obligaciones derivadas de la sección 702 de la FISA y otras disposiciones legales. Siempre que sea posible, utilice el cifrado de extremo a extremo para el contenido de los usuarios, limitando la entrega legal a las capas controladas por el proveedor, de conformidad con la política y los compromisos de los usuarios. Aplique una gestión de claves sólida con protecciones respaldadas por hardware, división del conocimiento y división del control, de modo que ningún administrador pueda acceder de forma unilateral a material sensible. Estas medidas ayudan a las organizaciones a responder a las solicitudes en virtud del artículo 702 dentro del marco legal y a mantener la confianza de los usuarios. 

Las arquitecturas modernas complican la selección de objetivos y la recopilación de datos en virtud del artículo 702 de la FISA. El cifrado es ahora la norma, el tráfico pasa por redes de distribución de contenidos y las cargas de trabajo abarcan nubes globales. La obtención lícita de datos suele centrarse en los datos que se encuentran en las capas controladas por los proveedores —como los metadatos o el contenido en reposo— sin socavar el cifrado de extremo a extremo. Los flujos transfronterizos de datos añaden complejidad jurisdiccional, lo que aumenta la importancia de contar con selectores precisos, realizar evaluaciones rigurosas de la ubicación y cumplir con los procedimientos aprobados por el FISC. 

El perfeccionamiento de la política sigue en marcha. Los debates se centran en normas más estrictas para las consultas sobre personas estadounidenses, una auditoría reforzada, una mejor notificación en los procedimientos penales y una mayor transparencia. El objetivo es claro: preservar el valor operativo al tiempo que se reduce el riesgo de acceso injustificado y se refuerza la supervisión independiente de las operaciones en virtud del artículo 702. 

Aunque las actividades de inteligencia son confidenciales, existe una transparencia significativa. La ODNI publica informes anuales con datos agregados sobre objetivos, consultas relativas a ciudadanos estadounidenses e incidentes de incumplimiento. Los dictámenes desclasificados del FISC arrojan luz sobre el razonamiento judicial. Los proveedores de servicios publican informes de transparencia dentro de los límites permitidos. Estos documentos, junto con las evaluaciones del inspector general y los análisis de la sociedad civil, alimentan el debate público y refuerzan la legitimidad. 

Las organizaciones pueden ir más allá. Una gobernanza clara en lo que respecta a las solicitudes legítimas, unas directrices de aplicación de la ley dirigidas al público, auditorías independientes cuando proceda y explicaciones de las políticas en un lenguaje sencillo generan confianza. Unos canales de recurso bien definidos y una presentación de informes coherente demuestran que el cumplimiento es disciplinado, mesurado y está sujeto a supervisión. 

La sección 702 de la FISA está diseñada para proporcionar información de inteligencia exterior oportuna, respetando al mismo tiempo los límites constitucionales. Su eficacia depende de la precisión de los criterios de selección, de una supervisión por niveles y de las garantías técnicas que impiden el uso indebido. Para los responsables del Gobierno y de las infraestructuras críticas, el camino a seguir es práctico: adoptar los principios de «privacidad desde el diseño», diseñar los sistemas con el principio del «privilegio mínimo» y la auditabilidad, y mantener una gobernanza transparente que resista cualquier escrutinio. Si se aplica correctamente, este enfoque proporciona información operativa, protege los derechos y refuerza la confianza pública, que es precisamente lo que requiere la seguridad de misión crítica. 

A diferencia de las órdenes judiciales penales, el artículo 702 de la FISA no se basa en la causa probable de un delito. En su lugar, exige que se determine que la recopilación proporcionará información de inteligencia exterior relacionada con temas certificados, como la lucha contra el terrorismo, la lucha contra la proliferación y las amenazas a la ciberseguridad. Los procedimientos de selección de objetivos deben orientar la recopilación hacia personas no estadounidenses ubicadas en el extranjero e incluir salvaguardias para evitar la recopilación intencionada de comunicaciones de personas estadounidenses. 

Entre las entidades clave se encuentran la Oficina del Director de Inteligencia Nacional (ODNI), encargada de la supervisión y la presentación de informes; el Departamento de Justicia (DOJ), responsable del cumplimiento normativo; y organismos como la Agencia de Seguridad Nacional (NSA) y la Oficina Federal de Investigación (FBI), como principales usuarios de los datos recabados en virtud del artículo 702, junto con los proveedores de servicios estadounidenses obligados a prestar su colaboración. La supervisión incluye procedimientos aprobados por el Tribunal de Vigilancia de Inteligencia Extranjera (FISC), inspectores generales, auditorías internas y revisión por parte del Congreso.